Il 23 ottobre 2026, con la determinazione direttoriale n. 164, l’Agenzia per l’Italia Digitale (AgID) ha adottato il regolamento che disciplina le modalità di registrazione al Sistema IT-Wallet e la presentazione dei progetti di sperimentazione[1]. Il provvedimento definisce requisiti, procedure amministrative e controlli per consentire a soggetti pubblici e privati di partecipare all’ecosistema italiano dell’identità digitale, dando attuazione a una parte delle disposizioni contenute nei decreti pubblicati nell’estate 2026.
Il Sistema IT-Wallet è destinato a evolvere oltre la funzionalità Documenti su IO, attraverso la quale i cittadini possono già utilizzare alcune attestazioni digitali. L’obiettivo è costruire un’infrastruttura nella quale portafogli digitali, emittenti di attestati elettronici e soggetti che li verificano possano interagire secondo regole comuni, consentendo agli utenti di dimostrare la propria identità o il possesso di determinati requisiti nell’accesso ai servizi pubblici e privati.
La nuova disciplina interviene sulle condizioni di ingresso degli operatori e istituisce uno spazio controllato nel quale verificare l’interoperabilità delle soluzioni e sperimentare servizi innovativi. La sua adozione assume rilievo anche per il settore finanziario, interessato all’impiego dell’identità digitale europea nell’adeguata verifica della clientela, nell’autenticazione forte e nei pagamenti. Il 19 ottobre 2026, quattro giorni prima del provvedimento AgID, BANCOMAT e lo European Payments Council hanno annunciato due distinte iniziative rivolte all’ecosistema EUDI Wallet.
Il regolamento del 23 ottobre introduce procedure necessarie per partecipare alla sperimentazione nazionale. La possibilità di utilizzare stabilmente le nuove funzionalità dipenderà dal completamento delle condizioni tecniche, organizzative e regolamentari previste per l’esercizio ordinario, oltre che dalla convergenza con il quadro europeo.
Indice degli argomenti
Come si è arrivati al regolamento AgID del 23 ottobre 2026
Il Sistema IT-Wallet è stato istituito nel 2024 con l’introduzione dell’articolo 64-quater nel Codice dell’amministrazione digitale (CAD)[2]. La disposizione prevede un sistema nazionale di portafogli digitali, composto da una soluzione pubblica e da soluzioni private, con l’obiettivo di favorire l’interoperabilità delle informazioni e l’accesso ai servizi digitali.
Una prima applicazione è già disponibile dal dicembre 2024 attraverso Documenti su IO, funzionalità che permette ai cittadini di aggiungere al portafoglio dell’applicazione la versione digitale della patente di guida, della tessera sanitaria e della Carta europea della disabilità, utilizzabili negli specifici contesti consentiti.
Questa prima esperienza rappresenta la fase iniziale di un progetto più articolato. Il sistema previsto dal CAD comprende infatti un insieme di soggetti, infrastrutture e servizi nel quale le informazioni possono essere rilasciate come attestati elettronici e successivamente verificate dalle organizzazioni che intendono utilizzarle.
Un attestato elettronico di attributi consente di dimostrare in forma digitale una qualità o una caratteristica riferita a una persona fisica o giuridica. L’attestato viene emesso da un soggetto legittimato a farlo, sulla base delle informazioni di cui dispone o alle quali può accedere secondo le regole applicabili. Il destinatario può verificarne l’autenticità e la validità attraverso i meccanismi previsti dall’ecosistema.
I tre decreti dell’estate 2026
La costruzione del quadro attuativo nazionale ha registrato tre passaggi principali tra luglio e settembre 2026.
Il primo è il decreto del 17 giugno 2026, pubblicato nella Gazzetta Ufficiale del 23 luglio, che ha approvato le Linee guida del Sistema IT-Wallet e disciplinato la sperimentazione[3]. Il provvedimento ha individuato i soggetti dell’ecosistema, istituito il Registro IT-Wallet e previsto l’adozione di specifiche tecniche attraverso successivi atti del Dipartimento per la trasformazione digitale (DTD). Il suo articolo 6, comma 3, ha affidato ad AgID il compito di definire le procedure amministrative di registrazione, i requisiti di affidabilità e le garanzie assicurative.
Il secondo è il decreto del 19 marzo 2026, pubblicato il 3 agosto, dedicato alla disciplina del sistema e dei relativi servizi[4]. Il decreto ha attribuito a PagoPA la realizzazione e la gestione della soluzione pubblica e all’Istituto Poligrafico e Zecca dello Stato (IPZS) le funzioni relative al Registro, ai dati di identificazione personale e agli attestati elettronici di interesse pubblico previsti dalla disciplina nazionale. Ha stabilito un rilascio graduale delle funzionalità e definito ulteriori disposizioni sull’adesione delle fonti autentiche, sull’utilizzo degli attestati e sulla sostenibilità economica.
Il terzo provvedimento è il DPCM del 31 luglio 2026, pubblicato il 10 settembre, che ha individuato gli organismi nazionali competenti in materia di identità digitale europea e istituito il Sistema di certificazione EUDIW-IT[5]. Il decreto disciplina il raccordo tra il sistema italiano e il portafoglio europeo previsto dal regolamento eIDAS, modificato dal regolamento (UE) 2024/1183, comunemente denominato eIDAS 2.
La determinazione AgID del 23 ottobre si inserisce in questa sequenza, traducendo una parte delle disposizioni precedenti in procedure concrete per l’ingresso degli operatori.
Una sperimentazione già avviata prima del regolamento
L’adozione delle nuove disposizioni interviene su un percorso di sperimentazione tecnologica già iniziato.
