Firma elettronica qualificata: quando serve e come si ottiene

La firma elettronica qualificata (FEQ) è il livello più alto di firma elettronica riconosciuto in Europa: l'unico che la legge equipara in modo espresso alla firma autografa. Serve quando una norma la impone per la validità dell'atto, oppure quando si vuole la tutela probatoria più forte possibile su un contratto. Questo articolo spiega quando è davvero necessaria, come si ottiene e che differenza fa, nella pratica di ogni giorno, rispetto alla firma elettronica avanzata (FEA).

Per il quadro generale dei tre livelli (semplice, avanzata e qualificata) c'è la nostra guida sulla firma elettronica; qui ci concentriamo sulla FEQ.

Cos'è la firma elettronica qualificata

Il regolamento (UE) 910/2014, noto come eIDAS, definisce la firma elettronica qualificata come una firma elettronica avanzata con due requisiti in più: è creata da un dispositivo per la creazione di una firma qualificata ed è basata su un certificato qualificato. Il certificato lo rilascia un prestatore di servizi fiduciari qualificato, cioè un soggetto sottoposto a vigilanza e iscritto negli elenchi ufficiali.

Da qui discendono le due caratteristiche che la distinguono dalle altre firme. Secondo l'articolo 25 del regolamento eIDAS, una FEQ ha effetti giuridici equivalenti a quelli di una firma autografa e, se basata su un certificato qualificato rilasciato in uno Stato membro, è riconosciuta come qualificata in tutti gli altri. Un contratto firmato con FEQ da un'azienda italiana e da una tedesca non richiede quindi verifiche aggiuntive sul valore della firma dell'una o dell'altra parte.

In Italia si sente parlare più spesso di firma digitale: è la variante nazionale della FEQ, basata su una coppia di chiavi crittografiche (una privata, in mano al titolare, e una pubblica, che permette a chiunque di verificare provenienza e integrità del documento). Nell'uso comune i due termini sono quasi sinonimi, e sul piano degli effetti legali lo sono.

Quando la firma elettronica qualificata è obbligatoria

Per la maggior parte dei contratti tra aziende la legge non impone una forma particolare, e la scelta del livello di firma è una valutazione di rischio. Ci sono però casi in cui la FEQ (o la firma digitale) non è una scelta ma un requisito di validità.

Il caso più importante è fissato dal Codice dell'Amministrazione Digitale, all'art. 21: le scritture private indicate dall'art. 1350, primo comma, numeri da 1 a 12 del codice civile, se redatte come documento informatico, devono essere sottoscritte a pena di nullità con firma elettronica qualificata o con firma digitale, salvo il caso della firma autenticata. Sono gli atti per cui il codice civile già richiede la forma scritta, a partire dai contratti che trasferiscono la proprietà di beni immobili o costituiscono diritti reali su di essi. Per gli atti del numero 13 dello stesso articolo, la stessa norma ammette anche la firma elettronica avanzata.

In concreto, per un ufficio legale o amministrativo significa una cosa semplice: prima di scegliere come far firmare un contratto, occorre chiedersi se rientra tra gli atti per cui è prescritta la forma scritta a pena di nullità. Se la risposta è sì, o se c'è anche solo un dubbio, la verifica va fatta con il proprio consulente, perché una firma di livello inferiore non è un vizio che si sana dopo.

Fuori dagli obblighi di legge, la FEQ resta la scelta naturale quando la posta in gioco è alta, quando la controparte è estera e si vuole un riconoscimento automatico in tutta l'Unione, o quando è la controparte stessa a richiederla come condizione per firmare.

Come si ottiene la firma elettronica qualificata

Una FEQ non si "attiva" da sé: la rilascia un prestatore di servizi fiduciari qualificato. L'Agenzia per l'Italia Digitale pubblica l'elenco dei prestatori qualificati stabiliti in Italia, che operano sotto la sua vigilanza; lo stesso elenco confluisce nella lista di fiducia europea, che permette ai software di verificare automaticamente se un certificato è davvero qualificato.

