Gli Implementing Acts di eIDAS 2.0: a che punto siamo e cosa cambia per le aziende

Oltre 30 atti implementativi adottati, i tre aggiornamenti di luglio 2026 già in vigore e poco più di due mesi alla prima grande scadenza. Il quadro normativo di eIDAS 2.0 è ormai definito: ecco cosa significa concretamente per le aziende

Gli implementing acts di eIDAS 2.0 sono i regolamenti di esecuzione con cui la Commissione europea traduce i principi del Regolamento (UE) 2024/1183 in specifiche tecniche e procedure vincolanti per l’European Digital Identity Wallet (EUDI Wallet) e per i servizi fiduciari qualificati.

In breve

• Il Regolamento (UE) 2024/1183 (eIDAS 2.0) è in vigore dal 20 maggio 2024 e diventa operativo attraverso oltre 30 implementing acts, che coprono l’architettura dell’EUDI Wallet e il nuovo quadro dei servizi fiduciari.
• I tre atti di aggiornamento, in consultazione fino al 5 marzo 2026, sono stati adottati il 15 luglio 2026 (Regolamenti di esecuzione (UE) 2026/1730, 2026/1731 e 2026/1735) e sono in vigore dall’11 agosto 2026.
• 24 dicembre 2026: ogni Stato membro deve rendere disponibile almeno un wallet ai propri cittadini.
• 10 luglio 2027 (AMLR pienamente applicabile), 19 agosto 2027 (nuovi standard di identity proofing, ETSI TS 119 461 V2.1.1) e 24 dicembre 2027 (obbligo di accettazione dell’EUDI Wallet per i soggetti regolamentati) sono le scadenze successive.
• In Italia l’IT-Wallet ha due decreti attuativi pubblicati in Gazzetta Ufficiale (23 luglio e 3 agosto 2026), con scadenze al 3 agosto 2027 per le pubbliche amministrazioni e al 3 febbraio 2028 per l’Istituto Poligrafico e Zecca dello Stato.
• Per le aziende le azioni chiave sono tre: registrarsi come relying party, valutare il ruolo di emettitore di attributi e aggiornare i sistemi di firma, verifica e onboarding.

Cosa sono gli implementing acts e perché contano

Il regolamento eIDAS 2.0, formalmente il Reg. (UE) 2024/1183 che modifica il Reg. 910/2014, è entrato in vigore il 20 maggio 2024. Ma un regolamento che stabilisce principi e obiettivi diventa operativo solo quando gli atti implementativi ne traducono i requisiti in specifiche tecniche concrete. È quanto sta avvenendo dal dicembre 2024, quando sono entrati in vigore (24 dicembre 2024) i primi cinque atti di esecuzione dedicati al wallet.

A ottobre 2026 oltre 30 implementing acts sono stati adottati, coprendo l’intera architettura dell’European Digital Identity Wallet (EUDI Wallet) e il nuovo quadro per i trust service provider. Il processo è sostanzialmente completato: i tre atti di aggiornamento che risultavano in fase di adozione sono stati adottati a luglio 2026, e le fondamenta sono solide e vincolanti. L’adeguamento culminerà entro il 2026: gli atti implementativi hanno l’obiettivo di definire le norme tecniche e le procedure operative necessarie per garantire la conformità degli EUDI Wallet e dei servizi correlati.

Il corpus degli atti adottati

Gli atti implementativi si articolano su due grandi assi: quelli relativi al wallet e quelli relativi ai servizi fiduciari.

Sul fronte EUDI Wallet, i regolamenti adottati definiscono gli standard tecnici per l’integrità e le funzionalità core del wallet, i protocolli e le interfacce per lo scambio dati tra wallet e relying party, il sistema di certificazione della conformità dei wallet, le regole per la registrazione delle relying party nei registri nazionali, le procedure per il cross-border identity matching e la gestione delle violazioni di sicurezza. Un atto specifico, il Reg. 2026/798 (del 7 aprile 2026), stabilisce inoltre gli standard per l’onboarding remoto degli utenti, definendo i requisiti tecnici per i processi di identity proofing da remoto.

