Il presente regolamento stabilisce le norme relative all'integrità e alle funzionalità di base dei portafogli, da aggiornare periodicamente per tenere conto degli sviluppi tecnologici, della normazione e del lavoro svolto sulla base della raccomandazione (UE) 2021/946 della Commissione, in particolare dell'architettura e del quadro di riferimento.

Ai fini del presente regolamento si applicano le definizioni seguenti:

1) «applicazione crittografica sicura per il portafoglio»: un'applicazione che gestisce risorse critiche tramite un collegamento alle funzioni crittografiche e non crittografiche fornite dal dispositivo crittografico sicuro per il portafoglio e l'uso di tali funzioni;

2) «unità di portafoglio»: una configurazione unica di una soluzione di portafoglio che comprende istanze di portafoglio, applicazioni crittografiche sicure per il portafoglio e dispositivi crittografici sicuri per il portafoglio forniti da un fornitore del portafoglio a un singolo utente del portafoglio;

3) «risorse critiche»: risorse all'interno di un'unità di portafoglio o ad essa relative, di importanza tale che un'eventuale compromissione della loro disponibilità, riservatezza o integrità avrebbe un effetto estremamente grave e debilitante sulla possibilità di fare affidamento sull'unità di portafoglio;

4) «fornitore di dati di identificazione personale»: la persona fisica o giuridica responsabile del rilascio e della revoca dei dati di identificazione personale e che garantisce che i dati di identificazione personale di un utente siano associati crittograficamente a un'unità di portafoglio;

5) «utente del portafoglio»: un utente che ha il controllo dell'unità di portafoglio;

6) «parte facente affidamento sul portafoglio»: una parte facente affidamento che intende fare affidamento sulle unità di portafoglio per la prestazione di servizi pubblici o privati mediante interazione digitale;

7) «fornitore del portafoglio»: una persona fisica o giuridica che fornisce soluzioni di portafoglio;

8) «attestato di unità di portafoglio»: un oggetto di dati che descrive i componenti dell'unità di portafoglio o consente la loro autenticazione e convalida;

9) «politica di divulgazione incorporata»: un insieme di norme, incorporato in un attestato elettronico di attributi dal suo fornitore, che indica le condizioni che una parte facente affidamento sul portafoglio deve soddisfare per accedere all'attestato elettronico di attributi;

10) «istanza di portafoglio»: l'applicazione installata e configurata su un dispositivo o su un ambiente di un utente del portafoglio, che fa parte di un'unità di portafoglio, e che l'utente del portafoglio utilizza per interagire con l'unità di portafoglio;

11) «soluzione di portafoglio»: una combinazione di software, hardware, servizi, impostazioni e configurazioni, comprese le istanze di portafoglio, una o più applicazioni crittografiche sicure per il portafoglio e uno o più dispositivi crittografici sicuri per il portafoglio;

12) «dispositivo crittografico sicuro per il portafoglio»: un dispositivo resistente alle manomissioni che fornisce un ambiente collegato all'applicazione crittografica sicura per il portafoglio e da essa utilizzato per proteggere le risorse critiche e fornire funzioni crittografiche per l'esecuzione sicura di operazioni critiche;

13) «operazione crittografica del portafoglio»: un meccanismo crittografico necessario nel contesto dell'autenticazione dell'utente del portafoglio e del rilascio o della presentazione di dati di identificazione personale o di attestati elettronici di attributi;

14) «certificato di accesso della parte facente affidamento sul portafoglio»: un certificato per sigilli elettronici o firme elettroniche che autenticano e convalidano la parte facente affidamento sul portafoglio, rilasciato da un fornitore di certificati di accesso della parte facente affidamento sul portafoglio;

15) «fornitore di certificati di accesso della parte facente affidamento sul portafoglio»: una persona fisica o giuridica incaricata da uno Stato membro di rilasciare certificati di accesso delle parti facenti affidamento alle parti facenti affidamento sul portafoglio registrate in tale Stato membro.

1. Le unità di portafoglio non eseguono alcuna funzionalità di cui all'articolo 5 bis, paragrafo 4, del regolamento (UE) n. 910/2014, eccetto l'autenticazione dell'utente del portafoglio per l'accesso all'unità di portafoglio, fino a quando l'unità di portafoglio non abbia autenticato con successo l'utente del portafoglio.

2. Per ciascuna unità di portafoglio, i fornitori di portafogli appongono una firma o un sigillo su almeno un attestato di unità di portafoglio conforme ai requisiti di cui all'articolo 6. Il certificato utilizzato per firmare o sigillare l'attestato di unità di portafoglio è rilasciato sulla base di un certificato che figura nell'elenco di fiducia di cui al regolamento di esecuzione (UE) 2024/2980.

1. Per gestire le risorse critiche le istanze di portafoglio utilizzano almeno un dispositivo crittografico sicuro per il portafoglio.

2. I fornitori di portafogli garantiscono l'integrità, l'autenticità e la riservatezza della comunicazione tra le istanze di portafoglio e le applicazioni crittografiche sicure per il portafoglio.

