Come eIDAS 2.0 trasformerà la verifica dell'identità in tutta l'UE

Il conto alla rovescia è già iniziato. eIDAS 2.0 è entrato in vigore il 20 maggio 2024 e le principali normative di implementazione relative al Wallet sono entrate in vigore a dicembre 2024. Entro dicembre 2027, molti servizi privati ​​che già utilizzano un'autenticazione forte degli utenti, e tutte le piattaforme online di grandi dimensioni, dovranno accettare gli accessi tramite Wallet su richiesta dell'utente. Per i team di compliance, prodotto e gestione del rischio, non si tratta di un cambiamento facoltativo, ma di una nuova prassi operativa per l'onboarding, l'autenticazione e le firme elettroniche transfrontaliere.

Che cos'è il regolamento eIDAS 2.0?

eIDAS eIDAS è l'acronimo di Identificazione elettronica, Autenticazione e Servizi fiduciari. Il regolamento eIDAS 2.0 è stato introdotto per affrontare i problemi di interoperabilità legati alle identità elettroniche (eID) emesse ai sensi del precedente regolamento eIDAS. Questo nuovo regolamento mira ad armonizzare gli standard tecnici applicabili all'emissione, all'utilizzo e all'autenticazione delle identità elettroniche e dei servizi fiduciari innovativi.

Il regolamento eIDAS aggiornato definisce il quadro di riferimento per le interazioni digitali tra utenti e imprese, al fine di garantire che tali transazioni commerciali rimangano più sicure, rapide e convenienti non solo all'interno dei confini nazionali, ma anche negli altri Stati membri dell'UE.

Il regolamento eIDAS stabilisce le regole per due pilastri. Il primo è identificazione elettronica (eID), che è il modo in cui gli utenti dimostrano chi sono online. E, in secondo luogo, ci sono i servizi di fiducia che includono firme elettronichesigilli elettronici, marcature temporali elettroniche, servizi di consegna raccomandata elettronica e certificati di autenticazione di siti web qualificati.

Si tratta del regolamento che promuove l'interoperabilità delle identità elettroniche e dei servizi fiduciari nell'Unione europea. Ciò significa che le identità elettroniche notificate emesse in un paese dell'UE saranno valide in tutti i 27 Stati membri. Analogamente, il regolamento garantisce che i servizi fiduciari offerti nell'ambito di questo quadro normativo abbiano valore legale dinanzi ai tribunali di tutta l'UE.

Il percorso di eIDAS dalla proposta all'implementazione.

Il regolamento eIDAS, proposto nel 2012, ha subito diversi aggiornamenti e trasformazioni. Questo è il risultato di un processo continuo di discussioni, revisioni e sperimentazioni, volto a raggiungere gli obiettivi della politica dell'UE "Percorso verso il decennio digitale" e della dichiarazione sui "Diritti e principi digitali". Il percorso verso il decennio digitale prevede che l'80% dei cittadini dell'UE utilizzi un'identità digitale entro il 2030 e che il 100% dei cittadini vi abbia accesso. Ecco alcuni momenti salienti del regolamento eIDAS:

Questi traguardi hanno reso la "regolamentazione eIDAS" un punto di riferimento a livello globale, influenzando le discussioni sulla fiducia digitale ben oltre i confini europei.

Come eIDAS 2.0 consente la verifica dell'identità a livello europeo

Prima dell'eIDAS, i servizi fiduciari e le identità elettroniche erano frammentati in tutta l'UE, con conseguenti rallentamenti e ostacoli all'erogazione transfrontaliera dei servizi. A causa della mancanza di standard unificati per l'identificazione elettronica, era difficile riutilizzarla al di fuori del proprio paese. Era necessario un quadro comune per armonizzare l'emissione, l'uso e l'accettazione dei servizi di identificazione e fiduciari attraverso i confini digitali dell'UE. Consapevole di tale necessità e utilità, la Commissione europea ha proposto un quadro giuridico nel 2012, che è poi diventato il regolamento eIDAS nel 2016.

In che modo eIDAS 2.0 si differenzia da eIDAS 1.0?

eIDAS 2.0 introduce alcune importanti modifiche che riguardano i team addetti alla conformità e allo sviluppo prodotto.

Portafogli di identità digitale UE (EUDI) obbligatori: Entro la fine del 2026, ogni Stato membro deve fornire almeno un portafoglio certificato. Gli Stati membri devono divulgare i componenti software dell'app Portafoglio rivolti all'utente finale sotto una licenza open source, con limitate eccezioni per la sicurezza pubblica. L'emissione e l'uso di Identità digitale dell'UE I portafogli devono essere liberi per le persone fisiche.

