Il presente regolamento stabilisce le norme di riferimento, le specifiche e le procedure, da aggiornare periodicamente per tenere conto degli sviluppi tecnologici, della normazione e del lavoro svolto sulla base della raccomandazione (UE) 2021/946 della Commissione, in particolare dell'architettura e del quadro di riferimento, relative:

1) agli attestati elettronici qualificati di attributi;

2) agli attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto;

3) all'elenco di fornitori di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto;

4) al catalogo di attributi e al catalogo di regimi per gli attestati di attributi di cui ai punti 1) e 2);

5) alla verifica degli attributi rispetto a fonti autentiche o intermediari designati.

Ai fini del presente regolamento si applicano le definizioni seguenti:

1) "unità di portafoglio": una configurazione unica di una soluzione di portafoglio che comprende istanze di portafoglio, applicazioni crittografiche sicure per il portafoglio e dispositivi crittografici sicuri per il portafoglio forniti da un fornitore del portafoglio a un singolo utente del portafoglio;

2) "utente del portafoglio": un utente che ha il controllo dell'unità di portafoglio;

3) "catalogo di attributi": un archivio digitale di attributi gestito e pubblicato online dalla Commissione;

4) "regime per gli attestati di attributi": un insieme di norme applicabili a uno o più tipi di attestati elettronici di attributi;

5) "tipo di attestati elettronici di attributi": un gruppo di attestati elettronici di attributi cui sono stati assegnati un nome specifico e una descrizione semantica;

6) "catalogo di regimi per gli attestati di attributi": un archivio digitale contenente un elenco di regimi per gli attestati di attributi registrato conformemente al presente regolamento e gestito [e pubblicato online] dalla Commissione;

7) "soluzione di portafoglio": una combinazione di software, hardware, servizi, impostazioni e configurazioni, comprese le istanze di portafoglio, una o più applicazioni crittografiche sicure per il portafoglio e uno o più dispositivi crittografici sicuri per il portafoglio;

8) "istanza di portafoglio": l'applicazione installata e configurata su un dispositivo o su un ambiente di un utente del portafoglio, che fa parte di un'unità di portafoglio, e che l'utente del portafoglio utilizza per interagire con l'unità di portafoglio;

9) "applicazione crittografica sicura per il portafoglio": un'applicazione che gestisce risorse critiche tramite un collegamento alle funzioni crittografiche e non crittografiche fornite dal dispositivo crittografico sicuro per il portafoglio e l'uso di tali funzioni;

10) "dispositivo crittografico sicuro per il portafoglio": un dispositivo resistente alle manomissioni che fornisce un ambiente collegato all'applicazione crittografica sicura per il portafoglio e da essa utilizzato per proteggere le risorse critiche e fornire funzioni crittografiche per l'esecuzione sicura di operazioni critiche;

11) "fornitore del portafoglio": una persona fisica o giuridica che fornisce soluzioni di portafoglio;

12) "risorse critiche": risorse all'interno di un'unità di portafoglio o ad essa relative, di importanza tale che un'eventuale compromissione della loro disponibilità, riservatezza o integrità avrebbe un effetto estremamente grave e debilitante sulla possibilità di fare affidamento sull'unità di portafoglio;

13) "titolare di un regime per gli attestati di attributi": un'entità responsabile dell'istituzione e della gestione di un regime per gli attestati di attributi.

1. I fornitori di attestati elettronici qualificati di attributi e i fornitori di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto rispettano l'elenco delle norme di riferimento e delle specifiche di cui all'allegato I e garantiscono che gli attestati elettronici di attributi da essi rilasciati siano conformi alle specifiche tecniche di cui all'allegato II.

2. Nel caso di rilascio di attestati elettronici di attributi inclusi in regimi registrati nel catalogo di regimi per gli attestati di attributi, i fornitori di attestati elettronici qualificati di attributi e i fornitori di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto devono conformarsi ai requisiti del regime per gli attestati di attributi corrispondente. Le politiche e le procedure stabilite dagli emittenti di attestati al fine di garantire la conformità ai requisiti dei regimi per gli attestati di attributi rientrano nella valutazione della conformità di cui al regolamento (UE) 910/2014.

1. I fornitori di attestati elettronici qualificati di attributi e i fornitori di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto dispongono di politiche scritte e accessibili al pubblico relative alla gestione della situazione di validità o revoca. Tali politiche comprendono, se del caso, le condizioni in base alle quali gli attestati elettronici di attributi possono essere revocati senza indugio e misure volte a garantire la disponibilità di informazioni relative alla situazione di validità.

2. I fornitori di attestati elettronici qualificati di attributi e i fornitori di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto sono gli unici soggetti in grado di revocare gli attestati elettronici di attributi che hanno rilasciato.

