Informazioni relative alle parti facenti affidamento sul portafoglio

1. Se del caso, il nome della parte facente affidamento sul portafoglio, quale appare in un documento ufficiale unitamente ai dati di identificazione di tale documento ufficiale.

a) Se nessun elemento è applicabile, si utilizza il punto 2.

2. Se del caso, un nome di facile utilizzo della parte facente affidamento sul portafoglio, che può essere un nome commerciale o il nome di un servizio riconoscibile dall'utente.

3. Se del caso, uno o più identificativi della parte facente affidamento sul portafoglio, come appaiono in un documento ufficiale, unitamente ai dati di identificazione di tale documento ufficiale, espressi come:

a) numero di registrazione e identificazione degli operatori economici (EORI) di cui al regolamento di esecuzione (UE) n. 1352/2013 della Commissione [1];

b) numero di iscrizione in un registro nazionale delle imprese;

c) identificativo della persona giuridica (Legal Identity Identifier, LEI) di cui al regolamento di esecuzione (UE) 2022/1860 della Commissione [2];

d) numero di partita IVA;

e) numero di accisa di cui all'articolo 2, punto 12), del regolamento (UE) n. 389/2012 del Consiglio [3];

f) numero di riferimento fiscale;

g) identificativo unico europeo (European Unique Identifier, EUID) di cui al regolamento di esecuzione (UE) 2021/1042 della Commissione [4];

h) altri identificativi nazionali.

4. Indirizzo fisico in cui la parte facente affidamento sul portafoglio è stabilita.

5. Se del caso, un identificatore uniforme di risorse («URL») appartenente alla parte facente affidamento sul portafoglio.

6. Se è espresso conformemente al punto 3, lettera a), d), f) o h), l'identificativo è preceduto dall'indicatore paese dello Stato membro in cui è stabilita la parte facente affidamento sul portafoglio, espresso utilizzando i codici ISO 3166-1 Alpha 2, fatta eccezione per la Grecia, il cui indicatore è «EL».

7. Informazioni di contatto della parte facente affidamento sul portafoglio, tra cui almeno uno dei seguenti elementi:

a) un sito web su cui la parte facente affidamento sul portafoglio può essere contattata per questioni relative alla fornitura di servizi di helpdesk e assistenza;

b) un numero di telefono al quale la parte facente affidamento sul portafoglio può essere contattata per questioni relative alla sua registrazione e all'uso previsto delle unità di portafoglio;

c) un indirizzo di posta elettronica al quale la parte facente riferimento sul portafoglio può essere contattata per questioni relative alla sua registrazione e all'uso previsto dell'unità di portafoglio.

8. Una descrizione del tipo di servizi forniti dalla parte facente affidamento sul portafoglio.

9. Per ciascun uso previsto, un elenco dei dati, compresi attestati e attributi, che la parte facente affidamento sulla certificazione intende richiedere, un nome di facile utilizzo e un nome tecnico, il tipo di attestato e qualsiasi altra sintassi in base alla quale i dati sono raggruppati, in un formato leggibile da dispositivi automatici ai fini del trattamento automatizzato.

10. Per ciascun uso previsto, una descrizione dell'uso previsto dei dati che la parte facente affidamento sul portafoglio intende richiedere alle unità di portafoglio.

11. Un'indicazione che precisi se la parte facente affidamento sul portafoglio è un organismo del settore pubblico.

12. La qualifica o le qualifiche della parte facente affidamento sul portafoglio, che sono espresse come segue:

a) «Service_Provider»: parte facente affidamento sul portafoglio titolare della qualifica di prestatore di servizi;

b) «QEAA_Provider»: parte facente affidamento sul portafoglio titolare della qualifica di prestatore di servizi fiduciari qualificato che rilascia attestati elettronici qualificati di attributi;

c) «Non_Q_EAA_Provider»: parte facente affidamento sul portafoglio titolare della qualifica di prestatore di servizi fiduciari che rilascia attestati elettronici non qualificati di attributi;

d) «PUB_EAA_Provider»: parte facente affidamento sul portafoglio titolare della qualifica di fornitore di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto;

e) «PID_Provider»: parte facente affidamento sul portafoglio titolare della qualifica di fornitore di dati di identificazione personale;

