EIDAS 2014/0910 IT

Allo scopo di garantire il buon funzionamento del mercato interno perseguendo al contempo un adeguato livello di sicurezza dei mezzi di identificazione_elettronica e dei servizi fiduciari, il presente regolamento:

a)	fissa le condizioni a cui gli Stati membri riconoscono i mezzi di identificazione_elettronica delle persone fisiche e giuridiche che rientrano in un regime notificato di identificazione_elettronica di un altro Stato membro,

b)	stabilisce le norme relative ai servizi fiduciari, in particolare per le transazioni elettroniche; e

c)	istituisce un quadro giuridico per le firme elettroniche, i sigilli elettronici, le validazioni temporali elettroniche, i documenti elettronici, i servizi elettronici di recapito certificato e i servizi relativi ai certificati di autenticazione di siti web.

Articolo 6

Riconoscimento reciproco

1. Ove il diritto o la prassi amministrativa nazionale richiedano l’impiego di un’ identificazione_elettronica mediante mezzi di identificazione e autenticazione elettroniche per accedere a un servizio prestato da un organismo_del_settore_pubblico online in uno Stato membro, i mezzi di identificazione_elettronica rilasciati in un altro Stato membro sono riconosciuti nel primo Stato membro ai fini dell’ autenticazione transfrontaliera di tale servizio online, purché soddisfino le seguenti condizioni:

a)	i mezzi di identificazione_elettronica sono rilasciati nell’ambito di un regime di identificazione_elettronica compreso nell’elenco pubblicato dalla Commissione a norma dell’articolo 9;

il livello di garanzia dei mezzi di identificazione_elettronica corrisponde a un livello di garanzia pari o superiore al livello di garanzia richiesto dall’ organismo_del_settore_pubblico competente per accedere al servizio online in questione nel primo Stato membro, sempre che il livello di garanzia di tali mezzi di identificazione_elettronica corrisponda al livello di garanzia significativo o elevato;

c)	l’ organismo_del_settore_pubblico competente usa il livello di garanzia significativo o elevato in relazione all’accesso a tale servizio online.

Tale riconoscimento ha luogo non oltre 12 mesi dalla data in cui la Commissione pubblica l’elenco i di cui alla lettera a), primo comma.

2. Un mezzo di identificazione_elettronica rilasciato nell’ambito di un regime di identificazione_elettronica compreso nell’elenco pubblicato dalla Commissione a norma dell’articolo 9 e che corrisponde al livello di garanzia basso può essere riconosciuto dagli organismi del settore pubblico ai fini dell’ autenticazione transfrontaliera del servizio prestato online da tali organismi.

Articolo 7

Ammissibilità alla notifica dei regimi di identificazione_elettronica

Un regime di identificazione_elettronica è ammesso alla notifica ai sensi dell’articolo 9, paragrafo 1, purché soddisfi tutte le seguenti condizioni:

i mezzi di identificazione_elettronica nell’ambito del regime di identificazione_elettronica sono rilasciati:

i)	dallo Stato membro notificante;

ii)	su incarico dello Stato membro notificante; o

iii)	a titolo indipendente dallo Stato membro notificante e sono riconosciuti da tale Stato membro;

b)	i mezzi di identificazione_elettronica nell’ambito del regime di identificazione_elettronica possono essere utilizzati per accedere almeno a un servizio che è fornito da un organismo_del_settore_pubblico e che richiede l’ identificazione_elettronica nello Stato membro notificante;

c)	il regime di identificazione_elettronica e i mezzi di identificazione_elettronica rilasciati conformemente alle sue disposizioni soddisfano i requisiti di almeno uno dei livelli di garanzia stabiliti nell’atto di esecuzione di cui all’articolo 8, paragrafo 3;

lo Stato membro notificante garantisce che i dati_di_identificazione_personale che rappresentano unicamente la persona in questione siano attribuiti, conformemente alle specifiche tecniche, norme e procedure relative al pertinente livello di garanzia definito nell’atto di esecuzione di cui all’articolo 8, paragrafo 3, alla persona fisica o giuridica di cui all’articolo 3, punto 1, al momento in cui è rilasciata l’ identificazione_elettronica nell’ambito di detto regime;

la parte che rilascia i mezzi di identificazione_elettronica nell’ambito di detto regime assicura che i mezzi di identificazione_elettronica siano attribuiti alla persona di cui alla lettera d) del presente articolo conformemente alle specifiche, norme e procedure tecniche relative al pertinente livello di garanzia definito nnell’atto di esecuzione di cui all’articolo 8, paragrafo 3;

lo Stato membro notificante garantisce la disponibilità dell’ autenticazione online, per consentire alle parti facenti affidamento sulla certificazione stabilite nel territorio di un altro Stato membro di confermare i dati_di_identificazione_personale che hanno ricevuto in forma elettronica.

Per le parti facenti affidamento sulla certificazione diverse dagli organismi del settore pubblico, lo Stato membro notificante può definire i termini di accesso a tale autenticazione. Quando l’ autenticazione transfrontaliera è effettuata in relazione a un servizio online prestato da un organismo_del_settore_pubblico, essa è fornita a titolo gratuito.

Gli Stati membri non impongono alcun requisito tecnico specifico sproporzionato alle parti facenti affidamento sulla certificazione che intendono effettuare tale autenticazione, qualora tali requisiti impediscano o ostacolino notevolmente l’interoperabilità dei regimi di identificazione_elettronica notificati;

almeno sei mesi prima della notifica di cui all’articolo 9, paragrafo 1, lo Stato membro notificante fornisce agli altri Stati membri, ai fini dell’obbligo previsto dall’articolo 12, paragrafo 5, una descrizione di detto regime conformemente alle modalità procedurali stabilite dagli atti di esecuzione di cui all’articolo 12, paragrafo 7;

h)	il regime di identificazione_elettronica soddisfa i requisiti definiti nell’atto di esecuzione di cui all’articolo 12, paragrafo 8.

Articolo 8

Livelli di garanzia dei regimi di identificazione_elettronica

1. Un regime di identificazione_elettronica notificato a norma dell’articolo 9, paragrafo 1, specifica livelli di garanzia basso, significativo e/o elevato per i mezzi di identificazione_elettronica rilasciati nell’ambito di detto regime.

