Certificato QSCD eIDAS: tutto ciò che devi sapere per ottenerlo in Francia nel 2026

La crescente dematerializzazione costringe imprese e amministrazioni a padroneggiare concetti tecnici precisi. Fra questi, il certificato QSCD (Qualified Signature Creation Device) occupa un posto centrale nel dispositivo eIDAS. Senza di esso, nessuna firma elettronica qualificata — l'unica che gode di una presunzione legale di valore equivalente alla firma manuscritta — può essere emessa. Tuttavia, la stragrande maggioranza delle organizzazioni francesi ignora ancora cos'è un QSCD, come si distingue da un semplice certificato numerico e quali procedure permettono di ottenerlo. Questo articolo ti fornisce una risposta completa: definizione tecnica, fondamenti normativi, elenco degli attori accreditati in Francia e processo di ottenimento passo dopo passo.

Cos'è un certificato QSCD? Definizione e ambito normativo

Il termine QSCD è l'acronimo inglese di Qualified Signature Creation Device, tradotto in italiano come dispositivo qualificato di creazione di firma. Designa uno strumento hardware o software che genera e conserva le chiavi crittografiche utilizzate per firmare elettronicamente, garantendo nel contempo un livello massimo di sicurezza definito dal regolamento eIDAS n°910/2014.

Distinzione tra certificato qualificato e QSCD

È opportuno distinguere due concetti spesso confusi:

• Il certificato qualificato (Qualified Certificate for Electronic Signature, QCert) è un certificato numerico rilasciato da un fornitore di servizi fiduciari qualificato (PSCQ). Attesta l'identità del firmatario e contiene la sua chiave pubblica.
• Il QSCD è il supporto sicuro su cui la chiave privata associata al certificato è generata e conservata. Può trattarsi di un token USB crittografico, di una smart card, di un HSM (Hardware Security Module) o di un QSCD remoto (remote QSCD) ospitato presso il fornitore.

Affinché una firma sia qualificata secondo eIDAS, entrambi gli elementi devono essere presenti: un certificato qualificato E un QSCD. L'allegato II del regolamento fissa i requisiti cui il dispositivo deve rispondere (unicità dei dati di creazione, impossibilità di dedurre la chiave privata, protezione contro la falsificazione, ecc.).

Livelli di firma elettronica e ruolo del QSCD

Il regolamento eIDAS definisce tre livelli di firma:

1. Firma elettronica semplice (SES): nessun requisito tecnico particolare.
2. Firma elettronica avanzata (AdES): legata in modo unico al firmatario, creata a partire da dati sotto il suo controllo esclusivo, ma senza obbligo di QSCD.
3. Firma elettronica qualificata (QES): richiede obbligatoriamente un certificato qualificato conservato su un QSCD. È l'unico livello che beneficia di una presunzione legale di equivalenza alla firma manuscritta in tutti gli Stati membri.

Per approfondire le differenze tra questi tre livelli, il comparativo delle soluzioni di firma elettronica di Certyneo offre un'analisi dettagliata.

I fornitori qualificati (QTSP) in Francia: chi può rilasciare un QSCD?

In Francia, il rilascio di certificati qualificati e la messa a disposizione di QSCD rimangono esclusivamente competenza di fornitori di servizi fiduciari qualificati (QTSP) iscritti nell'elenco di fiducia nazionale (Trust Service List, TSL), pubblicato e mantenuto dall'ANSSI (Agenzia nazionale per la sicurezza dei sistemi informativi).

L'ANSSI, autorità di supervisione francese

L'ANSSI svolge in Francia il ruolo di organo di controllo (supervisory body) previsto dall'articolo 17 di eIDAS. Esamina i candidati QTSP secondo criteri rigorosi allineati alle norme ETSI EN 319 401 (requisiti generali per i TSP) e ETSI EN 319 411 (certificati qualificati). Un fornitore non può dichiararsi «qualificato» senza figurare nell'elenco di fiducia francese pubblicato in formato XML firmato.

Fra i QTSP francesi accreditati figurano notevolmente attori come Certigna, CertEurope, Docaposte, Keynectis e Thales (ex-Gemalto). Ciascuno propone offerte di certificati qualificati conservati su QSCD hardware (smart card, token USB) o QSCD remoti, questi ultimi in forte crescita dal 2022.

QSCD remoto (remote QSCD): il nuovo standard in azienda

Il QSCD remoto rappresenta un'evoluzione importante: la chiave privata del firmatario non è più conservata su un supporto fisico fornito all'utente, bensì in un HSM certificato, ospitato nell'infrastruttura sicura del QTSP. Il firmatario accede al suo dispositivo tramite autenticazione forte (OTP, biometria, applicazione mobile). Questo approccio, disciplinato dallo standard ETSI EN 319 432 e convalidato dall'ANSSI, è ormai integrato nella maggior parte delle piattaforme SaaS di firma qualificata, inclusa Certyneo.

