Ing. Calogero Bono
De Agenzia per l'Italia Digitale (AgID) heeft versie 1.0 van de verordening gepubliceerd die bepaalt hoe je je registreert bij het IT-Wallet-systeem en hoe je deelneemt aan de Proefomgeving. Het nieuws staat op de website van het agentschap en is gedateerd 29 oktober 2026. De tekst zegt wie wat doet in de keten van de Italiaanse digitale portemonnee en legt verplichtingen op het gebied van beveiliging vast. Het is relevant voor wie diensten ontwikkelt, voor wie ze verkoopt en voor wie klantgegevens beheert.
Een paar begrippen voordat we ter zake komen. Een IT-Wallet is de Italiaanse digitale portemonnee, waar je documenten en bewijzen op je telefoon bewaart. Een elektronisch kenmerkbewijs is een digitaal bewijs van een gegeven, bijvoorbeeld een diploma of een functie. Een verificateur is degene die deze bewijzen controleert. Een authentieke bron is de instantie die het oorspronkelijke gegeven beheert. PEC is de gecertificeerde e-mail.
Wat bepaalt de verordening?
Volgens AgID legt het document de werkwijze vast voor twee zaken. De eerste is de registratie bij het IT-Wallet-systeem. De tweede is de deelname aan de Proefomgeving, waar AgID publieke en private partijen begeleidt en coördineert bij de validatie en het testen van technische oplossingen. Het agentschap overlegt met ACN, het Departement voor digitale transformatie en de andere bevoegde autoriteiten.
AgID noemt dit een belangrijke stap richting de werking van de digitale portemonnee, die een gecoördineerde ontwikkeling van het ecosysteem bevordert, met respect voor technische eisen, beveiliging en bescherming van gegevens.
Wie doet wat in de keten?
De verordening bevestigt twee rollen van rechtswege.
- Het Istituto Poligrafico e Zecca dello Stato (IPZS) is de enige leverancier van het Register en van de elektronische kenmerkbewijzen voor persoonlijke identificatie (IT-Wallet ID) en van het openbaar belang.
- PagoPA is de enige leverancier van de openbare IT-Wallet-oplossing.
Voor alle anderen geldt een registratieprocedure. Die geldt voor leveranciers van private IT-Wallet-oplossingen, leveranciers van elektronische kenmerkbewijzen, verificateurs, aggregatoren en houders van authentieke bronnen.
De beveiligingsverplichtingen
AgID houdt toezicht op de naleving van duidelijke verplichtingen. Daartoe behoren de verwerking van systeemgegevens op infrastructuur binnen de Europese Unie, continue monitoring van de systemen en het beheer van incidenten. Het agentschap behoudt de regelgevende en controlerende verantwoordelijkheid voor het Register. Het kan de vereisten na verloop van tijd opnieuw controleren en de registratie opschorten of intrekken bij niet-naleving.
Hoe registreer je je?
De aanvraag loopt via het onboardingportaal van IPZS, of via andere werkwijzen die AgID op zijn website aangeeft. Zolang het portaal nog niet volledig operationeel is, gebruik je het formulier dat bij de verordening is gevoegd. Het moet worden ondertekend met een gekwalificeerde elektronische handtekening of digitale handtekening door de wettelijke vertegenwoordiger en worden verstuurd via PEC naar protocollo@pec.agid.gov.it.
AgID en ACN kunnen elk binnen hun bevoegdheid controles uitvoeren, met ondersteuning van IPZS. Zij toetsen de naleving van de technische specificaties van de gebruikte instrumenten en de beveiligingsvereisten.
Als er binnen negentig dagen na de indiening geen afwijzing komt, wordt de aanvraag voorlopig geaccepteerd. De inschrijving in het Register wordt pas definitief na het slagen voor controles en technische validatietests. Het onderzoek wordt door AgID uitgevoerd, die voor cyberbeveiliging het advies van ACN kan inwinnen.
Hoe werkt de Proefomgeving?
Het is een gecontroleerde omgeving waarin geregistreerde partijen validatie, tests, integratie en monitoring van technische oplossingen kunnen uitvoeren. Voor een of meer projecten is een toelatingsaanvraag bij AgID nodig. Om functies, diensten, use cases of werkwijzen te proberen die nog niet in het wettelijk kader of de technische specificaties zijn opgenomen, moet je een project indienen met het bij de verordening gevoegde model.
Vóór de formele aanvraag kun je om een informeel overleg met AgID en DTD vragen over de haalbaarheid van het project. Na de indiening beoordeelt AgID het project, na advies van ACN over cyberbeveiliging en van het Departement voor digitale transformatie over de samenhang met de nationale strategische richtlijnen.