2. I livelli di garanzia basso, significativo e elevato soddisfano rispettivamente i seguenti criteri:

il livello di garanzia basso si riferisce a mezzi di identificazione_elettronica nel contesto di un regime di identificazione_elettronica che fornisce un grado di sicurezza limitato riguardo all’identità pretesa o dichiarata di una persona ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di ridurre il rischio di uso abusivo o alterazione dell’identità;

il livello di garanzia significativo si riferisce a mezzi di identificazione_elettronica nel contesto di un regime di identificazione_elettronica che fornisce un grado di sicurezza significativo riguardo all’identità pretesa o dichiarata di una persona ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di ridurre significativamente il rischio di uso abusivo o alterazione dell’identità;

il livello di garanzia elevato si riferisce a un mezzo di identificazione_elettronica nel contesto di un regime di identificazione_elettronica che fornisce riguardo all’identità pretesa o dichiarata di una persona un grado di sicurezza più elevato dei mezzi di identificazione_elettronica aventi un livello di garanzia significativo ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di impedire l’uso abusivo o l’alterazione dell’identità.

3. Entro il 18 settembre 2015, tenendo conto delle norme internazionali pertinenti e fatto salvo il paragrafo 2, la Commissione, mediante atti di esecuzione, definisce le specifiche, norme e procedure tecniche minime in riferimento alle quali sono specificati i livelli di garanzia basso, significativo e elevato dei mezzi di identificazione_elettronica ai fini del paragrafo 1.

Le suddette specifiche, norme e procedure tecniche minime sono fissate facendo riferimento all’affidabilità e alla qualità dei seguenti elementi:

a)	della procedura di controllo e verifica dell’identità delle persone fisiche o giuridiche che chiedono il rilascio dei mezzi di identificazione_elettronica;

b)	della procedura di rilascio dei mezzi di identificazione_elettronica richiesti;

c)	del meccanismo di autenticazione mediante il quale la persona fisica o giuridica usa i mezzi di identificazione_elettronica per confermare la propria identità a una parte_facente_affidamento_sulla_certificazione;

d)	dell’entità che rilascia i mezzi di identificazione_elettronica;

e)	di qualsiasi altro organismo implicato nella domanda di rilascio dei mezzi di identificazione_elettronica; e

f)	delle specifiche tecniche e di sicurezza dei mezzi di identificazione_elettronica rilasciati.

Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.

Articolo 12

Cooperazione e interoperabilità

1. I regimi nazionali di identificazione_elettronica notificati a norma dell’articolo 9, paragrafo 1, sono interoperabili.

2. È istituito un quadro di interoperabilità ai fini del paragrafo 1.

3. Il quadro di interoperabilità risponde ai seguenti criteri:

a)	mira a essere neutrale dal punto di vista tecnologico e non comporta discriminazioni tra specifiche soluzioni tecniche nazionali per l’ identificazione_elettronica all’interno di uno Stato membro;

b)	segue, ove possibile, le norme europee e internazionali;

c)	facilita l’applicazione del principio della tutela della vita privata fin dalla progettazione (privacy by design); e

d)	garantisce che i dati personali siano trattati a norma della direttiva 95/46/CE.

4. Il quadro di interoperabilità è composto da:

a)	un riferimento ai requisiti tecnici minimi connessi ai livelli di garanzia di cui all’articolo 8;

b)	una mappatura dei livelli di garanzia nazionali dei regimi di identificazione_elettronica notificati in base ai livelli di garanzia di cui all’articolo 8;

c)	un riferimento ai requisiti tecnici minimi di interoperabilità;

d)	un riferimento a un insieme minimo di dati_di_identificazione_personale che rappresentano un’unica persona fisica o giuridica, disponibile nell’ambito dei regimi di identificazione_elettronica;

e)	norme di procedura;

f)	disposizioni per la risoluzione delle controversie; e

g)	norme di sicurezza operativa comuni.

5. Gli Stati membri cooperano per quanto riguarda:

a)	l’interoperabilità dei regimi di identificazione_elettronica notificati ai sensi dell’articolo 9, paragrafo 1, e dei regimi di identificazione_elettronica che gli Stati membri intendono notificare; e

b)	la sicurezza dei regimi di identificazione_elettronica.

6. La cooperazione fra gli Stati membri riguarda:

a)	lo scambio di informazioni, esperienze e buone prassi per quanto riguarda i regimi di identificazione_elettronica e, in particolare, i requisiti tecnici connessi all’interoperabilità e ai livelli di garanzia;

b)	lo scambio di informazioni, esperienze e buone prassi per quanto riguarda i metodi di lavoro con i livelli di garanzia dei regimi di identificazione_elettronica di cui all’articolo 8;

c)	la valutazione tra pari dei regimi di identificazione_elettronica che rientrano nel presente regolamento; e

d)	l’esame degli sviluppi pertinenti nel settore dell’ identificazione_elettronica.

7. Entro il 18 marzo 2015, la Commissione, mediante atti di esecuzione, fissa le modalità procedurali necessarie per facilitare la collaborazione fra gli Stati membri di cui ai paragrafi 5 e 6, al fine di promuovere un elevato livello di fiducia e di sicurezza, commisurato al grado di rischio esistente.

8. Entro il 18 settembre 2015, al fine di garantire condizioni uniformi di esecuzione del requisito di cui al paragrafo 1, la Commissione, fatti salvi i criteri di cui al paragrafo 3 e tenendo conto dei risultati della cooperazione fra gli Stati membri, adotta atti di esecuzione sul quadro di interoperabilità quale definito al paragrafo 4.

9. Gli atti di esecuzione di cui a paragrafi 7 e 8 sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.

CAPO III

SERVIZI FIDUCIARI

SEZIONE 1

Disposizioni generali

Articolo 19

Requisiti di sicurezza relativi ai prestatori di servizi fiduciari

1. I prestatori di servizi fiduciari qualificati e non qualificati adottano le misure tecniche e organizzative appropriate per gestire i rischi legati alla sicurezza dei servizi fiduciari da essi prestati. Tenuto conto degli ultimi sviluppi tecnologici, tali misure assicurano un livello di sicurezza commisurato al grado di rischio esistente. In particolare, sono adottate misure per prevenire e minimizzare l’impatto degli incidenti di sicurezza e informare le parti interessate degli effetti negativi di eventuali incidenti.

2. Senza indugio ma in ogni caso entro 24 ore dall’esserne venuti a conoscenza, i prestatori di servizi fiduciari qualificati e non qualificati notificano all’organismo di vigilanza e, ove applicabile, ad altri organismi interessati, quali l’ente nazionale competente per la sicurezza delle informazioni o l’autorità di protezione dei dati, tutte le violazioni della sicurezza o le perdite di integrità che abbiano un impatto significativo sui servizi fiduciari prestati o sui dati personali ivi custoditi.