Il valore legale della firma elettronica non dipende dal carattere fisico o remoto del QSCD, purché la conformità eIDAS sia attestata da una qualificazione ANSSI.

Come ottenere un certificato QSCD in Francia: il processo passo dopo passo

L'ottenimento di un certificato qualificato su QSCD segue un processo formalizzato, più esigente di quello di un certificato semplice o avanzato. Ecco i passaggi indispensabili.

Passaggio 1: scegliere il QTSP e il tipo di QSCD

La prima decisione riguarda il tipo di QSCD desiderato:

• QSCD fisico (smart card o token USB): adatto agli usi occasionali, ai liberi professionisti o ai dirigenti. Implica una consegna fisica del supporto.
• QSCD remoto: ideale per le organizzazioni firmatarie con volumi elevati o in modalità 100% digitale. Nessun supporto fisico da gestire.

La scelta del fornitore dipende anche dalle integrazioni disponibili (API REST, webhook, connettori SIRH) e dal livello di supporto. È consigliabile consultare l'elenco ufficiale dei QTSP sul portale dell'ANSSI prima di qualsiasi decisione.

Passaggio 2: il processo di verifica dell'identità (KYC)

Il regolamento eIDAS impone una verifica d'identità rigorosa prima del rilascio di un certificato qualificato. Due modalità sono accettate:

• Di persona (in-person): il richiedente si presenta presso un punto di registrazione del QTSP o presso un operatore di verifica incaricato, con i suoi documenti d'identità ufficiali.
• A distanza via video (remote identity proofing): dal 2021, alcuni QTSP offrono una verifica mediante videoconferenza in tempo reale con un agente, disciplinata dai requisiti ETSI EN 319 461. La verifica automatizzata mediante IA (eKYC) non è ancora ammessa per i certificati qualificati in Francia a metà 2026, l'ANSSI richiedendo sempre un intervento umano.

I documenti richiesti generalmente comprendono: documento d'identità in corso di validità (CIN, passaporto), justificativo di affiliazione all'ente professionale (Kbis, estratto RCS), e talvolta una lettera di incarico per i firmatari che agiscono a nome di una persona giuridica.

Passaggio 3: generazione delle chiavi e consegna del QSCD

Una volta verificata l'identità, il QTSP procede alla generazione della coppia di chiavi crittografiche nell'ambiente sicuro del QSCD. Per un QSCD fisico, il supporto viene inizializzato e poi consegnato o spedito al titolare con un PIN sicuro. Per un QSCD remoto, il titolare attiva il suo dispositivo attraverso l'applicazione mobile del fornitore e configura il suo meccanismo di autenticazione forte.

Il certificato qualificato è poi associato alla chiave pubblica e pubblicato nella directory del QTSP. La sua durata di validità è generalmente di 1-3 anni, a seconda dell'offerta sottoscritta. Un rinnovo deve essere anticipato prima della scadenza per mantenere la continuità della capacità di firma.

Costo, tempi e rinnovo: ciò che è necessario prevedere

Griglia tariffaria indicativa nel 2026

I prezzi dei certificati qualificati su QSCD variano sensibilmente a seconda del fornitore e del tipo di dispositivo:

• QSCD fisico (token USB o smart card): tra 80 € e 250 € IVA esclusa per la prima emissione (incluso il supporto hardware), quindi 50 € a 150 € IVA esclusa per il rinnovo annuale.
• QSCD remoto: spesso integrato in offerte SaaS a partire da 15 € a 40 € IVA esclusa per utente e per mese, o in pacchetti per atto per volumi ridotti.

Questi costi devono essere considerati in relazione al guadagno di tempo e alla riduzione dei rischi legali. Il calcolatore ROI di Certyneo consente di stimare con precisione il ritorno sull'investimento in base al volume di documenti firmati.

Tempi di ottenimento

Il tempo tra la richiesta e la disponibilità effettiva del certificato qualificato è generalmente di 3-10 giorni lavorativi per le soluzioni fisiche (spedizione postale inclusa) e di poche ore a 48 ore per gli QSCD remoti, a condizione della completezza del fascicolo KYC. Le organizzazioni che prevedono picchi di attività (rinnovi contrattuali a fine esercizio, gare, chiusure contabili) devono pianificare di conseguenza.

Revoca e ciclo di vita del certificato

Un certificato qualificato può essere revocato prima della sua scadenza in caso di compromissione della chiave privata, di allontanamento del titolare o di cambiamento delle informazioni certificate. La revoca è pubblicata nella Certificate Revocation List (CRL) o tramite il protocollo OCSP (Online Certificate Status Protocol) del QTSP. Qualsiasi firma apposta dopo la revoca è considerata invalida; quelle apposte prima conservano il loro valore, a condizione di essere marcate temporalmente. L'marcatura temporale elettronica qualificata gioca qui un ruolo cruciale per provare l'anteriorità di una firma.

