Con il Regolamento (UE) 2024/1183, l’Unione europea ha riscritto il quadro dell’identità digitale e introdotto un obbligo concreto e datato: ogni Stato membro deve mettere a disposizione almeno un portafoglio europeo di identità digitale entro la fine del 2026. È il pezzo normativo che si affianca ad AI Act, NIS2, DORA e Cyber Resilience Act, ma che finora è rimasto fuori dal radar di molti responsabili compliance perché percepito come tema da cittadini, non da organizzazioni. È un errore di prospettiva: eIDAS 2 tocca da vicino chi gestisce autenticazione, accessi e trattamento dati.
Cosa cambia rispetto a eIDAS 1
Il regolamento non nasce dal nulla. Modifica il precedente Regolamento (UE) 910/2014, il testo che dal 2014 disciplina identità elettronica e servizi fiduciari (firme, sigilli, marche temporali, certificati). eIDAS 1 aveva un limite strutturale: prevedeva il riconoscimento reciproco degli schemi di identità nazionali, ma lasciava a ciascuno Stato la libertà di notificarli o meno e non garantiva al cittadino uno strumento unico e portabile. Il risultato è stata una copertura a macchia di leopardo.
eIDAS 2 ribalta l’impostazione. Al centro non c’è più lo schema notificato dallo Stato, ma uno strumento in mano alla persona: il portafoglio europeo di identità digitale, l’EU Digital Identity Wallet. È pensato come un’applicazione, tipicamente su smartphone, che consente di identificarsi e di conservare e presentare attestati elettronici di attributi: titoli di studio, patenti, abilitazioni professionali, dati anagrafici, e in prospettiva molto altro. Il regolamento è stato pubblicato in Gazzetta ufficiale dell’Unione europea il 30 aprile 2024 ed è entrato in vigore il 20 maggio 2024.
L’obbligo e la scadenza di fine 2026
Il punto che rende eIDAS 2 diverso da una semplice dichiarazione di intenti è l’obbligo per gli Stati membri. La Commissione europea, nella pagina ufficiale dedicata al regolamento, è esplicita: gli Stati membri devono rendere disponibili portafogli europei di identità digitale ai cittadini entro la fine del 2026. Non si tratta di una facoltà né di una raccomandazione: è un termine vincolante, e ogni Stato deve offrire almeno un portafoglio a cittadini, residenti e imprese.
La scadenza è ancorata all’adozione delle regole tecniche di attuazione. Il regolamento prevede che la disponibilità del portafoglio segua l’entrata in vigore degli atti di esecuzione che ne fissano le specifiche comuni, ed è da quel calendario che discende il termine di fine 2026. Per chi pianifica progetti pluriennali, è una finestra temporale stretta e concreta, non un orizzonte indefinito.
Selective disclosure: condividere solo l’attributo necessario
Una delle scelte di progettazione più rilevanti sul piano della protezione dei dati è il principio di divulgazione selettiva. Il regolamento prevede che il portafoglio consenta tecnicamente la divulgazione selettiva degli attributi verso i soggetti che fanno affidamento sul portafoglio, anche combinando attributi provenienti da attestati distinti.
In pratica: per dimostrare di essere maggiorenne non si consegna un documento intero con nome, indirizzo e data di nascita completa, ma si condivide il solo attributo necessario, ad esempio la conferma del superamento di una soglia di età. È l’applicazione operativa del principio di minimizzazione dei dati già presente nel GDPR, portata dentro lo strumento di identità. Il regolamento richiede inoltre protezione dei dati fin dalla progettazione e per impostazione predefinita, e impone che i dati personali legati al funzionamento del portafoglio siano tenuti logicamente separati da altri dati eventualmente detenuti dal fornitore.
Il pacchetto di atti di esecuzione
Un quadro comune funziona solo se gli Stati implementano lo stesso strumento in modo interoperabile. Per questo il regolamento rimanda a una serie di atti di esecuzione che fissano le regole tecniche condivise. Il primo gruppo di regolamenti di esecuzione è stato adottato il 4 dicembre 2024 e definisce le specifiche di base per il portafoglio: integrità, certificazione, protocolli, dati di identificazione della persona.
A questo primo blocco è seguito un secondo gruppo di quattro regolamenti di esecuzione, pubblicati in Gazzetta ufficiale il 7 maggio 2025, che disciplinano aspetti operativi e di governance: la registrazione dei soggetti che fanno affidamento sul portafoglio, le informazioni da trasmettere alla Commissione per l’elenco dei portafogli certificati, le reazioni alle violazioni di sicurezza del portafoglio e la corrispondenza dell’identità a livello transfrontaliero per le persone fisiche. È un corpo normativo tecnico che continua a crescere e che i fornitori di servizi dovranno seguire.
Cosa significa per i service provider
Qui sta l’aspetto che riguarda direttamente chi si occupa di cyber e compliance. eIDAS 2 non obbliga soltanto gli Stati a produrre il portafoglio: incide anche sui soggetti che lo dovranno accettare. Il portafoglio è progettato per funzionare sia verso i servizi pubblici sia verso quelli privati, e il regolamento prevede che determinate categorie di fornitori privati lo accettino come strumento di identificazione e autenticazione quando già sono tenuti per legge ad autenticare i propri utenti, con un termine successivo a quello di disponibilità del portafoglio.
Per un’organizzazione questo si traduce in alcune domande operative da affrontare per tempo. L’infrastruttura di autenticazione è in grado di gestire presentazioni di attributi verificabili provenienti da un portafoglio esterno? I processi di onboarding e di verifica dell’identità sono pronti a ricevere attributi anziché documenti completi? La gestione degli accessi tiene conto di un’identità portabile e controllata dall’utente? Sono temi che si intrecciano con la governance degli accessi e con la disciplina dei soggetti che fanno affidamento sul portafoglio, da registrare secondo le regole degli atti di esecuzione.
Il rapporto con SPID e CIE in Italia
In Italia l’identità digitale è già un servizio maturo grazie a SPID e alla Carta d’identità elettronica. eIDAS 2 non cancella questi strumenti: il portafoglio europeo è il livello sovranazionale e interoperabile che gli Stati devono offrire, e ciascun Paese lo realizza valorizzando le infrastrutture esistenti. Per l’Italia il punto di partenza è solido, perché esistono già schemi di identità diffusi e un’esperienza consolidata di identità federata. La sfida è allineare quel patrimonio alle specifiche tecniche europee e ai requisiti di divulgazione selettiva e protezione dei dati che il regolamento impone.
L’uso del portafoglio resta volontario per il cittadino, e devono restare disponibili strumenti di identificazione alternativi. L’obbligo grava sugli Stati, che devono offrirlo, e sui fornitori che dovranno accettarlo nei casi previsti. Per chi presidia sicurezza e compliance, fine 2026 non è una data lontana: è il momento giusto per mappare dove l’identità entra nei propri processi e iniziare a progettare l’integrazione, prima che diventi una corsa.