Qualora sia probabile che la violazione della sicurezza o la perdita di integrità abbia effetti negativi su una persona fisica o giuridica a cui è stato prestato il servizio_fiduciario, il prestatore_di_servizi_fiduciari notifica senza indugio anche alla persona fisica o giuridica la violazione di sicurezza o la perdita di integrità.

Ove appropriato, in particolare qualora la violazione di sicurezza o la perdita di integrità riguardi due o più Stati membri, l’organismo di vigilanza notificato ne informa gli organismi di vigilanza negli altri Stati membri interessati e l’ENISA.

L’organismo di vigilanza notificato informa il pubblico o impone al prestatore_di_servizi_fiduciari di farlo, ove accerti che la divulgazione della violazione della sicurezza o della perdita di integrità sia nell’interesse pubblico.

3. L’organismo di vigilanza trasmette all’ENISA, una volta all’anno, una sintesi delle notifiche di violazione di sicurezza e perdita di integrità pervenute dai prestatori di servizi fiduciari.

4. La Commissione può, mediante atti di esecuzione:

a)	specificare ulteriormente le misure di cui al paragrafo 1; e

b)	definire i formati e le procedure, comprese le scadenze, applicabili ai fini del paragrafo 2.

Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.

SEZIONE 3

Servizi fiduciari qualificati

Articolo 24

Requisiti per i prestatori di servizi fiduciari qualificati

1. Allorché rilascia un certificato qualificato per un servizio_fiduciario, un prestatore_di_servizi_fiduciari qualificato verifica, mediante mezzi appropriati e conformemente al diritto nazionale, l’identità e, se del caso, eventuali attributi specifici della persona fisica o giuridica a cui il certificato qualificato è rilasciato.

Le informazioni di cui al primo comma sono verificate dal prestatore_di_servizi_fiduciari qualificato direttamente o ricorrendo a un terzo conformemente al diritto nazionale:

a)	mediante la presenza concreta della persona fisica o di un rappresentante autorizzato della persona giuridica; o

a distanza, mediante mezzi di identificazione_elettronica, con cui prima del rilascio del certificato qualificato è stata garantita una presenza concreta della persona fisica o di un rappresentante autorizzato della persona giuridica e che soddisfano i requisiti fissati all’articolo 8 riguardo ai livelli di garanzia «significativo» o «elevato»; o

c)	mediante un certificato di una firma_elettronica qualificata o di un sigillo_elettronico qualificato rilasciato a norma della lettera a) o b); o

d)	mediante altri metodi di identificazione riconosciuti a livello nazionale che forniscono una garanzia equivalente sotto il profilo dell’afffidabilità alla presenza fisica. La garanzia equivalente è confermata da un organismo_di_valutazione_della_conformità.

2. Un prestatore_di_servizi_fiduciari qualificato che presta servizi fiduciari qualificati:

a)	informa l’organismo di vigilanza di eventuali cambiamenti nella prestazione dei propri servizi fiduciari qualificati e dell’intenzione di cessare tali attività;

impiega personale e, ove applicabile, subcontraenti dotati delle competenze, dell’affidabilità, dell’esperienza e delle qualifiche necessarie e che hanno ricevuto una formazione adeguata in materia di norme di sicurezza e di protezione dei dati personali e applica procedure amministrative e gestionali, che corrispondono a norme europee o internazionali;

c)	riguardo alla responsabilità civile per danni a norma dell’articolo 13, mantiene risorse finanziarie adeguate e/o si procura un’assicurazione di responsabilità civile appropriata, conformemente al diritto nazionale;

d)	prima di avviare una relazione contrattuale informa, in modo chiaro e completo, chiunque intenda utilizzare un servizio_fiduciario qualificato dei termini e delle condizioni esatte per l’utilizzo di tale servizio, comprese eventuali limitazioni del suo utilizzo;

e)	utilizza sistemi affidabili e prodotti protetti da alterazioni e che garantiscono la sicurezza tecnica e l’affidabilità dei processi che assicurano;

utilizza sistemi affidabili per memorizzare i dati a esso forniti, in modo verificabile, affinché:

i)	siano accessibili alla consultazione del pubblico soltanto con il consenso della persona a cui i dati fanno riferimento;

ii)	soltanto le persone autorizzate possano effettuare inserimenti e modifiche ai dati memorizzati;

iii)	l’autenticità dei dati sia verificabile;

g)	adotta misure adeguate contro le falsificazioni e i furti di dati;

registra e mantiene accessibili per un congruo periodo di tempo, anche dopo la cessazione delle attività del prestatore_di_servizi_fiduciari qualificato, tutte le informazioni pertinenti relative a dati rilasciati e ricevuti dal prestatore_di_servizi_fiduciari qualificato, in particolare a fini di produzione di prove nell’ambito di procedimenti giudiziali e per assicurare la continuità del servizio. Tali registrazioni possono essere elettroniche;

i)	dispone di un piano di cessazione delle attività aggiornato per garantire la continuità del servizio conformemente alle disposizioni verificate dall’organismo di vigilanza a norma dell’articolo 17, paragrafo 4, lettera i);

j)	garantisce il trattamento lecito dei dati personali a norma della direttiva 95/46/CE;

k)	se i prestatori di servizi fiduciari qualificati che rilasciano certificati qualificati, istituiscono una banca dati dei certificati aggiornata.

3. Se un prestatore_di_servizi_fiduciari qualificato che rilascia certificati qualificati decide di revocare un certificato, registra tale revoca nella propria banca dati dei certificati e pubblica la situazione di revoca del certificato tempestivamente e, in ogni caso, entro 24 ore dal ricevimento della richiesta. La revoca diventa immediatamente effettiva all’atto della pubblicazione.

4. In considerazione del paragrafo 3, i prestatori di servizi fiduciari qualificati che rilasciano certificati qualificati trasmettono alle parti facenti affidamento sulla certificazione informazioni sulla situazione di validità o revoca dei certificati qualificati da essi rilasciati. Queste informazioni sono rese disponibili almeno per ogni certificato rilasciato in qualsiasi momento e oltre il periodo di validità del certificato, in modo automatizzato, affidabile, gratuito ed efficiente.

5. La Commissione può, mediante atti di esecuzione, stabilire i numeri di riferimento delle norme applicabili ai sistemi e prodotti affidabili, che soddisfano i requisiti di cui al paragrafo 2, lettere e) ed f), del presente articolo. Si presume che i requisiti di cui al presente articolo siano stati rispettati ove i sistemi e i prodotti affidabili adempiano a tali norme. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.