Sul fronte dei trust service provider, il quadro si è arricchito di categorie di servizi completamente nuove rispetto a eIDAS 1.0. Il Reg. 2025/1569 disciplina la verifica delle attestazioni elettroniche di attributi (QEAA/EAA): il meccanismo con cui il wallet trasporta informazioni certificate su chi siamo e quale ruolo ricopriamo. Il Reg. 2025/1567 definisce gli standard per la gestione remota dei dispositivi qualificati per la firma e il sigillo elettronico (RQSCD), un elemento chiave per chi eroga firma qualificata as-a-service. Il Reg. 2025/2532 copre l’archiviazione elettronica qualificata; il Reg. 2025/2531 i registri elettronici qualificati, ledger con requisiti di integrità, cronologia e immutabilità certificati.

Sono inoltre adottati gli atti su certificati qualificati per l’autenticazione di siti web (QWAC), validazione di firme qualificate e avanzate, timestamp elettronici, servizi di recapito certificato qualificato, requisiti per i QTSP, accreditamento degli organismi di valutazione della conformità, e formati delle firme e sigilli avanzati.

L’elenco completo e lo stato di ciascun atto sono consultabili nella panoramica ufficiale della Commissione europea sugli atti di esecuzione.

I tre aggiornamenti di luglio 2026

Chiusa la consultazione pubblica il 5 marzo 2026, il 15 luglio 2026 la Commissione ha adottato i tre atti che aggiornano parti già adottate del framework. Pubblicati nella Gazzetta ufficiale dell’Unione europea il 22 luglio 2026, sono in vigore dall’11 agosto 2026:

• il Reg. di esecuzione (UE) 2026/1731 aggiorna i riferimenti a standard e specifiche tecniche nei Regolamenti 2024/2977 (dati di identificazione personale e attestazioni), 2024/2979 (integrità e funzionalità core), 2024/2980 (trust framework) e 2024/2982 (protocolli e interfacce), per garantire l’interoperabilità tra i wallet degli Stati membri;
• il Reg. di esecuzione (UE) 2026/1735 aggiorna standard e specifiche del Reg. 2025/1569 sulle attestazioni elettroniche di attributi, comprese le regole su revoca e verifica;
• il Reg. di esecuzione (UE) 2026/1730 aggiorna il Reg. 2025/848 sulla registrazione delle relying party nei registri nazionali.

Questi aggiornamenti non segnalano instabilità normativa, ma la fisiologica maturazione tecnica di un’infrastruttura complessa. Non modificano le scadenze del calendario. Per le aziende, la lezione è una sola: il monitoraggio del framework non si esaurisce con una fotografia, richiede presidio continuo.

Le scadenze

24 dicembre 2026. Tutti gli Stati membri devono rendere disponibile almeno un wallet ai propri cittadini. A poco più di due mesi dalla scadenza, i percorsi nazionali sono in corso a velocità diverse. L’Italia ha già avviato il percorso con l’IT Wallet su app IO, patente, tessera sanitaria, tessera della disabilità, in progressivo allineamento al framework europeo. Dalla stessa data si applicano le regole del Reg. 2025/848 sulla registrazione delle relying party nei registri nazionali.

10 luglio 2027. L’AML Regulation europea (AMLR), in vigore dal 2024, diventa pienamente applicabile e introduce un quadro unificato per la due diligence della clientela su base paneuropea, eliminando le differenze tra normative nazionali in materia di KYC. La convergenza con le scadenze eIDAS non è casuale: i due regolamenti si rafforzano a vicenda, e chi si muove su entrambi i fronti in modo coordinato ha un vantaggio significativo.

19 agosto 2027. Entra in piena applicazione il Reg. (UE) 2025/1566, che fissa lo standard tecnico ETSI TS 119 461 V2.1.1 per l’identificazione dei richiedenti certificati qualificati (QES, QSeal, QWAC) e attestazioni elettroniche qualificate di attributi (QEAA). Da questa data, i processi di identity proofing (specialmente nei casi a distanza) che non si basano su EUDI Wallet o su eID notificato di livello High devono essere certificati da un organismo di accreditamento indipendente. Per chi eroga firma qualificata, significa rivedere l’intera catena di identificazione; per chi la usa, significa verificare che i propri QTSP partner abbiano già ottenuto la certificazione.