f) «QCert_for_ESeal_Provider»: parte facente affidamento sul portafoglio titolare della qualifica di prestatore di servizi fiduciari qualificato che rilascia certificati qualificati di sigilli elettronici;

g) «QCert_for_ESig_Provider»: parte facente affidamento sul portafoglio titolare della qualifica di prestatore di servizi fiduciari qualificato che rilascia certificati qualificati di firme elettroniche;

h) «rQSigCDs_Provider»: parte facente affidamento sul portafoglio titolare della qualifica di prestatore di servizi fiduciari qualificato che fornisce servizi fiduciari qualificati per la gestione di un dispositivo qualificato per la creazione di una firma elettronica a distanza;

i) «rQSealCDs_Provider»: parte facente affidamento sul portafoglio titolare della qualifica di prestatore di servizi fiduciari qualificato che fornisce servizi fiduciari qualificati per la gestione di un dispositivo qualificato per la creazione di un sigillo elettronico a distanza;

j) «ESig_ESeal_Creation_Provider»: parte facente affidamento sul portafoglio titolare della qualifica di prestatore di servizi fiduciari non qualificato che fornisce un servizio fiduciario non qualificato per la creazione di firme elettroniche o sigilli elettronici a distanza;

13. per quanto riguarda il punto 12, lettera c), gli Stati membri possono prevedere ulteriori sottocategorie di qualifiche per indicare quali attestati devono essere rilasciati da uno specifico emittente non qualificato di attestati elettronici di attributi.

14. Se del caso, l'indicazione che la parte facente affidamento sul portafoglio si avvale di un intermediario che agisce per conto della parte facente affidamento sulla certificazione che intende fare affidamento sul portafoglio.

15. Se del caso, una associazione all'intermediario di cui si avvale la parte facente affidamento sul portafoglio e che agisce per conto della parte facente affidamento sulla certificazione che intende fare affidamento sul portafoglio.

________________

[1] Regolamento di esecuzione (UE) n. 1352/2013 della Commissione, del 4 dicembre 2013, che stabilisce i formulari di cui al regolamento (UE) n. 608/2013 del Parlamento europeo e del Consiglio relativo alla tutela dei diritti di proprietà intellettuale da parte delle autorità doganali (GU L 341 del 18.12.2013, ELI: http://data.europa.eu/eli/reg_impl/2013/1352/oj).

[2] Regolamento di esecuzione (UE) 2022/1860 della Commissione, del 10 giugno 2022, che stabilisce norme tecniche di attuazione per l'applicazione del regolamento (UE) n. 648/2012 del Parlamento europeo e del Consiglio per quanto riguarda le norme, i formati, la frequenza, i metodi e le modalità di segnalazione (GU L 262 del 7.10.2022, ELI: http://data.europa.eu/eli/reg_impl/2022/1860/oj).

[3] Regolamento (UE) n. 389/2012 del Consiglio, del 2 maggio 2012, relativo alla cooperazione amministrativa in materia di accise e che abroga il regolamento (CE) n. 2073/2004 (GU L 121 dell'8.5.2012, ELI: http://data.europa.eu/eli/reg/2012/389/oj).

[4] Regolamento di esecuzione (UE) 2021/1042 della Commissione, del 18 giugno 2021, che reca modalità di applicazione della direttiva (UE) 2017/1132 del Parlamento europeo e del Consiglio per quanto riguarda le specifiche tecniche e le procedure necessarie per il sistema di interconnessione dei registri e che abroga il regolamento di esecuzione (UE) 2020/2244 della Commissione (GU L 225 del 25.6.2021, ELI: http://data.europa.eu/eli/reg_impl/2021/1042/oj).

1. REQUISITI PER LE FIRME ELETTRONICHE O I SIGILLI ELETTRONICI APPOSTI SULLE INFORMAZIONI MESSE A DISPOSIZIONE IN MERITO ALLE PARTI FACENTI AFFIDAMENTO SUL PORTAFOGLIO REGISTRATE DI CUI ALL'ARTICOLO 3

- JavaScript Object Notation («JSON»);

- norma IETF 7515 per le firme web JSON.