SEZIONE 4

Firme elettroniche

Articolo 26

Requisiti di una firma_elettronica avanzata

Una firma_elettronica avanzata soddisfa i seguenti requisiti:

a)	è connessa unicamente al firmatario;

b)	è idonea a identificare il firmatario;

c)	è creata mediante dati per la creazione di una firma_elettronica che il firmatario può, con un elevato livello di sicurezza, utilizzare sotto il proprio esclusivo controllo; e

d)	è collegata ai dati sottoscritti in modo da consentire l’identificazione di ogni successiva modifica di tali dati.

Articolo 27

Firme elettroniche nei servizi pubblici

1. Se uno Stato membro richiede una firma_elettronica avanzata per utilizzare i servizi online offerti da un organismo_del_settore_pubblico, o per suo conto, tale Stato membro riconosce le firme elettroniche avanzate, le firme elettroniche avanzate basate su un certificato qualificato di firma_elettronica e le firme elettroniche qualificate che almeno siano nei formati o utilizzino i metodi definiti negli atti di esecuzione di cui al paragrafo 5.

2. Se uno Stato membro richiede una firma_elettronica avanzata basata su un certificato qualificato per utilizzare i servizi online offerti da un organismo_del_settore_pubblico, o per suo conto, tale Stato membro riconosce le firme elettroniche avanzate basate su un certificato qualificato e le firme elettroniche qualificate che almeno siano nei formati o utilizzino i metodi definiti negli atti di esecuzione di cui al paragrafo 5.

3. Gli Stati membri non richiedono, per un utilizzo transfrontaliero in un servizio online offerto da un organismo_del_settore_pubblico, una firma_elettronica dotata di un livello di garanzia di sicurezza più elevato di quello della firma_elettronica qualificata.

4. La Commissione può, mediante atti di esecuzione, stabilire i numeri di riferimento delle norme applicabili alle firme elettroniche avanzate. Si presume che i requisiti per le firme elettroniche avanzate di cui ai paragrafi 1 e 2 del presente articolo e all’articolo 26, siano rispettati ove una firma_elettronica avanzata soddisfi dette norme. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.

5. Entro il 18 settembre 2015, e tenendo conto delle prassi, delle norme e degli atti giuridici dell’Unione vigenti, la Commissione, mediante atti di esecuzione, definisce i formati di riferimento delle firme elettroniche avanzate o i metodi di riferimento nel caso in cui siano utilizzati formati alternativi. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.

Articolo 36

Requisiti dei sigilli elettronici avanzati

Un sigillo_elettronico avanzato soddisfa i seguenti requisiti:

a)	è connesso unicamente al creatore del sigillo;

b)	è idoneo a identificare il creatore del sigillo;

c)	è creato mediante dati per la creazione di un sigillo_elettronico che il creatore del sigillo_elettronico può, con un elevato livello di sicurezza, usare sotto il proprio controllo per creare sigilli elettronici; e

d)	è collegato ai dati cui si riferisce in modo da consentire l’identificazione di ogni successiva modifica di detti dati.

Articolo 37

Sigilli elettronici nei servizi pubblici

1. Se uno Stato membro richiede un sigillo_elettronico avanzato per poter utilizzare i servizi online offerti da un organismo_del_settore_pubblico, o per suo conto, tale Stato membro riconosce i sigilli elettronici avanzati, i sigilli elettronici avanzati basati su un certificato qualificato di sigillo_elettronico e i sigilli elettronici qualificati che almeno siano nei formati o utilizzino i metodi definiti negli atti di esecuzione di cui al paragrafo 5.

2. Se uno Stato membro richiede un sigillo_elettronico avanzato basato su un certificato qualificato per poter utilizzare i servizi online offerti da un organismo_del_settore_pubblico, o per suo conto, tale Stato membro riconosce i sigilli elettronici avanzati basati su un certificato qualificato e i sigilli elettronici qualificati che almeno siano nei formati o utilizzino i metodi definiti negli atti di esecuzione di cui al paragrafo 5.

3. Gli Stati membri non richiedono, per l’utilizzo transfrontaliero in un servizio online offerto da un organismo_del_settore_pubblico, un sigillo_elettronico dotato di un livello di garanzia di sicurezza più elevato di quello del sigillo_elettronico qualificato.

4. La Commissione può, mediante atti di esecuzione, stabilire i numeri di riferimento delle norme applicabili ai sigilli elettronici avanzati. Si presume che i requisiti per i sigilli elettronici avanzati di cui ai paragrafi 1 e 2 del presente articolo e all’articolo 36 siano rispettati ove un sigillo_elettronico avanzato soddisfi dette norme. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.

5. Entro il 18 settembre 2015, e tenendo conto delle prassi, delle norme e degli atti giuridici dell’Unione vigenti, la Commissione, mediante atti di esecuzione, definisce i formati di riferimento dei sigilli elettronici avanzati o i metodi di riferimento nel caso in cui siano utilizzati formati alternativi. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.

Articolo 44

Requisiti per i servizi elettronici di recapito certificato qualificati

1. I servizi elettronici di recapito certificato qualificati soddisfano i requisiti seguenti:

a)	sono forniti da uno o più prestatori di servizi fiduciari qualificati;

b)	garantiscono con un elevato livello di sicurezza l’identificazione del mittente;

c)	garantiscono l’identificazione del destinatario prima della trasmissione dei dati;

d)	l’invio e la ricezione dei dati sono garantiti da una firma_elettronica avanzata o da un sigillo_elettronico avanzato di un prestatore_di_servizi_fiduciari qualificato in modo da escludere la possibilità di modifiche non rilevabili dei dati;

e)	qualsiasi modifica ai dati necessaria al fine di inviarli o riceverli è chiaramente indicata al mittente e al destinatario dei dati stessi;

f)	la data e l’ora di invio e di ricezione e qualsiasi modifica dei dati sono indicate da una validazione_temporale_elettronica qualificata.

Qualora i dati siano trasferiti fra due o più prestatori di servizi fiduciari qualificati, i requisiti di cui alle lettere da a) a f) si applicano a tutti i prestatori di servizi fiduciari qualificati.

2. La Commissione può, mediante atti di esecuzione, stabilire i numeri di riferimento delle norme applicabili ai processi di invio e ricezione dei dati. Si presume che i requisiti di cui al paragrafo 1 siano stati rispettati ove il processo di invio e ricezione dei dati risponda a tali norme. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.

