Document ID: 02015R1502-20220711
Language: ITA

02015R1502 — IT — 11.07.2022 — 001.001
Il presente testo è un semplice strumento di documentazione e non produce alcun effetto giuridico. Le istituzioni dell’Unione non assumono alcuna responsabilità per i suoi contenuti. Le versioni facenti fede degli atti pertinenti, compresi i loro preamboli, sono quelle pubblicate nella Gazzetta ufficiale dell’Unione europea e disponibili in EUR-Lex. Tali testi ufficiali sono direttamente accessibili attraverso i link inseriti nel presente documento
<table><col/><col/><tr><td><p><a>&#9658;B</a></p></td><td><p>REGOLAMENTO DI ESECUZIONE (UE) 2015/1502 DELLA COMMISSIONE</p><p>dell'8 settembre 2015</p><p>relativo alla definizione delle specifiche e procedure tecniche minime riguardanti i livelli di garanzia per i mezzi di identificazione elettronica ai sensi dell'articolo 8, paragrafo 3, del regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno</p><p><a>(Testo rilevante ai fini del SEE)</a></p><p>(GU L 235 del 9.9.2015, pag. 7)</p></td></tr></table>
Modificato da:
<table><col/><col/><col/><col/><col/><tr><td><p>&#160;</p></td><td><p>&#160;</p></td><td><p>Gazzetta ufficiale</p></td></tr><tr><td><p>&#160;&#160;n.</p></td><td><p>pag.</p></td><td><p>data</p></td></tr><tr><td><p><a>&#160;M1</a></p></td><td><p><a>REGOLAMENTO DI ESECUZIONE (UE) 2022/960 DELLA COMMISSIONE&#160;del 20&#160;giugno&#160;2022</a></p></td><td><p>&#160;&#160;L&#160;165</p></td><td><p>40</p></td><td><p>21.6.2022</p></td></tr></table>
REGOLAMENTO DI ESECUZIONE (UE) 2015/1502 DELLA COMMISSIONE
dell'8 settembre 2015
relativo alla definizione delle specifiche e procedure tecniche minime riguardanti i livelli di garanzia per i mezzi di identificazione elettronica ai sensi dell'articolo 8, paragrafo 3, del regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno
(Testo rilevante ai fini del SEE)
Articolo 1
1. I livelli di garanzia basso, significativo ed elevato per i mezzi di identificazione elettronica rilasciati nell'ambito di un regime di identificazione elettronica notificato sono determinati facendo riferimento alle specifiche e alle procedure fissate nell'allegato.
2. Le specifiche e le procedure fissate nell'allegato sono utilizzate per specificare il livello di garanzia dei mezzi di identificazione elettronica rilasciati nell'ambito di un regime di identificazione elettronica notificato determinando l'affidabilità e la qualità dei seguenti elementi:
a) la registrazione, di cui alla sezione 2.1 dell'allegato del presente regolamento, a norma dell'articolo 8, paragrafo 3, lettera a), del regolamento (UE) n. 910/2014;
b) la gestione dei mezzi di identificazione elettronica, di cui alla sezione 2.2 dell'allegato del presente regolamento, a norma dell'articolo 8, paragrafo 3, lettere b) e f), del regolamento (UE) n. 910/2014;
c) l'autenticazione, di cui alla sezione 2.3 dell'allegato del presente regolamento, a norma dell'articolo 8, paragrafo 3, lettera c), del regolamento (UE) n. 910/2014;
d) la gestione e l'organizzazione, di cui alla sezione 2.4 dell'allegato del presente regolamento, a norma dell'articolo 8, paragrafo 3, lettere d) ed e), del regolamento (UE) n. 910/2014.
3. Se i mezzi di identificazione elettronica rilasciati nell'ambito di un regime di identificazione elettronica notificato soddisfano un requisito elencato in un livello di garanzia superiore, si ritiene che essi soddisfino il requisito equivalente di un livello di garanzia inferiore.
4. Salvo indicazione contraria nella parte pertinente dell'allegato, ai fini della corrispondenza al livello di garanzia dichiarato devono essere soddisfatti tutti gli elementi elencati nell'allegato per lo specifico livello di garanzia dei mezzi di identificazione elettronica rilasciati nell'ambito di un regime di identificazione elettronica notificato.
Articolo 2
Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea .
Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.
