keyboard_tab EIDAS 2014/0910 IT
BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf
- 1 Articolo 1 Oggetto
- 1 Articolo 8 Livelli di garanzia dei regimi di identificazione elettronica
- 1 Articolo 12 Cooperazione e interoperabilità
- 1 Articolo 24 Requisiti per i prestatori di servizi fiduciari qualificati
- 1 Articolo 28 Certificati qualificati di firme elettroniche
- 1 Articolo 30 Certificazione dei dispositivi per la creazione di una firma elettronica qualificata
- 1 Articolo 38 Certificati qualificati di sigilli elettronici
CAPO I
DISPOSIZIONI GENERALI
CAPO II
IDENTIFICAZIONE ELETTRONICA
CAPO III
SERVIZI FIDUCIARI
SEZIONE 1
Disposizioni generali
SEZIONE 2
Vigilanza
SEZIONE 3
Servizi fiduciari qualificati
SEZIONE 4
Firme elettroniche
SEZIONE 5
Sigilli elettronici
SEZIONE 6
Validazione temporale elettronica
SEZIONE 7
Servizi elettronici di recapito certificato
SEZIONE 8
Autenticazione dei siti web
CAPO IV
DOCUMENTI ELETTRONICI
CAPO V
DELEGA DI POTERE E DISPOSIZIONI DI ESECUZIONE
CAPO VI
DISPOSIZIONI FINALI
- identificazione elettronica
- mezzi di identificazione elettronica
- dati di identificazione personale
- regime di identificazione elettronica
- autenticazione
- parte facente affidamento sulla certificazione
- organismo del settore pubblico
- organismo di diritto pubblico
- firmatario
- firma elettronica
- firma elettronica avanzata
- firma elettronica qualificata
- dati per la creazione di una firma elettronica
- certificato di firma elettronica
- certificato qualificato di firma elettronica
- servizio fiduciario
- servizio fiduciario qualificato
- organismo di valutazione della conformità
- prestatore di servizi fiduciari
- prestatore di servizi fiduciari qualificato
- prodotto
- dispositivo per la creazione di una firma elettronica
- dispositivo per la creazione di una firma elettronica qualificata
- creatore di un sigillo
- sigillo elettronico
- sigillo elettronico avanzato
- sigillo elettronico qualificato
- dati per la creazione di un sigillo elettronico
- certificato di sigillo elettronico
- certificato qualificato di sigillo elettronico
- dispositivo per la creazione di un sigillo elettronico
- dispositivo per la creazione di un sigillo elettronico qualificato
- validazione temporale elettronica
- validazione temporale elettronica qualificata
- documento elettronico
- servizio elettronico di recapito certificato
- servizio elettronico di recapito qualificato certificato
- certificato di autenticazione di sito web
- certificato qualificato di autenticazione di sito web
- dati di convalida
- convalida
- identificazione_elettronica 32
- norme 26
- qualificati 20
- certificati 20
- certificato 20
- sicurezza 20
- qualificato 18
- requisiti 17
- atti 17
- stati 17
- garanzia 16
- esecuzione 16
- mezzi 15
- membri 14
- mediante 13
- dati 13
- all’articolo 13
- riferimento 12
- livelli 12
- sospensione 12
- persona 11
- elettroniche 11
- regimi 10
- processo 10
- lettera 10
- informazioni 10
- conformemente 10
- servizi 10
- procedura 10
- valutazione 9
- elettronici 9
- secondo 9
- i 8
- fiduciari 8
- firme 8
- sigilli 8
- all’allegato 8
- la 8
- firma_elettronica 8
- situazione 8
- periodo 8
- adottati 7
- livello 7
- riguardo 7
- seguenti 7
- norma 7
- specifiche 7
- prodotti 7
- tecniche 7
- revoca 6
Articolo 30
Certificazione dei dispositivi per la creazione di una firma_elettronica qualificata
1. La conformità dei dispositivi per la creazione di una firma_elettronica qualificata con i requisiti stabiliti all’allegato II è certificata da appropriati organismi pubblici o privati designati dagli Stati membri.
2. Gli Stati membri notificano alla Commissione i nomi e gli indirizzi dell’organismo pubblico o privato di cui al paragrafo 1. La Commissione mette tali informazioni a disposizione degli Stati membri.
