Il contesto normativo e le finalità dell’IT‑Wallet
Il Regolamento AgID pubblicato recentemente completa il quadro legislativo avviato dagli ultimi decreti sul digitale pubblico. Nasce dall’art. 64‑quater del CAD, introdotto dal DL 19/2024, e mira a creare un ecosistema nazionale di Attestati Elettronici (AE) – dati di identificazione, titoli, qualifiche, deleghe e licenze – già autenticati alla fonte, firmati digitalmente e non ripudiabili.
Il progetto si inserisce nell’iniziativa europea EUDI Wallet, che prevede l’interoperabilità dei wallet nazionali e la presentazione di un’infrastruttura conforme alle specifiche tecniche entro il 26 dicembre 2026.
Gli AE riconosciuti sono organizzati in domini e categorie gerarchiche, con la possibilità di aggiungere nuove categorie man mano che l’ecosistema si espande. Attualmente le categorie documentate coprono tutti gli eventi della vita, dallo stato civile alle qualifiche professionali.
Come funziona l’attivazione del wallet per i cittadini
- Installazione dell’app e accettazione dei termini;
- Superamento dei controlli di sicurezza del dispositivo;
- Ottenimento dell’attestato di identificazione (IT‑Wallet ID) tramite autenticazione CIEid a livello elevato;
- Utilizzo dell’IT‑Wallet ID per autenticarsi presso i verificatori con garanzia significativa.
Spazio di Sperimentazione IT‑Wallet: struttura e partecipazione
Il regolamento istituisce lo Spazio di Sperimentazione IT‑Wallet, un ambiente controllato dove i soggetti registrati testano le proprie soluzioni insieme ad AgID, ACN e al Dipartimento per la trasformazione digitale. La partecipazione è volontaria, non comporta diritti acquisiti né finanziamenti prioritari, e non prevede ristori né commissioni.
Enti come IPZS (Registro, IT‑Wallet ID e attestati di interesse pubblico) e PagoPA sono registrati di diritto perché gestiscono la certificazione dell’identità e l’infrastruttura di pagamento.
Le domande di adesione vanno presentate tramite il portale di onboarding, utilizzando il modulo dell’Allegato 1, firmato digitalmente dal legale rappresentante e inviato via PEC ad AgID. Se entro 90 giorni non viene emesso un provvedimento negativo, la domanda è considerata accolta con riserva; il termine può essere sospeso una sola volta per integrazioni.
L’iscrizione al Registro diventa effettiva solo dopo i test tecnici di validazione, che verificano la conformità delle soluzioni alle Specifiche Tecniche pubblicate su www.wallet.gov.it.
Ruoli disponibili per i Comuni
- Fonte autentica: gestione degli archivi di dati primari (tributi, autorizzazioni immobiliari);
- Verificatore: validazione degli attestati ricevuti;
- Fornitore legittimato: emissione di attestati per tipologie specifiche;
- Gestore di soluzioni di verifica: supporto ad altri enti tramite accordi bilaterali.
Procedura di registrazione per i Comuni
I Comuni, in qualità di Pubbliche Amministrazioni (art. 2, c. 2, lett. a, CAD), beneficiano di un regime semplificato. I documenti richiesti variano in base al ruolo scelto.
Se il Comune è già aderente alla PDND, la registrazione è “a semplice richiesta” con la sola documentazione tecnica DIT1, che comprende:
- Informazioni tecniche richieste dalle Specifiche Tecniche per il ruolo;
- Identificativi dell’entità, endpoint, configurazione federativa, chiavi e certificati;
- Interfacce applicative, contatti tecnici e amministrativi;
- Informazioni privacy e ulteriori dati necessari all’onboarding.
Le linee guida impongono al Comune di:
- Mantenere aggiornato l’elenco dei servizi e degli attributi richiesti;
- Autenticare gli attestati ricevuti e verificarne la validità;
- Consentire all’utente di chiedere la cancellazione dei dati presentati;
- Interagire con le fonti autentiche tramite PDND e revocare o sospendere attestati in caso di decesso, incidenti di sicurezza o aggiornamenti alla fonte.
Per i ruoli di verificatore e gestore di soluzioni di verifica è sufficiente la DIT1, ma il regolamento richiede anche:
- Polizza assicurativa minima di 1,5 milioni € annui e 150 000 € per sinistro;
- Certificazioni dell’Allegato 2 (obbligatorie o raccomandate a seconda del ruolo);
- Analisi annuale dei rischi, piano di sicurezza e penetration test semestrali.
Il Catalogo degli Attestati
Il Catalogo degli Attestati del Registro indica per ogni attestato formato, titolare della fonte, fornitore legittimato e natura (pubblico o di interesse pubblico). Un Comune può emettere un attestato solo se è riconosciuto fornitore legittimato per quella tipologia.
Obblighi di conformità e sanzioni
Tutti i soggetti registrati devono rispettare:
- Regolamento, linee guida, specifiche tecniche e normative privacy;
- Trattamento dei dati su infrastrutture localizzate nell’Unione europea;
- Obblighi di revisione periodica della sicurezza (penetration test, analisi dei rischi).
In caso di violazioni, AgID può diffidare, sospendere o revocare la registrazione del soggetto.
Progetti di sperimentazione
I soggetti che vogliono testare casi d’uso non previsti possono presentare un Progetto di Sperimentazione secondo le indicazioni dell’Allegato 6, includendo:
- Obiettivi misurabili;
- Architettura proposta;
- Analisi dei rischi;
- Durata massima di 18 mesi;
- Maturità tecnica di almeno TRL 4.
Scadenze e obblighi per i Comuni
L’art. 5 comma 3 del Decreto 19/3/2026 stabilisce che, entro e non oltre il 3 agosto 2027, tutti i soggetti del primo periodo – ovvero tutte le Pubbliche Amministrazioni – devono aderire al sistema IT‑Wallet in qualità di titolare di fonte autentica, senza oneri aggiuntivi.
Questo obbligo coesiste con l’obbligo di rendere disponibili i dati e i documenti necessari per la generazione di attestati elettronici, indipendentemente dalle disposizioni delle singole banche dati.
Attualmente, 7 654 Comuni su 7 894 hanno già aderito alla PDND; ne restano circa 250 da integrare. Il percorso più sostenibile per i comuni non ancora aderenti è:
- Iscriversi alla PDND;
- Registrarsi come fonte autentica;
- Valutare l’eventuale registrazione come verificatore o gestore di soluzioni di verifica.
La partecipazione alla sperimentazione è facoltativa ma consente ai Comuni di “mettere le mani in pasta”, testando soluzioni tecnologiche anche di fornitori privati, e di acquisire esperienza operativa prima dell’obbligo definitivo.
Conclusioni operative per i Comuni
- Verificare lo stato di adesione alla PDND e completare l’onboarding dove necessario;
- Definire il ruolo più adatto (fonte autentica, verificatore, fornitore legittimato o gestore di verifica);
- Preparare la documentazione DIT1 e raccogliere le certificazioni richieste;
- Stipulare la polizza assicurativa minima;
- Presentare la domanda tramite il portale di onboarding entro i termini stabiliti;
- Pianificare test di conformità e penetration test semestrali.
Il rispetto di queste fasi garantirà una transizione fluida verso l’obbligo del 3 agosto 2027, evitando sanzioni e consentendo ai Comuni di sfruttare le potenzialità dell’IT‑Wallet per migliorare l’erogazione dei servizi ai cittadini.