Regolamento AgID IT-Wallet: cosa devono fare i Comuni adesso

Da pochi giorni l’AgID ha pubblicato il Regolamento AgID IT-Wallet. Il regolamento fissa le regole e le procedure amministrative per la registrazione al Sistema IT-Wallet e per la presentazione dei progetti di sperimentazione. Include i contenuti della relazione tecnica con cui i richiedenti dimostrano la sicurezza delle proprie Soluzioni Tecniche. Il provvedimento completa il quadro normativo con cui i Comuni dovranno misurarsi nei prossimi mesi. Il quadro comprende regolamento, Linee guida, Specifiche Tecniche e scadenze vincolanti per l’adesione della Pubblica Amministrazione. Per un Comune significa chiarire subito quale ruolo ricoprire nella sperimentazione IT-Wallet. Occorre anche stabilire quali documenti presentare ed entro quando adempiere agli obblighi previsti dalla norma.

Che cosa prevede il Regolamento AgID IT-Wallet per il Sistema e la sua disciplina

Il Sistema IT-Wallet nasce dall’art. 64-quater del Codice dell’Amministrazione Digitale, introdotto dal DL 19/2024. Il sistema permette a persone fisiche e giuridiche di accedere a servizi pubblici e privati presentando Attestati Elettronici. Si tratta di dati di identificazione o attributi come patente, titoli, qualifiche, deleghe e licenze. Sono già autenticati alla fonte, firmati digitalmente e non ripudiabili.

Il quadro si è formato per gradi. Il Decreto 19 marzo 2026 contiene la disciplina del Sistema IT-Wallet e dei relativi servizi ai sensi dell’art. 64-quater, comma 5 del CAD. Il Decreto 17 giugno 2026 approva le Linee guida, che disciplinano l’architettura, i soggetti coinvolti e le modalità della sperimentazione. Il Regolamento AgID pubblicato di recente è l’ultimo tassello: chiude la filiera dei provvedimenti necessari per avviare le registrazioni.

Il percorso si innesta nel progetto europeo EUDI Wallet, che riguarda l’interoperabilità dei wallet nazionali. Ogni Stato membro deve presentare una propria infrastruttura conforme alle specifiche tecniche entro il 26 dicembre 2026. Le Linee guida fissano alcuni principi. L’utente ha il controllo esclusivo della propria istanza del wallet, mentre gli emittenti non sanno come e dove l’utente usa gli attestati. L’utente presenta solo gli attributi necessari (divulgazione selettiva) e accessibilità e usabilità sono requisiti obbligatori. Per attivare il wallet, l’utente installa l’app, accetta i termini e supera i controlli di sicurezza del dispositivo. Poi ottiene l’attestato di identificazione autenticandosi con CIEid a livello elevato.

Il regime semplificato per i Comuni: ruoli e modalità di registrazione

I Comuni sono Pubbliche Amministrazioni ai sensi dell’art. 2, comma 2, lett. a, del CAD. A questo titolo hanno un regime semplificato per richiedere l’iscrizione alla Sperimentazione IT-Wallet. Il regolamento istituisce lo Spazio di Sperimentazione, un ambiente controllato. I soggetti registrati testano le proprie soluzioni insieme ad AgID, ACN e Dipartimento per la trasformazione digitale. La partecipazione è volontaria: non dà diritti acquisiti né fondi prioritari, e non prevede ristori né commissioni.

La domanda va presentata tramite il portale di onboarding. Nella fase iniziale si usa il modulo dell’Allegato 1, firmato digitalmente dal legale rappresentante e inviato via PEC ad AgID. Se AgID non emette un provvedimento negativo entro 90 giorni, la domanda è accolta con riserva. Il termine può essere sospeso una sola volta per richiedere integrazioni. L’iscrizione al Registro diventa effettiva solo dopo i test tecnici di validazione.

I ruoli per cui ci si può registrare sono cinque. Sono fornitore di soluzione IT-Wallet privata, fornitore di attestati di attributi, verificatore, soggetto aggregatore e titolare di fonte autentica. IPZS cura il Registro, l’IT-Wallet ID e gli attestati di interesse pubblico. PagoPA gestisce la soluzione pubblica. I due soggetti sono registrati di diritto perché si occupano della certificazione dei dati dell’identità delle persone e dell’infrastruttura.

Il presupposto pratico per un Comune è l’adesione alla PDND. Chi vi aderisce già può ottenere la registrazione “a semplice richiesta” presentando la sola documentazione tecnica DIT1. Questa include identificativi dell’entità, riferimenti agli endpoint, configurazione federativa, chiavi, certificati, interfacce applicative, contatti tecnici e amministrativi e informazioni privacy.

