Ing. Calogero Bono
La Agencia para la Italia Digital (AgID) ha publicado la versión 1.0 del reglamento que define cómo registrarse en el Sistema IT-Wallet y cómo participar en el Espacio de Experimentación. La noticia aparece en el sitio de la agencia, con fecha 29 de octubre de 2026. El texto indica quién hace qué en la cadena de la cartera digital italiana y fija obligaciones de seguridad. Afecta a quien desarrolla servicios, a quien los vende y a quien gestiona datos de clientes.
Algunos términos antes de entrar en los hechos. Un IT-Wallet es la cartera digital italiana, donde se guardan documentos y certificados en el teléfono. Un atestado electrónico de atributos es una prueba digital de un dato, por ejemplo un título o una cualificación. Un verificador es quien comprueba estos atestados. Una fuente auténtica es el ente que custodia el dato original. PEC es el correo electrónico certificado.
¿Qué establece el reglamento?
Según AgID, el documento establece las modalidades operativas para dos cosas. La primera es el registro en el Sistema IT-Wallet. La segunda es la participación en el Espacio de Experimentación, donde AgID guía y coordina a entes públicos y privados en la validación y las pruebas de soluciones técnicas. La agencia dialoga con la ACN, el Departamento para la transformación digital y las demás autoridades competentes.
AgID lo define como un paso importante hacia la puesta en marcha de la cartera digital, que favorece un desarrollo coordinado del ecosistema respetando los requisitos técnicos, de seguridad y de protección de datos.
¿Quién hace qué en la cadena?
El reglamento confirma dos funciones por derecho propio.
- El Instituto Poligráfico y Casa de la Moneda del Estado (IPZS) es proveedor único del Registro y de los Atestados Electrónicos de Datos de Identificación Personal (IT-Wallet ID) y de interés público.
- PagoPA es el único proveedor de la solución IT-Wallet pública.
Para todos los demás existe un procedimiento de registro. Afecta a los proveedores de soluciones IT-Wallet privadas, a los proveedores de atestados electrónicos de atributos, a los verificadores, a los agregadores y a los titulares de fuentes auténticas.
Las obligaciones de seguridad
AgID vigila el cumplimiento de obligaciones concretas. Entre ellas están el tratamiento de los datos del Sistema en infraestructuras ubicadas en la Unión Europea, la monitorización continua de los sistemas y la gestión de incidentes. La agencia conserva la titularidad regulatoria y de control del Registro. Puede verificar los requisitos con el tiempo, hasta suspender o revocar el registro en caso de incumplimiento.
¿Cómo se realiza el registro?
La solicitud pasa por el portal de incorporación puesto a disposición por IPZS, o por otras modalidades indicadas por AgID en su sitio. Mientras el portal no esté plenamente operativo, se usa el formulario anexo al reglamento. Debe firmarse con firma electrónica cualificada o firma digital por el representante legal y enviarse por PEC a protocollo@pec.agid.gov.it.
AgID y la ACN, cada una en su ámbito, pueden realizar comprobaciones con el apoyo de IPZS. Controlan la conformidad con las especificaciones técnicas de las herramientas utilizadas y los requisitos de seguridad.
Si en un plazo de noventa días desde la presentación no llega una denegación, la solicitud se considera aceptada con reserva. La inscripción en el Registro se vuelve efectiva solo tras superar las verificaciones y las pruebas técnicas de validación. La instrucción corre a cargo de AgID, que para la ciberseguridad puede recabar el dictamen de la ACN.
¿Cómo funciona el Espacio de Experimentación?
Es un entorno controlado donde los sujetos registrados pueden realizar validación, pruebas, integración y monitorización de soluciones técnicas. Se necesita una solicitud de admisión ante AgID para uno o varios proyectos. Para probar funciones, servicios, casos de uso o modalidades aún no previstos por el marco normativo o por las especificaciones técnicas, hay que presentar un proyecto, con el modelo anexo al reglamento.
Antes de la solicitud formal se puede pedir una consulta informal con AgID y el DTD sobre la viabilidad del proyecto. Tras la presentación, AgID evalúa, oída la ACN para la ciberseguridad y el Departamento para la transformación digital para la coherencia con las orientaciones estratégicas nacionales.
