Regolamento eIDAS e legge sulle firme elettroniche per le imprese

In sintesi: il regolamento eIDAS disciplina a livello UE i casi in cui una firma elettronica è giuridicamente equiparata a una firma autografa. Esso prevede tre livelli: firma elettronica semplice, avanzata e qualificata (QES). Ai sensi dell’articolo 25 del regolamento eIDAS, tutti e tre i livelli sono ammessi come mezzi di prova in tribunale, ma solo la firma elettronica qualificata (QES) può sostituire la forma scritta prevista dal § 126a del Codice civile tedesco (BGB). Per la maggior parte dei processi aziendali è sufficiente la firma elettronica avanzata (FES).

Il regolamento (UE) n. 910/2014, pubblicato nella Gazzetta ufficiale dell’Unione europea nel 2014, è direttamente applicabile in tutti gli Stati membri dell’UE dal luglio 2016. Esso ha sostituito sia la precedente legge tedesca sulle firme elettroniche sia la direttiva UE 1999/93/CE in materia di firme elettroniche su cui si basava. È interessante notare che i tre livelli di firma oggi conosciuti esistono sostanzialmente già dagli anni ’90 e da allora sono rimasti sostanzialmente invariati. La novità principale dell’eIDAS è che questi livelli sono ora vincolanti in tutti gli Stati membri dell’UE, mentre la vecchia direttiva lasciava un margine di manovra agli Stati membri. Inoltre, l’eIDAS ha introdotto novità per le firme a distanza, nonché per i sigilli elettronici, i timbri temporali e i servizi di notifica. Concretamente, per le imprese ciò significa che un documento firmato con firma qualificata in Germania viene automaticamente riconosciuto anche in Francia o in Spagna.

Una precisazione terminologica preliminare: «firma digitale» indica tecnicamente un procedimento crittografico, mentre «firma elettronica» è il termine giuridico ai sensi dell’eIDAS. Nel linguaggio comune, entrambi i termini sono spesso utilizzati come sinonimi. In questo articolo seguiamo il concetto giuridico di «firma elettronica» previsto dall’eIDAS, segnalando tuttavia le differenze tecniche nei punti opportuni.

La firma elettronica semplice (EES) comprende qualsiasi contrassegno digitale attribuibile a una persona, come ad esempio una firma scansionata. Ha il minor valore probatorio e non richiede alcuna verifica dell’identità. Non è quindi adatta a processi commerciali seri che comportano un valore della controversia.

La firma elettronica avanzata (FES) attribuisce in modo univoco la firma a una persona. Può essere generata in diversi modi: un tablet per firme signotec rileva a tal fine caratteristiche biometriche quali la pressione, la velocità di scrittura, il tempo e l’accelerazione. In alternativa, l’attribuzione univoca può avvenire anche tramite autenticazione con password monouso (OTP) inviata via SMS o tramite verifica del documento d’identità. In entrambi i casi, è la firma crittografica basata su certificato del PDF a garantire che le modifiche successive al documento rimangano riconoscibili, non i dati biometrici stessi. Per la stragrande maggioranza dei processi aziendali privi di requisiti formali previsti dalla legge, questo livello è giuridicamente sufficiente.

La firma elettronica qualificata (QES) si basa su un certificato qualificato rilasciato da un fornitore di servizi di fiducia e presuppone una verifica preventiva dell’identità, ad esempio tramite identificazione video. È l’unica forma di firma per la quale la legge prevede un alleggerimento dell’onere probatorio: ai sensi dell’art. 25, comma 2, del regolamento eIDAS, la QES ha lo stesso effetto giuridico di una firma autografa, e, in combinato disposto con l’art. 371a del Codice di procedura civile tedesco (ZPO), in presenza di una QES validamente verificata si applica la presunzione di autenticità: in caso di controversia, spetta quindi alla controparte motivare seri dubbi sull’autenticità, non al firmatario provarne l’autenticità. La QES è quindi equiparata alla firma autografa e soddisfa il requisito della forma scritta ai sensi del § 126a del BGB.

La maggior parte dei contratti nella prassi commerciale quotidiana non è soggetta ad alcun requisito formale. I contratti di fornitura, di prestazione di servizi e la maggior parte dei contratti di compravendita possono essere stipulati con un FES in modo giuridicamente valido. Di conseguenza, le banche ricorrono spesso alla FES per l’apertura di conti e i contratti di credito non soggetti a particolari requisiti formali, le compagnie assicurative per la stipula dei contratti, il settore sanitario per le dichiarazioni di consenso e gli uffici del personale per la maggior parte dei contratti di lavoro.

