Firma digitale e FEQ: nessuna differenza, e chi certifica

Perché i due nomi indicano la stessa cosa, chi può rilasciare un certificato con pieno valore e come si controlla che sia davvero qualificato.

Chi confronta due offerte trova scritto in una firma digitale e nell'altra firma elettronica qualificata, e si chiede quale delle due sia più forte. La risposta è che sono la stessa cosa vista da due normative: una è il nome europeo, l'altra il nome che le dà la legge italiana.

La sovrapposizione non è casuale. Il Codice dell'amministrazione digitale definisce firma digitale una firma qualificata che funziona con una coppia di chiavi crittografiche: è la forma con cui, in Italia, la firma qualificata viene realizzata praticamente sempre.

Quello che invece fa una differenza vera è chi emette il certificato, perché il valore legale dipende da quello. Il certificato usato dal servizio descritto sulla pagina di cheFIRMA! è rilasciato da un prestatore qualificato.

Takeaways - Punti chiave dell'articolo

• Due nomi, una cosa sola: Firma elettronica qualificata è il termine europeo, firma digitale quello italiano per la stessa firma basata su crittografia.
• Il certificatore fa il valore: Solo i prestatori qualificati iscritti nell'elenco pubblico possono emettere certificati con pieno valore legale.
• Chi c'è dietro cheFIRMA!: Il certificato è emesso da Intesi Group, prestatore di servizi fiduciari qualificato.
• La trappola dei quiz: Firma elettronica e firma digitale non sono intercambiabili: la prima è la categoria, la seconda è il livello più alto.
• Si può controllare da soli: L'elenco dei prestatori qualificati è pubblico: chiunque può verificare che il certificato venga da un soggetto vigilato.

Cosa sono le firme digitali qualificate?

Sono le firme create con un certificato qualificato e un dispositivo che risponde a requisiti di sicurezza stabiliti a livello europeo. I due elementi vanno insieme: il certificato lega la chiave alla persona, il dispositivo garantisce che quella chiave resti sotto il controllo esclusivo del titolare.

Il certificato qualificato non è un file qualsiasi. Contiene i dati del titolare, l'indicazione del prestatore che lo ha emesso, il periodo di validità e la qualifica che lo distingue dai certificati ordinari, ed è emesso solo dopo che l'identità della persona è stata verificata.

Da questa combinazione deriva il valore giuridico: il documento sottoscritto in questo modo soddisfa il requisito della forma scritta e ha l'efficacia della scrittura privata, e in caso di contestazione tocca a chi disconosce la firma dimostrare che non sia sua.

Chi sono i certificatori accreditati per la firma digitale?

Sono soggetti privati autorizzati e sottoposti a vigilanza, che il regolamento europeo chiama prestatori di servizi fiduciari qualificati. In Italia la vigilanza spetta all'Agenzia per l'Italia digitale, che tiene l'elenco pubblico di chi è abilitato a emettere certificati qualificati.

Non è un titolo che si dichiara: si ottiene superando un iter di qualificazione e si mantiene con controlli periodici. Un certificato emesso da un soggetto non presente in quell'elenco non produce gli effetti della firma qualificata, per quanto tecnicamente possa somigliare.

Il certificato usato per il servizio di firma remota di LetteraSenzaBusta è emesso da Intesi Group, che di quell'elenco fa parte. È il dato da guardare quando si confrontano due offerte, più del prezzo: chi emette il certificato determina che cosa quella firma potrà fare.

Come funziona eIDAS?

Il regolamento europeo sui servizi fiduciari stabilisce le regole comuni con cui gli Stati membri riconoscono firme, sigilli e attestazioni elettroniche. Il suo effetto più utile è il riconoscimento reciproco: una firma qualificata emessa in un Paese dell'Unione vale in tutti gli altri.

Le figure che introduce, e che ricorrono in ogni documento tecnico, sono queste.

Qual è la differenza tra firma digitale e firma elettronica?

La differenza è fra una categoria e uno dei suoi elementi. Firma elettronica è il nome generale di qualsiasi dato elettronico usato per firmare, dalla spunta su un modulo alla firma qualificata; firma digitale indica soltanto quella al vertice, realizzata con chiavi crittografiche e certificato qualificato.

Chiamare firma digitale una spunta su una casella è quindi sbagliato, e non è un puntiglio terminologico: le due cose hanno un valore diverso davanti a una contestazione, e possono essere usate in casi diversi.

Nella pratica commerciale il termine viene usato con leggerezza, ed è la ragione per cui conviene guardare cosa c'è scritto nelle condizioni: se compaiono le parole certificato qualificato e prestatore qualificato, si sta parlando del livello più alto; altrimenti si sta parlando di qualcos'altro.

Conclusione

Firma digitale e firma elettronica qualificata indicano lo stesso strumento: la prima è la parola italiana, la seconda quella europea, e la sovrapposizione è completa quando la firma si basa su chiavi crittografiche, come avviene sempre nella pratica.

La differenza che conta davvero, quando si sceglie, è chi emette il certificato: solo un prestatore qualificato dà alla firma il valore che la legge le riconosce. Le condizioni del servizio sono sulla pagina di cheFIRMA!.