eIDAS 2.0 spiegato: cosa significa per la tua azienda

Entro la fine del 2026, gli Stati membri dell'UE dovranno fornire a cittadini e imprese l'accesso a un portafoglio di identità digitale. Le organizzazioni che emettono o verificano documenti legati all'identità (dalle camere di commercio alle banche, alle assicurazioni e alle piattaforme di procurement) lavoreranno sempre più con verifiable credential invece che con PDF ed email.

Chi adotta per primo ottiene un vantaggio strutturale: onboarding più rapido, minor rischio di frode, controlli di conformità automatizzati e prontezza rispetto a normative obbligatorie prima della loro entrata in vigore. Le organizzazioni che aspettano affronteranno una transizione compressa nel tempo, con costi e disagi maggiori.

Il primo regolamento eIDAS, Regulation (EU) No 910/2014, faceva due cose. Rendeva i sistemi nazionali di identità elettronica riconoscibili a livello transfrontaliero, così che un accesso rilasciato in uno Stato membro potesse aprire un servizio pubblico in un altro. Dava inoltre ai servizi fiduciari come firme elettroniche, sigilli e validazioni temporali una base giuridica valida in tutta l'Unione.

Nella pratica la prima metà non si è mai davvero concretizzata. Notificare un sistema nazionale era facoltativo, quindi all'inizio degli anni Venti una larga parte degli europei non disponeva di alcuna identità elettronica notificata, e i sistemi esistenti raramente funzionavano fuori dal proprio Paese. Nulla obbligava le organizzazioni private ad accettarli, il che ha lasciato banche, operatori di telecomunicazioni e piattaforme a costruirsi controlli di identità propri.

eIDAS 2.0, Regulation (EU) 2024/1183, mantiene i servizi fiduciari e ricostruisce la parte relativa all'identità attorno al titolare. Ogni Stato membro deve ora offrire un wallet, non limitarsi ad avere la facoltà di notificare un sistema, un gruppo definito di organizzazioni private deve accettarlo, e i fatti verificati su una persona o un'azienda diventano a loro volta un servizio fiduciario. È il titolare a decidere che cosa viene condiviso in ogni transazione, ed è questo il cambiamento che fa funzionare tutto il resto.

Per un'impresa la differenza pratica è la direzione di marcia. Con il vecchio quadro normativo eravate voi a scegliere se supportare l'identità elettronica, e di solito concludevate che non ne valeva la pena. Con quello nuovo l'infrastruttura arriva comunque, le vostre controparti la ottengono gratuitamente, e la domanda diventa quanto rapidamente riuscite a metterla a frutto.

eIDAS 2.0 si applica a due livelli. Gli Stati membri devono costruire e gestire l'infrastruttura dell'European Digital Identity Wallet e renderla disponibile a cittadini e imprese. Le organizzazioni che rilasciano o verificano documenti legati all'identità, tra cui camere di commercio, banche, assicurazioni, enti pubblici e piattaforme di appalti, devono essere in grado di rilasciare credential nel wallet o di accettare credential presentate da esso.

L'introduzione segue una tempistica fissa. Entro la fine del 2026, ogni Stato membro dell'UE dovrà garantire a cittadini e imprese l'accesso a un wallet di identità digitale. Prima di tale data, le organizzazioni che rilasciano o verificano credential dovranno disporre della capacità tecnica per operare con credential basate su wallet, poiché la domanda dei titolari di wallet emerge nel momento stesso in cui il wallet diventa disponibile.

In pratica, prepararsi significa tre cose: allineare i formati dei credential agli standard su cui si basa il wallet (W3C Verifiable Credentials, mdoc, OpenID4VC), collegarsi a un registro di fiducia in modo che i credential rilasciati possano essere verificati senza contattare direttamente l'emittente, e adottare un'architettura privacy-by-design che conservi i credential nel wallet del titolare anziché in un registro condiviso, e condivida solo gli attributi di cui il verificatore ha bisogno. Le organizzazioni che iniziano per tempo evitano la tempistica di transizione compressa, i costi più elevati e le interruzioni che derivano dall'attendere fino a ridosso della scadenza.

L'obbligo principale è il wallet stesso. Entro il 24 dicembre 2026 ogni Stato membro deve offrire almeno un European Digital Identity Wallet, gratuito per le persone fisiche, e garantire che funzioni per cittadini, residenti e imprese. Le pubbliche amministrazioni devono accettarlo dalla stessa data, nel proprio Paese e per i titolari di qualsiasi altro Stato membro.

