Ing. Calogero Bono
L'Agenzia per l'Italia Digitale (AgID) ha pubblicato la versione 1.0 del regolamento che definisce come ci si registra al Sistema IT-Wallet e come si partecipa allo Spazio di Sperimentazione. La notizia è sul sito dell'agenzia, datata 29 ottobre 2026. Il testo dice chi fa cosa nella filiera del portafoglio digitale italiano e fissa obblighi di sicurezza. Conta per chi sviluppa servizi, per chi li vende e per chi gestisce dati dei clienti.
Qualche termine, prima di entrare nei fatti. Un IT-Wallet è il portafoglio digitale italiano, dove si tengono documenti e attestati sul telefono. Un attestato elettronico di attributi è una prova digitale di un dato, per esempio un titolo o una qualifica. Un verificatore è chi controlla questi attestati. Una fonte autentica è l'ente che detiene il dato originale. PEC è la posta elettronica certificata.
Cosa prevede il regolamento?
Secondo AgID, il documento stabilisce le modalità operative per due cose. La prima è la registrazione al Sistema IT-Wallet. La seconda è la partecipazione allo Spazio di Sperimentazione, dove AgID guida e coordina soggetti pubblici e privati nella validazione e nei test di soluzioni tecniche. L'agenzia dialoga con ACN, il Dipartimento per la trasformazione digitale e le altre autorità competenti.
AgID lo definisce un passo importante verso l'operatività del portafoglio digitale, che favorisce uno sviluppo coordinato dell'ecosistema nel rispetto dei requisiti tecnici, di sicurezza e di tutela dei dati.
Chi fa cosa nella filiera?
Il regolamento conferma due ruoli di diritto.
- L'Istituto Poligrafico e Zecca dello Stato (IPZS) è fornitore unico del Registro e degli Attestati Elettronici di Dati di Identificazione Personale (IT-Wallet ID) e di interesse pubblico.
- PagoPA è l'unico fornitore della soluzione di IT-Wallet pubblica.
Per tutti gli altri c'è una procedura di registrazione. Riguarda i fornitori di soluzioni IT-Wallet private, i fornitori di attestati elettronici di attributi, i verificatori, i soggetti aggregatori e i titolari di fonti autentiche.
Gli obblighi di sicurezza
AgID vigila sul rispetto di obblighi precisi. Tra questi ci sono il trattamento dei dati del Sistema su infrastrutture localizzate nell'Unione Europea, il monitoraggio continuo dei sistemi e la gestione degli incidenti. L'agenzia mantiene la titolarità regolatoria e di controllo del Registro. Può verificare nel tempo i requisiti, fino a sospendere o revocare la registrazione in caso di inadempimento.
Come ci si registra?
La domanda passa dal portale di onboarding messo a disposizione da IPZS, oppure da altre modalità indicate da AgID sul proprio sito. Finché il portale non è pienamente operativo, serve il modulo allegato al regolamento. Va sottoscritto con firma elettronica qualificata o firma digitale dal legale rappresentante e inviato via PEC a protocollo@pec.agid.gov.it.
AgID e ACN, ciascuna per le proprie competenze, possono fare verifiche con il supporto di IPZS. Controllano la conformità alle specifiche tecniche degli strumenti usati e i requisiti di sicurezza.
Se entro novanta giorni dalla presentazione non arriva un diniego, la domanda si considera accolta con riserva. L'iscrizione al Registro diventa effettiva solo dopo il superamento di verifiche e test tecnici di validazione. L'istruttoria è condotta da AgID, che per la cybersicurezza può avvalersi del parere di ACN.
Come funziona lo Spazio di Sperimentazione?
È un ambiente controllato in cui i soggetti registrati possono fare validazione, test, integrazione e monitoraggio di soluzioni tecniche. Serve una domanda di ammissione ad AgID per uno o più progetti. Per provare funzionalità, servizi, casi d'uso o modalità non ancora previsti dal quadro normativo o dalle specifiche tecniche è necessario presentare un progetto, con il modello allegato al regolamento.
Prima della domanda formale si può chiedere un confronto informale con AgID e DTD sulla fattibilità del progetto. Dopo la presentazione, AgID valuta sentiti ACN per la cybersicurezza e il Dipartimento per la trasformazione digitale per la coerenza con gli indirizzi strategici nazionali.