2. REQUISITI PER L'API COMUNE UNICA DI CUI ALL'ARTICOLO 3

1) L'API comune unica:

a) è un'API REST, che supporta il formato JSON ed è firmata conformemente ai requisiti pertinenti di cui alla sezione 1;

b) consente a qualsiasi richiedente, senza autenticazione previa, di effettuare ricerche e richiedere al registro elenchi completi di informazioni sulle parti facenti affidamento sul portafoglio, con la possibilità di ottenere corrispondenze parziali basate su parametri definiti, tra cui, se del caso, il numero ufficiale o il numero di iscrizione nel registro delle imprese della parte facente affidamento sul portafoglio, il nome della parte facente affidamento sul portafoglio o le informazioni di cui all'articolo 8, paragrafo 2, lettera g), e all'allegato I, punti 12, 13, 14 e 15;

c) garantisce che le risposte alle richieste di cui alla lettera b) che corrispondono ad almeno una parte facente affidamento sul portafoglio comprendano una o più dichiarazioni relative a informazioni concernenti le parti facenti affidamento sul portafoglio registrate e le informazioni di cui all'allegato I, nonché i certificati di accesso e di registrazione, storici e attuali, della parte facente affidamento sul portafoglio, ma non comprendano le informazioni di contatto di cui all'allegato I, punto 4;

d) è pubblicata come OpenAPI versione 3, unitamente alla documentazione adeguata e a specifiche tecniche che garantiscano l'interoperabilità in tutta l'Unione;

e) offre funzioni di sicurezza, compresa la sicurezza predefinita e fin dalla progettazione, volte a garantire la disponibilità e l'integrità dell'API e la disponibilità delle informazioni ottenibili attraverso di essa.

2) Le dichiarazioni di cui alla lettera c) sono espresse sotto forma di file JSON firmati o sigillati elettronicamente, con formato e struttura conformi ai requisiti in materia di firme elettroniche o sigilli elettronici di cui alla sezione 1.

Fonte delle prove documentali per la verifica delle qualifiche delle parti facenti affidamento sul portafoglio di cui all'articolo 6

1. La verifica che una parte facente affidamento sul portafoglio sia un fornitore di attestati elettronici qualificati di attributi, un fornitore di certificati qualificati di firme elettroniche o sigilli elettronici o un prestatore di servizi fiduciari qualificato per la gestione di dispositivi qualificati per la creazione di una firma elettronica o di un sigillo elettronico a distanza si basa sugli elenchi nazionali di fiducia pubblicati conformemente all'articolo 22 del regolamento (UE) n. 910/2014.

2. La verifica che una parte facente affidamento sul portafoglio sia un fornitore di attestati elettronici non qualificati di attributi o un prestatore di servizi per la creazione a distanza di firme elettroniche o sigilli elettronici in qualità di servizio fiduciario non qualificato si basa, se del caso, sugli elenchi nazionali di fiducia pubblicati conformemente all'articolo 22 del regolamento (UE) n. 910/2014 oppure, per i prestatori di servizi fiduciari non qualificati che non sono registrati negli elenchi nazionali di fiducia, sulle procedure di verifica che gli Stati membri hanno stabilito nelle proprie politiche di registrazione di cui all'articolo 4.

3. La verifica che una parte facente affidamento sul portafoglio sia un fornitore di dati di identificazione personale si basa sull'elenco dei fornitori di dati di identificazione personale pubblicato dalla Commissione conformemente all'articolo 5 bis, paragrafo 18, del regolamento (UE) n. 910/2014.

4. La verifica che una parte facente affidamento sul portafoglio sia un fornitore di attestati elettronici di attributi rilasciati da un organismo pubblico responsabile di una fonte autentica o per suo conto si basa sull'elenco pubblicato dalla Commissione conformemente all'articolo 45 septies, paragrafo 3, del regolamento (UE) n. 910/2014.

Requisiti per i certificati di accesso della parte facente affidamento sul portafoglio di cui all'articolo 7

1. La politica per i certificati di accesso della parte facente affidamento sul portafoglio applicabile alla fornitura di tali certificati descrive i requisiti di sicurezza che si applicano a tali certificati e le norme che ne indicano l'applicabilità, al fine di consentirne il rilascio alle parti facenti affidamento sul portafoglio, che ne possono fare uso nelle proprie interazioni con soluzioni di portafoglio.

