Aspetti da tenere presenti in merito alla conformità di un timbro elettronico
- Il timbro elettronico garantisce l'origine e l'integrità dei documenti emessi da una persona giuridica
- Solo il livello “qualificato” gode di una presunzione legale di conformità in tutta l’UE
- È indispensabile un certificato rilasciato da un operatore qualificato (QTSP)
- L'integrazione può avvenire manualmente o in modo automatizzato tramite un timbro del server
- È necessario un monitoraggio normativo regolare per garantire una conformità duratura alla luce degli sviluppi relativi all’eIDAS 2
Che cos'è un sigillo elettronico?
Il regolamento europeo eIDAS (articolo 3, paragrafo 25) definisce la firma elettronica come un insieme di dati in formato elettronico, allegati o associati logicamente ad altri dati elettronici, al fine di garantirne l’origine e l’integrità. In termini concreti, si tratta dell’equivalente digitale del timbro ufficiale che un’azienda appone sui propri documenti cartacei.
La distinzione rispetto alla firma elettronica è fondamentale:
- Una firma elettronica proviene da una persona fisica ed esprime il suo consenso al contenuto di un documento.
- Il timbro elettronico, invece, viene apposto da una persona giuridica (l'azienda stessa) e attesta che il documento proviene effettivamente da tale entità senza aver subito alcuna modifica.
Tale distinzione comporta importanti conseguenze pratiche. Laddove la firma richiede l’intervento di una persona identificata, il timbro può essere apposto in modo automatizzato su interi flussi documentali: fatture generate da un sistema ERP, buste paga prodotte da un software per la gestione delle risorse umane, attestati generati in serie.
Il regolamento eIDAS distingue tre livelli di sigillo:
- Il timbro semplice,
- il timbro anticipato,
- il timbro qualificato.
Solo la firma elettronica qualificata gode della presunzione di integrità e di esattezza dell’origine dei dati. Tale presunzione, prevista dall’articolo 35 del regolamento, conferisce alla firma elettronica qualificata un valore probatorio riconosciuto in tutti gli Stati membri.
Quali sono i requisiti per una firma elettronica conforme alla direttiva eIDAS?
Affinché una firma elettronica sia giuridicamente opponibile, non è sufficiente apporre un logo o una dicitura su un file PDF. L’articolo 36 del regolamento eIDAS stabilisce requisiti precisi per il livello avanzato, che il livello qualificato rafforza ulteriormente.
Il sigillo deve innanzitutto essere collegato in modo univoco al proprio creatore, ovvero alla persona giuridica che lo appone. Tale collegamento si basa su un certificato elettronico che identifica l’organizzazione in modo certo: denominazione sociale, numero di registrazione, Stato membro di stabilimento.
L'integrità dei dati costituisce il secondo requisito. Il timbro deve consentire di rilevare qualsiasi modifica successiva apportata al documento.
Dal punto di vista tecnico, tale garanzia si basa su un'impronta crittografica (hash) calcolata al momento dell'apposizione del timbro. Se anche un solo carattere del documento venisse modificato in un secondo momento, l'impronta non corrisponderebbe più e la falsificazione risulterebbe rilevabile.
Il creatore del timbro deve mantenere il controllo esclusivo sui dati relativi alla creazione del timbro. Tali dati, in particolare la chiave crittografica privata, non possono essere condivisi né compromessi.
Per raggiungere il livello qualificato, il timbro elettronico deve inoltre basarsi su un certificato qualificato di timbro elettronico rilasciato da un fornitore di servizi di fiducia qualificato (PSCo) iscritto in un elenco ufficiale dell'Unione europea.
Come creare un timbro elettronico conforme: i passaggi
L'implementazione di un timbro elettronico conforme al regolamento eIDAS richiede un approccio strutturato in diverse fasi.
Individuare i documenti in questione
Non tutti i documenti devono necessariamente essere sigillati. È opportuno individuare quelli che impegnano l’azienda nei confronti di terzi e per i quali la prova dell’origine e dell’integrità riveste particolare importanza, ad esempio:
- fatture,
- buste paga,
- attestati,
- certificati,
- rapporti ufficiali,
- ordini di acquisto o di consegna.
Questa mappatura preliminare consente di definire correttamente la portata del progetto.
Scegliere un fornitore di servizi qualificato e affidabile
Si tratta della fase determinante. Il fornitore di servizi (PSCo) deve figurare nell’elenco di fiducia dell’Unione europea, consultabile sul sito della Commissione. Ciascuno Stato membro pubblica inoltre il proprio elenco nazionale. In Francia, èl’ANSSI a svolgere tale funzione di supervisione.
La scelta del fornitore di servizi determina la validità giuridica del timbro: un certificato emesso da un fornitore non qualificato non beneficerà della presunzione di integrità prevista dall’eIDAS.
Ottenere il certificato di identificazione
Il prestatore di servizi procede a una verifica rigorosa dell'identità della persona giuridica:
- controllo dei documenti di immatricolazione,
- verifica dei poteri del rappresentante legale o del mandatario che presenta la richiesta.
Tale procedura può richiedere diversi giorni a seconda dei fornitori. Una volta rilasciato il certificato, esso viene associato a una coppia di chiavi crittografiche, la cui chiave privata rimane sotto il controllo esclusivo dell’organizzazione.
Inserire il timbro nei flussi documentali
Sono previste due modalità:
- L'applicazione manuale è indicata per volumi ridotti: un collaboratore autorizzato avvia il processo di sigillatura documento per documento tramite un'interfaccia web o un software dedicato.
