eIDAS 2: il portafoglio d'identità europeo, e perché è un tema di sicurezza

Cos'è, in una frase

Il Regolamento (UE) 2024/1183, in vigore dal 20 maggio 2024, modifica il vecchio quadro eIDAS e introduce l'EUDI Wallet, il portafoglio europeo di identità digitale. L'idea in una frase: un'app, sul telefono del cittadino, in cui conservare la propria identità digitale e una serie di attestati — dalla patente a un titolo di studio — e con cui identificarsi presso servizi pubblici e privati in tutta l'Unione. La tabella di marcia è precisa: dopo l'adozione degli atti di esecuzione, avvenuta il 28 novembre 2024, gli Stati membri sono chiamati a mettere a disposizione almeno un wallet certificato entro la fine del 2026. Ogni Stato può realizzarlo direttamente, affidarlo a un soggetto incaricato o riconoscere una soluzione del settore privato.

1. 20 maggio 2024
   Entrata in vigore

   Il Regolamento (UE) 2024/1183 modifica eIDAS

2. 28 novembre 2024
   Atti di esecuzione

   Funzioni, dati, interfacce e certificazione

3. Fine 2026
   I wallet

   Ogni Stato ne offre almeno uno certificato

Perché un sito di cybersecurity se ne occupa

Perché un'identità digitale unica e diffusa non è solo una comodità: è una superficie d'attacco. Nel momento in cui un'app diventa la chiave che apre servizi pubblici, conti, sanità, la posta in gioco di un suo compromesso cresce in proporzione. Un quadro normativo che spinge centinaia di milioni di persone verso un unico strumento di identità deve, per forza, mettere la sicurezza al centro — e infatti la norma lo fa in due modi.

Il primo è la certificazione: il wallet non è un'app qualsiasi, deve raggiungere un livello di garanzia elevato e superare valutazioni di conformità, in coerenza con i lavori europei sulla certificazione della cybersecurity coordinati da ENISA. Il secondo è un principio di progettazione a favore della privacy: la divulgazione selettiva. Invece di consegnare un documento intero per provare un singolo dato — l'età, la residenza — il wallet consente di mostrare solo l'attributo richiesto, sotto il controllo dell'utente. È privacy by design applicata all'identità: meno dati circolano, meno ce n'è da rubare.

Cosa non è, per non confondersi

Vale la pena chiarire i limiti, perché intorno all'identità digitale circola molta confusione. Il wallet è, sulla carta, volontario per il cittadino: è uno strumento a disposizione, non un obbligo di possederlo. Gli obblighi, semmai, ricadono a valle: la tabella di marcia prevede che entro il 2027 diversi soggetti — settori regolati come banche, sanità e telecomunicazioni, e le grandi piattaforme online — debbano accettare il wallet come metodo di identificazione dove l'utente scelga di usarlo. L'orizzonte di lungo periodo dichiarato dall'UE è ambizioso: l'80% dei cittadini europei dotato di un'identità digitale entro il 2030.

Due cautele, dette con onestà. Le date di disponibilità effettiva dipendono dall'attuazione nei singoli Stati membri e possono scorrere rispetto alla scadenza europea: il traguardo "entro fine 2026" è quello fissato dal quadro normativo, non una garanzia sul calendario di ogni singolo Paese. E il successo dell'intera impostazione dipenderà dalla robustezza reale delle implementazioni: un principio di sicurezza scritto nel regolamento vale quanto la sua realizzazione tecnica. Ma la direzione è chiara, ed è quella giusta per chi guarda le cose dal lato della sicurezza: costruire l'identità digitale mettendo la protezione e il controllo dell'utente non come aggiunta finale, ma come fondamenta.