3. La certificazione di cui al paragrafo 1 si basa su uno dei seguenti elementi:
a) | un processo di valutazione di sicurezza condotto conformemente a una delle norme per la valutazione di sicurezza dei prodotti informatici incluse nell’elenco redatto conformemente al secondo comma; o |
b) | un processo diverso da quello di cui alla lettera a), a condizione che utilizzi livelli di sicurezza comparabili e che l’organismo pubblico o privato di cui al paragrafo 1 notifichi tale processo alla Commissione. Detto processo può essere utilizzato solo in assenza delle norme di cui alla lettera a) ovvero quando è in corso un processo di valutazione di sicurezza di cui alla lettera a). |
La Commissione adotta, mediante atti di esecuzione, un elenco di norme per la valutazione di sicurezza dei prodotti delle tecnologie dell’informazione di cui alla lettera a). Tali atti di esecuzione sono adottati secondo la procedura di esame di cui all’articolo 48, paragrafo 2.
4. Alla Commissione è conferito il potere di adottare atti delegati conformemente all’articolo 47 riguardo alla fissazione di criteri specifici che gli organismi designati di cui al paragrafo 1 del presente articolo devono soddisfare.
Articolo 1
Oggetto
Allo scopo di garantire il buon funzionamento del mercato interno perseguendo al contempo un adeguato livello di sicurezza dei mezzi di identificazione_elettronica e dei servizi fiduciari, il presente regolamento:
a) | fissa le condizioni a cui gli Stati membri riconoscono i mezzi di identificazione_elettronica delle persone fisiche e giuridiche che rientrano in un regime notificato di identificazione_elettronica di un altro Stato membro, |
b) | stabilisce le norme relative ai servizi fiduciari, in particolare per le transazioni elettroniche; e |
c) | istituisce un quadro giuridico per le firme elettroniche, i sigilli elettronici, le validazioni temporali elettroniche, i documenti elettronici, i servizi elettronici di recapito certificato e i servizi relativi ai certificati di autenticazione di siti web. |
Articolo 8
Livelli di garanzia dei regimi di identificazione_elettronica
1. Un regime di identificazione_elettronica notificato a norma dell’articolo 9, paragrafo 1, specifica livelli di garanzia basso, significativo e/o elevato per i mezzi di identificazione_elettronica rilasciati nell’ambito di detto regime.
2. I livelli di garanzia basso, significativo e elevato soddisfano rispettivamente i seguenti criteri:
a) | il livello di garanzia basso si riferisce a mezzi di identificazione_elettronica nel contesto di un regime di identificazione_elettronica che fornisce un grado di sicurezza limitato riguardo all’identità pretesa o dichiarata di una persona ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di ridurre il rischio di uso abusivo o alterazione dell’identità; |
b) | il livello di garanzia significativo si riferisce a mezzi di identificazione_elettronica nel contesto di un regime di identificazione_elettronica che fornisce un grado di sicurezza significativo riguardo all’identità pretesa o dichiarata di una persona ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di ridurre significativamente il rischio di uso abusivo o alterazione dell’identità; |
c) | il livello di garanzia elevato si riferisce a un mezzo di identificazione_elettronica nel contesto di un regime di identificazione_elettronica che fornisce riguardo all’identità pretesa o dichiarata di una persona un grado di sicurezza più elevato dei mezzi di identificazione_elettronica aventi un livello di garanzia significativo ed è caratterizzato in riferimento a specifiche, norme e procedure tecniche a esso pertinenti, compresi controlli tecnici, il cui scopo è quello di impedire l’uso abusivo o l’alterazione dell’identità. |
3. Entro il 18 settembre 2015, tenendo conto delle norme internazionali pertinenti e fatto salvo il paragrafo 2, la Commissione, mediante atti di esecuzione, definisce le specifiche, norme e procedure tecniche minime in riferimento alle quali sono specificati i livelli di garanzia basso, significativo e elevato dei mezzi di identificazione_elettronica ai fini del paragrafo 1.
Le suddette specifiche, norme e procedure tecniche minime sono fissate facendo riferimento all’affidabilità e alla qualità dei seguenti elementi:
a) | della procedura di controllo e verifica dell’identità delle persone fisiche o giuridiche che chiedono il rilascio dei mezzi di identificazione_elettronica; |
b) | della procedura di rilascio dei mezzi di identificazione_elettronica richiesti; |
c) | del meccanismo di autenticazione mediante il quale la persona fisica o giuridica usa i mezzi di identificazione_elettronica per confermare la propria identità a una parte_facente_affidamento_sulla_certificazione; |
d) | dell’entità che rilascia i mezzi di identificazione_elettronica; |
e) | di qualsiasi altro organismo implicato nella domanda di rilascio dei mezzi di identificazione_elettronica; e |
f) | delle specifiche tecniche e di sicurezza dei mezzi di identificazione_elettronica rilasciati. |
Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Articolo 12
Cooperazione e interoperabilità
1. I regimi nazionali di identificazione_elettronica notificati a norma dell’articolo 9, paragrafo 1, sono interoperabili.