2. La dichiarazione sulla pratica di certificazione per i certificati di accesso della parte facente affidamento sul portafoglio, applicabile alla fornitura di tali certificati, descrive le pratiche utilizzate dal fornitore di certificati di accesso della parte facente affidamento sul portafoglio per il rilascio, la gestione, la revoca e il re-keying di tali certificati.

3. La politica di certificazione e la dichiarazione sulla pratica di certificazione applicabili alla fornitura di certificati di accesso della parte facente affidamento sul portafoglio sono armonizzati in tutta l'Unione dal punto di vista sintattico e semantico, sono conformi, se del caso, almeno ai requisiti della Normalised Certificate Policy («NCP») specificati nella norma ETSI EN 319411-1 versione 1.4.1 (2023-10) e comprendono:

a) una chiara descrizione della gerarchia dell'infrastruttura a chiave pubblica e dei percorsi di certificazione a partire dai certificati di accesso della parte facente affidamento sul portafoglio relativi all'entità finale fino al vertice della gerarchia utilizzata per il loro rilascio, che indichi l'ancora o le ancore di fiducia (trust anchor) previste in tale gerarchia e in tali percorsi che devono basarsi sul quadro di fiducia stabilito conformemente all'articolo 5 bis, paragrafo 18, del regolamento (UE) n. 910/2014;

b) una descrizione completa delle procedure per il rilascio dei certificati di accesso della parte facente affidamento sul portafoglio, compresa la verifica dell'identità e qualsiasi altro attributo della parte facente affidamento sul portafoglio cui deve essere rilasciato un certificato della parte facente affidamento sul portafoglio;

c) l'obbligo in capo ai fornitori di certificati di accesso della parte facente affidamento sul portafoglio, all'atto del rilascio di tali certificati, di verificare quanto segue:

- che la parte facente affidamento sul portafoglio figuri, con una registrazione in corso di validità, nel registro nazionale delle parti facenti affidamento sul portafoglio dello Stato membro in cui tale parte è stabilita;

- che tutte le informazioni contenute nel certificato di accesso della parte facente affidamento sul portafoglio siano esatte e coerenti con le informazioni di registrazione disponibili in tale registro;

d) una descrizione completa delle procedure per la revoca dei certificati di accesso della parte facente affidamento sul portafoglio;

e) l'obbligo in capo ai fornitori di certificati di accesso della parte facente affidamento sul portafoglio di attuare misure e processi concernenti:

- il monitoraggio costante di qualsiasi variazione intervenuta nel registro nazionale delle parti facenti affidamento sul portafoglio in cui sono registrate le parti facenti affidamento sul portafoglio cui i fornitori hanno rilasciato certificati di accesso della parte facente affidamento sul portafoglio;

- la revoca, qualora le variazioni lo richiedano, di qualsiasi certificato della parte facente affidamento sul portafoglio che il fornitore ha rilasciato alla parte in questione, in particolare quando il contenuto del certificato non risulta più esatto e coerente con le informazioni registrate, o quando la registrazione della parte facente affidamento sul portafoglio è sospesa o cancellata;

f) una descrizione completa delle procedure e dei meccanismi per la convalida armonizzata in tutta l'Unione dei certificati di accesso della parte facente affidamento sul portafoglio;

g) l'obbligo in capo ai fornitori di certificati di accesso della parte facente affidamento sul portafoglio di consentire ai portatori di interessi pertinenti, comprese le parti facenti affidamento sul portafoglio per quanto riguarda i propri certificati, gli organismi di vigilanza competenti e le autorità per la protezione dei dati, di chiedere la revoca dei certificati di accesso della parte facenti affidamento sul portafoglio;

h) l'obbligo in capo ai fornitori di certificati di accesso della parte facente affidamento sul portafoglio di registrare tutte le revoche effettuate nella propria banca dati dei certificati e di pubblicare la situazione di revoca del certificato tempestivamente e, in ogni caso, entro 24 ore dal ricevimento della richiesta di revoca;

i) l'obbligo in capo ai fornitori di certificati di accesso della parte facente affidamento sul portafoglio di fornire informazioni riguardo alla situazione di validità o di revoca dei certificati della parte facente affidamento sul portafoglio da essi rilasciati;

j) se del caso, una descrizione delle modalità con cui un fornitore di certificati di accesso della parte facente affidamento sul portafoglio registra tutti i certificati di accesso della parte facente affidamento sul portafoglio che ha rilasciato, conformemente alla richiesta di commenti (Request for Comments, RFC) 9162 Certificate Transparency versione 2.0 dell'Internet Engineering Task Force («IETF»);

k) l'obbligo di includere nei certificati di accesso della parte facente affidamento sul portafoglio quanto segue:

