Indicazioni utili
Firme elettroniche avanzate dell’Amministrazione federale (FEA della SG-PKI)
Le firme elettroniche avanzate (FEA) non sono regolamentate ai sensi della FiEle. Le loro caratteristiche dipendono dal rispettivo servizio di certificazione, in particolare per quanto riguarda la verifica dell’identità del firmatario. Per questo motivo, in linea di principio il validatore della Confederazione non è in grado di verificare in modo completo i documenti firmati con una FEA né di assegnargli uno stato complessivo «verde». Fanno eccezione le FEA create dall’Amministrazione federale (SG-PKI), poiché le caratteristiche di queste firme sono note e in particolare la verifica dell’identità è garantita. Per questo motivo, a differenza delle FEA del settore privato, il validatore può attribuire a quelle dell’Amministrazione federale uno stato complessivo «verde». Se un privato o un’impresa desidera che un proprio documento sia contrassegnato con tale stato, dovrebbe utilizzare una firma elettronica regolamentata (FEQ e sigilli ai sensi della FiEle).
(Combinazione di) firme elettroniche ai sensi del diritto svizzero e dell’UE
Le norme giuridiche e tecniche della Svizzera e dell’area UE sono comparabili per quanto riguarda gli effetti giuridici delle firme elettroniche qualificate (FEQ). Tuttavia, i prestatori di servizi di certificazione sono riconosciuti in modo indipendente per ogni area giuridica e la creazione di una FEQ avviene in modo specifico. Ciò significa che in linea di principio una FEQ creata ai sensi del diritto svizzero o dell’UE produce effetti solo nell’area giuridica corrispondente. Non esistono trattati internazionali o disposizioni di legge che permettano un riconoscimento reciproco delle FEQ.
È possibile firmare un documento con una FEQ ai sensi del diritto svizzero e successivamente con una FEQ dell’UE.
Si noti che di norma i validatori (compreso quello dell’Amministrazione federale) possono verificare unicamente la conformità delle firme elettroniche di una determinata area giuridica. Se un documento contiene, oltre a una FEQ ai sensi del diritto svizzero, anche una FEQ ai sensi del diritto dell’UE, il validatore non assegnerà uno stato complessivo «verde» al documento.
Documenti provvisti unicamente di marca temporale elettronica
Nel caso di un marca temporale elettronica qualificata, il servizio che la fornisce conferma, mediante un sigillo elettronico regolamentato, che una determinata informazione era presente in un determinato momento. In questo modo è possibile dimostrare l’integrità dell’informazione e quindi di un documento. Queste marche temporali vengono verificate dal validatore insieme alle firme elettroniche, in particolare per determinare se provengono da un prestatore riconosciuto di servizi di certificazione.
Il validatore può verificare anche documenti provvisti esclusivamente di marca temporale, quindi senza FEQ o sigillo elettronico regolamentato. Tuttavia, lo stato complessivo del documento non sarà indicato come «verde».
e-ID
L’identità elettronica (e-ID) svizzera è un documento d’identità digitale riconosciuto dallo Stato che consente di accertare l’identità di una persona online in modo univoco e sicuro. È disciplinata dalla legge federale sul mezzo d’identificazione elettronico e altri mezzi di autenticazione elettronici (LIdE).
Nel contesto delle firme elettroniche, l’e-ID funge da base affidabile per l’identificazione al momento della richiesta di un certificato firma. L’e-ID agevola quindi il rilascio di certificati di firma da parte di prestatori riconosciuti di servizi di certificazione, in particolare per la creazione di firme elettroniche qualificate ai sensi della FiEle, ma non equivale a un certificato di firma tradizionale o monouso.
Certificati monouso
I certificati di firma risultano validi per un determinato periodo di tempo, durante il quale possono essere utilizzati per le firme elettroniche. I certificati classici hanno solitamente una validità di 1–3 anni, devono essere archiviati o conservati in modo sicuro e possono essere revocati. I certificati monouso vengono invece generati da zero per ogni firma e solitamente hanno una validità di poche ore, motivo per cui non è necessario revocarli. Non occorre nemmeno archiviarli o conservali in modo sicuro, in quanto sono eliminati dopo la firma. Il rilascio di questi certificati avviene in modo automatizzato da parte di un prestatore di servizi di fiducia, di solito direttamente al momento della firma. Nel complesso, i certificati monouso aumentano la sicurezza, la facilità d’uso e la flessibilità della firma elettronica.
Regolamenti, direttive e linee guida in materia di firme
Regolamenti, direttive e linee guida stabiliscono chi all’interno di un’organizzazione è autorizzato a firmare e per quali scopi nonché i requisiti applicabili. Definiscono tra l’altro ruoli, competenze e limiti d’importo e in linea di principio si applicano sia alle firme autografe che a quelle elettroniche. Nel contesto digitale è inoltre possibile stabilire quali tipi di firma (p. es. avanzata o qualificata) sono ammessi per quali operazioni. Spesso le direttive stabiliscono anche requisiti per l’identificazione, l’autenticazione e l’utilizzo di soluzioni di firma, nonché per la standardizzazione delle indicazioni visibili delle firme elettroniche.
Simili indicazioni hanno tra l’altro lo scopo di garantire che le dichiarazioni di volontà giuridicamente vincolanti siano fornite solo da persone autorizzate e che siano rispettati i requisiti di legge o le direttive di conformità interne. Inoltre, favoriscono la tracciabilità e la sicurezza in caso di revisione dei processi e nel complesso creano trasparenza, sicurezza e responsabilità nella gestione delle firme.
All’interno dell’amministrazione federale si applica la direttiva E018.