Ing. Calogero Bono
İtalya Dijital Ajansı (AgID), IT-Wallet Sistemi'ne nasıl kayıt olunacağını ve Deneme Alanı'na nasıl katılınacağını belirleyen yönetmeliğin 1.0 sürümünü yayımladı. Haber ajansın sitesinde, 29 Ekim 2026 tarihiyle yer alıyor. Metin, İtalya'nın dijital cüzdan tedarik zincirinde kimin hangi görevi üstlendiğini anlatıyor ve güvenlik yükümlülüklerini belirliyor. Hizmet geliştirenler, bu hizmetleri satanlar ve müşteri verilerini yönetenler için önemli.
Olaylara girmeden önce birkaç terim. IT-Wallet, belgelerin ve sertifikaların telefonda tutulduğu İtalyan dijital cüzdanıdır. Nitelik elektronik belgesi, bir verinin dijital kanıtıdır; örneğin bir unvan ya da bir yeterlilik. Doğrulayıcı, bu belgeleri kontrol eden taraftır. Yetkili kaynak, özgün veriyi elinde tutan kurumdur. PEC ise sertifikalı elektronik postadır.
Yönetmelik neleri öngörüyor?
AgID kaynağına göre belge iki konuda işleyiş kurallarını belirliyor. Birincisi IT-Wallet Sistemi'ne kayıt. İkincisi ise Deneme Alanı'na katılım; burada AgID, kamu ve özel kuruluşların teknik çözümleri doğrulamasını ve test etmesini yönlendiriyor ve koordine ediyor. Kurum, ACN, Dijital Dönüşüm Dairesi ve diğer yetkili makamlarla çalışıyor.
AgID, bunu dijital cüzdanın işler hale gelmesi yolunda önemli bir adım olarak tanımlıyor. Teknik, güvenlik ve veri koruma gerekliliklerine uygun, koordineli bir ekosistem gelişimini destekliyor.
Tedarik zincirinde kim ne yapıyor?
Yönetmelik iki rolü kendiliğinden tanımlıyor.
- İtalya Devlet Basımevi ve Darphane (IPZS), Kayıt ve Kişisel Kimlik Elektronik Belgeleri (IT-Wallet ID) ile kamu yararına olan belgelerin tek tedarikçisidir.
- PagoPA, kamu IT-Wallet çözümünün tek tedarikçisidir.
Diğer herkes için bir kayıt prosedürü var. Bu prosedür özel IT-Wallet çözümü sağlayıcılarını, nitelik elektronik belgesi sağlayıcılarını, doğrulayıcıları, toplayıcı kuruluşları ve yetkili kaynak sahiplerini kapsıyor.
Güvenlik yükümlülükleri
AgID, net yükümlülüklerin uygulanmasını denetliyor. Bunlar arasında Sistem verilerinin Avrupa Birliği içinde konumlanmış altyapılarda işlenmesi, sistemlerin sürekli izlenmesi ve olayların yönetilmesi yer alıyor. Kurum, Kayıt üzerindeki düzenleyici ve denetim yetkisini koruyor. Gereklilikleri zaman içinde kontrol edebiliyor ve yükümlülüklere uyulmazsa kaydı askıya alabiliyor ya da iptal edebiliyor.
Kayıt nasıl yapılıyor?
Başvuru, IPZS'in sağladığı onboarding portalı üzerinden ya da AgID'nin sitesinde belirttiği diğer yollarla yapılıyor. Portal tam olarak çalışır hale gelene kadar yönetmeliğe ekli form kullanılıyor. Form, yasal temsilci tarafından nitelikli elektronik imza ya da dijital imzayla imzalanıp protocollo@pec.agid.gov.it adresine PEC ile gönderiliyor.
AgID ve ACN, kendi yetki alanlarına göre IPZS desteğiyle kontroller yapabiliyor. Kullanılan araçların teknik özelliklere ve güvenlik gereklilikleriyle uyumunu inceliyorlar.
Başvurunun sunulmasından itibaren doksan gün içinde ret gelmezse, başvuru şartlı kabul edilmiş sayılıyor. Kayda geçiş ise yalnızca teknik doğrulama ve testler tamamlandıktan sonra geçerli oluyor. Değerlendirmeyi AgID yürütüyor ve siber güvenlik konusunda ACN'nin görüşünden yararlanabiliyor.
Deneme Alanı nasıl çalışıyor?
Burası, kayıtlı kuruluşların teknik çözümler için doğrulama, test, entegrasyon ve izleme yapabileceği kontrollü bir ortam. Bir veya daha fazla proje için AgID'ye kabul başvurusu gerekiyor. Henüz yasal çerçevede ya da teknik özelliklerde öngörülmemiş işlevleri, hizmetleri, kullanım senaryolarını ya da yöntemleri denemek için yönetmeliğe ekli modelle bir proje sunmak gerekiyor.
Resmi başvurudan önce, projenin uygulanabilirliği hakkında AgID ve DTD ile gayriresmi bir görüşme talep edilebiliyor. Başvurudan sonra AgID, siber güvenlik için ACN'nin, ulusal stratejik yönelimlerle uyum için de Dijital Dönüşüm Dairesi'nin görüşünü alarak değerlendirme yapıyor.