ALLEGATO
Specifiche e procedure tecniche per i livelli di garanzia basso, significativo ed elevato per i mezzi di identificazione elettronica rilasciati nell'ambito di un regime di identificazione elettronica notificato
1. Definizioni applicabili
Ai fini del presente allegato si intende per:
(1) «fonte autorevole», qualsiasi fonte, a prescindere dalla forma, sulla quale si possa fare affidamento per l'ottenimento di dati, informazioni e/o elementi di prova esatti da utilizzare per dimostrare l'identità;
(2) «fattore di autenticazione», un fattore associato con certezza a una persona e rientrante in una delle seguenti categorie:
a) «fattore di autenticazione basato sul possesso», un fattore di autenticazione che il soggetto è tenuto a dimostrare di possedere;
b) «fattore di autenticazione basato sulla conoscenza», un fattore di autenticazione che il soggetto è tenuto a dimostrare di conoscere;
c) «fattore di autenticazione intrinseco», un fattore di autenticazione basato su una caratteristica fisica di una persona fisica, che il soggetto è tenuto a dimostrare di possedere;
(3) «autenticazione dinamica», un processo elettronico che utilizza la crittografia o altre tecniche per fornire un mezzo che consente di creare su richiesta una prova elettronica che attesti il controllo o il possesso dei dati di identificazione da parte del soggetto e che cambia ad ogni interazione di autenticazione tra il soggetto e il sistema che ne verifica l'identità;
(4) «sistema di gestione della sicurezza delle informazioni», un insieme di processi e procedure intesi a gestire a livelli accettabili i rischi connessi alla sicurezza delle informazioni.
2. Specifiche e procedure tecniche
Gli elementi delle procedure e delle specifiche tecniche descritti nel presente allegato sono utilizzati per determinare in che modo sono applicati i requisiti e i criteri di cui all'articolo 8 del regolamento (UE) n. 910/2014 per i mezzi di identificazione elettronica rilasciati nell'ambito di un regime di identificazione elettronica.
2.1. Registrazione
2.1.1. Domanda e registrazione
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;Accertarsi che il richiedente conosca i termini e le condizioni per l'uso del mezzo di identificazione elettronica.</p><p>2.&#160;&#160;Accertarsi che il richiedente conosca le precauzioni di sicurezza raccomandate per l'uso del mezzo di identificazione elettronica.</p><p>3.&#160;&#160;Raccogliere i dati identificativi necessari per il controllo e la verifica dell'identit&#224;.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Come per il livello basso.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Come per il livello basso.</p></td></tr></tbody></table>
2.1.2. Controllo e verifica dell'identità (persona fisica)
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;La persona pu&#242; essere ritenuta in possesso di una prova riconosciuta dallo Stato membro in cui &#232; presentata la domanda di rilascio del mezzo di identificazione elettronica e attestante l'identit&#224; dichiarata.</p><p>2.&#160;&#160;La prova pu&#242; essere ritenuta autentica o esistente in virt&#249; di una fonte autorevole ed &#232; all'apparenza valida.</p><p>3.&#160;&#160;L'esistenza dell'identit&#224; dichiarata &#232; accertata mediante una fonte autorevole e si pu&#242; presumere che la persona che sostiene di possederla sia la stessa e unica persona.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Livello basso, pi&#249; una delle opzioni elencate di seguito ai punti da 1 a 4:</p><p>1.&#160;&#160;&#232; stato verificato il possesso da parte della persona di una prova riconosciuta dallo Stato membro in cui &#232; presentata la domanda di rilascio del mezzo di identificazione elettronica e attestante l'identit&#224; dichiarata</p><p>e</p><p>la prova &#232; verificata per stabilirne l'autenticit&#224; oppure, secondo una fonte autorevole, esiste ed &#232; collegata a una persona reale</p><p>e</p><p>sono state adottate misure per ridurre al minimo il rischio che l'identit&#224; della persona non corrisponda a quella dichiarata, tenendo conto ad esempio del rischio di smarrimento, furto, sospensione, revoca o scadenza della prova</p><p>o</p><p>2.&#160;&#160;&#232; presentato un documento d'identit&#224; durante un processo di registrazione nello Stato membro in cui &#232; stato rilasciato il documento e quest'ultimo all'apparenza si riferisce alla persona che lo presenta</p><p>e</p><p>sono state adottate misure per ridurre al minimo il rischio che l'identit&#224; della persona non corrisponda a quella dichiarata, tenendo conto ad esempio del rischio di smarrimento, furto, sospensione, revoca o scadenza dei documenti</p><p>o</p><p>3.