Beperkingen om te kennen
De bron is een officiële mededeling en geen onafhankelijke analyse. Er wordt niet vermeld wanneer het onboardingportaal volledig operationeel zal zijn. Het is ook niet duidelijk hoeveel partijen zich al hebben geregistreerd, of welke private diensten als eerste komen. Er worden geen kosten voor aansluiting genoemd en ook geen doorlooptijden van de technische validatietests.
De verordening is versie 1.0, dus ze kan nog worden aangepast. De volledige tekst en de bijlagen staan op de website van AgID en we hebben ze hier niet regel voor regel samengevat. Lees ze voordat je iets onderneemt.
Wat verandert voor wie met digitale diensten werkt
Voorlopig verandert er vooral iets voor wie leverancier, verificateur of aggregator wil worden. Je hebt een wettelijke vertegenwoordiger met gekwalificeerde handtekening nodig, een PEC en een infrastructuur die gegevens binnen de EU verwerkt. Wie servers beheert, moet dus weten waar de gegevens fysiek staan en hoe ze worden gemonitord. Hierover gaat ook het onderwerp hosting en beheerde servers met beveiligingsupdates.
Voor een bedrijf dat geen leverancier wordt, is het effect indirecter. Een digitaal bewijs zou op termijn papieren documenten of kaarten kunnen vervangen. We hebben er voor klanten over geschreven in de gids over de digitale klantenkaart in de wallet. Wie diploma's uitgeeft, zoals online cursussen, kan lezen hoe je nu de certificaten van voltooiing beheert, om te begrijpen wat in de toekomst verifieerbaar moet worden. De verordening zegt echter niet dat deze gevallen onder het systeem vallen.
Wat persoonsgegevens betreft, past het kader bij het thema digitale identiteit, dat al aan bod kwam in dit artikel over het mkb. Voor een gevoelige sector als de gezondheidszorg geldt wat er staat over geïnformeerde toestemming op tablet.
Ons oordeel
De verordening is nuttig omdat ze orde schept. Ze onderscheidt publieke en private rollen en voorziet in opschorting en intrekking. Dat is een goed signaal voor wie vreest voor een markt zonder regels. We zijn ook gecharmeerd van de proefomgeving met een informeel voorafgaand overleg, dat de kosten van een vergissing verlaagt.
Toch zien we twee risico's. Het eerste is de administratieve last. Een PEC met gekwalificeerde handtekening van de wettelijke vertegenwoordiger is makkelijker te regelen voor een grote speler dan voor een klein softwarehuis. Het tweede is de voorlopige acceptatie na negentig dagen, die een bedrijf tot aan de tests in een grijze zone laat. Dit zijn onze inschattingen en geen gegevens uit de bron. De echte test wordt het onboardingportaal.
Veelgestelde vragen
Wie beheert de openbare IT-Wallet?
PagoPA is de enige leverancier van de openbare oplossing. IPZS is de enige leverancier van het Register en van de kenmerkbewijzen voor persoonlijke identificatie en van openbaar belang. AgID behoudt de regelgevende en controlerende verantwoordelijkheid voor het Register.
Hoe dien je de registratieaanvraag in?
Via het onboardingportaal van IPZS of via andere werkwijzen die AgID aangeeft. In de eerste fase gebruik je het bijgevoegde formulier, ondertekend door de wettelijke vertegenwoordiger en verstuurd via PEC.
Hoelang duurt het voordat je geregistreerd bent?
Dat hangt af van de controles. De aanvraag wordt voorlopig geaccepteerd als er binnen negentig dagen geen afwijzing komt. De inschrijving in het Register wordt pas definitief na controles en technische tests.
Mogen gegevens buiten de Europese Unie worden opgeslagen?
Volgens de mededeling niet voor de verwerking van systeemgegevens. De verplichtingen schrijven infrastructuur binnen de Europese Unie voor.
Kun je diensten proberen die nog niet zijn voorzien?
Ja, maar via een vaste procedure. Je hebt een testproject nodig dat je bij AgID indient met het bijgevoegde model. Vooraf kun je een informeel overleg met AgID en DTD aanvragen.
Waar je de komende maanden op moet letten voor de IT-Wallet
De vraag is of het onboardingportaal er komt en wanneer. Intussen kun je je voorbereiden.
- Lees de verordening en de bijlagen op de website van AgID en controleer in welke categorie jij valt.
- Controleer waar de gegevens van je systemen worden opgeslagen en hoe ze worden gemonitord.
- Als je een dienst in gedachten hebt die buiten de gebaande paden valt, overweeg dan een informeel overleg met AgID en DTD voordat je aan het project begint. Voor de ontwikkeling kan software op maat laten bouwen helpen om de systemen te integreren.
