REM vs PEC: cosa cambia per le aziende — guida pratica

La REM (Registered Electronic Mail) è la versione qualificata e interoperabile della PEC: certifica l’identità del mittente e del destinatario, non solo la trasmissione del messaggio, e produce effetti legali in tutti gli Stati membri dell’Unione europea. La PEC italiana, classificata come SERC (Servizio Elettronico di Recapito Certificato) ai sensi del Regolamento eIDAS, garantisce data, ora e integrità del messaggio, ma non l’identità certa del titolare. La REM è invece un SERCQ (Servizio Elettronico di Recapito Certificato Qualificato): uno standard superiore che richiede identificazione obbligatoria del titolare tramite SPID, CIE, CNS o firma digitale, autenticazione a due fattori (2FA) e ricevute firmate in formato XAdES/CAdES.

Per le aziende, tre azioni sono prioritarie già oggi:

• Verificare la qualità delle anagrafiche e degli indirizzi PEC in uso, sincronizzando con l’Indice Nazionale degli Indirizzi PEC.
• Avviare il processo di identificazione certa dei titolari delle caselle, coinvolgendo IT e ufficio legale.
• Pianificare l’attivazione della 2FA e, per le integrazioni applicative, valutare il passaggio a OAuth 2.0 o APIKey.

Indice

• Cos’è la REM: definizione e contesto normativo
• Quali sono le differenze pratiche tra REM e PEC?
• Qual è lo stato della transizione in Italia?
• Cosa devono fare concretamente le aziende per adeguarsi?
• Cosa succede quando si invia una REM a chi non ha ancora REM?
• Dettagli tecnici per IT e integratori: firme, XML, DNS e trasporto
• Come TrovaPEC supporta la transizione verso la REM
• Punti chiave
• Agire prima del DPCM è una scelta di rischio, non di anticipo
• TrovaPEC per la migrazione REM: ricerca massiva e continuità operativa
• Fonti ufficiali e specifiche tecniche da consultare

Cos’è la REM: definizione e contesto normativo

La Registered Electronic Mail, nota anche come PEC europea, è il servizio di recapito elettronico certificato qualificato definito dal Regolamento eIDAS (UE) n. 910/2014. A differenza della PEC italiana, la REM è progettata per operare in modo interoperabile tra tutti i provider europei abilitati, detti REMSP (REM Service Provider).

Il quadro tecnico di riferimento è prodotto dall’ETSI (European Telecommunications Standards Institute), che ha pubblicato la serie di specifiche EN 319 532. Queste norme definiscono i formati dei messaggi, le firme elettroniche, i meccanismi di trust tra provider e i protocolli di interoperabilità. AGID (Agenzia per l’Italia Digitale) ha guidato il contributo italiano all’adozione di questi standard, coordinando il gruppo di lavoro nazionale e collaborando con provider e istituzioni per la migrazione.

Per chi vuole approfondire la storia e il funzionamento della PEC italiana prima di affrontare il confronto, la guida completa sulla PEC di TrovaPEC offre un riferimento pratico.

Tappe normative essenziali

Quali sono le differenze pratiche tra REM e PEC?

Il confronto tra REM e PEC non riguarda solo la nomenclatura: le differenze incidono direttamente sulla validità legale delle comunicazioni, sulle procedure di onboarding e sulle integrazioni tecniche già in produzione.

1. Classificazione eIDAS e conseguenze legali

La PEC è un SERC: certifica trasmissione, data e integrità, ma non l’identità del titolare. La REM è un SERCQ: aggiunge la certezza dell’identità di mittente e destinatario, producendo effetti giuridici equivalenti in tutta l’UE. Una comunicazione inviata tramite REM a un operatore tedesco o francese ha lo stesso valore probatorio di una raccomandata con ricevuta di ritorno. La PEC, al di fuori dell’Italia, non gode di questo riconoscimento automatico.

2. Identificazione del titolare

Con la REM, l’apertura o la migrazione di una casella richiede l’identificazione certa del titolare tramite SPID, CIE, CNS o firma digitale qualificata. Questo obbligo, assente nella PEC tradizionale, è il punto operativo più impegnativo per le aziende con molte caselle attive. L’identificazione certa del titolare e l’adozione della 2FA diventano requisiti strutturali, non opzionali.

