I punti chiave da tenere presenti nella scelta di un fornitore qualificato di servizi di marcatura temporale
- Qualifica eIDAS: verificare che il servizio di marcatura temporale figuri in un elenco ufficiale europeo di fiducia e che la sua qualifica sia attiva.
- Garanzie tecniche: richiedere la politica relativa alla marcatura temporale e verificare gli standard, i meccanismi crittografici e le condizioni di sincronizzazione temporale.
- Continuità del servizio: esaminare gli impegni in materia di disponibilità, i tempi di risposta e le procedure di gestione degli incidenti.
- Riservatezza: identificare i dati effettivamente trasmessi, le informazioni conservate e le misure di sicurezza applicate.
- Durata delle prove: assicurarsi che i timbri di data e ora possano essere conservati e verificati indipendentemente dal fornitore del servizio, anche a distanza di diversi anni.
- Condizioni commerciali: confrontare le clausole relative alla responsabilità, alla reversibilità, alle modalità di assistenza e al costo complessivo del servizio.
1. Come si può verificare che un fornitore di servizi sia effettivamente qualificato ai sensi dell’eIDAS?
La prima verifica riguarda lo status normativo del fornitore e, più precisamente, la qualificazione del servizio offerto.
L'articolo 41 del regolamento europeo eIDAS prevede che un timbro elettronico qualificato goda della presunzione di esattezza della data e dell'ora indicate, nonché dell'integrità dei dati in questione. Tale presunzione agevola l'onere della prova in caso di contestazione.
Per beneficiare di tali garanzie, è necessario assicurarsi che il servizio utilizzato sia effettivamente qualificato. Lo status di fornitore di servizi di fiducia qualificato (PSCo) non implica che tutti i servizi offerti da tale impresa siano qualificati.
Dove è possibile verificare la qualifica del servizio?
In Francia, l’ANSSI pubblica l’elenco nazionale di fiducia. Anche la Commissione europea mette a disposizione uno strumento per la consultazione degli elenchi di fiducia.
Consente di cercare un fornitore e di verificare il tipo di servizio certificato e il relativo stato.
Da verificare: la qualifica deve corrispondere esattamente al servizio di marcatura temporale previsto ed essere valida al momento del suo utilizzo.
2. Quali documenti tecnici occorre richiedere prima di effettuare la scelta?
Un fornitore qualificato di servizi di marcatura temporale deve essere in grado di documentare le condizioni in cui viene erogato il proprio servizio.
La politica in materia di marcatura temporale costituisce, a tale riguardo, un documento di riferimento. Essa precisa, in particolare, le norme applicabili alla generazione dei token di marcatura temporale e le condizioni di funzionamento del servizio. È inoltre opportuno esaminare la dichiarazione relativa alle pratiche del fornitore, nonché gli standard tecnici a cui esso si attiene.
Tra gli elementi da verificare figurano il protocollo RFC 3161, la conformità alle norme europee applicabili, gli algoritmi crittografici utilizzati e le modalità di sincronizzazione con il tempo universale coordinato (UTC). Tali informazioni consentono di determinare se le garanzie offerte siano conformi ai requisiti aziendali, in particolare quando l’azienda deve fornire prove nel corso di un audit, di un controllo normativo o di un procedimento giudiziario.
Aspetto da verificare: il fornitore deve essere in grado di fornire una documentazione tecnica aggiornata e di illustrare le condizioni in cui i gettoni vengono prodotti e controllati.
3. Come valutare l’affidabilità e la continuità del servizio?
Per un’azienda che utilizza la marcatura temporale nei propri processi aziendali, un’interruzione del servizio può comportare conseguenze immediate: impossibilità di datare determinate operazioni, ritardi nella produzione della documentazione o interruzioni nella tracciabilità di un processo.
L'affidabilità operativa deve pertanto essere oggetto di una valutazione distinta dalla qualificazione normativa. Si raccomanda di esaminare gli impegni contrattuali in materia di disponibilità, generalmente formalizzati in uno SLA (Service Level Agreement). Tale documento deve in particolare specificare gli impegni relativi alla disponibilità del servizio, le modalità di gestione degli incidenti ed eventuali indennizzi contrattuali.
