Sono un prestatore di servizi fiduciari ai sensi della NIS2?
I prestatori di servizi fiduciari rientrano nell'Allegato I settore 8 della NIS2. L'articolo 2(2)(a)(ii) li include a prescindere dalla dimensione, qualificati e non qualificati. La dimensione decide solo la categoria: i prestatori qualificati sono sempre soggetti essenziali. eIDAS si colloca in parallelo e disciplina il servizio fiduciario stesso.
La versione breve
Un prestatore di servizi fiduciari è chiunque fornisca uno o più servizi fiduciari come definiti all'articolo 3(16) del Regolamento eIDAS (UE) 910/2014: firme elettroniche, sigilli elettronici, validazioni temporali elettroniche, recapiti elettronici certificati, certificati di autenticazione di siti web, o la conservazione di uno qualsiasi di questi. L'Allegato I settore 8 della NIS2 nomina esplicitamente i prestatori di servizi fiduciari come parte dell'Infrastruttura Digitale.
L'articolo 2(2)(a)(ii) NIS2 aziona poi una leva che non si applica alla maggior parte degli altri settori: i prestatori di servizi fiduciari rientrano nell'ambito di applicazione a prescindere dalla dimensione. I prestatori di servizi fiduciari qualificati, come definiti all'articolo 3(20) eIDAS, sono inoltre sempre soggetti essenziali (articolo 3(1)(b) NIS2). Un TSP qualificato di due persone che emette certificati qualificati per firme elettroniche è vincolato allo stesso modo di una CA da 500 persone. La soglia di media impresa dell'articolo 2(1) non li condiziona.
Anche i TSP non qualificati rientrano nell'ambito, qualunque sia la loro dimensione. Un prestatore non qualificato di grandi dimensioni è un soggetto essenziale, uno più piccolo un soggetto importante (articolo 3(1)(a) e 3(2) NIS2). In Germania il §28 BSIG rende i TSP qualificati besonders wichtige Einrichtungen e gli altri TSP wichtige Einrichtungen. In entrambi i casi due regimi corrono in parallelo: eIDAS per il servizio fiduciario stesso, NIS2 per gli obblighi cyber cross-organizzativi (formazione della direzione ai sensi dell'articolo 20, segnalazione di incidenti significativi ai sensi del §32 BSIG, misure di gestione del rischio ai sensi dell'articolo 21).
Direttiva NIS2 (2022/2555), Allegato I settore 8 (Infrastruttura Digitale)
Fornitori di punti di interscambio internet; Fornitori di servizi DNS, esclusi gli operatori dei server dei nomi radice; Registri dei nomi di dominio di primo livello (TLD); Fornitori di servizi di cloud computing; Fornitori di servizi di data center; Fornitori di reti di distribuzione dei contenuti (content delivery network); Fornitori di servizi fiduciari; Fornitori di reti pubbliche di comunicazione; Fornitori di servizi di comunicazione elettronica accessibili al pubblico
Testuale da GU L 333/146. Il settore 8 è l'Infrastruttura Digitale. I prestatori di servizi fiduciari sono una delle sotto-categorie elencate. L'elenco del settore non distingue i qualificati dai non qualificati; tale distinzione è operata dall'articolo 3 NIS2 e da eIDAS.