Dietro il wallet c'è un apparato che conta altrettanto per un'impresa e che attira molta meno attenzione. Gli Stati membri devono garantire che i dati di identificazione personale possano essere immessi nel wallet e che fonti autentiche come registri delle imprese, registri dell'istruzione e ordini professionali possano fornire i propri dati in formato elettronico. Devono inoltre certificare le soluzioni di wallet e pubblicare quali sono approvate.

Due di questi adempimenti sono quelli da cui una relying party dipende giorno per giorno. Deve esistere un modo per verificare, gratuitamente, che un wallet che presenta una credenziale sia autentico e ancora valido. E deve esistere un registro nazionale delle relying party, ed è lì che la vostra organizzazione si iscrive prima di poter chiedere qualsiasi cosa a un wallet.

I progressi sono disomogenei, quindi tenete d'occhio il vostro Stato membro più che la media europea. La data è la stessa ovunque, ma quale autorità gestisce il registro delle relying party, quanto tempo richiede l'iscrizione e quali fonti autentiche vengono collegate per prime sono decisioni nazionali. Sono proprio questi elementi a determinare quando potrete davvero iniziare.

I servizi fiduciari sono la parte di eIDAS che la maggior parte delle imprese già utilizza senza chiamarla per nome. Sono ciò che dà peso giuridico a un documento o a un messaggio elettronico: firma, sigillo, validazione temporale, recapito certificato e, ora, l'attestazione di fatti relativi a una persona o a un'organizzazione.

La parola che conta è qualificato. Un servizio qualificato proviene da un prestatore vigilato e pubblicato su un elenco di fiducia nazionale, e gode di una presunzione giuridica in ogni Stato membro. Un giudice parte dal presupposto che la firma, il sigillo o la validazione temporale siano ciò che dichiarano di essere, e l'onere della prova ricade su chi li contesta. Un servizio non qualificato può comunque costituire una prova del tutto valida, ma dovete dimostrarlo voi.

I servizi fiduciari e il wallet sono due metà dello stesso quadro. Il wallet è il modo in cui una credenziale raggiunge l'altra parte e in cui il titolare sceglie che cosa rivelare, mentre i servizi fiduciari sono ciò che rende solidi i contenuti in un secondo momento. La maggior parte delle organizzazioni finisce per usarne diversi insieme: un sigillo su ciò che emette, un'attestazione per i fatti di cui può farsi garante e una firma ovunque una persona debba impegnarsi.

Dal 24 dicembre 2027 accettare l'European Digital Identity Wallet smette di essere facoltativo per buona parte del settore privato. L'obbligo segue il requisito di autenticazione forte dell'utente, quindi a decidere è il modo in cui identificate le persone, non l'etichetta del vostro settore.

La regola si capisce meglio attraverso esempi. Una banca effettua già un controllo forte quando qualcuno apre un conto o conferma un pagamento, quindi il wallet deve diventare uno dei modi per soddisfare quel controllo. Un operatore di telecomunicazioni che verifica un'identità prima di attivare un abbonamento, un fornitore di energia che cambia un contratto e un'assicurazione sanitaria che registra un nuovo assistito si trovano tutti nella stessa posizione.

Lo stesso vale ben oltre i nomi regolamentati più ovvi. Un'università che iscrive studenti, un operatore di trasporti che rilascia un badge al personale, un ente previdenziale che eroga prestazioni e una piattaforma online di dimensioni molto grandi che autentica gli utenti rientrano tutti nell'obbligo nel momento in cui identificano qualcuno. Se già oggi fate passare le persone attraverso un controllo formale dell'identità online, date per scontato di rientrare nell'ambito di applicazione e partite da lì.

Vale la pena tenere a mente due limiti. L'obbligo è attivato dall'utente, che chiede di usare il proprio wallet invece di vederselo imporre, e riguarda la fase di identificazione, non l'intera relazione. Non è nemmeno una licenza per chiedere di più: potete richiedere solo i dati coperti dalla vostra registrazione come relying party, che nella maggior parte dei casi sono meno di quanto vi avrebbe dato un documento scansionato.

Le pubbliche amministrazioni vengono per prime. Non appena i wallet sono disponibili, il che deve avvenire entro il 24 dicembre 2026, devono accettarli ovunque richiedano già un'identificazione elettronica, nel proprio paese e per i cittadini di altri Stati membri.