Limiti da conoscere
La fonte è un comunicato istituzionale e non un'analisi indipendente. Non indica quando il portale di onboarding sarà pienamente operativo. Non dice quanti soggetti si siano già registrati né quali servizi privati arriveranno per primi. Non riporta costi di adesione né tempi dei test tecnici di validazione.
Il regolamento è la versione 1.0, quindi può essere aggiornato. Il testo completo e gli allegati sono sul sito di AgID e non li abbiamo riassunti qui riga per riga. Prima di muoverti, leggili.
Cosa cambia per chi lavora con il digitale
Per ora cambia soprattutto per chi vuole fare da fornitore, verificatore o aggregatore. Serve un legale rappresentante con firma qualificata, una PEC e un'infrastruttura che tratti i dati in territorio UE. Chi gestisce server dovrà quindi sapere dove stanno fisicamente i dati e come si monitorano. Su questo c'è il tema dell'hosting e server gestiti con aggiornamenti di sicurezza.
Per un'impresa che non sarà fornitore, l'effetto è più indiretto. Un attestato digitale potrebbe un giorno sostituire documenti cartacei o tessere. Ne abbiamo parlato per i clienti nella guida sulla tessera digitale nel wallet. Chi emette titoli, per esempio i corsi online, può leggere come oggi si gestiscono gli attestati di completamento per capire cosa andrà reso verificabile. Il regolamento non dice però che questi casi rientrino nel sistema.
Sul fronte dei dati personali, il quadro si lega al tema dell'identità digitale, già trattato in questo articolo sulle PMI. Per un settore sensibile come quello sanitario, vale quanto scritto sul consenso informato su tablet.
Il nostro parere
Il regolamento è utile perché mette ordine. Distingue i ruoli pubblici da quelli privati e prevede sospensione e revoca. Questo è un buon segnale per chi teme un mercato senza regole. Ci piace anche lo spazio di sperimentazione con confronto informale preliminare, che abbassa il costo dell'errore.
Vediamo però due rischi. Il primo è il peso burocratico. Una PEC con firma qualificata del legale rappresentante è accessibile a un grande operatore, meno a una piccola software house. Il secondo è l'accoglimento con riserva dopo novanta giorni, che lascia l'azienda in una zona grigia fino ai test. Sono nostre valutazioni, non dati della fonte. Il vero banco di prova sarà il portale di onboarding.
Domande frequenti
Chi gestisce l'IT-Wallet pubblico?
PagoPA è l'unico fornitore della soluzione pubblica. IPZS è invece fornitore unico del Registro e degli attestati di identificazione personale e di interesse pubblico. AgID mantiene la titolarità regolatoria e di controllo del Registro.
Come si presenta la domanda di registrazione?
Tramite il portale di onboarding di IPZS o altre modalità indicate da AgID. In fase di prima applicazione si usa il modulo allegato, firmato dal legale rappresentante e inviato via PEC.
Quanto tempo serve per essere registrati?
Dipende dalle verifiche. La domanda è accolta con riserva se entro novanta giorni non arriva un diniego. L'iscrizione al Registro è effettiva solo dopo verifiche e test tecnici.
I dati possono stare fuori dall'Unione Europea?
Secondo il comunicato no per il trattamento dei dati del Sistema. Gli obblighi prevedono infrastrutture localizzate nell'Unione Europea.
Si possono provare servizi non ancora previsti?
Sì, ma in un percorso preciso. Serve un progetto di sperimentazione presentato ad AgID con il modello allegato. Prima si può chiedere un confronto informale con AgID e DTD.
Cosa guardare nei prossimi mesi per l'IT-Wallet
Il punto è se il portale di onboarding arriverà e con quali tempi. Nel frattempo puoi prepararti.
- Leggi il regolamento e gli allegati sul sito di AgID e verifica a quale categoria apparterresti.
- Controlla dove sono ospitati i dati dei tuoi sistemi e come vengono monitorati.
- Se hai un'idea di servizio fuori dagli schemi, valuta il confronto informale con AgID e DTD prima del progetto. Per sviluppare, sviluppo di software su misura può servire a integrare i sistemi.
