QES, AES e SES: comprendere i tre livelli di firma eIDAS nel 2026

Il regolamento eIDAS (n. 910/2014) costituisce la pietra angolare del diritto europeo della firma elettronica. Dal suo entrata in vigore, struttura tre livelli di firma — SES, AES e QES — i cui requisiti tecnici e il valore probatorio differiscono radicalmente. Nel 2026, con l'entrata in vigore progressiva del regolamento eIDAS 2.0 (regolamento UE 2024/1183), queste distinzioni acquistano importanza per qualsiasi organizzazione che desideri dematerializzare i propri atti giuridici in totale conformità. Questo articolo analizza le differenze fondamentali tra questi tre livelli, gli obblighi che comportano e i criteri da considerare per scegliere il formato corretto in base alla natura dei vostri documenti.

SES: la firma elettronica semplice, flessibile ma limitata

Definizione e caratteristiche tecniche

La firma elettronica semplice (SES, o Simple Electronic Signature) è definita all'articolo 3(10) del regolamento eIDAS come "dati in forma elettronica allegati o logicamente associati ad altri dati in forma elettronica e che il firmatario utilizza per firmare". Questa definizione è intenzionalmente ampia: un semplice clic su "Accetto", una firma tracciata con il dito su tablet, oppure una casella selezionata in un modulo online rientrano in questa categoria.

La SES non richiede alcuna verifica preliminare dell'identità del firmatario, né alcun certificato crittografico. La sua robustezza si basa unicamente sul contesto contrattuale e sulle prove collaterali (indirizzo IP, timestamp del server, email di conferma). Il glossario della firma elettronica elenca l'insieme dei termini tecnici associati a questi meccanismi.

Valore giuridico e casi di accettazione

La SES beneficia del principio di non discriminazione previsto dall'articolo 25(1) eIDAS: non può essere respinta come prova solo perché è elettronica. Tuttavia, non comporta alcuna presunzione di affidabilità. In caso di contestazione, l'onere della prova ricade interamente sulla parte che la invoca. Il valore giuridico della firma elettronica dipende quindi fortemente dal livello scelto.

La SES è appropriata per gli atti a basso rischio: accettazione di termini e condizioni, moduli interni, ordini online di basso valore, oppure sondaggi di soddisfazione. È inadatta a qualsiasi documento suscettibile di essere contestato in tribunale.

AES: la firma avanzata, l'equilibrio tra sicurezza e praticità

I quattro criteri cumulativi dell'articolo 26 eIDAS

La firma elettronica avanzata (AES, Advanced Electronic Signature) è definita all'articolo 3(11) eIDAS e deve soddisfare quattro condizioni elencate all'articolo 26:

1. Essere collegata in modo univoco al firmatario: un identificativo unico collega la firma a una persona fisica determinata.
2. Permettere l'identificazione del firmatario: viene effettuata una verifica dell'identità (email, numero di telefono, documento d'identità a seconda del fornitore).
3. Essere stata creata a partire da dati che il firmatario può utilizzare con un elevato livello di fiducia sotto il suo controllo esclusivo: tipicamente un codice OTP inviato al suo telefono o un certificato software.
4. Essere collegata ai dati firmati in modo tale che qualsiasi modifica successiva sia rilevabile: la firma si basa su un hash crittografico del documento.

Tecnologie utilizzate e livelli di assicurazione

In pratica, l'AES è implementata mediante certificati digitali di livello sostanziale (secondo il regolamento eIDAS), meccanismi di autenticazione multi-fattore, o soluzioni di identità documentaria (scansione del documento d'identità, confronto biometrico). I fornitori di servizi di fiducia qualificati come Certyneo propongono percorsi di firma AES che integrano la verifica dell'identità a distanza, conformi ai referenziali ANSSI e agli standard ETSI EN 319 401.

