Come funziona la firma elettronica nel 2026

Introduzione

La firma elettronica è oggi al centro della trasformazione digitale delle aziende: nel 2025, più del 70% delle grandi organizzazioni europee l'ha integrata in almeno un processo contrattuale (fonte: Gartner, Digital Process Automation Survey 2025). Eppure, pochi sono i decisori che comprendono precisamente i meccanismi che la rendono giuridicamente valida e tecnicamente infalsa. Comprendere come funziona tecnicamente la firma elettronica — crittografia, PKI, certificati — permette di scegliere la soluzione giusta, ridurre i rischi legali e accelerare l'adozione interna. Questo articolo ti guida, passo dopo passo, attraverso l'architettura tecnica e gli standard che regolano la firma elettronica nel 2026.

---

I fondamenti crittografici della firma elettronica

La firma elettronica si basa su primitive crittografiche collaudate. Comprendere i meccanismi significa comprendere perché è più affidabile di una firma manoscritta digitalizzata.

La crittografia asimmetrica: chiave pubblica e chiave privata

Il principio fondamentale è la crittografia asimmetrica, inventata negli anni '70 e standardizzata da algoritmi come RSA (Rivest–Shamir–Adleman) o le curve ellittiche (ECDSA). Ogni firmatario dispone di due chiavi matematicamente collegate:

• La chiave privata: conservata segretamente dal firmatario, su un dispositivo sicuro (carta intelligente, token HSM, o modulo software protetto). Serve a creare la firma.
• La chiave pubblica: distribuita liberamente, inclusa in un certificato digitale. Serve a verificare la firma.

Il principio di sicurezza si basa su un'asimmetria computazionale: è matematicamente banale verificare una firma con la chiave pubblica, ma praticamente impossibile ricostituire la chiave privata dalla chiave pubblica (problema del logaritmo discreto o della fattorizzazione di grandi numeri interi).

Le funzioni di hashing: l'impronta digitale del documento

Prima di firmare, il sistema calcola un'impronta crittografica del documento grazie a una funzione di hashing (SHA-256 o SHA-3 nel 2026). Questa impronta, chiamata hash o condensato, è una stringa di caratteri di dimensione fissa (256 bit per SHA-256) che rappresenta univocamente il contenuto del documento.

Proprietà essenziale: modificare un solo carattere del documento produce un hash radicalmente diverso. È questo che garantisce l'integrità del documento firmato: qualsiasi alterazione successiva alla firma è immediatamente rilevabile.

La firma elettronica vera e propria è quindi la cifratura di questo hash con la chiave privata del firmatario. Durante la verifica, il destinatario:

1. Decifera la firma con la chiave pubblica per ritrovare l'hash originale;
2. Ricalcola lui stesso l'hash del documento ricevuto;
3. Confronta i due: se identici, la firma è valida.

---

L'Infrastruttura a Chiavi Pubbliche (PKI): la catena di fiducia

La crittografia da sola non basta: è necessario anche provare che la chiave pubblica appartiene veramente alla persona che sostiene di possederla. Questo è il ruolo della PKI (Public Key Infrastructure) — o Infrastruttura a Chiavi Pubbliche.

Le autorità di certificazione (CA)

Un'Autorità di Certificazione (AC o CA) è un terzo di fiducia accreditato che emette certificati digitali. Un certificato digitale è un file standardizzato (formato X.509) contenente:

• L'identità del titolare (nome, organizzazione, e-mail);
• La sua chiave pubblica;
• Il periodo di validità;
• La firma digitale dell'AC stessa.

In Europa, le AC qualificate sono registrate nelle Trusted Lists pubblicate da ogni Stato membro dell'UE in conformità al regolamento eIDAS. In Francia, l'ANSSI pubblica e mantiene questo elenco. I fornitori di servizi di fiducia qualificati (QTSP) — come CertSign, Certigna o Universign — sono soggetti a audit regolari secondo lo standard ETSI EN 319 401.

