È di qualche giorno fa la notizia che la branch irlandese del conservatore Entaksi Solution SpA ha ottenuto la qualifica come fornitore di servizi fiduciari di Archiviazione elettronica (QEATS – Qualified Electronic Archiving Trust Service). Si tratta del primo fornitore europeo di questo servizio, introdotto dal Regolamento 2024/1138 (che ha modificato il Regolamento UE 910/2014 eIDAS) insieme ad altri nuovi servizi fiduciari, come quello relativo alla registrazione di dati in registri elettronici qualificati o al rilascio di attestati elettronici qualificati di attributi.
Viene spontaneo, però, chiedersi come mai Entaksi Solution SpA abbia qualificato la propria branch irlandese e non la “madre” italiana. Ho letto qualche post in cui ci si chiedeva se fosse possibile qualificarsi in Italia per la fornitura di servizi fiduciari di Archiviazione elettronica e, nonostante un quadro regolamentare ancora non molto lineare, possiamo affermare che la qualifica è certamente possibile anche in Italia.
Il CAD, all’art. 29, prevede che le modalità con le quali richiedere la qualifica vengano stabilite con apposito DPCM. Il D.Lgs. 13 dicembre 2017, n. 217 ha infatti disposto (con l’art. 65, comma 8) che «Il decreto del Presidente del Consiglio dei ministri di cui all’articolo 29, comma 2, del decreto legislativo n. 82 del 2005, come modificato dal presente decreto, è adottato entro centottanta giorni dalla data di entrata in vigore del presente decreto. Fino all’adozione del predetto decreto, restano efficaci le disposizioni dell’articolo 29, comma 3, dello stesso decreto nella formulazione previgente all’entrata in vigore del decreto legislativo 26 agosto 2016, n. 179 e dell’articolo 44-bis, commi 2 e 3, del decreto legislativo n. 82 del 2005 nella formulazione previgente all’entrata in vigore del presente decreto». Chiaramente i 180 giorni sono ampiamente passati e del Decreto non si hanno ancora notizie. Ho avuto modo di leggere almeno due differenti bozze, ma non si ha ancora certezza sulla data della sua approvazione. Non resta, quindi, che continuare ad applicare le norme previgenti, così come stabilito dalla stessa norma del 2017 che ha modificato il CAD. Non dobbiamo, poi, dimenticare che è ancora in vigore il vecchio comma 3 dell’art. 29 del CAD, secondo il quale sono previsti i seguenti requisiti per i prestatori dei servizi eIDAS: “(…) Il richiedente, se soggetto privato, in aggiunta a quanto previsto dal comma 2, deve inoltre: a) avere forma giuridica di società di capitali e un capitale sociale non inferiore a quello necessario ai fini dell’autorizzazione alla attività bancaria ai sensi dell’articolo 14 del testo unico delle leggi in materia bancaria e crediti-zia, di cui al decreto legislativo 1° settembre 1993, n. 385;1 b) garantire il possesso, oltre che da parte dei rappresentanti legali, anche da parte dei soggetti preposti alla amministrazione e dei componenti degli organi preposti al controllo, dei requisiti di onorabilità richiesti ai soggetti che svolgono funzioni di amministrazione, direzione e controllo presso banche ai sensi dell’articolo 26 del decreto legislativo 1° settembre 1993, n. 385”.
Inoltre, lo stesso Regolamento eIDAS, all’art. 21, definisce le modalità di avviamento di un servizio fiduciario: “Qualora i prestatori di servizi fiduciari intendano avviare la prestazione di un servizio fiduciario qualificato, notificano all’organismo di vigilanza la loro intenzione insieme a una relazione di valutazione della conformità rilasciata da un organismo di valutazione della conformità che conferma il rispetto dei requisiti di cui al presente regolamento e all’articolo 21 della direttiva (UE) 2022/2555. 2. L’organismo di vigilanza verifica se il prestatore di servizi fiduciari e i servizi fiduciari da esso prestati rispettano i requisiti di cui al presente regolamento e, in particolare, i requisiti per i prestatori di servizi fiduciari qualificati e per i servizi fiduciari qualificati da essi prestati.”
La valutazione di conformità
Occorrerà, quindi, ottenere una specifica valutazione di conformità al Regolamento eIDAS rilasciata da un soggetto accreditato (da ACCREDIA, per quanto riguarda i soggetti italiani) al rilascio di tali valutazioni, così come previsto dalla Circolare tecnica ACCREDIA DC 45/2025.
