O calendário de certificação italiano que um fornecedor de jogos precisa cumprir

O regulador de jogos de azar da Itália deixou de tratar a certificação como uma única data. Ele a dividiu em uma sequência, e a ordem dessa sequência é a parte que remodela o roteiro de um fornecedor: o sistema de jogo precisa ser certificado antes que os operadores que vão utilizá-lo possam concluir suas próprias verificações.

A Agenzia delle Dogane e dei Monopoli, ADM, passou um ano dizendo aos concessionários de jogos remotos que 13 de novembro de 2026 era a data até a qual o novo “Sistema del concessionario” tinha de passar pela verificação de conformidade realizada por um organismo de verificação reconhecido, um Organismo di Verifica, ou ODV. Essa data não foi removida. Recebeu uma função mais estreita. Sob o calendário escalonado, 13 de novembro de 2026 é o prazo para os concessionari fornitori di servizi — concessionários fornecedores de serviços, conhecidos como CFS — apresentarem os resultados das verificações de conformidade sobre os aplicativos que contêm sistemas de jogo oferecidos a outros concessionários, juntamente com os componentes que povoam a biblioteca compartilhada. Os concessionários que usam esses sistemas de jogo fornecidos por CFS apresentam então até 13 de janeiro de 2027. As verificações técnico-funcionais são concluídas até 12 de fevereiro de 2027, e o novo sistema de jogo entra em produção a partir de 15 de fevereiro de 2027.

Esse calendário escalonado foi noticiado pela imprensa especializada italiana em 7 de outubro de 2026. Ele se assenta sobre dois documentos que são o arcabouço de tudo o que segue: a carta da ADM de 27 de fevereiro de 2026, que deslocou o prazo original da primavera para 13 de novembro de 2026, e as instruções operacionais da ADM de 7 de agosto de 2026 sobre a certificação do sistema do concessionário para as novas licenças. As datas são do regulador; verifique o calendário atual com a Agenzia antes de planejar um lançamento com base nelas.

Por que o fornecedor vem primeiro

Toda a ordem escalonada vem de uma única regra nas diretrizes de certificação da ADM. Um concessionário que pretende usar um sistema de jogo já certificado e disponibilizado por um concessionário fornecedor de serviços ainda é obrigado a ter seu próprio sistema de concessionário verificado como um todo. Mas, nesse caso, o ODV é obrigado a verificar apenas a integração do sistema de jogo do CFS com os demais componentes do sistema que está sendo verificado.

Essa única exceção cria a dependência. Um concessionário consumidor não pode demonstrar uma integração com um sistema de jogo que ainda não detém seu próprio resultado de verificação. Assim, os sistemas certificados precisam existir primeiro e estar visíveis na biblioteca, e só então os operadores que os utilizam podem concluir seu próprio caminho. A ADM desde então reafirmou o ponto: a verificação técnica de conformidade sempre se aplica ao sistema do concessionário em sua totalidade, e não a elementos isolados considerados separadamente, e quando um ou mais sistemas fornecidos por CFS estão em uso, o organismo verificador também deve verificar a integração correta entre os sistemas CFS e os demais componentes.

Para um estúdio, uma plataforma ou um CFS que queira fornecer ao mercado italiano, esse é o significado prático do calendário. Seu trabalho de certificação está no caminho crítico do prazo de outra pessoa.

O que o organismo de verificação realmente examina

As instruções de agosto da ADM descrevem um exame mais amplo do que uma auditoria matemática. O ODV trabalha a partir de um relatório técnico que deve descrever o sistema, seus componentes e como eles interagem, e então verifica a documentação e os componentes de hardware e software, os arquivos críticos, os sistemas que verificam a integridade do software e a comunicação entre os diferentes componentes e com o sistema central da ADM. Testes de conformidade, análises estatísticas e verificações funcionais decorrem das regras técnicas e da regulamentação aplicável.

A disciplina do código-fonte é a parte que surpreende equipes acostumadas a uma submissão de laboratório. O código entregue para inspeção deve conter, para cada arquivo, módulo ou função, seu componente, uma breve descrição do que ele faz e um histórico de alterações, com a versão certificada identificada de forma única por versão. Os arquivos críticos são identificados por um digest, e o ODV deve ser capaz de demonstrar que os binários que examinou são resultado da compilação do código que foi entregue. Um log de build com digests do código e um carimbo de data/hora faz parte da submissão, e o script que produziu o arquivo de digest também.

É a mesma disciplina que o guia de submissão de certificação exige em um laboratório de testes, aplicada a toda uma plataforma e sua integração, e é onde os requisitos de integração do RGS encontram a papelada de um regulador em vez da API de carteira de outro operador.

As obrigações de engenharia que recaem sobre o fornecedor

As diretrizes impõem um conjunto de obrigações mensuráveis ao sistema do concessionário e, em uma cadeia de fornecimento de CFS, a maioria delas recai sobre quem constrói o sistema de jogo.