È necessario prestare particolare attenzione alle procedure di continuità operativa e di ripristino dell'attività.
Aspetto da verificare: il fornitore è in grado di garantire la continuità del servizio in caso di guasto tecnico? Quali tempi di ripristino si impegna a rispettare?
Per le aziende che generano un numero elevato di timbri temporali, sarà necessario testare anche le prestazioni e la capacità di elaborazione prima della messa in produzione.
4. Quali garanzie occorre richiedere in materia di riservatezza dei dati?
La marcatura temporale può riguardare informazioni sensibili: contratti commerciali, fascicoli relativi alla proprietà intellettuale, documenti finanziari o dati personali. È pertanto opportuno stabilire con precisione quali informazioni vengono trasmesse al fornitore del servizio.
Il protocollo RFC 3161 consente, in particolare, di trasmettere un'impronta crittografica del documento senza rivelarne il contenuto. Questo metodo limita l'esposizione delle informazioni riservate.
Tuttavia, occorre esaminare anche le condizioni relative al trattamento dei metadati, dei registri tecnici e delle informazioni relative agli utenti. L’azienda deve verificare le misure di sicurezza applicate, i periodi di conservazione delle informazioni e, qualora vengano trattati dati personali, le garanzie previste dal RGPD.
Aspetto da verificare: la documentazione contrattuale deve consentire di identificare i dati raccolti, la loro finalità, il periodo di conservazione e gli eventuali responsabili del trattamento coinvolti.
5. Come garantire che le prove rimangano verificabili nel tempo?
La durata di validità di una prova può superare di gran lunga quella del contratto stipulato con il fornitore del servizio.
Un token di marcatura temporale associato a un contratto, a un documento di proprietà intellettuale o a un’operazione finanziaria potrebbe dover essere presentato diversi anni dopo la sua emissione. È quindi necessario prevedere in anticipo le condizioni per la sua verifica a lungo termine.
Il fornitore del servizio deve consentire il recupero dei token in un formato utilizzabile, corredati delle informazioni necessarie per verificarne la validità. La verifica si basa in particolare sull’integrità dell’impronta crittografica, sulla validità della firma o del timbro associato al token e sugli elementi che consentono di stabilire lo stato del servizio al momento dell’emissione. Anche l’evoluzione degli algoritmi crittografici deve essere presa in considerazione nella strategia di conservazione.
Aspetto da verificare: l’azienda sarà in grado di verificare le proprie prove indipendentemente dal fornitore, anche a seguito della risoluzione del contratto o della cessazione dell’attività?
Tale questione deve essere affrontata sin dalla scelta del fornitore del servizio, in particolare quando i documenti sono soggetti a lunghi periodi di conservazione.
6. Quali clausole contrattuali occorre esaminare prima di impegnarsi?
La qualificazione normativa disciplina la prestazione del servizio, ma gli impegni contrattuali meritano un’analisi specifica.
La direzione legale deve in particolare esaminare le clausole relative alla responsabilità del fornitore, alle interruzioni del servizio, alla segnalazione degli incidenti e alle condizioni di risoluzione del contratto. Le modalità di reversibilità rivestono particolare importanza. L’azienda deve mantenere la possibilità di recuperare i propri dati e di cambiare fornitore senza comprometterne il funzionamento.
È inoltre opportuno verificare gli impegni relativi all’assistenza tecnica, ai tempi di elaborazione delle richieste e agli sviluppi del servizio. La ripartizione delle responsabilità deve essere chiaramente definita, in particolare quando la marcatura temporale è integrata in un’applicazione sviluppata o gestita dall’azienda cliente.
Aspetto da verificare: il contratto deve definire con precisione gli obblighi del fornitore, i limiti della sua responsabilità e le condizioni di restituzione dei dati al termine del rapporto commerciale.