- l'ubicazione del certificato che supporta la firma elettronica avanzata o il sigillo elettronico avanzato apposta o apposto su tale certificato, affinché sia possibile ricostruire l'intero percorso di certificazione fino all'ancora di fiducia (trust anchor) prevista nella gerarchia dell'infrastruttura a chiave pubblica utilizzata dal fornitore;

- un riferimento, elaborabile automaticamente, alla politica di certificazione e alla dichiarazione sulla pratica di certificazione applicabili;

- le informazioni di cui all'allegato I, punti 1, 2, 3, 5, 6 e punto 7, lettere a), b) e c).

4. La revoca di cui al punto 3, lettera g), diventa immediatamente effettiva all'atto della pubblicazione.

5. Le informazioni di cui al punto 3, lettera h), sono rese disponibili almeno per ogni certificato rilasciato, in qualsiasi momento e almeno oltre il periodo di validità del certificato, in modo automatizzato, affidabile, gratuito ed efficiente conformemente alla politica di certificazione.

Requisiti per i certificati di registrazione della parte facente affidamento sul portafoglio di cui all'articolo 8

1. La politica per i certificati di registrazione della parte facente affidamento sul portafoglio, applicabile alla fornitura di tali certificati, descrive i requisiti di sicurezza che si applicano a tali certificati e le norme che ne indicano l'applicabilità, ai fini del loro rilascio alle parti facenti affidamento sul portafoglio e del loro utilizzo da parte di queste ultime nelle proprie interazioni con soluzioni di portafoglio. La politica per i certificati di registrazione della parte facente affidamento sul portafoglio è pubblicata in un formato leggibile da utenti umani.

2. La dichiarazione sulla pratica di certificazione per i certificati di registrazione della parte facente affidamento sul portafoglio, applicabile alla fornitura di tali certificati, descrive le pratiche utilizzate dal fornitore di certificati di registrazione della parte facente affidamento sul portafoglio per il rilascio, la gestione, la revoca e il re-keying di tali certificati e, se del caso, le modalità con cui sono legate ai certificati di accesso della parte facente affidamento sul portafoglio rilasciati a parti facenti affidamento sul portafoglio. La dichiarazione sulla pratica di certificazione per i certificati di registrazione della parte facente affidamento sul portafoglio è pubblicata in un formato leggibile da utenti umani.

3. La politica di certificazione e la dichiarazione sulla pratica di certificazione per i certificati di registrazione della parte facente affidamento sul portafoglio, applicabili alla fornitura di tali certificati, sono armonizzate in tutta l'Unione dal punto di vista sintattico e semantico, sono conformi almeno ai requisiti NCP applicabili specificati nella norma ETSI EN 319411-1 versione 1.4.1 (2023-10) e comprendono:

a) una chiara descrizione della gerarchia dell'infrastruttura a chiave pubblica e dei percorsi di certificazione a partire dai certificati di registrazione della parte facente affidamento sul portafoglio relativi all'entità finale fino al vertice della gerarchia utilizzata per il loro rilascio, che indichi l'ancora o le ancore di fiducia (trust anchor) previste nella gerarchia e nei percorsi in questione;

b) una descrizione completa delle procedure per il rilascio dei certificati di registrazione della parte facente affidamento sul portafoglio, compresa la verifica dell'identità e di qualsiasi attributo della parte facente affidamento sul portafoglio cui deve essere rilasciato un certificato della parte facente affidamento sul portafoglio;

c) l'obbligo in capo al fornitore di certificati di registrazione della parte facente affidamento sul portafoglio, all'atto del rilascio di un certificato di registrazione della parte facente affidamento sul portafoglio, di verificare quanto segue:

- che la parte facente affidamento sul portafoglio figuri, con una registrazione in corso di validità, nel registro nazionale delle parti facenti affidamento sul portafoglio dello Stato membro in cui tale parte è stabilita;

