eIDAS 2.0 e il portafoglio europeo di identità digitale: cosa cambia per le imprese

Entro la fine del 2026 ogni Stato membro dell’UE dovrà offrire ai propri cittadini un portafoglio di identità digitale gratuito e garantito dallo Stato. Non è la slide di una roadmap: è una scadenza di legge, e l’orologio che la scandisce gira già da oltre un anno e mezzo. La norma alla base è eIDAS 2.0, formalmente il regolamento (UE) 2024/1183: una modifica del regolamento europeo del 2014 in materia di identificazione elettronica e servizi fiduciari (eIDAS). Detto in parole semplici: ogni Stato membro deve mettere un portafoglio di identità su smartphone nelle mani dei propri residenti, e le imprese dei settori regolamentati saranno progressivamente obbligate ad accettarlo.

Se in un’impresa europea vi occupate di identità, sicurezza o conformità, questo tema vale un quarto d’ora del vostro tempo adesso, perché gli obblighi arrivano secondo un calendario su cui potete pianificare — e perché molto di ciò che si scrive sul portafoglio ne sopravvaluta, senza dirlo, l’utilità per voi.

Un calendario su cui potete pianificare

Il regolamento è entrato in vigore il 20 maggio 2024. Le date che contano per un’impresa sono ancorate agli atti di esecuzione — le regole tecniche di dettaglio che la Commissione europea adotta in attuazione del regolamento. Il primo pacchetto è stato adottato a fine novembre 2024 ed è entrato in vigore a dicembre 2024, facendo partire due conti alla rovescia:

• 24 mesi — fine 2026. Ogni Stato membro dovrà mettere a disposizione almeno un portafoglio europeo di identità digitale (EU Digital Identity Wallet, EUDI) ai propri cittadini, residenti e imprese, a titolo gratuito.
• 36 mesi — fine 2027. In base all’articolo 5 septies del regolamento, le parti private facenti affidamento che sono tenute per legge o per contratto a usare l’autenticazione forte dell’utente dovranno accettare il portafoglio quando un utente chiede di usarlo. I settori interessati includono trasporti, energia, settore bancario, servizi finanziari, sicurezza sociale, sanità, acqua potabile, servizi postali, infrastrutture digitali, istruzione e telecomunicazioni. Microimprese e piccole imprese sono esenti. Le piattaforme online di dimensioni molto grandi (la fascia da 45 milioni di utenti regolata dal regolamento sui servizi digitali, il Digital Services Act) sono soggette alla stessa scadenza.

A che punto è, in pratica, il dispiegamento? Un’indagine sullo stato di avanzamento dell’aprile 2026 non ha ancora trovato alcun portafoglio certificato in produzione in nessuno Stato membro: Danimarca, Irlanda, Francia e Germania avevano aperto sandbox pubbliche per i test di integrazione, diversi Paesi prevedono di aggiornare le app di identità nazionali esistenti e gli altri non offrivano nulla di pubblico su cui fare test. La scadenza è fissa; il grado di preparazione è disomogeneo. Entrambi i fatti dovrebbero orientare la vostra pianificazione.

Cosa cambia per la vostra impresa

Quattro cose, in concreto.

• L’onboarding dei clienti si dota di una nuova porta d’ingresso. Oggi verificare online l’identità di un nuovo cliente significa foto dei documenti, videochiamate o una deviazione attraverso il login bancario — Paese per Paese, fornitore per fornitore. Un portafoglio contiene attributi verificati dallo Stato che l’utente può presentare in pochi secondi, validi in tutti gli Stati membri. Per qualsiasi impresa che svolga verifiche di conoscenza del cliente (know-your-customer, KYC), è un canale più economico e più rapido di quelli che sostituisce — e per giunta un canale che molte imprese dei settori sopra elencati dovranno comunque accettare.
• L’obbligo ricade dove la PSD2 si applica già. Banche e prestatori di servizi di pagamento vivono già sotto la PSD2, la direttiva europea sui servizi di pagamento che impone l’autenticazione forte del cliente (Strong Customer Authentication, SCA). L’obbligo di accettazione è scritto esattamente per quella platea: soggetti già tenuti ad autenticare in modo forte i propri utenti. Ciò che non fa è riscrivere la PSD2. Come un pagamento viene approvato, e come quell’approvazione è legata all’importo e al beneficiario, resta disciplinato dalle stesse regole di prima.
• Le firme qualificate smettono di essere un extra a pagamento. Il portafoglio consente ai cittadini di creare firme elettroniche qualificate — quelle legalmente equivalenti alla firma autografa — a titolo gratuito per uso non professionale. Aspettatevi che, col tempo, i clienti arrivino già in grado di firmare contratti a un livello di garanzia che prima richiedeva un certificato a pagamento.
• «Accedi con il portafoglio» diventa un’aspettativa. Una volta che i servizi pubblici e le banche lo accetteranno, gli utenti chiederanno perché il vostro portale clienti non lo accetti. Per le medie e grandi imprese dei settori elencati, quella domanda ha una risposta legale con una data: il 2027.

Cosa eIDAS 2.0 non significa

È la sezione che la maggior parte del materiale dei fornitori salta, quindi parliamo chiaro.

