�ݺ�ߣ

DIGITALIZZAZIONE
E
PRIVACY
28 FEBBRAIO 2019
9.00 – 13.30
SEDE DELL'ORDINE DEGLI
INGEGNERI VERONA
CO N V E G NO - W O R K SH OP T E R R I TO R I A L E
A N O RC P R O F E S S I O NI V E N E TO
ORGANIZZATO DA
IN COLLABORAZIONE CON CON IL CONTRIBUTO INCONDIZIONATO DI

Identità Digitale, Firme e sigilli secondo il regolamento eIDAS.
Giovanni Manca
LAND srl - Vice Presidente ANORC
2

Argomenti
3
• IL REGOLAMENTO EIDAS
• TRENTA MESI DI ATTUAZIONE – CRITICITA’
• EVOLUZIONI POSSIBILI

Lo scenario di riferimento
4
Regolamento (UE) N. 910/2014 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del
23 luglio 2014 in materia di identificazione elettronica e servizi fiduciari per le
transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE.
In vigore il ventesimo giorno successivo alla pubblicazione in GUCE (28 agosto
2014).
Pienamente applicabile dal 1 luglio 2016.
Una sintesi dello stato dell’arte comunitario è al collegamento:
https://webgate.ec.europa.eu/tl-browser/#/.

Argomenti
5

Cosa cambia rispetto alla 1999/93 - 1
6
La Direttiva stabiliva regole per il mondo delle sottoscrizioni informatiche.
Le Regole riguardavano anche i certificatori e le regole «tecnologicamente neutre»
per la loro organizzazione.
Il quadro fornito dalla Direttiva trattava le firme elettroniche senza fornire un
quadro transfrontaliero e transettoriale completo per transazioni elettroniche
sicure, affidabili e di facile impiego. Una carenza fortemente patita dal mercato ha
riguardato l’affidabilità delle CA (trust chain) e l’interoperabilità delle sottoscrizioni.
La Direttiva è abrogata con effetto dal 1° luglio 2016.

7
Nel Regolamento scompaiono i certificatori e compaiono i Trust Service
Provider (TSP).
I TSP erogano i servizi fiduciari che sono definiti nell’art. 3, numero 16 del
Regolamento.
Tali servizi fiduciari possono essere qualificati e il TSP può essere
qualificato (TSPQ).
Vengono introdotto altre tipologie di servizi fiduciari.

8
La validazione temporale elettronica, il sigillo elettronico, i servizi elettronici di
recapito certificato.
La creazione, verifica e convalida di certificati di autenticazione di siti web.
La conservazione di firme, sigilli o certificati elettronici relativi ai servizi fiduciari.
Tutti gli standard di riferimento prevedono la pubblicazione entro il 28 febbraio
2019. Il 95% sono comunque già disponibili dalla fine dello scorso anno.

CAD – eIDAS (identità digitale)
9
L’identità del titolare è nazionale e viene conferita secondo le regole nazionali.
Ci può essere un riconoscimento reciproco tra Stati membri se viene notificato alla
Commissione lo schema di identificazione elettronica (eID).
L’ammissibilità della notifica è regolamentata nell’articolo 7 del Regolamento.
Il contenuto della notifica è regolamentato nell’articolo 9.
Nel CAD sono presenti lo SPID, che è stato notificato con successo. E’ in corso la
medesima attività per la CIE.

CAD – eIDAS (TSP)
10
Non sono più ammissibili i certificatori anche qualificati e accreditati. Sono ammissibili
solo i TSP e i TSPQ.
Nuove regole per ottenere lo status di TSPQ e per la vigilanza.
Nuovo ruolo per AgID come autorità di vigilanza notificata.
CAD sono stati modificati gli articoli dal 26 al 37.

CAD – eIDAS (Qualifica)
11
La qualifica si ottiene con un notifica ad AgID da parte del TSP che ha allegata
una relazione di valutazione della conformità rilasciata da un organismo di
valutazione della conformità.
AgID verifica se quanto notificato rispetta il Regolamento. In caso positivo
concede la qualifica e provvede ad aggiornare la cosiddetta Trust List (Elenco
di fiducia).
Il fattore Q implica la vigilanza che è svolta da AgID ma con un coinvolgimento
diretto di organismi di valutazione della conformità.
Nel CAD è stato rivisto (non al meglio) l’articolo 29.

