Regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio del 23 luglio 2014 in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE
Testo vigente
Art. 36 Requisiti dei sigilli elettronici avanzati
1. Un sigillo elettronico avanzato soddisfa i seguenti requisiti:
a) è connesso unicamente al creatore del sigillo;
b) è idoneo a identificare il creatore del sigillo;
c) è creato mediante dati per la creazione di un sigillo elettronico che il creatore del sigillo elettronico può, con un elevato livello di sicurezza, usare sotto il proprio controllo per creare sigilli elettronici; e
d) è collegato ai dati cui si riferisce in modo da consentire l’identificazione di ogni successiva modifica di detti dati.
2. Entro 21 maggio 2026 la Commissione valuta la necessità di adottare atti di esecuzione per stabilire un elenco di norme di riferimento e, se necessario, stabilire specifiche e procedure applicabili ai sigilli elettronici avanzati. Sulla base di tale valutazione, la Commissione può adottare tali atti di esecuzione. Si presume che i requisiti dei sigilli elettronici avanzati siano stati rispettati ove un sigillo elettronico avanzato sia conforme a tali norme, specifiche e procedure. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 37 Sigilli elettronici nei servizi pubblici
1. Se uno Stato membro richiede un sigillo elettronico avanzato per poter utilizzare i servizi online offerti da un organismo del settore pubblico, o per suo conto, tale Stato membro riconosce i sigilli elettronici avanzati, i sigilli elettronici avanzati basati su un certificato qualificato di sigillo elettronico e i sigilli elettronici qualificati che almeno siano nei formati o utilizzino i metodi definiti negli atti di esecuzione di cui al paragrafo 5.
2. Se uno Stato membro richiede un sigillo elettronico avanzato basato su un certificato qualificato per poter utilizzare i servizi online offerti da un organismo del settore pubblico, o per suo conto, tale Stato membro riconosce i sigilli elettronici avanzati basati su un certificato qualificato e i sigilli elettronici qualificati che almeno siano nei formati o utilizzino i metodi definiti negli atti di esecuzione di cui al paragrafo 5.
3. Gli Stati membri non richiedono, per l’utilizzo transfrontaliero in un servizio online offerto da un organismo del settore pubblico, un sigillo elettronico dotato di un livello di garanzia di sicurezza più elevato di quello del sigillo elettronico qualificato.
4.
5. Entro il 18 settembre 2015, e tenendo conto delle prassi, delle norme e degli atti giuridici dell’Unione vigenti, la Commissione, mediante atti di esecuzione, definisce i formati di riferimento dei sigilli elettronici avanzati o i metodi di riferimento nel caso in cui siano utilizzati formati alternativi. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 38 Certificati qualificati di sigilli elettronici
1. I certificati qualificati di sigilli elettronici soddisfano i requisiti di cui all’allegato III.
2. I certificati qualificati di sigilli elettronici non sono soggetti a requisiti obbligatori oltre ai requisiti di cui all’allegato III.
3. I certificati qualificati di sigilli elettronici possono includere attributi specifici aggiuntivi non obbligatori. Tali attributi non pregiudicano l’interoperabilità e il riconoscimento dei sigilli elettronici qualificati.
4. Qualora un certificato qualificato di un sigillo elettronico sia stato revocato dopo l’iniziale attivazione, esso decade della propria validità dal momento della revoca e la sua situazione non è ripristinata in nessuna circostanza.
5. Fatte salve le condizioni seguenti, gli Stati membri possono fissare norme nazionali in merito alla sospensione temporanea dei certificati qualificati di sigilli elettronici:
a) in caso di temporanea sospensione di un certificato qualificato di sigillo elettronico, il certificato perde la sua validità per il periodo della sospensione;
b) il periodo di sospensione è indicato chiaramente nella banca dati dei certificati e la situazione di sospensione è visibile, durante il periodo di sospensione, dal servizio che fornisce le informazioni sulla situazione del certificato.
6. Entro il 21 maggio 2025 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili ai certificati qualificati dei sigilli elettronici. Si presume che i requisiti di cui all’allegato III siano stati rispettati ove un certificato qualificato di sigillo elettronico sia conforme a tali norme, specifiche e procedure. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 39 Dispositivi per la creazione di un sigillo elettronico qualificato
1. L’articolo 29 si applica mutatis mutandis ai requisiti per i dispositivi per la creazione di un sigillo elettronico qualificato.