SEZIONE 8

Autenticazione dei siti web

Articolo 52

Entrata in vigore

1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

2. Il presente regolamento si applica a decorrere dal 1o luglio 2016, a eccezione delle seguenti disposizioni:

articolo 8, paragrafo 3, articolo 9, paragrafo 5, articolo 12, paragrafi da 2 a 9, articolo 17, paragrafo 8, articolo 19, paragrafo 4, articolo 20, paragrafo 4, articolo 21, paragrafo 4, articolo 22, paragrafo 5, articolo 23, paragrafo 3, articolo 24, paragrafo 5, articolo 27, paragrafi 4 e 5, articolo 28, paragrafo 6, articolo 29, paragrafo 2, articolo 30, paragrafi 3 e 4, articolo 31, paragrafo 3, articolo 32, paragrafo 3, articolo 33, paragrafo 2, articolo 34, paragrafo 2, articolo 37, paragrafi 4 e 5, articolo 38, paragrafo 6, articolo 42, paragrafo 2, articolo 44, paragrafo 2, articolo 45, paragrafo 2, articolo 47 e articolo 48, che si applicano dal 17 settembre 2014;

b)	l’articolo 7, l’articolo 8, paragrafi 1 e 2, gli articoli 9, 10, 11 e l’articolo 12, paragrafo 1, si applicano a decorrere dalla data di applicazione degli atti di esecuzione di cui all’articolo 8, paragrafo 3, e all’articolo 12, paragrafo 8;

c)	l’articolo 6 si applica a decorrere da tre anni dalla data di applicazione degli atti di esecuzione di cui all’articolo 8, paragrafo 3, e all’articolo 12, paragrafo 8.

3. Quando il regime di identificazione_elettronica notificato è compreso nell’elenco pubblicato dalla Commissione ai sensi dell’articolo 9 prima della data di cui al paragrafo 2, lettera c), del presente articolo, il riconoscimento dei mezzi di identificazione_elettronica in virtù di tale regime ai sensi dell’articolo 6 ha luogo non oltre 12 mesi dopo la pubblicazione di detto regime ma non prima della data di cui al paragrafo 2, lettera c), del presente articolo.

4. Nonostante il paragrafo 2, lettera c), del presente articolo, uno Stato membro può decidere che i mezzi di identificazione_elettronica a norma del regime di identificazione_elettronica notificato ai sensi dell’articolo 9, paragrafo 1, da un altro Stato membro, siano riconosciuti nel primo Stato membro a decorrere dalla data di pubblicazione degli atti di esecuzione di cui agli articoli 8, paragrafo 3, e 12, paragrafo 8. Gli Stati membri interessati ne informano la Commissione. La Commissione rende pubbliche tali informazioni.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 23 luglio 2014

Per il Parlamento europeo

Il presidente

M. SCHULZ

Per il Consiglio

Il presidente

S. GOZI

(1) GU C 351 del 15.11.2012, pag. 73.

(2) Posizione del Parlamento europeo del 3 aprile 2014 (non ancora pubblicata nella Gazzetta ufficiale) e decisione del Consiglio del 23 luglio 2014.

(3) Direttiva 1999/93/CE del Parlamento europeo e del Consiglio, del 13 dicembre 1999, relativa a un quadro comunitario per le firme elettroniche (GU L 13 del 19.1.2000, pag. 12).

(4) GU C 50 E del 21.2.2012, pag. 1.

(5) Direttiva 2006/123/CE del Parlamento europeo e del Consiglio, del 12 dicembre 2006, relativa ai servizi nel mercato interno (GU L 376 del 27.12.2006, pag. 36).

(6) Direttiva 2011/24/UE del Parlamento europeo e del Consiglio, del 9 marzo 2011, concernente l’applicazione dei diritti dei pazienti relativi all’assistenza sanitaria transfrontaliera (GU L 88 del 4.4.2011, pag. 45).

(7) Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281 del 23.11.1995, pag. 31).

(8) Decisione 2010/48/CE del Consiglio, del 26 novembre 2009, relativa alla conclusione, da parte della Comunità europea, della convenzione delle Nazioni Unite sui diritti delle persone con disabilità (GU L 23 del 27.1.2010, pag. 35).

(9) Regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio, del 9 luglio 2008, che pone norme in materia di accreditamento e vigilanza del mercato per quanto riguarda la commercializzazione dei prodotti e che abroga il regolamento (CEE) n. 339/93 (GU L 218 del 13.8.2008, pag. 30).

(10) Decisione 2009/767/CE della Commissione, del 16 ottobre 2009, che stabilisce misure per facilitare l’uso di procedure per via elettronica mediante gli «sportelli unici» di cui alla direttiva 2006/123/CE del Parlamento europeo e del Consiglio relativa ai servizi nel mercato interno (GU L 274 del 20.10.2009, pag. 36).

(11) Decisione 2011/130/UE della Commissione, del 25 febbraio 2011, che istituisce requisiti minimi per il trattamento transfrontaliero dei documenti firmati elettronicamente dalle autorità competenti a norma della direttiva 2006/123/CE del Parlamento europeo e del Consiglio relativa ai servizi nel mercato interno (GU L 53 del 26.2.2011, pag. 66).

(12) Regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio, del 16 febbraio 2011, che stabilisce le regole e i principi generali relativi alle modalità di controllo da parte degli Stati membri dell’esercizio delle competenze di esecuzione attribuite alla Commissione (GU L 55 del 28.2.2011, pag. 13).

(13) Regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati (GU L 8 del 12.1.2001, pag. 1).

(14) GU C 28 del 30.1.2013, pag. 6.

(15) Direttiva 2014/24/UE del Parlamento europeo e del Consiglio, del 26 febbraio 2014, sugli appalti pubblici e che abroga la direttiva 2004/18/CE (GU L 94 del 28.3.2014, pag. 65).