3. I fornitori di attestati elettronici qualificati di attributi e i fornitori di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto, qualora tali attestati siano rilasciati con un periodo di validità superiore alle 24 ore, li revocano almeno nelle circostanze seguenti:

a) su richiesta esplicita della persona cui è stato rilasciato l'attestato elettronico di attributi o, se del caso, del soggetto cui si riferisce l'attestato;

b) se il fornitore è a conoscenza del fatto che la sicurezza o l'affidabilità degli attestati elettronici qualificati di attributi o degli attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto è stata compromessa;

c) in altre situazioni come previsto dal diritto dell'Unione o nazionale o come stabilito nelle politiche dei fornitori di cui al paragrafo 1.

4. I fornitori di attestati elettronici qualificati di attributi e i fornitori di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto istituiscono tecniche di revoca e metodi di gestione che tutelino la vita privata e ostacolino la correlabilità e la tracciabilità.

5. I fornitori di attestati elettronici qualificati di attributi e i fornitori di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto mettono a disposizione delle parti facenti affidamento sulla certificazione informazioni sulla situazione di validità o di revoca degli attestati elettronici di attributi che hanno rilasciato con una modalità che garantisca l'integrità e l'autenticità di tali informazioni.

1. Gli Stati membri trasmettono almeno le informazioni di cui all'allegato III sugli organismi del settore pubblico di cui all'articolo 45 septies, paragrafo 3, del regolamento (UE) n. 910/2014, attraverso un sistema elettronico sicuro per le notifiche fornito dalla Commissione.

2. Gli Stati membri notificano qualsiasi modifica delle informazioni notificate.

3. Gli Stati membri effettuano le notifiche quanto meno in lingua inglese. Gli Stati membri non sono tenuti a tradurre alcun documento a sostegno delle notifiche qualora ciò comporti un onere amministrativo o finanziario irragionevole.

4. Se del caso, la Commissione può chiedere agli Stati membri di fornire informazioni supplementari.

1. La Commissione redige, mantiene e pubblica un elenco dei fornitori di attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto sulla base delle informazioni notificate dagli Stati membri a norma dell'articolo 5.

2. La Commissione garantisce che sia possibile accedere all'elenco di cui al paragrafo 1.

a) tanto in forma firmata o sigillata elettronicamente adatta al trattamento automatizzato, quanto attraverso un sito web leggibile da utenti umani;

b) senza la necessità di registrarsi o di essere autenticati;

c) solo utilizzando una sicurezza a livello di trasporto (transport layer security) all'avanguardia.

3. La Commissione pubblica senza indebito ritardo, attraverso un canale sicuro:

a) le specifiche tecniche dell'elenco;

b) i dettagli dell'URL presso il quale è pubblicato l'elenco;

c) i certificati da utilizzare per verificare la firma elettronica o il sigillo elettronico apposti sugli elenchi;

d) i dettagli relativi ai meccanismi utilizzati per convalidare le successive modifiche dell'ubicazione o dei certificati di cui alle lettere b) e c).

1. La Commissione redige e pubblica un catalogo di attributi e istituisce un sistema sicuro che consente la presentazione di richieste di inclusione di attributi nel catalogo di attributi o di modifica degli attributi in esso registrati.

2. La Commissione, dopo aver preso in considerazione eventuali pareri forniti dal gruppo di cooperazione, valuta le richieste di inclusione di un attributo nel catalogo di attributi o di modifica di un attributo in esso registrato, presentate utilizzando il sistema di cui al paragrafo 1. Nella sua valutazione la Commissione considera se l'inclusione dell'attributo contribuisce alla creazione di una base comune per interazioni elettroniche sicure e rispettose della vita privata tra cittadini, imprese e autorità pubbliche e alla promozione dell'interoperabilità. La Commissione tiene conto anche della normativa settoriale, ove applicabile.

3. Gli Stati membri richiedono l'inclusione di attributi figuranti nell'allegato VI del regolamento (UE) n. 910/2014 nel catalogo di attributi qualora tali attributi facciano affidamento su fonti autentiche ai fini della verifica da parte di prestatori di servizi fiduciari qualificati.

4. Gli Stati membri possono inoltre richiedere l'inclusione di attributi non figuranti nell'allegato VI nel catalogo di attributi qualora tali attributi facciano affidamento su fonti autentiche del settore pubblico. I soggetti privati che sono considerati una fonte primaria di informazioni o che sono riconosciuti come autentici conformemente al diritto dell'Unione o nazionale, inclusa la prassi amministrativa, possono richiedere l'inclusione di attributi non figuranti nell'allegato VI nel catalogo di attributi a condizione che il soggetto richiedente sia responsabile di tali attributi.

