Ing. Calogero Bono
Die Agentur für digitale Italien (AgID) hat Version 1.0 der Verordnung veröffentlicht, die festlegt, wie man sich beim IT-Wallet-System registriert und wie man am Erprobungsraum teilnimmt. Die Meldung steht auf der Website der Agentur und ist vom 29. Oktober 2026 datiert. Der Text legt fest, wer in der Kette des digitalen italienischen Wallets welche Aufgabe hat, und setzt Sicherheitspflichten fest. Er betrifft alle, die Dienste entwickeln, sie verkaufen oder Kundendaten verwalten.
Ein paar Begriffe vorab, bevor es um die Fakten geht. Ein IT-Wallet ist das digitale italienische Portemonnaie, in dem man Dokumente und Nachweise auf dem Smartphone speichert. Ein elektronischer Attributnachweis ist ein digitaler Beleg für eine Angabe, zum Beispiel einen Abschluss oder eine Qualifikation. Ein Verifizierer ist, wer diese Nachweise prüft. Eine autorisierte Quelle ist die Stelle, die das Originaldatum besitzt. PEC ist die zertifizierte E-Mail (Posta Elettronica Certificata).
Was regelt die Verordnung?
Laut AgID legt das Dokument die operativen Abläufe für zwei Dinge fest. Das erste ist die Registrierung im IT-Wallet-System. Das zweite ist die Teilnahme am Erprobungsraum, in dem AgID öffentliche und private Akteure bei der Validierung und beim Testen technischer Lösungen anleitet und koordiniert. Die Agentur stimmt sich mit ACN, dem Dipartimento per la trasformazione digitale und weiteren zuständigen Behörden ab.
AgID bezeichnet das als wichtigen Schritt hin zum Betrieb der digitalen Brieftasche, der eine abgestimmte Entwicklung des Ökosystems unter Einhaltung der technischen, sicherheitsrelevanten und datenschutzrechtlichen Anforderungen fördert.
Wer macht was in der Kette?
Die Verordnung bestätigt zwei Rollen kraft Gesetzes.
- Das Staatliche Münz- und Druckamt (Istituto Poligrafico e Zecca dello Stato, IPZS) ist alleiniger Anbieter des Registers und der elektronischen Nachweise identifizierender Personendaten (IT-Wallet ID) sowie solcher von öffentlichem Interesse.
- PagoPA ist der einzige Anbieter der öffentlichen IT-Wallet-Lösung.
Für alle anderen gibt es ein Registrierungsverfahren. Es betrifft Anbieter privater IT-Wallet-Lösungen, Anbieter elektronischer Attributnachweise, Verifizierer, Aggregatoren und Inhaber autorisierter Quellen.
Die Sicherheitspflichten
AgID überwacht die Einhaltung genauer Pflichten. Dazu gehören die Verarbeitung der Daten des Systems in Infrastrukturen innerhalb der Europäischen Union, die laufende Überwachung der Systeme und das Management von Sicherheitsvorfällen. Die Agentur behält die regulatorische Verantwortung und die Kontrolle über das Register. Sie kann die Anforderungen im Zeitverlauf prüfen und die Registrierung bei Verstößen aussetzen oder entziehen.
Wie registriert man sich?
Der Antrag läuft über das Onboarding-Portal, das IPZS bereitstellt, oder über andere Wege, die AgID auf ihrer Website nennt. Solange das Portal nicht voll funktionsfähig ist, gilt das der Verordnung beigefügte Formular. Es muss vom gesetzlichen Vertreter mit qualifizierter elektronischer Signatur oder digitaler Signatur unterzeichnet und per PEC an protocollo@pec.agid.gov.it geschickt werden.
AgID und ACN können, jeweils in ihrem Zuständigkeitsbereich und mit Unterstützung von IPZS, Prüfungen durchführen. Sie kontrollieren die Konformität mit den technischen Spezifikationen der verwendeten Werkzeuge und die Sicherheitsanforderungen.
Geht innerhalb von neunzig Tagen nach Einreichung keine Ablehnung ein, gilt der Antrag als vorläufig angenommen. Die Eintragung im Register wird erst wirksam, wenn die technischen Prüfungen und Validierungstests bestanden sind. Die Prüfung führt AgID durch, die sich in Sachen Cybersicherheit auf die Stellungnahme von ACN stützen kann.
Wie funktioniert der Erprobungsraum?
Es handelt sich um eine kontrollierte Umgebung, in der registrierte Akteure Validierung, Tests, Integration und Überwachung technischer Lösungen durchführen können. Für ein oder mehrere Projekte ist ein Zulassungsantrag bei AgID nötig. Um Funktionen, Dienste, Anwendungsfälle oder Verfahren zu erproben, die im rechtlichen Rahmen oder in den technischen Spezifikationen noch nicht vorgesehen sind, muss ein Projekt eingereicht werden, und zwar mit dem der Verordnung beigefügten Muster.
Vor dem formellen Antrag kann man ein informelles Gespräch mit AgID und dem DTD über die Machbarkeit des Projekts führen. Nach der Einreichung bewertet AgID das Projekt, wobei ACN für die Cybersicherheit und das Dipartimento per la trasformazione digitale für die Übereinstimmung mit den nationalen strategischen Leitlinien angehört werden.