ALLEGATO I

REQUISITI PER I CERTIFICATI QUALIFICATI DI FIRMA ELETTRONICA

I certificati qualificati di firma_elettronica contengono:

a)	un’indicazione, almeno in una forma adatta al trattamento automatizzato, del fatto che il certificato è stato rilasciato quale certificato qualificato di firma_elettronica;

un insieme di dati che rappresenta in modo univoco il prestatore_di_servizi_fiduciari qualificato che rilascia i certificati qualificati e include almeno lo Stato membro in cui tale prestatore è stabilito e

—	per una persona giuridica: il nome e, se del caso, il numero di registrazione quali figurano nei documenti ufficiali,

—	per una persona fisica: il nome della persona;

c)	è chiaramente indicato almeno il nome del firmatario, o uno pseudonimo, qualora sia usato uno pseudonimo;

d)	i dati_di_ convalida della firma_elettronica che corrispondono ai dati per la creazione di una firma_elettronica;

e)	l’indicazione dell’inizio e della fine del periodo di validità del certificato;

f)	il codice di identità del certificato che deve essere unico per il prestatore_di_servizi_fiduciari qualificato;

g)	la firma_elettronica avanzata o il sigillo_elettronico avanzato del prestatore_di_servizi_fiduciari qualificato che rilascia il certificato;

h)	il luogo in cui il certificato relativo alla firma_elettronica avanzata o al sigillo_elettronico avanzato di cui alla lettera g) è disponibile gratuitamente;

i)	l’ubicazione dei servizi a cui ci si può rivolgere per informarsi sulla validità del certificato qualificato;

j)	qualora i dati per la creazione di una firma_elettronica connessi ai dati_di_ convalida della firma_elettronica siano ubicati in un dispositivo per la creazione di una firma_elettronica qualificata, un’indicazione appropriata di questo fatto, almeno in una forma adatta al trattamento automatizzato.

ALLEGATO II

REQUISITI PER I DISPOSITIVI PER LA CREAZIONE DI UNA FIRMA ELETTRONICA QUALIFICATA

I dispositivi per la creazione di una firma_elettronica qualificata garantiscono, mediante mezzi tecnici e procedurali appropriati, almeno quanto segue:

a)	è ragionevolmente assicurata la riservatezza dei dati per la creazione di una firma_elettronica utilizzati per creare una firma_elettronica;

b)	i dati per la creazione di una firma_elettronica utilizzati per creare una firma_elettronica possono comparire in pratica una sola volta;

c)	i dati per la creazione di una firma_elettronica utilizzati per creare una firma_elettronica non possono, con un grado ragionevole di sicurezza, essere derivati e la firma_elettronica è attendibilmente protetta da contraffazioni compiute con l’impiego di tecnologie attualmente disponibili;

d)	i dati per la creazione di una firma_elettronica utilizzati nella creazione della stessa possono essere attendibilmente protetti dal firmatario legittimo contro l’uso da parte di terzi.

I dispositivi per la creazione di una firma_elettronica qualificata non alterano i dati da firmare né impediscono che tali dati siano presentati al firmatario prima della firma.

La generazione o la gestione dei dati per la creazione di una firma_elettronica per conto del firmatario può essere effettuata solo da un prestatore_di_servizi_fiduciari qualificato.

Fatto salvo il punto 1, lettera d), i prestatori di servizi fiduciari qualificati che gestiscono dati per la creazione di una firma_elettronica per conto del firmatario possono duplicare i dati per la creazione di una firma_elettronica solo a fini di back-up, purché rispettino i seguenti requisiti:

a)	la sicurezza degli insiemi di dati duplicati deve essere dello stesso livello della sicurezza degli insiemi di dati originali;

b)	il numero di insiemi di dati duplicati non eccede il minimo necessario per garantire la continuità del servizio.

ALLEGATO III

REQUISITI PER I CERTIFICATI QUALIFICATI DEI SIGILLI ELETTRONICI

I certificati qualificati dei sigilli elettronici contengono:

a)	un’indicazione, almeno in una forma adatta al trattamento automatizzato, del fatto che il certificato è stato rilasciato quale certificato qualificato di sigillo_elettronico;

—	per una persona giuridica: il nome e, se del caso, il numero di registrazione quali appaiono nei documenti ufficiali,

—	per una persona fisica: il nome della persona;

c)	almeno il nome del creatore del sigillo e, se del caso, il numero di registrazione quali appaiono nei documenti ufficiali;

d)	i dati_di_ convalida del sigillo_elettronico che corrispondono ai dati per la creazione di un sigillo_elettronico;

e)	l’indicazione dell’inizio e della fine del periodo di validità del certificato;

f)	il codice di identità del certificato che deve essere unico per il prestatore_di_servizi_fiduciari qualificato;

g)	la firma_elettronica avanzata o il sigillo_elettronico avanzato del prestatore_di_servizi_fiduciari qualificato che rilascia il certificato;

h)	il luogo in cui il certificato relativo alla firma_elettronica avanzata o al sigillo_elettronico avanzato di cui alla lettera g) è disponibile gratuitamente;

i)	l’ubicazione dei servizi a cui ci si può rivolgere per informarsi sulla validità del certificato qualificato;

qualora i dati per la creazione di un sigillo_elettronico connessi ai dati_di_ convalida del sigillo_elettronico siano ubicati in un dispositivo per la creazione di un sigillo_elettronico qualificato, un’indicazione appropriata di questo fatto, almeno in una forma adatta al trattamento automatizzato.

ALLEGATO IV

REQUISITI PER I CERTIFICATI QUALIFICATI DI AUTENTICAZIONE DI SITI WEB

I certificati qualificati di autenticazione di siti web contengono:

a)	un’indicazione, almeno in una forma adatta al trattamento automatizzato, del fatto che il certificato è stato rilasciato quale certificato qualificato di autenticazione di sito web;

—	per una persona giuridica: il nome e, se del caso, il numero di registrazione quali appaiono nei documenti ufficiali,

—	per una persona fisica: il nome della persona;

per le persone fisiche: almeno il nome della persona a cui è stato rilasciato il certificato, o uno pseudonimo. Qualora sia usato uno pseudonimo, ciò è chiaramente indicato;

per le persone giuridiche: almeno il nome della persona giuridica cui è stato rilasciato il certificato e, se del caso, il numero di registrazione quali appaiono nei documenti ufficiali;

d)	elementi dell’indirizzo, fra cui almeno la città e lo Stato, della persona fisica o giuridica cui è rilasciato il certificato e, se del caso, quali appaiono nei documenti ufficiali;

e)	il nome del dominio o dei domini gestiti dalla persona fisica o giuridica cui è rilasciato il certificato;

f)	l’indicazione dell’inizio e della fine del periodo di validità del certificato;

g)	il codice di identità del certificato che deve essere unico per il prestatore_di_servizi_fiduciari qualificato;

h)	la firma_elettronica avanzata o il sigillo_elettronico avanzato del prestatore_di_servizi_fiduciari qualificato che rilascia il certificato;

i)	il luogo in cui il certificato relativo alla firma_elettronica avanzata o al sigillo_elettronico avanzato di cui alla lettera h) è disponibile gratuitamente;

j)	l’ubicazione dei servizi competenti per lo status di validità del certificato a cui ci si può rivolgere per informarsi sulla validità dei certificato qualificato.

whereas

(7) Nella risoluzione del 21 settembre 2010 sul completamento del mercato interno per il commercio elettronico (4), il Parlamento europeo ha sottolineato l’importanza della sicurezza dei servizi elettronici, in particolare delle firme elettroniche, e della necessità di creare un’infrastruttura pubblica essenziale a livello paneuropeo ed ha invitato la Commissione ad allestire un Portale europeo delle autorità di convalida per garantire l’interoperabilità transfrontaliera delle firme elettroniche e per aumentare la sicurezza delle transazioni effettuate utilizzando Internet.

