Firma semplice, avanzata e qualificata: le differenze

La firma elettronica avanzata (AES) è il livello più utilizzato in ambito B2B e l'unico a offrire una presunzione legale di integrità senza imporre una smart card al firmatario. Insieme alla firma semplice (SES) e alla firma qualificata (QES), compone i tre livelli definiti dal regolamento europeo eIDAS. Ecco come scegliere il livello giusto in base alla natura del documento, al suo valore probatorio previsto e alla frizione accettabile per il firmatario.

Cos'è la firma elettronica avanzata (AES)?

La firma elettronica avanzata è il livello intermedio definito dall'articolo 26 del regolamento eIDAS. Deve soddisfare quattro condizioni cumulative: (1) essere collegata in modo univoco al firmatario, (2) consentire di identificarlo, (3) essere creata utilizzando dati sotto il suo controllo esclusivo, (4) consentire di individuare qualsiasi modifica successiva del documento firmato. In pratica, queste condizioni vengono soddisfatte tramite un' autenticazione forte (e-mail + OTP SMS), una traccia di audit con marca temporale e un hash crittografico del PDF.

L'AES beneficia di una presunzione legale di integrità e di origine che inverte l'onere della prova davanti al giudice: è chi contesta la firma che deve dimostrarne la falsità, non il firmatario a dover provare la sua validità. Questo è ciò che distingue fondamentalmente l'AES dalla SES, dove l'attendibilità viene valutata caso per caso dal giudice.

I tre livelli definiti da eIDAS

Il regolamento europeo eIDAS (n. 910/2014) organizza la firma elettronica in tre livelli, corrispondenti a gradi crescenti di rigore in materia di identificazione del firmatario e di solidità della prova. Comprendere bene questi livelli consente di scegliere la firma adatta a ciascun documento, senza sovradimensionare il processo.

Livello 1: la firma elettronica semplice (SES)

La firma elettronica semplice è il livello base. Corrisponde a qualsiasi manifestazione di consenso elettronico: un clic su "Accetto", una casella da spuntare, una sigla disegnata su schermo touch.

• Requisiti: consenso chiaro, identificazione minima (email)
• Prova: da debole a media, varia in base al fornitore
• Casi d'uso: preventivi, ordini d'acquisto, accordi interni, condizioni generali
• Frizione per il firmatario: quasi nulla — il firmatario non crea un account

La SES è sufficiente per la grande maggioranza degli scambi commerciali correnti in cui il rischio di contestazione è basso. Resta valida a livello giuridico, poiché il giudice valuta caso per caso l'attendibilità del procedimento.

Livello 2: la firma elettronica avanzata (AES)

La firma avanzata rafforza l'identificazione del firmatario e stabilisce un legame univoco tra lui e il documento. Si basa su quattro criteri stabiliti dall'articolo 26 di eIDAS:

1. è collegata al firmatario in modo univoco
2. consente di identificare il firmatario
3. è creata con mezzi che il firmatario conserva sotto il proprio controllo esclusivo
4. è collegata al documento in modo tale da consentire di individuare qualsiasi modifica successiva

In pratica, l'AES prevede un' autenticazione a doppio fattore: link univoco inviato via email + codice OTP ricevuto via SMS. Il PDF finale integra una marca temporale e una traccia di audit dettagliata.

• Casi d'uso: contratto di lavoro, contratto di locazione, mandato, contratto commerciale rilevante, NDA
• Frizione per il firmatario: bassa — un codice SMS da inserire in più rispetto all'email
• Prova: forte, presunzione relativa di validità

Livello 3: la firma elettronica qualificata (QES)

La firma qualificata è il livello più alto. Si basa su un certificato qualificato emesso da un prestatore di servizi fiduciari qualificato (QTSP) presente nell'elenco di fiducia di uno Stato membro dell'UE, e su un dispositivo sicuro di creazione della firma (es. YubiKey, smart card).

• Valore legale: equivalente a una firma autografa in tutta l'UE
• Casi d'uso: atti pubblici, appalti pubblici, alcuni atti notarili
• Frizione per il firmatario: elevata — verifica d'identità di persona o tramite videochiamata KYC
• Costo: sensibilmente più elevato rispetto a SES/AES

Per la maggior parte delle aziende, la QES è raramente necessaria nella quotidianità. Diventa indispensabile quando la legge lo impone (procedimenti giudiziari, alcuni appalti pubblici) o quando il contratto ha un valore eccezionale.

Tabella comparativa rapida

Come scegliere il livello giusto

La regola semplice: allineate il livello all'importanza del documento.

• Se il documento viene contestato, cosa è in gioco? Poche centinaia di euro o un contratto da decine di migliaia?
• Il rapporto con il firmatario è consolidato (cliente storico) o inesistente (primo contatto)?
• Il documento rientra in un quadro legale che impone un livello preciso (ad es. contratto di lavoro, contratto di locazione) ?

In linea generale: SES per gli accordi semplici, AES per tutto ciò che riguarda le risorse umane, l'immobiliare, la finanza, QES solo quando lo impone la legge.

Errori frequenti

• Scegliere sistematicamente la QES "per tranquillità": frizione inutile per il firmatario, costo elevato, spesso sovradimensionata.
• Limitarsi alla SES per tutto: in caso di controversia su un contratto di lavoro, l'assenza di un'autenticazione forte può debilitare la prova.
• Confondere validazione e firma: una ricevuta di lettura non è una firma.

Come Certyneo vi aiuta

Certyneo supporta nativamente i livelli semplice (SES) e avanzato (AES), con doppio OTP email + SMS tramite Twilio Verify per l'AES. Per i casi che richiedono una QES, Certyneo si interfaccia con diversi prestatori qualificati europei (Docaposte Certigna, Universign, CertEurope) per attivare la firma qualificata senza cambiare strumento.

È possibile definire il livello di firma documento per documento in base all'importanza — oppure per modello se avete industrializzato un processo.

Scoprire la soluzione di firma elettronica Certyneo

FAQ

Posso mischiare i livelli all'interno della stessa busta?

Sì. Una busta multi-documento può includere, ad esempio, un preventivo firmato in SES e un contratto firmato in AES. Ogni firmatario vede l'autenticazione adatta al documento che deve firmare.

La firma avanzata è riconosciuta a livello internazionale?

Nell'UE sì, in virtù del principio di reciproco riconoscimento di eIDAS. Fuori dall'UE, il riconoscimento dipende dal quadro giuridico locale — da verificare in base alla giurisdizione interessata.

È necessario un certificato personale per firmare in AES?

No. L'AES può essere ottenuta senza un certificato personale preliminare grazie al doppio OTP. Questo è ciò che rende l'AES molto accessibile, mentre la QES richiede un certificato qualificato.

La firma qualificata è obbligatoria per un contratto di lavoro?

No. Il contratto di lavoro accetta la firma avanzata (AES), che offre già una presunzione di validità forte. Per maggiori dettagli, vedere firma elettronica del contratto di lavoro.

Come verificare il livello di un documento firmato?

Aprite il PDF in Adobe Acrobat Reader: le proprietà della firma mostrano il livello, il firmatario e la marca temporale. Potete anche utilizzare un verificatore online.

Conclusione

Scegliere il livello giusto di firma elettronica significa trovare l'equilibrio tra valore probatorio e frizione per il firmatario. Iniziate in modo semplice, alzate il livello quando la posta in gioco giuridica lo richiede.

Prova Certyneo per inviare, firmare e monitorare i tuoi documenti online in modo semplice, rapido e sicuro.