Regolamento di esecuzione (UE) 2015/1501 della Commissione dell'8 settembre 2015 relativo al quadro di interoperabilità di cui all'articolo 12, paragrafo 8, del regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno (Testo rilevante ai fini del SEE)
Testo vigente
LA COMMISSIONE EUROPEA,
visto il regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014, in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE1, in particolare l'articolo 12, paragrafo 8,
L'articolo 12, paragrafo 2, del regolamento (UE) n. 910/2014 prevede l'istituzione di un quadro di interoperabilità ai fini dell'interoperabilità dei regimi nazionali di identificazione elettronica notificati a norma dell'articolo 9, paragrafo 1, di detto regolamento.
I nodi rivestono un ruolo centrale nell'interconnessione dei regimi di identificazione elettronica degli Stati membri. Il loro contributo è spiegato nella documentazione relativa al meccanismo per collegare l'Europa istituito dal regolamento (UE) n. 1316/2013 del Parlamento europeo e del Consiglio2, che comprende una descrizione delle funzioni e dei componenti del «nodo eIDAS».
Qualora uno Stato membro o la Commissione fornisca un software per consentire l'autenticazione su un nodo gestito in un altro Stato membro, la parte che fornisce e aggiorna il software utilizzato per il meccanismo di autenticazione può concordare con la parte che ospita il software come gestire il funzionamento di tale meccanismo. È opportuno che tale accordo non imponga alla parte ospitante requisiti tecnici o costi sproporzionati (ivi inclusi i costi associati all'assistenza, alle responsabilità e all'hosting e altri costi).
Nella misura in cui l'attuazione del quadro di interoperabilità lo giustifichi, la Commissione può, in cooperazione con gli Stati membri e tenendo conto in particolare dei pareri della rete di cooperazione di cui all'articolo 14, lettera d), della decisione di esecuzione (UE) 2015/296 della Commissione3, elaborare ulteriori specifiche tecniche che forniscano dettagli sui requisiti tecnici definiti nel presente regolamento. Tali specifiche dovrebbero essere elaborate nel quadro delle infrastrutture di servizi digitali di cui al regolamento (UE) n. 1316/2013 che fornisce gli strumenti per l'attuazione concreta di un elemento fondamentale dell'identificazione elettronica.
I requisiti tecnici definiti nel presente regolamento dovrebbero essere applicabili malgrado le eventuali modifiche apportate alle specifiche tecniche che potrebbero essere elaborate a norma dell'articolo 12.
Per stabilire l'organizzazione del quadro di interoperabilità di cui al presente regolamento sono stati tenuti nella massima considerazione sia il progetto pilota su vasta scala STORK, comprese le specifiche da esso elaborate, sia i principi e i concetti del quadro europeo di interoperabilità per i servizi pubblici europei.
Sono stati tenuti nella massima considerazione i risultati della cooperazione tra gli Stati membri.
Le misure di cui al presente regolamento sono conformi al parere del comitato istituito dall'articolo 48 del regolamento (UE) n. 910/2014,
HA ADOTTATO IL PRESENTE REGOLAMENTO:
Art. 1 Oggetto
Il presente regolamento stabilisce i requisiti tecnici e operativi del quadro di interoperabilità al fine di garantire l'interoperabilità dei regimi di identificazione elettronica che gli Stati membri notificano alla Commissione.
Detti requisiti comprendono in particolare:
a) i requisiti tecnici minimi relativi ai livelli di garanzia e alla mappatura dei livelli di garanzia nazionali dei mezzi di identificazione elettronica forniti nell'ambito dei regimi di identificazione elettronica notificati di cui all'articolo 8 del regolamento (UE) n. 910/2014, secondo quanto stabilito agli articoli 3 e 4;
b) i requisiti tecnici minimi per l'interoperabilità, secondo quanto stabilito agli articoli 5 e 8;
c) l'insieme minimo di dati di identificazione personale che rappresentano un'unica persona fisica o giuridica, come stabilito all'articolo 11 e nell'allegato;
d) le norme di sicurezza operativa comuni di cui agli articoli 6, 7, 9 e 10;
e) le disposizioni per la risoluzione delle controversie di cui all'articolo 13.
Art. 2 Definizioni
Ai fini del presente regolamento si intende per:
1) «nodo», il punto di connessione facente parte di un'architettura di interoperabilità dell'identificazione elettronica, che interviene nell'autenticazione transfrontaliera delle persone ed è in grado di riconoscere ed elaborare le trasmissioni o di inoltrarle ad altri nodi attraverso l'abilitazione dell'interfacciamento dell'infrastruttura di identificazione elettronica nazionale di uno Stato membro con le infrastrutture di identificazione elettronica nazionale di altri Stati membri;
2) «operatore di nodo», l'entità responsabile di assicurare che il nodo svolga le sue funzioni di punto di connessione in modo corretto e affidabile.
