EUDI Wallet: il conto alla rovescia verso dicembre 2026 e la nuova architettura della fiducia europea

A dicembre 2026 scade l'obbligo introdotto dal Regolamento (UE) 2024/1183 — la eIDAS 2.0 — per tutti i 27 Stati membri: ogni Paese dovrà mettere a disposizione di cittadini e imprese almeno un EUDI Wallet certificato, gratuito e conforme. Non una beta, non un pilota: un portafoglio certificato.

La domanda che accomuna Bruxelles, le capitali e i board delle grandi piattaforme non è più se il wallet arriverà, ma chi sarà pronto a usarlo quando diventerà obbligatorio accettarlo.

È il momento in cui la teoria dell'identità digitale europea incontra il cronoprogramma. Ed è il momento in cui i trust services — storicamente un mercato di nicchia fatto di firme qualificate e PEC — smettono di essere un accessorio per diventare l'infrastruttura della fiducia su cui poggia l'intero ecosistema.

1. Il quadro: da dove veniamo e cosa scade davvero

La eIDAS 2.0 è entrata in vigore il 20 maggio 2024. Il 28 novembre 2024 la Commissione ha adottato il primo pacchetto di atti di esecuzione tecnici — dal CIR (UE) 2024/2977 (specifiche per PID ed Electronic Attestations of Attributes) al pacchetto 2024/2978-2982 su trust framework, registrazione dei Relying Party e schemi di certificazione. Da quella data è partito il conteggio dei 24 mesi che porta appunto a dicembre 2026.

Nel corso del 2026 il quadro si è ulteriormente consolidato su tre direttrici:

• Onboarding remoto: l'atto di esecuzione pubblicato il 9 aprile 2026 ha armonizzato le regole di verifica dell'identità a distanza, bilanciando gli obblighi AML/KYC con la privacy dell'utente. A giugno il Comitato eIDAS ha reso opzionale la foto biometrica in scenari a basso rischio, riducendo l'attrito dell'onboarding per i soggetti privati.
• Trust Mark e UX: il CIR (UE) 2026/1735 ha istituito il marchio ufficiale del wallet europeo e gli indicatori standardizzati di interfaccia — il "sigillo" che il cittadino dovrà imparare a riconoscere per distinguere un wallet certificato da una imitazione.
• Prospettiva 2027-2028: le grandi piattaforme online (le VLOPs designate ai sensi del Digital Services Act) e i settori privati regolamentati — banche, telco, trasporti, sanità, energia — dovranno accettare il wallet per autenticazione e verifica degli attributi entro 12-24 mesi dal rollout.

È quest'ultimo punto il vero salto di paradigma: per la prima volta l'identità digitale non è un'offerta, è un obbligo di mercato.

2. Gli Stati membri: chi corre davvero

A settembre 2026, il quadro della diffusione è eterogeneo ma in movimento su tutto il continente. Tutti i 27 Stati membri mantengono ambienti di staging, sandbox pubblici o app pilota tracciati dalla Commissione tramite il Digital Building Blocks Portal, in vista della certificazione finale di dicembre.

L'Italia è il caso di eccellenza che merita uno sguardo ravvicinato. Il Sistema IT-Wallet — istituito dal DL 19/2024, coordinato dal Dipartimento per la Trasformazione Digitale con AgID e realizzato da PagoPA e Istituto Poligrafico — ha superato quota 10 milioni di attivazioni su App IO, con 17,3 milioni di documenti caricati (patente, tessera sanitaria, carta della disabilità). Entro fine anno sono in arrivo ISEE, tessera elettorale e titoli di studio.

C'è anche un movimento più silenzioso ma strategicamente rilevante: la transizione da SPID verso CIE e IT-Wallet come presidio identitario statale, con i provider SPID privati che rivedono il proprio modello di monetizzazione. Il messaggio è chiaro: l'identità LoA High del Paese torna ad appoggiarsi su infrastrutture pubbliche.

Gli altri Stati membri seguono traiettorie diverse: la Germania fatica a far dialogare l'infrastruttura Bundesdruckerei con il cronoprogramma legislativo; la Francia sta convergendo France Identité verso la piena conformità EUDI; Spagna, Paesi Bassi e Belgio attraversano fasi di beta o pilota open source; i nordici e i baltici cavalcano l'esperienza dei pilota di pagamento istantaneo.