CAD – eIDAS (Sicurezza per i TSP)
12
Tutto il Regolamento richiede forte attenzione agli aspetti di sicurezza.
Massima attenzione al data breach, ruolo attivo di ENISA e reciproca cooperazione
tra Stati membri.
I casi internazionali di violazione di CA come il gravissimo caso di DigiNotar nei
Paesi Bassi hanno portato ad un Regolamento (ancora una volta nell’UE) attendo
agli aspetti di sicurezza.
Nel CAD non servono specifici interventi. Già è presente l’art. 51 ma non ci sono le
Regole tecniche da esso previste.

CAD – eIDAS (Certificatori)
13
Il certificatore che emette certificati qualificati per la firma diventa uno specifico
TSPQ.
Nell’articolo 24 del Regolamento vengono stabiliti i requisiti per i prestatori di
servizi fiduciari qualificati.
Tantissime di queste regole sono la naturale evoluzione di quanto già stabilito
nella Direttiva 1999/93/CE.
Nel CAD si può abrogare l’art. 26 e coordinare il Regolamento con il CAD
tendendo in conto di ulteriori elementi già presenti nel nostro ordinamento che
non sono in contrasto con il Regolamento (art. 32 del CAD).

CAD – eIDAS (QSCD e Firma remota)
14
Il Regolamento prevede esplicitamente la firma elettronica a distanza (premessa
52).
Gli SSCD diventano QSCD e si applicano gli artt. 29, 30 e 31 del Regolamento.
Molti elementi sul tema ricalcano la Direttiva ma viene prevista la pubblicazione di
un elenco di dispositivi per la creazione di una firma elettronica qualificata
certificati.
I dispositivi già certificati ai sensi dell’art. 3, paragrafo 4 della Direttiva sono
conformi al Regolamento.

CAD – eIDAS (RED e PEC)
15
Registered Electronic Delivery (RED). Gli effetti giuridici sono stabiliti nell’art. 43 del
Regolamento. I Requisiti per i RED qualificati nell’art. 44.
La PEC potrebbe non essere completamente conforme al REDQ perché, ad esempio, non
garantisce con un elevato livello di sicurezza l’identificazione del mittente e non garantisce
l’identificazione del destinatario prima della trasmissione dei dati.
In ogni caso i RED non devono essere necessariamente associati a servizi di posta
elettronica visto che i requisiti possono essere soddisfatti anche in altro modo.
Nel nostro ordinamento la PEC è delegificata nel DPR 68/2005. L’art. 48 del CAD dovrebbe
essere coordinato con eIDAS. E’ stata sospesa l’abrogazione.

CAD – eIDAS (Conservazione)
16
Rispetto alla bozza iniziale del Regolamento del giugno 2012 la conservazione è
stata molto semplificata.
Il tema è introdotto per l’utilizzo di procedure e tecnologie in grado di estendere
l’affidabilità della firma elettronica qualificata oltre il periodo di validità
tecnologica.
L’art. 34 del Regolamento indica anche che la Commissione può pubblicare atti di
esecuzione sul tema.
Non è indispensabile intervenire sul CAD ma sarebbe utile coordinare le regole di
accreditamento e vigilanza con la situazione comunitaria.

CAD – eIDAS (Firme elettroniche) - 1
17
Poco cambia nelle sottoscrizioni informatiche.
Viene leggermente modificata la definizione di firma elettronica, viene confermata
la neutralità tecnologica della firma elettronica avanzata (FEA) e la firma qualificata
conferma i suoi effetti giuridici equivalenti a quelli di firma autografa.
L’efficacia probatoria della FEA (solo italiana) e delle firme qualificate stabilita nel
CAD non è influenzata dal Regolamento.

CAD – eIDAS (Firme elettroniche) - 2
18
I certificati qualificati diventano tre. Firma elettronica, sigillo elettronico e autenticazione di siti web.
La FEA al momento non ha regole tali da garantirne l’interoperabilità a livello comunitario.
La FEA grafometrica non suscita, al momento, particolare interesse nell’ambito della UE ma non si
può escludere che nel medio periodo venga pubblicato uno standard di origine ETSI su
interoperabilità e sicurezza di questo tipo di FEA.
E’ opportuno ricordare che vengono introdotte anche regole per la validazione temporale anche
qualificata in modo analogo al nostro ordinamento. In Italia è comunque molto diffusa la
marcatura temporale non qualificata che è ammessa in molti scenari applicativi.