L'AES offre un eccellente compromesso tra sicurezza e fluidità dell'esperienza utente. È consigliata per i contratti commerciali comuni, gli atti in materia di risorse umane, le convenzioni di partenariato o i contratti di fornitura di servizi. Consulta la nostra guida completa sulla firma elettronica in azienda per approfondire gli usi nel contesto professionale.

Limitazioni dell'AES rispetto a certi atti

L'AES rimane insufficiente per gli atti autentici o quelli per i quali la legge richiede espressamente la firma qualificata. In Francia, l'articolo 1367 del Codice civile riserva la presunzione della massima affidabilità alle sole firme qualificate secondo eIDAS. L'AES può essere esclusa da un giudice se la parte avversa dimostra un'insufficienza nel processo di verifica dell'identità.

QES: la firma qualificata, equivalente legale della firma autografa

Definizione normativa e requisiti tecnici

La firma elettronica qualificata (QES, Qualified Electronic Signature) è definita all'articolo 3(12) eIDAS come una firma avanzata creata mediante un dispositivo di creazione di firma qualificato (QSCD) e basata su un certificato qualificato di firma elettronica. Questi due componenti sono indissociabili.

Il certificato qualificato è emesso da un fornitore di servizi di fiducia qualificato (QTSP) iscritto all'elenco di fiducia nazionale (Trusted List) pubblicato da ogni Stato membro. In Francia, questo elenco è amministrato dall'ANSSI. Il QTSP deve essere stato sottoposto a audit e accreditato secondo i requisiti dell'allegato I del regolamento eIDAS e gli standard ETSI EN 319 411-2.

Il QSCD (dispositivo di creazione di firma qualificato) è un supporto hardware o software sicuro — tipicamente una carta intelligente, un token USB crittografico o un HSM (Hardware Security Module) remoto — che garantisce che la chiave privata del firmatario non possa essere estratta o copiata. I requisiti dei QSCD sono precisati nell'allegato II del regolamento eIDAS.

La presunzione legale incontrovertibile dell'articolo 25(2)

L'articolo 25(2) del regolamento eIDAS conferisce alla QES un effetto giuridico equivalente alla firma autografa in tutti gli Stati membri dell'Unione europea. Questa presunzione è automatica: a differenza dell'AES, la parte che produce una QES non deve dimostrare l'affidabilità della procedura. È all'avversario che incombe il compito di ribaltare questa presunzione, il che è praticamente molto difficile purché il QTSP e il QSCD siano adeguatamente qualificati.

In Francia, l'articolo 1367 secondo comma del Codice civile traspone questo requisito nel diritto interno: l'affidabilità della procedura di firma elettronica è presunta fino a prova contraria quando si utilizza la firma elettronica qualificata eIDAS. Questa presunzione copre anche l'integrità del documento firmato.

Processo di ottenimento di un certificato qualificato

L'ottenimento di un certificato qualificato richiede una verifica dell'identità faccia a faccia o per mezzo equivalente con lo stesso livello di assicurazione (ad esempio, una videoidentificazione conforme allo standard EN ISO/IEC 18013 o alle specifiche del regolamento di esecuzione 2015/1502). Il processo comporta:

• La raccolta di documenti d'identità ufficiali
• La verifica della loro autenticità (rilevamento di falsificazione)
• La registrazione biometrica del firmatario
• L'emissione del certificato da parte del QTSP dopo la convalida

Questo livello di requisiti spiega perché la QES è riservata agli atti ad alto rischio: atti sottoscritti a forte posta finanziaria, documenti notarili elettronici, appalti pubblici, atti medici sensibili, o ancora in settori dove la normativa settoriale lo impone esplicitamente. Per confrontare le soluzioni disponibili sul mercato, il nostro comparativo delle soluzioni di firma elettronica vi guiderà nella vostra scelta.