Articolo 2(2)(a)(ii) e 3(1)(b) NIS2 + Articolo 3(16) e 3(20) eIDAS
Articolo 2(2) NIS2: La presente direttiva si applica anche ai soggetti, indipendentemente dalle loro dimensioni, delle tipologie di cui all'allegato I o II qualora: a) i servizi siano forniti da: […] ii) prestatore di servizi di fiducia; […] Articolo 3(1)(b) NIS2: prestatori di servizi fiduciari qualificati e registri dei nomi di dominio di primo livello, nonché prestatori di servizi DNS, indipendentemente dalle loro dimensioni; Articolo 3(20) eIDAS: «prestatore di servizi fiduciari qualificato», un prestatore di servizi fiduciari che presta uno o più servizi fiduciari qualificati e cui l’organismo di vigilanza assegna la qualifica di prestatore di servizi fiduciari qualificato; Articolo 3(16) eIDAS (modificato dal regolamento (UE) 2024/1183): «servizio fiduciario», un servizio elettronico prestato normalmente dietro remunerazione e consistente in uno qualsiasi degli elementi seguenti: a) il rilascio di certificati di firma elettronica, certificati di sigilli elettronici, certificati di autenticazione di siti web o certificati di prestazione di altri servizi fiduciari; […] n) la registrazione di dati elettronici in un registro elettronico;
Due definizioni impilate. L'articolo 3(16) eIDAS ti dice cosa conti come servizio fiduciario. L'articolo 3(20) ti dice chi è un prestatore qualificato: quello cui l'organismo di vigilanza ha assegnato la qualifica. La NIS2 dice poi: ogni prestatore di servizi fiduciari rientra a prescindere da organico o fatturato (articolo 2(2)(a)(ii)), e un prestatore qualificato è sempre un soggetto essenziale (articolo 3(1)(b)).
§28 BSIG + Vertrauensdienstegesetz (Germania)
Il §28 BSIG traspone l'ambito di applicazione dell'Allegato I nel diritto tedesco e rende i prestatori di servizi fiduciari qualificati 'besonders wichtige Einrichtungen' (§28(1) n. 2) e gli altri prestatori di servizi fiduciari 'wichtige Einrichtungen' (§28(2) n. 1), a prescindere dalla dimensione. Il Vertrauensdienstegesetz (VDG) è la legge nazionale di accompagnamento al Regolamento eIDAS; designa la Bundesnetzagentur come organismo di vigilanza per i servizi fiduciari e gestisce l'elenco di fiducia tedesco.
Il Regolamento eIDAS si applica direttamente senza trasposizione tedesca. Il VDG aggiunge soltanto l'apparato di vigilanza. La NIS2 si colloca separatamente sopra entrambi: il §28 BSIG colloca i TSP qualificati nel livello più alto (besonders wichtige Einrichtung) e gli altri TSP nel livello wichtige Einrichtung, a prescindere dalla dimensione, con il BSI come regolatore cyber.
Fornisci un servizio fiduciario?
Confronta la tua offerta con l'articolo 3(16) eIDAS. L'elenco chiuso è: firme elettroniche, sigilli elettronici, validazioni temporali elettroniche, servizi elettronici di recapito certificato, certificati di autenticazione di siti web, e la conservazione di uno qualsiasi di questi. Il servizio è fornito normalmente dietro remunerazione. Se la tua offerta non rientra in nessuna di queste categorie, non sei un TSP ai sensi di eIDAS, per quanta crittografia tu metta in campo.
Sei il prestatore o soltanto un utente?
Un TSP emette o esercisce il servizio fiduciario per conto di altri. Un'azienda che firma le proprie fatture con un servizio esterno di firma qualificata è un utente di quel servizio, non un TSP. Una società di consulenza che aiuta un cliente a implementare flussi di firma è anch'essa un utente. Lo status di prestatore dipende dal fatto che tu crei, convalidi, recapiti o conservi il servizio fiduciario stesso, per conto di qualcun altro, dietro remunerazione.
Qualificato o non qualificato?
Verifica l'elenco di fiducia nazionale (in Germania: l'elenco di fiducia della Bundesnetzagentur ai sensi del VDG). Se vi sei iscritto come prestatore qualificato, sei un soggetto essenziale a prescindere dalla dimensione (articolo 3(1)(b) NIS2). Se non sei iscritto, sei non qualificato: rientri comunque nell'ambito a prescindere dalla dimensione (articolo 2(2)(a)(ii)), come soggetto essenziale se grande e come soggetto importante altrimenti. I TSP di due o tre persone sono comuni in questo settore, e rientrano tutti nell'ambito di applicazione.
