Firma digitale come fare per ottenerla e quando basta una firma elettronica

Ottenere una firma digitale in Italia richiede pochi passaggi, ma è fondamentale capire prima di cosa si ha bisogno. La firma digitale è la forma più avanzata di firma elettronica qualificata prevista dal Regolamento eIDAS e dal Codice dell'Amministrazione Digitale: garantisce la massima efficacia probatoria e sostituisce a tutti gli effetti la firma autografa sui documenti informatici. Tuttavia, per molti atti della vita quotidiana e professionale — contratti commerciali, accordi di riservatezza, preventivi, lettere di incarico — una firma elettronica avanzata o semplice è più che sufficiente e molto più rapida da usare. Questa guida spiega come fare in entrambi i casi.

Firma digitale e firma elettronica: capire le differenze prima di iniziare

Prima di avviare qualsiasi procedura è necessario distinguere i tre livelli previsti dall'eIDAS, perché da questa scelta dipendono tempi, costi e strumenti.

Firma elettronica semplice (FES)

La firma elettronica semplice è qualsiasi dato in forma elettronica associato a un documento che consente di identificare il firmatario. Ne è un esempio la semplice accettazione via e-mail o la digitazione del nome in un modulo online. Ha valore probatorio, ma dipende dal contesto e dalla capacità del firmatario di contestarla.

Firma elettronica avanzata (FEA)

La firma elettronica avanzata è collegata univocamente al firmatario, è in grado di identificarlo, è creata con dati sotto il suo esclusivo controllo e rileva qualsiasi modifica successiva del documento. Non richiede un certificato qualificato, ma deve rispettare i requisiti tecnici stabiliti dall'AgID. È la soluzione più usata nelle piattaforme di firma online per contratti B2B e B2C. Per approfondire le distinzioni tecniche e giuridiche, si può consultare l'articolo sulle differenze tra firma digitale e firma elettronica.

Firma digitale (FEQ — Firma Elettronica Qualificata)

La firma digitale italiana è una firma elettronica qualificata basata su un certificato digitale rilasciato da un prestatore di servizi fiduciari qualificato (Trust Service Provider, TSP) incluso nell'elenco di fiducia nazionale gestito da AgID. Produce gli stessi effetti giuridici di una scrittura privata autenticata e, in quanto tale, fa piena prova fino a querela di falso.

Come fare per ottenere la firma digitale: la procedura passo per passo

Il processo di rilascio della firma digitale qualificata si articola in fasi precise. È utile conoscerle per non incorrere in errori o perdite di tempo.

Scegliere un prestatore di servizi fiduciari qualificato

I TSP autorizzati in Italia sono iscritti nell'elenco pubblico di fiducia ("Trusted List") tenuto da AgID e pubblicato sul sito istituzionale. Prima di procedere è consigliabile verificare che il provider sia effettivamente presente in tale elenco. L'offerta varia: alcuni operatori rilasciano la firma su dispositivo fisico (smart card o token USB), altri propongono soluzioni remote (firma digitale remota) accessibili via app o OTP.

Identificazione del richiedente

Questa è la fase cruciale: il richiedente deve essere identificato con certezza. Esistono tre modalità principali:

• Identificazione de visu presso uno sportello fisico del TSP o di un ufficio convenzionato (ad esempio Poste Italiane o Infocamere): occorre presentare un documento d'identità in corso di validità.
• Identificazione tramite video (video-identificazione): il richiedente effettua una sessione in videochiamata con un operatore abilitato, mostrando il documento.
• Identificazione tramite SPID di livello 2 o superiore, CIE o CNS: in molti casi è sufficiente autenticarsi con la propria identità digitale già riconosciuta.

Attivazione del certificato e del dispositivo di firma

Completata l'identificazione, il TSP emette il certificato qualificato e lo carica sul dispositivo scelto (smart card, token USB oppure area remota protetta). L'utente riceve le credenziali di accesso e, nel caso della firma remota, un'app per generare il codice OTP. A questo punto è possibile firmare documenti in formato CAdES (.p7m) o PAdES (PDF con firma incorporata).

Quando non serve la firma digitale qualificata

Molti professionisti e aziende sovrastimano il livello di firma necessario, sostenendo costi e complessità superiori al bisogno reale. Il Codice dell'Amministrazione Digitale riconosce efficacia probatoria anche a livelli inferiori di firma, purché adeguati alla natura dell'atto.

Atti per i quali è spesso sufficiente la firma elettronica avanzata

Contratti di fornitura, accordi di non divulgazione (NDA), ordini di acquisto, contratti di agenzia, lettere di incarico professionale: per questi documenti una FEA, correttamente implementata su una piattaforma conforme, è generalmente sufficiente. La piattaforma deve garantire l'identificazione del firmatario, l'integrità del documento e la conservazione delle prove. Per sapere se esiste una soluzione gratuita, è utile leggere l'approfondimento sulla firma digitale gratuita e il suo valore legale.