5. La richiesta di includere un attributo nel catalogo o di modificare un attributo in esso registrato contiene almeno le informazioni seguenti:

a) identificazione del soggetto che presenta la richiesta;

b) se del caso, un riferimento alla normativa dell'Unione o nazionale o alla prassi amministrativa in virtù della quale il soggetto che effettua la richiesta è considerato essere una fonte primaria di informazioni o una fonte autentica riconosciuta;

c) se la richiesta riguarda un attributo già presente nel catalogo o un nuovo attributo;

d) uno spazio dei nomi (namespace) per l'identificatore degli attributi, il cui valore è unico all'interno del catalogo di attributi;

e) un identificatore dell'attributo, unico all'interno dello spazio dei nomi, e la versione dell'attributo;

f) la descrizione semantica dell'attributo;

g) il tipo di dati dell'attributo;

h) il punto di verifica per l'attributo a livello nazionale o un link a una descrizione della procedura per avviare le richieste di verifica.

6. La richiesta di includere o modificare un attributo è firmata o sigillata dal richiedente mediante una firma elettronica qualificata o un sigillo elettronico qualificato oppure una firma elettronica avanzata o un sigillo elettronico avanzato basati su un certificato qualificato.

7. La Commissione, a seguito della valutazione di cui al paragrafo 2 e dopo aver verificato che le informazioni fornite nella richiesta di inclusione o modifica di un attributo comprendano tutte le informazioni di cui al paragrafo 5, può inserire l'attributo o la modifica oggetto della richiesta nel catalogo di attributi.

8. Il catalogo di attributi sigillato dalla Commissione è accessibile al pubblico, attraverso un canale sicuro, gratuitamente e senza previa identificazione o autenticazione, ed è pubblicato in versioni leggibili da dispositivi automatici e da utenti umani. Il catalogo comprende anche una funzione di ricerca.

9. La Commissione pubblica le specifiche tecniche da essa utilizzate per il catalogo di attributi.

10. La Commissione rilascia un identificatore unico per ciascun attributo registrato.

1. La Commissione redige e pubblica un catalogo di regimi per gli attestati di attributi e istituisce un sistema sicuro che consente la presentazione di richieste di inclusione di regimi per gli attestati di attributi nel catalogo di regimi per gli attestati di attributi o di modifica dei regimi in esso registrati.

2. La Commissione, dopo aver preso in considerazione eventuali pareri forniti dal gruppo di cooperazione, valuta le richieste di inclusione di regimi per gli attestati di attributi nel catalogo di regimi per gli attestati di attributi o di modifica dei regimi in esso registrati. Nella sua valutazione la Commissione considera se il regime contribuisce alla creazione di una base comune per interazioni elettroniche sicure e rispettose della vita privata tra cittadini, imprese e autorità pubbliche e alla promozione dell'interoperabilità. La Commissione tiene conto anche della normativa settoriale, ove applicabile.

3. I titolari di un regime per gli attestati di attributi possono chiedere di aggiungere regimi al catalogo di regimi. La richiesta di includere un regime nel catalogo di regimi per gli attestati di attributi o di modificare un regime in esso registrato contiene almeno:

a) il nome del regime, scelto dal titolare del regime per gli attestati di attributi e unico all'interno del catalogo di regimi per gli attestati di attributi;

b) il nome e le informazioni di contatto del titolare del regime per gli attestati di attributi;

c) lo stato e la versione del regime;

d) un riferimento a eventuali leggi, norme o orientamenti specifici cui siano soggetti il rilascio, la convalida o l'utilizzo di un attestato elettronico di attributi rientrante nell'ambito di applicazione del regime;

e) il formato o i formati degli attestati elettronici di attributi che rientrano nell'ambito di applicazione del regime;

f) uno o più spazi dei nomi, identificatori degli attributi, descrizioni semantiche e tipi di dati di ciascun attributo facente parte di un attestato elettronico di attributi che rientra nell'ambito di applicazione del regime, mediante riferimento a un attributo nel catalogo di attributi di cui all'articolo 7 oppure mediante un attributo definito in modo analogo nell'ambito di applicazione del regime;

g) una descrizione del modello di fiducia e dei meccanismi di governance applicati nell'ambito del regime, compresi i meccanismi di revoca;

h) eventuali requisiti relativi ai fornitori degli attestati elettronici di attributi o alle fonti di informazione su cui tali fornitori fanno affidamento per il rilascio di attestati elettronici di attributi, comprese eventuali fonti autentiche, se del caso;

i) una dichiarazione che indichi se gli attestati elettronici di attributi che rientrano nell'ambito di applicazione del regime devono essere rilasciati come attestati elettronici qualificati di attributi, come attestati elettronici di attributi rilasciati da un organismo del settore pubblico responsabile di una fonte autentica o per suo conto, o in entrambe le forme.