La dimensione non decide l'ambito
L'articolo 2(2) NIS2 elenca i casi in cui il test della dimensione non si applica, e i prestatori di servizi fiduciari sono tra questi (lettera a), punto ii)). I servizi fiduciari sono finiti nell'elenco perché il danno derivante da un certificato qualificato compromesso è strutturale: ogni firma, sigillo o validazione temporale emessa sotto di esso perde efficacia giuridica. La dimensione del prestatore non ha alcun rilievo sull'entità del danno a valle. Una CA di due persone può spezzare l'intera catena di firme di uno Stato membro. È per questo che il test della dimensione è disattivato.
I TSP qualificati gestiscono due regimi paralleli
L'articolo 19 eIDAS, che fissava gli obblighi di sicurezza per i servizi fiduciari, è stato soppresso dall'articolo 42 NIS2 con effetto dal 18 ottobre 2024. Le misure di sicurezza e la notifica degli incidenti derivano ora dalla NIS2. eIDAS continua a disciplinare il servizio stesso: i TSP qualificati sono sottoposti almeno ogni 24 mesi a una verifica da parte di un organismo di valutazione della conformità, che conferma anche il rispetto dell'articolo 21 NIS2 (articolo 20(1) eIDAS). La NIS2 aggiunge gli obblighi cyber cross-organizzativi: formazione della direzione ai sensi dell'articolo 20, misure di gestione del rischio ai sensi dell'articolo 21, segnalazione di incidenti significativi ai sensi dell'articolo 23. L'articolo 4 NIS2 non disattiva qui la NIS2. Entrambi i regimi si applicano integralmente. L'organismo di vigilanza eIDAS e l'autorità competente NIS2 possono essere diversi (in Germania: Bundesnetzagentur per eIDAS, BSI per NIS2).
BSI / §28 BSIG (lato NIS2)
Il BSI è l'autorità competente NIS2. Gestisce il portale di registrazione del §33 BSIG, riceve le notifiche di incidenti significativi del §32 BSIG, e vigila sulle misure di gestione del rischio del §30 BSIG. I TSP qualificati ricadono nel livello 'besonders wichtige Einrichtung' attraverso il §28(1) BSIG, gli altri TSP nel livello 'wichtige Einrichtung' attraverso il §28(2), il che comporta una vigilanza più stringente e gli stessi termini di segnalazione degli incidenti degli operatori KRITIS.
Bundesnetzagentur (lato eIDAS)
La Bundesnetzagentur è l'organismo di vigilanza per i servizi fiduciari ai sensi del Vertrauensdienstegesetz. Gestisce l'elenco di fiducia tedesco, accredita lo status qualificato, riceve le relazioni di valutazione della conformità della verifica biennale ai sensi dell'articolo 20(1) eIDAS. Quando un incidente è sia un incidente significativo del §32 BSIG sia una violazione che i TSP qualificati devono notificare ai sensi dell'articolo 24, paragrafo 2, lettera f ter), eIDAS, segnali entrambi, a entrambe le autorità.
ENISA Technical Implementation Guidance + lavori sull'EUDI Wallet
ENISA pubblica una guida tecnica di attuazione per il CIR, che copre anche i prestatori di servizi fiduciari, e redige la baseline di cybersicurezza che confluisce nelle aspettative dei vigilanti nazionali. Lo stesso organismo sta ora redigendo il pacchetto di lavoro sui servizi fiduciari per il portafoglio europeo di identità digitale (European Digital Identity Wallet), che estende il perimetro dei TSP qualificati a partire dal 2026.
Leggi nazionali di trasposizione
eIDAS è un Regolamento, quindi le regole sui servizi fiduciari sono uniformi in tutta l'UE. La NIS2 è una Direttiva, quindi ciascuno Stato membro la traspone: i Paesi Bassi tramite la Cyberbeveiligingswet, l'AT tramite il NISG, mentre in FR il recepimento è ancora un disegno di legge in parlamento. L'Allegato I settore 8 e la regola dell'articolo 2(2)(a)(ii) a prescindere dalla dimensione sono identici in tutti. L'autorità competente per il lato NIS2 differisce da Paese a Paese.
