EUDI Wallet e autenticazione forte nei pagamenti al dettaglio: l’EPC avvia il progetto SCARLET

Il 19 ottobre 2026, lo European Payments Council (EPC) ha annunciato l’avvio del progetto Strong Customer Authentication Acceptance Rulebook and Liability Framework for EUDIW Transactions (“SCARLET”) volto alla definizione di uno schema di regole contrattuali, operative e tecniche comuni per agevolare l’utilizzo dei Portafogli europei di identità digitale (“EUDI Wallet”) anche da parte dei prestatori di servizi di pagamento (“PSP”) nell’ambito dell’applicazione dell’autenticazione forte della clientela (“Strong Customer Authentication” – “SCA”) e, più in generale, la conformità dei PSP agli obblighi del c.d. Regolamento (UE) 2024/1183 (“eIDAS 2”), che ha modificato il Regolamento (UE) n. 910/2014, (“Regolamento eIDAS”). L’iniziativa, il cui sviluppo è stato approvato dal Board dell’EPC il 24 settembre 2026, risponde a un invito rivoltole dalla Commissione europea (DG CNECT e DG FISMA).

Come noto, gli EUDI Wallet consentono, tra l’altro, l’identificazione e l’autenticazione digitale degli utenti. Tra i diversi ruoli previsti dall’ecosistema EUDI, quelli che possono riguardare un PSP sono sostanzialmente tre: Verifier, Issuer e Wallet Provider. Il Verifier o Relying Party è il soggetto che deve accettare e validare le credenziali digitali dell’utente per erogare un servizio (ad es. apertura conto, login, operazioni dispositive, firma) ed è questo il ruolo più direttamente impattato dalle verifiche di conformità sull’identificazione e sull’autenticazione forte della clientela.

In tale contesto il Regolamento eIDAS stabilisce che, entro il 24 dicembre 2027 , i soggetti privati tenuti, per legge o per contratto, a utilizzare sistemi di autenticazione forte per l’identificazione online degli utenti finali debbano accettare ai fini di identificazione anche gli EUDI Wallet, qualora gli utenti stessi lo richiedano (art. 5-septies, par. 2, del Regolamento eIDAS).

Tale obbligo interessa un elevato numero di soggetti operanti in diversi settori, tra cui quello bancario e finanziario, delle telecomunicazioni, dell’energia, dei trasporti e della sanità; ne è stabilita tuttavia l’esenzione per le microimprese e le piccole imprese.

Per banche, istituti di pagamento e istituti di moneta elettronica, l’obbligo di autenticazione forte degli utenti dei relativi servizi è previsto a livello regolamentare dall’art. 97 della Direttiva (UE) 2015/2366 (PSD2), che prescrive l’applicazione della SCA per l’accesso online ai conti di pagamento, la disposizione di operazioni di pagamento elettroniche oppure quando un cliente compie attraverso un canale remoto un’azione che può comportare un rischio di frode o altri abusi.

In tali circostanze, secondo l’orientamento espresso dalla Commissione europea, gli EUDI Wallet dovranno essere quindi accettati, su richiesta del cliente, anche ai fini della SCA, tenendo tuttavia presente che la mera corretta identificazione del cliente non equivale di per sé ad autorizzazione di una determinata operazione. Ad esempio, un cliente potrà scegliere di utilizzare il proprio EUDI Wallet per accedere al proprio conto di pagamento o per autorizzare un bonifico, fermo restando il rispetto dei requisiti di autenticazione prescritti dalla PSD2 e dal Regolamento delegato (UE) 2018/389, incluso , ove applicabile, il dynamic linking. Sotto il profilo tecnico, la specifica TS12 della Commissione europea prevede a tal fine che il PSP rilasci nel wallet del cliente un’apposita attestazione (c.d. SCA Attestation), da presentare in sede di autenticazione unitamente, ove previsto, ai dati dell’operazione: in tale modello il PSP assume quindi, oltre al ruolo di Relying Party, anche quello di Issuer.

In tale contesto lo schema SCARLET è volto a favorire l’interoperabilità tra i diversi operatori, tramite la definizione di:

un quadro contrattuale che individui i soggetti partecipanti, i relativi diritti e obblighi e la ripartizione delle responsabilità;
regole funzionali e operative comuni per l’accettazione degli EUDI Wallet;
specifiche tecniche condivise, basate anche sull’Architecture and Reference Framework (ARF) for the EU Digital Identity Wallet della Commissione europea e relativa specifica tecnica TS12 (Specification of Strong Customer Authentication (SCA) Implementation with the Wallet), nonché sui risultati dei progetti pilota su larga scala (Large Scale Pilots).

Sotto il profilo legale, assume particolare rilievo la prevista definizione di un Liability Framework, destinato a disciplinare le responsabilità tra i partecipanti allo schema. La ripartizione di responsabilità così definita su base contrattuale rimarrà in ogni caso distinta rispetto al regime di responsabilità ex lege stabilito dalla normativa sui servizi di pagamento, laddove non derogabile su base contrattuale.

Un ulteriore profilo d’attenzione riguarda gli obblighi stabiliti dal Regolamento eIDAS per i soggetti che intendono utilizzare gli EUDI Wallet nell’erogazione dei propri servizi (wallet-relying parties). Il relativo art. 5-ter prescrive infatti, tra l’altro, l’obbligo di registrazione nello Stato membro di stabilimento e l’indicazione delle finalità di utilizzo dell’EUDI Wallet e dei dati richiesti agli utenti, con divieto di richiedere dati diversi da quelli così indicati. Le relative norme tecniche sono disciplinate dal Regolamento di esecuzione (UE) 2025/848.

Tempistiche e prossimi sviluppi

L’EPC prevede di pubblicare la prima versione dello schema (SCARLET 1.0) nel dicembre 2027, a seguito di una consultazione pubblica programmata per l’estate dello stesso anno. Tale versione sarà focalizzata sull’accettazione dell’EUDI Wallet da parte dei PSP a diritto vigente, ossia ai sensi della disciplina PSD2 e degli attuali requisiti regolamentari in materia di SCA. Alla pubblicazione del rulebook seguirà un periodo di implementazione (sviluppo, test, onboarding e certificazione dei partecipanti), prima dell’avvio operativo dello schema.

Una successiva versione (SCARLET 1.1) sarà invece dedicata all’adeguamento dello schema all’emanando Payment Services Regulation (PSR) secondo tempistiche coerenti con la conformità dei PSP alla nuova disciplina europea in materia di servizi di pagamento al dettaglio.

La pubblicazione del primo rulebook SCARLET è dunque prevista sostanzialmente in coincidenza con la data di applicazione dell’obbligo di accettazione degli EUDI Wallet, mentre l’avvio operativo dello schema seguirà il richiamato periodo di implementazione. In ogni caso, i PSP coinvolti dovranno considerare che l’adempimento degli obblighi previsti da eIDAS 2 non è subordinato all’applicazione dello schema SCARLET; occorrerà quindi valutare indipendentemente il perimetro dei servizi coinvolti e i relativi requisiti di conformità.

PwC segue da tempo l’evoluzione del quadro normativo e tecnico in materia di EUDI Wallet. In tale contesto, affianca gli operatori di mercato nell’identificazione delle aree di impatto critiche al fine di delineare un percorso efficace e sostenibile per l’adeguamento alla nuova regolamentazione, grazie ad un approccio multidisciplinare che integra competenze Digital, Operations, Regulatory, Legal, Technology e Cybersecurity & Risk.

Per approfondire: EUDI Wallet e Financial Services: cosa cambia sui canali digitali e perché agire adesso