Límites que conviene conocer
La fuente es un comunicado institucional y no un análisis independiente. No indica cuándo el portal de incorporación estará plenamente operativo. No dice cuántos sujetos se han registrado ya ni qué servicios privados llegarán primero. No recoge costes de adhesión ni plazos de las pruebas técnicas de validación.
El reglamento es la versión 1.0, por lo que puede actualizarse. El texto completo y los anexos están en el sitio de AgID y no los hemos resumido aquí línea por línea. Antes de actuar, léelos.
Qué cambia para quien trabaja con lo digital
Por ahora cambia sobre todo para quien quiera ser proveedor, verificador o agregador. Hace falta un representante legal con firma cualificada, un PEC y una infraestructura que trate los datos en territorio de la UE. Quien gestione servidores deberá saber dónde están físicamente los datos y cómo se monitorizan. Sobre esto está el tema del hosting y los servidores gestionados con actualizaciones de seguridad.
Para una empresa que no será proveedora, el efecto es más indirecto. Un atestado digital podría algún día sustituir documentos en papel o tarjetas. Hemos hablado de ello para los clientes en la guía sobre la tarjeta digital en la cartera del cliente. Quien emite títulos, por ejemplo cursos en línea, puede leer cómo se gestionan hoy los certificados de finalización para entender qué habrá que volver verificable. Sin embargo, el reglamento no dice que estos casos entren en el sistema.
En cuanto a los datos personales, el marco se relaciona con el tema de la identidad digital, ya tratado en este artículo sobre las pymes. En un sector sensible como el sanitario, vale lo escrito sobre el consentimiento informado en tableta.
Nuestra opinión
El reglamento es útil porque pone orden. Distingue los roles públicos de los privados y prevé suspensión y revocación. Es una buena señal para quien teme un mercado sin reglas. También nos gusta el espacio de experimentación con una consulta informal previa, que reduce el coste del error.
Vemos, sin embargo, dos riesgos. El primero es la carga burocrática. Una PEC con firma cualificada del representante legal es accesible para un gran operador, pero menos para una pequeña software house. El segundo es la aceptación con reserva tras noventa días, que deja a la empresa en una zona gris hasta las pruebas. Son valoraciones nuestras, no datos de la fuente. La verdadera prueba será el portal de incorporación.
Preguntas frecuentes
¿Quién gestiona el IT-Wallet público?
PagoPA es el único proveedor de la solución pública. IPZS, en cambio, es proveedor único del Registro y de los atestados de identificación personal y de interés público. AgID conserva la titularidad regulatoria y de control del Registro.
¿Cómo se presenta la solicitud de registro?
A través del portal de incorporación de IPZS u otras modalidades indicadas por AgID. En la fase de primera aplicación se usa el formulario anexo, firmado por el representante legal y enviado por PEC.
¿Cuánto tiempo se tarda en quedar registrado?
Depende de las verificaciones. La solicitud se acepta con reserva si en noventa días no llega una denegación. La inscripción en el Registro es efectiva solo tras las verificaciones y las pruebas técnicas.
¿Los datos pueden estar fuera de la Unión Europea?
Según el comunicado, no para el tratamiento de los datos del Sistema. Las obligaciones prevén infraestructuras ubicadas en la Unión Europea.
¿Se pueden probar servicios aún no previstos?
Sí, pero dentro de un camino preciso. Se necesita un proyecto de experimentación presentado a AgID con el modelo anexo. Antes se puede pedir una consulta informal con AgID y el DTD.
Qué vigilar en los próximos meses con el IT-Wallet
La cuestión es si el portal de incorporación llegará y con qué plazos. Mientras tanto, puedes prepararte.
- Lee el reglamento y los anexos en el sitio de AgID y comprueba en qué categoría estarías.
- Revisa dónde están alojados los datos de tus sistemas y cómo se monitorizan.
- Si tienes una idea de servicio fuera de lo común, valora la consulta informal con AgID y el DTD antes del proyecto. Para desarrollar, el desarrollo de software a medida puede ayudarte a integrar los sistemas.
