eIDAS 2 vs eIDAS 1: bidla ewlenin għall-PME

Introduzzjoni: għaliex eIDAS 2 tbiddel il-logħba għall-PME

Minn 20 ta' Mejju 2024, ir-regolament (UE) 2024/1183 — komunement imsejjaħ eIDAS 2 — daħal fi ħlas, u abbrogħ u sostitwixxa gradualment ir-regolament (UE) nru 910/2014 (eIDAS 1). Għall-PME Franċiżi, din il-bidla mhix sempliċi aġġornament amministrattiv: tiddefinixxi mill-ġdid il-livelli ta' fiduċja numerika, tintroduċi portafoll ta' identità Ewropea (EUDIW), tissottodefinixxi l-ħtiġat applikabbli lill-fornituri ta' servizzi ta' fiduċja u tessettik il-qasam tal-servizzi rikonoxxuti. Dan l-artikolu jqabbel punt għal punt eIDAS 1 u eIDAS 2, jidentifika l-impatti operazzjonali konkreti għall-intrapriżi żgħar u medji, u jagħtik pjan ta' azzjoni biex tibqa' konformi sal-2026.

---

1. Rikordanza: x'poġġa eIDAS 1 (2014-2024)

1.1 Il-pedamenti tar-regolament inizjali

Adottat f'Lulju 2014 u applikabbli minn Settembru 2016, eIDAS 1 poġġa l-ewwel għażżiet ta' spazju ta' fiduċja numerika Ewropea. Ittintroduċa tliet kategoriji kbar ta' sinjatura elettronika — sempliċi (SES), avvanzata (AdES) u kwalifikata (QES) — u ħoloq il-lista ta' fiduċja tal-fornituri kwalifikati (Trusted List), li tista' tikkunsulta fuq il-portal tal-Kummissjoni Ewropea.

Għall-PME, il-kontribuzzjoni ewlenija ta' eIDAS 1 kienet ir-rikonoxximent transfreontier tas-sinjature kwalifikati: kuntratt imqaqqad b'QES Franċiż kien ikun rikonoxxut legalment fil-Ġermanja, l-Ispanja jew l-Italja mingħajr apostilla jew formalità suppletari. Dan il-prinċipju — imsejjaħ ta' «non-diskriminazzjoni» — ibqa' l-pedament li fuqha l-offerti SaaS bħal Certyneo bnu s-servizzi tagħhom.

1.2 Il-limitazzjonijiet identifikati

Minkejja l-avvanzi tiegħu, eIDAS 1 soffra minn diversi nuqqas dokumentati mill-Kummissjoni Ewropea fir-rapport ta' valutazzjoni tiegħa ta' 2021:

• Frammissjoni tal-iskemi ta' identità: biss l-Istati Membri li kkonnotaw l-iskema nazzjonali tagħhom (bħal FranceConnect+ livell sostanzjali) kienu benefiċjarju tar-rikonoxximent reċiproku. Fl-2023, biss 14-il stat fuq 27 kanu notifikaw iskema konformi.
• Assenza ta' sostenn mobil nattivu: id-dispożittiv kwalifikat ta' ħolqien ta' sinjatura (QSCD) ħtieġ spiss karta smart jew token materjali, li ħammet l-adozzjoni tal-mobile.
• Servizzi ta' fiduċja limitati: eIDAS 1 listat disgħa tipi ta' servizzi kwalifikati; l-użi ġodda (arking elettroniku kwalifikat, ġestjoni ta' attributi) ma kinux inqamar.
• Assenza ta' portafoll ta' identità unifika: kull ċittadin jew intrapriża adattaw l-identifikanti tiegħu b'mod silotat, mingħajr interoperabilità garantita.

Dawn il-limitazzjonijiet wasslu lill-Kummissjoni biex tlonqot ir-reviżjoni bħala tlieta 2020, li wasilat mir-regolament eIDAS 2 wara tliet snin ta' trilugu.

