Ing. Calogero Bono
Agencja ds. Cyfrowej Italii (AgID) opublikowała wersję 1.0 regulaminu, który określa, jak zarejestrować się w Systemie IT-Wallet i jak wziąć udział w Przestrzeni Eksperymentów. Informacja pojawiła się na stronie agencji i jest datowana na 29 października 2026 roku. Tekst opisuje, kto za co odpowiada w łańcuchu włoskiego cyfrowego portfela, i ustala obowiązki w zakresie bezpieczeństwa. Ma znaczenie dla tych, którzy tworzą usługi, dla tych, którzy je sprzedają, i dla tych, którzy zarządzają danymi klientów.
Kilka pojęć, zanim przejdziemy do faktów. IT-Wallet to włoski cyfrowy portfel, w którym na telefonie przechowuje się dokumenty i zaświadczenia. Elektroniczne zaświadczenie atrybutów to cyfrowy dowód na dany fakt, na przykład tytuł lub kwalifikację. Weryfikator to podmiot, który sprawdza takie zaświadczenia. Autentyczne źródło to instytucja, która posiada oryginalne dane. PEC to certyfikowana poczta elektroniczna.
Co przewiduje regulamin?
Według AgID dokument określa zasady działania w dwóch sprawach. Pierwsza to rejestracja w Systemie IT-Wallet. Druga to udział w Przestrzeni Eksperymentów, gdzie AgID kieruje i koordynuje podmioty publiczne i prywatne w zakresie walidacji i testowania rozwiązań technicznych. Agencja współpracuje z ACN (Narodową Agencją Cyberbezpieczeństwa), Departamentem ds. Transformacji Cyfrowej i innymi właściwymi organami.
AgID określa to jako ważny krok w stronę praktycznego działania cyfrowego portfela, który sprzyja skoordynowanemu rozwojowi ekosystemu z zachowaniem wymogów technicznych, bezpieczeństwa i ochrony danych.
Kto za co odpowiada w łańcuchu?
Regulamin potwierdza dwie role z mocy prawa.
- Instytut Poligraficzny i Mennica Państwowa (IPZS) jest jedynym dostawcą Rejestru i Elektronicznych Zaświadczeń Danych Identyfikacyjnych Osoby (IT-Wallet ID) oraz rejestru o znaczeniu publicznym.
- PagoPA jest jedynym dostawcą publicznego rozwiązania IT-Wallet.
Dla wszystkich pozostałych przewidziano procedurę rejestracji. Dotyczy ona dostawców prywatnych rozwiązań IT-Wallet, dostawców elektronicznych zaświadczeń atrybutów, weryfikatorów, podmiotów agregujących i właścicieli autentycznych źródeł.
Obowiązki w zakresie bezpieczeństwa
AgID nadzoruje przestrzeganie precyzyjnych obowiązków. Należą do nich przetwarzanie danych Systemu w infrastrukturze zlokalizowanej na terytorium Unii Europejskiej, ciągły monitoring systemów i zarządzanie incydentami. Agencja zachowuje regulacyjne zwierzchnictwo i kontrolę nad Rejestrem. Może w czasie weryfikować wymogi, a w razie niewywiązania się z nich zawiesić lub cofnąć rejestrację.
Jak się zarejestrować?
Wniosek składa się przez portal onboardingu udostępniony przez IPZS albo w inny sposób wskazany przez AgID na jej stronie. Dopóki portal nie będzie w pełni działał, potrzebny jest formularz załączony do regulaminu. Musi go podpisać przedstawiciel ustawowy kwalifikowanym podpisem elektronicznym lub podpisem cyfrowym i przesłać przez PEC na adres protocollo@pec.agid.gov.it.
AgID i ACN, każda w ramach swoich kompetencji, mogą przeprowadzać kontrole przy wsparciu IPZS. Sprawdzają zgodność używanych narzędzi ze specyfikacjami technicznymi oraz wymogi bezpieczeństwa.
Jeśli w ciągu dziewięćdziesięciu dni od złożenia wniosku nie nadejdzie odmowa, uznaje się go za przyjęty z zastrzeżeniem. Wpis do Rejestru staje się skuteczny dopiero po zdaniu kontroli i testów walidacyjnych. Postępowanie prowadzi AgID, która w kwestiach cyberbezpieczeństwa może zasięgnąć opinii ACN.
Jak działa Przestrzeń Eksperymentów?
To kontrolowane środowisko, w którym zarejestrowane podmioty mogą prowadzić walidację, testy, integrację i monitoring rozwiązań technicznych. Potrzebny jest wniosek o przyjęcie do AgID na jeden lub więcej projektów. Aby wypróbować funkcje, usługi, przypadki użycia lub sposoby działania, których nie przewiduje jeszcze ramy prawne ani specyfikacje techniczne, trzeba przedstawić projekt na modelu załączonym do regulaminu.
Przed formalnym wnioskiem można poprosić AgID i DTD o nieformalną konsultację co do wykonalności projektu. Po złożeniu AgID ocenia projekt, konsultując się z ACN w zakresie cyberbezpieczeństwa oraz z Departamentem ds. Transformacji Cyfrowej w kwestii zgodności z krajowymi kierunkami strategicznymi.