Il Dipartimento per la trasformazione digitale aveva reso disponibile, nel maggio 2026, un ambiente di test destinato ai fornitori privati di portafogli digitali. L’iniziativa, comunicata pubblicamente il 23 luglio, consente agli operatori di verificare l’interoperabilità delle proprie soluzioni utilizzando dati non riferibili a cittadini reali[6].
Il regolamento AgID introduce condizioni formali per la registrazione, requisiti documentali, verifiche e attività di controllo.
La sperimentazione tecnologica e l’ammissione amministrativa al sistema diventano così due componenti di un procedimento regolamentato, nel quale l’autorizzazione all’esercizio ordinario dei servizi seguirà le condizioni previste dal quadro normativo e tecnico applicabile.
Che cosa prevede il nuovo regolamento AgID
Il regolamento adottato con la determinazione n. 164/2026, nella versione 1.0 allegata al provvedimento, comprende tredici articoli e sei allegati operativi.
L’articolo 2 ne delimita l’ambito: le procedure amministrative necessarie alla registrazione al Sistema IT-Wallet durante la fase di sperimentazione, i requisiti di onorabilità e affidabilità, le condizioni tecnologiche e organizzative e le garanzie assicurative richieste agli operatori.
Le disposizioni sono differenziate in funzione del ruolo svolto e della natura pubblica o privata del soggetto interessato. Il regolamento prevede un procedimento amministrativo di ammissione e verifiche tecniche prima dell’iscrizione effettiva nel Registro IT-Wallet.
Lo stesso articolo 2 istituisce lo Spazio di Sperimentazione IT-Wallet, definito come ambiente controllato nel quale i soggetti registrati possono svolgere attività di validazione, integrazione, test e monitoraggio delle proprie soluzioni.
AgID, l’Agenzia per la cybersicurezza nazionale (ACN) e il Dipartimento per la trasformazione digitale partecipano, secondo le rispettive competenze, alle attività di valutazione e supervisione.
La partecipazione è volontaria e non attribuisce diritti acquisiti per il successivo esercizio dei servizi, né accesso prioritario a finanziamenti pubblici.
La disciplina è esplicitamente transitoria. Il regolamento prevede il progressivo adeguamento delle proprie disposizioni agli aggiornamenti delle Linee guida e delle specifiche tecniche. Al termine della sperimentazione, gli operatori che intendano proseguire l’attività dovranno conformarsi al quadro applicabile all’esercizio ordinario, compresi, per i fornitori interessati, i requisiti di evoluzione delle soluzioni verso il modello EUDI Wallet.
Chi può partecipare all’ecosistema IT-Wallet
Il regolamento distingue i soggetti che rendono disponibili i portafogli digitali, quelli che emettono attestati elettronici, i titolari delle informazioni utilizzate per produrli e le organizzazioni che verificano gli attestati presentati dagli utenti.
La distinzione serve a identificare responsabilità, requisiti tecnici e condizioni di registrazione di ciascun partecipante.
Fornitori di wallet, emittenti di attestati e fonti autentiche
I fornitori di soluzioni IT-Wallet mettono a disposizione dei cittadini le applicazioni e i servizi necessari alla gestione delle credenziali digitali.
L’articolo 4 del regolamento AgID conferma che PagoPA è l’unico fornitore della soluzione IT-Wallet pubblica, mentre IPZS opera come unico fornitore del Registro IT-Wallet, degli attestati elettronici di dati di identificazione personale e degli attestati elettronici di interesse pubblico previsti dal quadro nazionale.
Entrambi i soggetti sono registrati di diritto per i rispettivi ruoli, pur rimanendo sottoposti agli obblighi e alle verifiche applicabili.
Il sistema contempla anche portafogli privati, che potranno essere offerti dai soggetti ammessi secondo le procedure previste dal regolamento.
Un’altra categoria è rappresentata dai fornitori di attestati elettronici di attributi, incaricati di emettere credenziali che rappresentano informazioni verificabili relative a persone fisiche o giuridiche.
Il processo di emissione può richiedere il coinvolgimento di una fonte autentica, cioè un archivio o sistema informativo riconosciuto come fonte primaria di determinati dati oppure la cui autenticità sia riconosciuta dal diritto applicabile.
Attraverso questo modello, un’organizzazione può ricevere un’attestazione relativa a un requisito dichiarato dall’utente, emessa sulla base di informazioni autorevoli e verificabile secondo le regole dell’ecosistema.
L’articolo 6 del regolamento AgID disciplina la registrazione dei titolari di fonti autentiche già aderenti alla Piattaforma Digitale Nazionale Dati (PDND). La procedura è semplificata rispetto a quella prevista per altre categorie di operatori, ferme restando le informazioni tecniche e le dichiarazioni richieste.
L’articolo 8 del medesimo regolamento contempla anche progetti innovativi che prevedano modalità di messa a disposizione degli attributi diverse dall’adesione alla PDND, quando ricorrano specifiche ragioni tecniche, organizzative o giuridiche compatibili con il quadro applicabile.
Verificatori e aggregatori: due ruoli distinti
Fra i soggetti disciplinati dal regolamento assumono particolare rilievo i Verificatori di Attestati Elettronici, corrispondenti alle relying parties previste nel modello europeo.
Sono le organizzazioni che utilizzano informazioni o attestazioni presentate attraverso il wallet per verificare l’identità di una persona oppure accertare il possesso di determinati requisiti, anche ai fini dell’erogazione di un servizio digitale.
Il regolamento riconosce una seconda figura: il Soggetto Aggregatore di Verificatori di Attestati Elettronici.