Tabella comparativa e criteri di scelta nel 2026

Riepilogo delle differenze strutturanti

Tre assi consentono di distinguere rapidamente i tre livelli:

Verifica dell'identità: nulla per la SES, documentaria o OTP per l'AES, faccia a faccia o equivalente per la QES. Supporto crittografico: inesistente per la SES, certificato software per l'AES, QSCD certificato per la QES. Presunzione giuridica: assente per la SES, parziale per l'AES, totale e automatica per la QES.

In termini di attrito dell'utente, l'equazione è inversa: la SES è quasi trasparente, l'AES richiede pochi minuti di verifica, la QES presuppone una fase di registrazione preliminare che può richiedere da pochi minuti (videoidentificazione) a pochi giorni.

Impatto di eIDAS 2.0 su queste distinzioni nel 2026

Il regolamento eIDAS 2.0 (UE 2024/1183), i cui atti di esecuzione sono progressivamente pubblicati dal 2024, rafforza diversi punti chiave. Introduce il Portafoglio Europeo di Identità Digitale (EUDI Wallet), che permetterà ai cittadini europei di archiviare il loro certificato qualificato direttamente nel loro smartphone, riducendo considerevolmente l'attrito associato alla QES. Chiarisce inoltre i requisiti applicabili ai QTSP e rafforza la governance degli elenchi di fiducia nazionali.

Inoltre, eIDAS 2.0 estende l'ambito del riconoscimento reciproco delle firme qualificate tra gli Stati membri, il che è particolarmente strutturante per le aziende che operano in più paesi dell'Unione. La guida completa al regolamento eIDAS 2.0 illustra nel dettaglio tutte queste evoluzioni normative. Infine, la questione del timestamp elettronico qualificato — complementare alla QES per conservare nel tempo il valore probatorio dei documenti — merita attenzione quando si progetta l'architettura documentaria.

Quadro legale applicabile alle firme SES, AES e QES

La gerarchia delle firme elettroniche si basa su un corpus normativo denso, che articola il diritto europeo e il diritto interno francese.

Regolamento eIDAS n. 910/2014: questo testo fondamentale definisce agli articoli 3(10), 3(11) e 3(12) i tre livelli di firma. L'articolo 25 pone il principio di non discriminazione (§1) e la presunzione di equivalenza autografa per la QES (§2). L'articolo 26 enumera i quattro requisiti cumulativi della firma avanzata. Gli allegati I e II precisano rispettivamente i requisiti applicabili ai certificati qualificati e ai dispositivi di creazione di firma qualificati (QSCD).

Regolamento eIDAS 2.0 — UE 2024/1183: entrato in vigore il 20 maggio 2024, esso modifica sostanzialmente il regolamento del 2014, in particolare tramite l'introduzione del Portafoglio Europeo di Identità Digitale (EUDI Wallet), l'estensione dei servizi di fiducia qualificati e il rafforzamento della governance dei QTSP. Gli atti di esecuzione continuano a essere pubblicati nel 2026.

Codice civile francese, articoli 1366 e 1367: l'articolo 1366 riconosce lo scritto elettronico come prova alla stessa stregua dello scritto cartaceo, purché possa essere debitamente identificata la persona da cui emana e sia stato stabilito e conservato in condizioni tali da garantirne l'integrità. L'articolo 1367 secondo comma pone la presunzione di affidabilità per la firma qualificata eIDAS, in attuazione diretta dell'articolo 25(2) del regolamento.

Decreto n. 2017-1416 del 28 settembre 2017: precisa nel diritto francese le condizioni che permettono di beneficiare della presunzione di affidabilità, rinviando esplicitamente ai requisiti del regolamento eIDAS per le firme qualificate.

Standard ETSI: gli standard ETSI EN 319 102-1 (procedure di creazione e convalida della firma), ETSI EN 319 132 (formato XAdES), ETSI EN 319 122 (formato CAdES) e ETSI EN 319 142 (formato PAdES) disciplinano tecnicamente la creazione di firme elettroniche conformi. I fornitori qualificati devono implementare questi formati per garantire l'interoperabilità europea.