Atti che richiedono obbligatoriamente la firma qualificata

Alcuni atti impongono per legge la forma scritta con firma qualificata o addirittura la firma autenticata da notaio: si pensi a certi atti relativi a beni immobili, a specifiche operazioni societarie o a documenti da depositare presso registri pubblici. In questi casi la firma elettronica semplice o avanzata non è sufficiente. È sempre necessario verificare i requisiti formali dell'atto specifico, preferibilmente con il supporto di un consulente legale.

Firmare un PDF online senza stampare

Per chi ha bisogno di firmare documenti in modo rapido e legalmente valido senza ricorrere alla firma qualificata, esistono soluzioni completamente online. La guida su come firmare un PDF online con validità legale illustra le opzioni disponibili e i loro limiti.

Conservazione e validità nel tempo

Un aspetto spesso trascurato riguarda la validità temporale della firma digitale. Il certificato qualificato ha una scadenza (in genere da uno a tre anni) e alla scadenza il documento firmato potrebbe perdere verificabilità se non si adottano misure specifiche.

Marca temporale e conservazione a norma

Per garantire che un documento firmato digitalmente mantenga il suo valore probatorio nel tempo — anche dopo la scadenza del certificato — è necessario apporre una marca temporale (timestamp) certificata e conservare il documento in conformità alle regole tecniche AgID. Le imprese soggette all'obbligo di conservazione dei documenti fiscali o contabili devono affidarsi a un conservatore accreditato.

Rinnovo del certificato

Il rinnovo va effettuato prima della scadenza: alcuni TSP lo consentono online con semplice autenticazione, altri richiedono una nuova identificazione. È buona prassi impostare un promemoria con almeno trenta giorni di anticipo.

Quadro normativo

Regolamento (UE) 910/2014 (eIDAS)

Il Regolamento eIDAS costituisce la base normativa europea per i servizi fiduciari e le firme elettroniche. Stabilisce tre livelli di firma — semplice, avanzata e qualificata — e definisce i requisiti tecnici e giuridici di ciascuno. Le firme elettroniche qualificate prodotte con un certificato rilasciato da un TSP iscritto nella Trusted List di uno Stato membro hanno efficacia giuridica equivalente alla firma autografa in tutti i Paesi dell'Unione Europea.

Codice dell'Amministrazione Digitale (D.Lgs. 82/2005) — artt. 20 e 21

L'articolo 20 del CAD disciplina il valore probatorio del documento informatico: esso soddisfa il requisito della forma scritta e ha l'efficacia della scrittura privata prevista dall'art. 2702 del Codice civile quando vi è apposta una firma elettronica qualificata o digitale. L'articolo 21 precisa che il documento informatico sottoscritto con firma digitale o altra firma qualificata ha, nei confronti di chi lo ha sottoscritto, l'efficacia prevista dall'art. 2702 c.c., mentre per le firme di livello inferiore il giudice valuta liberamente il valore probatorio. Le linee guida AgID integrano queste disposizioni con i requisiti tecnici specifici.

Codice civile — artt. 1350 e 2702

L'articolo 1350 c.c. elenca gli atti per i quali la legge richiede la forma scritta a pena di nullità: tra questi figurano i contratti che trasferiscono la proprietà di beni immobili e altri atti tipici. Per tali atti la firma digitale qualificata è lo strumento minimo ammesso in formato elettronico; una firma elettronica semplice non è sufficiente. L'articolo 2702 c.c. attribuisce alla scrittura privata, riconosciuta o autenticata, piena prova fino a querela di falso: questo effetto si riproduce integralmente per i documenti informatici sottoscritti con firma qualificata.

GDPR e D.Lgs. 196/2003 (Codice privacy)

Il processo di rilascio e utilizzo della firma digitale comporta il trattamento di dati personali — inclusi i dati biometrici e identificativi del firmatario. Il TSP e l'utilizzatore della piattaforma di firma devono rispettare i principi del GDPR (minimizzazione, limitazione della finalità, misure di sicurezza adeguate) e le disposizioni del Codice privacy italiano. In caso di trattamento di dati particolari o di trasferimento verso Paesi terzi si applicano garanzie aggiuntive.

Linee guida AgID

L'Agenzia per l'Italia Digitale pubblica le linee guida tecniche che specificano i formati di firma ammessi (CAdES, PAdES, XAdES), i requisiti dei sistemi di conservazione a norma e le modalità di identificazione dei richiedenti. Il rispetto di queste linee guida è condizione necessaria affinché la firma produca gli effetti giuridici previsti dalla legge.