Bilinmesi gereken sınırlar
Kaynak bir kurumsal bildirim, bağımsız bir analiz değil. Onboarding portalının ne zaman tam olarak çalışacağını belirtmiyor. Şimdiden kaç kuruluşun kayıt olduğunu ya da hangi özel hizmetlerin ilk geleceğini söylemiyor. Katılım maliyetlerini ve teknik doğrulama testlerinin sürelerini de bildirmiyor.
Yönetmelik 1.0 sürümünde olduğu için güncellenebilir. Tam metin ve ekler AgID'nin sitesinde; biz burada satır satır özetlemedik. Harekete geçmeden önce bunları okumanı öneririm.
Dijital alanda çalışanlar için neler değişiyor
Şimdilik en çok tedarikçi, doğrulayıcı ya da toplayıcı olmak isteyenleri etkiliyor. Nitelikli imzalı bir yasal temsilci, bir PEC ve verileri AB topraklarında işleyen bir altyapı gerekiyor. Sunucu yöneten kişiler, verilerinin fiziksel olarak nerede durduğunu ve nasıl izlendiğini bilmek zorunda kalacak. Bu konuda güvenlik güncellemeleriyle yönetilen hosting ve sunucu hizmetleri konusu da devreye giriyor.
Tedarikçi olmayacak bir işletme için etki daha dolaylı. Dijital bir belge bir gün kağıt belgelerin ya da kartların yerini alabilir. Müşteriler için bu konuyu cüzdandaki dijital kart rehberinde ele almıştık. Online kurs gibi belge düzenleyenler ise bugün tamamlama sertifikalarını nasıl yönettiklerine bakarak, neyin doğrulanabilir hale gelmesi gerektiğini anlayabilir. Yine de yönetmelik bu tür durumların sisteme dahil olacağını söylemiyor.
Kişisel veriler tarafında çerçeve, dijital kimlik konusuyla bağlantılı. Bu konu KOBİ'lere yönelik bu yazıda zaten işlenmişti. Sağlık gibi hassas bir sektör için ise tablet üzerinden aydınlatılmış onam yazısındaki kurallar geçerli.
Bizim değerlendirmemiz
Yönetmelik düzen getirdiği için faydalı. Kamu ve özel rolleri birbirinden ayırıyor, askıya alma ve iptal yolunu öngörüyor. Düzenlemesiz bir pazardan korkanlar için bu iyi bir işaret. Gayriresmi ön görüşmeyle birlikte sunulan deneme alanını da beğeniyoruz; çünkü hatanın maliyetini düşürüyor.
Yine de iki risk görüyoruz. Birincisi bürokratik yük. Yasal temsilcinin nitelikli imzasıyla yapılan bir PEC başvurusu büyük bir operatör için kolay, küçük bir yazılım evi için daha zor. İkincisi, doksan gün sonra şartlı kabul; bu da test aşamasına kadar şirketi belirsizlik içinde bırakıyor. Bunlar bizim değerlendirmelerimiz, kaynağın verisi değil. Asıl sınav onboarding portalı olacak.
Sık sorulan sorular
Kamu IT-Wallet'ı kim işletiyor?
Kamu çözümünün tek tedarikçisi PagoPA. IPZS ise Kayıt ile kamu yararına olan kişisel kimlik belgelerinin tek tedarikçisi. AgID, Kayıt üzerindeki düzenleyici ve denetim yetkisini koruyor.
Kayıt başvurusu nasıl yapılıyor?
IPZS'in onboarding portalı üzerinden ya da AgID'nin belirttiği diğer yollarla. İlk uygulama döneminde yasal temsilcinin imzaladığı ekli form kullanılıyor ve PEC ile gönderiliyor.
Kayıt için ne kadar süre gerekiyor?
Kontrollere bağlı. Doksan gün içinde ret gelmezse başvuru şartlı kabul ediliyor. Kayda geçiş ancak doğrulama ve teknik testlerden sonra geçerli oluyor.
Veriler Avrupa Birliği dışında tutulabilir mi?
Bildirime göre Sistem verilerinin işlenmesi için hayır. Yükümlülükler Avrupa Birliği içinde konumlanmış altyapıları öngörüyor.
Henüz öngörülmemiş hizmetler denenebilir mi?
Evet, ama belirli bir yol izleyerek. AgID'ye ekli modelle sunulmuş bir deneme projesi gerekiyor. Önce AgID ve DTD ile gayriresmi bir görüşme talep edilebilir.
IT-Wallet için önümüzdeki aylarda izlenecekler
Asıl soru, onboarding portalının ne zaman ve hangi takvimle devreye gireceği. Bu arada şimdiden hazırlık yapabilirsin.
- Yönetmeliği ve eklerini AgID sitesinde oku ve hangi kategoriye girdiğini kontrol et.
- Sistemlerindeki verilerin nerede barındırıldığını ve nasıl izlendiğini kontrol et.
- Alışılmış dışı bir hizmet fikrin varsa, projeye başlamadan önce AgID ve DTD ile gayriresmi görüşmeyi değerlendir. Sistemleri entegre etmek için özel yazılım geliştirme hizmeti de işine yarayabilir.
