eIDAS 2 per le PA complesse: cosa cambia per firme, identità e conservazione

eIDAS 2 rischia di essere trattato come un adempimento tecnico lontano, salvo poi doverlo rincorrere quando il portafoglio europeo di identità digitale sarà operativo e i cittadini si aspetteranno di usarlo per accedere ai servizi. Vale la pena arrivarci preparati, perché il regolamento tocca i punti di attrito del lavoro quotidiano negli uffici, da come le persone si identificano a come si firma un atto, come lo si conserva e come lo si scambia con altre amministrazioni.

eIDAS 2 in breve: dove tocca la gestione documentale

Il Regolamento (UE) 2024/1183 aggiorna il regolamento eIDAS del 2014 e introduce due novità che ricadono direttamente sugli uffici che lavorano gli atti, dalla produzione all’archivio. Arrivano il portafoglio europeo di identità digitale e un perimetro più ampio di servizi fiduciari qualificati.

Per un ente con molte sedi e molti procedimenti la conseguenza è che i due estremi del ciclo di vita del documento si muovono insieme. L’ingresso, cioè chi accede ai servizi e come si identifica, e la chiusura, cioè che cosa resta agli atti e con quali garanzie di integrità. Ecco perché eIDAS 2 è prima di tutto un tema di governance documentale: chi presidia il documento deve sapere dove il regolamento lo tocca, e va coinvolto dall’inizio insieme all’ufficio tecnico.

Una precisazione utile a smontare gli allarmismi. Il regolamento non azzera l’esistente. Le firme già apposte restano quello che erano e la conservazione a norma resta disciplinata dal CAD e dalle Linee Guida AgID. A spostarsi sono il perimetro dei servizi qualificati e le condizioni dei contratti già in essere.

Firme elettroniche: cosa cambia con eIDAS 2

Il valore legale delle firme resta il perno di ogni atto informatico. eIDAS 2 conferma la gerarchia già nota, dalla firma elettronica semplice all’avanzata alla qualificata, e lega la firma qualificata al portafoglio europeo, perché il cittadino potrà crearla direttamente dal wallet. Per l’ente si allarga così la platea di chi può firmare in modo pienamente valido, e cresce l’aspettativa che i procedimenti accettino quelle firme senza attriti.

In pratica i flussi di firma vanno progettati perché riconoscano e verifichino le firme qualificate in automatico, senza scaricare sull’ufficio la lavorazione manuale dei casi particolari. Se cercate un quadro dei tipi di firma e di quando usarli, l’abbiamo trattato in firme elettroniche nella PA: FES, FEA e FEQ a confronto.

C’è poi un livello meno visibile, la verifica nel tempo. Un atto firmato oggi va riverificato tra dieci anni, quando il certificato del firmatario è scaduto da un pezzo. Il sistema deve quindi conservare le evidenze di validazione, marca temporale compresa, e saper leggere anche i formati di firma che arrivano dall’esterno. È un requisito da mettere per iscritto quando si sceglie o si rinnova la piattaforma.

Identità digitale e wallet europeo (EUDI Wallet)

La Commissione europea descrive il portafoglio europeo di identità digitale come uno strumento sicuro con cui cittadini e imprese potranno autenticarsi e conservare credenziali, dall’identità agli attestati, e chiede agli Stati membri di metterlo a disposizione entro fine 2026. È il centro della riforma. Quello che cambia per gli uffici è il modo in cui l’utente porta con sé identità e attributi già verificati.

Sul piano documentale l’impatto è duplice. L’accesso ai servizi e ai procedimenti dovrà poter riconoscere il wallet come mezzo di identificazione. E le credenziali che il cittadino presenta, un attributo, un’autorizzazione, un titolo, diventano dati verificati che entrano nel fascicolo e vanno gestiti come tali, con i metadati giusti e un posto preciso nel procedimento. A chi progetta l’architettura documentale conviene decidere fin da ora dove atterrano questi dati.

IT Wallet: il portafoglio italiano accanto a SPID e CIE

Accanto a SPID e CIE si colloca il portafoglio digitale italiano, l’IT Wallet, pensato per affiancarsi agli strumenti nazionali già in esercizio. Per un ente significa mettere in conto un terzo canale di identificazione, con le domande di sempre: quali servizi lo accettano, chi lo integra, chi risponde quando l’autenticazione si blocca.

Il lavoro preparatorio costa poco e si può cominciare subito: censire i punti di autenticazione ai servizi online, portali, istanze, aree riservate, e annotare per ognuno chi li gestisce e con quale contratto. Negli enti complessi quell’elenco di solito manca, oppure esiste in tre versioni diverse in tre uffici diversi.