2. È istituito un quadro di interoperabilità ai fini del paragrafo 1.
3. Il quadro di interoperabilità risponde ai seguenti criteri:
a) | mira a essere neutrale dal punto di vista tecnologico e non comporta discriminazioni tra specifiche soluzioni tecniche nazionali per l’ identificazione_elettronica all’interno di uno Stato membro; |
b) | segue, ove possibile, le norme europee e internazionali; |
c) | facilita l’applicazione del principio della tutela della vita privata fin dalla progettazione (privacy by design); e |
d) | garantisce che i dati personali siano trattati a norma della direttiva 95/46/CE. |
4. Il quadro di interoperabilità è composto da:
a) | un riferimento ai requisiti tecnici minimi connessi ai livelli di garanzia di cui all’articolo 8; |
b) | una mappatura dei livelli di garanzia nazionali dei regimi di identificazione_elettronica notificati in base ai livelli di garanzia di cui all’articolo 8; |
c) | un riferimento ai requisiti tecnici minimi di interoperabilità; |
d) | un riferimento a un insieme minimo di dati_di_identificazione_personale che rappresentano un’unica persona fisica o giuridica, disponibile nell’ambito dei regimi di identificazione_elettronica; |
e) | norme di procedura; |
f) | disposizioni per la risoluzione delle controversie; e |
g) | norme di sicurezza operativa comuni. |
5. Gli Stati membri cooperano per quanto riguarda:
a) | l’interoperabilità dei regimi di identificazione_elettronica notificati ai sensi dell’articolo 9, paragrafo 1, e dei regimi di identificazione_elettronica che gli Stati membri intendono notificare; e |
b) | la sicurezza dei regimi di identificazione_elettronica. |
6. La cooperazione fra gli Stati membri riguarda:
a) | lo scambio di informazioni, esperienze e buone prassi per quanto riguarda i regimi di identificazione_elettronica e, in particolare, i requisiti tecnici connessi all’interoperabilità e ai livelli di garanzia; |
b) | lo scambio di informazioni, esperienze e buone prassi per quanto riguarda i metodi di lavoro con i livelli di garanzia dei regimi di identificazione_elettronica di cui all’articolo 8; |
c) | la valutazione tra pari dei regimi di identificazione_elettronica che rientrano nel presente regolamento; e |
d) | l’esame degli sviluppi pertinenti nel settore dell’ identificazione_elettronica. |
7. Entro il 18 marzo 2015, la Commissione, mediante atti di esecuzione, fissa le modalità procedurali necessarie per facilitare la collaborazione fra gli Stati membri di cui ai paragrafi 5 e 6, al fine di promuovere un elevato livello di fiducia e di sicurezza, commisurato al grado di rischio esistente.
8. Entro il 18 settembre 2015, al fine di garantire condizioni uniformi di esecuzione del requisito di cui al paragrafo 1, la Commissione, fatti salvi i criteri di cui al paragrafo 3 e tenendo conto dei risultati della cooperazione fra gli Stati membri, adotta atti di esecuzione sul quadro di interoperabilità quale definito al paragrafo 4.
9. Gli atti di esecuzione di cui a paragrafi 7 e 8 sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
CAPO III
SERVIZI FIDUCIARI
SEZIONE 1
Disposizioni generali
Articolo 24
Requisiti per i prestatori di servizi fiduciari qualificati
1. Allorché rilascia un certificato qualificato per un servizio_fiduciario, un prestatore_di_servizi_fiduciari qualificato verifica, mediante mezzi appropriati e conformemente al diritto nazionale, l’identità e, se del caso, eventuali attributi specifici della persona fisica o giuridica a cui il certificato qualificato è rilasciato.