3. Se le risorse critiche riguardano l'esecuzione dell'identificazione elettronica ad un livello di garanzia elevato, le operazioni crittografiche del portafoglio o altre operazioni di trattamento di risorse critiche sono effettuate conformemente ai requisiti per le caratteristiche e la progettazione dei mezzi di identificazione elettronica a un livello di garanzia elevato, come stabilito nel regolamento di esecuzione (UE) 2015/1502 della Commissione (1).

1. I fornitori di portafogli garantiscono che le applicazioni crittografiche sicure per il portafoglio:

a) effettuino operazioni crittografiche del portafoglio che coinvolgono risorse critiche diverse da quelle necessarie per l'autenticazione dell'utente del portafoglio da parte dell'unità di portafoglio soltanto nei casi in cui tali applicazioni abbiano autenticato con successo gli utenti del portafoglio;

b) laddove autentichino gli utenti del portafoglio nel contesto della realizzazione dell'identificazione elettronica ad un livello di garanzia elevato, effettuino l'autenticazione degli utenti del portafoglio in conformità ai requisiti per le caratteristiche e la progettazione di mezzi di identificazione elettronica a un livello di garanzia elevato, come stabilito nel regolamento di esecuzione (UE) 2015/1502;

c) siano in grado di generare in modo sicuro chiavi crittografiche nuove;

d) siano in grado di effettuare la cancellazione sicura di risorse critiche;

e) siano in grado di generare una prova del possesso di chiavi private;

f) proteggano le chiavi private generate da tali applicazioni crittografiche sicure per il portafoglio durante l'esistenza delle chiavi stesse;

g) soddisfino i requisiti per le caratteristiche e la progettazione di mezzi di identificazione elettronica a un livello di garanzia elevato, come stabilito nel regolamento di esecuzione (UE) 2015/1502;

h) siano gli unici componenti in grado di eseguire operazioni crittografiche del portafoglio e qualsiasi altra operazione con risorse critiche nel contesto della realizzazione di un'identificazione elettronica ad un livello di garanzia elevato.

2. Qualora decidano di fornire un'applicazione crittografica sicura per il portafoglio a un elemento sicuro integrato, i fornitori di portafogli basano la loro soluzione tecnica sulle specifiche tecniche elencate nell'allegato I o su altre specifiche tecniche equivalenti.

1. I fornitori di portafogli garantiscono che ciascuna unità di portafoglio contenga attestati di unità di portafoglio.

2. I fornitori di portafogli garantiscono che gli attestati di unità di portafoglio di cui al paragrafo 1 contengano chiavi pubbliche e che le corrispondenti chiavi private siano protette da un dispositivo crittografico sicuro per il portafoglio.

3. I fornitori di portafogli:

a) informano gli utenti del portafoglio in merito ai loro diritti e obblighi in relazione alla loro unità di portafoglio;

b) forniscono meccanismi, indipendenti dalle unità di portafoglio, per l'identificazione e l'autenticazione sicure degli utenti del portafoglio;

c) garantiscono che gli utenti del portafoglio abbiano il diritto di chiedere la revoca dei loro attestati di unità di portafoglio, utilizzando i meccanismi di autenticazione di cui alla lettera(b).

1. I fornitori di portafogli sono le uniche entità in grado di revocare gli attestati di unità di portafoglio per le unità di portafoglio che hanno fornito.

2. I fornitori di portafogli stabiliscono una politica pubblicamente disponibile che specifichi le condizioni e le tempistiche per la revoca degli attestati di unità di portafoglio.

3. Qualora abbiano revocato gli attestati di unità di portafoglio, i fornitori di portafogli informano gli utenti del portafoglio interessati entro 24 ore dalla revoca delle loro unità di portafoglio, indicando altresì il motivo della revoca e le conseguenze per l'utente del portafoglio. Tali informazioni sono fornite in maniera concisa, facilmente accessibile e utilizzando un linguaggio semplice e chiaro.

4. Qualora abbiano revocato gli attestati di unità di portafoglio, i fornitori di portafogli rendono pubblicamente disponibili lo stato di validità dell'attestato di unità di portafoglio secondo modalità che ne preservano la riservatezza e descrivono l'ubicazione di tali informazioni nell'attestato di unità di portafoglio.

I fornitori di portafogli garantiscono che le soluzioni di portafoglio supportino l'utilizzo di dati di identificazione personale e attestati elettronici di attributi rilasciati in conformità all'elenco di norme di cui all'allegato II.

1. Indipendentemente dal fatto che una transazione sia completata o meno, le istanze di portafoglio registrano tutte le transazioni con le parti facenti affidamento sul portafoglio e altre unità di portafoglio, comprese l'apposizione di firme e sigilli elettronici.

