Il portafoglio arriva a dicembre. Le banche lo accettano un anno dopo.

TL;DR. Gli Stati membri devono fornire il portafoglio d'identità digitale entro dicembre 2026, le banche accettarlo entro dicembre 2027. Il divario è il problema.

Punti chiave

Due date, un solo divario. Si parte dal calendario, perché quasi ogni lettura sbagliata di questo dossier nasce dal fondere le due date in una.
La parte facente affidamento è un ruolo giuridico, non uno schema di integrazione. È la disposizione più spesso saltata nelle letture tecniche ed è quella con il tempo di preparazione più lungo.
Il portafoglio non abroga l'autenticazione forte del cliente. Un errore ricorrente nelle prime presentazioni di pianificazione è dare per scontato che l'accettazione del portafoglio superi il regime di autenticazione PSD2.
Che cosa la verifica non vi dice. Ecco la parte che sorprende regolarmente i team identità, e vale la pena dirla senza giri di parole.

Per un decennio le banche hanno controllato il login. L'istituto emetteva la credenziale, gestiva l'autenticazione, deteneva la pista di controllo e decideva che cosa significasse «verificato». Il regolamento europeo sull'identità digitale chiude quell'assetto senza mai dirlo apertamente. Impone a ogni Stato membro di mettere un portafoglio a disposizione dei cittadini entro dicembre 2026 e impone alle banche — nominate per settore, non per deduzione — di accettare quel portafoglio per l'autenticazione forte dell'utente entro dicembre 2027. Fra le due date c'è un anno in cui la credenziale esiste, i clienti la detengono e l'obbligo non morde ancora. Quasi tutti gli istituti trattano quell'anno come margine. È la finestra di costruzione.

Sintesi per la direzione

Questo è diritto consolidato, a differenza di quasi tutto il dossier 2026. Il Regulation (EU) 2024/1183 è in vigore. Le date sono fissate nel testo anziché pendenti in trilogo, il che ne fa uno dei pochi programmi pianificabili con fiducia.

La banca diventa parte facente affidamento. È un ruolo giuridico definito, con un obbligo di registrazione annesso. È il primo regime di identità in cui una banca deve dichiarare formalmente, a un registro pubblico, che cosa intende chiedere ai clienti.

Accettare non è una strategia di autenticazione. L'obbligo è accettare una presentazione del portafoglio quando l'utente la offre. Che cosa la banca faccia della garanzia che ne deriva — e come la concili con il proprio modello di rischio — resta affare della banca.

La parte difficile viene dopo la verifica della credenziale. Una presentazione crittograficamente valida dice che il titolare è chi lo Stato dice che sia. Non dice se è la persona che ha aperto il conto nel 2014.

Due date, un solo divario

Si parte dal calendario, perché quasi ogni lettura sbagliata di questo dossier nasce dal fondere le due date in una.

Il Regulation (EU) 2024/1183 ha modificato il regolamento eIDAS originario, il Regulation (EU) No 910/2014, ed è entrato in vigore a maggio 2024. Ha dato alla Commissione il mandato di adottare atti di esecuzione che precisano come i portafogli vengono costruiti, certificati, registrati e usati, e ha fissato due obblighi che corrono su orologi diversi.

Il primo ricade sugli Stati membri. Entro il 24 dicembre 2026 ciascuno deve rendere disponibile ai propri cittadini e residenti almeno un European Digital Identity Wallet. È un obbligo di fornitura: lo Stato, o un soggetto da esso designato, mette a disposizione il portafoglio, e le persone fisiche non pagano nulla.

Il secondo ricade sulle parti facenti affidamento. Entro il 24 dicembre 2027, in base all'Article 5f, le parti facenti affidamento grandi e medie tenute per legge o per contratto a usare l'autenticazione forte dell'utente per l'identificazione — e operanti in uno dei settori elencati, fra cui banche e servizi finanziari — devono accettare il portafoglio quando l'utente chiede volontariamente di usarlo.

Fra le due corrono dodici mesi, e l'ordine conta. Prima arriva la credenziale. L'obbligo di accettarla arriva un anno dopo.

Quasi tutti i piani di programma che ho visto si ancorano alla data del 2027: lettura ragionevole di una scadenza di conformità, lettura povera del rischio reale. Da dicembre 2026 in avanti i clienti di una banca possono detenere una credenziale di identità digitale emessa dallo Stato che la banca non è ancora in grado di consumare. I concorrenti che lo sono la useranno — per tempi di apertura del rapporto misurati in secondi anziché in giorni e per percorsi di ri-autenticazione che saltano del tutto il caricamento dei documenti. La scadenza è il 2027. L'esposizione competitiva comincia nel 2026.