- = -

(13) È opportuno che gli Stati membri rimangano liberi di utilizzare o di introdurre mezzi propri di accesso ai servizi online, a fini di identificazione_elettronica, e che possano decidere dell’eventuale partecipazione del settore privato nell’offerta di tali mezzi. È opportuno che gli Stati membri non abbiano l’obbligo di notificare i loro regimi di identificazione_elettronica alla Commissione.
Spetta agli Stati membri decidere se notificare alla Commissione tutti, alcuni o nessuno dei regimi di identificazione_elettronica utilizzati a livello nazionale per l’accesso almeno ai servizi pubblici online o a servizi specifici.

- = -

(15) L’obbligo di riconoscere i mezzi di identificazione_elettronica dovrebbe riferirsi esclusivamente ai mezzi il cui livello di garanzia dell’identità corrisponde a un livello pari o superiore a quello richiesto per il servizio online in questione.
Inoltre, tale obbligo dovrebbe applicarsi solo qualora l’ organismo_del_settore_pubblico in questione utilizzi il livello di garanzia «significativo» o «elevato» in relazione all’accesso a tale servizio online. È opportuno che gli Stati membri mantengano la libertà, conformemente al diritto comunitario, di riconoscere mezzi di identificazione_elettronica aventi livelli di garanzia dell’identità inferiori.

- = -

(16) I livelli di garanzia dovrebbero caratterizzare il grado di sicurezza con cui i mezzi di identificazione_elettronica stabiliscono l’identità di una persona, fornendo così la garanzia che la persona che pretende di avere una determinata identità è effettivamente la persona cui tale identità è stata assegnata.
Il livello di garanzia dipende dal grado di sicurezza fornito dai mezzi di identificazione_elettronica riguardo all’identità pretesa o dichiarata di una persona tenendo conto dei procedimenti (ad esempio, controllo e verifica dell’identità, e autenticazione), delle attività di gestione (ad esempio, l’entità che rilascia i mezzi di identificazione_elettronica e la procedura di rilascio di tali mezzi) e dei controlli tecnici messi in atto.
Come risultato dei progetti pilota su larga scala finanziati dall’Unione, della normazione e di attività a livello internazionale, esistono varie definizioni e descrizioni tecniche dei livelli di garanzia.
In particolare, il progetto pilota su larga scala STORK e la norma ISO 29115 fanno riferimento, tra l’altro, ai livelli 2, 3 e 4, che dovrebbero essere tenuti nella massima considerazione all’atto di stabilire le norme, le procedure e i requisiti tecnici minimi per i livelli di garanzia basso, significativo ed elevato ai sensi del presente regolamento, assicurando al contempo l’applicazione coerente del presente regolamento in particolare per quanto riguarda il livello di garanzia elevato in relazione al controllo dell’identità ai fini del rilascio di certificati qualificati.
I requisiti stabiliti dovrebbero essere neutrali dal punto di vista tecnologico.
Dovrebbe essere possibile soddisfare i requisiti di sicurezza necessari attraverso tecnologie differenti.

- = -

(19) La sicurezza dei regimi di identificazione_elettronica è fondamentale per un affidabile riconoscimento reciproco transfrontaliero dei mezzi di identificazione_elettronica.
In tale contesto, gli Stati membri dovrebbero cooperare in materia di sicurezza e interoperabilità dei regimi di identificazione_elettronica a livello dell’Unione.
Ogniqualvolta i regimi di identificazione_elettronica richiedano alle parti che fanno affidamento sulla certificazione di utilizzare hardware o software specifici a livello nazionale, l’interoperabilità transfrontaliera richiede che tali Stati membri non impongano tali requisiti e le spese relative alle parti facenti affidamento sulla certificazione stabilite al di fuori del loro territorio.
In tal caso si dovrebbero esaminare ed elaborare soluzioni appropriate nell’ambito del quadro di interoperabilità.
Tuttavia, sono inevitabili i requisiti tecnici derivanti dalle specifiche inerenti ai mezzi di identificazione_elettronica nazionali e suscettibili di avere ripercussioni per i detentori di tali mezzi elettronici (ad esempio, le smart card).

- = -

(20) È opportuno che la cooperazione degli Stati membri agevoli l’interoperabilità tecnica dei regimi di identificazione_elettronica notificati, al fine di promuovere un elevato livello di fiducia e sicurezza, in funzione del grado di rischio. È opportuno che lo scambio di informazioni e la condivisione delle migliori prassi fra Stati membri, finalizzati al riconoscimento reciproco dei regimi, facilitino tale cooperazione.

- = -

(25) È opportuno che gli Stati membri mantengano la libertà di definire altri tipi di servizi fiduciari oltre a quelli inseriti nell’elenco ristretto di servizi fiduciari di cui al presente regolamento, ai fini del loro riconoscimento a livello nazionale quali servizi fiduciari qualificati.

- = -

(28) Al fine di migliorare in particolare la fiducia delle piccole e medie imprese (PMI) e dei consumatori nel mercato interno e di promuovere l’impiego dei servizi e prodotti fiduciari, è opportuno introdurre le nozioni di servizi fiduciari qualificati e di prestatori di servizi fiduciari qualificati, per precisare i requisiti e gli obblighi che garantiscano un elevato livello di sicurezza di tutti i servizi e prodotti fiduciari qualificati impiegati o prestati.

- = -

(34) È opportuno che tutti gli Stati membri si adeguino a requisiti essenziali comuni di vigilanza per garantire un livello paragonabile di sicurezza dei servizi fiduciari qualificati.
Per facilitare l’applicazione coerente di tali requisiti in tutta l’Unione occorre che gli Stati membri adottino procedure paragonabili e scambino informazioni sulle loro attività di vigilanza e sulle migliori prassi del settore.

