Il presente regolamento stabilisce le norme per la reazione alle violazioni della sicurezza dei portafogli, dei meccanismi di convalida di cui all'articolo 5 bis, paragrafo 8, del regolamento (UE) n. 910/2014 e del regime di identificazione elettronica nell'ambito del quale sono forniti i portafogli.

Ai fini del presente regolamento si applicano le definizioni seguenti:

1) «soluzione di portafoglio»: una combinazione di software, hardware, servizi, impostazioni e configurazioni, comprese le istanze di portafoglio, una o più applicazioni crittografiche sicure per il portafoglio e uno o più dispositivi crittografici sicuri per il portafoglio;

2) «utente del portafoglio»: un utente che ha il controllo dell'unità di portafoglio;

3) «parte facente affidamento sul portafoglio»: una parte facente affidamento sulla certificazione che intende fare affidamento sulle unità di portafoglio per la prestazione di servizi pubblici o privati mediante interazione digitale;

4) «istanza di portafoglio»: l'applicazione installata e configurata su un dispositivo o su un ambiente di un utente del portafoglio, che fa parte di un'unità di portafoglio, e che l'utente del portafoglio utilizza per interagire con l'unità di portafoglio;

5) «applicazione crittografica sicura per il portafoglio»: un'applicazione che gestisce risorse critiche tramite un collegamento alle funzioni crittografiche e non crittografiche fornite dal dispositivo crittografico sicuro per il portafoglio e l'uso di tali funzioni;

6) «dispositivo crittografico sicuro per il portafoglio»: un dispositivo resistente alle manomissioni che fornisce un ambiente collegato all'applicazione crittografica sicura per il portafoglio e da essa utilizzato per proteggere le risorse critiche e fornire funzioni crittografiche per l'esecuzione sicura di operazioni critiche;

7) «fornitore del portafoglio»: una persona fisica o giuridica che fornisce soluzioni di portafoglio;

8) «unità di portafoglio»: una configurazione unica di una soluzione di portafoglio che comprende istanze di portafoglio, applicazioni crittografiche sicure per il portafoglio e dispositivi crittografici sicuri per il portafoglio forniti da un fornitore del portafoglio a un singolo utente del portafoglio;

9) «risorse critiche»: risorse all'interno di un'unità di portafoglio o ad essa relative, di importanza tale che un'eventuale compromissione della loro disponibilità, riservatezza o integrità avrebbe un effetto estremamente grave e debilitante sulla possibilità di fare affidamento sull'unità di portafoglio;

10) «attestato di unità di portafoglio»: un oggetto di dati che descrive i componenti dell'unità di portafoglio o consente la loro autenticazione e convalida.

1. Fatti salvi la direttiva (UE) 2022/2555 e i regolamenti (UE) 2019/881 e (UE) 2024/2847, gli Stati membri tengono debitamente conto dei criteri di cui all'allegato I del presente regolamento al fine di valutare se una violazione della sicurezza o una compromissione di una soluzione di portafoglio, dei meccanismi di convalida di cui all'articolo 5 bis, paragrafo 8, del regolamento (UE) n. 910/2014 o del regime di identificazione elettronica nell'ambito del quale è fornita la soluzione di portafoglio pregiudichi la loro affidabilità o l'affidabilità di altre soluzioni di portafoglio.

2. Qualora accerti, sulla base della valutazione di cui al paragrafo 1, che una violazione della sicurezza o una compromissione pregiudica l'affidabilità di una soluzione di portafoglio e sospenda la fornitura e l'uso di tale soluzione di portafoglio, uno Stato membro adotta le misure di cui agli articoli 4 e 5. Qualora ritiri la soluzione di portafoglio, lo Stato membro adotta le misure di cui agli articoli 8 e 9.