La parte facente affidamento è un ruolo giuridico, non uno schema di integrazione

È la disposizione più spesso saltata nelle letture tecniche ed è quella con il tempo di preparazione più lungo.

In base all'Article 5b, chi intende fare affidamento sugli European Digital Identity Wallet deve registrarsi nello Stato membro in cui è stabilito. La registrazione non è un'iscrizione a un portale per sviluppatori. Identifica l'istituto, registra lo Stato membro di stabilimento e il numero di registrazione e — punto decisivo — copre l'uso previsto, inclusi gli attributi che la parte facente affidamento richiederà.

Ne discendono tre conseguenze, e nessuna è un problema di ingegneria.

La richiesta di attributi diventa una posizione dichiarata. Una banca deve decidere in anticipo e a verbale che cosa chiederà ai clienti di divulgare. «Tutto quello che il portafoglio ci darà» non è una risposta disponibile. La minimizzazione dei dati smette di essere un principio sostenuto dall'ufficio privacy e diventa un vincolo codificato nella registrazione.

Le modifiche di prodotto acquisiscono una dipendenza dalla registrazione. Un nuovo percorso che richiede un attributo fuori dall'ambito registrato non è una voce di sprint. Qualunque siano i tempi amministrativi in ciascuno Stato membro, non sono in giornata.

Le banche multi-giurisdizione si registrano in più luoghi. Un istituto stabilito in più Stati membri tratta con più registri. Il portafoglio è progettato per funzionare oltre frontiera — un portafoglio tedesco funziona con una parte facente affidamento francese — ma l'obbligo di registrazione si àncora allo stabilimento, e la struttura del gruppo determina quante interlocuzioni comporta.

Tabella 1: la posizione della banca prima e dopo

Dimensione	Identità di proprietà della banca (oggi)	EUDI Wallet (Article 5f)
Chi emette la credenziale	La banca, dopo la propria apertura del rapporto	Lo Stato membro o un fornitore designato
Chi decide che è valida	La banca, sulla base dei propri archivi	La banca, sulla base della firma e dello stato dell'emittente
Che cosa controlla il cliente	Poco; la banca detiene la relazione	Quali attributi vengono rilasciati, per ogni presentazione
Che cosa deve fare la banca	Quanto la sua propensione al rischio consente	Accettare una presentazione quando l'utente la chiede
Precondizione per partecipare	Nessuna oltre i propri sistemi	Registrazione come parte facente affidamento ai sensi dell'Article 5b
Costo di chiedere più dati	Una decisione interna di prodotto	Una modifica a un ambito registrato e dichiarato

Il portafoglio non abroga l'autenticazione forte del cliente

Un errore ricorrente nelle prime presentazioni di pianificazione è dare per scontato che l'accettazione del portafoglio superi il regime di autenticazione PSD2. Non lo supera.

L'autenticazione forte del cliente prevista dalla Directive (EU) 2015/2366 e dalle norme tecniche di regolamentazione del Commission Delegated Regulation (EU) 2018/389 continua a governare il modo in cui i prestatori di servizi di pagamento autenticano i pagatori e autorizzano le operazioni. L'obbligo dell'Article 5f si sovrappone a quel regime, non lo sostituisce. Una banca deve continuare a soddisfare i propri obblighi SCA; in aggiunta, deve accettare un portafoglio quando un cliente lo offre per l'autenticazione forte dell'utente.

La domanda operativa non è quindi «il portafoglio sostituisce i nostri fattori SCA» ma «che cosa apporta una presentazione del portafoglio a un'autenticazione conforme alla SCA e che cosa dobbiamo continuare a fare noi». È una domanda di architettura con una risposta reale, e conviene risolverla prima della scadenza anziché durante, perché i due regimi sono stati redatti da strumenti diversi per finalità diverse e si incontrano dentro il vostro servizio di autenticazione.

C'è una trappola collegata nel modello di responsabilità. Nell'assetto attuale la banca emette la credenziale e quindi possiede quasi tutte le modalità di guasto. Nel nuovo, la credenziale è emessa altrove e verificata dalla banca. Una verifica che fallisce in apertura, uno stato di revoca dell'emittente non aggiornato o una presentazione riprodotta sono modalità di guasto con cui l'istituto ha poca storia alle spalle, e l'allocazione della perdita fra fornitore del portafoglio, emittente e parte facente affidamento è esattamente il tipo di questione che si risolve lentamente e a caro prezzo dopo il primo incidente.

