eIDAS 2.0 e servizi di marca temporale: nuovi requisiti per QTSP e aziende
Le marche temporali qualificate sono il riferimento probatorio su cui aziende e studi legali fondano la data certa di documenti e prove digitali. Con il Regolamento (UE) 2024/1183, noto come eIDAS 2.0, i requisiti della marca temporale cambiano: il regolamento è in vigore dal 20 maggio 2024 e gli atti di esecuzione renderanno legalmente vincolanti gli standard tecnici ETSI oggi adottati su base volontaria.
Per i QTSP, i prestatori di servizi fiduciari qualificati, questo significa adeguare infrastrutture e procedure. Per le aziende che dipendono da marcature temporali significa una cosa diversa e spesso trascurata: verificare che il proprio fornitore resti qualificato e accreditato nella EU Trusted List. Chi non lo fa rischia di vedere indebolito il valore probatorio delle proprie prove digitali proprio nel momento in cui servono. Questo approfondimento estende la guida su come funziona la marca temporale e il suo valore legale e si concentra su ciò che eIDAS 2.0 cambia in concreto per la validazione temporale elettronica.
Questo approfondimento fa parte della guida: Marca temporale: cos'è, come funziona e valore legale
Cosa cambia con eIDAS 2.0 per le marche temporali qualificate
La marca temporale qualificata è una validazione temporale elettronica che collega data e ora a un insieme di dati con una presunzione legale di accuratezza e integrità, riconosciuta in tutti i 27 Stati membri. Ai sensi degli articoli 41 e 42 del regolamento eIDAS, come modificato dal Regolamento (UE) 2024/1183, solo la marca temporale qualificata gode di questa presunzione: chi contesta la data di un documento marcato deve fornire la prova contraria. eIDAS 2.0 non riscrive la definizione, ma cambia le condizioni per emetterla: gli standard tecnici ETSI diventeranno vincolanti tramite atti di esecuzione, la vigilanza sui prestatori qualificati si irrigidisce e le sanzioni per chi non rispetta gli obblighi diventano uniformi a livello europeo. Gli atti di esecuzione attesi tra il 2025 e il 2026 tradurranno questi principi in requisiti tecnici verificabili, sui quali gli organismi di vigilanza nazionali baseranno i controlli sui prestatori qualificati.
Dal Regolamento 910/2014 al Regolamento (UE) 2024/1183
Il confronto tra i due regolamenti chiarisce dove si concentra l'evoluzione per i servizi di marcatura temporale.
| Aspetto | Regolamento 910/2014 (eIDAS) | Regolamento (UE) 2024/1183 (eIDAS 2.0) |
|---|---|---|
| Base giuridica della marca temporale | Artt. 41-42: presunzione di accuratezza della data e integrità dei dati | Artt. 41-42 confermati, con requisiti precisati dagli atti di esecuzione |
| Standard tecnici | ETSI EN 319 421 e 319 422 come riferimento volontario | Gli stessi standard destinati a diventare legalmente vincolanti |
| Vigilanza sui QTSP | Organismi nazionali, con margini applicativi diversi tra Stati | Vigilanza armonizzata e obblighi di notifica più stringenti |
| Sanzioni | Rimesse alla discrezionalità degli Stati membri | Fino a 5.000.000 EUR o 1% del fatturato annuo mondiale (art. 16) |
| Ecosistema | Servizi fiduciari tradizionali | Integrazione con EUDI Wallet e nuovi servizi fiduciari qualificati |
Il valore giuridico della marca temporale qualificata resta quello del 2014. A salire è la soglia per mantenerlo, sia per chi la emette sia, indirettamente, per chi la utilizza.
Ruolo della EU Trusted List e norme ETSI EN 319 421/422
La qualifica di un prestatore di marche temporali si verifica in un solo posto: la EU Trusted List, l'elenco ufficiale dei QTSP accreditati pubblicato dalla Commissione europea. Se il fornitore non compare nell'elenco per il servizio "validazione temporale elettronica qualificata", le sue marche temporali non godono della presunzione legale dell'art. 41. Per questo conviene sapere come verificare lo stato di un QTSP nella EU Trusted List prima di legare processi aziendali critici a un fornitore. L'elenco è pubblicato in formato leggibile sia da persone sia da sistemi automatici: ogni Stato membro notifica i propri prestatori qualificati e la Commissione europea ne aggrega gli elenchi nazionali, come previsto dall'art. 22 del regolamento eIDAS. La verifica richiede pochi minuti e andrebbe ripetuta periodicamente.