RGPD — Regolamento UE 2016/679: la raccolta di dati biometrici nel contesto della verifica dell'identità per l'emissione di certificati qualificati costituisce un trattamento di dati sensibili ai sensi dell'articolo 9. Il QTSP deve disporre di una base legale esplicita, informare gli interessati e implementare le garanzie tecniche appropriate. Un'analisi d'impatto (AIPD) è generalmente richiesta.

Direttiva NIS2 — UE 2022/2555: applicabile agli operatori di servizi essenziali e ai fornitori di servizi digitali, impone requisiti rafforzati di cybersicurezza che si applicano indirettamente ai QTSP che operano infrastrutture critiche di firma elettronica.

Le organizzazioni che distribuiscono soluzioni di firma elettronica senza rispettare il livello richiesto dalla natura giuridica dell'atto si espongono alla nullità o all'inopposabilità dei documenti firmati, nonché a rischi di contenzioso che possono comportare dannie finanziari significativi.

Scenari di utilizzo: scegliere il livello giusto secondo il contesto

Caso 1 — PMI industriale che gestisce centinaia di ordini fornitori

Una PMI industriale che gestisce circa 400 ordini di acquisto e contratti fornitori all'anno ha distribuito la firma AES per tutti i suoi documenti commerciali comuni. Il percorso di firma si basa su una verifica tramite collegamento email sicuro e codice OTP SMS, con generazione di un rapporto di audit con timestamp per ogni atto. Il tempo medio di firma è passato da 4,5 giorni (raccomandata) a meno di 3 ore. Il tasso di contestazione contrattuale è rimasto nullo in 18 mesi di esercizio, con la traccia di audit che fornisce una prova sufficiente in caso di disaccordo commerciale. La riduzione dei costi di stampa, spedizione e gestione documentaria raggiunge circa il 60% secondo le stime interne, coerenti con le fasce pubblicate da studi settoriali europei (Billentis Report, 2025).

Caso 2 — Studio legale specializzato in diritto commerciale

Uno studio legale commerciale di circa quindici collaboratori ha implementato un'infrastruttura a due livelli: firma AES per la corrispondenza interna, mandati di rappresentanza e convenzioni onorariali; firma QES per gli atti sottoscritti a forte posta finanziaria (cessioni di quote sociali, protocolli d'accordo, garanzie finanziarie). L'ottenimento dei certificati qualificati per i soci è stato realizzato tramite una sessione di videoidentificazione conforme eIDAS, senza spostamento fisico, in meno di 20 minuti per persona. La presunzione legale collegata alla QES consente allo studio di presentare i suoi atti dinanzi a qualsiasi giurisdizione europea senza dover dimostrare l'affidabilità della procedura, riducendo significativamente il rischio processuale.

Caso 3 — Raggruppamento ospedaliero che dematerializza i suoi atti di risorse umane e medici

Un raggruppamento ospedaliero di circa 1.200 posti letto ha scelto un approccio differenziato secondo la natura dei documenti. I contratti di lavoro, gli allegati e i profili delle mansioni sono firmati in AES, consentendo agli 800 agenti interessati di firmare da smartphone senza infrastruttura pesante. Per le convenzioni mediche specifiche e i documenti che richiedono un'autenticazione forte imposta dalla normativa sanitaria (HDS), la QES è distribuita ai professionisti sanitari firmatari designati. Questo modello ibrido riduce del 75% il tempo di costituzione dei fascicoli di risorse umane durante i reclutamenti, un guadagno particolarmente critico in periodo di tensione sulle risorse mediche. Assicura inoltre la conformità con gli obblighi della CNIL relativi ai trattamenti dei dati sanitari.

Domande frequenti

Qual è la differenza principale tra QES e AES in eIDAS?

