Il percorso di una firma elettronica eIDAS
Una firma elettronica conforme al regolamento eIDAS segue 8 step tecnici precisamente definiti dagli articoli 24 a 42 del regolamento (UE) n° 910/2014 e dall'articolo 1366 del Codice civile. Ogni step è concepito per garantire un elemento distinto dell'affidabilità giuridica: identità, consenso, integrità, opponibilità temporale, archiviazione probante.
Questa pagina documenta ogni step con la sua citazione normativa esatta. È concepita come un riferimento stabile per i giornalisti legaltech, i buyer B2B e i giuristi — ogni articolo citato è verificabile su EUR-Lex o Légifrance tramite i link forniti. Le durate indicate corrispondono a un workflow firma avanzata (AES) standard; la firma qualificata (QES) aggiunge in media 30 secondi per la verifica approfondita d'identità.
Gli 8 step tecnici
Dall'invio del documento all'archiviazione probante 10 anni, ogni step cita l'articolo esatto che la regola.
- 1
1. Invio del documento da firmare
Il documento (PDF, immagine, contratto) è caricato dall'emittente e associato a uno o più indirizzi email dei firmatari. Il regolamento eIDAS definisce la firma elettronica come «dati in forma elettronica, che sono allegati o associati logicamente ad altri dati in forma elettronica e che il firmatario utilizza per firmare» (art. 3 §10). Nessun vincolo di formato è imposto a questo step: solo la tracciabilità del legame documento–firmatario conta giuridicamente.
Citazione normativa: Règlement (UE) n° 910/2014 (eIDAS) — art. 3 §10
Définition de la signature électronique
- 2
2. Verifica d'identità del firmatario
Per raggiungere il livello AES (firma avanzata), il regolamento richiede un'«identificazione univoca del firmatario» (art. 26 a). Concretamente: OTP SMS su telefono verificato, controllo di documento d'identità mediante acquisizione video, o identificazione forte tramite un fornitore d'identità notificato a livello UE (FranceConnect+, itsme, BankID). Per la QES, l'identificazione deve essere effettuata da un QTSP (Qualified Trust Service Provider) elencato nella TSL nazionale.
Citazione normativa: Règlement (UE) n° 910/2014 (eIDAS) — art. 24
Vérification d'identité du signataire (AES/QES)
- 3
3. Raccolta del consenso informato
Il firmatario deve aver preso conoscenza del contenuto e aver espresso la sua volontà di firmare. L'articolo 1366 del Codice civile richiede che « la persona da cui [lo scritto elettronico] emana possa essere debitamente identificata » e che la firma sia « apposta in condizioni tali da garantirne l'integrità ». Concretamente: visualizzazione del documento firmabile, casella di spunta di consenso, menzione manuale se richiesta da certi settori (assicurazione art. L132-5-1 Codice delle assicurazioni).
Citazione normativa: Code civil — art. 1366
Force probante de l'écrit électronique (consentement éclairé)
- 4
4. Autenticazione crittografica forte
L'articolo 26 del regolamento eIDAS richiede per l'AES che la firma sia « collegata al firmatario in modo univoco » (art. 26 b) E « creata mediante dati di creazione della firma elettronica che il firmatario può, con un elevato livello di fiducia, utilizzare sotto il suo controllo esclusivo » (art. 26 c). Tecnicamente: generazione di un certificato X.509 unico per firmatario, collegato al suo OTP SMS verificato. Per la QES, questo certificato deve essere qualificato (QSCD).
Citazione normativa: Règlement (UE) n° 910/2014 (eIDAS) — art. 26 (b) & (c)
Lien univoque signature–signataire + détection altération
- 5
5. Apposizione della firma al documento
La firma elettronica è crittograficamente collegata al contenuto del documento tramite hash SHA-256. L'articolo 1367 del Codice civile richiede un procedimento affidabile di identificazione; questa affidabilità è presunta, fino a prova contraria, per la firma qualificata (decreto n° 2017-1416) — è l'inversione dell'onere della prova che rende la QES così potente. Per una firma semplice o avanzata, l'affidabilità si dimostra con il fascicolo di prova. Nel formato PAdES (PDF Advanced Electronic Signatures), la firma è incorporata nel PDF stesso.
Citazione normativa: Code civil — art. 1367
Présomption de fiabilité du procédé de signature électronique
- 6
6. Marcatura temporale elettronica
Un token di marcatura temporale RFC 3161, emesso da un'autorità di marcatura temporale terza, è apposto sulla firma: fissa in modo verificabile la data e l'ora della firma. Il regolamento eIDAS disciplina la marcatura temporale elettronica agli articoli 41 e 42: una marcatura temporale non può essere scartata come prova solo per il motivo che è elettronica (art. 41 §1), e solo la marcatura temporale qualificata, rilasciata da un prestatore qualificato, beneficia della presunzione di esattezza della data e dell'ora (art. 41 §2).
Citazione normativa: Règlement (UE) n° 910/2014 (eIDAS) — art. 41 & 42
Horodatage électronique qualifié (preuve de la date)
- 7
7. Sigillo crittografico e rilevamento delle alterazioni
Un sigillo elettronico qualificato (art. 35–40 del regolamento eIDAS) è apposto sul documento firmato per garantirne l'integrità. Qualsiasi modifica successiva del contenuto — anche di un solo byte — invalida automaticamente il sigillo, e quindi la firma. Questa proprietà crittografica (« tamper evidence ») è ciò che rende la firma eIDAS superiore alla firma manuale: su carta, un'alterazione discreta è molto difficile da rilevare; in eIDAS, è meccanicamente impossibile da occultare.
Citazione normativa: Règlement (UE) n° 910/2014 (eIDAS) — art. 35–40
Cachet électronique qualifié + intégrité cryptographique
- 8
8. Archiviazione a valore probatorio
Il documento firmato + il suo audit trail eIDAS (identità, marca temporale, certificati, sigillo) sono archiviati secondo i requisiti della norma AFNOR NF Z42-013 (« archiviazione elettronica a valore probatorio »). La durata minima è di 10 anni, allineata con l'articolo L123-22 del Codice di commercio per i documenti contabili e con l'articolo 2224 del Codice civile per la prescrizione di diritto comune. È richiesto un archivio digitale conforme alla norma NF Z42-020 (servizi di archiviazione elettronica).
Citazione normativa: Norme AFNOR NF Z42-013
Archivage électronique à valeur probante (10 ans minimum)
Perché questi 8 step sono indissociabili
Ogni fase affronta un rischio giuridico distinto. Senza verifica dell'identità, il firmatario può negare di essere l'autore (fase 2). Senza consenso consapevole, la firma può essere impugnata per vizio del consenso (art. 1130 CCiv, fase 3). Senza autenticazione crittografica forte, l'unicità del collegamento firma–firmatario è contestabile (fase 4). Senza marcatura temporale, la data può essere discussa (fase 6). Senza sigillo, l'integrità del documento può essere attaccata successivamente (fase 7). Senza archiviazione a valore probatorio, la prova scompare (fase 8). La forza dell'eIDAS viene precisamente dall'encatenamento di queste 8 garanzie: nessuna è facoltativa in un workflow AES correttamente implementato.
Per approfondire
Metti in pratica il percorso eIDAS sui tuoi documenti
Piano gratuito, senza carta di credito. Firma avanzata AES eIDAS, archiviazione 10 anni inclusa.