Sul piano tecnico, i riferimenti sono due norme ETSI: la EN 319 421, aggiornata alla versione 1.3.1 nel luglio 2025, definisce i requisiti di sicurezza e di policy per i prestatori che emettono marche temporali, inclusa la sincronizzazione della fonte oraria con il tempo universale coordinato (UTC); la EN 319 422 definisce i profili dei token di marca temporale basati sul protocollo RFC 3161, il formato che permette a sistemi diversi di verificare lo stesso token anche a distanza di anni. Con gli atti di esecuzione di eIDAS 2.0, la conformità a queste norme passerà da prassi consolidata a obbligo giuridico.
Requisiti marca temporale qualificata eIDAS 2.0: cosa devono fare le aziende
Secondo l'art. 42 del regolamento, una marca temporale elettronica qualificata deve:
- collegare data e ora ai dati in modo da escludere qualsiasi modifica non rilevabile;
- basarsi su una fonte oraria accurata collegata al tempo universale coordinato (UTC);
- essere firmata con firma elettronica avanzata o sigillata con sigillo elettronico avanzato del QTSP;
- essere emessa da un prestatore qualificato presente nella EU Trusted List.
Questi requisiti ricadono sul prestatore, ma le aziende utilizzatrici hanno il loro elenco di verifiche. Primo: censire i processi che dipendono da marcature temporali, dalla conservazione a norma alla raccolta di prove per contenziosi. Secondo: controllare che il fornitore sia accreditato nella EU Trusted List e che lo rimanga nel tempo, perché la qualifica può essere revocata. Terzo: verificare che i token emessi rispettino il profilo ETSI EN 319 422, condizione pratica per la verificabilità a lungo termine. Quarto: documentare queste verifiche, così da poter dimostrare la diligenza in caso di contestazione sul valore legale della marcatura temporale applicata ai propri documenti. TrueScreen semplifica queste verifiche per le prove digitali: le marche temporali qualificate integrate nei suoi report provengono esclusivamente da QTSP accreditati nella EU Trusted List.
Rischi di non conformità
Per i QTSP la posta in gioco è definita dall'art. 16: sanzioni fino a 5.000.000 EUR o all'1% del fatturato annuo mondiale dell'impresa, se superiore, oltre alla possibile perdita dello status qualificato. Per le aziende utilizzatrici il rischio è indiretto ma concreto: prove e documenti marcati da un prestatore non più qualificato perdono la presunzione legale di integrità. Le scadenze operative e il regime sanzionatorio generale di eIDAS 2.0 sono trattati nell'articolo dedicato alla scadenza del 21 maggio 2026 e alle sanzioni per i QTSP, che qui non duplichiamo.
Marca temporale e portafoglio europeo di identità digitale (EUDI Wallet)
La novità più visibile di eIDAS 2.0 è il portafoglio europeo di identità digitale: gli Stati membri devono metterlo a disposizione di cittadini e residenti entro dicembre 2026, e settori privati chiave come banche, telecomunicazioni, sanità e trasporti dovranno accettarlo tra il 2026 e il 2027, come indicato dalla Commissione europea. Per la marca temporale il collegamento è funzionale: attestazioni, credenziali e transazioni gestite tramite il portafoglio avranno bisogno di riferimenti temporali certificati per essere opponibili nel tempo. Le implicazioni operative per le imprese sono approfondite nella guida all'EUDI Wallet per le aziende.
Come si garantiscono marche temporali qualificate conformi a eIDAS 2.0?
Le marche temporali qualificate conformi a eIDAS 2.0 si ottengono esclusivamente da un QTSP accreditato presente nella EU Trusted List. Un'azienda ha due strade: contrattualizzare direttamente un prestatore qualificato, gestendo integrazione tecnica e verifiche di conformità, oppure adottare una piattaforma che integri già il servizio nel proprio processo di certificazione. TrueScreen segue la seconda logica: integra nei propri report marche temporali qualificate emesse da QTSP accreditati nella EU Trusted List, così che ogni prova digitale acquisita con metodologia forense ottenga un riferimento temporale certificato e opponibile a terzi. TrueScreen non è un QTSP: è la piattaforma che acquisisce il contenuto alla fonte, ne verifica integrità e autenticità e applica la certificazione tramite servizi fiduciari qualificati di terze parti. Il vantaggio operativo è la separazione dei ruoli: il QTSP garantisce il tempo certo, la piattaforma garantisce che il contenuto marcato sia stato acquisito con integrità verificabile.
Un esempio pratico: la certificazione di una pagina web, una chat o un documento come prova per un contenzioso. Al momento dell'acquisizione, l'impronta del contenuto viene calcolata e associata alla marca temporale qualificata, secondo il meccanismo descritto nell'approfondimento su hash SHA-256 e marca temporale come prova legale. Il risultato è un istante certo e non contestabile in cui quel contenuto esisteva in quella forma: il requisito che, in giudizio, distingue una prova solida da uno screenshot qualunque.