2. L’articolo 30 si applica mutatis mutandis alla certificazione dei dispositivi per la creazione di un sigillo elettronico qualificato.
3. L’articolo 31 si applica mutatis mutandis alla pubblicazione di un elenco di dispositivi per la creazione di un sigillo elettronico qualificato certificati.
Art. 39 bis Requisiti relativi ai servizi qualificati per la gestione di dispositivi qualificati per la creazione di un sigillo elettronico a distanza
L’articolo 29 bis si applica mutatis mutandis ai servizi qualificati per la gestione di dispositivi qualificati per la creazione di un sigillo elettronico a distanza.
Art. 40 Convalida e conservazione dei sigilli elettronici qualificati
Gli articoli 32, 33 e 34 si applicano mutatis mutandis alla convalida e alla conservazione dei sigilli elettronici qualificati.
Art. 40 bis Requisiti per la convalida dei sigilli elettronici avanzati basati su certificati qualificati
L’articolo 32 bis si applica mutatis mutandis alla convalida dei sigilli elettronici avanzati basati su certificati qualificati.
Sezione 6. Validazione temporale elettronica
Art. 41 Effetti giuridici della validazione temporale elettronica
1. Alla validazione temporale elettronica qualificata non possono essere negati gli effetti giuridici e l'ammissibilità come prova in procedimenti giudiziali per il solo motivo della sua forma elettronica o perché non soddisfa i requisiti della validazione temporale elettronica qualificata.
2. Una validazione temporale elettronica qualificata gode della presunzione di accuratezza della data e dell’ora che indica e di integrità dei dati ai quali tale data e ora sono associate.
3.
Art. 42 Requisiti per la validazione temporale elettronica qualificata
1. Una validazione temporale elettronica qualificata soddisfa i requisiti seguenti:
a) collega la data e l’ora ai dati in modo da escludere ragionevolmente la possibilità di modifiche non rilevabili dei dati;
b) si basa su una fonte accurata di misurazione del tempo collegata al tempo universale coordinato; e
c) è apposta mediante una firma elettronica avanzata o sigillata con un sigillo elettronico avanzato del prestatore di servizi fiduciari qualificato o mediante un metodo equivalente.
1 bis. Si presume che i requisiti di cui al paragrafo 1 siano stati rispettati ove il collegamento della data e dell’ora ai dati e l’accuratezza della fonte di misurazione del tempo siano conformi alle norme, alle specifiche e alle procedure di cui al paragrafo 2.
2. Entro il 21 maggio 2025 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili sia al collegamento della data e dell’ora ai dati sia alla determinazione dell’accuratezza delle fonti di misurazione del tempo. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Sezione 7. Servizi elettronici di recapito certificato
Art. 43 Effetti giuridici di un servizio elettronico di recapito certificato
1. Ai dati inviati e ricevuti mediante un servizio elettronico di recapito certificato non sono negati gli effetti giuridici e l’ammissibilità come prova in procedimenti giudiziali per il solo motivo della loro forma elettronica o perché non soddisfano i requisiti del servizio elettronico di recapito certificato qualificato.
2. I dati inviati e ricevuti mediante servizio elettronico di recapito certificato qualificato godono della presunzione di integrità dei dati, dell’invio di tali dati da parte del mittente identificato, della loro ricezione da parte del destinatario identificato e di accuratezza della data e dell’ora dell’invio e della ricezione indicate dal servizio elettronico di recapito certificato qualificato.
Art. 44 Requisiti per i servizi elettronici di recapito certificato qualificati
1.
I servizi elettronici di recapito certificato qualificati soddisfano i requisiti seguenti:
a) sono forniti da uno o più prestatori di servizi fiduciari qualificati;
b) garantiscono con un elevato livello di sicurezza l’identificazione del mittente;
c) garantiscono l’identificazione del destinatario prima della trasmissione dei dati;
d) l’invio e la ricezione dei dati sono garantiti da una firma elettronica avanzata o da un sigillo elettronico avanzato di un prestatore di servizi fiduciari qualificato in modo da escludere la possibilità di modifiche non rilevabili dei dati;
e) qualsiasi modifica ai dati necessaria al fine di inviarli o riceverli è chiaramente indicata al mittente e al destinatario dei dati stessi;
f) la data e l’ora di invio e di ricezione e qualsiasi modifica dei dati sono indicate da una validazione temporale elettronica qualificata.
