Il protocollo informatico nel nuovo quadro europeo dei registri elettronici qualificati
Il protocollo informatico nel nuovo quadro europeo dei registri elettronici qualificati
1. Le nuove norme
Il Regolamento di esecuzione UE 2025/2531, Modalità di applicazione del regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio per quanto riguarda le norme di riferimento e le specifiche applicabili ai registri elettronici qualificati, definisce i requisiti tecnici e operativi per i servizi fiduciari qualificati di registro elettronico. È stato adottato in attuazione dell’art. 45 terdecies, comma 3, del Regolamento UE 2024/1183 (eIDAS 2).
Un registro elettronico qualificato è, in base alle definizioni europee, con riferimento in particolare all’art. 45 duodecies e art. 45 terdecies di eIDAS, un sistema creato o gestito da uno o più prestatori di servizi fiduciari qualificati in grado di garantire, in maniera verificabile e opponibile a terzi, la sequenza cronologica, la coerenza, l’integrità e l’autenticità dei dati registrati, attraverso tecnologie che possono includere la blockchain e i registri distribuiti (Distributed Ledger Technologies - DLT), ma non solo.
Più recentemente, è stata pubblicata la specifica tecnica CEN/TS 18264:2026, Policy and security requirements on trust services on electronic ledgers, sviluppata nell’ambito del CEN-CENELEC JTC 19 Blockchain and Distributed Ledger Technologies, attualmente disponibile solo in lingua inglese e che si va ad affiancare alle norme in materia di eArchiving, contenute nel Regolamento UE 2025:2532, corredato dai requisiti tecnici previsti dalla specifica CEN/TS 18170:2025, come descritto nella figura seguente:
Ulteriori immagini di riepilogo sono presenti qui.
2. Norme italiane e norme europee a confronto
La norma in commento definisce i requisiti regolamentari, funzionali e di sicurezza per i servizi fiduciari, qualificati o meno, sui registri elettronici (electronic ledgers). Comprende requisiti per garantire la fornitura del servizio da parte di uno o più prestatori di servizi fiduciari, l’accertamento della provenienza dei dati registrati nel registro, la sequenza cronologica e univoca dei dati; la registrazione dei dati in modo tale che qualsiasi modifica successiva sia immediatamente rilevabile, garantendone l’integrità nel tempo.
Nel contesto della normativa italiana sul protocollo informatico, il nuovo quadro europeo rappresenta un’opportunità per rafforzare le garanzie di autenticità, integrità e opponibilità a terzi delle registrazioni. L’adozione di registri elettronici qualificati potrebbe, infatti, consentire una maggiore affidabilità delle operazioni di registrazione, assicurando la loro verificabilità e la loro conservazione inalterabile nel tempo.
Il requisito fondamentale del registro elettronico qualificato è l’immodificabilità: una volta che un dato è stato inserito nel registro, non può essere alterato senza che l’alterazione sia rilevabile, requisito da sempre presente nella normativa italiana.
A questo requisito si aggiunge l’obbligo di apposizione di un riferimento temporale opponibile a terzi per ogni registrazione. Tuttavia, anche in questo caso, si tratta di una funzione ampiamente prevista dalla normativa italiana. La registrazione protocollare, infatti, da anni rappresenta un riferimento temporale opponibile a terzi, come stabilito dal DPCM 22 febbraio 2013, art. 41, comma 4, lett. a).
L’impianto comunitario favorisce, pertanto, una progressiva convergenza tra i sistemi italiani di gestione documentale e i servizi fiduciari qualificati europei, contribuendo all’interoperabilità e alla affidabilità nelle transazioni digitali delle amministrazioni pubbliche.
Il protocollo informatico italiano è, per legge e a far data dal 1° gennaio 2004, un registro elettronico come atto pubblico di fede privilegiata in grado di garantire l’immodificabilità, la data certa e la sequenzialità delle registrazioni dei documenti. Il protocollo italiano, inoltre, garantisce la certadatazione tramite la produzione del registro giornaliero e la successiva conservazione a norma. L’adozione dei requisiti del Regolamento 2025/2531 permette di innalzare i livelli di sicurezza, integrando meccanismi di marcatura e sigilli elettronici qualificati in grado di rendere i flussi documentali nativamente conforme agli standard UE.
Storicamente, il protocollo informatico ha una rilevanza per i paesi di civil law. L’allineamento ai registri elettronici qualificati europei getta le basi affinché la tracciabilità e la certificazione di un documento protocollato in Italia abbiano piena validità legale e opponibilità ai terzi in qualsiasi altro Stato membro dell’Unione.
Tali novità dovranno trovare accoglienza giuridica all’interno del Codice dell’Amministrazione Digitale (CAD), in corso di revisione, integrando il protocollo con i nuovi servizi fiduciari, con l’obbligo di aggiornare i Manuali di gestione documentale, anche al fine di stabilire le procedure attraverso le quali le registrazioni possano essere conservate o verificate tramite i registri qualificati.