CAD – eIDAS (Sigillo elettronico)
19
Il sigillo elettronico che può essere anche avanzato e qualificato è definito come (art. 3, n. 25): dati
in forma elettronica, acclusi oppure connessi tramite associazione logica ad altri dati in forma
elettronica per garantire l’origine e l’integrità di questi ultimi.
Mutatis mutandis firma elettronica e sigillo elettronico si assomigliano molto sul piano definitorio.
E si assomigliano anche sul piano delle possibili realizzazioni tecnologiche.
E’ utile ricordare che il Regolamento introduce anche il dispositivo per la creazione di un sigillo
elettronico qualificato.
Il sigillo elettronico non è menzionato nel CAD.

CAD – eIDAS (Cooperazione tra Stati membri)
20
Il ruolo di AgID è stato adeguato a quanto stabilito nell’art. 12 del Regolamento in
materia di schemi nazionali di identificazione elettronica.
Sul tema è stata pubblicato il primo atto di esecuzione del Regolamento. La
Decisione 296/2015 del 24 febbraio 2015.
AgID di fatto già operava in questa tipologia di regole.

Argomenti
21

CRITICITA’ - 1
22
Definizione di scopi e ruoli del sigillo elettronico.
Regole insufficienti per il mutuo riconoscimento delle sottoscrizioni qualificate a causa
di lacune o spazi di interpretazione nelle decisioni della commissione.
Assenza di regole «obbligatorie» per la validazione temporale e conseguentemente per
la marca temporale.
Qualità ondivaga dei verificatori dei certificatori qualificati in Italia ma grosse
incertezze sui formati PAdES e XAdES. Abuso del diagnostico «firma non valida».

CRITICITA’ - 2
23
La confusione sul tema è alimentata anche dal convalidatore «ufficiale»
della Commissione; il cosiddetto DSS.
Peraltro questo convalidatore introduce due importanti principi evolutivi
per la verifica delle sottoscrizioni digitali qualificate.
Una maggiore elasticità e definizione dello politiche di verifica.
La definizione di vincoli non negoziabili sulle verifiche di sottoscrizioni (o
apposizione di sigilli qualificati) qualificate.

Argomenti
24

EVOLUZIONI - 1
25
Adesione del mercato al servizio fiduciario di convalida delle sottoscrizioni qualificate.
Il prestatore di servizi fiduciari qualificato convalida le sottoscrizioni qualificate sotto
responsabilità legale apponendo una propria firma al «rapporto di convalida».
La firma è valida, non valida o indefinita sulla base di regole obbligatorie ben definite.
Il certificato è qualificato, gli algoritmi crittografici sono aggiornati, il documento è integro,
ecc. Non sono bloccanti differenze su estensioni specifiche o particolari a meno di
specifiche politiche di convalida relative allo scenario. In questi casi può essere analizzato
anche il contenuto dei campi previsti dallo specifico formato di sottoscrizione.

EVOLUZIONI - 2
26
E’ possibile applicare delle «politiche di convalida» che possono dipendere dallo specifico
scenario operativo.
Il tutto è poi sintetizzato in un «rapporto di convalida» che è sottoscritto dal prestatore di
servizi fiduciari qualificati di convalida.
Il verificatore messo in opera dalla Commissione europea (DSS) opera in questi termini.
Ma sul PAdES convalida sottoscrizioni non conformi agli standard.
Questo programma è disponibile in rete al collegamento:
https://joinup.ec.europa.eu/dss-webapp/validation

Per contattare il relatore:
Giovanni Manca
e-mail: mncgnn59@gmail.com
27

PER IL SUPPORTO
ORGANIZZATIVO
SI RINGRAZIA LO STAFF DI

�ݺ�ߣ

Convegno- workshop Territoriale Anorc Professioni Veneto

More Related Content

Convegno- workshop Territoriale Anorc Professioni Veneto