3. Uno Stato membro che venga a conoscenza di informazioni relative a una possibile violazione della sicurezza o a una possibile compromissione, che potrebbe pregiudicare l'affidabilità di una o più soluzioni di portafoglio fornite da un altro Stato membro, ne dà comunicazione senza indebito ritardo alla Commissione e ai punti di contatto unici degli Stati membri interessati designati a norma dell'articolo 46 quater, paragrafo 1, del regolamento (UE) n. 910/2014. Detta comunicazione comprende le informazioni di cui all'articolo 5, paragrafo 2.

4. Lo Stato membro che riceve le informazioni fornite a norma del paragrafo3 adotta le misure di cui ai paragrafi 1 e 2 senza indebito ritardo.

1. Gli Stati membri provvedono affinché non siano fornite, utilizzate o attivate unità di portafoglio nell'ambito della soluzione di portafoglio sospesa.

2. Gli Stati membri valutano se, per reagire adeguatamente alla violazione della sicurezza o alla compromissione, sia necessaria la revoca degli attestati di unità di portafoglio delle unità di portafoglio interessate dalla sospensione di una soluzione di portafoglio, o qualsiasi altro rimedio supplementare.

3. Le misure di cui ai paragrafi 1 e 2 sono adottate senza indebito ritardo e in ogni caso entro 24 ore dalla sospensione della fornitura e dell'uso della soluzione di portafoglio interessata dalla violazione della sicurezza o dalla compromissione.

4. Le misure di cui ai paragrafi 1 e 2 non impediscono agli utenti del portafoglio interessati di esercitare il diritto alla portabilità dei dati di cui all'articolo 5 bis, paragrafo 4, lettera g), del regolamento (UE) n. 910/2014. Ciò è subordinato alla condizione che gli utenti del portafoglio possano esercitare tale diritto senza pregiudicare la sicurezza delle risorse critiche delle unità di portafoglio interessate, in particolare tenendo conto dei motivi della sospensione e della necessità di garantire che tali risorse siano efficacemente protette da un uso improprio.

1. Senza indebito ritardo, e in ogni caso entro 24 ore dalla sospensione della fornitura e dell'uso della soluzione di portafoglio, sono fornite informazioni chiare, complete e facilmente accessibili in merito alla sospensione della fornitura e dell'uso della soluzione di portafoglio:

a) ai punti di contatto unici designati a norma dell'articolo 46 quater, paragrafo 1, del regolamento (UE) n. 910/2014;

b) alla Commissione;

c) agli utenti del portafoglio interessati;

d) alle parti facenti affidamento sul portafoglio registrate conformemente all'articolo 5 ter del regolamento (UE) n. 910/2014.

2. Le informazioni fornite conformemente al paragrafo 1 comprendono almeno:

a) il nome del fornitore della soluzione di portafoglio la cui fornitura e il cui uso sono stati sospesi;

b) il nome e l'identificativo di riferimento di tale soluzione di portafoglio, come indicato nell'elenco dei portafogli certificati redatto a norma dell'articolo 5 quinquies del regolamento (UE) n. 910/2014 e, se del caso, le versioni interessate;

c) la data e l'ora in cui è stata rilevata la violazione della sicurezza o la compromissione;

d) se note, la data e l'ora in cui si è concretizzata la violazione della sicurezza o la compromissione, sulla base di registri di rete o di sistema o di altre fonti di dati;

e) la data e l'ora della sospensione della soluzione di portafoglio;

f) i dati di contatto, compresi almeno un indirizzo e-mail e un numero di telefono, dello Stato membro notificante e, se diversi, i dati di contatto del fornitore del portafoglio di cui alla lettera a);

g) una descrizione della violazione della sicurezza o della compromissione;

h) una descrizione dei dati compromessi, comprese, se del caso, le categorie di dati personali di cui all'articolo 9, paragrafo 1, e all'articolo 10 del regolamento (UE) 2016/679;

i) ove possibile, una stima del numero approssimativo di utenti del portafoglio interessati e di altre persone fisiche interessate;

j) una descrizione dei potenziali impatti sulle parti facenti affidamento sul portafoglio o sugli utenti del portafoglio e, in quest'ultimo caso, se opportuno, l'indicazione delle eventuali misure che gli utenti del portafoglio possono adottare per attenuare tali potenziali impatti;

k) una descrizione delle misure adottate o programmate per porre rimedio alla violazione della sicurezza o alla compromissione, unitamente alla programmazione e ai termini per l'applicazione di tali misure di rimedio;

l) laddove applicabile e opportuno, una descrizione delle misure adottate o programmate per il passaggio degli utenti del portafoglio interessati a soluzioni o servizi di portafoglio alternativi.