2. Tra le informazioni registrate figurano come minimo:

a) l'ora e la data della transazione;

b) il nome, i dati di contatto e l'identificatore univoco della corrispondente parte facente affidamento sul portafoglio e dello Stato membro in cui tale parte è stabilita o, nel caso di altre unità di portafoglio, le informazioni pertinenti desunte dall'attestato di unità di portafoglio;

c) il tipo o i tipi di dati richiesti e presentati nel contesto della transazione;

d) nel caso di transazioni non completate, il motivo di tale mancato completamento.

3. I fornitori di portafogli garantiscono l'integrità, l'autenticità e la riservatezza delle informazioni registrate.

4. Le istanze di portafoglio registrano le segnalazioni inviate dall'utente del portafoglio alle autorità di protezione dei dati attraverso la loro unità di portafoglio.

5. Le registrazioni di cui ai paragrafi 1 e 2 sono accessibili al fornitore del portafoglio, ove necessario per la prestazione di servizi di portafoglio, sulla base di un consenso preventivo esplicito prestato dall'utente del portafoglio.

6. Le registrazioni di cui ai paragrafi 1 e 2 rimangono accessibili fintantoché ciò è richiesto dal diritto dell'Unione o dal diritto interno.

7. I fornitori di portafogli consentono agli utenti del portafoglio di esportare le informazioni registrate di cui al paragrafo 2.

1. I fornitori di portafogli garantiscono che gli attestati elettronici di attributi con politiche di divulgazione incorporate comuni di cui all'allegato III possano essere trattati dalle unità di portafoglio che forniscono.

2. Le istanze di portafoglio sono in grado di elaborare e presentare tali politiche di divulgazione incorporate di cui al paragrafo 1 in combinazione con i dati ricevuti dalla parte facente affidamento sul portafoglio.

3. Le istanze di portafoglio verificano se la parte facente affidamento sul portafoglio soddisfa i requisiti della politica di divulgazione incorporata e informano l'utente del portafoglio in merito all'esito di tale verifica.

1. I fornitori di portafogli garantiscono che gli utenti del portafoglio possano ricevere certificati qualificati per firme elettroniche qualificate o sigilli elettronici qualificati collegati a dispositivi per la creazione di firme qualificate o sigilli qualificati che sono locali, esterne/i o remote/i in relazione alle istanze di portafoglio.

2. I fornitori di portafogli garantiscono che le soluzioni di portafoglio siano in grado di interfacciarsi in modo sicuro con uno dei tipi seguenti di dispositivi per la creazione di firme qualificate o sigilli qualificati: dispositivi per la creazione di firme qualificate o sigilli qualificati locali, esterni o gestiti a distanza ai fini dell'utilizzo dei certificati qualificati di cui al paragrafo 1.

3. I fornitori di portafogli garantiscono che gli utenti del portafoglio che sono persone fisiche dispongano, quanto meno per fini non professionali, di un accesso gratuito alle applicazioni per la creazione di firme che consentono la creazione di firme elettroniche qualificate gratuite utilizzando i certificati di cui al paragrafo 1.

1. Le applicazioni per la creazione di firme utilizzate dalle unità di portafoglio possono essere fornite da fornitori di portafogli, da prestatori di servizi fiduciari o da parti facenti affidamento sul portafoglio.

2. Le applicazioni per la creazione di firme dispongono delle funzioni seguenti:

a) apposizione di una firma o di un sigillo su dati forniti dall'utente del portafoglio;

b) apposizione di una firma o di un sigillo su dati forniti dalla parte facente affidamento sulla certificazione;

c) creazione di firme o sigilli come minimo nei formati obbligatori di cui all'allegato IV;

d) informazione degli utenti del portafoglio in merito al risultato del processo di creazione della firma o del sigillo.

3. Le applicazioni per la creazione di firme possono essere integrate in istanze di portafoglio o essere esterne a queste ultime. Qualora facciano affidamento su dispositivi qualificati per la creazione di firme a distanza e siano integrate nelle istanze di portafoglio, le applicazioni per la creazione di firme supportano l'interfaccia di programmazione di un'applicazione di cui all'allegato IV.

Laddove tecnicamente fattibile e fatta eccezione per i casi di risorse critiche, le unità di portafoglio supportano l'esportazione sicura e la portabilità dei dati personali dell'utente del portafoglio al fine di consentire a quest'ultimo di migrare verso un'unità di portafoglio di una soluzione di portafoglio diversa in un modo che assicuri un livello di garanzia elevato di cui al regolamento di esecuzione (UE) 2015/1502.

1. Le unità di portafoglio supportano la generazione di pseudonimi per gli utenti del portafoglio conformemente alle specifiche tecniche di cui all'allegato V.

2. Le unità di portafoglio supportano la generazione, su richiesta di una parte facente affidamento sul portafoglio, di uno pseudonimo specifico e unico per tale parte e forniscono detto pseudonimo alla parte facente affidamento sul portafoglio o da solo, o in combinazione con qualsiasi dato di identificazione personale o attestato elettronico di attributi richiesto da tale parte.

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 28 novembre 2024

Per la Commissione

La presidente

URSULA VON DER LEYEN