Una firma elettronica qualificata (QES), invece, è obbligatoria laddove la legge richieda la forma scritta e consenta la forma elettronica: ad esempio nei contratti di prestito al consumo (§ 492 del Codice civile tedesco, BGB) o nei contratti di lavoro a tempo determinato ai sensi del § 14, comma 4, della legge sul lavoro a tempo parziale e a tempo determinato. Va inoltre tenuto presente che: per i contratti di locazione a tempo determinato di durata superiore a un anno si applica la forma scritta ai sensi del § 550 del BGB, e per singoli tipi di documenti – ad esempio la dichiarazione di fideiussione da parte di privati ai sensi del § 766, seconda frase, del BGB – la forma elettronica è completamente esclusa dalla legge; in questi casi la firma autografa su carta rimane obbligatoria, e nemmeno una firma elettronica qualificata (QES) è sufficiente.

La conseguenza pratica: prima di digitalizzare un processo, le aziende dovrebbero verificare quale livello sia effettivamente richiesto per il rispettivo tipo di documento, anziché ricorrere in via generale alla più complessa firma elettronica qualificata (QES) per motivi di incertezza. Un processo di firma giuridicamente sicuro richiede tre elementi tecnici fondamentali: un’acquisizione affidabile, biometrica o basata su certificato, un collegamento a prova di manomissione tra la firma e il contenuto del documento, nonché una traccia di audit completa. Per i processi FES locali, signoSign/2 soddisfa questi requisiti; per i casi QES e a distanza, si utilizza signoSign/Universal in combinazione con un fornitore esterno di servizi di fiducia.

Con l’emendamento alla direttiva eIDAS 2.0, entrato in vigore nel maggio 2024, l’UE introduce un “portafoglio digitale” riconosciuto dallo Stato, l’European Digital Identity Wallet (EUDI-Wallet). Entro il 2026 gli Stati membri dovranno mettere a disposizione almeno un’app di questo tipo, che consenta ai cittadini di identificarsi e apporre firme qualificate in tutta Europa. Per le aziende con un elevato volume di QES, può essere utile dare uno sguardo in anticipo a questo sviluppo, poiché a medio termine dovrebbe semplificare i processi di identificazione.

Una firma digitalizzata è giuridicamente valida?

È considerata una firma elettronica semplice con il minimo valore probatorio ed è difficile da dimostrare in caso di controversia.

Il regolamento eIDAS sostituisce il diritto nazionale?

No, la integra. I requisiti formali, come quelli previsti dal § 126a del BGB (Codice civile tedesco), continuano a determinare quale livello di firma sia richiesto nei singoli casi.

È possibile creare una firma elettronica qualificata (QES) con un tablet per firme?

Non direttamente, poiché a tal fine è necessaria una procedura basata su certificato. In combinazione con un fornitore di servizi di fiducia e signoSign/Universal è possibile integrare il processo.

Una firma elettronica tedesca è valida anche in altri paesi dell’UE?

Sì. Il riconoscimento reciproco delle firme elettroniche in tutti gli Stati membri dell’UE è lo scopo principale del regolamento eIDAS e si applica a tutti e tre i livelli di firma, non solo alla QES.

Quanto costa una firma elettronica qualificata?

Una QES senza identificazione costa di norma da uno a due euro per ogni operazione di firma. A ciò si aggiunge, a seconda del fornitore, la procedura di identificazione, che spesso costa dai dieci ai venti euro. Questi costi rendono la QES antieconomica per molte operazioni commerciali quotidiane: un motivo in più per utilizzarla in modo mirato solo laddove la legge lo richieda.

Il regolamento eIDAS chiarisce in quali casi le firme elettroniche siano giuridicamente valide, senza costringere automaticamente le aziende ad adottare la soluzione più costosa. Scegliendo il livello di firma adeguato a ciascun tipo di documento, è possibile accelerare i processi di firma senza compromettere la sicurezza giuridica. Da oltre 25 anni signotec supporta le aziende con hardware e software in grado di soddisfare tutti i requisiti, dalla firma elettronica semplice a quella qualificata.

Fonti primarie: Regolamento (UE) n. 910/2014 (Regolamento eIDAS); Direttiva 1999/93/CE; § 126a del Codice civile tedesco (BGB); § 492 del Codice civile tedesco (BGB); § 550 del Codice civile tedesco (BGB); § 766, seconda frase, del Codice civile tedesco (BGB); § 14, comma 4, della Legge sui contratti a tempo determinato (TzBfG); § 371a del Codice di procedura civile (ZPO).