3. Autenticazione a due fattori

L’accesso web a una casella REM richiede la 2FA. Per gli accessi applicativi, i provider stanno adottando OAuth 2.0 e APIKey come modalità standard, in sostituzione delle credenziali semplici oggi diffuse nelle integrazioni PEC. Chi gestisce invii automatizzati deve aggiornare le proprie routine di autenticazione.

4. Formato delle ricevute e firme elettroniche

Questa è la differenza più rilevante per chi sviluppa o gestisce integrazioni. La PEC usa S/MIME per le ricevute; la REM adotta firme CAdES e XAdES con ricevute in formato XML, conformi alle specifiche ETSI. I parser già sviluppati per elaborare i receipts PEC devono essere aggiornati o dotati di un adapter layer per interpretare i nuovi campi.

5. Validità transfrontaliera e interoperabilità

La REM abilita l’interoperabilità diretta tra REMSP di paesi diversi tramite la Common Service Interface (CSI) definita da ETSI. La PEC, pur essendo affidabile in Italia, non dispone di questo meccanismo nativo verso l’estero.

Un consiglio: per le aziende con molte caselle condivise tra più utenti, la gestione degli accessi applicativi tramite APIKey è spesso più praticabile della 2FA su webmail: verificare con il proprio provider REMSP quali modalità sono già disponibili.

Qual è lo stato della transizione in Italia?

La transizione da PEC a REM in Italia è normata ma non ancora obbligatoria. L’operatività piena dipende dall’emanazione di un DPCM (Decreto del Presidente del Consiglio dei Ministri) che stabilirà le scadenze vincolanti per provider e utenti. Questo decreto è atteso nella seconda metà del 2026, ma ha già subito slittamenti rispetto alle previsioni iniziali.

Nel frattempo, AGID coordina il processo tecnico e normativo, mentre i provider più strutturati hanno già avviato procedure di adeguamento volontario. La Gazzetta Ufficiale rimane il canale ufficiale per monitorare l’emanazione del DPCM e le eventuali circolari attuative.

L’assenza del DPCM non significa che le aziende possano attendere passivamente. Chi avvia oggi l’inventario delle caselle e il processo di identificazione dei titolari si troverà in una posizione molto più solida quando le scadenze diventeranno vincolanti. Il mancato adeguamento espone le comunicazioni alla perdita del valore legale qualificato per gli scambi con operatori europei, indipendentemente dall’obbligo formale.

Cosa devono fare concretamente le aziende per adeguarsi?

Una migrazione ordinata richiede un piano strutturato che coinvolga IT, compliance e amministrazione. I passi seguenti sono ordinati per priorità operativa.

1. Inventario delle caselle attive: censire tutte le caselle PEC aziendali, i titolari formali e gli accessi applicativi esistenti. Molte aziende scoprono in questa fase caselle orfane o condivise senza un titolare identificato.
2. Verifica e normalizzazione delle anagrafiche: sincronizzare gli indirizzi PEC con l’Indice Nazionale degli Indirizzi PEC per eliminare indirizzi obsoleti o errati. Per invii massivi, la qualità dei dati è determinante: un’identificazione non conforme blocca la validità della comunicazione a livello europeo. TrovaPEC supporta questa fase con ricerca e verifica massiva degli indirizzi PEC a partire da elenchi di Partite IVA o Codici Fiscali.
3. Identificazione certa dei titolari: avviare il processo di identificazione tramite SPID, CIE, CNS o firma digitale. Le risorse open data di SPID e l’elenco dei soggetti federati aiutano a scegliere il provider di riconoscimento più adatto al contesto aziendale.
4. Attivazione della 2FA: per gli accessi web, attivare la 2FA su tutte le caselle. Per le integrazioni applicative, pianificare il passaggio a OAuth 2.0 o APIKey con il provider REMSP.
5. Aggiornamento delle integrazioni tecniche: i tool che elaborano i receipts PEC via XML devono essere aggiornati per interpretare XAdES/CAdES e i nuovi campi dei receipts REM. Molti integratori adottano un adapter layer per mantenere compatibilità con i sistemi esistenti.
6. Policy operative: definire procedure per caselle condivise, logging degli invii, conservazione a norma e disaster recovery. Una comunicazione aziendale strutturata riduce i rischi di discontinuità durante la transizione.

Cosa succede quando si invia una REM a chi non ha ancora REM?