La catena di certificazione e la revoca

La PKI funziona su un modello gerarchico:

• Un'AC radice (Root CA) auto-firmata, conservata offline in condizioni di massima sicurezza fisica;
• AC intermedie che emettono i certificati degli utenti finali.

La revoca dei certificati è un meccanismo critico: se una chiave privata è compromessa, l'AC pubblica l'invalidazione tramite una CRL (Certificate Revocation List) o tramite il protocollo OCSP (Online Certificate Status Protocol), consentendo una verifica in tempo reale.

Per la firma elettronica qualificata secondo eIDAS, la chiave privata deve essere generata e conservata in un QSCD (Qualified Signature Creation Device) — hardware certificato CC EAL4+ o superiore, come una carta intelligente o un HSM (Hardware Security Module).

---

I tre livelli di firma secondo eIDAS

Il regolamento europeo eIDAS n° 910/2014 (e la sua evoluzione eIDAS 2.0 in corso di implementazione) definisce tre livelli di firma, ognuno basato su garanzie tecniche crescenti. Per approfondire questo quadro normativo, consulta la nostra guida completa al regolamento eIDAS.

Firma elettronica semplice (SES)

La firma semplice è la forma meno vincolante tecnicamente. Può essere semplice come una casella di controllo, un codice OTP (One-Time Password) inviato per SMS, o un'immagine di firma manoscritta. Non implica necessariamente un certificato qualificato.

Uso tipico: validazione di preventivi, consensi marketing, contratti a basso valore.

Rischio: valore probatorio limitato in caso di controversia giudiziale. L'onere della prova incombe a chi invoca la firma.

Firma elettronica avanzata (AdES)

La firma avanzata soddisfa quattro requisiti tecnici precisi (articolo 26 eIDAS):

1. È legata al firmatario in modo univoco;
2. Consente di identificare il firmatario;
3. È creata a partire da dati sotto il controllo esclusivo del firmatario;
4. Consente di rilevare qualsiasi modifica successiva del documento.

Concretamente, ciò implica l'uso di un certificato digitale personale e di un meccanismo di autenticazione robusto. I formati standard sono definiti da ETSI: PAdES (per PDF), XAdES (XML), CAdES (dati binari) e JAdES (JSON), tutti normalizzati nella serie ETSI EN 319 100.

Firma elettronica qualificata (QES)

La firma qualificata è il livello più elevato. Richiede:

• Un certificato qualificato emesso da un QTSP accreditato eIDAS;
• Un QSCD per la creazione della firma.

Beneficia di una presunzione legale di affidabilità e di un'equivalenza giuridica con la firma manoscritta in tutta l'Unione europea (articolo 25 eIDAS). È il livello richiesto per gli atti autentici elettronici, alcuni atti notarili, o gli appalti pubblici sensibili.

Il nostro comparativo delle soluzioni di firma elettronica analizza le differenze pratiche tra questi livelli per aiutarti a scegliere.

---

Il processo completo di una firma elettronica passo dopo passo

Ecco come si svolge concretamente una transazione di firma elettronica su una piattaforma SaaS come Certyneo:

Fase 1: preparazione e invio del documento

L'iniziatore della firma carica il documento (contratto, emendamento, ordine d'acquisto) sulla piattaforma. Il sistema genera immediatamente un hash SHA-256 del file originale, con orario e conservato in modo immutabile. Questa impronta serve come riferimento per qualsiasi verifica futura.

Fase 2: autenticazione del firmatario

A seconda del livello di firma scelto, l'autenticazione varia:

• SES: e-mail + link di firma;
• AdES: autenticazione forte (OTP SMS, applicazione mobile FIDO2);
• QES: verifica di identità preliminare (face-to-face o video IDV), emissione di un certificato qualificato ad uso singolo o persistente.