Le informazioni di cui al primo comma sono verificate dal prestatore_di_servizi_fiduciari qualificato direttamente o ricorrendo a un terzo conformemente al diritto nazionale:
a) | mediante la presenza concreta della persona fisica o di un rappresentante autorizzato della persona giuridica; o |
b) | a distanza, mediante mezzi di identificazione_elettronica, con cui prima del rilascio del certificato qualificato è stata garantita una presenza concreta della persona fisica o di un rappresentante autorizzato della persona giuridica e che soddisfano i requisiti fissati all’articolo 8 riguardo ai livelli di garanzia «significativo» o «elevato»; o |
c) | mediante un certificato di una firma_elettronica qualificata o di un sigillo_elettronico qualificato rilasciato a norma della lettera a) o b); o |
d) | mediante altri metodi di identificazione riconosciuti a livello nazionale che forniscono una garanzia equivalente sotto il profilo dell’afffidabilità alla presenza fisica. La garanzia equivalente è confermata da un organismo_di_valutazione_della_conformità. |
2. Un prestatore_di_servizi_fiduciari qualificato che presta servizi fiduciari qualificati:
a) | informa l’organismo di vigilanza di eventuali cambiamenti nella prestazione dei propri servizi fiduciari qualificati e dell’intenzione di cessare tali attività; |
b) | impiega personale e, ove applicabile, subcontraenti dotati delle competenze, dell’affidabilità, dell’esperienza e delle qualifiche necessarie e che hanno ricevuto una formazione adeguata in materia di norme di sicurezza e di protezione dei dati personali e applica procedure amministrative e gestionali, che corrispondono a norme europee o internazionali; |
c) | riguardo alla responsabilità civile per danni a norma dell’articolo 13, mantiene risorse finanziarie adeguate e/o si procura un’assicurazione di responsabilità civile appropriata, conformemente al diritto nazionale; |
d) | prima di avviare una relazione contrattuale informa, in modo chiaro e completo, chiunque intenda utilizzare un servizio_fiduciario qualificato dei termini e delle condizioni esatte per l’utilizzo di tale servizio, comprese eventuali limitazioni del suo utilizzo; |
e) | utilizza sistemi affidabili e prodotti protetti da alterazioni e che garantiscono la sicurezza tecnica e l’affidabilità dei processi che assicurano; |
f) | utilizza sistemi affidabili per memorizzare i dati a esso forniti, in modo verificabile, affinché:
|
g) | adotta misure adeguate contro le falsificazioni e i furti di dati; |
h) | registra e mantiene accessibili per un congruo periodo di tempo, anche dopo la cessazione delle attività del prestatore_di_servizi_fiduciari qualificato, tutte le informazioni pertinenti relative a dati rilasciati e ricevuti dal prestatore_di_servizi_fiduciari qualificato, in particolare a fini di produzione di prove nell’ambito di procedimenti giudiziali e per assicurare la continuità del servizio. Tali registrazioni possono essere elettroniche; |
i) | dispone di un piano di cessazione delle attività aggiornato per garantire la continuità del servizio conformemente alle disposizioni verificate dall’organismo di vigilanza a norma dell’articolo 17, paragrafo 4, lettera i); |
j) | garantisce il trattamento lecito dei dati personali a norma della direttiva 95/46/CE; |
k) | se i prestatori di servizi fiduciari qualificati che rilasciano certificati qualificati, istituiscono una banca dati dei certificati aggiornata. |
3. Se un prestatore_di_servizi_fiduciari qualificato che rilascia certificati qualificati decide di revocare un certificato, registra tale revoca nella propria banca dati dei certificati e pubblica la situazione di revoca del certificato tempestivamente e, in ogni caso, entro 24 ore dal ricevimento della richiesta. La revoca diventa immediatamente effettiva all’atto della pubblicazione.
4. In considerazione del paragrafo 3, i prestatori di servizi fiduciari qualificati che rilasciano certificati qualificati trasmettono alle parti facenti affidamento sulla certificazione informazioni sulla situazione di validità o revoca dei certificati qualificati da essi rilasciati. Queste informazioni sono rese disponibili almeno per ogni certificato rilasciato in qualsiasi momento e oltre il periodo di validità del certificato, in modo automatizzato, affidabile, gratuito ed efficiente.
5. La Commissione può, mediante atti di esecuzione, stabilire i numeri di riferimento delle norme applicabili ai sistemi e prodotti affidabili, che soddisfano i requisiti di cui al paragrafo 2, lettere e) ed f), del presente articolo. Si presume che i requisiti di cui al presente articolo siano stati rispettati ove i sistemi e i prodotti affidabili adempiano a tali norme. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
SEZIONE 4
Firme elettroniche
Articolo 28
Certificati qualificati di firme elettroniche
1. I certificati qualificati di firme elettroniche soddisfano i requisiti di cui all’allegato I.
2. I certificati qualificati di firme elettroniche non sono soggetti a requisiti obbligatori oltre ai requisiti di cui all’allegato I.
3. I certificati qualificati di firme elettroniche possono includere attributi specifici aggiuntivi non obbligatori. Tali attributi non pregiudicano l’interoperabilità e il riconoscimento delle firme elettroniche qualificate.
