Ing. Calogero Bono
イタリアのデジタル庁AgIDは、IT-Walletシステムへの登録方法と、実証実験スペース（Spazio di Sperimentazione）への参加方法を定めた規則のバージョン1.0を公開しました。発表はAgIDのサイトに掲載されており、日付は2026年10月29日です。本文は、イタリアのデジタル財布に関わる各関係者の役割を示し、セキュリティ上の義務を定めています。サービスを開発する人、それを販売する人、顧客データを管理する人すべてに関係する内容です。
まず用語を確認しておきます。IT-Walletは、書類や資格証明をスマートフォンに保存しておくイタリアのデジタル財布です。属性証明電子データは、学位や資格などの情報を証明するデジタルな証明書です。検証者は、これらの証明書を確認する主体です。正式情報源は、元となるデータを保持する機関です。PECは認証付きの電子メールです。
規則の内容
AgIDによると、この文書は次の二つの運用手続きを定めています。一つ目はIT-Walletシステムへの登録です。二つ目は実証実験スペースへの参加で、AgIDが公的機関と民間の関係者を導き、技術的ソリューションの検証とテストを調整します。AgIDはACN、デジタル変革局（DTD）、その他の所管当局とも連携しています。
AgIDはこれを、デジタル財布の本格運用に向けた重要な一歩と位置づけています。技術、セキュリティ、データ保護の要件を守りながら、エコシステムを調和して発展させることを目的としています。
各関係者の役割
規則は、法律上の二つの役割を確認しています。
- 国立造幣局（IPZS）は、登録簿と個人識別属性証明電子データ（IT-Wallet ID）、および公益に関わる証明の唯一のプロバイダです。
- PagoPAは、公的IT-Walletソリューションの唯一のプロバイダです。
それ以外の関係者には登録手続きがあります。対象は、民間のIT-Walletソリューション提供者、属性証明電子データの提供者、検証者、アグリゲーター（集約事業者）、正式情報源の保有者です。
セキュリティ上の義務
AgIDは、明確に定められた義務の遵守を監督します。これには、システムのデータをEU域内に所在するインフラで処理すること、システムの継続的な監視、インシデント管理が含まれます。AgIDは登録簿に対する規制上および管理上の権限を保持します。要件は時間をかけて検証され、違反があれば登録の停止や取消しもありえます。
登録の手続き
申請はIPZSが提供するオンボーディング用ポータル、またはAgIDがサイトで案内するその他の方法から行います。ポータルが完全に稼働するまでは、規則に添付された様式を使用します。様式には法定代表者が適格電子署名またはデジタル署名を付し、protocollo@pec.agid.gov.it宛にPECで送付します。
AgIDとACNは、それぞれの権限の範囲内で、IPZSの支援を受けながら検証を行うことができます。使用される機器が技術仕様に適合しているか、セキュリティ要件を満たしているかを確認します。
申請の提出から90日以内に拒否の通知がなければ、申請は条件付きで受理されたとみなされます。登録簿への登録は、技術的な検証とテストに合格した後にはじめて有効になります。審査はAgIDが行い、サイバーセキュリティに関してはACNの意見を求めることができます。
実証実験スペースの仕組み
登録済みの関係者が、技術的ソリューションの検証、テスト、統合、監視を行える管理された環境です。一つ以上のプロジェクトについてAgIDへ参加申請が必要です。法的枠組みや技術仕様でまだ想定されていない機能、サービス、ユースケース、方式を試す場合は、規則に添付された様式でプロジェクトを提出しなければなりません。
正式な申請の前に、プロジェクトの実現可能性についてAgIDおよびDTDと非公式に相談することもできます。申請後、AgIDはサイバーセキュリティについてACNの意見を聞き、国の戦略方針との整合性についてデジタル変革局の意見を聞いたうえで審査します。
把握しておくべき制約