---

2. Il-ħamsa bidliet ewlenin ta' eIDAS 2 għall-PME

2.1 Il-portafoll ta' identità numerika Ewropea (EU Digital Identity Wallet — EUDIW)

Din hija l-geneza l-aktar viżibbli tal-regolament. Sal-xahar ta' Novembru 2026 (morћa ta' transpoċizzjoni stabbilita mill-artiklu 5a), kull Stat Membru għandu jkun ofra mill-inqas portafoll ta' identità numerika ċertifikat lill-ċittadini u r-residenti tiegħu. Għall-PME, din l-evoluzzjoni għandha żewġ konsegwenzi diretti:

1. Awtorentar tal-klijenti u l-imsieħba sempliċi: il-portafoll se jippermetti tqassim ta' attributi verifika (età, numru ta' IVA intraKUMMERCJALI, estratt Kbis, dejta bankarja ċertifikata) mingħajr frizzjoni. Kuntratt qafas ma' partner Ġermaniż jista' jiġi iffirma wara verifika istantanja tal-attributi professjonali tiegħu mill-EUDIW tiegħu.
2. Obbligazzjoni ta' aċċettazzjoni għal setturi ċerti: is-servizzi online tal-pjattaformi kbar (artiklu 45bis) u ċerti servizzi pubbliċi għandhom jaċċettaw l-EUDIW bħala mezz ta' awtorentar. Il-PME li jipprovdu portali B2B għandhom jadattaw l-API tal-awtorentar tagħhom.

2.2 Estensjoni tal-lista tas-servizzi ta' fiduċja kwalifikati

eIDAS 2 testendi l-katalgu tal-servizzi ta' fiduċja kwalifikati minn 9 sa 14-il kategorija. L-entrati ġodda li huma ta' interesse dirett għall-PME huma:

• L-arking elettroniku kwalifikat (art. 45septies): konservazzjoni ta' murija twila mad-depożitu ta' valur pruwa rinfurzat. Sal-issa, l-arking b'valur pruwa aqgħa fuq ir-referenzi nazzjonali (fi Franza, ir-referenzi SIAF/ANSSI); eIDAS 2 jemmuni l-qafas Ewropew.
• Il-ġestjoni remotwa ta' dispożittivi kwalifikati ta' ħolqien ta' sinjatura (RQSCD): issa espliċitament inqamra, tsolvi l-ambigwitajiet li qiegħdu pizu fuq is-soluzzjonijt tal-ħoloq ta' sinjatura kwalifikati. Għal PME ta' 50 impjegat, dan ifisser aċċess għal sinjatura kwalifikata mingħajr token fiżiku, minn kwalunkwe apparat.
• Is-servizz ta' registru elettroniku kwalifikat: ir-registri bbażati fuq blockchain jew teknoloġiji ta' grand liber distribwit jistgħu issa jiksbu l-istatus kwalifikat, iftaħ it-triq għal mudelli ġodda tal-ġestjoni kuntrattwa.

Biex tmur aktar fuq il-livelli ta' sinjatura u l-valur legali tagħhom, ikkumitza il-gwida kompleta tas-sinjatura elettronika.

2.3 Tissottodefinizzjoni tal-ħtiġat ta' sigurtà għall-fornituri kwalifikati (QTSP)

eIDAS 2 ittiħdid l-obbligazzjonijiet tal-fornituri ta' servizzi ta' fiduċja kwalifikati (QTSP). L-artiklu 24 reviżjat ipponi b'mod partikulari:

• Ċertifikazzjoni ta' cybersikurezza konformi mal-qafas Ewropew (EU Cybersecurity Act, regolament 2019/881), b'skemi setturali qed jiġu żviluppati mill-ENISA.
• Ħtiġat rinfurzati fil-kuntest ta' rezzistenza operazzjonali: il-QTSP għandhom issa dokumentaw il-pjan ta' kontinwità tal-biznizz tagħhom u jissottomettuh lill-organiżmu ta' sorveglianza nazzjonali tagħhom (fi Franza, l-ANSSI għall-fornituri kwalifikati).
• Obbligazzjoni ta' notifika tal-inċidenti ta' sigurtà f'24 siegħa (allinjament ma' NIS 2).

Għall-PME li jużaw, dan jittradotta f'obbligazzjoni ta' diligenza accru fil-għażla tal-fornittur: ivverifika li s-soluzzjoni tiegħek tal-sinjatura tikkonċerna l-lista ta' Fiduċja Ewropea aġġornata hija issa pass kritiku tal-proċess ta' akkwist tiegħek. Il-komparazzjoni tas-soluzzjonijt tas-sinjatura elettronika tiegħna tista' tgħink f'din l-analiżi.