&#160;&#160;ove procedure utilizzate in precedenza da un soggetto pubblico o privato nello stesso Stato membro per un fine diverso dal rilascio di mezzi di identificazione elettronica forniscano una garanzia equivalente a quelle definite nella sezione 2.1.2 per il livello di garanzia significativo, l'entit&#224; responsabile della registrazione non &#232; tenuta a ripeterle, purch&#233; detta garanzia equivalente sia confermata da un organismo di valutazione della conformit&#224; ai sensi dell'articolo 2, punto 13, del regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio&#160;<a>(<span>1</span>)</a> o da un organismo equivalente</p><p>o</p><p>4.&#160;&#160;se i mezzi di identificazione elettronica sono rilasciati sulla base di un mezzo di identificazione elettronica notificato valido avente livello di garanzia significativo o elevato, e tenendo conto dei rischi di variazione dei dati di identificazione personale, non &#232; necessario ripetere i processi di controllo e verifica dell'identit&#224;. Laddove il mezzo di identificazione elettronica che funge da base non sia stato notificato, il livello di garanzia significativo o elevato deve essere confermato da un organismo di valutazione della conformit&#224; ai sensi dell'articolo 2, punto 13, del regolamento (CE) n. 765/2008 o da un organismo equivalente.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Devono essere rispettati i requisiti di cui al punto 1 o 2.</p><p>1.&#160;&#160;Livello significativo, pi&#249; una delle opzioni elencate di seguito alle lettere da a) a c):</p><p>a)&#160;&#160;qualora sia stato verificato il possesso da parte della persona di una fotografia o di una prova di identificazione biometrica riconosciuta dallo Stato membro in cui &#232; presentata la domanda di rilascio del mezzo di identificazione elettronica e qualora tale prova corrisponda all'identit&#224; dichiarata, la prova &#232; verificata per stabilirne la validit&#224; in virt&#249; di una fonte autorevole</p><p>e</p><p>il richiedente &#232; identificato come corrispondente all'identit&#224; dichiarata tramite il confronto di una o pi&#249; sue caratteristiche fisiche con una fonte autorevole</p><p>o</p><p>b)&#160;&#160;ove procedure utilizzate in precedenza da un soggetto pubblico o privato nello stesso Stato membro per un fine diverso dal rilascio di mezzi di identificazione elettronica forniscano una garanzia equivalente a quelle definite nella sezione 2.1.2 per il livello di garanzia elevato, l'entit&#224; responsabile della registrazione non &#232; tenuta a ripeterle, purch&#233; detta garanzia equivalente sia confermata da un organismo di valutazione della conformit&#224; ai sensi dell'articolo 2, punto 13, del regolamento (CE) n. 765/2008 o da un organismo equivalente</p><p>e</p><p>sono intraprese azioni per dimostrare che i risultati delle procedure utilizzate in precedenza sono ancora validi</p><p>o</p><p>c)&#160;&#160;se i mezzi di identificazione elettronica sono rilasciati sulla base di un mezzo di identificazione elettronica notificato valido avente livello di garanzia elevato, e tenendo conto dei rischi di variazione dei dati di identificazione personale, non &#232; necessario ripetere i processi di controllo e verifica dell'identit&#224;. Laddove il mezzo di identificazione elettronica che funge da base non sia stato notificato, il livello di garanzia elevato deve essere confermato da un organismo di valutazione della conformit&#224; ai sensi dell'articolo 2, punto 13, del regolamento (CE) n. 765/2008 o da un organismo equivalente.</p><p>e</p><p>sono intraprese azioni per dimostrare che i risultati della precedente procedura di rilascio di un mezzo di identificazione elettronica notificato sono ancora validi.</p><p>OPPURE</p><p>2.&#160;&#160;Qualora il richiedente non presenti una fotografia o una prova di identificazione biometrica riconosciuta, sono applicate le stesse procedure utilizzate a livello nazionale nello Stato membro dell'entit&#224; responsabile della registrazione per l'ottenimento di tale fotografia o prova di identificazione biometrica riconosciuta.</p></td></tr><tr><td><div><a>(<span>1</span>)&#160;&#160;&#160;</a><p>Regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio, del 9 luglio 2008, che pone norme in materia di accreditamento e vigilanza del mercato per quanto riguarda la commercializzazione dei prodotti e che abroga il regolamento (CEE) n. 339/93 (GU L 218 del 13.8.2008, pag. 30).</p></div></td></tr></tbody></table>
2.1.3. Controllo e verifica dell'identità (persona giuridica)