Quadro normativo applicabile al certificato QSCD

La normativa che disciplina i dispositivi qualificati di creazione di firma è densa e articolata tra diversi testi europei e nazionali.

Regolamento eIDAS n°910/2014 (UE) — Questo testo fondamentale costituisce la pietra angolare del dispositivo. L'articolo 3(12) definisce il dispositivo qualificato di creazione di firma. L'articolo 26 pone i requisiti della firma avanzata, mentre l'articolo 29 e l'allegato II dettagliano i requisiti tecnici applicabili ai QSCD (unicità dei dati di creazione, riservatezza della chiave privata, non-falsificabilità). L'articolo 25(2) conferisce alla firma qualificata una presunzione di equivalenza con la firma manuscritta. Il regolamento eIDAS 2.0 (Regolamento 2024/1183, entrato in applicazione progressiva dal 2024) rafforza questi requisiti e amplia il perimetro ai portafogli di identità digitale europei (EUDIW).

Codice civile francese, articoli 1366 e 1367 — L'articolo 1366 stabilisce che lo scritto elettronico ha la stessa forza probatoria dello scritto cartaceo a condizione dell'identificazione affidabile dell'autore e dell'integrità del documento. L'articolo 1367 precisa che la firma elettronica consiste nell'uso di un procedimento affidabile di identificazione che garantisce il collegamento con l'atto sottoscritto. Il decreto n°2017-1416 del 28 settembre 2017 stabilisce la presunzione di affidabilità per le firme qualificate conformi a eIDAS.

Norme ETSI — Le norme ETSI EN 319 132 (formato XAdES per la firma XML), ETSI EN 319 122 (CAdES), ETSI EN 319 162 (ASiC) e ETSI EN 319 401/411 (requisiti per i TSP e i certificati qualificati) costituiscono il riferimento tecnico vincolante per i fornitori. Il mancato rispetto di queste norme può determinare la sospensione della qualificazione QTSP da parte dell'ANSSI.

RGPD n°2016/679 — Il processo di verifica dell'identità (KYC) comporta il trattamento di dati biometrici e dati personali. Il titolare del trattamento (QTSP e, se del caso, l'azienda cliente) deve rispettare i principi di minimizzazione, di finalità limitata e prevedere una durata di conservazione proporzionata. Una DPIA (Data Protection Impact Assessment) è consigliata per i dispiegamenti su larga scala.

Responsabilità in caso di non conformità — L'uso di un certificato non qualificato per sottoscrivere atti che richiedono una firma qualificata (alcuni appalti pubblici, atti notarili elettronici, dichiarazioni fiscali dematerializzate) espone l'organizzazione a una contestazione del valore probatorio dell'atto, persino alla sua nullità. L'articolo 13 di eIDAS prevede un regime di responsabilità per i QTSP in caso di mancanza ai loro obblighi, ma questo regime non esonera le aziende utilizzatrici dal loro dovere di diligenza nella scelta e nel mantenimento del loro dispositivo.

Scenari di utilizzo del certificato QSCD in azienda

Scenario 1: uno studio legale che dematerializza i suoi atti procedurali

Uno studio legale con una quindicina di collaboratori tratta ogni anno diverse centinaia di atti procedurali, mandati e convenzioni di onorario. Prima della implementazione di una soluzione basata su QSCD remoto, ogni documento richiedeva stampa, firma manuscritta e invio postale o scansione. Lo studio ha optato per certificati qualificati remoti integrati in una piattaforma SaaS, permettendo a ogni socio di firmare dal proprio posto di lavoro o dal cellulare con livello qualificato. Risultato osservato: riduzione di circa il 70% del tempo di firma delle convenzioni di risoluzione amichevole (da 4 giorni a meno di 24 ore in media), eliminazione dei costi di affrancatura e archiviazione automatica degli atti firmati nel DMS dello studio.

Scenario 2: una PMI industriale che gestisce i suoi contratti fornitori

Una PMI del settore manifatturiero che tratta circa 300 contratti fornitori all'anno affrontava rischi legali ricorrenti legati a firme semplici o scansionate, facilmente contestabili. Dopo un audit, è emerso che diversi contratti relativi a importi superiori a 100.000 € erano stati sottoscritti senza procedimento di identificazione affidabile. La migrazione verso firme qualificate su QSCD remoto per i contratti ad alto valore (fornitori strategici, accordi di riservatezza, ordini quadro) ha permesso di proteggere il patrimonio contrattuale. I tempi di convalida dei contratti sono diminuiti di circa il 60%, con le controparte estere che apprezzano il riconoscimento transfrontaliero immediato offerto da eIDAS.