Obblighi del Comune come verificatore e come fonte autentica

Il ruolo più immediato per un Comune è quello di verificatore: accettare il wallet allo sportello o nei servizi online. Anche in questo caso è sufficiente presentare la documentazione DIT1. Le Linee guida impongono di mantenere aggiornato l’elenco dei servizi e degli attributi richiesti per ciascuno. Impongono di chiedere solo dati pertinenti e non eccedenti e di autenticare gli attestati ricevuti, verificandone possibilmente anche la validità. Un attestato scaduto, ad esempio, può dimostrare ancora la maggiore età. Il Comune deve inoltre consentire all’utente di chiedere la cancellazione dei dati presentati e assisterlo in caso di problemi. Un Comune, o un’unione di Comuni, può gestire le soluzioni di verifica per conto di altri enti mediante accordi bilaterali liberi. Anche qui presenta la sola DIT1.

Come fonte autentica, il Comune emette in proprio attestati e deve interagire con le fonti tramite PDND. Deve mantenere gli attributi costantemente aggiornati e revocare o sospendere gli attestati nei casi previsti. Tali casi includono l’aggiornamento dei dati alla fonte, il decesso dell’utente e gli incidenti di sicurezza. I Comuni gestiscono archivi riconosciuti come fonte primaria, per esempio i tributi e lo stato autorizzativo degli immobili. Devono registrare nel Catalogo degli Attestati le informazioni necessarie all’emissione e rendere i dati disponibili tramite e-service PDND. Devono inoltre comunicare variazioni e stato di validità degli attributi.

Per alcuni ruoli gli obblighi si fanno più gravosi. Il regolamento richiede la DIT1, una polizza assicurativa di almeno 1,5 milioni di euro annui e 150.000 euro per sinistro. Richiede inoltre le certificazioni dell’Allegato 2, un’analisi annuale dei rischi, un piano di sicurezza e penetration test semestrali.

Progetti di Sperimentazione: requisiti e scadenze per gli enti

Chi vuole provare casi d’uso non previsti dal quadro normativo può presentare un Progetto di Sperimentazione seguendo le indicazioni dell’Allegato 6. La domanda deve contenere le ragioni per cui l’oggetto non è già contemplato dalle Linee guida o dalle Specifiche Tecniche. Deve includere una descrizione dettagliata del progetto con gli aspetti di innovatività e il valore aggiunto atteso. Deve inoltre contenere un Piano di sperimentazione con obiettivi misurabili, metriche, architettura delle Soluzioni Tecniche e standard tecnologici impiegati nell’Unione europea. La durata è di norma non superiore a 18 mesi, salvo proroghe motivate. La maturità tecnica della soluzione deve essere pari almeno a TRL 4.

Il piano deve includere anche un’analisi dettagliata dei rischi potenziali: tecnologici, operativi, di sicurezza, di protezione dei dati. Deve prevedere le strategie di mitigazione e le risorse tecniche, umane e finanziarie dedicate. Deve indicare anche le eventuali necessità di interazione con altri partecipanti o sistemi esterni.

Tutti i soggetti registrati hanno obblighi trasversali: rispettare regolamento, Linee guida, Specifiche Tecniche e misure privacy. Devono trattare i dati su infrastrutture localizzate nell’Unione europea, monitorare la sicurezza e gestire gli incidenti. Devono inoltre comunicare ad AgID le variazioni, inviare dati statistici anonimi e consentire le verifiche di AgID. In caso di violazioni, AgID può diffidare, sospendere o revocare la registrazione.

Il doppio impegno dei Comuni verso il 2027

Oltre alla partecipazione volontaria, i Comuni si trovano davanti a un obbligo preciso. L’art. 5, comma 3, del Decreto del 19 marzo 2026 prevede un termine di dodici mesi dal 3 agosto 2026. Tutte le Pubbliche Amministrazioni devono quindi aderire entro il 3 agosto 2027 al sistema IT-Wallet in qualità di titolare di fonte autentica. L’adesione è senza ulteriori oneri e serve a rendere disponibili i dati e i documenti di cui dispongono. Alle regole di questa disponibilità non possono essere opposte le disposizioni che regolamentano le singole banche dati.

Il punto di partenza è l’adesione alla PDND, presupposto del percorso graduale consigliato ai Comuni: aderire, poi registrarsi come verificatore e come fonte autentica. Oggi sono 7.654 i Comuni aderenti su un totale di 7.894, quindi ne mancano ancora 250 all’appello.

Il doppio impegno è quindi concreto. Un primo obiettivo è prepararsi ad accettare le attestazioni di cui i cittadini sono in possesso per l’uso dei servizi pubblici. Questo secondo il principio “once only by design” descritto dal DL 19/2024. Devono inoltre mettere a disposizione i dati di cui sono titolari in qualità di fonte autentica. Nel Catalogo rientrano, ad esempio, la posizione fiscale per i tributi locali. Rientrano anche gli atti e certificati che riguardano gli immobili di proprietà, dal permesso di costruire alle certificazioni energetiche. La partecipazione alla sperimentazione resta una facoltà che permetterebbe di mettere alla prova soluzioni tecnologiche, anche di fornitori privati. Ma gli obblighi del 2027 valgono per tutti.

Fonti:

• gazzettaufficiale.it
• gazzettaufficiale.it
• agid.gov.it
• ipzs.it
• Sperimentazione IT-Wallet, regole e scadenze per i Comuni | agendadigitale.eu