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;L'identit&#224; dichiarata della persona giuridica &#232; dimostrata sulla base di una prova riconosciuta dallo Stato membro in cui &#232; presentata la domanda di rilascio del mezzo di identificazione elettronica.</p><p>2.&#160;&#160;La prova &#232; all'apparenza valida e pu&#242; essere ritenuta autentica, o esistente in virt&#249; di una fonte autorevole, laddove l'inclusione della persona giuridica nella fonte autorevole sia volontaria e regolamentata da un accordo tra la persona giuridica e la fonte autorevole.</p><p>3.&#160;&#160;A quanto risulta a una fonte autorevole, la persona giuridica non si trova in una condizione che le impedisce di agire in qualit&#224; di persona giuridica.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Livello basso, pi&#249; una delle opzioni elencate di seguito ai punti da 1 a 3:</p><p>1.&#160;&#160;l'identit&#224; dichiarata della persona giuridica &#232; dimostrata sulla base di una prova riconosciuta dallo Stato membro in cui &#232; presentata la domanda di rilascio del mezzo di identificazione elettronica, compresi il nome della persona giuridica, la forma giuridica e, se del caso, il numero di registrazione</p><p>e</p><p>la prova &#232; verificata per stabilirne l'autenticit&#224; o &#232; ritenuta esistente in virt&#249; di una fonte autorevole, ove l'inclusione della persona giuridica nella fonte autorevole sia necessaria perch&#233; la persona giuridica possa operare nel suo settore</p><p>e</p><p>sono state adottate misure per ridurre al minimo il rischio che l'identit&#224; della persona giuridica non corrisponda a quella dichiarata, tenendo conto ad esempio del rischio di smarrimento, furto, sospensione, revoca o scadenza dei documenti</p><p>o</p><p>2.&#160;&#160;ove procedure utilizzate in precedenza da un soggetto pubblico o privato nello stesso Stato membro per un fine diverso dal rilascio di mezzi di identificazione elettronica forniscano una garanzia equivalente a quelle definite nella sezione 2.1.3 per il livello di garanzia significativo, l'entit&#224; responsabile della registrazione non &#232; tenuta a ripeterle, purch&#233; detta garanzia equivalente sia confermata da un organismo di valutazione della conformit&#224; ai sensi dell'articolo 2, punto 13, del regolamento (CE) n. 765/2008 o da un organismo equivalente</p><p>o</p><p>3.&#160;&#160;se i mezzi di identificazione elettronica sono rilasciati sulla base di un mezzo di identificazione elettronica notificato valido avente livello di garanzia significativo o elevato, non &#232; necessario ripetere i processi di controllo e verifica dell'identit&#224;. Laddove il mezzo di identificazione elettronica che funge da base non sia stato notificato, il livello di garanzia significativo o elevato deve essere confermato da un organismo di valutazione della conformit&#224; ai sensi dell'articolo 2, punto 13, del regolamento (CE) n. 765/2008 o da un organismo equivalente.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Livello significativo, pi&#249; una delle opzioni elencate di seguito ai punti da 1 a 3:</p><p>1.&#160;&#160;l'identit&#224; dichiarata della persona giuridica &#232; dimostrata sulla base di una prova riconosciuta dallo Stato membro in cui &#232; presentata la domanda di rilascio del mezzo di identificazione elettronica, compresi il nome della persona giuridica, la forma giuridica e almeno un identificativo univoco che rappresenti la persona giuridica utilizzato in un contesto nazionale</p><p>e</p><p>la prova &#232; verificata per stabilirne la validit&#224; in virt&#249; di una fonte autorevole</p><p>o</p><p>2.&#160;&#160;ove procedure utilizzate in precedenza da un soggetto pubblico o privato nello stesso Stato membro per un fine diverso dal rilascio di mezzi di identificazione elettronica forniscano una garanzia equivalente a quelle definite nella sezione 2.1.3 per il livello di garanzia elevato, l'entit&#224; responsabile della registrazione non &#232; tenuta a ripeterle, purch&#233; detta garanzia equivalente sia confermata da un organismo di valutazione della conformit&#224; ai sensi dell'articolo 2, punto 13, del regolamento (CE) n. 765/2008 o da un organismo equivalente</p><p>e</p><p>sono intraprese azioni per dimostrare che i risultati di tale procedura utilizzata in precedenza sono ancora validi</p><p>o</p><p>3.&#160;&#160;se i mezzi di identificazione elettronica sono rilasciati sulla base di un mezzo di identificazione elettronica notificato valido avente livello di garanzia elevato, non &#232; necessario ripetere i processi di controllo e verifica dell'identit&#224;. Laddove il mezzo di identificazione elettronica che funge da base non sia stato notificato, il livello di garanzia elevato deve essere confermato da un organismo di valutazione della conformit&#224; ai sensi dell'articolo 2, punto 13, del regolamento (CE) n. 765/2008 o da un organismo equivalente.</p><p>e</p><p>sono intraprese azioni per dimostrare che i risultati della precedente procedura di rilascio di un mezzo di identificazione elettronica notificato sono ancora validi.</p></td></tr></tbody></table>
2.1.4. Collegamento tra i mezzi di identificazione elettronica delle persone fisiche e delle persone giuridiche
Ove applicabile, per stabilire un collegamento tra il mezzo di identificazione elettronica di una persona fisica e il mezzo di identificazione elettronica di una persona giuridica («collegamento»), si applicano le seguenti condizioni.
