26.4.2016   

IT

Gazzetta ufficiale dell'Unione europea

L 109/40

(1)

L'allegato II del regolamento (UE) n. 910/2014 stabilisce i requisiti relativi ai dispositivi per la creazione di una firma elettronica qualificata e ai dispositivi per la creazione di un sigillo elettronico qualificato.

(2)

L'incarico di elaborare le specifiche tecniche necessarie alla produzione e alla commercializzazione dei prodotti, tenendo conto dello stato attuale della tecnologia, è affidato alle organizzazioni competenti in materia di normalizzazione.

(3)

L'ISO/IEC (International Organisation for Standardization/International Electrotechnical Commission) stabilisce i concetti e i principi generali in materia di sicurezza delle tecnologie dell'informazione e specifica il modello generale di valutazione da seguire come base per valutare le proprietà di sicurezza dei prodotti di questo settore.

(4)

Il comitato europeo di normazione (CEN) ha elaborato, nell'ambito del mandato M/460 conferitogli dalla Commissione, le norme relative ai dispositivi per la creazione di una firma elettronica e di un sigillo qualificati, dove i dati per la creazione della firma elettronica o alla creazione del sigillo elettronico sono detenuti in un ambiente gestito integralmente, ma non necessariamente in via esclusiva, dall'utilizzatore. Tali norme sono ritenute idonee per valutare la conformità di tali dispositivi ai pertinenti requisiti di cui all'allegato II del regolamento (UE) n. 910/2014.

(5)

L'allegato II di detto regolamento stabilisce che solo un prestatore di servizi fiduciari qualificati possa gestire i dati per la creazione di una firma elettronica per conto del firmatario. I requisiti in materia di sicurezza e le pertinenti specifiche in materia di certificazione differiscono nel caso in cui il firmatario sia in possesso materiale di un prodotto e se un prestatore di servizi fiduciari qualificati agisce per conto del firmatario. Per trattare entrambe le situazioni nonché promuovere lo sviluppo nel tempo di prodotti e di criteri di valutazione idonei a esigenze particolari, l'allegato della presente decisione dovrebbe elencare norme che disciplinino entrambe le situazioni.

(6)

Al momento dell'adozione della presente decisione, diversi prestatori di servizi fiduciari offrono già soluzioni per gestire i dati per la creazione di una firma elettronica per conto dei loro clienti. Le certificazioni dei prodotti sono attualmente limitate ai moduli di sicurezza hardware certificati secondo diverse norme ma non sono ancora certificati specificatamente secondo i requisiti relativi ai dispositivi per la creazione di firme e sigilli qualificati. Tuttavia le norme pubblicate, quali la norma EN 419211 (applicabile alle firme elettroniche create in un ambiente gestito integralmente, ma non necessariamente in via esclusiva, dall'utilizzatore) non esistono ancora per una parte di mercato altrettanto importante di prodotti remoti certificati. Poiché le norme eventualmente idonee a tali fini si trovano attualmente in fase di sviluppo, nel momento in cui saranno disponibili e ritenute conformi ai requisiti di cui all'allegato II del regolamento (UE) n. 910/2014 la Commissione integrerà la presente decisione. Fino al momento in cui sarà stabilito l'elenco di tali norme è possibile avvalersi di un processo alternativo per valutare la conformità di tali prodotti, alle condizioni di cui all'articolo 30, paragrafo 3, lettera b), del regolamento (UE) n. 910/2014.

(7)

L'allegato della presente decisione fa riferimento alla norma EN 419211, che consta di più parti (da 1 a 6) intese a disciplinare situazioni diverse. Le parti 5 e 6 della suddetta norma presentano estensioni connesse all'ambiente del dispositivo per la creazione di una firma qualificata, quale la comunicazione con le applicazioni attendibili per la creazione della firma. I fabbricanti del prodotto hanno la facoltà di applicare liberamente tali estensioni. Secondo il considerando 56 del regolamento (UE) n. 910/2014, l'ambito di applicazione ai sensi degli articoli 30 e 39 di detto regolamento è limitato alla protezione dei dati per la creazione di una firma, mentre ne sono escluse le applicazioni per la creazione della firma.

(8)

Per garantire che le firme o i sigilli elettronici generati da un dispositivo per la creazione di una firma o di un sigillo qualificati siano affidabilmente protetti da contraffazioni conformemente all'allegato II del regolamento (UE) n. 910/2014, sono prerequisiti per la sicurezza del prodotto certificato idonei algoritmi crittografici, lunghezze di chiave e funzioni hash. Poiché la materia non è stata armonizzata a livello europeo, gli Stati membri dovrebbero collaborare per concordare gli algoritmi crittografici, le lunghezze di chiave e le funzioni hash da usare nell'ambito delle firme e dei sigilli elettronici.

(9)

L'adozione della presente decisione rende obsoleta la decisione 2003/511/CE della Commissione (2). È pertanto necessario abrogarla.

(10)

Le misure di cui alla presente decisione sono conformi al parere del comitato di cui all'articolo 48 del regolamento (UE) n. 910/2014,