Direttiva E018

E018 - utilizzo e validazione di firme elettroniche nei documenti PDF (Confederazione)

La direttiva E018 si applica esclusivamente alle autorità federali soggette all’ordinanza del 2 aprile 2025 sui servizi digitali e la trasformazione digitale nell’Amministrazione federale (ODigi).
Gli interessati possono richiedere la versione attuale della E018 rivolgendosi all’indirizzo [e-mail].

Di seguito sono presentati i punti fondamentali:

• Per le decisioni amministrative si applica la legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA; RS 172.021). Per i contratti e le convenzioni occorre inoltre osservare il Codice delle obbligazioni (CO; RS 220) e in tutti i casi la legge del 18 marzo 2016 sulla firma elettronica (FiEle; RS 943.03) nonché l’ordinanza del 18 giugno 2010 sulla comunicazione per via elettronica nell’ambito di procedimenti amministrativi (OCE-PA; RS 172.021.2).
• I documenti dal carattere giuridicamente vincolante (p. es. convenzioni e contratti) che vengono trasmessi a destinatari esterni all’Amministrazione federale dovrebbero per quanto possibile essere muniti di firme elettroniche qualificate. Le decisioni e le fatture aventi carattere decisionale devono obbligatoriamente essere munite di firme qualificate o di sigilli elettronici regolamentati.
• I regolamenti vigenti relativi alla firma delle segreterie generali e delle unità amministrative devono essere adattati per tenere conto dei documenti elettronici e devono indicare il tipo di firma (firma elettronica qualificata, firma elettronica avanzata con il certificato di firma di classe B dei collaboratori, sigillo elettronico regolamentato) da utilizzare a seconda del tipo di documento.
• I documenti interni come rapporti, proposte, decisioni, protocolli, convenzioni e tutte le e-mail possono essere firmate elettronicamente con il certificato di firma personale per i collaboratori (classe B). Tuttavia, questo tipo di firma non soddisfa alcun requisito o prescrizione formale e serve solo per l’identificazione e la conservazione delle prove. La firma qualificata è necessaria laddove la legge prevede la forma scritta quale condizione di validità. A titolo di esempio si possono menzionare i documenti di pertinenza delle risorse umane, relativi alla creazione, all’adattamento e alla fine del rapporto di lavoro. Nei sistemi GEVER si raccomanda, laddove possibile e opportuno, di approvare tali documenti mediante la funzione «Vistare» invece della firma con il certificato di classe B. Le informazioni vengono così archiviate nei metadati e non nel documento stesso.
• Solo le versioni finali dei documenti devono essere firmate elettronicamente. Per approvare e vistare i documenti è necessario utilizzare le funzioni (p. es. Workflow) dell’applicazione specifica corrispondente o del sistema di gestione degli affari (GEVER). La firma elettronica di documenti PDF è utilizzata soprattutto se la versione finale di un documento lascia l’applicazione o il sistema GEVER e in particolare se deve essere inviata a destinatari esterni all’Amministrazione federale.
• Prima di essere firmati nell’applicazione in cui sono stati creati, i documenti devono essere convertiti in un formato possibilmente compatibile e archiviabile. Le decisioni amministrative, laddove possibile, devono essere convertite nel formato PDF/A-1a o PDF/A-2a. È da evitare il formato non compatibile PDF/A-1b e PDF/A-2b. Nota bene: se i documenti dell’Amministrazione federale sono salvati in formato PDF con la funzione «Salva con nome...» di Microsoft Office, le impostazioni preconfigurate (ISO1905-1) assicurano automaticamente un formato di output PDF/A-1a. Lo stesso vale per la scansione con le stampanti della divisione.
• Quando si appone la firma elettronica è necessario allegare online le informazioni relative alla validazione a lungo termine (Long Term Validation, LTV) nonché una marca temporale qualificata; questo significa che non è possibile apporre una firma elettronica se si è offline.
• I documenti PDF possono essere firmati elettronicamente in maniera visibile o non visibile. Una firma è visibile quando al contenuto del documento si aggiunge una sorta di timbro che indica l’apposizione della firma elettronica. Il documento sullo schermo conserva così una traccia visibile della firma elettronica. Firmare in maniera visibile è sempre obbligatorio se il documento è trasmesso a un destinatario esterno all’Amministrazione federale, mentre è raccomandato in tutti gli altri casi. La direttiva E018 definisce i requisiti che la forma visibile della firma elettronica deve soddisfare, i simboli da utilizzare e gli elementi testuali dei dati strutturati relativi alla firma e al certificato. Nota bene: all’esterno della rete dell’Amministrazione federale non è sempre scontato l’utilizzo di una versione di Adobe Acrobat Reader, con cui possono essere visualizzate e verificate tecnicamente le firme elettroniche. La forma visibile consente ai destinatari di constatare la presenza di una firma elettronica.
• Oltre alla rappresentazione visibile delle firme contenute, un documento ufficiale deve contenere informazioni che permettono di verificarne l’autenticità tramite il validatore della Confederazione. Si può aggiungere un’osservazione nel documento o un rimando alla pagina iniziale di questo sito web, accanto alla firma elettronica.
• Dall’introduzione generalizzata dei servizi di firma versione 2.0 nell’agosto 2021, per firmare documenti PDF dal sistema GEVER o da applicazioni specifiche, nell’Amministrazione federale si devono utilizzare i servizi di firma basati su server o il DesktopSigner installato su ogni postazione di lavoro.
• I moduli PDF devono essere riempiti con la versione originale di Adobe Acrobat Reader. La firma dei moduli PDF deve essere apposta con il DesktopSigner.
• Le autorità federali sottoposte all’ordinanza sui servizi digitali e la trasformazione digitale nell’Amministrazione federale (ODigi) devono procurarsi i certificati di firma qualificati necessari, i sigilli elettronici intestati all’organizzazione e tutti gli altri certificati della Swiss Government PKI presso il prestatore di prestazioni, ossia l’Ufficio federale dell’informatica e della telecomunicazione (UFIT). La Swiss Government PKI non rilascia alcun certificato alle persone private o alle organizzazioni.