Controllo utente avanzato: eIDAS 2.0 consente agli utenti di controllare i propri dati scegliendo quali attributi possono essere divulgati a terzi (ad esempio, la verifica del compimento dei 18 anni senza rivelare la data di nascita e altri dati identificativi). I fornitori di portafogli digitali non possono combinare i dati del portafoglio con quelli di altri servizi, a meno che l'utente non lo richieda esplicitamente.

Nuovi e ampliati servizi fiduciari: L'elenco ora include le attestazioni elettroniche degli attributi. Aggiunge l'archiviazione elettronica qualificata e riconosce i registri elettronici. Chiarisce il servizio fiduciario qualificato per la gestione di dispositivi remoti per la creazione di firme o sigilli qualificati. Queste misure estendono le interazioni digitali lecite oltre le sole firme.

Adozione obbligatoria del portafoglio EUDI per i servizi pubblici e privati: I servizi pubblici devono accettare gli eID notificati e Portafoglio EUDINel settore privato, tutte le imprese, ad eccezione delle micro e piccole imprese che già utilizzano un'autenticazione forte degli utenti, tra cui quelle del settore bancario, energetico, sanitario, dell'istruzione e delle telecomunicazioni, dovranno accettare il Wallet su richiesta dell'utente entro 36 mesi dall'entrata in vigore delle leggi attuative relative al Wallet (ovvero entro dicembre 2027). Le piattaforme online di grandi dimensioni dovranno supportare l'accesso tramite Wallet alle stesse condizioni.

Nuovi obblighi per le parti che si affidano a noi: Se il tuo servizio utilizza già forte autenticazione del clienteDovresti quindi registrarti come soggetto affidabile del portafoglio. Dovrai indicare la tua entità legale, l'utilizzo previsto dei dati e i dettagli di contatto tecnici. Dovrai inoltre supportare gli pseudonimi degli utenti del portafoglio laddove l'identificazione non sia legalmente richiesta.

Sicurezza e supervisione: L'aggiornamento si allinea alle più ampie normative UE in materia di sicurezza informatica e introduce una gestione specifica delle violazioni dei dati per i portafogli digitali. Inasprisce inoltre i requisiti di certificazione e supervisione per i fornitori di servizi fiduciari. Il software e gli ecosistemi dei portafogli digitali devono soddisfare gli standard tecnici definiti attraverso atti attuativi e schemi di certificazione.

In che modo le imprese traggono vantaggio dal regolamento eIDAS 2.0?

Il settore finanziario, l'assistenza sanitaria, i servizi professionali e l'e-commerce si affidano più che mai a un'identità digitale affidabile. Le persone in conformitàChe si tratti di ruoli tecnici o commerciali, chi ha familiarità con le normative sa che queste possono determinare il successo o il fallimento dell'efficienza operativa. Quindi, in che modo l'eIDAS influisce concretamente sulle aziende?

L'onboarding transfrontaliero diventa più semplice

Le aziende ora possono autenticare i clienti con ID elettronici notificati e credenziali del portafoglio. Ciò supporta un processo più rapido diligenza dovuta riducendo al contempo la verifica manuale dei documenti di identità. Ciò significa che un fornitore di servizi finanziari in Germania può acquisire a distanza un potenziale cliente dai Paesi Bassi senza alcun intoppo.

Le firme elettroniche qualificate hanno pieno valore legale.

Una firma elettronica qualificata ha lo stesso valore legale di una firma autografa in tutta l'UE. Ciò garantisce certezza giuridica per gli accordi a distanza.

Minimizzazione dei dati fin dalla fase di progettazione

I wallet consentono agli utenti di presentare solo gli attributi richiesti. Ad esempio, i titolari di un wallet possono scegliere di divulgare attributi selettivi come l'età superiore ai 18 anni, la residenza o una licenza professionale. Per le aziende, questo riduce la raccolta di dati e diminuisce il rischio di violazioni. Tuttavia, ciò dipende dalla tecnologia utilizzata dalla suite di verifica dell'identità (IDV) dell'azienda e dalla sua capacità di supportare la divulgazione selettiva.

Come preparare la tua azienda all'ecosistema eIDAS?

