Cos'è la firma digitale?

Tuttavia questa definizione, seppur corretta nel concetto, non rende giustizia alla complessità e alla sicurezza che questo strumento porta con sé.

Tecnicamente e giuridicamente, la definizione di firma digitale inquadra un particolare tipo di firma elettronica (in particolare una firma elettronica qualificata, anche chiamata FEQ) basata su un sistema di chiavi crittografiche e supportata da un certificato digitale. È proprio questo certificato a collegare in maniera univoca la firma all’identità del titolare, permettendo di rendere manifesta e di verificare la provenienza e l’integrità di un documento informatico.

La sua funzione principale è garantire tre caratteristiche imprescindibili per qualsiasi documento legale:

1. autenticità: garantisce l’identità del sottoscrittore grazie al certificato digitale rilasciato da un Ente Certificatore qualificato. Chi riceve il documento ha la certezza che sia stato firmato proprio da quella specifica persona.

2. integrità: assicura che il documento non sia stato modificato dopo la sottoscrizione. Anche la variazione di una singola virgola invaliderebbe la firma.

3. non ripudio: il firmatario non può disconoscere il documento firmato, salvo querela di falso. Questo conferisce alla firma digitale piena efficacia probatoria in giudizio, equiparandola alla scrittura privata ai sensi dell’art. 2702 del Codice Civile.

In Italia, il riferimento normativo principale è il Codice dell’Amministrazione Digitale (CAD), che all’Articolo 1 definisce cosa si intende per firma digitale, ponendola al vertice della piramide della sicurezza documentale.

Come funziona la firma digitale: crittografia e certificato

Per comprendere come funziona una firma digitale, bisogna addentrarsi nel legame tra crittografia asimmetrica e certificato digitale.

Il sistema si basa su una coppia di chiavi, una privata e una pubblica, e su una sorta di passaporto digitale che ne garantisce la validità:

• chiave privata: è in possesso esclusivo del titolare, spesso installata su una Smart Card, un Token USB o custodita su un server sicuro. Serve a generare la firma. Può essere pensata come un timbro personale.

• certificato digitale e chiave pubblica: la chiave pubblica, accessibile a tutti per verificare la firma, è contenuta all’interno del certificato digitale. Il certificato è un documento elettronico emesso da un’Autorità di Certificazione (o QTSP) che attesta con certezza la proprietà della chiave pubblica. In questo modo un ente terzo garantisce la validità della correlazione chiave-proprietario, e dunque firma-firmatario.

Quando apponi una firma digitale un software calcola una impronta digitale, chiamata hash, e la cifra utilizzando la tua chiave privata. Il destinatario, ricevendo il documento, estrae la tua chiave pubblica dal certificato allegato per decifrare l’impronta. Se l’operazione riesce e le impronte coincidono, il destinatario ottiene la garanzia di:

1. autenticità: la firma è stata creata dal proprietario del certificato

2. fiducia: il certificato è valido e rilasciato da un’autorità fidata

3. integrità: il file non è stato alterato dopo la firma

Differenza tra firma digitale e firma elettronica

Sebbene i termini siano spesso utilizzati in maniera intercambiabile, esiste una sostanziale differenza tra firma elettronica e firma digitale.

La normativa europea eIDAS e quella italiana distinguono diverse tipologie di firme, classificate in base al livello di sicurezza e al valore legale. Secondo l’inquadramento formale, la firma digitale è una particolare Firma Elettronica Qualificata (FEQ), mentre con firma elettronica, che funge da termine ombrello, si intende l’insieme di tutti i possibili tipi di firma online.

Vantaggi della firma digitale

Quando si parla di firma digitale non bisogna solamente pensare alla tutela legale e agli obblighi normativi, ma anche ai benefici tangibili per il business. Adottare soluzioni di firma digitale, specialmente se integrate in piattaforme come quella di Sign, di CM.com, trasforma radicalmente l’operatività aziendale.

Ecco i principali vantaggi:

• efficienza e velocità: il tempo di firma si riduce da giorni (stampa, firma, scansione, invio) a minuti. Un contratto inviato digitalmente può essere firmato dal cliente ovunque si trovi, anche direttamente dallo smartphone.

• riduzione dei costi: si eliminano le spese legate alla carta, ai toner, alla manutenzione delle stampanti, all’archiviazione fisica e, soprattutto, alle spedizioni tramite corriere o raccomandata. Analizzando il modello di costo di una firma digitale rispetto ai costi operativi tradizionali, il ROI è quasi immediato.

• sicurezza e conformità: i documenti firmati digitalmente sono protetti da alterazioni. Inoltre, l’utilizzo di marche temporali (spesso associate alla firma) fornisce una data certa opponibile a terzi, fondamentale per la conformità legale.

• sostenibilità ambientale: ridurre il consumo di carta è un passo concreto verso la sostenibilità e la responsabilità sociale d’impresa (CSR), un valore sempre più apprezzato dai consumatori moderni.

• miglior customer experience: offrire al cliente la possibilità di firmare un contratto comodamente dal proprio divano, senza dover cercare uno scanner o doversi recare in filiale, migliora drasticamente la percezione del brand e il tasso di conversione.