Ove necessario per garantire il ripristino della fornitura, dell'attivazione e dell'uso di una soluzione di portafoglio, gli Stati membri provvedono senza indebito ritardo:

1) a ripristinare la fornitura e l'uso delle unità di portafoglio fornite nell'ambito di tale soluzione di portafoglio rilasciando un'unità di portafoglio fornita nell'ambito di una nuova versione della soluzione di portafoglio a tutti gli utenti interessati;

2) a rilasciare nuovi attestati di unità di portafoglio a nuove unità di portafoglio o, se del caso, a unità di portafoglio precedentemente rilasciate, a condizione che tali unità di portafoglio soddisfino i requisiti di sicurezza in vigore dopo che è stato posto rimedio alla violazione della sicurezza o alla compromissione;

3) ad abrogare qualsiasi misura attuata a norma dell'articolo 4 che ostacoli la fornitura di nuove unità di portafoglio nell'ambito della soluzione di portafoglio interessata, qualora tale misura fosse collegata unicamente alla violazione della sicurezza o alla compromissione cui è stato posto rimedio.

Quando ripristina una soluzione di portafoglio, lo Stato membro provvede affinché:

1) tutte le parti che sono state informate della sospensione della fornitura e dell'uso della soluzione di portafoglio conformemente all'articolo 5, paragrafo 1, siano informate del ripristino senza indebito ritardo;

2) le informazioni fornite a norma del punto 1 comprendano almeno gli elementi di cui all'articolo 5, paragrafo 2, lettere a), b) e da f) a h), e i seguenti elementi:

a) la data e l'ora in cui è stato posto rimedio alla violazione della sicurezza o alla compromissione;

b) la data e l'ora del ripristino della soluzione di portafoglio interessata e, se del caso, delle unità di portafoglio interessate fornite nell'ambito di tale soluzione di portafoglio;

c) una descrizione delle misure adottate per porre rimedio alla violazione della sicurezza o alla compromissione;

d) una descrizione dei potenziali impatti residui sulle parti facenti affidamento sul portafoglio o sugli utenti del portafoglio e, in quest'ultimo caso, se opportuno, l'indicazione delle eventuali misure che gli utenti del portafoglio possono adottare per attenuare tali potenziali impatti residui.

1. Qualora non sia posto rimedio a una violazione della sicurezza o a una compromissione che ha portato alla sospensione della fornitura e dell'uso di una soluzione di portafoglio entro tre mesi dalla data di sospensione della fornitura e dell'uso di tale soluzione di portafoglio, lo Stato membro che la fornisce provvede affinché essa sia ritirata e ne sia revocata la validità, senza indebito ritardo e in ogni caso entro 72 ore dalla scadenza del periodo di tre mesi.

2. Quando ritira una soluzione di portafoglio, lo Stato membro provvede affinché:

a) gli attestati di unità di portafoglio dell'unità di portafoglio della soluzione di portafoglio interessata siano revocati;

b) gli attestati di unità di portafoglio non possano ritornare in stato di validità;

c) non sia possibile rilasciare un nuovo attestato di unità di portafoglio a unità di portafoglio esistenti fornite nell'ambito della soluzione di portafoglio interessata;

d) non sia possibile fornire una nuova unità di portafoglio nell'ambito della soluzione di portafoglio interessata.