2.4 Interoperabilità obbligatorja tal-iskemi ta' identità

Fejn eIDAS 1 ħalla l-Istati Membri l-libertà li jnotifikaw (jew le), eIDAS 2 jagħmel in-notifika u l-interoperabilità obbligatorji għall-iskemi ta' identità li jintużaw fis-servizzi pubbliċi online (art. 5). France Identité — l-iskema nazzjonali immexxut mill-ministeru tal-Intern — qed jiġi messa fi konformità mal-ispeċifikazzjonijt tekniċi tal-EUDIW, pubblikati mill-Kummissjoni fir-regolament ta' implimentazzjoni (UE) 2024/2977.

Għal PME li tinteraġixxi regolarment ma' amministrazzjonijt pubbliċi (mirkati pubbliċi, tiddikjarazzjonijt tal-iskont, proċeduri doganali), din l-evoluzzjoni tfisser li l-proċeduri online se jkunu gradwalment uniformi tond identifikatur numeriku unika u rikonoxxuta f'interè l-UE.

2.5 Regoli ġodda ta' responsabilità u sorveglianza

eIDAS 2 tippresċizza u testendi r-reġimi ta' responsabilità tal-fornituri (art. 13 reviżjat). QTSP issa hija presunta responsabbli għal kull ħsara kkawżata lil persuna fiżika jew legali minn brejk ta' obbligazzjonijt tagħha, ħlief biex tippruva l-assenza ta' falta. Din il-presunzjoni ta' responsabilità, rinfurzata meta mqabbla ma' eIDAS 1, għandu jħaffef il-PME biex:

• Iformalizza b'kuntratt l-impenjamenti tal-fornittur tagħhom (SLA, garanziji ta' disponibbiltà, indemnizzazzjoni).
• Ivverifika l-kopertura tal-assikuranza tal-responsabilità ċivili professjonali tal-QTSP.
• Ikonserva l-pruvez tal-awdit tat-transazzjonijt iffirmate (ġurnali ta' timestamp, rapporti ta' verifika ta' sinjatura).

L-ekipi tiegħna rrakkomandaw gwida dettaljata dwar il-sinjatura elettronika fl-impriża li tindirizzja dawn l-aspetti kuntrattwa.

---

3. Tabella komparattiva eIDAS 1 vs eIDAS 2: x'jinbidel konkretament

3.1 Sintesi tal-evoluzzjonijt kbar

| Kriterju | eIDAS 1 (2016-2024) | eIDAS 2 (2024-2026+) | |---|---|---| | Portafoll ta' identità | Assenti | EUDIW obbligatorju (Stati Membri) | | Servizzi kwalifikati | 9 kategoriji | 14-il kategorija (arking, RQSCD, registri…) | | Notifika ta' iskemi | Faċultattiva | Obbligatorja għas-servizzi pubbliċi | | Sigurtà QTSP | Kriterji Common Criteria | Cybersecurity Act + iskemi ENISA | | Responsabilità QTSP | Parzjali | Presunzjoni ta' responsabilità rinfurzata | | Morћa ta' notifika ta' inċident | Mhux speċifikat | 24 siegħa (allinjament NIS 2) | | QSCD mobil | Ambigwità legali | RQSCD espliċitament inqamra |

3.2 Il-morћat ewlenin li għandhom jitkellmu għall-2026

• Mejju 2024: daħl fil-ħlas tar-regolament (UE) 2024/1183.
• Novembru 2026: tmiem tal-morћa għall-iskop li kull Stat Membru joffri mill-inqas soluzzjoni EUDIW ċertifikata.
• 2027: obbligazzjoni għall-pjattaformi kbar (art. 45bis) li jaċċettaw l-EUDIW bħala mezz ta' awtorentar.
• 2028: reviżjoni ppjanata tal-atti ta' implimentazzjoni tekniċi (regolamenti delgati fuq l-ispeċifikazzjonijt EUDIW).