La lezione dei quattro Large-Scale Pilots della prima generazione — POTENTIAL, NOBID, DC4EU, EWC, conclusi tra il 2025 e l'inizio del 2026 — è netta: l'interoperabilità transfrontaliera funziona, a condizione che gli standard vengano applicati rigidamente senza estensioni nazionali. Il rischio della frammentazione non è stato eliminato: è solo passato dalle architetture alle scelte di implementazione. La seconda generazione di pilota — WE BUILD sul Business Wallet e APTITUDE su mobilità e pagamenti — porterà avanti il cantiere fino al 2027.

3. ARF 3.0: la conformance diventa obbligo

A luglio 2026 la Commissione ha pubblicato la versione 3.0.0 dell'Architecture and Reference Framework, il documento che definisce l'architettura tecnica dell'ecosistema. Due novità contano più delle altre.

La prima è il Conformance Framework: suite di test automatizzati che valutano conformità funzionale, sicurezza e interoperabilità delle app wallet candidate. I portafogli nazionali devono passare da qui per ottenere la certificazione — e con essa il Trust Mark. La finestra di test formale è aperta: da qui a dicembre.

La seconda è la stabilizzazione del doppio formato credenziale: ISO/IEC 18013-5 (mDoc) per la presentazione di prossimità e W3C SD-JWT VC per la presentazione online, con OpenID4VCI per il rilascio e OpenID4VP per la presentazione. È un compromesso architetturale che ha il pregio del pragmatismo e il difetto della complessità: ogni issuer e ogni Relying Party devono presidiare entrambi i mondi.

Sul piano della sicurezza, l'ARF impone il livello di garanzia High con chiavi ancorate a Secure Element o HSM, e protezioni crittografiche contro l'incollegabilità delle presentazioni. ENISA, intanto, ha completato il proprio schema di certificazione cybersecurity per il wallet nell'ambito del framework EUCC, con Protection Profiles che impongono l'ancoraggio hardware per prevenire l'estrazione delle chiavi private.

4. I trust services diventano nativi del wallet

Qui sta la trasformazione strutturale che resterà quando si sarà esaurito il clamore della scadenza di dicembre. La eIDAS 2.0 non si limita a creare un portafoglio: riorganizza l'intero mercato della fiducia digitale attorno ad esso.

Le Electronic Attestations of Attributes (EAA) e la loro versione qualificata (QEAA) sono la categoria centrale: attestazioni strutturate — titoli di studio, poteri di firma, licenze professionali — che un issuer qualificato rilascia nel wallet e che il cittadino presenta con disclosure selettiva. Il connettore tecnico è il QC4AA, il certificato qualificato per l'attestazione di attributi, il cui profilo è fissato dallo standard ETSI TS 119 412-6 (aggiornato ad aprile 2026), mentre i protocolli di emissione sono normati da ETSI TS 119 472-3.

Analogamente, la firma elettronica qualificata sta migrando dentro il wallet: le API CSC (Cloud Signature Consortium), armonizzate da ETSI TS 119 432 con l'architettura EUDI, permettono di attivare firme remote su QSCD gestiti da QTSP. In pratica, il cittadino potrà firmare con pieno valore legale UE direttamente dal wallet governativo, senza acquistare dispositivi commerciali. È l'inizio della fine del "kit fisico": le attivazioni di firma remota cloud hanno ormai superato l'85% delle nuove emissioni nel 2026.

Il catalogo dei servizi qualificati si allarga anche ai registri elettronici qualificati (gli electronic ledgers basati su DLT, con presunzione legale di integrità e ordine temporale) e alla conservazione elettronica qualificata, i cui requisiti tecnici sono stati fissati dal CIR (UE) 2025/2532. E l'intera catena della fiducia resta ancorata alle Trust List: le infrastrutture LOTL sono state aggiornate allo standard ETSI TS 119 612 v2.3.1 per pubblicare i nuovi tipi di servizio qualificato.

Il mercato reagisce. I QTSP europei — in Italia InfoCert, Namirial, Aruba; in Europa Docusign, Swisscom, D-Trust — stanno consolidando piattaforme paneuropee, mentre ENISA segnala un dato che merita attenzione: la causa primaria degli incidenti nei servizi fiduciari resta il guasto di sistema (~58%), e il vettore emergente di attacco sono le API di firma remota. Più l'ecosistema si distribuisce, più la superficie d'attacco si sposta sulle interfacce.

5. L'ecosistema: banche, telco e Big Tech ai cancelli del wallet

La direzione è netta: banche e telco smettono di essere semplici consumer di identità per diventare attribute provider. Il ponte tra PSD2/PSD3 e eIDAS 2.0 consente alle banche di emettere QEAA su titolarità IBAN, solvibilità, reddito e verifiche KYC. I pilota lo hanno già dimostrato: Qonto ha testato l'onboarding KYC di imprese tedesche tramite wallet; NOBID ha validato pagamenti istantanei wallet-to-wallet transfrontalieri, riducendo le verifiche cliente da giorni a secondi.