24 dicembre 2027. Le aziende obbligate per legge, grandi piattaforme online, banche, operatori di telecomunicazioni e altri soggetti nei settori regolamentati, in aggiunta agli attuali meccanismi dovranno accettare l’identificazione tramite EUDI Wallet per l’accesso ai propri servizi.

Il contesto italiano: IT-Wallet e le scadenze nazionali

In Italia il quadro attuativo dell’IT-Wallet, il portafoglio digitale nazionale previsto dall’articolo 64-quater del Codice dell’amministrazione digitale (CAD), si è definito nell’estate 2026 con due decreti pubblicati in Gazzetta Ufficiale: il decreto del 17 giugno 2026, che approva le Linee guida del Sistema IT-Wallet e le regole della sperimentazione (GU n. 169 del 23 luglio 2026), e il decreto del 19 marzo 2026, che disciplina il Sistema IT-Wallet e i relativi servizi (GU n. 178 del 3 agosto 2026).

Le scadenze operative sono due. Entro il 3 agosto 2027 le pubbliche amministrazioni, i gestori di servizi pubblici e le società a controllo pubblico dovranno aderire al sistema come titolari di fonte autentica, rendendo disponibili i propri dati sotto forma di attestati elettronici. Entro il 3 febbraio 2028 l’Istituto Poligrafico e Zecca dello Stato (IPZS) potrà rilasciare gli attestati elettronici di dati di identificazione personale anche dopo aver verificato l’identità dell’utente tramite la Carta d’Identità Elettronica (CIE).

Il decreto stabilisce che i dati presentati tramite IT-Wallet sono esenti dai controlli amministrativi e che l’autenticazione con IT-Wallet equivale a quella con SPID e CIE (articolo 6). I servizi base restano gratuiti per i cittadini; per imprese e soggetti privati sono previsti servizi remunerabili, con tariffe da definire con un successivo provvedimento. Dal 3 agosto 2026 anche i soggetti privati possono registrarsi al sistema.

Il nuovo perimetro dei servizi fiduciari

eIDAS 2.0 non si limita ad aggiornare il quadro esistente: lo espande in modo sostanziale. Il regolamento consolidato definisce oggi i servizi fiduciari qualificati in modo molto più ampio rispetto a eIDAS 1.0, includendo il rilascio e la convalida di attestati elettronici di attributi, la gestione remota di dispositivi qualificati per firma e sigillo, la registrazione di dati in registri elettronici qualificati e l’archiviazione elettronica qualificata.

Per i provider già attivi nell’ecosistema trust, questo ampliamento rappresenta un’opportunità diretta: chi eroga firma qualificata, conservazione o identità digitale può estendere il proprio portafoglio di servizi capitalizzando su accreditamenti e infrastrutture esistenti, senza ripartire da zero.

Cosa devono fare le aziende oggi

Registrarsi come relying party. L’iscrizione nei registri nazionali è il passaggio abilitante per integrare l’EUDI Wallet nei processi aziendali: onboarding clienti, verifica fornitori, autenticazione dipendenti. I registri stanno diventando operativi: chi arriva tardi rischia di non essere pronto per il 2027. Le regole europee sui registri nazionali (Reg. 2025/848, aggiornato dal Reg. 2026/1730) si applicano dal 24 dicembre 2026.

Valutare il ruolo di emettitore di attributi. Organizzazioni che detengono dati certificati, ordini professionali, camere di commercio, istituti finanziari, enti previdenziali, possono diventare fonti autorevoli di attestazioni nel wallet. Non è solo compliance: è un posizionamento strategico nell’ecosistema digitale europeo.

Aggiornare i sistemi di firma, verifica e onboarding. I nuovi standard tecnici, in particolare l’allineamento agli standard e norme ETSI di recente aggiornamento richiamati dagli atti implementativi, richiedono una revisione delle piattaforme esistenti. L’investimento è pianificabile oggi, con specifiche chiare.

Le opportunità per le aziende

L’integrazione degli EUDI Wallet nei processi aziendali porterà vantaggi in numerosi ambiti, tra cui:

• Onboarding clienti: semplificazione dei processi di identificazione, con attivazione immediata dei servizi.
• Onboarding fornitori: verifica rapida di documenti e certificazioni per abilitare nuove collaborazioni.
• Onboarding dipendenti: accesso immediato ai sistemi aziendali e ai benefit personalizzati.
• Accesso alle sedi e ai sistemi aziendali: autenticazione sicura per il personale e i visitatori.