Jekk il-PME tiegħek qed tikkunsidra li migrazzjoni lejn soluzzjoni aktar konformi, l-oferta ta' migrazzjoni lejn Certyneo tinkludi awdit ta' konformità eIDAS 2 offrut.

---

4. Pjan ta' azzjoni prattiċi biex tagħmel il-PME tiegħek konformi ma' eIDAS 2

4.1 Awdit tal-fluss dokumentarji attwali tiegħek

Ibda b'mappa tal-proċessi kollha li inti attwalment taħdem bil-użu ta' sinjatura elettronika jew identità numerika: kuntratti tal-fornituri, buletin ta' paga dematerializzati, mandati SEPA, ftehimiet ta' kunfidenzjalità, atti RH. Għal kull fluss, identifika:

• Il-livell ta' sinjatura li jintużaw (SES, AdES, QES).
• Il-fornittur attwali u l-istatus tiegħu fuq il-Lista ta' Fiduċja.
• Il-livell ta' riskju legali f'każ ta' kuntest.

Dan l-awdit hija l-punt ta' tluq rakkomandat mill-ANSSI fil-gwida tal-konformità tal-mitta ta' Marzu 2025.

4.2 Aġġorna s-soluzzjoni tas-sinjatura tiegħek

Jekk il-fornittur attwali tiegħek ma jkunx fuq il-Lista ta' Fiduċja eIDAS 2 jew ma jipprovdix aktar RQSCD, issa hu l-ħin biex tqabbel l-offerti tal-merkaz. Certyneo hija QTSP ċertifikata li tkuntrolla t-tliet livelli ta' sinjatura (SES, AdES, QES) u tintegra b'mod nattivu r-rekwiżiti ġodda ta' eIDAS 2, b'mod partikulari l-arking kwalifikat u l-ġestjoni remotwa ta' dispożittivi.

4.3 Tħaffef tal-ekipi tiegħek u aġġorna l-kuntratti tiegħek

eIDAS 2 rinfurzat il-valur pruwa tas-sinjature kwalifikati iżda jimpiedi wkoll il-prattiki dokumentarji tajba. Ikkonfirma li l-ekipi legali u amministrattivi tiegħek:

• Jistgħu jiddistingwu t-tliet livelli ta' sinjatura u l-valur legali rispettiv tagħhom.
• Jintegraw fil-kuntratti tal-fornituri klawsola ta' awdit ta' konformità eIDAS.
• Jikonservaw il-pruvez ta' verifika ta' sinjatura (rapport ta' validazzjoni, timestamp kwalifikat) għad-durazzjoni legali ta' konservazzjoni applikabbli (3 sa 10 snin skond in-natura tal-att).

Biex tistruttura din l-approċċ, il-kalkulator ROI tas-sinjatura elettronika tiegħna jippermettilak li tikwantifika l-ħamsa operazzjonali relatata mal-aġġornament.

Il-qafas legali applikabbli

Testi ta' referenza

Il-konformità ma' eIDAS 2 għal PME Franċiża titħadden f'istakkjar normattiv li hu essenzjali li tkun mifhuma.

Ir-regolament (UE) 2024/1183 tal-Parlament Ewropew u tal-Kunsill (imsejjaħ « eIDAS 2 »): dan hu t-test fondatur, ippubblika fil-JOUE fil-30 ta' Aprili 2024. Jabbrogħa u jissostituixxi r-regolament (UE) nru 910/2014 skond skedula ta' impjantaġġ gradwali sa 2027. Huwa ta' applikazzjoni diretta f'stati membri kollha, mingħajr bżonn ta' transpoċizzjoni legislattiva nazzjonali għad-dispozizzjonijt ewlenin tiegħu.

Ir-regolament (UE) nru 910/2014 (eIDAS 1): ċerti dispozizzjonijt tiegħu jibqgħu applikabbli matul il-perbjodi tranżitorji previsti minn eIDAS 2, b'mod partikulari għall-fornituri kwalifikati li ksbu l-kwalifikazzjoni qabel ta' Mejju 2024 u għandhom morћa ta' soqqa biex jeġu ri-ċertifikati.