Qualora i dati siano trasferiti fra due o più prestatori di servizi fiduciari qualificati, i requisiti di cui alle lettere da a) a f) si applicano a tutti i prestatori di servizi fiduciari qualificati.
1 bis. Si presume che i requisiti di cui al paragrafo 1 siano stati rispettati ove il processo di invio e ricezione dei dati sia conforme alle norme, alle specifiche e alle procedure di cui al paragrafo 2.
2. Entro il 21 maggio 2025 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili ai processi di invio e ricezione dei dati. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
2 bis. I fornitori di servizi elettronici di recapito certificato qualificati possono concordare l’interoperabilità tra i servizi elettronici di recapito certificato qualificati che forniscono. Tale quadro di interoperabilità rispetta i requisiti di cui al paragrafo 1 e tale rispetto dei requisiti è confermato da un organismo di valutazione della conformità.
2 ter. La Commissione, mediante atti di esecuzione, può stabilire un elenco di norme di riferimento e, se necessario, può stabilire specifiche e procedure applicabili al quadro di interoperabilità di cui al paragrafo 2 bis del presente articolo. Le specifiche tecniche e il contenuto delle norme sono efficaci sotto il profilo dei costi e proporzionati. Gli atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Sezione 8. Autenticazione dei siti web
Art. 45 Requisiti per i certificati qualificati di autenticazione di siti web
1. I certificati qualificati di autenticazione di siti web rispettano i requisiti di cui all’allegato IV. La valutazione del rispetto di tali requisiti è effettuata conformemente alle norme, alle specifiche e alle procedure di cui al paragrafo 2 del presente articolo.
1 bis. I certificati qualificati di autenticazione di siti web rilasciati conformemente al paragrafo 1 del presente articolo sono riconosciuti dai fornitori di browser web. I fornitori di browser web garantiscono che i dati di identità attestati nel certificato e gli attributi aggiuntivi attestati siano visualizzati in maniera tale da risultare facilmente consultabili. I fornitori di browser web garantiscono il supporto dei certificati qualificati di autenticazione di siti web di cui al paragrafo 1 del presente articolo e l’interoperabilità con gli stessi, a eccezione delle microimprese o piccole imprese quali definite all’articolo 2 dell’allegato alla raccomandazione 2003/361/CE della Commissione nel corso dei loro primi cinque anni di attività come prestatori di servizi di navigazione in rete.
1 ter. I certificati qualificati di autenticazione di siti web non sono soggetti a requisiti obbligatori diversi dai requisiti di cui al paragrafo 1.
2. Entro il 21 maggio 2025 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili ai certificati qualificati di autenticazione di siti web, di cui al paragrafo 1 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 45 bis Misure precauzionali in materia di cibersicurezza
1. I fornitori di browser web non adottano alcuna misura che sia in contrasto con i loro obblighi di cui all’articolo 45, in particolare con gli obblighi di riconoscere i certificati qualificati di autenticazione di siti web e di garantire che i dati di identità forniti siano visualizzati in maniera tale da risultare facilmente consultabili.
2. In deroga al paragrafo 1 e solo in caso di preoccupazioni fondate riguardanti violazioni della sicurezza o la perdita di integrità di un certificato o un insieme di certificati identificati, i fornitori di browser web possono adottare misure precauzionali in relazione a tale certificato o insieme di certificati.
3. Qualora adotti misure precauzionali a norma del paragrafo 2, il fornitore di browser web notifica per iscritto, senza indebito ritardo, le sue preoccupazioni, unitamente a una descrizione delle misure adottate per attenuare tali preoccupazioni, alla Commissione, all’organismo di vigilanza competente, al soggetto al quale è stato rilasciato il certificato e al prestatore di servizi fiduciari qualificato che ha rilasciato tale certificato o insieme di certificati. Al ricevimento di tale notifica, l’organismo di vigilanza competente rilascia un avviso di ricevimento al fornitore di browser web in questione.
4. L’organismo di vigilanza competente indaga sulle questioni sollevate nella notifica conformemente all’articolo 46 ter, paragrafo 4, lettera k). Se l’esito di tale esame non comporta la revoca della qualifica del certificato, l’organismo di vigilanza ne informa il fornitore di browser web e gli chiede di porre fine alle misure precauzionali di cui al paragrafo 2 del presente articolo.