出典は公的機関の発表文であり、独立した分析ではありません。オンボーディング用ポータルがいつ完全に稼働するかは示されていません。すでに何社が登録したのか、どの民間サービスが最初に登場するのかも明らかではありません。参加費用や技術的検証テストの期間も記載されていません。
規則はバージョン1.0であり、今後更新される可能性があります。全文と添付資料はAgIDのサイトにあり、ここでは一行ずつ要約していません。手続きを進める前に必ず目を通してください。
デジタル業務に携わる人への影響
当面は、提供者、検証者、アグリゲーターとして参加したい人にとって影響が大きいです。法定代表者による適格署名、PEC、EU域内でデータを処理するインフラが必要です。サーバーを管理する人は、データが物理的にどこにあり、どのように監視されているかを把握しておく必要があります。この点についてはセキュリティ更新付きのホスティングとサーバー管理も関係してきます。
将来的に提供者とならない企業への影響は、より間接的です。デジタル証明書がいつか紙の書類やカードに代わる可能性があります。顧客向けには、ウォレット内のデジタル会員証に関するガイドでその点を取り上げています。オンラインコースの修了証を発行する人は、修了証の発行方法を読めば、将来どの情報を検証可能にすべきかが分かります。ただし、規則はこうしたケースがシステムに含まれるとは述べていません。
個人データについては、デジタルIDのテーマとつながっています。これは中小企業に関するこの記事で取り上げたものです。医療のような繊細な分野では、タブレットでのインフォームドコンセントについて書いた内容が当てはまります。
私たちの見解
この規則は有益です。役割を公的なものと民間のものに分け、停止と取消しを定めているからです。ルールのない市場を心配する人にとって、良い兆しです。事前の非公式相談を伴う実証実験スペースも、間違いのコストを下げるという点で評価できます。
ただし、二つのリスクがあると考えています。一つ目は事務的な負担です。法定代表者による適格署名付きのPECは、大手事業者には容易でも、小規模なソフトウェア会社には負担が大きいでしょう。二つ目は、90日後の条件付き受理です。テストが終わるまで企業が曖昧な立場に置かれることになります。これらは私たちの評価であり、出典の内容ではありません。本当の試金石はオンボーディング用ポータルです。
よくある質問
公的IT-Walletを運営しているのは誰ですか？
公的ソリューションの唯一のプロバイダはPagoPAです。IPZSは登録簿および公益に関わる個人識別証明の唯一のプロバイダです。AgIDは登録簿に対する規制上および管理上の権限を保持しています。
登録申請はどのように行いますか？
IPZSのオンボーディング用ポータル、またはAgIDが案内するその他の方法を通じて行います。初期段階では、法定代表者が署名し、PECで送付する添付様式を使用します。
登録までにどのくらい時間がかかりますか？
検証の内容によります。90日以内に拒否の通知がなければ、条件付きで受理されます。登録簿への登録は、検証と技術テストを経てはじめて有効になります。
データはEU域外に置くことができますか？
発表によると、システムのデータ処理についてはEU域外が認められていません。義務としてEU域内に所在するインフラが求められています。
まだ想定されていないサービスを試すことはできますか？
できますが、決められた手順があります。添付様式を使い、AgIDに実証実験プロジェクトを提出する必要があります。その前に、AgIDおよびDTDと非公式に相談することもできます。
IT-Walletの今後数か月の注目点
焦点は、オンボーディング用ポータルが稼働するかどうか、そしてそれがいつになるかです。その間にも準備はできます。
- AgIDのサイトで規則と添付資料を読み、自社がどの区分に該当するかを確認してください。
- 自社システムのデータがどこに保存され、どのように監視されているかを確認してください。
- 型にはまらないサービスのアイデアがあるなら、プロジェクトに入る前にAgIDおよびDTDとの非公式相談を検討してください。開発には、オーダーメイドのソフトウェア開発がシステム連携に役立つかもしれません。