7. Come si possono confrontare i prezzi dei fornitori di servizi di marcatura temporale qualificata?
I fornitori possono proporre diversi modelli tariffari: fatturazione a gettoni, forfait annuali, crediti prepagati o tariffe decrescenti in base ai volumi.
Il prezzo unitario non costituisce tuttavia un indicatore sufficiente per confrontare le offerte. Un’azienda che desideri apporre occasionalmente un timbro temporale su alcuni documenti non avrà le stesse esigenze di un produttore di software che integra automaticamente il timbro temporale in diverse migliaia di transazioni giornaliere.
Il confronto deve tenere conto di eventuali costi di integrazione, volumi minimi, costi di assistenza, funzionalità di verifica e modalità di rinnovo del contratto. In caso di utilizzo automatizzato, la disponibilità di un’API di marcatura temporale, di una documentazione chiara e di un ambiente di test può inoltre incidere sui costi di implementazione.
Da verificare: richiedere una simulazione tariffaria corrispondente ai volumi effettivamente previsti, che includa i costi ricorrenti e i servizi aggiuntivi.
Le domande da porre a un fornitore qualificato di servizi di marcatura temporale prima di firmare
Per facilitare il confronto tra diverse offerte, i criteri principali possono essere raggruppati in una tabella di valutazione.
| Criterio | Domanda da porre | Si richiede la presentazione di un documento giustificativo |
|---|---|---|
| Certificazione eIDAS | Il servizio offerto è attualmente certificato? | Iscrizione nella Trusted List |
| Conformità tecnica | Quali norme e politiche regolano la produzione dei gettoni? | Politica relativa alla marcatura temporale e alla documentazione tecnica |
| Disponibilità | Quali sono i vostri impegni in materia di disponibilità e ripristino? | SLA e piano di continuità operativa |
| Riservatezza | Quali dati trattate e conservate? | Politica di sicurezza e clausole relative alla protezione dei dati |
| Verifica delle prove | È possibile verificare i token indipendentemente dal vostro servizio? | Documentazione di verifica |
| Reversibilità | Quali sono le condizioni di restituzione e di recesso? | Clausole contrattuali |
| Prezzi | Qual è il costo totale per i volumi previsti? | Proposta commerciale dettagliata |
La presente tabella può fungere da base per una consultazione dei fornitori o per una procedura di selezione condotta congiuntamente dalle direzioni legale, tecnica e acquisti.
La scelta di un fornitore di servizi di marcatura temporale: una decisione di natura giuridica e operativa
La scelta di un fornitore qualificato di servizi di marcatura temporale non deve basarsi esclusivamente sul prezzo o sulla presenza di una certificazione eIDAS.
Anche l'affidabilità del servizio, la riservatezza delle informazioni, le possibilità di verifica delle prove e gli impegni contrattuali ne determinano la rilevanza per l'azienda.
Una valutazione documentata consente di selezionare un fornitore le cui garanzie siano conformi ai requisiti del sistema informativo e alle finalità probatorie perseguite.
In qualità di fornitore qualificato di servizi di fiducia, Evidency offre un servizio di marcatura temporale elettronica qualificato eIDAS, accessibile tramite API e progettato per essere integrato direttamente nei processi documentali delle aziende. Mettiamo inoltre a disposizione un ambiente sandbox gratuito, per testare le nostre soluzioni prima dell’integrazione in produzione.
Esonero di responsabilità
Le opinioni, le presentazioni, i dati e le stime riportati sul sito web, ivi compreso il blog, hanno esclusivamente scopo informativo e non devono essere considerati come consulenza legale. Per ottenere un parere legale, è necessario rivolgersi a un professionista del diritto nella propria giurisdizione.
L'uso del contenuto di questo sito web, compreso il blog, per scopi commerciali, inclusa la rivendita, è vietato senza il previo consenso di Evidency. La richiesta di autorizzazione deve specificare lo scopo e la portata della riproduzione. Per scopi non commerciali, tutto il materiale di questa pubblicazione può essere citato o ristampato liberamente, ma è necessario un riconoscimento e un link a questo sito web.