Che cosa la verifica non vi dice

Ecco la parte che sorprende regolarmente i team identità, e vale la pena dirla senza giri di parole.

Una presentazione del portafoglio dà garanzia crittografica che un insieme di attributi è stato emesso da un'autorità fidata al titolare del portafoglio e che il titolare è presente. Vi dice, con elevata confidenza, che questa persona è chi lo Stato dice che sia.

Non vi dice che questa persona è il cliente che ha aperto il conto.

Per l'apertura del rapporto la distinzione conta poco — il portafoglio è quasi ideale, e una verifica dell'identità che oggi richiede scansione del documento, controllo di vitalità e revisione manuale si riduce a un'unica presentazione. Per il portafoglio clienti esistente conta enormemente. Legare un'identità digitale emessa dallo Stato a un conto aperto nel 2014 con un passaporto nel frattempo scaduto, sotto un nome che può essere cambiato, è un problema di collegamento di record. È lo stesso lavoro di risoluzione delle entità che i programmi di open finance e di dati cliente riscoprono di continuo, e non diventa più facile perché la credenziale in ingresso è crittograficamente eccellente.

Gli istituti che trattano l'integrazione del portafoglio come un progetto di canale costruiranno un flusso di presentazione funzionante e poi scopriranno che il guasto interessante è il tasso di corrispondenza con la propria anagrafica clienti. Quel lavoro ha tempi lunghi e nessuna dipendenza da alcun atto di esecuzione. Può cominciare ora.

Tabella 2: in che cosa si scompone davvero il cantiere

Filone di lavoro	Dipende dall'esistenza del portafoglio?	Si può avviare ora
Registrazione come parte facente affidamento in ogni Stato membro di stabilimento	Registro operativo	Definire l'ambito degli attributi da dichiarare
Verifica della presentazione, elenco di fiducia e gestione della revoca	Sì, per i test end-to-end	Scelta del protocollo e progettazione del servizio
Associazione di un'identità verificata a un'anagrafica cliente esistente	No	Sì — è il fronte più lungo
Riconciliazione fra accettazione del portafoglio e obblighi SCA	No	Sì
Responsabilità, gestione degli incidenti e delle controversie per una credenziale che non avete emesso	No	Sì
Revisione di minimizzazione degli attributi sui percorsi esistenti	No	Sì

Quattro su sei non aspettano nulla.

Il piano operativo

Sei mosse, nell'ordine in cui le sequenzierei.

Nominate un responsabile. La materia attraversa identità, apertura del rapporto, pagamenti e ufficio legale, il che in gran parte delle banche significa che non sta da nessuna parte. L'accettazione del portafoglio fallisce come iniziativa federata.
Decidete l'ambito degli attributi prima che il registro lo chieda. La registrazione dichiara che cosa chiederete. Definite il minimo che sostiene i vostri percorsi, perché l'ambito dichiarato è più facile da allargare deliberatamente che da restringere dopo una revisione privacy.
Affrontate subito il problema dell'associazione. Far corrispondere un'identità statale a un'anagrafica cliente esistente è il filone con la coda più lunga e le dipendenze più scarse. È anche quello che determina se l'accettazione sarà una buona esperienza o una coda di assistenza.
Mettete per iscritto la riconciliazione con la SCA. Documentate come una presentazione del portafoglio interagisce con i vostri fattori di autenticazione esistenti e dove i due regimi si incontrano. Fatelo come architecture decision record, non come slide.
Modellate le modalità di guasto che non avete mai posseduto. Revoca non aggiornata, indisponibilità dell'emittente, verifica che fallisce in apertura. Non avete emesso voi questa credenziale: assumete che le modalità di guasto non siano sotto il vostro controllo e progettate di conseguenza.
Usate i dodici mesi di scarto in modo deliberato. I portafogli sono operativi da dicembre 2026. Trattate il 2027 come l'anno in cui esercitate la capacità, non come l'anno in cui la costruite.

Le banche hanno passato l'era dell'open banking a imparare che un'interfaccia imposta raramente è solo un'interfaccia. È la stessa lezione che arriva attraverso uno strumento diverso. Gli istituti che leggeranno l'Article 5f come un ticket di integrazione consegneranno in tempo un flusso di presentazione conforme e resteranno comunque incapaci di rispondere all'unica domanda che conta allo sportello: la persona che tiene in mano questo portafoglio è la persona di cui state per aprire il conto?