3. Le misure di cui ai paragrafi 1 e 2 non impediscono agli utenti del portafoglio interessati di esercitare il diritto alla portabilità dei dati di cui all'articolo 5 bis, paragrafo 4, lettera g), del regolamento (UE) n. 910/2014. Ciò è subordinato alla condizione che gli utenti del portafoglio possano esercitare tale diritto senza pregiudicare la sicurezza delle risorse critiche delle unità di portafoglio interessate, in particolare tenendo conto dei motivi del ritiro e della necessità di garantire che tali risorse siano efficacemente protette da un uso improprio.

1. Senza indebito ritardo, e in ogni caso entro 24 ore dal ritiro della soluzione di portafoglio, sono fornite informazioni chiare, complete e facilmente accessibili in merito al ritiro della soluzione di portafoglio:

a) ai punti di contatto unici designati a norma dell'articolo 46 quater, paragrafo 1, del regolamento (UE) n. 910/2014;

b) alla Commissione;

c) agli utenti del portafoglio interessati;

d) alle parti facenti affidamento sul portafoglio registrate a norma dell'articolo 5 ter del regolamento (UE) n. 910/2014.

2. Le informazioni fornite conformemente al paragrafo 1 comprendono almeno:

a) il nome del fornitore della soluzione di portafoglio che è stata ritirata;

b) il nome e l'identificativo di riferimento di tale soluzione di portafoglio, come indicato nell'elenco dei portafogli certificati redatto a norma dell'articolo 5 quinquies del regolamento (UE) n. 910/2014 e, se del caso, le versioni interessate;

c) la data e l'ora del rilevamento della violazione della sicurezza o della compromissione che ha portato al ritiro della soluzione di portafoglio interessata a causa della sua gravità o perché non vi è stato posto rimedio entro tre mesi;

d) se note, la data e l'ora in cui si è concretizzata la violazione della sicurezza o la compromissione, sulla base di registri di rete o di sistema o di altre fonti di dati;

e) la data e l'ora del ritiro della soluzione di portafoglio e della revoca effettiva degli attestati di unità di portafoglio delle unità di portafoglio fornite nell'ambito della soluzione di portafoglio;

f) un'indicazione che precisi se il ritiro è dovuto alla gravità della violazione della sicurezza o della compromissione o al fatto che non è stato posto rimedio alla violazione della sicurezza o alla compromissione;

g) i dati di contatto, compresi almeno un indirizzo e-mail e un numero di telefono, dello Stato membro notificante e, se diversi, i dati di contatto del fornitore del portafoglio di cui alla lettera a);

h) una descrizione della violazione della sicurezza o della compromissione;

i) una descrizione dei dati compromessi, comprese, se del caso, le categorie di dati personali di cui all'articolo 9, paragrafo 1, e all'articolo 10 del regolamento (UE) 2016/679;

j) ove possibile, una stima del numero approssimativo di utenti del portafoglio interessati e di altre persone fisiche interessate;

k) una descrizione dei potenziali impatti sulle parti facenti affidamento sul portafoglio o sugli utenti del portafoglio e, in quest'ultimo caso, se opportuno, l'indicazione delle eventuali misure che gli utenti del portafoglio possono adottare per attenuare tali potenziali impatti;

l) una descrizione delle misure adottate o programmate per il passaggio degli utenti del portafoglio interessati a soluzioni di portafoglio alternative o, laddove applicabile e opportuno, a servizi alternativi.

Gli Stati membri inviano le informazioni di cui agli articoli 3, 5, 7 e 9 alla Commissione e ai punti di contatto unici degli Stati membri designati a norma dell'articolo 46 quater, paragrafo 1, del regolamento (UE) n. 910/2014 tramite il sistema CIRAS gestito dall'ENISA o un sistema equivalente concordato dagli Stati membri e dalla Commissione.

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri, ad eccezione dell'articolo 10, che si applica a decorrere dal 7 maggio 2026.

Fatto a Bruxelles, il 6 maggio 2025

Per la Commissione

La presidente

URSULA VON DER LEYEN