(1) Deve essere possibile sospendere e/o revocare un collegamento. Il ciclo di vita di un collegamento (ad esempio attivazione, sospensione, rinnovo, revoca) è gestito secondo procedure riconosciute a livello nazionale.
(2) La persona fisica il cui mezzo di identificazione elettronica è collegato al mezzo di identificazione elettronica della persona giuridica può delegare l'esercizio del collegamento a un'altra persona fisica sulla base di procedure riconosciute a livello nazionale. Tuttavia la responsabilità continua a incombere alla persona fisica delegante.
(3) Il collegamento è stabilito nel modo seguente:
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;&#200; effettuata una verifica per accertare che il controllo dell'identit&#224; della persona fisica che agisce per conto della persona giuridica sia stato eseguito al livello basso o a un livello superiore.</p><p>2.&#160;&#160;Il collegamento &#232; stabilito secondo procedure riconosciute a livello nazionale.</p><p>3.&#160;&#160;A quanto risulta a una fonte autorevole, la persona fisica non si trova in una condizione che le impedisce di agire per conto della persona giuridica.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Punto 3 del livello basso, pi&#249; i seguenti elementi:</p><p>1.&#160;&#160;&#200; effettuata una verifica per accertare che il controllo dell'identit&#224; della persona fisica che agisce per conto della persona giuridica sia stato eseguito al livello significativo o elevato.</p><p>2.&#160;&#160;Il collegamento &#232; stabilito secondo procedure riconosciute a livello nazionale, sfociate nella sua registrazione in una fonte autorevole.</p><p>3.&#160;&#160;Il collegamento &#232; verificato sulla base di informazioni provenienti da una fonte autorevole.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Punto 3 del livello basso e punto 2 del livello significativo, pi&#249; i seguenti elementi:</p><p>1.&#160;&#160;&#200; effettuata una verifica per accertare che il controllo dell'identit&#224; della persona fisica che agisce per conto della persona giuridica sia stato eseguito al livello elevato.</p><p>2.&#160;&#160;Il collegamento &#232; verificato sulla base di un identificativo univoco che rappresenta la persona giuridica ed &#232; utilizzato nel contesto nazionale, nonch&#233; sulla base di informazioni, provenienti da una fonte autorevole, che rappresentano in modo univoco la persona fisica.</p></td></tr></tbody></table>
2.2. Gestione dei mezzi di identificazione elettronica
2.2.1. Caratteristiche e concezione dei mezzi di identificazione elettronica
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;Il mezzo di identificazione elettronica utilizza almeno un fattore di autenticazione.</p><p>2.&#160;&#160;Il mezzo di identificazione elettronica &#232; concepito in modo tale che l'entit&#224; che lo rilascia adotti ragionevoli misure per accertare che sia utilizzato esclusivamente dalla persona a cui appartiene o sotto il suo controllo.</p></td></tr><tr><td><p>Significativo</p></td><td><p>1.&#160;&#160;Il mezzo di identificazione elettronica utilizza almeno due fattori di autenticazione appartenenti a categorie differenti.</p><p>2.&#160;&#160;Il mezzo di identificazione elettronica &#232; concepito in modo che si possa presupporre che sia utilizzato esclusivamente dalla persona a cui appartiene o sotto il suo controllo.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Livello significativo, pi&#249;:</p><p>1.&#160;&#160;Il mezzo di identificazione elettronica &#232; protetto contro la duplicazione e la manomissione, nonch&#233; contro gli aggressori con un potenziale di attacco elevato (High).</p><p>2.&#160;&#160;Il mezzo di identificazione elettronica &#232; concepito in modo da poter essere protetto in modo affidabile dalla persona a cui appartiene per evitare che venga utilizzato da altri utenti.</p></td></tr></tbody></table>
2.2.2. Rilascio, consegna e attivazione
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>In seguito al rilascio, il mezzo di identificazione elettronica &#232; consegnato tramite un meccanismo che consente di presumere che sia ricevuto unicamente dal destinatario previsto.</p></td></tr><tr><td><p>Significativo</p></td><td><p>In seguito al rilascio, il mezzo di identificazione elettronica &#232; consegnato tramite un meccanismo che consente di presumere che sia consegnato unicamente alla persona a cui appartiene.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Il processo di attivazione verifica che il mezzo di identificazione elettronica sia stato consegnato unicamente alla persona a cui appartiene.</p></td></tr></tbody></table>
2.2.3. Sospensione, revoca e riattivazione