Art. 3 Requisiti tecnici minimi relativi ai livelli di garanzia
I requisiti tecnici minimi relativi ai livelli di garanzia corrispondono a quelli definiti nel regolamento di esecuzione (UE) 2015/1502 della Commissione4.
Art. 4 Mappatura dei livelli di garanzia nazionali
La mappatura dei livelli di garanzia nazionali dei regimi di identificazione elettronica notificati è conforme ai requisiti stabiliti nel regolamento di esecuzione (UE) 2015/1502. I risultati della mappatura sono comunicati alla Commissione utilizzando il modello di notifica stabilito nella decisione di esecuzione (UE) 2015/1984 della Commissione5 della Commissione.
Art. 5 Nodi
1. Un nodo in uno Stato membro è in grado di connettersi ai nodi di altri Stati membri.
2. I nodi sono in grado di distinguere attraverso mezzi tecnici tra gli organismi del settore pubblico e le altre parti che fanno affidamento sulla certificazione.
3. L'attuazione da parte di uno Stato membro dei requisiti tecnici di cui al presente regolamento non impone agli altri Stati membri requisiti tecnici o costi sproporzionati per poter interoperare con l'attuazione adottata dal primo Stato membro.
Art. 6 Protezione dei dati personali e riservatezza dei dati
1. La tutela della vita privata, la riservatezza dei dati scambiati e il mantenimento dell'integrità dei dati tra i nodi sono assicurati grazie al ricorso alle migliori soluzioni tecniche e prassi di protezione disponibili.
2. I nodi non conservano i dati personali tranne per i fini di cui all'articolo 9, paragrafo 3.
Art. 7 Integrità e autenticità dei dati per la comunicazione
La comunicazione tra i nodi garantisce l'integrità e l'autenticità dei dati al fine di assicurare che tutte le richieste e le risposte siano autentiche e che non siano manomesse. A tal fine, i nodi utilizzano soluzioni già impiegate con successo nel quadro di un uso operativo transfrontaliero.
Art. 8 Formato dei messaggi per la comunicazione
I nodi utilizzano per la sintassi formati di messaggio comuni basati su norme già applicate più volte tra gli Stati membri e di cui è comprovato il funzionamento in ambiente operativo. La sintassi consente:
a) il trattamento corretto dell'insieme minimo di dati di identificazione personale che rappresentano un'unica persona fisica o giuridica;
b) il trattamento corretto del livello di garanzia dei mezzi di identificazione elettronica;
c) la distinzione tra organismi del settore pubblico e altre parti facenti affidamento sulla certificazione;
d) la flessibilità per rispondere all'esigenza di attributi supplementari in relazione all'identificazione.
Art. 9 Gestione delle informazioni relative alla sicurezza e dei metadati
1. L'operatore di nodo comunica i metadati della gestione del nodo secondo modalità standardizzate idonee al trattamento meccanizzato e in modo sicuro e affidabile.
2. Almeno i parametri relativi alla sicurezza sono recuperati automaticamente.
3. L'operatore di nodo conserva i dati che, in caso di incidente, permettano di ricostruire la sequenza dello scambio di messaggi al fine di stabilire il luogo e la natura dell'incidente. I dati sono conservati per il periodo di tempo prescritto dalle disposizioni nazionali e comprendono almeno i seguenti elementi:
a) identificazione del nodo;
b) identificazione del messaggio;
c) data e ora del messaggio.
Art. 10 Norme in materia di garanzia di sicurezza delle informazioni
1. Gli operatori dei nodi che forniscono l'autenticazione provano che, per quanto riguarda i nodi partecipanti al quadro di interoperabilità, il nodo soddisfa i requisiti della norma ISO/CEI 27001 attraverso la certificazione o metodi di valutazione equivalenti ovvero attraverso il rispetto delle norme nazionali.
2. Gli operatori di nodo distribuiscono aggiornamenti critici della sicurezza senza indebiti ritardi.
Art. 11 Dati di identificazione personale
1. Un insieme minimo di dati di identificazione personale che rappresentano un'unica persona fisica o giuridica soddisfa i requisiti elencati nell'allegato ove utilizzato in un contesto transfrontaliero.
2. Un insieme minimo di dati per una persona fisica che rappresenta una persona giuridica contiene la combinazione di attributi elencata nell'allegato per le persone fisiche e le persone giuridiche ove utilizzato in un contesto transfrontaliero.
3. I dati sono trasmessi sulla base dei caratteri originari e, se del caso, sono anche trascritti in caratteri latini.