Grenzen, die du kennen solltest
Die Quelle ist eine amtliche Mitteilung und keine unabhängige Analyse. Sie nennt nicht, wann das Onboarding-Portal voll funktionsfähig sein wird. Sie sagt nicht, wie viele Akteure sich bereits registriert haben und welche privaten Dienste zuerst kommen. Sie nennt weder Beitrittskosten noch die Dauer der technischen Validierungstests.
Die Verordnung ist Version 1.0 und kann daher noch überarbeitet werden. Den vollständigen Text und die Anlagen findest du auf der Website von AgID, wir haben sie hier nicht Zeile für Zeile zusammengefasst. Lies sie, bevor du etwas unternimmst.
Was sich für alle ändert, die mit Digitalem arbeiten
Im Moment betrifft es vor allem diejenigen, die als Anbieter, Verifizierer oder Aggregator auftreten wollen. Nötig sind ein gesetzlicher Vertreter mit qualifizierter Signatur, eine PEC und eine Infrastruktur, die Daten im EU-Gebiet verarbeitet. Wer Server betreibt, muss also wissen, wo die Daten physisch liegen und wie sie überwacht werden. Dazu passt das Thema Hosting und verwaltete Server mit Sicherheitsupdates.
Für ein Unternehmen, das selbst kein Anbieter wird, ist die Wirkung eher indirekt. Ein digitaler Nachweis könnte eines Tages Papierdokumente oder Karten ersetzen. Wir haben darüber für Kunden im Ratgeber zur digitalen Kundenkarte im Wallet geschrieben. Wer Abschlüsse ausstellt, zum Beispiel Online-Kurse, kann nachlesen, wie man heute Teilnahmebescheinigungen verwaltet, um zu verstehen, was künftig überprüfbar gemacht werden muss. Die Verordnung sagt aber nicht, dass diese Fälle in das System fallen.
Beim Thema personenbezogene Daten hängt der Rahmen mit der digitalen Identität zusammen, die in diesem Artikel über KMU behandelt wurde. Für einen sensiblen Bereich wie das Gesundheitswesen gilt, was zur Einwilligung auf dem Tablet geschrieben wurde.
Unsere Einschätzung
Die Verordnung ist nützlich, weil sie Ordnung schafft. Sie trennt öffentliche von privaten Rollen und sieht Aussetzung und Entzug vor. Das ist ein gutes Signal für alle, die einen Markt ohne Regeln fürchten. Gefallen hat uns auch der Erprobungsraum mit vorgelagertem informellem Gespräch, das die Kosten eines Fehlers senkt.
Wir sehen aber zwei Risiken. Das erste ist der bürokratische Aufwand. Eine PEC mit qualifizierter Signatur des gesetzlichen Vertreters ist für einen großen Anbieter leicht machbar, für ein kleines Softwarehaus dagegen weniger. Das zweite ist die vorläufige Annahme nach neunzig Tagen, die das Unternehmen bis zu den Tests in einer Grauzone lässt. Das sind unsere Bewertungen und keine Angaben der Quelle. Die eigentliche Bewährungsprobe wird das Onboarding-Portal sein.
Häufige Fragen
Wer betreibt das öffentliche IT-Wallet?
PagoPA ist der einzige Anbieter der öffentlichen Lösung. IPZS ist dagegen alleiniger Anbieter des Registers und der Nachweise zur persönlichen Identifizierung sowie solcher von öffentlichem Interesse. AgID behält die regulatorische Verantwortung und die Kontrolle über das Register.
Wie stellt man den Registrierungsantrag?
Über das Onboarding-Portal von IPZS oder auf andere Weise, die AgID nennt. In der ersten Anwendungsphase verwendest du das beigefügte Formular, vom gesetzlichen Vertreter unterzeichnet und per PEC verschickt.
Wie lange dauert es, bis man registriert ist?
Das hängt von den Prüfungen ab. Der Antrag gilt als vorläufig angenommen, wenn innerhalb von neunzig Tagen keine Ablehnung kommt. Die Eintragung im Register wird erst nach Prüfungen und technischen Tests wirksam.
Dürfen Daten außerhalb der Europäischen Union liegen?
Laut der Mitteilung nein, zumindest was die Verarbeitung der Daten des Systems betrifft. Die Pflichten sehen Infrastrukturen innerhalb der Europäischen Union vor.
Kann man noch nicht vorgesehene Dienste testen?
Ja, aber auf einem festen Weg. Nötig ist ein Erprobungsprojekt, das bei AgID mit dem beigefügten Muster eingereicht wird. Vorab kannst du ein informelles Gespräch mit AgID und dem DTD führen.
Worauf du in den kommenden Monaten für das IT-Wallet achten solltest
Die entscheidende Frage ist, ob und wann das Onboarding-Portal kommt. Bis dahin kannst du dich schon vorbereiten.
- Lies die Verordnung und die Anlagen auf der Website von AgID und prüfe, in welche Kategorie du fallen würdest.
- Kontrolliere, wo die Daten deiner Systeme liegen und wie sie überwacht werden.
- Wenn du eine Dienstidee hast, die aus dem Rahmen fällt, kläre sie im informellen Gespräch mit AgID und dem DTD, bevor du mit dem Projekt beginnst. Für die Entwicklung kann Individualsoftware-Entwicklung helfen, deine Systeme zu integrieren.