Le aziende potranno inoltre contribuire all’ecosistema del wallet, arricchendo le informazioni disponibili con i propri dati, creando così nuove sinergie e modelli di business.

Intesa: dentro l’ecosistema

Intesa non osserva questo processo dall’esterno. Come Qualified Trust Service Provider (QTSP) ai sensi di eIDAS e operatore accreditato per conservazione, firma, identificazione e certificati, Intesa è già dentro il perimetro operativo che gli Implementing Acts stanno costruendo.

Le nostre piattaforme, Intesa Sign per la firma elettronica, Intesa ID per l’identificazione digitale, Intesa CMS per la gestione dei certificati, evolvono in linea con i nuovi standard. Seguiamo l’iter di ogni atto implementativo, partecipiamo ai tavoli tecnici europei e traduciamo le novità normative in soluzioni concrete per i nostri clienti. Quando il framework cambia, siamo già pronti. Intesa (Havant Group) è stata inoltre ammessa il 9 luglio 2026 alla sperimentazione del Sistema IT-Wallet in qualità di Verificatore di Attestati Elettronici.

Glossario

• Implementing act (atto di esecuzione): regolamento adottato dalla Commissione europea per tradurre in specifiche tecniche e procedure le disposizioni di un regolamento di base, in questo caso eIDAS 2.0.
• EUDI Wallet: European Digital Identity Wallet, il portafoglio digitale europeo con cui cittadini, residenti e imprese gestiscono e condividono identità e attestazioni in modo sicuro.
• Relying party: soggetto pubblico o privato che richiede dati o attestazioni al wallet dell’utente per erogare un servizio e che deve essere registrato nel registro nazionale.
• QTSP: Qualified Trust Service Provider, prestatore di servizi fiduciari qualificati ai sensi di eIDAS.
• QEAA/EAA: attestazioni elettroniche di attributi, qualificate (QEAA) o rilasciate da enti pubblici responsabili di una fonte autentica (EAA), che il wallet trasporta per certificare informazioni su una persona o un’organizzazione.
• Fonte autentica: registro o banca dati pubblica che detiene dati ufficiali e può emetterne attestazioni.
• RQSCD: dispositivo remoto qualificato per la creazione di firme o sigilli elettronici, gestito dal QTSP.
• Identity proofing: processo con cui si verifica l’identità di una persona prima di emettere un certificato o un’attestazione, anche a distanza.
• ETSI TS 119 461: standard tecnico che definisce i requisiti per la verifica dell’identità, reso vincolante dal Reg. (UE) 2025/1566 dal 19 agosto 2027.
• IT-Wallet: sistema di portafoglio digitale italiano previsto dall’articolo 64-quater del CAD, gestito dalle società pubbliche incaricate e accessibile tramite app IO.

Conclusioni

L’evoluzione normativa introdotta da eIDAS 2.0 rappresenta un momento di svolta per la digital identity in Europa. L’adozione degli EUDI Wallet non è solo un adeguamento normativo, ma un’opportunità strategica per le imprese, che potranno ridefinire i propri processi con un livello di sicurezza e affidabilità senza precedenti.

In questo scenario, il ruolo di partner tecnologici qualificati sarà essenziale per accompagnare le aziende nell’integrazione dei nuovi strumenti digitali. Intesa, con la sua esperienza nell’identità digitale e nei servizi trust, si pone come punto di riferimento per le organizzazioni che vogliono sfruttare al meglio le potenzialità offerte da eIDAS 2.0, supportando le imprese nell’adozione di soluzioni conformi, sicure e innovative.

Scopri le soluzioni per la trasformazione digitale della tua azienda:

• Conservazione a Norma dei Documenti
• Digital Onboarding dei Clienti
• EDI – Electronic Data Interchange
• Piattaforma Fatturazione Elettronica
• Fatturazione Elettronica Estera
• Firma Elettronica Aziendale
• Software Gestione Documentale
• Supply Chain Management