Domande frequenti

Quando esattamente una banca deve accettare il portafoglio?
Entro il 24 dicembre 2027 per le parti facenti affidamento grandi e medie tenute per legge o per contratto a usare l'autenticazione forte dell'utente e operanti in un settore elencato, fra cui banche e servizi finanziari. L'obbligo distinto in capo agli Stati membri di rendere disponibile almeno un portafoglio corre un anno prima, al 24 dicembre 2026.

È materia consolidata o le date possono spostarsi?
Il Regulation (EU) 2024/1183 è in vigore e le date stanno nel testo adottato, non in una proposta in negoziazione. Questo lo rende sensibilmente più solido di gran parte di ciò su cui le banche stanno pianificando oggi, ed è una delle ragioni per cui questo dossier premia il lavoro anticipato.

Accettare un portafoglio significa poter dismettere la nostra autenticazione?
No. L'obbligo è accettare una presentazione del portafoglio quando l'utente chiede volontariamente di usarne uno. I clienti che non hanno un portafoglio, o che non vogliono usarlo, vanno comunque serviti, e i requisiti PSD2 di autenticazione forte del cliente continuano ad applicarsi ai percorsi di pagamento in ogni caso.

A che cosa ci impegna concretamente la registrazione dell'Article 5b?
A registrarvi nello Stato membro in cui siete stabiliti, a identificare l'istituto e a dichiarare l'uso previsto, inclusi gli attributi che intendete richiedere. L'effetto pratico è che la vostra posizione sulla minimizzazione dei dati diventa materia di pubblico registro e un vincolo sulle future modifiche di prodotto.

Non siamo stabiliti nell'UE. La norma ci raggiunge?
L'obbligo di accettazione dell'Article 5f si applica alle parti facenti affidamento che operano nei settori elencati all'interno del quadro dell'Unione, e l'obbligo di registrazione si àncora allo Stato membro di stabilimento. La struttura del gruppo e il luogo di stabilimento di ciascuna entità regolamentata determinano la risposta: è una questione giuridica da chiarire presto, più che una questione tecnica.

Qual è la cosa più utile da avviare in questo trimestre?
La risoluzione delle entità fra un'identità emessa dallo Stato e la vostra anagrafica clienti. Non dipende da portafogli, atti di esecuzione o registri, è il filone che più probabilmente determina se l'accettazione funziona nella pratica ed è quello che per impostazione predefinita non ha un proprietario.

Riferimenti

Parlamento europeo e Consiglio dell'Unione europea, 2024. Regulation (EU) 2024/1183 amending Regulation (EU) No 910/2014 as regards establishing the European Digital Identity Framework. Bruxelles: Gazzetta ufficiale dell'Unione europea. Disponibile su: Parlamento europeo e Consiglio dell'Unione europea, 2024..
Commissione europea, 2026. European Digital Identity Wallet. Bruxelles: Direzione generale delle Reti di comunicazione, dei contenuti e delle tecnologie. Disponibile su: Commissione europea, 2026..
Commissione europea, 2026. EUDI Wallet Architecture and Reference Framework. Bruxelles: Commissione europea. Disponibile su: Commissione europea, 2026..
Parlamento europeo e Consiglio dell'Unione europea, 2015. Directive (EU) 2015/2366 on payment services in the internal market (PSD2). Bruxelles: Gazzetta ufficiale dell'Unione europea. Disponibile su: Parlamento europeo e Consiglio dell'Unione europea, 2015..
Commissione europea, 2018. Commission Delegated Regulation (EU) 2018/389 supplementing Directive (EU) 2015/2366 with regard to regulatory technical standards for strong customer authentication. Bruxelles: Gazzetta ufficiale dell'Unione europea. Disponibile su: Commissione europea, 2018..
OpenID Foundation, 2026. OpenID for Verifiable Presentations. San Ramon: OpenID Foundation. Disponibile su: OpenID Foundation, 2026..

Ultima revisione 2026-08-08.

Ripubblica questo articolo

Il portafoglio arriva a dicembre. Le banche lo accettano un anno dopo. — Sebastien Rousseau

Gli Stati membri devono fornire il portafoglio d'identità digitale entro dicembre 2026, le banche accettarlo entro dicembre 2027. Il divario è il problema.

Questo articolo è pubblicato con licenza Creative Commons Attribution 4.0 International. La ripubblicazione richiede l'attribuzione all'URL canonico.

Il portafoglio arriva a dicembre. Le banche lo accettano un anno dopo. — Sebastien Rousseau

Gli Stati membri devono fornire il portafoglio d'identità digitale entro dicembre 2026, le banche accettarlo entro dicembre 2027. Il divario è il problema.

Originally published at https://sebastienrousseau.com/it/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER