Il portafoglio europeo di identità digitale arriva a dicembre 2026: come prepararsi

Entro il 24 dicembre 2026 ogni Stato membro dell'UE deve rendere disponibile ai propri cittadini e residenti almeno un portafoglio europeo di identità digitale. È un obbligo di legge con una data, non una voce di roadmap.

Un anno dopo, a dicembre 2027, un lungo elenco di organizzazioni sarà tenuto per legge ad accettarlo. Banche, operatori del trasporto, fornitori di energia, servizi sanitari, telecomunicazioni, servizi postali, istituti di istruzione e operatori di infrastrutture digitali sono in quell'elenco, insieme a chiunque sia già obbligato a usare l'autenticazione forte.

Per tutti gli altri l'accettazione è facoltativa. Vale comunque la pena capirlo, perché il portafoglio risolve diversi problemi su cui le aziende oggi spendono denaro vero, e male.

Cos'è davvero il portafoglio

Il portafoglio europeo di identità digitale nasce dal Regolamento eIDAS rivisto, di solito chiamato eIDAS 2. È un'applicazione mobile che contiene attributi di identità verificati e credenziali, rilasciati da soggetti fidati, che un utente può presentare selettivamente a chi li chiede.

Tre proprietà lo distinguono dai sistemi di identità che oggi usa la maggior parte dei siti.

È sostenuto dallo Stato. L'identità nel portafoglio deriva da uno schema nazionale di identità elettronica. Non è un profilo auto-dichiarato.

Supporta la divulgazione selettiva. Un utente può provare di avere più di diciotto anni senza rivelare la data di nascita, o provare la residenza in uno Stato membro senza rivelare l'indirizzo. È la parte con le maggiori conseguenze pratiche per il design di prodotto.

Funziona a livello transfrontaliero. Un portafoglio rilasciato in Slovenia deve essere accettato dalle parti facenti affidamento in Germania. È l'intero scopo del regolamento, ed è esattamente ciò che gli schemi nazionali non sono riusciti a dare.

Accanto ai portafogli per i cittadini, la Commissione ha proposto un portafoglio europeo per le imprese per le persone giuridiche, orientato a rappresentanza, deleghe e scambio di documenti ufficiali tra imprese e pubbliche amministrazioni. Quella proposta è arrivata con il pacchetto Digital Omnibus a novembre 2025 e sta procedendo in Parlamento, con la bozza di relazione del relatore pubblicata a marzo 2026. È più lontano, ma è il dossier da tenere d'occhio se il vostro prodotto tocca identità aziendale, deleghe o scambio documentale tra imprese.

A che punto è davvero l'attuazione

La maturità varia moltissimo per Stato membro, e conviene esserne realisti.

Diversi paesi hanno rilasciato implementazioni nazionali in anticipo sulla scadenza. La Francia ha France Identité, l'Austria ha eAusweise, l'Italia ha IT-Wallet. Altri sono più indietro, e alcuni arriveranno alla scadenza di dicembre 2026 con una prima versione limitata anziché con l'insieme completo di funzionalità.

Gli Stati membri possono soddisfare l'obbligo in tre modi: costruire e rilasciare essi stessi un portafoglio, incaricarne un terzo, o riconoscere un portafoglio costruito dal settore privato. Significa che l'ecosistema con cui vi integrerete non sarà uniforme, ed è esattamente per questo che contano le specifiche di interoperabilità.

Il ruolo di parte facente affidamento

Se volete accettare credenziali del portafoglio, diventate parte facente affidamento, e questo è un ruolo registrato, non informale.

Il processo, in sintesi:

Registrarsi presso il registro nazionale. Dichiarate quali attributi intendete richiedere e per quale finalità. È un controllo vero, non un modulo. Non potete registrarvi per chiedere l'intero set di dati identificativi di un cittadino perché un giorno potrebbe servire.
Ottenere i certificati di accesso di parte facente affidamento. Vi autenticano verso i portafogli e permettono agli utenti di vedere chi sta chiedendo.
Implementare i protocolli di presentazione. Richiedere credenziali, ricevere una presentazione, verificarla.
Verificare crittograficamente. Validazione della firma, validazione della catena di fiducia rispetto all'elenco di fiducia dell'UE, controllo di revoca.
Chiedere il minimo. La minimizzazione dei dati qui è imposta strutturalmente. Se vi siete registrati per verificare l'età, potete chiedere un'asserzione di età, non una data di nascita.

Quest'ultimo punto merita enfasi perché ribalta la solita integrazione di identità. Nella maggior parte dei sistemi ricevete un payload e decidete cosa tenere. Qui dichiarate in anticipo cosa potete chiedere, e l'architettura vi impedisce di raccogliere in eccesso. È un modello genuinamente migliore, e rende molto più corta la vostra valutazione d'impatto sulla verifica dell'identità.

Gli standard che incontrerete

Lo stack tecnico attinge a diverse specifiche, e se state dimensionando il lavoro, questi sono gli acronimi che compariranno:

ISO/IEC 18013-5, lo standard della patente di guida mobile, che fornisce il modello di presentazione in prossimità e buona parte del ragionamento sui formati di credenziale.
W3C Verifiable Credentials, per il modello dati delle credenziali.
OpenID for Verifiable Presentations e OpenID for Verifiable Credential Issuance, per i flussi di richiesta ed emissione sul web.
SD-JWT, per la divulgazione selettiva di singole dichiarazioni.
L'EUDI Architecture and Reference Framework, pubblicato dalla Commissione, che lega tutto insieme e che dovreste leggere prima di stimare qualsiasi cosa.

Nulla di esotico se il vostro team ha lavorato con OpenID Connect. È però significativamente diverso da un'integrazione di login SAML o OIDC, perché verificate credenziali crittograficamente anziché fidarvi dell'asserzione di sessione di un fornitore di identità.

Dove il portafoglio risolve un problema reale

A parte la conformità, ci sono vari punti in cui questo è semplicemente meglio di ciò che esiste oggi.

Verifica dell'età

È il caso d'uso più immediato, e viene spinto con forza. La Commissione europea ha esortato gli Stati membri a dotarsi di soluzioni di verifica dell'età entro il 31 dicembre 2026, e ha pubblicato un'applicazione open source per la verifica dell'età come ponte finché i portafogli non saranno ampiamente disponibili. L'obiettivo di progettazione è che una piattaforma riceva solo un token di età, un sì o un no, senza data di nascita né altri attributi.

Se gestite qualcosa con restrizione di età, alcolici, gioco, contenuti per adulti, certi prodotti finanziari, o una piattaforma soggetta alle aspettative del Regolamento sui servizi digitali sulla protezione dei minori, questo è il meccanismo che vi permette di verificare l'età senza costruire un archivio di documenti d'identità scansionati. Quell'archivio è una passività che oggi portate senza una buona ragione.

Onboarding e KYC

L'onboarding regolamentato oggi significa caricamento di documenti, controlli di vitalità, revisione manuale e coda. Una presentazione dal portafoglio sostituisce tutto ciò con una verifica crittografica che si completa in secondi, con maggiore affidabilità e senza immagini di documenti da conservare.

Per banche, assicurazioni, servizi cripto e chiunque faccia KYC, la differenza di costo è significativa. Elimina anche il dataset più sensibile che la maggior parte delle aziende detiene.

Servizi transfrontalieri

Se servite clienti in più Stati membri, oggi mantenete integrazioni con un mosaico di schemi nazionali, oppure rinunciate e scansionate documenti ovunque. Una sola integrazione di portafoglio li copre tutti.

Meno attrito nei moduli

Nome, indirizzo e recapiti verificati presentati in un'azione invece di essere digitati in un modulo. È un miglioramento di conversione oltre che di qualità dei dati.

Cosa fare adesso

La risposta onesta per la maggior parte delle aziende è: non molto ancora, ma alcune cose sono economiche e valgono la pena.

Se siete una parte facente affidamento obbligata, con scadenza a dicembre 2027, iniziate ora. I processi di registrazione sono nuovi e lenti, le implementazioni nazionali variano, e vorrete fare un pilota su un mercato prima di impegnarvi. Dodici mesi non sono generosi per un'integrazione regolamentata.

Se non siete obbligati ma fate verifica dell'età, guardatelo seriamente nei prossimi trimestri. Conservare documenti d'identità per verificare se qualcuno ha diciotto anni è un cattivo scambio, e ora esiste un'alternativa.

Se fate KYC o verifica dell'identità, modellate il risparmio. La nostra esperienza è che il business case regge da solo, senza alcun argomento di conformità.

Se nulla di quanto sopra si applica, fate una cosa: assicuratevi che il vostro strato di identità sia astratto. Se il codice applicativo chiama un servizio di autenticazione anziché l'SDK di un fornitore specifico, aggiungere il supporto al portafoglio più avanti sarà un nuovo adattatore. Se la logica di login è sparsa tra i controller, sarà una riscrittura.

Cosa andrà storto

In base a come vanno di solito questi rilasci, aspettatevi quanto segue.

Disponibilità disomogenea. Alcuni Stati membri partiranno con funzionalità limitate. Costruite per il caso in cui un utente in un paese abbia un portafoglio completo e uno in un altro no, e mantenete il vostro percorso di ripiego esistente.

Adozione lenta. Disponibilità non è utilizzo. Anche nei paesi con schemi eID nazionali maturi la penetrazione ha richiesto anni. Non rimuovete i percorsi alternativi.

Attrito nella registrazione. Le procedure dei registri nazionali sono nuove. Prevedete più tempo di quanto suggerisca la documentazione.

Deriva delle specifiche. L'Architecture and Reference Framework è stato rivisto più volte e lo sarà ancora. Isolate la gestione dei protocolli dietro un'interfaccia perché un aggiornamento di specifica non tocchi la logica di business.

Dove si colloca

Il portafoglio è uno dei pezzi più costruttivi dell'attuale agenda digitale europea. Gran parte del resto impone obblighi. Questo, una volta che funzionerà, elimina un'intera categoria di infrastruttura costosa e rischiosa che le aziende costruiscono oggi perché non hanno alternative.

La nostra guida alla conformità digitale UE 2026 mostra come si colloca accanto alle altre scadenze, e la guida GDPR orientata all'ingegneria copre lo strato di protezione dei dati che ogni lavoro sull'identità deve soddisfare.

Costruiamo sistemi di autenticazione e identità per aziende che operano nell'UE, e stiamo lavorando ora su integrazioni di parte facente affidamento. Se volete aiuto a dimensionare cosa comporterebbe accettare il portafoglio nel vostro stack, o avete un obbligo a dicembre 2027 senza un piano, scrivete a office@c9group.dev. C'è altro sul nostro lavoro europeo nella pagina sull'ingresso nel mercato europeo.