Sezione 9. Attestati elettronici di attributi
Art. 45 ter Effetti giuridici degli attestati elettronici di attributi
1. A un attestato elettronico di attributi non vengono negati gli effetti giuridici né l’ammissibilità come prova in procedimenti giudiziari per il solo motivo della sua forma elettronica o perché non soddisfa i requisiti per gli attestati elettronici qualificati di attributi.
2. Un attestato elettronico di attributi qualificato e gli attestati di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto hanno gli stessi effetti giuridici degli attestati in formato cartaceo rilasciati legalmente.
3. Un attestato di attributi rilasciato da un organismo del settore pubblico responsabile di una fonte autentica in uno Stato membro, o per suo conto, è riconosciuto come un attestato di attributi rilasciato da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto in tutti gli Stati membri.
Art. 45 quater Attestati elettronici di attributi nei servizi pubblici
Qualora il diritto nazionale richieda l’identificazione elettronica mediante un mezzo di identificazione e di autenticazione elettroniche per accedere a un servizio online prestato da un organismo del settore pubblico, i dati di identificazione personale contenuti nell’attestato elettronico di attributi non sostituiscono l’identificazione elettronica mediante mezzi di identificazione e autenticazione elettroniche finalizzati all’identificazione elettronica, a meno che ciò non sia specificamente consentito dallo Stato membro . In tal caso sono accettati anche gli attestati elettronici qualificati di attributi provenienti da altri Stati membri.
Art. 45 quinquies Requisiti per gli attestati elettronici qualificati di attributi
1. Gli attestati elettronici qualificati di attributi rispettano i requisiti di cui all’allegato V.
2. La valutazione del rispetto dei requisiti di cui all’allegato V è effettuata conformemente alle norme, alle specifiche e alle procedure di cui al paragrafo 5 del presente articolo.
3. Gli attestati elettronici qualificati di attributi non sono soggetti a requisiti obbligatori oltre ai requisiti di cui all’allegato V.
4. Qualora un attestato elettronico di attributi qualificato sia stato revocato dopo l’iniziale rilascio, esso decade della propria validità dal momento della revoca e la sua situazione non è ripristinata in nessuna circostanza.
5. Entro il 21 novembre 2024 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili agli attestati elettronici qualificati di attributi. Tali atti di esecuzione sono coerenti con gli atti di esecuzione di cui all’articolo 5 bis, paragrafo 23, relativi all’attuazione del portafoglio europeo di identità digitale. Essi sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 45 sexies Verifica degli attributi rispetto a fonti autentiche
1. Entro 24 mesi dalla data di entrata in vigore degli atti di esecuzione di cui all’articolo 5 bis, paragrafo 23, e all’articolo 5 quater, paragrafo 6, gli Stati membri provvedono affinché, almeno per gli attributi elencati nell’allegato VI, qualora tali attributi facciano affidamento su fonti autentiche all’interno del settore pubblico, siano adottate misure volte a consentire ai prestatori di servizi fiduciari qualificati che forniscono attestati elettronici qualificati di attributi di verificare tali attributi mediante mezzi elettronici, su richiesta dell’utente, conformemente al diritto dell’Unione o nazionale.
2. Entro il 21 novembre 2024, tenendo conto delle pertinenti norme internazionali, la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili al catalogo di attributi, nonché i regimi per gli attestati di attributi e le procedure di verifica degli attestati elettronici qualificati di attributi ai fini del paragrafo 1 del presente articolo. Tali atti di esecuzione sono coerenti con gli atti di esecuzione di cui all’articolo 5 bis, paragrafo 23, relativi all’attuazione del portafoglio europeo di identità digitale. Sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Art. 45 septies Requisiti per gli attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto
1. Un attestato elettronico di attributi rilasciato da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto soddisfa i requisiti seguenti:
a) i requisiti di cui all’allegato VII;
b) il certificato qualificato a supporto della firma elettronica qualificata o del sigillo elettronico qualificato dell’organismo del settore pubblico di cui all’articolo 3, punto 46, identificato come l’emittente di cui all’allegato VII, lettera b), contenente una serie specifica di attributi certificati in una forma adatta al trattamento automatizzato in cui:
i) si indica che l’organismo emittente è stabilito conformemente al diritto dell’Unione o nazionale come il responsabile della fonte autentica in base alla quale è rilasciato l’attestato elettronico di attributi oppure come l’organismo designato ad agire per suo conto;
ii) si fornisce un insieme di dati che rappresenta senza ambiguità la fonte autentica di cui al punto i); e
iii) si individua il diritto dell’Unione o nazionale di cui al punto i).