- che le informazioni contenute nel certificato di registrazione della parte facente affidamento sul portafoglio siano esatte e coerenti con le informazioni di registrazione disponibili in tale registro;

- che il certificato di accesso della parte facente affidamento sul portafoglio sia valido;

- che la descrizione delle procedure per la revoca dei certificati di registrazione della parte facente affidamento sul portafoglio sia completa;

d) l'obbligo in capo al fornitore di certificati di registrazione della parte facente affidamento sul portafoglio di attuare misure e processi concernenti:

- il monitoraggio costante automatizzato di qualsiasi variazione intervenuta nel registro nazionale delle parti facenti affidamento sul portafoglio in cui sono registrate le parti facenti affidamento sul portafoglio cui i fornitori hanno rilasciato certificati di registrazione della parte facente affidamento sul portafoglio;

- il nuovo rilascio di un certificato di registrazione della parte facente affidamento sul portafoglio;

- la revoca, qualora tali variazioni lo richiedano, di qualsiasi certificato di registrazione della parte facente affidamento sul portafoglio che è stato rilasciato alla parte in questione, in particolare quando il contenuto del certificato non risulta più esatto e coerente con le informazioni registrate, o quando la registrazione della parte facente affidamento sul portafoglio è modificata, sospesa o cancellata;

e) una descrizione completa delle procedure e dei meccanismi per la convalida armonizzata dei certificati di registrazione della parte facente affidamento sul portafoglio;

f) l'obbligo in capo al fornitore di certificati di registrazione della parte facente affidamento sul portafoglio di consentire ai portatori di interessi pertinenti, comprese le parti facenti affidamento sul portafoglio per quanto riguarda i propri certificati, gli organismi di vigilanza competenti e le autorità per la protezione dei dati, di chiedere la revoca dei certificati di registrazione della parte facente affidamento sul portafoglio;

g) l'obbligo in capo al fornitore di certificati di registrazione della parte facente affidamento sul portafoglio di registrare tutte le revoche effettuate nella propria banca dati dei certificati e di pubblicare la situazione di revoca del certificato tempestivamente e, in ogni caso, entro 24 ore dal ricevimento della richiesta di revoca;

h) l'obbligo in capo ai fornitori di certificati di registrazione della parte facente affidamento sul portafoglio di fornire informazioni riguardo alla situazione di validità o di revoca dei certificati di registrazione della parte facente affidamento sul portafoglio da essi rilasciati;

i) se del caso, una descrizione delle modalità con cui un fornitore di certificati di registrazione della parte facente affidamento sul portafoglio registra tutti i certificati di registrazione della parte facente affidamento sul portafoglio che ha rilasciato;

j) l'obbligo che impone che i certificati di registrazione della parte facente affidamento sul portafoglio:

- indichino dove sono reperibili i dati di convalida della firma elettronica avanzata o del sigillo elettronico avanzato per il certificato utilizzato per firmare o sigillare il certificato di registrazione, affinché l'intera catena di fiducia possa essere ricostruita fino all'ancora di fiducia (trust anchor) prevista;

- includano un riferimento, leggibile da dispositivi automatici, alla politica di certificazione e alla dichiarazione sulla pratica di certificazione applicabili;

- includano le informazioni di cui all'allegato I, punti 1, 2, 3, 5, 6, 8, 9, 10, 11, 12, 13, 14 e 15;

- includano l'URL dell'informativa sulla privacy di cui all'articolo 8, paragrafo 2, lettera g);

- includano una politica generale di accesso di cui all'articolo 8, paragrafo 3;

4. Il formato di scambio dei dati per il certificato di registrazione della parte facente affidamento sulla certificazione è costituito dai token web JSON (IETF RFC 7519) firmati e dai token web CBOR (IETF RFC 8392).

5. La revoca di cui al punto 3, lettera g), diventa immediatamente effettiva all'atto della pubblicazione.

6. Le informazioni di cui al punto 3, lettera h), sono rese disponibili almeno per ogni certificato rilasciato, in qualsiasi momento e almeno oltre il periodo di validità del certificato, in modo automatizzato, affidabile, gratuito ed efficiente conformemente alla politica di certificazione.