- = -

(44) Il presente regolamento mira a garantire un quadro coerente affinché i servizi fiduciari siano dotati di un livello elevato di sicurezza e certezza giuridica.
A tale riguardo, nel trattare la valutazione di conformità di prodotti e servizi, la Commissione dovrebbe, ove opportuno, cercare sinergie con i pertinenti regimi europei e internazionali vigenti, quali il regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio (9) che sancisce gli obblighi in materia di accreditamento degli organismi di valutazione della conformità e vigilanza del mercato di prodotti.

- = -

(48) Sebbene sia necessario un elevato livello di sicurezza per garantire il riconoscimento reciproco delle firme elettroniche, in casi specifici come nel contesto della decisione 2009/767/CE della Commissione (10), è opportuno che siano accettate anche firme elettroniche con una garanzia di sicurezza più debole.

- = -

(54) L’interoperabilità transfrontaliera e il riconoscimento dei certificati qualificati è una condizione essenziale per il riconoscimento transfrontaliero delle firme elettroniche qualificate.
Pertanto, i certificati qualificati non dovrebbero essere soggetti a requisiti obbligatori oltre ai requisiti di cui al presente regolamento.
Tuttavia, a livello nazionale, dovrebbe essere consentita l’inclusione di attributi specifici, quali identificatori unici, nei certificati qualificati, purché tali attributi specifici non ostacolino l’interoperabilità transfrontaliera e il riconoscimento dei certificati e delle firme elettroniche qualificati.

- = -

(55) La certificazione della sicurezza delle tecnologie d’informazione basata su norme internazionali, come l’ISO 15408 e i metodi di valutazione e le disposizioni di riconoscimento reciproco connessi, è uno strumento importante per verificare la sicurezza dei dispositivi per la creazione di una firma_elettronica qualificata e dovrebbe essere promossa.
Soluzioni e servizi innovativi, quali la firma in cloud e la firma mobile, tuttavia, si basano su soluzioni tecniche e organizzative per dispositivi per la creazione di una firma_elettronica qualificata per i quali possono non essere ancora disponibili norme di sicurezza o per i quali può essere in corso la prima certificazione della sicurezza delle tecnologie d’informazione.
Il livello di sicurezza di tali dispositivi per la creazione di una firma_elettronica qualificata potrebbe essere valutato utilizzando procedure alternative solo se tali norme di sicurezza non sono disponibili o se la prima certificazione della sicurezza delle tecnologie d’informazione è in corso.
Tali processi dovrebbero essere comparabili alle norme per la certificazione della sicurezza delle tecnologie d’informazione sempre che i livelli di sicurezza siano equivalenti.
Tali processi potrebbero essere agevolati da una revisione tra pari.

- = -

(57) Per garantire la certezza giuridica della validità della firma, è essenziale specificare i componenti di una firma_elettronica qualificata, che dovrebbero essere valutati dalla parte_facente_affidamento_sulla_certificazione che effettua la convalida.
Inoltre, è opportuno che attraverso la specificazione degli obblighi dei prestatori di servizi fiduciari qualificati che possono offrire un servizio di convalida qualificata a parti facenti affidamento sulla certificazione che non vogliono o non possono effettuare esse stesse la convalida di firme elettroniche qualificate siano stimolati gli investimenti del settore privato e pubblico in tali servizi. È opportuno che entrambi gli elementi rendano la convalida delle firme elettroniche qualificate semplice e agevole per tutte le parti a livello dell’Unione.

- = -

(60) I prestatori di servizi fiduciari che rilasciano certificati qualificati di sigilli elettronici dovrebbero attuare le misure necessarie per poter stabilire l’identità della persona giuridica rappresentante la persona fisica cui è fornito il certificato qualificato di sigillo_elettronico, quando tale identificazione è necessaria a livello nazionale nel contesto di procedimenti giudiziari o amministrativi.

- = -

(62) Al fine di garantire la sicurezza della validazione_temporale_elettronica qualificata, il presente regolamento dovrebbe richiedere l’uso di un sigillo_elettronico avanzato o di una firma_elettronica avanzata o di altri metodi equivalenti. È prevedibile che l’innovazione produca nuove tecnologie in grado di assicurare alla validazione temporale un livello di sicurezza equivalente.
Ogni qualvolta venga utilizzato un metodo diverso dal sigillo_elettronico avanzato o dalla firma_elettronica avanzata, dovrebbe spettare al prestatore_di_servizi_fiduciari qualificato dimostrare, nella relazione di valutazione di conformità, che tale metodo garantisce un livello equivalente di sicurezza e soddisfa gli obblighi previsti nel presente regolamento.

- = -

(70) Al fine di completare determinati aspetti tecnici dettagliati del presente regolamento in modo flessibile e veloce, dovrebbe essere delegato alla Commissione il potere di adottare atti conformemente all’articolo 290 TFUE riguardo ai criteri che devono soddisfare gli organismi responsabili della certificazione dei dispositivi per la creazione di una firma_elettronica qualificata. È di particolare importanza che durante i lavori preparatori la Commissione svolga adeguate consultazioni, anche a livello di esperti.
Nella preparazione e nell’elaborazione degli atti delegati, la Commissione dovrebbe provvedere alla contestuale, tempestiva e appropriata trasmissione dei documenti pertinenti al Parlamento europeo e al Consiglio.

- = -

(72) In sede di elaborazione degli atti delegati o di esecuzione, la Commissione dovrebbe tenere debito conto delle norme e delle specifiche tecniche elaborate da organizzazioni e organismi di normalizzazione europei e internazionali, in particolare il Comitato europeo di normalizzazione (CEN), l’Istituto europeo delle norme di telecomunicazione (ETSI), l’Organizzazione internazionale per la standardizzazione (ISO) e l’Unione internazionale delle telecomunicazioni (UIT), al fine di assicurare un livello elevato di sicurezza e interoperabilità dell’ identificazione_elettronica e dei servizi fiduciari.

- = -

(76) Poiché gli obiettivi del presente regolamento non possono essere conseguiti in misura sufficiente dagli Stati membri ma, a motivo della portata dell’azione, possono essere conseguiti meglio a livello di Unione, quest’ultima può intervenire in base al principio di sussidiarietà sancito dall’articolo 5 del trattato sull’Unione europea.
Il presente regolamento si limita a quanto è necessario per conseguire tali obiettivi in ottemperanza al principio di proporzionalità enunciato nello stesso articolo.

- = -

keyboard_tab EIDAS 2014/0910 IT

EIDAS 2014/0910 IT