Le microimprese e le piccole imprese sono esenti dall'obbligo di accettazione. Le piattaforme online di dimensioni molto grandi designate ai sensi del Digital Services Act vi rientrano ogni volta che autenticano utenti, anche se il regolamento non fissa per loro una data specifica.

Se la vostra organizzazione non compare in nessuno dei due elenchi, la domanda pratica non cambia. Ogni verifica di identità che fate oggi può diventare una credenziale presentata da un wallet in pochi secondi, con meno frodi, senza gestione di documenti e senza dati che dovete conservare e proteggere voi.

L'European Digital Identity Wallet è costruito attorno a una persona. È la forma giusta per dimostrare chi avete davanti e quella sbagliata per la maggior parte dei processi tra imprese, che ruotano invece attorno all'organizzazione: con quale soggetto giuridico state trattando, chi può agire per suo conto e fin dove arriva quel potere.

eIDAS 2.0 consente già a un'organizzazione di detenere credenziali e di ricevere attestazioni su se stessa, quindi i dati societari possono già oggi transitare attraverso un wallet. Ciò che non risolve è il livello amministrativo che vi ruota attorno: mandati, poteri di rappresentanza, depositi e lo scambio di documenti tra imprese ed enti pubblici che continua a passare da portali e posta elettronica.

Il 19 novembre 2025 la Commissione europea ha proposto un regolamento separato per l'European Business Wallet, dedicato esattamente a quel livello. È ancora in corso l'iter legislativo, quindi non c'è ancora una data su cui pianificare, e nessuno dovrebbe aspettarne una prima di muoversi.

La preparazione utile non è di natura tecnica. Decidete fin d'ora chi nella vostra organizzazione è responsabile delle credenziali aziendali e chi può impegnare l'azienda, perché è questo che a qualsiasi wallet verrà chiesto di esprimere. Di solito mettersi d'accordo internamente richiede più tempo di quanto ne serva a realizzare l'integrazione.

eIDAS 2.0 prevede una vigilanza, non un'autocertificazione. Ogni Stato membro designa un organismo che sorveglia i prestatori di servizi fiduciari qualificati e può revocare la qualifica, e un organismo che vigila sui fornitori di wallet operanti nel proprio territorio. Le autorità per la protezione dei dati mantengono il proprio ruolo ovunque siano coinvolti dati personali, il che in questa materia vale quasi sempre.

La registrazione come relying party è la parte che tocca più direttamente le imprese comuni. Poiché la vostra registrazione dichiara che cosa vi è consentito chiedere a un wallet, chiedere di più è visibile, segnalabile e passibile di intervento da parte di un organismo di vigilanza. Gli Stati membri devono stabilire sanzioni per le violazioni del regolamento e renderle effettive, proporzionate e dissuasive, e gli importi sono fissati a livello nazionale.

Per la maggior parte delle organizzazioni, però, il primo costo del ritardo non è una multa. È un cliente in grado di dimostrare qualcosa in pochi secondi a cui viene chiesto invece di caricare una scansione, un concorrente che lo acquisisce lo stesso pomeriggio e una domanda di gara a cui non sapete rispondere bene.

Il secondo costo è il tempo. Tutto ciò che trovate nella checklist qui sotto ha tempi di attesa misurati in mesi più che in settimane, e deve avvenire nella stessa finestra temporale di tutti gli altri. Iniziare presto significa soprattutto non doversi contendere più avanti un'attenzione scarsa.

Il Business Wallet di Credenco è progettato fin dalle fondamenta per soddisfare i requisiti di eIDAS 2.0. Implementa W3C Verifiable Credentials, OpenID4VC per l'emissione e la presentazione delle credenziali e verifica l'affidabilità degli emittenti confrontandola con gli elenchi di fiducia eIDAS dell'UE, garantendo che ogni credenziale emessa tramite Credenco porti con sé la fiducia basata su standard richiesta dal regolamento.

Le credenziali sono conservate nel wallet di ciascuna organizzazione, non in un registro condiviso, e i titolari divulgano solo gli attributi di cui il verificatore ha bisogno. Questa architettura privacy-by-design non è un adattamento successivo: è un principio di progettazione fondamentale, pienamente allineato sia al GDPR sia ai requisiti del wallet previsti da eIDAS 2.0.