Secondo la definizione contenuta nell’articolo 1, l’aggregatore offre e gestisce, in nome e per conto di uno o più verificatori, le soluzioni tecniche necessarie alla verifica degli attestati, sia da remoto sia in prossimità. Il ruolo comprende anche i casi nei quali l’operatore svolga le funzioni di intermediario di relying party previste dalle specifiche tecniche.
L’articolo 5 stabilisce che gli aggregatori siano registrati autonomamente per le soluzioni tecniche offerte. Consente inoltre agli aggregatori e ai verificatori di concordare, al di fuori del procedimento di registrazione, specifiche modalità contrattuali di offerta e gestione dei servizi.
Questa impostazione consente modelli organizzativi nei quali un soggetto specializzato gestisca l’integrazione tecnica con l’ecosistema per conto di più organizzazioni, riducendo la necessità che ciascuna sviluppi internamente tutti i componenti applicativi.
La presenza dell’aggregatore lascia in capo alla relying party gli obblighi che le competono in base alla disciplina applicabile. Nei singoli modelli di servizio sarà necessario distinguere le verifiche affidate all’intermediario dalle responsabilità dell’organizzazione che utilizza gli attestati.
La distinzione sarà particolarmente rilevante nei settori soggetti a discipline specifiche, come quello bancario e finanziario, nei quali l’utilizzo di un’infrastruttura condivisa deve essere conciliato con responsabilità regolamentari proprie.
Come funziona la registrazione e quali requisiti devono rispettare gli operatori
Dalla domanda all’iscrizione nel Registro IT-Wallet
Il regolamento prevede la presentazione di una domanda ad AgID, accompagnata dalla documentazione amministrativa e tecnica richiesta per il ruolo che il soggetto intende assumere.
In attesa della piena operatività del portale di onboarding gestito da IPZS, l’articolo 7 del regolamento AgID consente di trasmettere la domanda tramite posta elettronica certificata all’indirizzo protocollo@pec.agid.gov.it, utilizzando il modulo dell’Allegato 1 e la firma digitale o elettronica qualificata.
Il procedimento comprende una fase amministrativa e, ove applicabile, una successiva fase di verifica tecnica.
AgID valuta la documentazione, accerta il possesso dei requisiti e verifica la coerenza delle soluzioni proposte con il ruolo richiesto e con le specifiche tecniche.
L’articolo 9 del regolamento stabilisce che la domanda si considera accolta con riserva qualora il diniego non sia comunicato entro 90 giorni dalla presentazione, fatte salve le sospensioni procedimentali disciplinate dalla stessa disposizione.
Il procedimento prosegue con le verifiche e i test tecnici di validazione effettuati con il supporto del fornitore del Registro. L’iscrizione diventa effettiva soltanto a seguito del loro esito positivo.
L’accoglimento amministrativo consente quindi di procedere verso l’integrazione tecnica, mentre l’iscrizione definitiva richiede il superamento delle verifiche di conformità applicabili.
Il regolamento prevede ulteriori controlli successivi alla registrazione, finalizzati ad accertare il mantenimento dei requisiti.
Requisiti di sicurezza, certificazioni e garanzie assicurative
L’intensità degli adempimenti varia sensibilmente secondo il ruolo del partecipante.
Per i fornitori privati di soluzioni IT-Wallet e per i fornitori di attestati elettronici di attributi sono richieste informazioni sull’organizzazione, sulla situazione patrimoniale, sulle caratteristiche tecniche della soluzione, sulla sicurezza e sulla continuità operativa.
I fornitori interessati devono possedere le certificazioni obbligatorie individuate dall’Allegato 2 del regolamento AgID, che distingue quelle richieste dalle certificazioni raccomandate.
Fra gli standard contemplati figurano UNI EN ISO 9001, UNI EN ISO/IEC 27001, con le integrazioni 27017 e 27018, ed ETSI EN 319 401. La loro obbligatorietà varia secondo il ruolo: per esempio, ISO 9001 è obbligatoria per i fornitori di soluzioni IT-Wallet, mentre è raccomandata per altre categorie.
L’articolo 3 del regolamento richiede ai fornitori di soluzioni IT-Wallet private e ai fornitori di attestati elettronici di attributi una copertura assicurativa minima di 1,5 milioni di euro annui e 150mila euro per singolo sinistro.
Per gli aggregatori privati, l’articolo 5 prevede una copertura minima di 500mila euro annui e 50mila euro per singolo sinistro, con esplicito riferimento all’attività svolta.
I verificatori privati sono invece soggetti a un insieme di adempimenti amministrativi e dichiarativi più contenuto, ferma restando l’applicazione degli obblighi di sicurezza e conformità pertinenti.
Il regolamento introduce prescrizioni riguardanti anche il trattamento dei dati e la localizzazione delle infrastrutture. L’articolo 11 richiede che i dati del Sistema IT-Wallet, compresi quelli necessari alla sicurezza, siano trattati mediante infrastrutture localizzate nell’Unione europea, secondo le condizioni ed eccezioni documentate previste dalla disposizione.
Ai fornitori disciplinati dagli articoli 3 e 4 sono imposti ulteriori controlli, fra i quali analisi dei rischi almeno annuali, attività sistematiche di vulnerability assessment e penetration test almeno semestrali, estesi alle infrastrutture e alle componenti software interessate.
Le prescrizioni comprendono la gestione degli incidenti, la continuità operativa, la documentazione dei processi e la capacità di dimostrare il mantenimento dei requisiti.
La conformità richiede quindi attività continuative. Aggiornamenti tecnici, cambiamenti organizzativi e nuove vulnerabilità possono rendere necessarie ulteriori verifiche.