Software per la firma digitale

Per creare e utilizzare una firma digitale è necessario dotarsi di due elementi: un certificato digitale di firma, rilasciato da un Ente Certificatore (QTSP), e un software di firma. Solitamente ogni QTSP fornisce il proprio software specifico, ma esistono anche soluzioni universali o integrate come quelle offerte da CM.com.

Nei processi di valutazione e scelta di un servizio di questo tipo dovresti tenere a mente le seguenti caratteristiche:

• compatibilità di tipi di firma: tieni in considerazione che potresti aver bisogno di diverse tipologie di firma elettronica, non solamente della firma digitale.

• compatibilità di formati: deve offrire la flessibilità necessaria a lavorare con formati di firma come CAdES, PAdES e XAdES.

• integrazione con i flussi aziendali: è la caratteristica più impattante sul business e spesso sottovalutata anche dai più comuni servizi di firma digitale. Integrare il processo di firma, per esempio via API, con i propri sistemi di governance aziendale permette di automatizzare i processi ed eliminare le frizioni operative.

Un ulteriore aspetto è infine dato dall’utilizzo di un sistema in cloud. Soluzioni come Sign di CM.com non richiedono l’installazione di un software sul computer, ma permettono di accedere direttamente online al servizio e di richiedere la firma al destinatario da qualsiasi dispositivo in maniera facile e veloce.

Normative e sicurezza della firma digitale

In Italia la normativa di riferimento è il Codice dell’Amministrazione Digitale (CAD - D.Lgs. 82/2005), che recepisce e integra il Regolamento Europeo eIDAS (910/2014).

Queste normative stabiliscono che solo gli Enti Certificatori accreditati, definiti QTSP (Qualified Trust Service Providers), possono rilasciare certificati qualificati validi per la firma digitali. L’elenco di questi fornitori in Italia è gestito e controllato dall’AgID (Agenzia per l’Italia Digitale).

La sicurezza del sistema di firma digitale dunque non è solamente garantita dalla tecnologia crittografata, ma anche dalle procedure di identificazione. Per ottenere una firma digitale l’utente deve infatti essere identificato in modo certo de visu, tramite SPID, CIE o video riconoscimento. Inoltre i formati di firma utilizzati (come il CAdES ed il PAdES) sono standardizzati a livello europeo per garantire l’interoperabilità.

Chi è obbligato ad avere la Firma Digitale?

Il legislatore italiano ha individuato specifici soggetti per i quali il possesso e l’utilizzo della Firma Digitale non è opzionale, quanto un preciso obbligo di legge per garantire la certezza delle transazioni giuridiche e amministrative.

Ecco gli attori principali:

• pubblica amministrazione: ai sensi dell’art. 6 del CAD, le PA devono utilizzare la firma digitale per la sottoscrizione di atti, provvedimenti e contratti, garantendo la dematerializzazione dei flussi documentali.

• imprese e società:

  • per l’iscrizione e il deposito di atti al Registro delle Imprese (es: bilanci, modifiche societarie, etc) è obbligatorio l’uso della firma digitale

  • l’obbligo è stato rafforzato dal D.L. 185/2008 (convertito nella Legge 2/2009), che impone alle società l’adozione di strumenti di comunicazione digitale certificata per i rapporti con la PA e gli enti camerali.

• liberi professionisti iscritti agli albi: avvocati, architetti, ingegneri, commercialisti e tutti i freelance iscritti ad un Albo sono tenuti a possedere un dispositivo di firma digitale per le comunicazioni con le proprie Casse di Previdenza, gli Ordini professionali e la Pubblica Amministrazione (D.L. 185/2008).

Domande Frequenti sulla Firma Digitale

La Firma Digitale è obbligatoria?

No, dipende dal tipo di attività:

• per i privati cittadini: non esiste un obbligo generale; è una scelta facoltativa utile per sottoscrivere contratti a distanza o dialogare con la PA senza recarsi agli sportelli.

• per imprese e società: è obbligatoria per la sottoscrizione di atti societari, bilanci e comunicazioni amministrative. Per la sottoscrizione di contratti con clienti non è obbligatoria, ma può portare dei vantaggi reali operativi.

• per i liberi professionisti: è obbligatoria per gli iscritti agli Albi (avvocati, commercialisti, etc) per le comunicazioni con Ordini e Casse di Previdenza.

• per la pubblica amministrazione: rappresenta lo standard obbligatorio per la firma di atti e provvedimenti amministrativi informatici.

Firma digitale in formato PAdES o CAdES?

Si tratta dei due standard principali europei, ma hanno caratteristiche differenti:

• CAdES: è la più diffusa e genera un file con estensione .p7m. Si applica a qualsiasi tipo di file ed è usata principalmente dalla PA. Richiede un software specifico per essere letta.

• PAdES: si applica ai PDF, di cui mantiene l’estensione originale (.pdf). Può essere letta da qualsiasi comune lettore di PDF ed è tipicamente utilizzata in ambito business per contratti commerciali e documenti.