2. Lo Stato membro in cui sono stabiliti gli organismi del settore pubblico di cui all’articolo 3, punto 46, provvede affinché gli organismi del settore pubblico che rilasciano attestati elettronici di attributi soddisfino un livello di affidabilità e attendibilità equivalente a quello dei prestatori di servizi fiduciari qualificati conformemente all’articolo 24.
3. Gli Stati membri notificano alla Commissione gli organismi del settore pubblico di cui all’articolo 3, punto 46. Tale notifica comprende una relazione di valutazione della conformità rilasciata da un organismo di valutazione della conformità che conferma il rispetto dei requisiti di cui ai paragrafi 1, 2 e 6. La Commissione mette a disposizione del pubblico, attraverso un canale sicuro, l’elenco degli organismi del settore pubblico di cui all’articolo 3, punto 46, in forma firmata o sigillata elettronicamente e adatta al trattamento automatizzato.
4. Qualora un attestato elettronico di attributi rilasciato da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto sia stato revocato dopo l’iniziale rilascio, esso decade della propria validità dal momento della revoca e la sua situazione non è ripristinata.
5. Un attestato elettronico di attributi rilasciato da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto è considerato conforme ai requisiti di cui al paragrafo 1 se è conforme alle norme, alle specifiche e alle procedure di cui al paragrafo 6.
6. Entro 21 novembre 2024 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili agli attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto. Tali atti di esecuzione sono coerenti con gli atti di esecuzione di cui all’articolo 5 bis, paragrafo 23, relativi all’attuazione del portafoglio europeo di identità digitale. Essi sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
7. Entro il 21 novembre 2024 la Commissione, mediante atti di esecuzione, stabilisce un elenco di norme di riferimento e, se necessario, stabilisce specifiche e procedure applicabili ai fini del paragrafo 3 del presente articolo. Tali atti di esecuzione sono coerenti con gli atti di esecuzione di cui all’articolo 5 bis, paragrafo 23, relativi all’attuazione del portafoglio europeo di identità digitale. Essi sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
8. Gli organismi del settore pubblico di cui all’articolo 3, punto 46, che rilasciano un attestato elettronico di attributi forniscono un’interfaccia con i portafogli europei di identità digitale forniti conformemente all’articolo 5 bis.
Art. 45 octies Rilascio di attestati elettronici di attributi ai portafogli europei di identità digitale
1. I fornitori di attestati elettronici di attributi offrono agli utenti dei portafogli europei di identità digitale la possibilità di richiedere, ottenere, conservare e gestire l’attestato elettronico di attributi indipendentemente dallo Stato membro in cui è fornito il portafoglio europeo di identità digitale.
2. I fornitori di attestati elettronici qualificati di attributi forniscono un’interfaccia con i portafogli europei di identità digitale forniti conformemente all’articolo 5 bis.
Art. 45 nonies Norme supplementari per la prestazione di servizi di attestazione elettronica di attributi
1. I prestatori di servizi di attestazione elettronica qualificata e non qualificata di attributi non combinano i dati personali relativi alla prestazione di tali servizi con i dati personali provenienti da qualsiasi altro servizio prestato da loro o dai loro partner commerciali.
2. I dati personali relativi alla prestazione di servizi di attestazione elettronica di attributi sono tenuti logicamente separati dagli altri dati detenuti dal fornitore di attestati elettronici di attributi.
3. I prestatori di servizi di attestazione elettronica qualificata di attributi attuano la prestazione di tali servizi fiduciari qualificati in modo funzionalmente separato dagli altri servizi da essi prestati.
Sezione 10. Servizi di archiviazione elettronica
Art. 45 decies Effetti giuridici dei servizi di archiviazione elettronica
1. Ai dati elettronici e ai documenti elettronici conservati mediante un servizio di archiviazione elettronica non vengono negati gli effetti giuridici né l’ammissibilità come prova in procedimenti giudiziari per il solo motivo della loro forma elettronica o perché non sono conservati mediante un servizio di archiviazione elettronica qualificato.
2. I dati elettronici e i documenti elettronici conservati mediante un servizio di archiviazione elettronica qualificato godono della presunzione della loro integrità e della correttezza della loro origine per la durata del periodo di conservazione da parte del prestatore di servizi fiduciari qualificato.