Firma Digitale in Italia: FES, FEA, FEQ e come ottenerla

“Firma elettronica” e “firma digitale” vengono usati spesso come sinonimi, ma non sono la stessa cosa: la firma digitale è una specifica categoria di firma elettronica, quella con il valore probatorio più alto previsto dalla legge italiana e dal regolamento europeo eIDAS. Capire a quale livello appartiene la firma che si sta effettivamente usando — su un contratto, su un documento della Pubblica Amministrazione, su una semplice email — evita brutte sorprese quando quel documento serve davvero come prova. Questa guida fa parte della sezione servizi digitali, insieme alle guide su SPID e fatturazione elettronica.

I tre livelli di firma elettronica: FES, FEA, FEQ

Il regolamento eIDAS distingue tre livelli, con garanzie crescenti:

• Firma Elettronica Semplice (FES): la forma più basilare, paragonabile al clic su un pulsante “Accetto” o alla sottoscrizione di un’email. È valida in molti contesti informali, ma non offre alcuna verifica certa dell’identità del firmatario né garanzie sull’integrità del documento firmato: in caso di contestazione, il suo valore viene valutato caso per caso dal giudice.
• Firma Elettronica Avanzata (FEA): collega la firma in modo univoco al firmatario e consente di rilevare qualsiasi modifica successiva al documento. Rientrano in questa categoria, ad esempio, le firme grafometriche raccolte su tablet in banca o dal corriere, e i sistemi di firma con OTP legati a un contratto specifico.
• Firma Elettronica Qualificata (FEQ), comunemente chiamata “firma digitale” in Italia: si basa su un certificato digitale qualificato rilasciato da un prestatore di servizi fiduciari accreditato, e richiede una verifica rigorosa dell’identità del firmatario, di norma tramite riconoscimento di persona, con CIE di livello 3, o con videoidentificazione a distanza.

Sul piano del valore legale, la FEQ — la vera firma digitale — ha piena efficacia probatoria ai sensi dell’articolo 2702 del Codice Civile: un documento firmato digitalmente si presume riconosciuto dal firmatario, che per contestarlo deve dimostrarne attivamente la falsità. La FEA resta valida ma più facilmente contestabile; la FES, come detto, viene valutata di volta in volta in base al contesto e alle misure di sicurezza adottate.

Come si ottiene la firma digitale

La firma digitale (FEQ) si acquista presso un prestatore di servizi fiduciari qualificato, sotto forma di kit con smart card e lettore, chiavetta USB con token crittografico, oppure — la modalità oggi più diffusa — come firma remota, utilizzabile da computer o smartphone senza alcun dispositivo fisico aggiuntivo.

La procedura richiede sempre una verifica rigorosa dell’identità del richiedente, tramite uno di questi metodi:

1. Riconoscimento di persona, presso uno sportello o un punto convenzionato del prestatore di servizi.
2. Videoidentificazione a distanza, con un operatore che verifica il documento mostrato davanti alla webcam.
3. Riconoscimento tramite CIE di livello 3: avvicinando la Carta d’Identità Elettronica a un lettore NFC o allo smartphone, è possibile attivare una firma remota in pochi minuti, senza appuntamenti né videochiamate.

Una volta verificata l’identità, il prestatore rilascia un certificato digitale qualificato, con una validità tipica di uno, due o tre anni, al termine della quale va rinnovato. Il costo varia in base al prestatore e alla durata del certificato scelto, ed è generalmente proporzionale al numero di firme incluse nel piano o alla durata dell’abbonamento per la firma remota. Alcuni prestatori vendono pacchetti “a consumo”, con un numero limitato di firme incluse nel prezzo base e un costo aggiuntivo per ogni firma extra, particolarmente adatti a chi firma solo occasionalmente; altri propongono abbonamenti annuali a firme illimitate, più convenienti per chi firma documenti con frequenza quotidiana o settimanale, come uno studio professionale.

A cosa serve la firma digitale

La firma digitale si usa ogni volta che un documento richiede una sottoscrizione con piena validità legale senza passare dalla carta: contratti tra aziende, atti notarili digitalizzati, pratiche verso la Pubblica Amministrazione, domande di partecipazione a bandi e gare pubbliche, bilanci societari depositati al Registro delle Imprese, fatture verso alcuni enti pubblici che la richiedono in aggiunta alla fattura elettronica stessa.

Per professionisti che gestiscono pratiche telematiche verso la Pubblica Amministrazione — penso a commercialisti, avvocati, geometri — la firma digitale è spesso uno strumento di lavoro quotidiano più che un’eccezione: molte piattaforme di deposito atti e comunicazione con gli enti la richiedono come unico metodo di sottoscrizione accettato.

Anche fuori dal mondo delle professioni ordinistiche, la firma digitale sta diventando comune per chi vende o acquista casa (atti preliminari, procure), per chi partecipa ad asta giudiziarie telematiche, o semplicemente per chi vuole chiudere un contratto di lavoro o una collaborazione senza dover stampare, firmare e rispedire per posta un documento cartaceo.

Firma digitale, SPID e CIE: come si distinguono

Firma digitale, SPID e CIE risolvono problemi diversi, anche se nella pratica si intrecciano spesso. Lo SPID identifica una persona per farla accedere a un servizio online; la CIE fa lo stesso tramite il chip del documento fisico; la firma digitale, invece, non serve ad accedere a un servizio ma a sottoscrivere un documento con valore legale equivalente alla firma autografa. Non è raro che i tre strumenti si sovrappongano operativamente: si può usare la CIE per attivare gratuitamente lo SPID, e allo stesso tempo la CIE di livello 3 per attivare una firma digitale remota, senza ripetere ogni volta l’intero processo di verifica dell’identità da capo.

Vale anche il percorso inverso: chi possiede già un kit di firma digitale può spesso usarlo come metodo di riconoscimento per richiedere lo SPID presso diversi gestori, evitando la videoidentificazione via webcam. Anche per attivare una casella PEC, alcuni gestori accettano la firma digitale come metodo di verifica dell’identità in alternativa al documento cartaceo.

Firma digitale e documento scansionato: perché non sono equivalenti

Un errore piuttosto comune è pensare che stampare un documento, firmarlo a mano e poi scansionarlo in PDF equivalga a una firma digitale. Non è così: il file PDF risultante è solo un’immagine di una firma autografa, priva del certificato crittografico che identifica il firmatario e garantisce l’integrità del documento. Chi contesta un documento firmato in questo modo può farlo con relativa facilità, perché non c’è alcuna prova tecnica che collochi la firma su quel file specifico, in quel momento, da parte di quella persona.

La firma digitale vera e propria, al contrario, applica al file un sigillo crittografico verificabile: aprendo il documento con un software di verifica si può controllare chi ha firmato, quando, e se il contenuto è stato modificato anche di un solo carattere dopo la firma. È proprio questa verificabilità tecnica, non l’aspetto visivo della firma, a fare la differenza legale.

Conservazione dei documenti firmati digitalmente

Anche i documenti firmati digitalmente vanno conservati correttamente nel tempo, seguendo le stesse logiche di conservazione sostitutiva già viste per la fatturazione elettronica: marche temporali, formati non deperibili, garanzia di integrità nel tempo. Un contratto firmato digitalmente e poi salvato distrattamente in una cartella qualsiasi resta valido, ma diventa più difficile da rintracciare e da esibire come prova se non è inserito in un sistema di conservazione strutturato — un dettaglio che le aziende con volumi alti di contratti digitali imparano spesso a proprie spese.

Domande frequenti