In presenza di irregolarità, l’articolo 11 del regolamento consente ad AgID di richiedere il ripristino delle condizioni di conformità e, nei casi previsti, sospendere o revocare la registrazione.
Lo Spazio di sperimentazione e lo sviluppo di nuovi servizi
Il regolamento distingue due modalità di partecipazione allo Spazio di Sperimentazione IT-Wallet.
La prima riguarda le attività di validazione, test e integrazione di soluzioni già contemplate dal quadro nazionale, dalle Linee guida e dalle specifiche tecniche.
La seconda riguarda i Progetti di sperimentazione, rivolti a soluzioni, funzionalità, servizi, casi d’uso o modalità operative che non risultano ancora disciplinati.
L’articolo 2 del regolamento circoscrive la presentazione di specifici progetti a quest’ultima categoria, consentendo agli operatori di sperimentare le soluzioni già previste attraverso il percorso ordinario di registrazione e validazione.
I progetti innovativi e le condizioni di ammissione
L’articolo 8 del regolamento AgID consente ai soggetti registrati, o che abbiano richiesto la registrazione, di proporre uno o più progetti innovativi.
La proposta deve motivare le ragioni per le quali la soluzione non sia già contemplata dalle regole esistenti, descrivere il valore aggiunto atteso e presentare un piano di sperimentazione con obiettivi misurabili.
Sono richiesti la descrizione dell’architettura tecnologica, l’analisi dei rischi, l’indicazione delle risorse dedicate e delle eventuali interazioni necessarie con altri partecipanti o infrastrutture.
La durata è normalmente limitata a 18 mesi, salvo proroghe motivate. Le richieste di proroga devono essere presentate almeno 60 giorni prima della scadenza.
L’Allegato 6 del regolamento richiede che la soluzione abbia raggiunto almeno il Technology Readiness Level 4 (TRL 4), livello di maturità tecnologica che, nella scala utilizzata dai programmi europei di ricerca e innovazione, corrisponde alla validazione della tecnologia in laboratorio.
L’ammissione del progetto è valutata da AgID, sentita ACN per gli aspetti di cybersicurezza e il Dipartimento per la trasformazione digitale per la coerenza con gli indirizzi strategici nazionali.
Al termine della sperimentazione, il partecipante è tenuto a presentare una relazione tecnica conclusiva che illustri risultati, criticità e possibili miglioramenti.
L’articolo 10 del regolamento prevede che tali risultati possano essere utilizzati per aggiornare le Linee guida, le specifiche tecniche e le regole del sistema.
Si delinea così un meccanismo nel quale l’esperienza degli operatori può contribuire all’evoluzione dell’architettura nazionale, rimanendo sottoposta alla valutazione delle autorità competenti.
L’eventuale prosecuzione delle attività nell’esercizio ordinario dovrà rispettare le condizioni regolamentari e tecniche successivamente applicabili, come previsto dall’articolo 2 del regolamento. L’esito favorevole di un progetto sperimentale, secondo l’articolo 10, non attribuisce un diritto acquisito alla successiva integrazione della soluzione.
IT-Wallet e servizi finanziari: dall’identificazione ai pagamenti digitali
Le prospettive dell’IT-Wallet interessano anche banche e prestatori di servizi di pagamento (PSP), che potrebbero utilizzare il portafoglio digitale per verificare informazioni sui clienti, autenticarli e integrare nuovi processi di autorizzazione delle operazioni.
Questi impieghi richiedono di distinguere il percorso nazionale di sperimentazione dal quadro europeo dell’EUDI Wallet, sul quale si fondano le principali disposizioni relative all’identificazione elettronica e all’interoperabilità transfrontaliera.
Adeguata verifica della clientela e autenticazione forte
Il regolamento europeo antiriciclaggio, AMLR (UE) 2024/1624, applicabile in via generale dal 10 luglio 2027, disciplina l’adeguata verifica della clientela, o Customer Due Diligence (CDD).
L’articolo 22, paragrafo 6, del regolamento AMLR contempla l’utilizzo di mezzi di identificazione elettronica conformi a eIDAS, con livelli di garanzia significativo o elevato, e dei pertinenti servizi fiduciari qualificati, come modalità per ottenere le informazioni necessarie alla verifica dell’identità del cliente[7].
L’EUDI Wallet potrà così essere integrato nei processi di digital onboarding, consentendo alle organizzazioni obbligate dalla disciplina antiriciclaggio di acquisire e verificare dati identificativi attraverso credenziali elettroniche.
La banca rimane responsabile dell’adeguata verifica della clientela, comprese le ulteriori attività relative alla conoscenza del cliente, all’individuazione del titolare effettivo, alla valutazione del rischio, ai controlli richiesti e alla conservazione delle evidenze.
Il Final Report pubblicato dall’Autorità europea antiriciclaggio (AMLA) il 1° ottobre 2026, relativo anche agli standard tecnici sull’adeguata verifica, contribuisce a chiarire il futuro quadro applicativo. Gli standard dovranno essere formalmente adottati dalla Commissione europea prima di assumere efficacia vincolante[8].
Le implicazioni per i processi bancari, comprese le responsabilità delle organizzazioni che utilizzano le credenziali e la documentazione delle verifiche, sono state esaminate in un precedente approfondimento dedicato all’impiego dell’EUDI Wallet nell’onboarding e all’evoluzione delle regole AMLA[9].
Un secondo ambito è rappresentato dalla Strong Customer Authentication (SCA), l’autenticazione forte disciplinata dall’articolo 97 della direttiva (UE) 2015/2366, nota come PSD2, per l’accesso online ai conti di pagamento, l’avvio di operazioni di pagamento elettronico e altre attività caratterizzate da un rischio di frode.