Kodiċi ċivili Franċiż, artikli 1366 u 1367: l-artiklu 1366 jpoġġi l-prinċipju ta' ekwivalenza bejn il-miktub elettroniku u l-miktub tal-karta, taħt ir-riżerva li «il-persuna li għaliha pettina tista' tkun duttament identifikata u tilibest u konservata f'kundizzjonijt li huwa natural li tiggwarantixxi l-integrità tagħha». L-artiklu 1367 jirrikonoxxu s-sinjatura elettronika bħala mod ta' pruvez, li jagħmel referenza għall-kundizzjonijt stabbiliti b'dekret f'Kunsill ta' Stat (dekret nru 2017-1416 ta' 28 Settembru 2017, kodifikat fl-artikli R. 1369-1 sa R. 1369-10 tal-Kodiċi ċivili).

Ir-regolament (UE) 2016/679 (GDPR): l-impjantaġġ ta' EUDIW u l-ipproċessar tal-attributi ta' identità fil-fluss tas-sinjatura elettronika jiffurmaw il-prjattaċat ta' data personali fil-kuntest ta' GDPR. Il-PME għandhom jiċċekkjaw li QTSP tiegħhom jaġixxi bħala sub-proċessattur fil-kuntext tal-artiklu 28 GDPR, b'DPA (Data Processing Agreement) konformi. Il-CNIL ippubblika f'Jannar 2026 rakkomandazzjoni speċifika dwar l-integrazzjoni EUDIW-GDPR.

Direttiva (UE) 2022/2555 (NIS 2): eIDAS 2 hija allinjata espliċitament ma' NIS 2 għall-obbligazzjonijt ta' notifika ta' inċidenti (art. 24, §2 eIDAS 2 magħdha ara l-dispozizzjonijt NIS 2). Il-QTSP huma kkunsidrati bħala entitajiet «essenzjali» jew «importanti» fil-kuntest ta' NIS 2 skond id-daqs tagħhom, u sottomessi b'dan it-titolu għal awditi ta' sigurtà regolari.

Istandardi ETSI: is-sinjature elettronike kwalifikati għandhom irrespettaw l-istandardi ETSI EN 319 132-1 (XAdES), ETSI EN 319 122-1 (CAdES), ETSI EN 319 162-1 (ASiC) u ETSI EN 319 102-1 (proċedura ta' validazzjoni). L-istandard ETSI TS 119 461 jinqamar il-verifika remotwa ta' identità (IDV), partikolarment rilevanti għal RQSCD.

Riskji legali f'każ ta' non-konformità

L-użu ta' soluzzjoni ta' sinjatura elettronika li mhix konformi ma' eIDAS 2 jesponi l-PME għal diversi riskji:

• Irrecepibilità fil-ġustizzja: ġudikatur jista' jeskludu sinjatura elettronika li l-livell tiegħu ma jikkorrispondix mal-att iffirmat (ex: sinjatura sempliċi għal att li jeħtieġ livell avvanzat jew kwalifikat).
• Responsabilità kuntrattwa: jekk kuntratt jkun ikkontestat minn partner bl-argument ta' nullità tas-sinjatura, il-PME tista' tkun esposta għal talabiet ta' indennizz.
• Sanzzjonijt GDPR: f'każ ta' brejk ta' data relatat ma' difett ta' sigurtà tal-fornittur, il-PME, ko-responsabbli jew responsabbli tal-ipproċessar, tista' tiġi sanzjonata mill-CNIL sal-4% ta' fatwirat annjwali globali (art. 83 §4 GDPR).

Senjarji ta' użu konkrit

Senjarjo 1: PME industrijali ta' 80-il impjegat li timella 400-il kuntratti tal-fornituri kull sena

PME tas-settur tal-metallurgija li ttrattat madwar 400-il kuntratti tal-fornituri annwali uża sal-2024 soluzzjoni ta' sinjatura elettronika sempliċi (SES) għall-alvu ta' engaġamenti, inklużi kuntratti qafas li jaqbgħu għal aktar minn 50,000 €. Wara awdit ta' konformità eIDAS 2, tilliftha li 35% tal-kuntratti tagħha jridu sinjatura avvanzata jew kwalifikata biex jirreżistu kuntest ġudizzjarju, b'mod partikulari ma' fornituri stabiliti f'Stati Membri oħra tal-UE.