Ograniczenia, które warto znać
Źródłem jest komunikat instytucjonalny, a nie niezależna analiza. Nie podaje, kiedy portal onboardingu w pełni zacznie działać. Nie mówi, ile podmiotów już się zarejestrowało ani jakie prywatne usługi pojawią się jako pierwsze. Nie zawiera informacji o kosztach przystąpienia ani o czasie testów walidacyjnych.
Regulamin ma wersję 1.0, więc może zostać zaktualizowany. Pełny tekst i załączniki są na stronie AgID i nie streszczamy ich tutaj punkt po punkcie. Zanim podejmiesz działania, przeczytaj je.
Co zmienia się dla tych, którzy pracują w sferze cyfrowej
Na razie zmienia się przede wszystkim dla tych, którzy chcą być dostawcą, weryfikatorem lub podmiotem agregującym. Potrzebny jest przedstawiciel ustawowy z kwalifikowanym podpisem, PEC i infrastruktura przetwarzająca dane na terytorium UE. Kto zarządza serwerami, będzie musiał wiedzieć, gdzie fizycznie znajdują się dane i jak są monitorowane. W tym kontekście warto zajrzeć do tematu hostingu i zarządzanych serwerów z aktualizacjami bezpieczeństwa.
Dla firmy, która nie będzie dostawcą, skutki są bardziej pośrednie. Cyfrowe zaświadczenie może kiedyś zastąpić dokumenty papierowe lub karty. Pisaliśmy o tym dla klientów w przewodniku o cyfrowej karcie w portfelu klienta. Kto wystawia certyfikaty, na przykład kursy online, może sprawdzić, jak dziś zarządza się zaświadczeniami o ukończeniu, aby zrozumieć, co trzeba będzie uczynić weryfikowalnym. Regulamin jednak nie mówi, że te przypadki wejdą do systemu.
W kwestii danych osobowych ramy łączą się z tematem tożsamości cyfrowej, o którym pisaliśmy w tym artykule o MŚP. W wrażliwym sektorze, jakim jest zdrowie, obowiązuje to, co napisano o świadomej zgodzie na tablecie.
Nasza opinia
Regulamin jest użyteczny, bo wprowadza porządek. Rozróżnia role publiczne od prywatnych i przewiduje zawieszenie oraz cofnięcie rejestracji. To dobry sygnał dla tych, którzy obawiają się rynku bez reguł. Podoba nam się też Przestrzeń Eksperymentów z wstępną nieformalną konsultacją, która obniża koszt błędu.
Widzimy jednak dwa ryzyka. Pierwsze to ciężar biurokratyczny. PEC z kwalifikowanym podpisem przedstawiciela ustawowego jest dostępna dla dużego operatora, mniej dla małego software house. Drugie to przyjęcie z zastrzeżeniem po dziewięćdziesięciu dniach, które zostawia firmę w szarej strefie aż do testów. To nasze oceny, a nie dane ze źródła. Prawdziwym sprawdzianem będzie portal onboardingu.
Najczęstsze pytania
Kto zarządza publicznym IT-Wallet?
PagoPA jest jedynym dostawcą publicznego rozwiązania. IPZS jest natomiast jedynym dostawcą Rejestru oraz zaświadczeń identyfikacji osobistej o znaczeniu publicznym. AgID zachowuje regulacyjne zwierzchnictwo i kontrolę nad Rejestrem.
Jak złożyć wniosek o rejestrację?
Przez portal onboardingu IPZS albo w inny sposób wskazany przez AgID. Na etapie wstępnego stosowania używa się załączonego formularza, podpisanego przez przedstawiciela ustawowego i wysłanego przez PEC.
Ile czasu trwa rejestracja?
Zależy od weryfikacji. Wniosek uznaje się za przyjęty z zastrzeżeniem, jeśli w ciągu dziewięćdziesięciu dni nie nadejdzie odmowa. Wpis do Rejestru jest skuteczny dopiero po weryfikacjach i testach technicznych.
Czy dane mogą znajdować się poza Unią Europejską?
Według komunikatu nie w przypadku przetwarzania danych Systemu. Obowiązki przewidują infrastrukturę zlokalizowaną w Unii Europejskiej.
Czy można testować jeszcze nieprzewidziane usługi?
Tak, ale w ściśle określonej procedurze. Potrzebny jest projekt eksperymentu przedstawiony AgID na załączonym modelu. Wcześniej można poprosić AgID i DTD o nieformalną konsultację.
Na co zwrócić uwagę w najbliższych miesiącach w sprawie IT-Wallet
Pytanie brzmi, czy portal onboardingu zostanie uruchomiony i w jakim terminie. Tymczasem możesz się przygotować.
- Przeczytaj regulamin i załączniki na stronie AgID i sprawdź, do której kategorii należysz.
- Sprawdź, gdzie przechowywane są dane Twoich systemów i jak są monitorowane.
- Jeśli masz pomysł na nietypową usługę, rozważ nieformalną konsultację z AgID i DTD przed rozpoczęciem projektu. Do integracji systemów może się przydać tworzenie oprogramowania na zamówienie.