L’articolo 5 septies, paragrafo 2, del regolamento eIDAS, come modificato dal regolamento (UE) 2024/1183, prevede l’obbligo di accettazione dell’EUDI Wallet da parte di determinate relying parties private, comprese quelle operanti nei settori bancario e finanziario, quando ricorrano le condizioni relative all’autenticazione forte per l’identificazione online e l’utente scelga volontariamente di utilizzare il wallet[10].
Per utilizzare il portafoglio nell’autenticazione delle operazioni di pagamento occorre soddisfare anche i requisiti settoriali della PSD2 e delle relative norme tecniche, compresi quelli concernenti i fattori di autenticazione e il collegamento dinamico ai dati della transazione.
Per le banche si prospetta quindi la possibilità di valutare investimenti nell’integrazione del wallet che possano servire diversi processi: l’identificazione della clientela, l’accesso ai servizi digitali e, quando siano soddisfatti i requisiti applicabili, l’autenticazione delle operazioni di pagamento.
SCA e Payment Initiation: il contributo di SCARLET
La specifica tecnica europea TS12, dedicata all’implementazione della SCA attraverso l’EUDI Wallet, descrive un modello nel quale attestazioni elettroniche associate al cliente possono essere utilizzate insieme ai dati della transazione per realizzare l’autenticazione e il dynamic linking, cioè il collegamento dell’autenticazione a uno specifico importo e beneficiario[11].
Il documento contempla anche scenari nei quali intervengono prestatori di servizi di Payment Initiation (PISP), che avviano un ordine di pagamento su richiesta dell’utente relativamente a un conto detenuto presso un altro PSP.
Nel modello descritto, il wallet può contribuire al processo di autenticazione e conferma dell’operazione, mentre l’avvio e l’esecuzione del pagamento continuano a richiedere le infrastrutture e le procedure previste dalla disciplina dei servizi di pagamento.
L’implementazione concreta di questi scenari dipenderà dalla disponibilità delle funzionalità nei wallet, dall’emissione delle attestazioni necessarie e dal rispetto dei requisiti regolamentari applicabili.
Per favorire un’implementazione interoperabile, lo European Payments Council (EPC) ha annunciato il 19 ottobre 2026 l’avvio di SCARLET, Strong Customer Authentication Acceptance Rulebook and Liability Framework for EUDIW Transactions.
L’iniziativa prevede lo sviluppo di regole comuni, tecniche e contrattuali, per l’impiego dell’EUDI Wallet nell’autenticazione dei pagamenti, comprese le responsabilità dei soggetti partecipanti. La prima versione sarà sviluppata con riferimento alla PSD2 e agli standard tecnici vigenti, mentre gli aggiornamenti successivi dovranno recepire il futuro quadro PSD3/PSR.
SCARLET è attualmente un’iniziativa di standardizzazione in sviluppo: il primo rulebook è previsto per dicembre 2027, dopo una consultazione programmata per l’estate dello stesso anno[12].
Le prospettive del progetto, i suoi rapporti con la TS12 e le implicazioni per gli operatori sono analizzati in un approfondimento sulle regole europee per l’autenticazione dei pagamenti tramite EUDI Wallet[13].
BANCOMAT e il framework EUDIW Italia
Sempre il 19 ottobre 2026, BANCOMAT ha annunciato l’intenzione di promuovere un gruppo di lavoro per la costituzione di un futuro framework EUDIW Italia.
L’iniziativa nasce dalle attività di sperimentazione nel settore dell’identità digitale, comprese quelle sviluppate nell’ambito del consorzio europeo APTITUDE e della collaborazione con IPZS.
BANCOMAT propone di mettere a disposizione infrastrutture e competenze maturate nel settore dei pagamenti per favorire l’interconnessione fra gli emittenti delle credenziali digitali e le organizzazioni che intendono verificarle, valutando anche possibili modelli di remunerazione dei servizi[14].
L’iniziativa presenta un collegamento con le disposizioni del regolamento AgID dedicate agli aggregatori, poiché entrambe contemplano forme di intermediazione tecnica fra operatori dell’ecosistema. La corrispondenza fra il modello industriale proposto da BANCOMAT e i ruoli formalmente disciplinati dal regolamento dovrà essere verificata in funzione delle attività effettivamente svolte.
Le opportunità e le condizioni economiche del futuro framework, con particolare riferimento alla possibilità di organizzare servizi condivisi di emissione e verifica delle credenziali digitali, sono state oggetto di una precedente analisi[15].
Le iniziative BANCOMAT e SCARLET operano su piani differenti: la prima propone un’infrastruttura e un modello di intermediazione nazionale, la seconda intende definire uno schema europeo per l’interoperabilità dell’autenticazione nei pagamenti.
Il loro eventuale raccordo dipenderà dalle scelte tecniche, dalle regole contrattuali e dagli sviluppi della disciplina europea. Gli annunci finora pubblicati lasciano ancora da definire le possibili forme di integrazione fra le due iniziative.
Che cosa manca ancora per la piena attuazione dell’IT-Wallet
L’adozione del regolamento AgID definisce il procedimento di ingresso nella sperimentazione. La piena operatività dell’ecosistema nazionale dipende dal completamento delle infrastrutture, delle regole tecniche, della disciplina economica e delle condizioni previste per la convergenza con il sistema europeo.
Specifiche tecniche e operatività delle infrastrutture
Le specifiche tecniche del Sistema IT-Wallet sono disponibili nel repository pubblico curato dal Dipartimento per la trasformazione digitale, con il contributo di IPZS e PagoPA e la supervisione di AgID.