Fase 3: creazione della firma crittografica

Il firmatario attiva l'atto di firma. La piattaforma (o il QSCD):

1. Calcola l'hash del documento;
2. Cifra questo hash con la chiave privata del firmatario;
3. Integra la firma e il certificato nel documento (PDF firmato nel formato PAdES-LTV per la conservazione a lungo termine).

Fase 4: apposizione di marca temporale qualificata

Un servizio di marca temporale qualificato (TSA) conforme allo standard RFC 3161 appone un timestamp crittografico, provando che la firma esisteva in un momento preciso. Questo protegge dalla falsificazione della data e garantisce il valore probatorio nel tempo — anche se il certificato del firmatario scade successivamente.

Fase 5: archiviazione probatoria

Il documento firmato è archiviato con la sua pista di audit completa: identità del firmatario, indirizzo IP, marca temporale, hash del documento, certificati utilizzati. Questo dossier di prova (audit trail) è essenziale in caso di controversia giudiziale. Le soluzioni conformi a eIDAS mantengono queste prove in un formato PAdES-LTV (Long-Term Validation) che integra i dati di validazione per consentire la verifica degli anni successivi alla firma.

Per comprendere come integrare questo processo nei tuoi flussi di risorse umane, scopri la nostra soluzione di firma elettronica per le risorse umane e i nostri modelli di contratti da scaricare.

Quadro legale applicabile alla firma elettronica

La firma elettronica si inserisce in un quadro normativo multilivello, articolando il diritto civile nazionale e il diritto europeo armonizzato.

Codice civile francese

L'articolo 1366 del Codice civile pone il principio fondamentale: "Lo scritto elettronico ha la stessa forza probatoria dello scritto su supporto cartaceo, a condizione che possa essere adeguatamente identificata la persona da cui proviene e che sia redatto e conservato in condizioni idonee a garantirne l'integrità." L'articolo 1367 precisa che la firma elettronica "consiste nell'uso di un procedimento affidabile di identificazione che garantisca il suo legame con l'atto al quale si attacca".

Il decreto n° 2017-1416 del 28 settembre 2017 definisce la presunzione di affidabilità per le firme qualificate e avanzate conformi a eIDAS.

Regolamento eIDAS n° 910/2014

Pietra angolare del diritto europeo della fiducia digitale, il regolamento eIDAS (electronic IDentification, Authentication and trust Services) stabilisce un quadro legale unificato per le firme elettroniche, i sigilli elettronici, la marca temporale qualificata, i servizi di invio certificato e i certificati di autenticazione dei siti web. Il suo articolo 25, comma 2, conferisce alla firma qualificata una presunzione legale di equivalenza con la firma manoscritta in tutta l'UE.

Il regolamento eIDAS 2.0 (in corso di recepimento nel primo trimestre 2026) rafforza questi insegnamenti con il portafoglio di identità digitale europea (EUDIW) e estende gli obblighi ai mercati dei servizi finanziari e sanitari.

Standard ETSI

I formati di firma sono standardizzati da ETSI:

• ETSI EN 319 132 (XAdES), EN 319 122 (CAdES), EN 319 102 (PAdES) definiscono i profili tecnici delle firme avanzate e qualificate;
• ETSI EN 319 421 inquadra le politiche dei servizi di marca temporale qualificata.

GDPR e protezione dei dati

Il trattamento dei dati di identità nel contesto di una firma elettronica (nome, e-mail, dati biometrici per la verifica d'identità) è soggetto al GDPR n° 2016/679. I responsabili del trattamento devono: disporre di una base legale (interesse legittimo o esecuzione di un contratto), applicare il principio di minimizzazione dei dati e garantire la sicurezza mediante misure tecniche appropriate (crittografia, pseudonimizzazione).

Direttiva NIS2

La direttiva NIS2 (2022/2555/UE), recepita nel diritto francese dal settembre 2024, impone agli operatori di servizi essenziali e ai fornitori di servizi digitali (inclusi i fornitori di firma elettronica) obblighi rafforzati in materia di cybersicurezza, gestione dei rischi e notifica di incidenti entro 24 ore. Il mancato rispetto espone a sanzioni che possono raggiungere 10 milioni di euro o il 2% del fatturato mondiale.