4. I regimi oggetto della richiesta di inclusione nel catalogo contengono solo attributi identificabili sulla base di identificatori unici. La richiesta di includere o modificare un regime per gli attestati di attributi è firmata o sigillata dal richiedente mediante una firma elettronica qualificata o un sigillo elettronico qualificato o una firma elettronica avanzata o un sigillo elettronico avanzato basati su un certificato qualificato.

5. La Commissione, a seguito della valutazione di cui al paragrafo 2 e dopo aver verificato che le informazioni fornite nella richiesta di inclusione o di modifica di un regime per gli attestati contengano tutti gli elementi elencati ai paragrafi 3 e 4, può inserire il regime o la modifica oggetto della richiesta nel catalogo di regimi per gli attestati di attributi.

6. Il catalogo di regimi per gli attestati di attributi, sigillato dalla Commissione, è accessibile al pubblico, attraverso un canale sicuro, gratuitamente e senza previa identificazione o autenticazione, ed è leggibile da dispositivi automatici e da utenti umani. Il catalogo comprende anche una funzione di ricerca ed è in un formato che garantisce l'integrità e l'autenticità.

7. La Commissione pubblica le specifiche tecniche da essa utilizzate per il catalogo di regimi per gli attestati di attributi.

8. La Commissione rilascia un identificatore unico per ciascun regime per gli attestati di attributi registrato.

1. Per consentire, su richiesta dell'utente, la verifica elettronica degli attributi di cui all'articolo 45 sexies, paragrafo 1, del regolamento (UE) n. 910/2014 da parte di prestatori di servizi fiduciari qualificati che rilasciano attestati elettronici qualificati di attributi, gli Stati membri istituiscono meccanismi che consentono tale verifica e possono mettere a disposizione punti di verifica unici per gli attributi di cui all'allegato VI di tale regolamento ogniqualvolta tali attributi facciano affidamento su fonti autentiche all'interno del settore pubblico. Gli Stati membri pubblicano informazioni sulle procedure per avviare le richieste di verifica e per ricevere i risultati della verifica.

2. Il meccanismo di verifica fornisce un punto di accesso che i prestatori di servizi fiduciari qualificati che rilasciano attestati elettronici qualificati di attributi possono utilizzare per richiedere per via elettronica la verifica rispetto a fonti autentiche o intermediari designati riconosciuti a livello nazionale degli attributi di cui all'articolo 45 sexies, paragrafo 1, del regolamento (UE) n. 910/2014. Gli attributi soggetti a verifica saranno forniti al punto di verifica dal prestatore di servizi fiduciari qualificato su richiesta dell'utente. L'organismo del settore pubblico o l'intermediario designato condividono, attraverso il punto di verifica, i risultati della verifica con i prestatori di servizi fiduciari qualificati che rilasciano attestati elettronici qualificati di attributi.

3. La richiesta di verifica indica gli attributi e i dati identificativi del soggetto cui si riferisce l'attributo per il quale il prestatore di servizi fiduciari qualificato richiede la verifica.

4. Il risultato della verifica indica esclusivamente se l'attributo è stato verificato o no e specifica l'organismo del settore pubblico responsabile della fonte autentica o, se del caso, l'organismo del settore pubblico designato per agire per conto della fonte autentica rispetto alla quale è stato verificato l'attributo.

5. Gli Stati membri possono imporre controlli di accesso o altri meccanismi di verifica che garantiscano integrità, autenticità e riservatezza per determinare se il richiedente sia un prestatore di servizi fiduciari qualificato e agisca su richiesta di un utente legittimo. Gli Stati membri possono inoltre imporre meccanismi di controllo dell'uso dei metodi di verifica, ove lo ritengano opportuno, tenendo conto dei fattori pertinenti, tra cui la possibilità che le fonti autentiche contengano dati personali riservati o sensibili. Se istituiscono tali meccanismi di controllo, gli Stati membri pubblicano informazioni sulla loro portata nell'ambito delle informazioni di cui al paragrafo 1.

1. Ai fini degli articoli da 3 a 9, gli Stati membri possono fare riferimento ai servizi comuni del sistema tecnico di cui all'articolo 14 del regolamento (UE) 2018/1724, nonché ai componenti nazionali ad essi connessi, e riutilizzarli.

2. Nell'istituire il sistema sicuro per le notifiche e l'elenco degli organismi del settore pubblico di cui agli articoli 5 e 6 e nel redigere i cataloghi di cui agli articoli 7 e 8 del presente regolamento, la Commissione europea, se del caso, fa riferimento ai servizi comuni del sistema tecnico a norma del regolamento (UE) 2018/1724 e li riutilizza.

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Gli articoli da 6 a 9 si applicano a decorrere dal 19 agosto 2026.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 29 luglio 2025

Per la Commissione

La presidente

URSULA VON DER LEYEN