La documentazione distingue una linea di sviluppo nazionale da quella destinata alla successiva convergenza verso EUDI Wallet. Il repository mantiene versioni stabili delle specifiche e documentazione relativa agli sviluppi futuri, che devono essere interpretati secondo il rispettivo stato di maturità[16].
L’articolo 6 del decreto del 17 giugno 2026 prevede uno specifico procedimento di adozione formale delle specifiche tecniche. Al 24 ottobre 2026 (data di redazione di questo articolo) non rinviene un provvedimento conclusivo che consenta di confermare autonomamente l’avvenuta adozione secondo tale procedimento. Il punto merita una verifica ulteriore, anche in considerazione del richiamo espresso alle specifiche contenuto nel regolamento AgID.
Sul piano operativo occorrerà verificare l’effettiva disponibilità del portale di onboarding, dei sistemi di validazione e delle funzioni del Registro per le diverse categorie di partecipanti.
L’articolo 4 del regolamento AgID attribuisce a IPZS il compito di rendere disponibili tali strumenti, compreso il codice sorgente dei validatori in formato aperto. La loro operatività costituisce una condizione necessaria per trasformare l’accoglimento amministrativo delle domande in registrazioni effettive.
Le misure di protezione dei dati personali
Un altro passaggio attuativo riguarda le misure tecniche e organizzative per i trattamenti dei dati personali effettuati nell’ambito del Sistema IT-Wallet.
L’articolo 8, comma 5, del decreto del 19 marzo 2026 rinvia a un apposito provvedimento del Capo del Dipartimento per la trasformazione digitale.
Il Garante per la protezione dei dati personali, con il provvedimento n. 631 del 23 settembre 2026, ha espresso parere favorevole sul relativo schema[17].
Il testo esaminato dall’Autorità affronta la ripartizione delle responsabilità fra i diversi partecipanti, le misure applicabili al trattamento di categorie particolari di dati personali, la limitazione delle informazioni richieste e la prevenzione di correlazioni o trattamenti ulteriori non autorizzati.
Per i verificatori, il quadro privacy assume una rilevanza operativa diretta: l’organizzazione che richiede attributi attraverso il wallet deve poter giustificare la necessità dei dati acquisiti rispetto al servizio erogato.
Il parere favorevole conclude la consultazione del Garante sullo schema sottoposto al suo esame. Nelle fonti istituzionali consultate al 24 ottobre 2026 resta da confermare la successiva adozione formale del decreto.
La sostenibilità economica del sistema
La disciplina economica dell’IT-Wallet costituisce un ulteriore elemento ancora da completare.
L’articolo 12 del regolamento AgID stabilisce che la partecipazione allo Spazio di Sperimentazione avviene senza commissioni di accesso e senza diritto al rimborso dei costi sostenuti, salvo specifiche disposizioni normative.
I partecipanti devono quindi finanziare lo sviluppo e il mantenimento delle proprie soluzioni, comprese le attività necessarie a soddisfare i requisiti di sicurezza, le certificazioni, le garanzie assicurative e gli obblighi organizzativi.
Per l’esercizio ordinario, l’articolo 7, comma 6, del decreto del 19 marzo 2026 demanda a un successivo provvedimento la definizione dei servizi di base, dei servizi remunerabili, delle tariffe e delle modalità di pagamento.
Il decreto dovrà disciplinare anche i contributi posti a carico dei soggetti registrati, con esclusione delle pubbliche amministrazioni, per la copertura dei costi sostenuti da AgID nei procedimenti e da IPZS nella gestione del Registro.
Per gli operatori privati, la definizione di questi elementi è necessaria per stimare il costo complessivo dell’adesione e valutare la sostenibilità economica dei servizi.
Il problema si collega al più ampio dibattito europeo sulla distribuzione dei costi e dei benefici tra emittenti di attestazioni, fornitori di wallet, intermediari e relying parties.
Le implicazioni per banche e PSP, con particolare riferimento al rapporto fra costi di conformità, benefici economici delle verifiche e possibili modelli di remunerazione, sono state approfondite in un precedente contributo a firma di chi scrive[18].
Per il sistema italiano sarà necessario distinguere gli eventuali contributi richiesti per l’accesso e il mantenimento dell’infrastruttura nazionale dai corrispettivi commerciali applicabili ai servizi aggiuntivi offerti dagli operatori privati.
La sostenibilità del modello dipenderà anche dalla possibilità di distribuire costi e benefici fra soggetti che svolgono funzioni differenti, alcuni dei quali saranno interessati da obblighi regolamentari di accettazione del wallet europeo.
Il completamento del percorso europeo
Il regolamento (UE) n. 910/2014, come modificato dal regolamento (UE) 2024/1183, disciplina l’introduzione del portafoglio europeo di identità digitale e stabilisce i requisiti che gli Stati membri devono rispettare per garantirne disponibilità, sicurezza e interoperabilità.
Il percorso nazionale dovrà confrontarsi con le condizioni relative alla conformità delle soluzioni, alla certificazione e alle notifiche previste dal quadro europeo.
Il DPCM del 31 luglio 2026 ha istituito il Sistema di certificazione EUDIW-IT e ripartito le competenze fra le autorità nazionali. Ad AgID sono attribuite funzioni relative agli aspetti funzionali del sistema di certificazione, mentre ACN esercita quelle concernenti la cybersicurezza secondo il quadro previsto dal decreto. ACCREDIA svolge le attività di accreditamento degli organismi di valutazione della conformità.
La sperimentazione nazionale disciplinata dal regolamento AgID e la certificazione europea seguono procedimenti e requisiti distinti. Il raccordo fra i due percorsi richiederà l’adeguamento delle specifiche, la verifica dei requisiti applicabili e il completamento degli adempimenti previsti per l’EUDI Wallet.