• Il portafoglio non gestisce la vostra forza lavoro. È una credenziale rivolta ai cittadini per accedere ai servizi pubblici e ai servizi privati regolamentati. Non dice nulla dei vostri dipendenti, dei loro ruoli, del loro accesso VPN, dei loro login Windows o delle loro console di amministrazione. Nulla nel regolamento sostituisce il vostro sistema di gestione delle identità e degli accessi (identity and access management, IAM), e i vostri obblighi ai sensi di NIS2 di proteggere gli accessi della forza lavoro restano del tutto invariati.
• Non è un single sign-on per i dipendenti. Un dipendente che dimostra allo Stato chi è pone un problema diverso da quello di un datore di lavoro che controlla cosa può fare un dipendente autenticato. Il portafoglio affronta il primo; single sign-on (SSO), politiche di sessione e accessi privilegiati restano vostri.
• Le date sono scadenze, non date di consegna. Le tappe legislative finora sono arrivate puntuali, ma nella primavera del 2026 nessun portafoglio era stato certificato per l’uso in produzione e il grado di preparazione nazionale variava molto. Pianificare l’accettazione del portafoglio è prudente; pianificare la vostra postura di sicurezza per il 2026 attorno all’arrivo del portafoglio non lo è.
• Notakey non è un fornitore di portafogli EUDI. I portafogli sono emessi dagli Stati membri o da fornitori da essi incaricati e certificati. Noi non ne costruiamo uno, e questo articolo non intende sostenere il contrario. Non siamo nemmeno un prestatore di servizi fiduciari qualificato: un’approvazione Notakey è una firma crittografica vincolata a una richiesta specifica, non una firma elettronica qualificata. Ciò che costruiamo sta accanto al portafoglio, ed è l’argomento della prossima sezione.

Dove si colloca l’autenticazione aziendale accanto al portafoglio

Il portafoglio risponde molto bene a una domanda: chi è questa persona? È uno strumento di identificazione e di onboarding. La domanda a cui i vostri sistemi rispondono tutto il giorno è un’altra: questa specifica persona ha appena approvato questa specifica azione? Lo sblocco di un pagamento, una sessione VPN, un accesso a un server, la modifica di un conto di accredito. Si tratta di autenticazione e approvazione delle transazioni: avviene molto dopo l’onboarding e resta compito dell’impresa — con o senza portafoglio.

Quel livello operativo è ciò che fa Notakey.

• Ogni approvazione è leggibile e specifica. Il telefono dell’utente mostra esattamente ciò che si sta approvando — quale sistema, quale azione, quale importo — e l’approvazione è una firma crittografica su quella precisa richiesta. È il modello di collegamento dinamico su cui è costruita la SCA della PSD2, ed è l’unica cosa che sconfigge il push-bombing: una richiesta che l’utente non ha avviato è visibilmente non sua.
• La chiave non lascia mai il telefono. Viene generata nell’hardware sicuro del dispositivo, quindi non c’è alcun segreto condiviso da sottoporre a phishing, intercettare o reimpostare con una telefonata all’help desk.
• Ogni evento è un’evidenza. Ogni accesso e ogni transazione firmata produce un registro con marca temporale e a prova di manomissione — la traccia di audit che le valutazioni PSD2, NIS2 e GDPR vi chiedono di produrre.
• Funziona dove i vostri dati devono restare. On-premise nella vostra infrastruttura o nel cloud, con gli utenti attinti dalle sorgenti Active Directory, LDAP o RADIUS che già mantenete.

Una sensata architettura per il 2027, in altre parole, non è portafoglio o autenticazione aziendale. È il portafoglio alla porta d’ingresso per l’identificazione, e dietro di essa un’approvazione delle transazioni forte e verificabile per tutto ciò che il cliente o il dipendente fa dopo.

Come prepararsi: una breve checklist

1. Classificatevi. Rientrate in uno dei settori dell’articolo 5 septies, sopra la soglia delle piccole imprese, e siete tenuti per legge o per contratto a usare l’autenticazione forte dell’utente? Se sì, l’accettazione del portafoglio è un obbligo di legge, non una decisione di prodotto, e il lavoro che comincia nel 2027 comincia tardi.
2. Fate l’inventario dei flussi. Elencate ogni punto rivolto ai clienti in cui identificate una persona o esigete la SCA: onboarding, login, approvazione dei pagamenti, firma dei contratti. Ognuno è un candidato all’accettazione del portafoglio; ognuno ha bisogno anche di un’alternativa, perché l’accettazione è a scelta dell’utente.
3. Seguite il portafoglio del vostro Stato membro. Le scadenze valgono in tutta l’UE; sandbox, certificazioni e date di lancio sono nazionali. Se nel vostro mercato esiste una sandbox pubblica, un test di integrazione anticipato è un’assicurazione a buon mercato.
4. Tenete separati l’identità dei clienti e gli accessi della forza lavoro. Il portafoglio cambierà la prima e non i secondi. Prevedete budget e personale trattandoli come i due problemi distinti che sono.
5. Colmate oggi le lacune di autenticazione di oggi. Un codice via SMS che può essere intercettato, o una richiesta di approvazione senza contesto che un utente può essere indotto a toccare a forza di insistenze, non diventa accettabile mentre aspettate i portafogli. Gli attaccanti non lavorano sullo stesso calendario.

Verificate a che punto sono i vostri flussi

Il modo più rapido per capire il livello delle approvazioni è usarlo una volta: leggere e firmare una transazione specifica dal vostro telefono, come farebbero i vostri clienti o amministratori.

Provate la demo dal vivo per firmarne una in circa due minuti, oppure richiedete una demo e mapperemo i vostri flussi SCA rivolti ai clienti e i vostri accessi interni su un progetto pilota sulla vostra infrastruttura.

Questo articolo fornisce informazioni di carattere generale e non costituisce consulenza legale. Gli obblighi di eIDAS 2.0 dipendono dal vostro settore, dalle vostre dimensioni e dall’attuazione nazionale; gli atti di esecuzione sono ancora in corso di estensione. Verificate con un consulente qualificato le scadenze e gli obblighi che si applicano alla vostra organizzazione.