• Replicação. Dados replicados para o site secundário em até 120 segundos, com o site secundário geograficamente distinto, mas dentro do EEE, e o próprio processo de recuperação de desastres demonstrado. A disciplina de verificação de backup e restauração é o ensaio certo para essa alegação.
• Nuvem. Plataformas em nuvem são permitidas, mas apenas de provedores inscritos no registro mantido pela agência italiana de cibersegurança e que atendam aos requisitos técnicos da agência digital, com soberania digital dos dados e criptografia tanto em trânsito quanto em repouso. A questão de residência de dados e transferência transfronteiriça não é, aqui, uma preferência de política; é um insumo de certificação.
• Janelas de dados. Disponibilidade em tempo real de informações de jogo e operacionais armazenadas dos últimos seis meses; informações contábeis e de transações sob demanda dos últimos dois anos; arquivamento de cinco anos com integridade e legibilidade; e consultas personalizadas que possam ser exportadas em até 48 horas de uma solicitação.
• Relatórios em tempo real. Transações de jogo, bônus e resultados transmitidos ao sistema central da ADM em tempo real, com cada etapa do fluxo do jogo rastreável e reconstituível.
• Integridade e acesso. Verificação automatizada de integridade dos componentes, com o componente afetado bloqueado quando a verificação falha, e autenticação multifator para acesso ao back-office — o tema dos requisitos de controle de acesso ao back-office.
• Divulgação de IA. Quando os resultados podem ser influenciados por tomada de decisão automatizada ou ferramentas de computação externas, as regras do jogo precisam declarar isso antes de o jogador participar.

A verificação da primeira execução acontece em produção

A certificação não é o último portão. Em uma primeira certificação, a ADM prevê uma verificação técnico-funcional realizada no ambiente de produção. Ela abrange a configuração de fato destinada à concessão, percorre todos os sistemas de jogo incluídos no pedido de certificação e ocorre na primeira partida em produção de cada tipo de jogo. As verificações são operacionais: a venda, a aceitação de apostas, a contabilização das transações, o crédito dos prêmios, os pagamentos e a troca de informações com o sistema central da ADM. Cinco contas de teste registradas em nome de uma pessoa jurídica são configuradas para isso e seus cronogramas são publicados. Quando sistemas fornecidos por CFS estão em uso, o CFS deve fornecer suporte técnico durante as verificações.

Esse é um ensaio de prontidão para produção com um regulador observando, e é o momento em que uma integração que só rodou contra um mock é descoberta.

Controle de mudanças após o certificado

Um certificado descreve uma versão, e as regras o acompanham. As instruções de agosto da ADM afirmam que modificações posteriores em um sistema já certificado que possam afetar os componentes críticos, as funções que foram verificadas ou a conformidade com as regras técnicas devem ser submetidas ao organismo de verificação com antecedência. Uma atualização emergencial necessária para restaurar o funcionamento correto é permitida antes de o pedido ser protocolado, mas o concessionário ainda deve obter a certificação de conformidade da mudança junto ao ODV, em até duas semanas.

Dois outros ritmos estão por baixo. As autorizações são válidas por 12 meses, após os quais auditorias verificam, por plataforma e por jogo, que o sistema operacional ainda corresponde ao que foi certificado, que as alterações que não tocam o gerador de números aleatórios ou o software de geração de símbolos estão em conformidade, e que o prêmio real ou o retorno ao jogador efetivamente oferecido corresponde ao que a arte do jogo informou ao jogador — medido em relação aos dados de jogo dos 12 meses anteriores. E as regras transitórias que a ADM emitiu em junho de 2026 mantêm os aplicativos de live-dealer, bingo, pôquer e bolsa de apostas em movimento pela rota de certificação existente até que as novas regras técnicas para esses verticais comecem, em 13 de novembro de 2026.

O que isso significa para uma encomenda

Duas decisões decorrem do calendário, e elas são comerciais antes de serem técnicas.

De que lado da integração você está. Um estúdio ou plataforma que se torna concessionário fornecedor de serviços certifica um sistema de jogo uma vez e o oferece a concessionários que então verificam apenas a integração. Esse é o caminho mais precoce e é onde a biblioteca compartilhada é povoada. Um fornecedor que, em vez disso, coloca seus títulos dentro do sistema de concessionário de um único operador herda a data de 13 de janeiro desse operador e a verificação de sistema completo do próprio operador — mais barato para entrar, mas você é um passageiro na certificação de outra pessoa.

Se suas evidências têm controle de versão. Os digests do código, o log de build, o identificador de versão certificada e a janela de atualização emergencial todos pressupõem que o artefato que foi certificado é o artefato em produção. Uma alteração de live-ops que vai ao ar sem um incremento de versão não é um pequeno atalho nesse arcabouço; é exatamente o estado que a regra de controle de mudanças foi escrita para impedir.

A Itália não é o único mercado que exige isso, e é por isso que o lado de desenvolvimento de jogos de cassino de uma encomenda e seu lado de certificação e conformidade são mais baratos de manter juntos desde a fase de design do que de reconciliar no ODV.