Le scadenze europee del 2026 e del 2027: obblighi e conseguenze degli inadempimenti
Il regolamento eIDAS, nella versione modificata da eIDAS 2, stabilisce due scadenze che interessano direttamente lo sviluppo del portafoglio europeo e la sua successiva accettazione da parte degli operatori.
La prima è il 24 dicembre 2026. L’articolo 5 bis, paragrafo 1, del regolamento eIDAS impone a ciascuno Stato membro di mettere a disposizione almeno un EUDI Wallet entro 24 mesi dall’entrata in vigore degli atti di esecuzione richiamati dalla disposizione. L’eventuale inadempimento può esporre lo Stato a una procedura d’infrazione promossa dalla Commissione europea ai sensi dell’articolo 258 del Trattato sul funzionamento dell’Unione europea (TFUE). Qualora lo Stato persista nell’inadempimento dopo una sentenza della Corte di giustizia, l’articolo 260, paragrafo 2, TFUE consente alla Commissione di chiedere l’imposizione di sanzioni pecuniarie. Il regolamento eIDAS non associa al semplice superamento della scadenza una multa automatica di importo predeterminato[19].
La seconda è il 24 dicembre 2027. L’articolo 5 septies, paragrafo 2, del regolamento eIDAS prevede che determinate relying parties private, comprese quelle operanti nei settori bancario e finanziario quando ricorrono le condizioni indicate dalla norma, debbano accettare l’EUDI Wallet su richiesta volontaria dell’utente. L’obbligo riguarda l’identificazione online soggetta ad autenticazione forte per disposizione normativa o contrattuale, con esclusione delle microimprese e delle piccole imprese[20].
Per le violazioni del regolamento, l’articolo 16 di eIDAS demanda agli Stati membri la definizione di sanzioni effettive, proporzionate e dissuasive. La stessa disposizione stabilisce specifici requisiti per le sanzioni amministrative pecuniarie applicabili ai prestatori di servizi fiduciari, distinti dal regime relativo alle relying parties. Alla data del 24 ottobre 2026, la ricognizione della normativa italiana non ha individuato una sanzione pecuniaria espressamente associata al mancato rispetto dell’obbligo di accettazione dell’EUDI Wallet da parte di banche e PSP[21].
Le due scadenze producono quindi conseguenze giuridiche differenti. Per lo Stato italiano rileva il possibile esercizio dei poteri della Commissione europea in materia di infrazioni. Per le imprese interessate dall’obbligo di accettazione, l’enforcement dipenderà dalle disposizioni nazionali applicabili e dai poteri delle autorità competenti.
L’obbligatorietà delle due scadenze discende direttamente dal regolamento europeo, mentre le conseguenze pecuniarie degli eventuali inadempimenti seguono i rispettivi meccanismi giuridici.
La disponibilità di portafogli europei conformi e di soluzioni tecniche utilizzabili dagli operatori assumerà un rilievo concreto nell’applicazione di questi obblighi. Per l’Italia, il percorso di sperimentazione IT-Wallet dovrà quindi essere valutato anche rispetto alla capacità di rispettare le scadenze europee, con particolare riferimento alla certificazione del portafoglio nazionale e alla successiva interoperabilità con le relying parties.
Dal regolamento all’operatività: le condizioni per costruire l’ecosistema IT-Wallet
La determinazione AgID n. 164/2026 definisce le condizioni amministrative e organizzative necessarie per consentire a nuovi operatori di partecipare alla sperimentazione nazionale.
Per le imprese tecnologiche rende più prevedibile il percorso di registrazione, precisando la documentazione da produrre e i requisiti da soddisfare. Per le pubbliche amministrazioni disciplina modalità di partecipazione differenziate secondo il ruolo svolto. Per i verificatori e gli aggregatori introduce un quadro nel quale possono essere sviluppati servizi condivisi di accesso e convalida degli attestati elettronici.
La possibilità di utilizzare stabilmente tali servizi dipenderà dalla disponibilità delle credenziali necessarie e dalla loro effettiva integrazione nei processi delle organizzazioni che le richiedono.
L’articolo 5 del decreto del 19 marzo 2026 prevede, fra gli altri adempimenti, l’adesione entro il 3 agosto 2027 dei soggetti pubblici interessati come titolari di fonti autentiche, secondo le condizioni stabilite dalla disposizione.
Questo passaggio contribuirà a determinare la varietà e la disponibilità delle informazioni che potranno essere utilizzate per emettere attestati elettronici.
L’esperienza di Documenti su IO ha già consentito ai cittadini di familiarizzare con alcune versioni digitali dei propri documenti. La successiva evoluzione richiede che tali strumenti possano essere utilizzati all’interno di servizi amministrativi e aziendali, attraverso attestazioni verificabili e processi interoperabili.
Il settore finanziario offre alcuni esempi delle possibili applicazioni, dall’identificazione della clientela all’autenticazione delle operazioni di pagamento. Il loro sviluppo dipenderà dal rispetto delle discipline settoriali, dalla disponibilità delle specifiche tecniche e dall’adozione delle necessarie regole operative.
Le disposizioni del 23 ottobre consentono agli operatori di avviare un percorso formalizzato di sperimentazione, mentre rimangono da definire alcune condizioni economiche e tecnologiche dell’esercizio ordinario.
La capacità di rendere disponibili attestati effettivamente utilizzabili, coinvolgere emittenti e verificatori e integrare le procedure digitali nei servizi pubblici e privati sarà determinante per la diffusione dell’IT-Wallet.
