E-Archiving Qualificato: le regole tecniche UE svelate

Evoluzione digitale

Analisi del regolamento di esecuzione

Nel recente articolo “E-archiving, cosa cambia con eIDAS 2.0”, ho delineato le grandi novità introdotte dal nuovo quadro normativo europeo. Ora, è il momento di passare dalla teoria alla pratica. La Commissione Europea ha pubblicato il 4 settembre scorso, le bozze del Regolamento di Esecuzione e del suo cruciale Allegato tecnico (definiti “Implementing regulation”), vale a dire documenti che definiscono nel dettaglio i requisiti operativi per i servizi di archiviazione elettronica qualificata.

Questi testi, che rimarranno in consultazione pubblica fino al 2 ottobre 2025, non sono semplici linee guida. Rappresentano la roadmap tecnica che ogni provider dovrà seguire per ottenere la qualifica. Analizziamoli per capire cosa significano concretamente per la sicurezza e il valore legale dei dati e dei documenti aziendali.

Dal “Cosa” al “Come”

Se eIDAS 2.0 ha stabilito il “cosa”, ovvero la creazione di una presunzione legale di integrità e autenticità per i dati e i documenti conservati da un provider qualificato – queste nuove norme definiscono il “come”. I principi fondamentali che emergono sono due:

Validità legale estesa nel tempo (Art. 1 del Regolamento): la conservazione digitale non è un mero deposito. Il provider qualificato ha l’obbligo legale di usare tecnologie che estendano l’affidabilità di firme e sigilli elettronici qualificati oltre la loro scadenza tecnica. In pratica, il valore probatorio del documento e delle sue sottoscrizioni viene protetto attivamente per tutto il ciclo di vita.
La Prova dell’Integrità (Art. 2 del Regolamento): al momento del recupero di un file, il servizio qualificato deve generare un report che attesti la sua integrità ininterrotta. Questo non è un semplice log, ma una vera e propria prova opponibile a terzi che il documento non è mai stato alterato.

L’Allegato Tecnico: la sicurezza diventa un obbligo misurabile

È l’Allegato tecnico a rappresentare la vera svolta. Come avevo anticipato, l’enfasi sulla cyber security è massima, ma ora abbiamo requisiti specifici e non più solo principi generali. La conformità non si basa sulla semplice adozione di standard ETSI e ISO, ma sul loro potenziamento con regole più stringenti.

Ecco i paletti tecnologici che diventeranno il nuovo standard di mercato:

Crittografia e hardware sotto controllo europeo: Non sarà più sufficiente usare un algoritmo robusto. I provider dovranno impiegare esclusivamente i meccanismi crittografici approvati dall’ENISA (Agenzia dell’Unione Europea per la Cybersicurezza). Inoltre, le operazioni di firma del conservatore dovranno essere protette da dispositivi hardware sicuri certificati (es. Common Criteria EAL 4+), garantendo che le chiavi non possano essere compromesse.
Cyber Security proattiva e obbligatoria: L’approccio alla sicurezza smette di essere una best practice e diventa un obbligo normativo con scadenze precise. L’allegato impone: Scansioni di vulnerabilità almeno trimestrali e Penetration test almeno annuali.

Questo conferma quanto anticipato: senza un investimento continuo e misurabile in sicurezza, testimoniato da certificazioni come la ISO 27001, sarà impossibile operare sul mercato qualificato.E

Tracciabilità a prova di contenzioso: Per rafforzare la presunzione legale, vengono imposti requisiti aggiuntivi come:

Autenticazione forte
Validazione temporale da parte di prestatori fiduciari qualificati (marca temporale)
Firma Qualificata (digitale) e marca temporale delle attestazioni di operazioni ed eventi, in unità o lotti
Definizione della granularità dei lotti di eventi a cui si applica una firma digitale
Frequenza di archiviazione delle attività di controllo e dei log
Conversione di formato pianificata e tracciabile.List item

Una Sfida e un’opportunità per i conservatori italiani

Come già sottolineato, i conservatori italiani partono da una posizione di vantaggio grazie a un’esperienza ventennale. Questa normativa tecnica, pur essendo sfidante, rappresenta un’opportunità unica. Fornisce finalmente un quadro di riferimento chiaro e univoco a livello europeo, permettendo ai provider italiani più strutturati di competere in un mercato più ampio, facendo leva sulle competenze già consolidate.

Il messaggio della Commissione è forte e chiaro. Il servizio di e-archiving qualificato non è un adempimento burocratico, ma un servizio ad altissimo valore tecnologico e legale. La fiducia si costruisce sulla base di regole tecniche misurabili e non più solo su dichiarazioni di policy. Per le imprese, affidarsi a un provider che seguirà questa strada significherà fare un investimento strategico per la protezione a lungo termine del proprio patrimonio informativo.

Daniele Anselmi
Esperto Legale – Credemtel SpA