As decisões que cabem em uma página

1. A rota. O CFS certificando um sistema para vários concessionários, ou um fornecedor integrando-se ao sistema de um único concessionário.
2. A data que você realmente possui. 13 de novembro de 2026, 13 de janeiro de 2027, 12 de fevereiro de 2027 ou 15 de fevereiro de 2027.
3. O entregável. Relatório técnico, inventário de componentes, digests de arquivos críticos, log de build, script de digest, identificadores de versão únicos.
4. As alegações de infraestrutura. Replicação em 120 segundos, recuperação de desastres no EEE, um registro de nuvem aprovado, criptografia em repouso e em trânsito.
5. As janelas de dados. Seis meses ao vivo, dois anos sob demanda, cinco anos arquivados, exportações em 48 horas.
6. A primeira execução em produção. Contas de teste, cronogramas publicados e o suporte técnico do CFS que precisa estar presente.
7. A regra de mudanças. Modificações em componentes críticos ou funções verificadas vão primeiro ao ODV; atualizações emergenciais são certificadas em até duas semanas.

Perguntas que estúdios e plataformas fazem

As novas datas de certificação se aplicam a todo o mercado online de uma só vez?

Não. O calendário escalonado dá a data mais precoce, 13 de novembro de 2026, aos concessionários fornecedores de serviços que apresentam os resultados de conformidade para aplicativos que contêm sistemas de jogo oferecidos a outros concessionários, além dos componentes que povoam a biblioteca compartilhada. Os concessionários que usam esses sistemas de jogo fornecidos por CFS seguem até 13 de janeiro de 2027, as verificações técnico-funcionais são concluídas até 12 de fevereiro de 2027, e o novo sistema entra em produção a partir de 15 de fevereiro de 2027. As datas foram noticiadas pela imprensa especializada italiana em 7 de outubro de 2026; confirme o calendário atual com a ADM.

Se um concessionário usa um sistema de jogo já certificado, o que ainda precisa ser verificado?

O sistema do concessionário, como um todo. As diretrizes permitem que um concessionário use um sistema de jogo certificado disponibilizado por um concessionário fornecedor de serviços, mas permanece a exigência de ter seu próprio sistema verificado em sua totalidade; o que muda é que o organismo de verificação é obrigado a verificar apenas a integração do sistema de jogo do CFS com o restante do sistema em análise. As instruções de agosto de 2026 da ADM repetem que a verificação de conformidade abrange o sistema em sua totalidade, e não elementos isolados considerados separadamente.

O que um organismo de verificação inspeciona?

Um relatório técnico que descreve o sistema, seus componentes e suas interações; a documentação mais os componentes de hardware e software; os arquivos críticos; os mecanismos automatizados de verificação de integridade; e as comunicações entre componentes e com o sistema central da ADM. Testes de conformidade, análises estatísticas e verificações funcionais seguem as regras técnicas. O código-fonte deve conter uma descrição e um histórico de alterações para cada arquivo ou módulo, a versão certificada deve ser identificada de forma única, e o revisor deve ser capaz de demonstrar que os binários correspondem ao código compilado, com um log de build e os digests dos arquivos críticos.

Quais são as obrigações de infraestrutura?

Replicação de dados para um site secundário geograficamente distinto dentro do EEE em no máximo 120 segundos, com o processo de recuperação de desastres demonstrado; provedores de nuvem inscritos no registro da agência italiana de cibersegurança e que atendam aos requisitos técnicos da agência digital, com criptografia de dados em trânsito e em repouso; disponibilidade em tempo real das informações de jogo dos últimos seis meses; dados contábeis e de transações sob demanda por dois anos; arquivamento de cinco anos; e resultados de consultas personalizadas exportáveis em até 48 horas de uma solicitação.

O que acontece depois que um sistema já foi certificado?

Modificações que possam afetar componentes críticos, as funções que foram verificadas ou a conformidade com as regras técnicas devem ser submetidas ao organismo de verificação com antecedência. Uma atualização emergencial necessária para restaurar o funcionamento correto pode ser aplicada antes de o pedido ser protocolado, mas a certificação de conformidade da mudança ainda deve ser obtida junto ao organismo de verificação em até duas semanas. As autorizações são válidas por 12 meses e são renovadas por meio de uma auditoria que compara o sistema operacional com a versão certificada e verifica o prêmio real ou retorno ao jogador em relação a 12 meses de dados de jogo.

Existe uma verificação após a certificação, antes de os jogos entrarem no ar?

Sim, em uma primeira certificação. Uma verificação técnico-funcional ocorre no ambiente de produção, sobre a configuração de fato destinada à concessão, abrangendo todos os sistemas de jogo do pedido de certificação e executando na primeira partida em produção de cada tipo de jogo. Ela exercita vendas, aceitação de apostas, contabilização, crédito de prêmios, pagamentos e a troca de informações com o sistema central da ADM, e usa cinco contas de teste registradas em nome de uma pessoa jurídica com cronogramas publicados. Quando sistemas fornecidos por prestadores de serviços são usados, o CFS deve fornecer suporte técnico durante essas verificações.