Quali sono i nuovi servizi fiduciari qualificati introdotti da eIDAS 2

L’elenco dei servizi fiduciari qualificati si allarga, e le voci in ingresso hanno un riflesso diretto su chi gestisce documenti:

• Archiviazione elettronica qualificata (e-archiving). La conservazione dei documenti elettronici entra nel perimetro dei servizi qualificati europei.
• Registri elettronici. Registrazioni cronologiche di dati con garanzia di ordine temporale e di integrità della sequenza.
• Attestazione elettronica di attributi. La certificazione di una qualità del soggetto, un titolo, un’abilitazione, un ruolo, in forma verificabile elettronicamente.
• Gestione della firma elettronica remota e dei dispositivi per la creazione di firme e sigilli a distanza. Il servizio che custodisce e governa le firme remote, oggi in uso in gran parte degli enti.

Conviene leggerli come un insieme. Presi uno a uno sembrano tecnicalità da fornitori, messi in fila descrivono una catena: chi accede, con quali attributi, chi firma, con quale dispositivo, dove finisce l’atto e come si dimostra che è rimasto integro.

Archiviazione elettronica qualificata e conservazione a norma: come leggerle insieme

Conviene separare due piani che vengono confusi spesso. L’e-archiving qualificato europeo non cancella la conservazione digitale italiana disciplinata dal CAD e dalle Linee Guida AgID. I due regimi convivono. Il servizio europeo ha requisiti e vigilanza definiti a livello comunitario, mentre la conservazione a norma resta un obbligo dell’amministrazione, che passa dal manuale di conservazione, dai pacchetti di versamento, dal responsabile della conservazione.

La domanda operativa è quali garanzie sto comprando, da chi, e come le dimostro tra dieci anni. Se il vostro conservatore diventa prestatore qualificato per l’archiviazione elettronica cambia il regime di controllo a cui è sottoposto, mentre l’ente resta titolare del proprio archivio: le responsabilità interne vanno scritte nero su bianco nel contratto e nel manuale.

Attestazione elettronica di attributi: cosa succede dentro il procedimento

L’attestazione di attributi cambia il modo di istruire le pratiche. Oggi molte istanze chiedono al cittadino di dichiarare una qualità, iscrizione a un albo, titolo di studio, ruolo aziendale, e l’ufficio verifica dopo, spesso a campione. Con un attributo attestato in forma qualificata la verifica arriva insieme all’istanza.

La complicazione si sposta sul fascicolo, perché un attributo verificato è un dato personale, di quelli che conviene non accumulare. Decidete in anticipo se conservare l’attestazione, per quanto tempo e con quale base giuridica, oppure se basta registrarne l’esito. Sono scelte che DPO e responsabile documentale fanno insieme prima di aprire il flusso, perché correggerle dopo significa rimettere le mani su procedimenti già chiusi.

Adeguamento dei prestatori: cosa ha chiarito AgID e cosa ricade sull’ente

Il 23 aprile 2026 AgID ha pubblicato i chiarimenti per l’adeguamento dei prestatori di servizi fiduciari qualificati. Il destinatario diretto è il prestatore, ma è l’amministrazione che compra quei servizi e che risponde della continuità dei propri procedimenti.

Chiedete al fornitore a che punto è, con quali tempi previsti e con quali evidenze documentali. È un’attività concreta e poco costosa. La qualifica di un prestatore è verificabile anche dall’esterno, sugli elenchi di fiducia pubblici, e quel controllo va messo tra le verifiche periodiche sui fornitori critici.

Sui contratti la ricaduta è immediata. Gli accordi con i fornitori di servizi fiduciari e con i conservatori vanno riletti alla luce del nuovo perimetro: cosa è qualificato, quali obblighi di controllo restano in capo all’amministrazione, come si dimostra la conformità negli anni. Aggiungete due clausole, una sul caso in cui il prestatore perda la qualifica e una sui tempi e i formati con cui l’ente rientra in possesso dei propri dati.

Cosa chiedere al fornitore della piattaforma documentale

Le domande che seguono funzionano in gara, in rinnovo e anche a contratto in corso. Servono a ottenere risposte verificabili, con nomi, date e documenti a supporto:

1. Quali servizi fiduciari qualificati usa la piattaforma e chi li eroga? Nome del prestatore, servizi coperti dalla qualifica, riscontro sugli elenchi di fiducia.
2. A che punto è l’adeguamento del prestatore al Regolamento (UE) 2024/1183? Tempi e documentazione a supporto, con riferimento ai chiarimenti AgID di aprile 2026.
3. Come viene garantita la verifica delle firme a distanza di anni? Marca temporale, conservazione delle evidenze di validazione, formati di firma esterni accettati in ingresso.
4. Come avviene il versamento in conservazione e come si esce? Composizione dei pacchetti, metadati, gestione degli esiti negativi, formati e tempi di restituzione dei dati se si cambia conservatore.
5. Cosa succede a un attributo verificato che arriva dal wallet? Dove viene registrato nel fascicolo, con quali metadati, con quali politiche di minimizzazione e cancellazione.
6. Con quali tempi e a quali condizioni la piattaforma accetterà il portafoglio digitale accanto a SPID e CIE? Meglio se la risposta sta nel contratto.

