Firma elettronica: i tre tipi eIDAS, inclusa la digitale italiana

I tipi di firma elettronica previsti dalla normativa europea sono tre: semplice, avanzata e qualificata. Il quarto nome, firma digitale, crea confusione ma non è un tipo in più: è il modo italiano di chiamare la firma qualificata quando si basa su una coppia di chiavi crittografiche. Definizioni, valori legali e strumenti vengono dal testo del regolamento eIDAS da una parte e del Codice dell’Amministrazione Digitale dall’altra.

Tipi di firma elettronica: i tre livelli eIDAS

Il punto di partenza è sempre l’articolo 3, che definisce la firma elettronica come insieme di dati in forma elettronica, acclusi o connessi per associazione logica ad altri dati e usati dal firmatario per firmare. Da lì partono i tre livelli:

1. Firma elettronica semplice: qualunque dato elettronico usato per firmare, senza garanzie strutturali. Rientrano in questa categoria, ad esempio, una casella spuntata con log di sessione o un nome scritto in coda a una email.
2. Firma elettronica avanzata (articolo 3, punto 11): soddisfa i requisiti dell’articolo 26, cioè è connessa unicamente al firmatario, lo identifica, è creata con dati che il firmatario usa sotto il suo esclusivo controllo con elevato livello di sicurezza, e si collega ai dati sottoscritti in modo che ogni modifica successiva sia rilevabile.
3. Firma elettronica qualificata (articolo 3, punto 12): una firma avanzata creata da un dispositivo qualificato di creazione e basata su un certificato qualificato. Solo a questa l’articolo 25 riconosce effetti giuridici equivalenti a una firma autografa.

Le definizioni sono del 2014 e restano attuali: il regolamento (UE) 2024/1183 dell’11 aprile 2024 ha modificato l’eIDAS per costruire il quadro europeo dell’identità digitale, lasciando invariate le definizioni che usi ogni giorno.

La firma digitale, cioè quella italiana

L’articolo 1, comma 1, lettera s) del CAD definisce la firma digitale come un particolare tipo di firma qualificata basata su un sistema di chiavi crittografiche, una pubblica e una privata, che consente al titolare di rendere manifesta e a un terzo di verificare provenienza e integrità del documento. In pratica: quando in Italia dici firma digitale intendi la qualificata nella sua forma a coppia di chiavi, con il certificato rilasciato da un certificatore presente nell’elenco dei prestatori di servizi fiduciari pubblicato da AgID.

Due conseguenze rilevanti in caso di controversia: l’uso del dispositivo di firma qualificata o digitale si presume riconducibile al titolare, salvo prova contraria (articolo 20, comma 1-ter), e la firma digitale integra e sostituisce sigilli, punzoni, timbri e contrassegni a ogni fine previsto dalla normativa (articolo 24, comma 2). Attenzione anche al certificato: una firma digitale apposta con certificato scaduto, revocato o sospeso equivale a mancata sottoscrizione (articolo 24, comma 4-bis).

Tabella dei tipi a confronto

Gli esempi indicano categorie di strumenti, non prodotti specifici: quello che conta è il tipo di firma che il certificato dichiara, non lo strumento con cui l’hai ottenuta.

Che valore ha ogni firma

Per i documenti tra privati, la scala è nell’articolo 20, comma 1-bis del CAD: un documento informatico soddisfa il requisito della forma scritta e ha l’efficacia dell’articolo 2702 del codice civile quando porta una firma digitale, un’altra firma elettronica qualificata o una firma elettronica avanzata. Fuori da questi tre casi, l’idoneità del documento a soddisfare la forma scritta e il suo valore probatorio sono liberamente valutabili in giudizio, in relazione alle caratteristiche di sicurezza, integrità e immodificabilità: in questa categoria ricade, in pratica, la sola firma elettronica semplice.

L’articolo 21 aggiunge i casi più severi: le scritture private che l’articolo 1350, primo comma, numeri da 1 a 12, del codice civile elenca, se fatte su documento informatico, vanno sottoscritte a pena di nullità con firma elettronica qualificata o digitale. Per gli atti del numero 13 la soglia scende alla avanzata; negli atti pubblici informatici il pubblico ufficiale firma con qualificata o digitale.

Tipo di firma e formato del file non sono la stessa cosa

Un errore diffusissimo è confondere il livello giuridico della firma con l’involucro del file. La nota tecnica AgID elenca i tre formati europei di sottoscrizione: CAdES, la busta che produce il .p7m; PAdES, la firma dentro il PDF; XAdES, il blocco di firma incorporato nell’XML, uno dei due formati ammessi per la fattura elettronica. Sono contenitori: la stessa firma digitale può uscire in uno qualunque dei tre, e la scelta cambia solo il modo in cui il destinatario aprirà il documento.

Per orientarti tra i formati ci sono le guide dedicate: Firma CAdES, Firma PAdES e Firma XAdES, più il confronto diretto CAdES o PAdES. Se ti interessa la prova del tempo, la marca temporale è un servizio distinto dalla firma, che fissa l’istante ma non sostituisce il tipo di firma.

Capire che tipo di firma ha il tuo documento

Il tipo di firma non si vede a occhio: lo dichiarano il certificato e la struttura della firma. Aprendo il file, un buon visualizzatore mostra il firmatario, l’autorità che ha emesso il certificato, la validità nel tempo e se la firma è qualificata e creata da dispositivo qualificato. L’area in alto di questa pagina lo fa per le buste CAdES, incluse quelle nidificate: elenca i firmatari e riporta le dichiarazioni del file, senza convalidare contro le liste di fiducia e senza controllare la revoca. Qui non compare nessun esito di “firma valida”: per quello serve un validatore qualificato, e la procedura è descritta nella guida alla verifica.

Apri il file e guarda che tipo di firma porta

Trascina il documento nell’area in alto: con l’account gratuito compaiono l’anteprima della prima pagina e i dati di chi ha firmato, mentre il documento completo e lo scaricamento restano a pagamento; il file viene in ogni caso letto sul tuo dispositivo, senza caricamenti. È il modo più rapido per sapere se dall’altra parte c’è una firma elettronica semplice, una avanzata o una vera firma digitale, e regolarti di conseguenza.