Scenario 3: un raggruppamento ospedaliero che implementa la firma qualificata per i suoi appalti pubblici

Un raggruppamento ospedaliero di circa 900 letti doveva rispettare l'obbligo, derivante dal decreto n°2016-360 relativo agli appalti pubblici, di firmare elettronicamente gli atti d'impegno oltre certi soglie. La DSI ha dispiegato token USB certificati QSCD per i direttori autorizzati a impegnare l'ente. La formazione degli utenti, l'integrazione nella piattaforma di dematerializzazione degli appalti e la procedura di rinnovo annuale sono state documentate in una politica di firma interna (Signature Policy). Il guadagno operativo stimato è dell'ordine di 3-4 giorni per procedura di appalto, grazie all'eliminazione degli invii raccomandata e delle navette di approvatori fisici.

Domande frequenti

Cos'è che differenzia un QSCD da un HSM classico?

Un HSM (Hardware Security Module) è un modulo hardware di sicurezza generico utilizzato per immagazzinare e gestire chiavi crittografiche. Un QSCD è un HSM — o qualsiasi altro dispositivo sicuro — che è stato valutato e certificato conforme ai requisiti dell'allegato II del regolamento eIDAS da un laboratorio accreditato e riconosciuto da un'autorità di supervisione nazionale. La qualificazione QSCD attesta che il dispositivo rispetta criteri rigorosi di unicità della chiave, di non-esportabilità e di resistenza agli attacchi fisici e logici.

Un certificato QSCD ottenuto in Francia è valido in tutta l'Unione europea?

Sì. L'articolo 25(2) di eIDAS stabilisce un riconoscimento reciproco obbligatorio delle firme qualificate tra tutti gli Stati membri. Un certificato qualificato rilasciato da un QTSP francese iscritto nell'elenco di fiducia nazionale produce gli stessi effetti legali in Germania, Spagna o Italia che nel suo paese di emissione. Questo riconoscimento automatico è uno dei principali vantaggi del dispositivo per le aziende con attività contrattuali transfrontaliere.

Qual è la durata di validità di un certificato QSCD e può essere rinnovato a distanza?

La durata di validità di un certificato qualificato è generalmente fissata a 1, 2 o 3 anni a seconda dell'offerta del QTSP. Il rinnovo può effettuarsi a distanza per gli QSCD remoti, a condizione che l'identità del titolare sia stata già verificata di persona o tramite video al momento dell'emissione iniziale. La maggior parte dei QTSP invia avvisi di scadenza a 60 e 30 giorni prima della fine. Ignorare questi avvisi espone a un'interruzione della capacità di firma qualificata.

Il certificato QSCD è obbligatorio per tutti gli atti firmati elettronicamente?

No. Il livello di firma richiesto dipende dalla natura dell'atto e dal quadro normativo applicabile. La firma qualificata su QSCD è obbligatoria per certi atti specifici (atti notarili elettronici, alcuni appalti pubblici, dichiarazioni fiscali dematerializzate). Per la maggior parte dei contratti commerciali correnti, una firma avanzata è sufficiente. È consigliabile consultare il glossario della firma elettronica o un consulente legale per determinare il livello richiesto atto per atto.

Come verificare che una firma si basa effettivamente su un certificato QSCD valido?

La verifica si effettua consultando i metadati del documento sottoscritto tramite uno strumento di validazione conforme alle specifiche ETSI, come il servizio DSS (Digital Signature Service) della Commissione europea, accessibile gratuitamente. Questo strumento verifica la catena di fiducia del certificato, il suo stato (non revocato), la sua conformità al profilo qualificato e la presenza di una marcatura temporale qualificata. Alcune piattaforme SaaS come Certyneo integrano questo rapporto di validazione direttamente nell'interfaccia di gestione dei documenti.

Conclusione

Il certificato QSCD è molto più di una mera formalità tecnica: è il fondamento legale e crittografico della firma elettronica qualificata, l'unico livello che offre una presunzione legale di equivalenza alla firma manuscritta in tutta l'Unione europea. In Francia, il suo ottenimento passa per un QTSP accreditato dall'ANSSI, un processo di verifica dell'identità rigorous e una scelta consapevole tra QSCD fisico e QSCD remoto — quest'ultimo si impone come lo standard per le organizzazioni che cercano agilità e scalabilità.

Certyneo integra nativamente QSCD remoti certificati nella sua piattaforma SaaS, permettendo ai tuoi team di firmare con livello qualificato senza alcun supporto fisico da gestire. Che tu parta da zero o che tu stia migrando da un'altra soluzione, i nostri esperti ti accompagnano ad ogni passaggio. Scopri i prezzi di Certyneo o contatta il nostro team per un audit delle tue esigenze di firma qualificata.