Il percorso, nelle linee generali, è sempre lo stesso:

1. Identificazione del titolare. Il prestatore verifica l'identità della persona a cui intestare il certificato; è questo passaggio che rende la firma riconducibile a quella persona e non a chiunque abbia accesso al suo computer.
2. Rilascio del certificato qualificato. Il certificato lega l'identità verificata alla chiave di firma e ha una scadenza: va rinnovato prima che scada.
3. Scelta del dispositivo. La chiave di firma può stare su un supporto fisico, come una smart card o un token USB, oppure essere custodita dal prestatore in un apparato sicuro e attivata a distanza dal titolare con un secondo fattore di autenticazione (la cosiddetta firma remota).

Un aspetto spesso trascurato riguarda proprio la scadenza. L'art. 24, comma 4-bis, del CAD stabilisce che apporre una firma digitale o qualificata basata su un certificato revocato, scaduto o sospeso equivale a mancata sottoscrizione. Conta lo stato del certificato nel momento in cui si firma: un contratto firmato con un certificato valido resta firmato anche dopo la sua scadenza, mentre firmare con un certificato già scaduto significa non aver firmato affatto.

FEQ e FEA: le differenze pratiche

Sul piano tecnico la FEA e la FEQ condividono molto: entrambe identificano il firmatario, sono sotto il suo controllo esclusivo e rendono evidente ogni modifica successiva del documento. Le differenze che contano in azienda sono altre.

Chi la rilascia. La FEQ richiede un prestatore qualificato e un certificato qualificato; per la FEA il regolamento eIDAS non richiede né un certificato qualificato né un dispositivo qualificato.

Dove vale. In Italia la FEA ha un limite che il regolamento eIDAS non prevede: le regole tecniche del DPCM 22 febbraio 2013 la rendono utilizzabile limitatamente ai rapporti giuridici tra il sottoscrittore e il soggetto che eroga la soluzione di firma. La FEQ non ha questo vincolo e vale verso chiunque, in tutta l'Unione.

Quali atti copre. Come visto sopra, per gli atti dell'art. 1350, numeri 1–12, del codice civile redatti in forma elettronica la FEA non basta: serve la FEQ o la firma digitale.

Quanto pesa sull'organizzazione. La FEQ richiede che ogni firmatario abbia un proprio certificato, lo tenga valido e sappia usare il dispositivo o l'app di firma. Con pochi firmatari interni è una gestione leggera; quando i firmatari sono molti, anche lato controparte, diventa un tema organizzativo da pianificare.

Nessuna delle due è "migliore" in assoluto: la scelta dipende dal tipo di atto, dalla controparte e dal rischio di contestazione. Per molti contratti commerciali la FEA è adeguata; per gli atti con forma vincolata o con controparti esterne al proprio circuito, la FEQ è la strada più sicura.

Domande frequenti

Cos'è la firma elettronica qualificata? È il livello più alto di firma elettronica previsto dal regolamento eIDAS: una firma avanzata creata con un dispositivo qualificato e basata su un certificato qualificato rilasciato da un prestatore di servizi fiduciari qualificato. Ha effetti giuridici equivalenti alla firma autografa.

Quando è obbligatoria la firma elettronica qualificata? In Italia è richiesta, a pena di nullità, per le scritture private elencate all'art. 1350, numeri 1–12, del codice civile (come i trasferimenti di diritti su immobili) quando sono redatte come documento informatico, salvo il caso della firma autenticata.

Firma digitale e firma elettronica qualificata sono la stessa cosa? La firma digitale è la variante italiana della firma elettronica qualificata, basata su una coppia di chiavi crittografiche; nella pratica i due termini vengono usati quasi come sinonimi e producono gli stessi effetti legali.

Cosa succede se il certificato di firma è scaduto? Per il Codice dell'Amministrazione Digitale, apporre una firma qualificata o digitale basata su un certificato revocato, scaduto o sospeso equivale a mancata sottoscrizione. Conta lo stato del certificato al momento della firma.

Sapere quale livello di firma serve per ogni tipo di contratto, e ritrovare la prova di firma quando qualcuno la contesta, diventa difficile quando gli accordi passano tra email e cartelle condivise: in Accordyx il livello di firma si configura per tipo di contratto e il documento firmato resta archiviato insieme al suo certificato. → Come funziona la firma digitale in piattaforma