Le risposte arrivano più solide quando la piattaforma e i servizi di firma e di conservazione stanno in un unico ambiente governato, con un solo registro delle attività. È il criterio con cui è costruito DocSuite Next: firma, fascicolo e versamento in conservazione restano tracciabili dentro il procedimento.

Validità e scambi: documenti che valgono oltre confine

Uno degli obiettivi dichiarati del regolamento è che identità, firme e attestati riconosciuti in uno Stato membro valgano anche negli altri. Per un ente che scambia atti con altre amministrazioni, italiane ed europee, l’interoperabilità diventa un requisito di esercizio, perché un documento deve restare verificabile e leggibile anche una volta uscito dal sistema che lo ha prodotto. È lo stesso principio che governa l’ecosistema documentale nazionale, che abbiamo approfondito in interoperabilità nella PA.

Il banco di prova sono i casi che già oggi creano attrito: un titolo di studio conseguito all’estero, un certificato chiesto da un’impresa straniera, una pratica sanitaria che segue un cittadino che si sposta. Ogni volta che l’ufficio ricorre a una verifica manuale, lì manca un pezzo di interoperabilità. Tenetene un elenco. Serve a misurare, tra un anno, se l’adeguamento ha prodotto effetti.

Gli errori da evitare

Cinque trappole ricorrenti, viste negli enti complessi:

• Delegarlo tutto all’IT. Buona parte delle decisioni sta nei contratti, nel manuale di conservazione e nelle regole sul fascicolo, materia che di norma resta fuori dall’ufficio tecnico. Se il presidio si ferma lì, quella parte del lavoro rimane scoperta.
• Muoversi all’ultimo. Il wallet europeo ha una scadenza precisa, la fine del 2026: chi arriva impreparato si ritrova a gestire l’accesso ai servizi in emergenza.
• Dimenticare i contratti con i conservatori. Il nuovo perimetro dei servizi fiduciari sposta responsabilità e controlli, e gli accordi vanno riletti prima che sia un rilievo a imporlo.
• Confondere e-archiving e conservazione a norma. Il servizio qualificato europeo non solleva l’ente dagli obblighi nazionali, e chi lo racconta così sta semplificando a vostro rischio.
• Accumulare attributi verificati senza una regola. I dati che arrivano dal wallet sono comodi da tenere e scomodi da giustificare, quindi la politica di conservazione va scritta prima di aprire il flusso.

Come prepararsi: metodo e roadmap operativa

Un percorso sostenibile parte da una fotografia dell’esistente. In ordine:

1. Assessment mirato. Dove eIDAS 2 tocca i vostri flussi: identificazione all’accesso, firme nei procedimenti, conservazione, scambi con altre amministrazioni.
2. Gap analysis. Cosa è già conforme, cosa dipende dai fornitori, cosa richiede un intervento interno su metadati, workflow di firma e contratti.
3. Piano di adeguamento. Le priorità ordinate per rischio e per scadenza, con i ruoli assegnati e una tempistica realistica fino a fine 2026.

Vale la pena insistere sul secondo passaggio. La gap analysis serve a qualcosa solo se separa ciò che l’ente risolve da solo da ciò che dipende da un contratto in essere. La seconda categoria ha tempi lunghi e va aperta per prima.

Primi 90 giorni: capire e censire

Nel primo trimestre l’obiettivo è avere in mano i fatti: censire i punti di autenticazione ai servizi online, elencare i contratti attivi con prestatori e conservatori con scadenze e clausole di uscita, mappare i procedimenti in cui la firma qualificata è già in uso. Si chiude con una richiesta formale ai fornitori sullo stato dell’adeguamento.

Medio periodo: decidere e rinegoziare

Nella fase centrale si passa dalle carte alle scelte. Si riscrivono le clausole su qualifica, evidenze, reversibilità e continuità del servizio. Si definisce con il DPO il trattamento degli attributi verificati. Si aggiorna il manuale di conservazione e si sistemano i workflow di firma nei procedimenti a maggior volume. Chi ha una gara in vista può portare le domande al fornitore dritte nel capitolato.