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;&#200; possibile sospendere e/o revocare un mezzo di identificazione elettronica in modo tempestivo ed efficace.</p><p>2.&#160;&#160;Esistono misure che impediscono la sospensione, la revoca e/o la riattivazione non autorizzate.</p><p>3.&#160;&#160;La riattivazione &#232; eseguita solo se continuano ad essere soddisfatti gli stessi requisiti di garanzia stabiliti prima della sospensione o della revoca.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Come per il livello basso.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Come per il livello basso.</p></td></tr></tbody></table>
2.2.4. Rinnovo e sostituzione
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>Tenendo conto dei rischi di variazione dei dati di identificazione personale, il rinnovo o la sostituzione deve soddisfare gli stessi requisiti di garanzia del controllo e della verifica dell'identit&#224; iniziali oppure si basa su un mezzo di identificazione elettronica valido che presenti lo stesso livello di garanzia o un livello superiore.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Come per il livello basso.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Livello basso, pi&#249;:</p><p>Se il rinnovo o la sostituzione si basa su un mezzo di identificazione elettronica valido, i dati identificativi sono verificati con una fonte autorevole.</p></td></tr></tbody></table>
2.3. Autenticazione
La presente sezione verte sulle minacce associate all'uso del meccanismo di autenticazione ed elenca i requisiti per ciascun livello di garanzia. Ai fini della presente sezione i controlli si intendono proporzionati ai rischi che sussistono a un dato livello.
2.3.1. Meccanismo di autenticazione
Nella tabella riportata di seguito sono elencati i requisiti fissati per ciascun livello di garanzia in relazione al meccanismo di autenticazione, mediante il quale la persona fisica o giuridica utilizza il mezzo di identificazione elettronica per confermare la propria identità alla parte facente affidamento sulla certificazione.
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;La divulgazione dei dati di identificazione personale &#232; preceduta dalla verifica affidabile del mezzo di identificazione elettronica e della sua validit&#224;.</p><p>2.&#160;&#160;Qualora i dati di identificazione personale siano memorizzati nell'ambito del meccanismo di autenticazione, tali informazioni sono protette per evitarne la perdita o la compromissione, compresa l'analisi offline.</p><p>3.&#160;&#160;Il meccanismo di autenticazione verifica il mezzo di identificazione elettronica attuando controlli di sicurezza che rendono altamente improbabile che tale meccanismo venga corrotto da attivit&#224; quali gli attacchi di tipo<span>guessing</span>, le intercettazioni, gli attacchi di replicazione dati (<span>replay</span>) o la manipolazione di una comunicazione da parte di un aggressore con un potenziale di attacco di base avanzato (Enhanced-Basic).</p></td></tr><tr><td><p>Significativo</p></td><td><p>Livello basso, pi&#249;:</p><p>1.&#160;&#160;La divulgazione dei dati di identificazione personale &#232; preceduta dalla verifica affidabile del mezzo di identificazione elettronica e della sua validit&#224; tramite un'autenticazione dinamica.</p><p>2.&#160;&#160;Il meccanismo di autenticazione verifica il mezzo di identificazione elettronica attuando controlli di sicurezza che rendono altamente improbabile che tale meccanismo venga corrotto da attivit&#224; quali gli attacchi di tipo<span>guessing</span>, le intercettazioni, gli attacchi di replicazione dati (<span>replay</span>) o la manipolazione di una comunicazione da parte di un aggressore con un potenziale di attacco moderato (Moderate).</p></td></tr><tr><td><p>Elevato</p></td><td><p>Livello significativo, pi&#249;:</p><p>Il meccanismo di autenticazione verifica il mezzo di identificazione elettronica attuando controlli di sicurezza che rendono altamente improbabile che tale meccanismo venga corrotto da attivit&#224; quali gli attacchi di tipo<span>guessing</span>, le intercettazioni, gli attacchi di replicazione dati (<span>replay</span>) o la manipolazione di una comunicazione da parte di un aggressore con un potenziale di attacco elevato (High).</p></td></tr></tbody></table>
2.4. Gestione e organizzazione
Tutti i partecipanti che forniscono un servizio correlato all'identificazione elettronica in un contesto transfrontaliero («fornitori») mettono in atto prassi documentate per la gestione della sicurezza delle informazioni, politiche, approcci alla gestione dei rischi e altri controlli riconosciuti in modo da dare agli opportuni organi di gestione responsabili dei regimi di identificazione elettronica nei rispettivi Stati membri la certezza dell'applicazione di prassi efficaci. Nell'intera sezione 2.4 tutti i requisiti/elementi si intendono come proporzionati ai rischi che sussistono a un dato livello.
