La firma digitale deve riferirsi in maniera univoca ad un solo soggetto ed al documento o all'insieme di documenti cui è apposta o associata.
L'apposizione di firma digitale integra e sostituisce l'apposizione di sigilli, punzoni, timbri, contrassegni e marchi di qualsiasi genere ad ogni fine previsto dalla normativa vigente.
Per la generazione della firma digitale deve adoperarsi un certificato qualificato che, al momento della sottoscrizione, non risulti scaduto di validità ovvero non risulti revocato o sospeso.
Attraverso il certificato qualificato si devono rilevare, secondo le Linee guida, la validità del certificato stesso, nonché gli elementi identificativi del titolare di firma digitale e del certificatore e gli eventuali limiti d'uso. Le linee guida definiscono altresì le modalità, anche temporali, di apposizione della firma.
L'apposizione a un documento informatico di una firma digitale o di un altro tipo di firma elettronica qualificata basata su un certificato elettronico revocato, scaduto o sospeso equivale a mancata sottoscrizione, salvo che lo stato di sospensione sia stato annullato. La revoca o la sospensione, comunque motivate, hanno effetto dal momento della pubblicazione, salvo che il revocante, o chi richiede la sospensione, non dimostri che essa era già a conoscenza di tutte le parti interessate.
Le disposizioni del presente articolo si applicano anche se la firma elettronica è basata su un certificato qualificato rilasciato da un certificatore stabilito in uno Stato non facente parte dell'Unione europea, quando ricorre una delle seguenti condizioni:
a) il certificatore possiede i requisiti previsti dal regolamento eIDAS ed è qualificato in uno Stato membro;
b) il certificato qualificato è garantito da un certificatore stabilito nella Unione europea, in possesso dei requisiti di cui al medesimo regolamento;
c) il certificato qualificato, o il certificatore, è riconosciuto in forza di un accordo bilaterale o multilaterale tra l'Unione europea e Paesi terzi o organizzazioni internazionali.
Spiegazione
La firma digitale deve poter essere ricondotta a una sola persona e ai documenti firmati. Per crearla occorre un certificato qualificato valido, non revocato né sospeso, che consenta di verificare l’identità del titolare e del certificatore e gli eventuali limiti d’uso. Se il certificato è scaduto, revocato o sospeso, la firma vale come mancata sottoscrizione, salvo che la sospensione sia stata annullata. La firma digitale può sostituire sigilli, timbri e contrassegni; per certificati rilasciati fuori dall’Unione europea, la norma ne ammette l’uso in specifiche condizioni.
Perché esiste questa norma
La norma tutela la certezza sull’identità di chi firma e sull’affidabilità della firma riferita al documento. Stabilisce inoltre quando la firma produce effetti e a quali condizioni possono essere riconosciuti certificati provenienti da Paesi terzi.
Domande frequenti
Posso firmare digitalmente un documento con un certificato scaduto?
No: la firma basata su un certificato scaduto equivale a una mancata sottoscrizione.
Che cosa succede se il mio certificato è sospeso quando firmo?
La firma equivale a una mancata sottoscrizione, a meno che la sospensione venga annullata.
Da quando produce effetto la revoca del certificato?
Di regola, dal momento della pubblicazione. Può avere effetto da prima se chi l’ha disposta o richiesta dimostra che tutte le parti interessate ne erano già a conoscenza.
La firma digitale può sostituire il timbro di un’impresa?
Sì. La norma attribuisce alla firma digitale, a ogni fine previsto dalla normativa vigente, la funzione di sostituire sigilli, punzoni, timbri, contrassegni e marchi.
È valida in Italia una firma basata su un certificato rilasciato fuori dall’Unione europea?
Può esserlo se il certificatore è qualificato in uno Stato membro, se il certificato è garantito da un certificatore dell’Unione europea con i requisiti richiesti, oppure se opera un accordo tra l’Unione europea e il Paese terzo o un’organizzazione internazionale.