Il regolamento AgID disciplina una parte delle condizioni necessarie per raggiungere questo risultato. La prossima fase dovrà misurarsi con il completamento delle infrastrutture, l’adeguamento al quadro europeo e la sostenibilità dei servizi, affinché il portafoglio digitale possa diventare uno strumento stabilmente utilizzato per l’identificazione e la verifica delle informazioni.
[1] Agenzia per l’Italia Digitale, Determinazione direttoriale n. 164 del 23 ottobre 2026, testo integrale; Regolamento recante le modalità di registrazione al Sistema IT-Wallet e presentazione dei progetti di sperimentazione, versione 1.0, testo integrale.
[2] Decreto legislativo 7 marzo 2005, n. 82, articolo 64-quater, introdotto dal decreto-legge 2 marzo 2024, n. 19, convertito dalla legge 29 aprile 2024, n. 56. Dipartimento per la trasformazione digitale, Sistema IT-Wallet.
[3] Presidenza del Consiglio dei ministri, decreto 17 giugno 2026, Approvazione delle Linee guida del Sistema IT-Wallet e regole per la sperimentazione, Gazzetta Ufficiale n. 169 del 23 luglio 2026, testo ufficiale.
[4] Presidenza del Consiglio dei ministri, decreto 19 marzo 2026, Disciplina del Sistema IT-Wallet e dei relativi servizi, Gazzetta Ufficiale n. 178 del 3 agosto 2026, testo ufficiale.
[5] Presidenza del Consiglio dei ministri, decreto 31 luglio 2026, Individuazione degli organismi nazionali competenti per l’identità digitale europea e i servizi fiduciari, Gazzetta Ufficiale n. 210 del 10 settembre 2026, testo ufficiale.
[6] Dipartimento per la trasformazione digitale, Il Sistema IT-Wallet apre ai test con le aziende private, comunicato del 23 luglio 2026, testo integrale.
[7] Parlamento europeo e Consiglio, regolamento (UE) 2024/1624, articoli 20 e 22, paragrafo 6, e articolo 90 sull’applicazione temporale, testo ufficiale.
[8] Autorità per la lotta al riciclaggio e al finanziamento del terrorismo (AMLA), AMLA finalises key standards for the private sector, 1° ottobre 2026, comunicato istituzionale.
[9] Roberto Garavaglia, EUDI Wallet e onboarding digitale: il draft finale AMLA sull’adeguata verifica chiarisce i dubbi, PagamentiDigitali.it, ottobre 2026, articolo integrale.
[10] Parlamento europeo e Consiglio, direttiva (UE) 2015/2366 (PSD2), articolo 97, testo ufficiale; regolamento (UE) n. 910/2014, articolo 5 septies, introdotto dal regolamento (UE) 2024/1183, testo ufficiale della modifica.
[11] Commissione europea, Specification of Strong Customer Authentication (SCA) Implementation with the Wallet, TS12, versione 1.0.1 del 30 gennaio 2026, specifica tecnica nel repository EUDI Wallet.
[12] European Payments Council, EPC launches SCARLET initiative to support consistent use of EU Digital Identity Wallets in payment authentication, 19 ottobre 2026, comunicato istituzionale.
[13] Roberto Garavaglia, SCARLET, l’EPC prepara le regole per l’EUDI Wallet nei pagamenti, PagamentiDigitali.it, 20 ottobre 2026, articolo integrale.
[14] BANCOMAT, BANCOMAT guida la Community Session su EUDI Wallet e Identità digitale, comunicato del 19 ottobre 2026, testo integrale.
[15] Roberto Garavaglia, BANCOMAT punta sul framework EUDIW Italia: identità digitale, pagamenti e nuovi modelli di ricavo, PagamentiDigitali.it, 19 ottobre 2026, articolo integrale.
[16] Dipartimento per la trasformazione digitale, IPZS e PagoPA, IT-Wallet Technical Specifications, repository pubblico. Si vedano anche le informazioni sullo sviluppo delle specifiche pubblicate dal Dipartimento nella pagina istituzionale del progetto.
[17] Garante per la protezione dei dati personali, provvedimento n. 631 del 23 settembre 2026, Parere sullo schema di decreto relativo alle misure tecniche e organizzative per i trattamenti di dati personali nell’ambito del Sistema IT-Wallet, testo integrale.
[18] Roberto Garavaglia, EUDI Wallet, la sostenibilità vista da banche e PSP, PagamentiDigitali.it, 14 ottobre 2026, articolo integrale.
[19] Parlamento europeo e Consiglio, regolamento (UE) n. 910/2014, articolo 5 bis, paragrafo 1, introdotto dal regolamento (UE) 2024/1183, testo ufficiale. Per i procedimenti d’infrazione, articoli 258 e 260 TFUE; Commissione europea, Infringement procedure e Financial sanctions.
[20] Parlamento europeo e Consiglio, regolamento (UE) n. 910/2014, articolo 5 septies, paragrafo 2, introdotto dal regolamento (UE) 2024/1183, testo ufficiale. Si vedano anche i regolamenti di esecuzione (UE) 2024/2977 e 2024/2981, entrati in vigore il 24 dicembre 2024.
[21] Parlamento europeo e Consiglio, regolamento (UE) n. 910/2014, articolo 16, sostituito dal regolamento (UE) 2024/1183, testo ufficiale. Per il quadro italiano, si vedano gli articoli 18-bis e 32-bis del decreto legislativo 7 marzo 2005, n. 82 (Codice dell’amministrazione digitale), e il DPCM del 31 luglio 2026 sull’individuazione degli organismi nazionali competenti per l’identità digitale europea.
Partecipa alla community