2.4.1. Disposizioni generali
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;I fornitori di qualsiasi servizio operativo disciplinato dal presente regolamento sono un'autorit&#224; pubblica o un'entit&#224; giuridica riconosciuta come tale dall'ordinamento giuridico di uno Stato membro, avente un'organizzazione consolidata e pienamente operativa sotto tutti gli aspetti pertinenti per la fornitura dei servizi.</p><p>2.&#160;&#160;I fornitori rispettano gli obblighi giuridici cui sono soggetti in relazione all'esercizio e alla prestazione del servizio, compresi i tipi di informazioni che possono essere richiesti, le modalit&#224; secondo le quali &#232; eseguito il controllo dell'identit&#224; e quali informazioni possono essere conservate e per quanto tempo.</p><p>3.&#160;&#160;I fornitori sono in grado di dimostrare il possesso della capacit&#224; di assumere il rischio della responsabilit&#224; per danni, nonch&#233; di risorse finanziarie sufficienti per l'esercizio e la prestazione continuativi dei servizi.</p><p>4.&#160;&#160;I fornitori sono responsabili del rispetto di qualsiasi impegno affidato a un'entit&#224; esterna e della relativa conformit&#224; alla politica del regime, come se fossero essi stessi a svolgere le funzioni.</p><p>5.&#160;&#160;I regimi di identificazione elettronica non costituiti secondo il diritto nazionale prevedono un piano di cessazione efficace. Tale piano prevede l'interruzione regolata del servizio o la continuazione del servizio da parte di un altro fornitore, disciplina le modalit&#224; di comunicazione delle informazioni alle autorit&#224; competenti e agli utenti finali e contiene dettagli su come proteggere, conservare e distruggere i dati registrati conformemente alla politica del regime.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Come per il livello basso.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Come per il livello basso.</p></td></tr></tbody></table>
2.4.2. Pubblicazione di avvisi e informazioni per gli utenti
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;Esiste una definizione del servizio pubblicata che comprende tutti i termini, le condizioni e le tariffe applicabili, incluse eventuali limitazioni d'uso. La definizione del servizio include un'informativa sulla privacy.</p><p>2.&#160;&#160;Devono essere messe in atto politiche e procedure adeguate al fine di garantire che gli utenti siano informati in modo tempestivo e affidabile delle eventuali modifiche alla definizione del servizio e ai termini, alle condizioni e all'informativa sulla privacy applicabili per il servizio in questione.</p><p>3.&#160;&#160;Devono essere messe in atto politiche e procedure adeguate affinch&#233; alle richieste di informazioni sia dato seguito con risposte complete ed esatte.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Come per il livello basso.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Come per il livello basso.</p></td></tr></tbody></table>
2.4.3. Gestione della sicurezza delle informazioni
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>Esiste un efficace sistema di gestione della sicurezza delle informazioni per la gestione e il controllo dei rischi per la sicurezza delle informazioni.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Livello basso, pi&#249;:</p><p>Il sistema di gestione della sicurezza delle informazioni si attiene a norme o principi comprovati per la gestione o il controllo dei rischi per la sicurezza delle informazioni.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Come per il livello significativo.</p></td></tr></tbody></table>
2.4.4. Registrazione dei dati
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;Registrare e conservare le informazioni pertinenti mediante un sistema di gestione delle registrazioni efficace, tenendo conto della normativa vigente e delle buone prassi in materia di protezione e conservazione dei dati.</p><p>2.&#160;&#160;Conservare, nella misura consentita dalla legislazione nazionale o da altre disposizioni amministrative nazionali, e proteggere i dati registrati per il tempo necessario al fine di effettuare verifiche e indagini sulle violazioni della sicurezza e ai fini della conservazione dei dati, quindi distruggere i dati registrati in modo sicuro.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Come per il livello basso.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Come per il livello basso.</p></td></tr></tbody></table>
2.4.5. Strutture e personale
Nella tabella riportata di seguito sono elencati i requisiti relativi alle strutture, al personale e ai subcontraenti, se del caso, che svolgono le funzioni disciplinate dal presente regolamento. La conformità a ciascuno dei requisiti è proporzionata al livello di rischio associato al livello di garanzia fornito.