Billi migriet lejn soluzzjoni li kkombinaw sinjatura avvanzata (AdES) għall-kuntratti ordinarji u kwalifikata (QES) għall-kuntratti qafas, u billi attivat l-arking elettroniku kwalifikat (servizz ġdid eIDAS 2), din il-PME naqqas b'70% il-ħin deddikat għall-ġestjoni dokumentarja wara-sinjatura (klassifikazzjoni, tfittxija, trażmissjoni ta' kopji ċertifikati) u naqqas għal żero il-litigji relatati mal-kuntest ta' sinjatura fuq 18-il xahar wara, meta mqabbla ma' żewġ inċidenti l-18-il xahar qabel.

Senjarjo 2: kabinett ta' konsulenza legali ta' 15-il kollaboratur

Kabinett speċjalizzat f'dritt tal-affariet, li jemmetti f'medja 1,200 atti iffirmate kull sena (ittri ta' missjoni, mandati, ftehimiet ta' kunfidenzjalità), kienet tgħaddi minn talba dejqa mill-klijenti tal-korporattiv għal sinjature kwalifikati rikonoxxibli f'interè l-UE. Taħt eIDAS 1, l-attenwazzjoni ta' ċertifikat kwalifikat kienet teħtieġ proċedura ta' wiċċ-il-wiċċ jew verifika tal-vidjo twila (45 sa 90 minuta per użu).

Falwħ ir-RQSCD (Remote Qualified Signature Creation Device) inkwadrat minn eIDAS 2, il-kabinett seta' jimpjanta s-sinjatura kwalifikata għall-ekipi kollha ta' kollaboraturi tiegħu f'inqas minn sentejn, permezz ta' proċedura tal-iskrivizzjoni 100% remotwa konformi mal-istandard ETSI TS 119 461. It-tul tal-adoption ta' intern spiċċa minn 40% sa 95% f'tliet xahar, u l-morћa medja ta' ritorn tal-atti iffirmate naqqas minn 4.2 ġmiel sa inqas minn 6-il siegħa skond il-kejl intern tal-kabinett.

Senjarjo 3: PME e-commerce li topera f'tliet pajjiżi tal-UE

Kumpanija ta' bejgħ online bi 35 impjegat li topera fi Franza, il-Belġju u l-Olanda kellha timella tliet tipi ta' ftehimiet elettroniċi: kuntratti ta' impjigu għall-impjegati lokali, ftehimiet ta' partneraġġ ma' trasportaturi, u mandati SEPA għall-klijenti professjonali tiegħha. Il-frammissjoni tal-ħtiġat nazzjonali taħt eIDAS 1 obblighithom li zmantnu tliet workflows ta' sinjatura differenti, b'spiża ta' ġestjoni stmata madwar 12,000 € sena.

L-adozzjoni ta' soluzzjoni unika konformi ma' eIDAS 2 — li tinkludi r-rikonoxximent reċiproku tas-sinjature kwalifikati fit-tliet pajjiżi — permethom li junifikaw il-workflows, li naqqas il-batt ta' ġestjoni sa madwar 4,500 € sena (saving ta' 62%) u li telimina l-morћat relatati mal-validazzjoni manwali tas-sinjature barranija mill-servizz legali.

Konklużjoni

eIDAS 2 mhix sempliċi reviżjoni kuzmetika tal-qafas regolatorju: tiddefinixxi profondament ir-regoli tal-logħba tal-fiduċja numerika fl-Ewropa. Għall-PME Franċiżi, il-ħamsa evoluzzjonijt ewlenin — portafoll EUDIW, estensjoni tas-servizzi kwalifikati, RQSCD, interoperabilità obbligatorja u responsabilità rinfurzata — jirrappreżentaw kemm kostrinġiment ta' konformità kif ukoll opportunità biex jaccelerraw it-trasformazzjoni dokumentarja tagħhom.

Il-PME li jbantiċipaw dawn il-bidliet minn issa se jibbenefikaw minn vantaġġ kompetittiv reali: kuntratti rikonoxxuti f'interè l-UE mingħajr frizzjoni, arking b'valur pruwa integrat, u proċessi ta' sinjatura kompletament dematerializzati u siguri.

Certyneo hija