I servizi fiduciari non qualificati sono fuori dalla NIS2.
Errato. I TSP non qualificati rientrano comunque nell'Allegato I settore 8, e l'articolo 2(2)(a)(ii) NIS2 li include a prescindere dalla dimensione. La qualificazione decide solo la categoria. Un prestatore di validazioni temporali non qualificato con 60 dipendenti rientra nella NIS2 come soggetto importante; un prestatore non qualificato di grandi dimensioni è un soggetto essenziale.
eIDAS copre già la cybersicurezza, quindi la NIS2 non aggiunge nulla.
L'articolo 19 eIDAS, che fissava la baseline di sicurezza, è stato soppresso dall'articolo 42 NIS2 con effetto dal 18 ottobre 2024. La baseline di sicurezza deriva ora dalla NIS2. Gli articoli 20, 21 e 23 NIS2 aggiungono obblighi cross-organizzativi: formazione dell'organo di direzione, l'intero catalogo di gestione del rischio dalla crittografia alla catena di approvvigionamento, e la segnalazione di incidenti significativi ai sensi del §32 BSIG con un preallarme di 24 ore. La lex specialis dell'articolo 4 NIS2 non disattiva la NIS2 per i servizi fiduciari. Due regimi paralleli, nessuno dei due sostituisce l'altro.
Siamo troppo piccoli per la NIS2.
Per un prestatore di servizi fiduciari, la dimensione è la domanda sbagliata. L'articolo 2(2)(a)(ii) ti include a prescindere da organico, fatturato o bilancio, qualificato o no. Un'autorità di certificazione qualificata di due persone è nello stesso livello NIS2 di una CA multinazionale. Il motivo è a valle: ogni firma emessa sotto un certificato qualificato compromesso perde la propria efficacia giuridica, a prescindere da chi l'abbia emessa.
Caso tipico: un TSP qualificato di 12 persone che emette certificati qualificati per firme elettroniche, con un ciclo di valutazione della conformità eIDAS di 24 mesi e un'iscrizione nell'elenco di fiducia nazionale tramite la Bundesnetzagentur. L'ambito di applicazione NIS2 è automatico attraverso l'articolo 2(2)(a)(ii). Il §28 BSIG colloca la società nel livello 'besonders wichtige Einrichtung'. Due regolatori, due canali di segnalazione, un'unica società.
Ciò che i professionisti fanno effettivamente: prendono le evidenze della verifica dell'articolo 20(1) eIDAS, che controlla già l'articolo 21 NIS2, e le riutilizzano per i pertinenti controlli dell'articolo 21 NIS2 (crittografia, controllo degli accessi, trattamento degli incidenti, continuità operativa). Eseguono la registrazione del §33 BSIG presso il BSI. Aggiungono gli elementi che eIDAS non copre: la formazione della direzione dell'articolo 20, il rischio fornitori dell'articolo 21(2)(d), il canale per incidenti significativi del §32 BSIG. I due regimi si sovrappongono su crittografia e risposta agli incidenti; tutto il resto è aggiuntivo.
- Direttiva (UE) 2022/2555 (NIS2), Allegato I settore 8, Articolo 2(2)(a)(ii), Articolo 3(1)(b) e Articolo 42: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regolamento (UE) 910/2014 (eIDAS) come modificato dal Regolamento (UE) 2024/1183, Articolo 3(16), 3(19), 3(20), Articolo 20(1) e Articolo 24: eur-lex.europa.eu/eli/reg/2014/910/oj
- BSI Act (BSIG), §28 (Anwendungsbereich), §32 (Meldepflichten) e §33 (Registrierung) come modificato dal NIS2 Implementation and Cybersecurity Strengthening Act
- Vertrauensdienstegesetz (VDG): gesetze-im-internet.de/vdg
- Elenco di fiducia tedesco della Bundesnetzagentur ai sensi dell'articolo 22 eIDAS
- ENISA Technical Implementation Guidance per il Regolamento di esecuzione (UE) 2024/2690, che copre i prestatori di servizi fiduciari: enisa.europa.eu
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