La verifica di conformità verterà sul rispetto dei requisiti generali previsti in ambito europeo per la prestazione dei servizi fiduciari (ETSI 319401) e quelli specifici (CEN/TS 18170: 2025) indicati con Regolamento di esecuzione UE 2025/2532. Inoltre, si dovrà verificare anche il rispetto degli obblighi in materia di misure di gestione dei rischi per la sicurezza informatica di cui all’art. 21 della Direttiva 2022/2555, come recepito in Italia dall’art. 24 del Decreto Legislativo 138/2024. Vale la pena ricordare che i fornitori di servizi fiduciari qualificati sono considerati soggetti essenziali ai fini dell’applicazione della normativa sulla cibersicurezza.
Come presentare la domanda
Per quanto riguarda le modalità con le quali presentare la domanda di qualifica, si dovrà fare riferimento alla Determinazione AgID 185/2017.
In sintesi, i soggetti stabiliti in Italia che intendono richiedere la qualifica come fornitori di servizi qualificati di Archiviazione elettronica dovranno avere un capitale sociale minimo di 5 milioni di euro e inoltrare apposita domanda all’AgID, secondo quanto previsto dalla sopracitata Determinazione, alla quale allegare la documentazione richiesta, nonché la valutazione di conformità al Regolamento eIDAS (con evidenza del rispetto dei requisiti previsti dagli standard ETSI 319401 e CEN/TS 18170 e di quanto previsto dall’art. 21 della Direttiva UR 2022/2555) rilasciata da uno degli enti accreditati a tal fine da ACCREDIA.
Alla luce dei predetti requisiti, se è certamente possibile richiedere e ottenere la qualifica dei propri servizi di archiviazione elettronica, non è altrettanto chiaro se e quando sia necessario utilizzare servizi di archiviazione elettronica qualificati: al momento, per la conservazione dei documenti informatici, gli art. 43 e 44 del D.Lgs. 82/2005 richiedono ancora l’adozione di un sistema di conservazione coerente con le Linee guida AgID (quelle del 2020) e, solo nel caso di fornitura alle PA, il rispetto di ulteriori requisiti stabiliti con i Regolamento sui criteri di fornitura dei servizi di conservazione, sempre adottato dall’AgID.
Ad ogni modo, le cose dovrebbero (il condizionale è d’obbligo) essere chiarite a breve, in quanto sta per scadere la delega con cui il Parlamento ha incaricato il Governo di aggiornare il CAD. L’articolo 11 della legge 10 novembre 2025, n. 167 ha infatti introdotto una delega al Governo per un’opera di “semplificazione, aggiornamento e riassetto” del Codice dell’amministrazione digitale con cui viene richiesto l’aggiornamento della disciplina dei mezzi di identificazione elettronica e dei servizi fiduciari in coerenza con il quadro regolatorio europeo, al fine di semplificare l’accesso e la fruizione dei servizi in rete erogati dalle pubbliche amministrazioni. Il termine per l’esercizio della delega è di dodici mesi dall’entrata in vigore del presente provvedimento – con l’ulteriore termine di ventiquattro mesi a seguire, per eventuali disposizioni integrative o correttive. Ci si chiede quali saranno le scelte del Governo e se, anche in materia di requisiti per le qualifiche, si darà incarico ad AgID di emanare apposite linee guida, così da aggiornare regole ormai vecchie e inadeguate (su tutte quelle relative al capitale sociale minimo richiesto per la prestazione dei servizi fiduciari).
Nonostante il quadro normativo complesso, possiamo dunque concludere che la strada per la qualificazione dei servizi fiduciari di Archiviazione elettronica in Italia è senz’altro percorribile e chi ha intenzione di muoversi in questa direzione può agire sin da ora, sulla base delle normative vigenti, in attesa dei prossimi (e imminenti) sviluppi. Si auspica che il nuovo Decreto, previsto dall’art. 29, sia pubblicato a breve, poichè è necessario adeguare i requisiti organizzativi e finanziari attualmente richiesti, anche alla luce di alcune pronunce giurisprudenziali che negli anni passati hanno chiarito la scarsa utilità del requisito del capitale sociale minimo come indicatore della solidità finanziaria del prestatore qualificato.
