Semplice, avanzata, qualificata: le firme secondo eIDAS

Semplice, avanzata, qualificata: il regolamento eIDAS distingue tre livelli di firma elettronica. Quale serve davvero per ciascun atto del Comune.

«Firma elettronica» è un'espressione che copre cose molto diverse tra loro: dallo scarabocchio tracciato col dito su un tablet alla firma digitale con certificato qualificato. La confusione tra questi livelli produce, negli enti, due errori speculari: pretendere la firma qualificata dove basterebbe molto meno, complicando la vita ai cittadini; o accontentarsi di una firma debole dove il valore dell'atto ne richiederebbe una forte, accumulando fragilità probatoria.

Il quadro di riferimento è il regolamento europeo eIDAS, il 910 del 2014, che l'ordinamento italiano integra con il Codice dell'amministrazione digitale. Conoscerne la logica di base è il prerequisito per scegliere bene.

I tre livelli, in breve

Il regolamento distingue tre gradini, con requisiti e valore crescenti.

• Firma elettronica semplice: dati in forma elettronica usati per firmare, senza requisiti tecnici particolari; in giudizio è liberamente valutabile
• Firma elettronica avanzata: connessa univocamente al firmatario, capace di rivelare ogni modifica successiva del documento
• Firma elettronica qualificata: avanzata più certificato qualificato e dispositivo sicuro; è equiparata alla sottoscrizione autografa
• La firma digitale italiana è una firma qualificata basata su crittografia a chiavi asimmetriche: il gradino più alto

Cosa dice il CAD sul valore degli atti

Il Codice dell'amministrazione digitale traduce i livelli in efficacia giuridica: il documento sottoscritto con firma qualificata o digitale ha l'efficacia della scrittura privata prevista dal codice civile, e la stessa efficacia può essere riconosciuta a documenti formati con processi che garantiscono sicurezza, integrità e riconducibilità all'autore secondo le regole tecniche — è la porta attraverso cui sono passate, ad esempio, le firme basate sull'identificazione con identità digitale.

Per l'ente la conseguenza operativa è che la domanda giusta non è «quale firma è la migliore», ma «quale efficacia serve a questo atto»: un contratto, una determina, una presa visione e un'istanza non abitano lo stesso gradino, e trattarli tutti allo stesso modo è sempre uno spreco — di sicurezza o di semplicità.

Una scelta per procedimento, non per abitudine

La pratica migliore è mappare: per ogni tipologia di atto che l'ente firma o fa firmare, stabilire il livello richiesto e il flusso corrispondente — la firma digitale del dirigente per gli atti amministrativi, flussi avanzati o semplici per le interazioni con i cittadini dove la norma lo consente. La mappa evita sia gli eccessi di zelo sia le scorciatoie rischiose, e dà a chi lavora una regola chiara invece di una valutazione caso per caso.

Il panorama, peraltro, continua a evolvere: la revisione europea del quadro eIDAS e il portafoglio di identità digitale che ne discende porteranno nuovi strumenti di firma e identificazione nelle mani dei cittadini. Gli enti che hanno già ragionato per livelli e per procedimenti accoglieranno le novità come un'estensione; gli altri ricominceranno da capo la stessa discussione.

Nel frattempo, la regola di prudenza è documentare le scelte: una breve matrice interna che associ tipologie di atto e livelli di firma richiesti mette l'ente al riparo da contestazioni e dà agli uffici un riferimento stabile invece di una valutazione improvvisata caso per caso. È un pomeriggio di lavoro del segretario con i responsabili — e vale più di molte consulenze.