I Big Tech, dal canto loro, hanno scelto il ruolo di piattaforma anziché di issuer. A giugno 2026 Google ha esteso Google Wallet al supporto di identità digitali nazionali e credenziali di età in Spagna, Italia, Francia, Irlanda ed Estonia, esponendo l'Android Identity Credential API sull'hardware sicuro. Apple ha implementato la W3C Digital Credentials API su Safari e ampliato "Verify with Wallet", restando però fuori dal ruolo di contenitore dell'identità statale europea per via dei requisiti di autonomia sovrana dell'issuer.

È una distinzione che vale la pena tenere a mente: l'EUDI Wallet è non-custodial per design — lo Stato certifica, l'utente sceglie l'app certificata, la piattaforma fornisce le primitive. E quando l'infrastruttura d'identità ha cominciato a sfiorare il mondo AdTech, la reazione è arrivata: Google ha esplicitamente bloccato l'uso della Digital Credentials API come vettore di fingerprinting e tracking cross-site, isolando le credenziali d'identità statali dai circuiti pubblicitari.

Il fronte critico non si è spento. Mozilla ed EDRi continuano a contestare l'Articolo 45 (l'obbligo per i browser di accettare i QWACs qualificati) per il rischio di indebolire la crittografia HTTPS; la ricerca accademica (Università del Lussemburgo) ha documentato rischi di tracciabilità nella ripresentazione della stessa firma dell'issuer a verificatori diversi — e l'ARF ha risposto integrando Proof a Conoscenza Zero (TS13) e batch issuance di credenziali monouso (TS14). È esattamente lo stesso principio di data minimisation che abbiamo già incontrato parlando di age verification: si passa dalla condivisione dell'identità alla dimostrazione di un attributo.

6. Cosa guardare da qui a dicembre (e oltre)

Il cronoprogramma dei prossimi mesi è denso e dice molto della direzione di marcia:

• 15-16 settembre 2026 — ENISA Trust Services and eID Forum / 18° CA Day (Tallinn): lo stato dell'arte dell'implementazione, la vigilanza sui QTSP e la sovrapposizione con NIS2.
• Dicembre 2026 — scadenza dell'obbligo per gli Stati membri: certificazione, Trust Mark e lancio generalizzato.
• 26-27 novembre 2026 — EUDI Wallet Summit a Berlino e, a inizio dicembre, TRUSTECH a Parigi: i termometri del mercato.
• 2027-2028 — obbligo di accettazione per VLOPs e settori regolamentati ex Articolo 5b: il momento in cui il wallet smette di essere una app e diventa un canale obbligato.

Per le imprese, la finestra utile per prepararsi è adesso: integrare OpenID4VP, mappare gli attributi che il wallet potrà attestare nei propri flussi KYC, e capire cosa significa emettere — non solo verificare — credenziali qualificate.

7. L'ultimo miglio della fiducia

Nel pezzo sul Digital Omnibus abbiamo visto come Bruxelles stia attaccando la "tassa sulla frammentazione" per ricostruire un mercato unico dell'innovazione. L'EUDI Wallet è il pezzo di infrastruttura digitale di quella strategia: un presidio identitario pubblico, gratuito e certificato che attraversa 27 mercati — là dove oggi ogni Paese ha il suo SPID, la sua CIE, il suo ID.nic.

Ma l'infrastruttura non basta. Il wallet avrà successo quando il cittadino lo userà senza pensarci — come oggi usa le app di home banking — e quando l'impresa lo troverà più economico dell'alternativa. La certificazione di dicembre è l'arrivo della struttura. Il 2027, anno dell'obbligo per i Relying Party, sarà l'esame del mercato.

Fra regolamento, standard e mercato, l'identità digitale europea sta imparando la lezione più difficile: la fiducia non si decreta. Si costruisce, un caso d'uso alla volta.

Fonti principali: Regolamento (UE) 2024/1183 (eIDAS 2.0) — EUR-Lex; Commissione Europea, Digital Building Blocks Portal e portale EUDI Wallet; ARF 3.0 (repository ufficiale EUDI); ETSI (serie TS 119 412, 119 432, 119 472, 119 612); ENISA (Trust Services Security Incidents Report, schema di certificazione EUDIW); Dipartimento per la Trasformazione Digitale (IT-Wallet); consorzi POTENTIAL, NOBID, DC4EU, EWC, WE BUILD, APTITUDE.