Il flusso standard prevede che il messaggio transiti dal server del mittente (S-REMS, Sending REM Service) al server del destinatario (R-REMS, Receiving REM Service). Quando il destinatario non dispone ancora di una casella REM qualificata, il comportamento dipende dalle scelte del provider mittente e dalla configurazione del canale.

• Se il destinatario ha ancora una PEC italiana, il provider può gestire un fallback verso il canale nazionale, con ricevuta equivalente e conservazione delle evidenze di trasmissione.
• Se il destinatario non ha né REM né PEC, la comunicazione può essere degradata a posta ordinaria, perdendo ogni valore legale certificato.
• In entrambi i casi, il mittente deve conservare le ricevute disponibili e documentare il tentativo di recapito qualificato.

La perdita di valore legale non avviene al momento dell’invio, ma al momento in cui la comunicazione deve produrre effetti giuridici in un contesto europeo. Una casella non adeguata non blocca la ricezione, ma priva il messaggio della qualifica SERCQ necessaria per il riconoscimento automatico in altri Stati membri. Questo impone strategie di coesistenza e logging accurato fino al completamento della transizione.

Il caveat legale è rilevante soprattutto per le aziende che inviano comunicazioni obbligatorie a controparti europee: in assenza di un REMSP qualificato a destinazione, il valore probatorio della comunicazione va valutato caso per caso con il proprio consulente legale.

Dettagli tecnici per IT e integratori: firme, XML, DNS e trasporto

Chi sviluppa o mantiene integrazioni con la PEC deve prepararsi a modifiche strutturali, non solo a aggiornamenti di configurazione.

• Formato dei receipts REM: le ricevute sono documenti XML firmati con XAdES-B-T, come definito nelle specifiche ETSI EN 319 532-4. Rispetto ai receipts PEC in S/MIME, i nuovi campi includono informazioni sull’identità del titolare e sul percorso di trasmissione tra REMSP.
• Firme elettroniche: la REM usa CAdES per i messaggi e XAdES per le ricevute. La PEC usa S/MIME. I parser esistenti non sono compatibili senza adattamento.
• Certificazione dei domini e trust: la REM adotta meccanismi DNS-based per la certificazione dei domini, diversi dal modello centralizzato LDIF della PEC italiana. Questo richiede aggiornamenti alla gestione dei certificati e delle zone DNS, con impatti su DANE e MTA-STS per la sicurezza del trasporto.
• Common Service Interface (CSI): è il protocollo ETSI che consente l’interoperabilità tra REMSP di paesi diversi. La sua implementazione è a carico dei provider, ma le aziende con integrazioni dirette devono verificare la compatibilità delle proprie API.

Un consiglio: prima di aggiornare i parser, verificare con il proprio provider REMSP quali versioni delle specifiche ETSI sono già in produzione: alcuni provider hanno implementato varianti intermedie che richiedono un adapter layer specifico. La credibilità tecnica delle integrazioni dipende anche dalla qualità di questa fase di allineamento.

Come TrovaPEC supporta la transizione verso la REM

La fase più critica della migrazione non è quella tecnica: è la qualità dei dati. Indirizzi PEC obsoleti, caselle inattive o titolari non identificati rendono inefficace qualsiasi processo di adeguamento, indipendentemente dalla tecnologia adottata.

TrovaPEC affronta esattamente questo problema. La piattaforma consente la ricerca massiva di indirizzi PEC ufficiali a partire da elenchi di Partite IVA o Codici Fiscali, con dati aggiornati tramite l’Indice Nazionale degli Indirizzi PEC. Per le aziende che devono bonificare le proprie anagrafiche prima della migrazione REM, questo è il punto di partenza più efficiente.

• Invio massivo PEC: gestire campagne di comunicazione certificata su larga scala, con rendicontazione degli invii e integrazione tramite API o web services.

Un consiglio: durante la transizione REM, mantenere aggiornato l’elenco degli indirizzi PEC delle proprie controparti è altrettanto importante quanto adeguare le proprie caselle. Un indirizzo non più valido o migrato a REM senza aggiornamento nell’anagrafica aziendale può rendere inefficace una comunicazione legale.

Punti chiave

La differenza tra REM e PEC si riduce a una sola variabile determinante: la REM certifica l’identità del titolare e produce effetti legali in tutta l’UE, la PEC no.