Le organizzazioni che si mantengono al passo con la normativa eIDAS sono in una posizione migliore per adattarsi alle tendenze digitali e fornire servizi fluidi, sicuri e conformi nei settori della finanza, della sanità, della pubblica amministrazione e non solo. Nei paragrafi seguenti, elencheremo alcuni passaggi pratici per garantire che la vostra organizzazione sia pronta ad affrontare l'impatto della normativa eIDAS.

Mentre le piccole imprese hanno la possibilità di scegliere se adottare o meno i wallet EUDI, le imprese più grandi sono obbligate ad accettarli se i loro clienti li richiedono. Se un'impresa decide di affidarsi alle credenziali di un utente nell'ambito dell'ecosistema eIDAS, viene definita "parte affidabile" e deve completare la procedura di registrazione come tale.

Per completare la registrazione come soggetto affidabile, le aziende dovranno fornire dettagli quali il tipo di persona giuridica, il codice fiscale, la partita IVA o il numero di registrazione dell'azienda, specificando il motivo per cui intendono accedere/raccogliere i dati dei clienti (età, nome, indirizzo, ecc.). A tal fine, le aziende dovranno mappare ogni flusso di autenticazione e onboarding laddove l'autenticazione forte sia richiesta per legge o contratto.

Il passo successivo è la pianificazione delle attestazioni elettroniche degli attributi. Decidi quali attributi accetterai e come li verificherai. Ad esempio, se sei un e-commerce Se si tratta di un'attività che vende beni soggetti a restrizioni di età, in questo caso l'attributo da attestare è l'età. È necessario rivedere la propria strategia di firma e le modalità di accettazione delle firme qualificate per i contratti che richiedono un elevato livello di garanzia legale.

Il passo successivo consiste nell'allineare i requisiti del fornitore IDV e di integrazione per rendere operativa l'accettazione del wallet e dei servizi di fiducia. L'architettura e il framework di riferimento del wallet EUDI stabiliscono che le parti affidabili devono mantenere un'interfaccia con il wallet EUDI per richiedere attestazioni (come età, indirizzo, nome, ecc.) per stabilire l'identità di una persona, con autenticazione reciproca. Il framework menziona chiaramente che ogni istanza/richiesta di questo tipo deve essere autenticata dalla parte affidabile. Ciò richiederà inoltre di disporre di un'interfaccia per i metodi di autenticazione richiesti.

Se sei una parte che si affida a un servizio e deve verificare l'identità di un cliente, devi esaminare preventivamente alcuni aspetti:

• Quali sono i vostri attuali requisiti/obblighi di verifica dell'identità, che dipendono da:
  • Esigenze aziendali e obblighi legali
  • Presenza geografica della tua clientela attuale/potenziale
  • Esigenze/preferenze dei vostri clienti in merito all'utilizzo di diversi metodi di verifica
• La tua attuale suite IDV è sufficientemente adattabile per soddisfare diversi metodi di verifica come la biometria, verifica del documento, NFC letture e API del portafoglio?
• I controlli KYC e AML dovrebbero funzionare contemporaneamente. Una soluzione IDV completa può collegare in modo pulito l'onboarding basato su wallet a sanzioni, PEP e screening avverso dei media e un monitoraggio continuo.

eIDAS 2.0 trasferisce l'identità digitale dalle carte d'identità elettroniche nazionali a un quadro europeo armonizzato. I team di conformità e di prodotto che si preparano ora potranno garantire un'implementazione più rapida, un minor rischio di frode e una maggiore garanzia legale in tutta l'UE.

Come Shufti aiuta le aziende in un contesto di vulnerabilità in continua evoluzione

Preparate il processo di onboarding per eIDAS 2.0, senza dover ricostruire tutto da zero.

Shufti aiuta i team di conformità e di prodotto a rendere operativi i flussi di identità pronti per il portafoglio con una potente autenticazione tramite rilevazione del livenessLa soluzione offre anche una soluzione completa AML screening (PEP, sanzioni, notizie negative) per semplificare i flussi di lavoro di conformità in un'unica interfaccia.

Se la tua attività rientra nell'ecosistema eIDAS, mappa gli utenti di Percorso, registrati come relying party e collega gli attributi di divulgazione selettiva al tuo esistente Conosci il tuo cliente e un monitoraggio continuo, in modo da ridurre al minimo i dati, diminuire il rischio di frode e rispettare le scadenze prima del 2026/2027.

Rivolgiti agli specialisti di Shufti in materia di conformità UE. per vedere una demo pronta per l'uso con Wallet.

Scopri di più su Shufti soluzioni di identità digitale e di come aiutiamo le aziende a prepararsi al futuro della fiducia e della conformità.