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;Esistono procedure volte a garantire che il personale e i subcontraenti dispongano di una formazione, di qualifiche e di un'esperienza adeguate in relazione alle competenze richieste dal ruolo che occupano.</p><p>2.&#160;&#160;Il personale e i subcontraenti sono in numero sufficiente a consentire un funzionamento e una fornitura adeguati del servizio nel rispetto delle politiche e delle procedure vigenti.</p><p>3.&#160;&#160;Le strutture utilizzate per la fornitura del servizio sono costantemente monitorate e protette dai danni causati da eventi ambientali, accesso non autorizzato e altri fattori che possono incidere sulla sicurezza del servizio.</p><p>4.&#160;&#160;Le strutture utilizzate per la fornitura del servizio garantiscono che l'accesso alle aree in cui sono conservate o trattate le informazioni personali, crittografiche o altre informazioni sensibili sia limitato al personale o ai subcontraenti autorizzati.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Come per il livello basso.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Come per il livello basso.</p></td></tr></tbody></table>
2.4.6. Controlli tecnici
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>1.&#160;&#160;Esistono controlli tecnici proporzionati per la gestione dei rischi per la sicurezza dei servizi; tali controlli proteggono la riservatezza, l'integrit&#224; e la disponibilit&#224; delle informazioni trattate.</p><p>2.&#160;&#160;I canali di comunicazione elettronici utilizzati per lo scambio delle informazioni personali o sensibili sono protetti dalle intercettazioni, dalla manipolazione e dagli attacchi di tipo<span>replay</span>.</p><p>3.&#160;&#160;L'accesso al materiale crittografico sensibile utilizzato per il rilascio dei mezzi di identificazione elettronica &#232; limitato ai ruoli e alle applicazioni per i quali &#232; categoricamente richiesto. &#200; fornita la garanzia che tale materiale non &#232; mai conservato stabilmente come testo in chiaro.</p><p>4.&#160;&#160;Esistono procedure a garanzia del mantenimento della sicurezza nel tempo e della capacit&#224; di reagire alla variazione dei livelli di rischio, agli incidenti e alle violazioni della sicurezza.</p><p>5.&#160;&#160;Tutti i supporti contenenti informazioni personali, crittografiche o altre informazioni sensibili sono conservati, trasportati e smaltiti in modo sicuro e protetto.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Come per il livello basso, pi&#249;:</p><p>Il materiale crittografico sensibile utilizzato per il rilascio dei mezzi di identificazione elettronica e per fornire l'autenticazione &#232; protetto dalla manomissione.</p></td></tr><tr><td><p>Elevato</p></td><td><p>Come per il livello significativo.</p></td></tr></tbody></table>
2.4.7. Conformità e verifiche
<table><col/><col/><tbody><tr><td><p>Livello di garanzia</p></td><td><p>Elementi necessari</p></td></tr><tr><td><p>Basso</p></td><td><p>Sono eseguite verifiche interne periodiche calibrate in modo da includere tutte le parti che pertengono alla prestazione dei servizi forniti e intese ad accertarne la conformit&#224; alla politica pertinente.</p></td></tr><tr><td><p>Significativo</p></td><td><p>Sono eseguite periodicamente verifiche indipendenti interne o esterne calibrate in modo da includere tutte le parti che pertengono alla prestazione dei servizi forniti e intese ad accertarne la conformit&#224; alla politica pertinente.</p></td></tr><tr><td><p>Elevato</p></td><td><p>1.&#160;&#160;Sono eseguite periodicamente verifiche esterne indipendenti calibrate in modo da includere tutte le parti che pertengono alla prestazione dei servizi forniti e intese ad accertarne la conformit&#224; alla politica pertinente.</p><p>2.&#160;&#160;Qualora sia gestito direttamente da un organismo pubblico, il regime &#232; sottoposto a verifica in conformit&#224; con la legislazione nazionale.</p></td></tr></tbody></table>