- L'apposizione automatizzata, tramite un timbro server, soddisfa le esigenze delle organizzazioni che gestiscono volumi elevati. Il timbro viene quindi apposto automaticamente da un'applicazione collegata al sistema informativo (ERP, SIRH, GED) tramite un'API.
Soluzioni come Evidency consentono tale integrazione nei flussi di lavoro esistenti senza stravolgere l'architettura tecnica.
Firma elettronica e certificato eIDAS: le basi della conformità
Per comprendere questo quadro di conformità, è fondamentale soffermarsi sull’elemento centrale del sistema: il certificato qualificato eIDAS, che costituisce la base giuridica e tecnica del timbro elettronico.
Che cos’è un certificato qualificato eIDAS?
Un certificato qualificato per il sigillo elettronico (QSealC) è un certificato digitale rilasciato da un fornitore di servizi di fiducia qualificato, in conformità con i requisiti dell’allegato III del regolamento eIDAS. Tale certificato attesta l’identità della persona giuridica e consente di creare sigilli elettronici qualificati.
Il certificato contiene informazioni standardizzate:
- il nome del creatore del timbro (la persona giuridica),
- un identificativo univoco,
- i dati di convalida del timbro,
- nonché la firma elettronica qualificata del fornitore che l'ha rilasciata.
La sua validità è generalmente compresa tra uno e tre anni, al termine dei quali deve essere rinnovato.
Il timbro elettronico eIDAS è destinato a un utilizzo in cui il certificato, ospitato su un server protetto, consente l’apposizione automatizzata e su larga scala di timbri elettronici, senza alcun intervento umano, garantendo così scalabilità, affidabilità operativa e integrazione fluida nei processi aziendali.
Perché questo certificato garantisce la conformità alla normativa?
Il regolamento eIDAS, nella sua versione riveduta del 2024 (eIDAS 2), stabilisce un principio di riconoscimento reciproco tra gli Stati membri. Una firma elettronica qualificata creata in un paese dell’Unione europea deve essere riconosciuta come tale in tutti gli altri Stati membri. Tale interoperabilità si basa proprio sul certificato qualificato.
L'articolo 35 del regolamento attribuisce al timbro qualificato una presunzione di integrità dei dati e di correttezza dell'origine. In caso di controversia, spetta alla parte che contesta l’autenticità del documento fornire la prova di un’eventuale falsificazione, e non all’impresa che ha apposto il timbro dimostrare che il documento è autentico. Tale inversione dell’onere della prova costituisce un notevole vantaggio procedurale.
Al contrario, un timbro basato su un certificato non qualificato non gode di alcuna presunzione legale. Il suo valore probatorio sarà valutato a discrezione del giudice, il che espone l’azienda a un’incertezza giuridica in caso di contenzioso.
Buone pratiche per una conformità sostenibile
La conformità non si esaurisce con il conseguimento del certificato. Il regolamento eIDAS 2, entrato in vigore nel maggio 2024, rafforza i requisiti applicabili ai servizi di fiducia, con atti di esecuzione che verranno pubblicati progressivamente fino al 2026. Un monitoraggio normativo regolare consente di anticipare tali sviluppi.
Il certificato ha una validità limitata. È opportuno pianificarne il rinnovo diverse settimane prima della scadenza per evitare qualsiasi interruzione del servizio. Alcuni fornitori offrono avvisi automatici quando si avvicina la scadenza.
Una verifica periodica del sistema, preferibilmente annuale, consente di accertare che le procedure interne rimangano conformi: autorizzazioni delle persone abilitate ad attivare la sigillatura, sicurezza della custodia delle chiavi, tracciabilità delle operazioni. La scelta di un partner affidabile, dotato di supporto tecnico e giuridico, facilita questo processo nel lungo periodo.
Conclusione
La firma elettronica qualificata rappresenta oggi lo standard per l’autenticazione dei documenti emessi da una persona giuridica nell’Unione europea. La sua implementazione richiede la scelta di un fornitore qualificato ai sensi dell’eIDAS, l’ottenimento di un certificato conforme e l’integrazione della firma elettronica nei processi documentali dell’azienda.
Al di là della conformità normativa, la firma elettronica qualificata rappresenta uno strumento fondamentale per garantire la sicurezza e prevenire le frodi. Essa garantisce l’integrità dei documenti, consente di individuare eventuali alterazioni a posteriori e rende immediatamente identificabili i tentativi di falsificazione. In caso di controversia relativa all’autenticità di una fattura, di un contratto o di un attestato, offre un elevato livello di certezza giuridica che le soluzioni non qualificate non sono in grado di garantire. I fornitori di fiducia come Evidency affiancano le organizzazioni in ogni fase, dall’ottenimento del certificato all’integrazione tecnica, al fine di rendere sicuri in modo duraturo i loro flussi documentali e rafforzare la fiducia nei loro scambi digitali.
Esonero di responsabilità
Le opinioni, le presentazioni, le cifre e le stime presentate sul sito web, compreso il blog, sono solo a scopo informativo e non devono essere considerate come consulenza legale. Per una consulenza legale, deve contattare un professionista del settore nella sua giurisdizione.
L'uso del contenuto di questo sito web, compreso il blog, per scopi commerciali, inclusa la rivendita, è vietato senza il previo consenso di Evidency. La richiesta di autorizzazione deve specificare lo scopo e la portata della riproduzione. Per scopi non commerciali, tutto il materiale di questa pubblicazione può essere citato o ristampato liberamente, ma è necessario un riconoscimento e un link a questo sito web.