4. Qualora un certificato qualificato di firme elettroniche sia stato revocato dopo l’iniziale attivazione, esso decade della propria validità dal momento della revoca e la sua situazione non è ripristinata in nessuna circostanza.
5. Fatte salve le condizioni seguenti, gli Stati membri possono fissare norme nazionali in merito alla sospensione temporanea di un certificato qualificato di firma_elettronica:
a) | in caso di temporanea sospensione di un certificato qualificato di firma_elettronica, il certificato perde la sua validità per il periodo della sospensione; |
b) | il periodo di sospensione è indicato chiaramente nella banca dati dei certificati e la situazione di sospensione è visibile, durante il periodo di sospensione, dal servizio che fornisce le informazioni sulla situazione del certificato. |
6. La Commissione può, mediante atti di esecuzione, stabilire i numeri di riferimento delle norme applicabili ai certificati qualificati di firma_elettronica. Si presume che i requisiti di cui all’allegato I siano stati rispettati ove un certificato qualificato di firma_elettronica risponda a dette norme. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
Articolo 30
Certificazione dei dispositivi per la creazione di una firma_elettronica qualificata
1. La conformità dei dispositivi per la creazione di una firma_elettronica qualificata con i requisiti stabiliti all’allegato II è certificata da appropriati organismi pubblici o privati designati dagli Stati membri.
2. Gli Stati membri notificano alla Commissione i nomi e gli indirizzi dell’organismo pubblico o privato di cui al paragrafo 1. La Commissione mette tali informazioni a disposizione degli Stati membri.
3. La certificazione di cui al paragrafo 1 si basa su uno dei seguenti elementi:
a) | un processo di valutazione di sicurezza condotto conformemente a una delle norme per la valutazione di sicurezza dei prodotti informatici incluse nell’elenco redatto conformemente al secondo comma; o |
b) | un processo diverso da quello di cui alla lettera a), a condizione che utilizzi livelli di sicurezza comparabili e che l’organismo pubblico o privato di cui al paragrafo 1 notifichi tale processo alla Commissione. Detto processo può essere utilizzato solo in assenza delle norme di cui alla lettera a) ovvero quando è in corso un processo di valutazione di sicurezza di cui alla lettera a). |
La Commissione adotta, mediante atti di esecuzione, un elenco di norme per la valutazione di sicurezza dei prodotti delle tecnologie dell’informazione di cui alla lettera a). Tali atti di esecuzione sono adottati secondo la procedura di esame di cui all’articolo 48, paragrafo 2.
4. Alla Commissione è conferito il potere di adottare atti delegati conformemente all’articolo 47 riguardo alla fissazione di criteri specifici che gli organismi designati di cui al paragrafo 1 del presente articolo devono soddisfare.
Articolo 38
Certificati qualificati di sigilli elettronici
1. I certificati qualificati di sigilli elettronici soddisfano i requisiti di cui all’allegato III.
2. I certificati qualificati di sigilli elettronici non sono soggetti a requisiti obbligatori oltre ai requisiti di cui all’allegato III.
3. I certificati qualificati di sigilli elettronici possono includere attributi specifici aggiuntivi non obbligatori. Tali attributi non pregiudicano l’interoperabilità e il riconoscimento dei sigilli elettronici qualificati.
4. Qualora un certificato qualificato di un sigillo_elettronico sia stato revocato dopo l’iniziale attivazione, esso decade della propria validità dal momento della revoca e la sua situazione non è ripristinata in nessuna circostanza.
5. Fatte salve le condizioni seguenti, gli Stati membri possono fissare norme nazionali in merito alla sospensione temporanea dei certificati qualificati di sigilli elettronici:
a) | in caso di temporanea sospensione di un certificato qualificato di sigillo_elettronico, il certificato perde la sua validità per il periodo della sospensione; |
b) | il periodo di sospensione è indicato chiaramente nella banca dati dei certificati e la situazione di sospensione è visibile, durante il periodo di sospensione, dal servizio che fornisce le informazioni sulla situazione del certificato. |
6. La Commissione può, mediante atti di esecuzione, stabilire i numeri di riferimento delle norme applicabili ai certificati qualificati di sigilli elettronici. Si presume che i requisiti di cui all’allegato III siano stati rispettati ove un certificato qualificato di sigillo_elettronico risponda a dette norme. Tali atti di esecuzione sono adottati secondo la procedura d’esame di cui all’articolo 48, paragrafo 2.
whereas