In buona sostanza, il Regolamento UE 2025/2531 accelera l’evoluzione tecnologica del registro di protocollo, in una trasformazione giuridica e gestionale come nodo di un ecosistema fiduciario europeo, in cui l’affidabilità del flusso documentale è garantita da regole tecniche e da standard di cibersicurezza, intimamente interconnessi anche con la Direttiva (UE) 2022/2555 (NIS 2) Network and Information Security Directive 2.
3. Il protocollo informatico italiano: un registro elettronico qualificato ante litteram
Il registro di protocollo informatico delle amministrazioni pubbliche italiane, come disciplinato principalmente dal DPR 445/2000 e dalle Linee guida AgID, presenta caratteristiche strutturali che lo avvicinano in modo significativo al concetto di registro elettronico qualificato introdotto da eIDAS 2.
Il protocollo informatico assegna a ogni documento ricevuto o spedito un numero progressivo univoco accompagnato dalla data e dall’ora di registrazione, che non può essere modificato né cancellato. La registrazione di protocollo, sotto il profilo giuridico-probatorio e tralasciando gli aspetti gestionali, produce effetti giuridici certi e certificati: attesta la data di ricezione o di spedizione di un documento, garantisce la tracciabilità del flusso documentale e, infine, costituisce prova opponibile dell’esistenza del documento in quella forma a quella data.
Queste caratteristiche, immodificabilità, unicità del numero, riferimento temporale certo, opponibilità a terzi, sono esattamente le caratteristiche che il Regolamento 2025/2531 richiede ai registri elettronici qualificati, tanto da poter definire il protocollo italiano come un registro elettronico qualificato ante litteram.
4. Tre implicazioni applicative e due piani tecnico-giuridici
L’applicazione del Regolamento 2025/2531 al sistema del protocollo informatico italiano apre scenari interessanti su almeno tre piani.
Prima di tutto, sul piano del riconoscimento europeo, un sistema di protocollo informatico certificato come registro elettronico qualificato acquisisce un valore giuridico riconosciuto in tutti gli Stati membri dell’Unione Europea. Oggi la registrazione di protocollo produce effetti certi nell’ordinamento italiano, ma il suo valore probatorio in altri ordinamenti europei non è automaticamente garantito, in modo particolare in paesi di common law. La qualificazione come registro elettronico europeo risolverebbe questo problema, rendendo le registrazioni di protocollo opponibili a terzi in tutto il territorio dell’Unione.
In seconda battuta, esiste il piano della interoperabilità tra sistemi, dal momento che il regolamento impone requisiti tecnici standardizzati che, applicati anche ai sistemi di protocollo, potrebbero favorire l’interoperabilità tra i registri di protocollo di amministrazioni differenti, anche di Stati diversi. In un contesto di crescente integrazione amministrativa europea, come lo sportello digitale unico previsto dal Single Digital Gateway (Regolamento UE 2018/1724), tale interoperabilità assume un valore molto pragmatico, simile allo sportello unico per le attività produttive (SUAP), introdotto in Italia dal DPR 7 settembre 2010, n. 160.
In terza e ultima istanza, sul piano della sicurezza e dell’integrità, il regolamento impone requisiti di audit, di monitoraggio continuo e di verifica, in virtù dei quali l’Italia dovrà innalzare gli standard tecnici dei sistemi di protocollo, i quali oggi non sempre soddisfano tutti i requisiti che il nuovo regolamento prevede per la qualificazione.
Sul piano normativo, dunque, si rende necessario un coordinamento esplicito tra il quadro, tuttora solido, del DPR 445/2000 e le Linee guida AgID da una parte e i requisiti eIDAS 2 dall’altra, anche al fine di determinare i requisiti in base ai quali un sistema di protocollo conforme alle norme italiane possa essere considerato anche un registro elettronico qualificato europeo.
Sul piano tecnico, i sistemi di protocollo attualmente in uso nelle amministrazioni pubbliche italiane presentano livelli molto diversi di sofisticazione e, soprattutto, di sicurezza. In base all’esperienza diretta, non tutti sarebbero in grado di soddisfare i requisiti europei (invero, in alcuni casi, nemmeno quelli italiani, in particolare sulla classificazione e sulla fascicolatura) senza interventi di adeguamento e di anti-obsolescenza tecnica, che potrebbero essere significativi per le amministrazioni minori.
Sul piano del controllo, la qualificazione come registro elettronico europeo richiederebbe la supervisione di un organismo di vigilanza accreditato, quindi AgID, a valle dell’iscrizione in un elenco europeo, con tutti gli obblighi di audit e di rendicontazione che ne conseguono.
In buona sostanza, il Regolamento UE 2025/2531 rappresenta per il sistema di protocollo informatico italiano un’opportunità di acquisire un riconoscimento giuridico europeo in grado di valorizzarne le caratteristiche strutturali già esistenti. La sfida è trasformare questa opportunità in realtà attraverso un percorso coordinato di adeguamento normativo, tecnico e organizzativo che veda la collaborazione tra il legislatore italiano, AgID e i fornitori dei sistemi di gestione documentale delle amministrazioni pubbliche e, ormai in non pochi casi, di quelle private.
E ora una domanda, cui tenteremo di dare una risposta prossimamente, anche grazie all’aiuto di un informatico di lungo corso: il software di gestione documentale può legittimamente sostituire il registro di protocollo?