La differenza fondamentale riguarda due elementi: il certificato e il dispositivo di firma. La QES si basa necessariamente su un certificato qualificato emesso da un fornitore accreditato (QTSP) e su un dispositivo di creazione di firma qualificato (QSCD) fisicamente sicuro. L'AES può utilizzare un certificato software e una verifica dell'identità meno severa. Conseguenza diretta: la QES beneficia di una presunzione legale di equivalenza alla firma autografa in tutta l'Unione europea, il che l'AES non garantisce automaticamente.

In quali casi è obbligatorio utilizzare una firma QES?

Nessun testo europeo impone la QES in via generale, ma diverse normative settoriali o nazionali la richiedono implicitamente o esplicitamente. Questo è il caso di certi atti autentici elettronici, specifici appalti pubblici, atti notarili dematerializzati, o ancora in settori regolamentati come il settore bancario (DSP2, KYC rafforzato) o la sanità. La regola generale è la seguente: maggiore è l'importanza giuridica o finanziaria dell'atto, più è consigliato il ricorso alla QES per escludere qualsiasi rischio di contestazione.

La firma SES ha valore giuridico in Francia nel 2026?

Sì, la firma SES è giuridicamente ammissibile in Francia in virtù del principio di non discriminazione previsto dall'articolo 25(1) del regolamento eIDAS e dall'articolo 1366 del Codice civile. Non può essere esclusa come prova solo perché è elettronica. Tuttavia, non beneficia di alcuna presunzione di affidabilità: in caso di contestazione, la parte che la invoca deve dimostrarne la robustezza per altri mezzi (log, indirizzo IP, traccia di audit). Il suo utilizzo deve quindi essere riservato agli atti a basso rischio.

Un certificato qualificato ottenuto in Francia è riconosciuto in tutta l'Unione europea?

Sì. L'articolo 25(2) del regolamento eIDAS e il meccanismo di riconoscimento reciproco degli elenchi di fiducia nazionali (Trusted Lists) garantiscono che un certificato qualificato emesso da un QTSP accreditato in Francia sia riconosciuto in tutti gli Stati membri dell'Unione europea con lo stesso effetto giuridico. eIDAS 2.0 (UE 2024/1183) rafforza ulteriormente questo principio estendendo il riconoscimento ai nuovi servizi di fiducia qualificati introdotti dal regolamento riveduto.

Come verificare che un fornitore di firma sia effettivamente qualificato eIDAS?

Ogni Stato membro pubblica e mantiene un elenco di fiducia ufficiale (Trusted List) che elenca tutti i fornitori di servizi di fiducia qualificati (QTSP) accreditati sul suo territorio. In Francia, questo elenco è pubblicato e aggiornato dall'ANSSI sul suo sito ufficiale. La Commissione europea aggrega l'insieme degli elenchi nazionali sul portale EU Trusted List Browser (tlbrowser.tsl.europa.eu). Verificate che un fornitore vi figuri prima di affidargli l'emissione di certificati qualificati o la creazione di firme QES.

Conclusione

I tre livelli di firma elettronica definiti dal regolamento eIDAS — SES, AES e QES — rispondono a esigenze giuridiche e operative fondamentalmente diverse. La SES è appropriata per gli atti a basso enjeu, l'AES copre la maggior parte dei contratti professionali comuni con un eccellente equilibrio tra sicurezza e fluidità, mentre la QES si impone per gli atti ad alto valore giuridico grazie alla sua presunzione legale di equivalenza autografa in tutta l'Unione europea. Nel 2026, con l'entrata in vigore progressiva di eIDAS 2.0, padroneggiare queste distinzioni è più che mai strategico per qualsiasi organizzazione che dematerializzi i propri processi documentari.

Certyneo vi permette di distribuire i tre livelli di firma secondo le vostre esigenze effettive, con un'interfaccia unificata conforme ai requisiti eIDAS e ANSSI. Scoprite le nostre offerte o stimate i vostri guadagni fin da ora grazie al nostro calcolatore ROI firma elettronica, o contattateci per un audit personalizzato dei vostri flussi documentari.