Agire prima del DPCM è una scelta di rischio, non di anticipo

Chi aspetta il DPCM per iniziare a muoversi sta confondendo l’obbligo formale con il rischio reale. Le comunicazioni verso controparti europee che già operano con REMSP qualificati perdono oggi valore legale qualificato, indipendentemente da quando arriverà il decreto italiano. Il danno non è futuro: è presente, anche se non ancora sanzionato.

C’è poi un secondo errore comune: pensare che la transizione REM sia un problema del provider, non dell’azienda. Il provider può adeguare l’infrastruttura, ma l’identificazione dei titolari, la qualità delle anagrafiche e l’aggiornamento delle integrazioni applicative sono responsabilità interne. Nessun REMSP può fare questo lavoro al posto dell’ufficio IT o del responsabile compliance.

La sequenza logica di investimento è chiara: prima i dati (anagrafiche e indirizzi verificati), poi gli accessi (identificazione titolari e 2FA), infine l’automazione (API e integrazioni aggiornate). Chi inverte questo ordine rischia di costruire un’automazione su dati non conformi, vanificando l’intero sforzo. La differenza tra PEC e firma digitale è un altro aspetto che vale la pena chiarire internamente prima di avviare la migrazione, perché i due strumenti continuano a coesistere anche nell’ecosistema REM.

TrovaPEC per la migrazione REM: ricerca massiva e continuità operativa

Quando si gestiscono centinaia o migliaia di comunicazioni certificate, la bonifica delle anagrafiche non è un’attività una tantum: è un processo continuo. TrovaPEC elimina il collo di bottiglia della ricerca manuale, consentendo di trovare indirizzi PEC da Partita IVA in modo automatizzato e di mantenere gli elenchi aggiornati nel tempo.

Per le aziende in fase di adeguamento REM, i servizi di TrovaPEC coprono le tre esigenze più urgenti: verifica massiva degli indirizzi PEC esistenti, normalizzazione delle anagrafiche e invio massivo di comunicazioni certificate con rendicontazione completa. Le integrazioni via API permettono di automatizzare questi flussi direttamente nei sistemi gestionali, senza intervento manuale su ogni singola elaborazione. Per capire in quali contesti una comunicazione PEC produce pieno valore probatorio, la pagina dedicata al valore legale della PEC offre un riferimento pratico utile anche durante la transizione. Per richiedere una demo o un preventivo su misura, è possibile contattare il team TrovaPEC direttamente dalla pagina di richiesta informazioni.

Fonti ufficiali e specifiche tecniche da consultare

Per approfondire i riferimenti normativi e tecnici citati in questo articolo:

• ETSI EN 319 532-4: — specifica tecnica REM completa: formati XML, firme XAdES/CAdES, Common Service Interface e meccanismi di trust tra REMSP.
• AGID — Standard ETSI per la PEC europea: — comunicato ufficiale AGID sulla pubblicazione dello standard e il contributo italiano.
• SPID open data: — elenco dei soggetti federati e risorse per integrare SPID nei processi di identificazione dei titolari.
• Intesa — Cosa cambia con la REM in 5 punti: — sintesi operativa delle differenze SERC/SERCQ e degli obblighi di identificazione e 2FA.
• Intesa — REM certified email: — esempi pratici di migrazione e API già disponibili presso i provider.
• Namirial — PEC imprese e standard REM: — analisi degli impatti per le imprese e rischi legali in caso di mancato adeguamento.
• iFin — Dalla PEC alla REM: — guida pratica sull’identificazione certa del titolare e l’adozione della 2FA.

Per monitorare aggiornamenti normativi, il canale ufficiale rimane la Gazzetta Ufficiale della Repubblica Italiana, dove sarà pubblicato il DPCM che renderà obbligatoria la transizione. Il sito AGID pubblica comunicati e documenti tecnici di supporto all’adeguamento.

Questo articolo ha carattere informativo generale. Per valutare gli obblighi specifici della propria organizzazione, si raccomanda di consultare un professionista legale o il proprio provider REMSP di riferimento.

Raccomandati

• Raccomandata vs PEC: guida pratica per aziende
• Blog – TrovaPEC
• PEC e Registro Imprese: guida pratica per le imprese
• Come aprire una PEC aziendale: guida passo-passo per iniziare – TrovaPEC