Scenari di uso concreti della firma elettronica

Scenario 1: uno studio legale di diritto degli affari automatizza la firma dei mandati

Uno studio legale di diritto degli affari con una dozzina di collaboratori gestiva in media 120 mandati di rappresentanza al mese. La procedura cartacea implicava stampa, invio per posta o consegna a mano, quindi scansione dei documenti restituiti — creando un ritardo medio di 4,5 giorni lavorativi per pratica e un tasso di smarrimento stimato dell'8%.

Distribuendo una firma elettronica avanzata (AdES) con autenticazione OTP, lo studio ha ridotto il tempo di firma a meno di 4 ore in media, ridotto il tasso di anomalie documentali a meno dell'1% e risparmiato circa 2.200 € all'anno in spese postali e di stampa. La pista di audit generata automaticamente ha anche semplificato due procedimenti di contestazione del mandato, fornendo una prova horodatata incontestabile. Scopri la nostra soluzione dedicata agli studi legali.

Scenario 2: una PMI industriale digitalizza i suoi contratti con i fornitori

Una PMI industriale che gestisce circa 200 contratti con i fornitori all'anno (condizioni generali di acquisto, varianti tariffarie, accordi di riservatezza) ha subito ritardi di firma che potevano superare tre settimane per i contratti transfrontalieri con partner tedeschi e spagnoli. Le differenze nei sistemi legali e l'assenza di reciproco riconoscimento hanno rallentato le negoziazioni.

Adottando una firma qualificata (QES) emessa da un QTSP accreditato eIDAS, riconosciuto in tutta l'UE, la PMI ha beneficiato del riconoscimento legale automatico nei tre paesi senza alcuna legalizzazione supplementare. Il ritardo medio di firma transfrontaliera è sceso da 18 giorni a 2,5 giorni. La firma elettronica in azienda approfondisce questi vantaggi per i team di procurement.

Scenario 3: un raggruppamento ospedaliero protegge il consenso informato dei pazienti

Un raggruppamento ospedaliero di circa 800 letti doveva raccogliere il consenso informato dei pazienti per protocolli di ricerca clinica. La gestione cartacea creava rischi di conformità al GDPR (documenti mal archiviati, date non tracciabili) e mobilizzava personale infermieristico per compiti amministrativi.

Integrando una firma elettronica semplice con identificazione tramite codice SMS — sufficiente per atti non soggetti al requisito di qualificazione — il raggruppamento ha automatizzato la raccolta, l'archiviazione e la tracciabilità dei consensi. Il tempo amministrativo per paziente è sceso da 12 minuti a meno di 2 minuti, liberando circa 800 ore di personale infermieristico all'anno. Tutti i documenti sono archiviati con marca temporale qualificata, soddisfacendo pienamente i requisiti della CNIL. Esplora la nostra soluzione firma per la sanità.

Conclusione

Comprendere come funziona tecnicamente la firma elettronica — dalla crittografia asimmetrica alla PKI, dai certificati qualificati alla marca temporale probatoria — è indispensabile per fare scelte consapevoli in materia di conformità e efficienza operativa. I tre livelli eIDAS (semplice, avanzato, qualificato) rispondono a esigenze diverse, e la scelta deve sempre essere guidata dall'analisi del rischio legale e del valore probatorio atteso.

Certyneo ti accompagna in questa transizione con una piattaforma SaaS conforme a eIDAS, QTSP accreditati e un'integrazione semplificata nei tuoi processi esistenti. Stima i potenziali guadagni per la tua organizzazione grazie al nostro calcolatore ROI firma elettronica, o inizia subito consultando le nostre offerte e tariffe. La conformità e le prestazioni non sono più un compromesso.