Casi d'uso

Professionista autonomo che invia contratti ai clienti

Un consulente fiscale che opera in proprio gestisce ogni mese una decina di lettere di incarico da far sottoscrivere ai propri clienti. In passato stampava, inviava per posta e attendeva la restituzione firmata, con tempi medi di una settimana. Valutando i requisiti di legge, ha stabilito che per questi documenti è sufficiente una firma elettronica avanzata: la piattaforma identifica il cliente tramite e-mail e codice OTP, conserva la traccia della firma e rende il documento immediatamente disponibile. Il ciclo si è ridotto a poche ore, senza bisogno di acquisire una firma digitale qualificata su token.

PMI nel settore manifatturiero con fornitori esteri

Un'azienda manifatturiera italiana stipula contratti di fornitura con partner europei. I documenti contrattuali — ordini quadro, accordi di riservatezza, condizioni generali — devono essere firmati in modo opponibile in più giurisdizioni dell'Unione Europea. Grazie al Regolamento eIDAS, una firma elettronica qualificata rilasciata da un TSP italiano è riconosciuta automaticamente in tutti gli Stati membri: questo ha eliminato la necessità di autenticazioni notarili aggiuntive e velocizzato la chiusura degli accordi.

Ente pubblico locale per la gestione documentale interna

Un comune di medie dimensioni ha digitalizzato la firma delle determinazioni dirigenziali e delle delibere di giunta. I dirigenti responsabili si sono dotati di firma digitale su dispositivo remoto, accessibile tramite app e OTP. Ogni atto viene firmato digitalmente, protocollato nel sistema documentale dell'ente e conservato in conformità alle regole tecniche AgID. Il processo ha eliminato la circolazione di carta all'interno degli uffici e garantisce la tracciabilità completa di ogni documento fin dal momento della sua adozione.

Domande frequenti

Quanto tempo ci vuole per ottenere la firma digitale?

I tempi variano in base al TSP scelto e alla modalità di identificazione. Con l'identificazione tramite SPID di livello 2 o CIE, alcune soluzioni di firma remota vengono attivate entro poche ore dalla richiesta online. L'identificazione de visu presso uno sportello fisico può richiedere alcuni giorni tra appuntamento e consegna del dispositivo. In media, preventivare da uno a cinque giorni lavorativi.

La firma digitale italiana è valida all'estero?

Sì, all'interno dell'Unione Europea. Il Regolamento eIDAS stabilisce il principio del mutuo riconoscimento: una firma elettronica qualificata rilasciata da un TSP iscritto nella Trusted List di uno Stato membro è automaticamente riconosciuta negli altri Stati membri con lo stesso valore giuridico. Per i Paesi extra-UE la situazione dipende dagli accordi bilaterali o dalla legislazione locale del Paese destinatario.

È possibile usare la firma digitale su smartphone?

Sì, le soluzioni di firma digitale remota sono progettate per funzionare anche da dispositivi mobili. Il firmatario accede tramite un'app fornita dal TSP, che genera il codice OTP necessario ad autorizzare ogni atto di firma. Alcuni TSP offrono anche applicazioni integrate che consentono di caricare il documento, apporvi la firma e scaricarlo direttamente dallo smartphone.

Qual è la differenza tra firma digitale e SPID?

SPID (Sistema Pubblico di Identità Digitale) è uno strumento di autenticazione: serve a dimostrare la propria identità per accedere ai servizi online, ma non firma documenti. La firma digitale, invece, è uno strumento di sottoscrizione: attribuisce a un documento informatico lo stesso valore di una firma autografa. SPID può essere utilizzato come metodo di identificazione durante la procedura di rilascio della firma digitale, ma i due strumenti svolgono funzioni distinte.

Cosa succede se il certificato scade mentre il documento è ancora in uso?

Se al momento della firma il certificato era valido e al documento è stata apposta una marca temporale certificata, la firma mantiene il suo valore giuridico anche dopo la scadenza del certificato. Senza marca temporale, la verifica della firma potrebbe risultare impossibile o ambigua una volta scaduto il certificato. È quindi fondamentale apporre sempre la marca temporale sui documenti destinati a conservazione a lungo termine.

Conclusione

Scegliere tra firma digitale qualificata e firma elettronica avanzata non è una questione tecnica, ma una decisione giuridica che dipende dalla natura dell'atto da sottoscrivere. Per la maggior parte dei contratti e dei documenti aziendali, una firma elettronica avanzata offre piena validità legale con tempi e costi molto più contenuti rispetto alla firma qualificata su token o smart card. Quest'ultima resta indispensabile per gli atti che la legge riserva alla forma scritta qualificata o per l'interazione con le pubbliche amministrazioni che la richiedono espressamente.

In ogni caso, prima di adottare una soluzione è opportuno verificare i requisiti specifici del documento e, quando necessario, consultare un legale. Per chi desidera iniziare a firmare documenti online in modo semplice e conforme, Certyneo mette a disposizione un servizio accessibile: è possibile creare un account gratuito in pochi minuti oppure consultare i prezzi per scegliere il piano più adatto alle proprie esigenze.