Verso fine 2026: provare sul campo

L’ultima fase verifica che le scelte reggano in esercizio: test di accesso con il portafoglio digitale, verifica delle firme su documenti in arrivo dall’esterno, un versamento in conservazione controllato e seguito dall’inizio alla fine, una simulazione di scambio con un’altra amministrazione. Aggiungete la prova che quasi nessuno fa: riverificare un atto firmato tre anni fa. Gli esiti di questi test dicono che cosa va sistemato prima della scadenza.

Ruoli coinvolti

La preparazione coinvolge più funzioni insieme. Il Responsabile della transizione digitale tiene la regia; il Responsabile della conservazione presidia archiviazione e catena di custodia; il DPO valuta il trattamento dei dati che arrivano dal wallet; l’IT abilita accessi e integrazioni; l’ufficio contratti rilegge gli accordi con fornitori e conservatori. Il documento è il punto in cui questi ruoli si incontrano, e per questo va governato in modo condiviso.

Domande frequenti

Cosa cambia con eIDAS 2 per la PA?
Arriva il portafoglio europeo di identità digitale, da mettere a disposizione entro fine 2026, si rafforzano firme e servizi fiduciari qualificati e diventa più esigente l’interoperabilità con altre amministrazioni. Per gli uffici il lavoro parte dai contratti in essere con prestatori e conservatori e dai punti in cui gli utenti si autenticano.

Il wallet europeo sostituisce SPID e CIE?
No. Il wallet si affianca agli strumenti nazionali, e il portafoglio digitale italiano si muove sullo stesso presupposto. Cambia il modo in cui l’utente porta con sé identità e credenziali verificate, mentre SPID e CIE restano parte del quadro italiano.

Le firme già emesse restano valide?
Sì. Le firme già apposte restano valide e il regolamento conferma la gerarchia, rafforzando quella qualificata. L’attenzione va posta sui flussi che devono riconoscerle e verificarle anche a distanza di anni, quando i certificati dei firmatari sono ormai scaduti.

Cosa cambia per la conservazione a norma?
eIDAS 2 estende i servizi fiduciari qualificati fino a comprendere l’archiviazione elettronica, che va letta insieme alla conservazione digitale nazionale disciplinata da CAD e Linee Guida AgID. A cambiare sono soprattutto i contratti con i conservatori e i controlli che restano in capo all’ente.

Che cos’è l’attestazione elettronica di attributi?
È uno dei nuovi servizi fiduciari: certifica in forma verificabile una qualità del soggetto, per esempio un titolo, un’abilitazione o un ruolo. Nei procedimenti consente di ricevere l’attributo già verificato insieme all’istanza, stabilendo prima cosa si conserva nel fascicolo e per quanto tempo.

Cosa deve chiedere l’ente al proprio prestatore di servizi fiduciari?
Lo stato dell’adeguamento al Regolamento (UE) 2024/1183, alla luce di quanto AgID ha chiarito ad aprile 2026. Utili anche le evidenze documentali, il riscontro sugli elenchi di fiducia e le condizioni di uscita dal servizio.

Prepararsi con metodo

eIDAS 2 è un pezzo del percorso che porta l’ente a governare davvero il proprio documento, dall’identità all’archivio. È anche il filo del terzo appuntamento di Documenta Futura, il Talk del 15 settembre su architetture, tecnologie e criteri per valutare fornitori e piattaforme, dove vediamo come le scelte tecnologiche accompagnano il percorso di adeguamento. Chi vuole capire come si tiene insieme il ciclo di vita del documento in un solo ambiente governato può scoprire DocSuite Next.

Fonti

• Commissione europea, European Digital Identity (EUDI) Regulation, Regolamento (UE) 2024/1183: digital-strategy.ec.europa.eu/en/policies/eudi-regulation
• Commissione europea, EU Digital Identity Wallet, implementazione: digital-strategy.ec.europa.eu/en/policies/eudi-wallet-implementation
• AgID, eIDAS 2: online i chiarimenti di AgID per l’adeguamento dei prestatori di servizi fiduciari (23 aprile 2026): agid.gov.it
• AgID, Linee Guida sulla formazione, gestione e conservazione dei documenti informatici (PDF): agid.gov.it
• CAD, D.Lgs. 82/2005, art. 43 (conservazione): normattiva.it
• AgID, Linee Guida identità digitale per uso professionale (PDF): agid.gov.it

Questo contenuto fa parte dell’Osservatorio sulla gestione documentale di Documenta Futura, dove raccogliamo metodi e strumenti per gli enti pubblici complessi. Se volete vedere come una suite di gestione documentale tiene insieme questi passaggi, potete partire dalle funzionalità di DocSuite Next oppure scriverci per un confronto sul vostro caso.