Firma digitale

La promozione dello sviluppo e della diffusione della firma digitale rappresenta uno dei capisaldi della politica di e-government così come individuata nei piani governativi. La firma digitale consente, infatti, un effettivo e maggiore utilizzo degli strumenti informatici e della telematica nella gestione della documentazione elettronica, determinando un sensibile snellimento nell'attività della P.A., nonché transazioni in rete più sicure. L'obiettivo del Ministro Stanca di promuovere il rilascio e l'utilizzo di un milione di firme digitali entro il 2003 é stato ampiamente raggiunto ed a marzo 2004 sono state 1.250.000 le firme digitali complessivamente emesse dagli Enti certificatori. L'utilizzo della firma digitale é stata comunque molto stimolata dalla crescente diffusione di smart cards (CIE/CNS) con la possibilità di ospitare certificati di firma digitale e dall'introduzione dell'obbligo (da luglio 2003) di invio telematico al Registro delle Imprese dei documenti firmati digitalmente. La firma digitale è il risultato di una procedura informatica, che consente al sottoscrittore di rendere manifesta l'autenticità del documento informatico e al destinatario di verificarne la provenienza e l'integrità. Tale strumento utilizza le potenzialità delle chiavi asimmetriche (crittografia a doppia chiave) e prevede che il titolare abbia due chiavi che gli vengono attribuite in modo univoco, una "privata", in possesso e conosciuta solo da lui, e una "pubblica", resa disponibile attraverso il certificato rilasciato dal certificatore emittente.
Un documento elettronico firmato (cifrato) con una delle due chiavi può essere reso "chiaro" (decifrato e verificato) esclusivamente utilizzando l'altra. La firma digitale si basa su certificati elettronici rilasciati da soggetti definiti "certificatori", i quali hanno il compito e la responsabilità di: garantire l'associazione firma digitale - titolare, pubblicare sul proprio sito l'elenco dei certificati delle chiavi pubbliche dei titolari che si sono avvalsi dei loro servizi di certificazione, mantenere aggiornato l'elenco pubblico dei certificati sospesi o revocati. L'Italia è stata tra i primi paesi dell'Unione Europea a dare piena validità giuridica alla firma digitale attraverso vari interventi normativi anche di contenuto tecnico tra i quali il più significativo è il D.P.R. 513 del 10 novembre 1997, confluito nel Testo Unico sulla documentazione amministrativa (D.P.R. 445 del 28 dicembre 2000) e il D.Lgs. n.10 del 15 febbraio 2002, che ha definito le norme primarie per l'attuazione della direttiva comunitaria 1999/93/CE. Il D.Lgs. n. 10/2002 ha introdotto le seguenti novità: l'introduzione di diverse tipologie di firme elettroniche aventi validità ed efficacia giuridiche diverse; il divieto di autorizzazione preventiva per lo svolgimento dell'attività di certificazione; l'introduzione di un sistema di accreditamento facoltativo per i certificatori "qualificati". In particolare il D.Lgs. 10/2002 ha attribuito al documento sottoscritto con firma elettronica avanzata, c.d. forte, (la firma digitale del D.P.R. 513/1997 è l'esempio principale ma non unico di questa tipologia di firma), nei casi in cui la firma è basata su un certificato qualificato e creata con dispositivo sicuro, l'efficacia probatoria del documento sottoscritto e riconosciuto, per cui il titolare, per disconoscere il documento redatto con tale strumento, dovrà attivare il complesso procedimento della querela di falso. Il decreto legislativo ha inoltre ammesso l'utilizzo di firme elettroniche "deboli" (firme elettroniche che non rispettano i requisiti tecnici e organizzativi di sicurezza previsti per le firme elettroniche "forti"); il documento elettronicamente sottoscritto con tale tipo di firma sarà riconosciuto dall'ordinamento comeforma scritta, ma la sua efficacia probatoria potrà essere liberamente valutata dal giudice. L'organo di vigilanza dei certificatori è il Dipartimento per l'Innovazione e le Tecnologie: nel caso in cui i certificatori vogliano prestare servizi di certificazione di "base" (cioè con un relativo livello di qualità e sicurezza) non occorrerà alcuna notifica preventiva al Dipartimento; nel caso invece in cui il certificatore voglia rilasciare certificati di firma con un rilevante livello di qualità e di sicurezza, assumendo in tal modo la veste di certificatore "qualificato", prima dell'inizio dell'attività dovrà avvisare anche soltanto per via telematica il Dipartimento, il quale effettuerà un controllo successivo, d'ufficio o dietro segnalazione motivata. I certificatori potranno inoltre richiedere al Dipartimento di essere riconosciuti come certificatori "accreditati" nel caso in cui posseggano requisiti di qualità e di sicurezza più elevati; in tale caso, i certificatori verranno inseriti in un apposito elenco pubblico tenuto dal Dipartimento e il controllo su di essi sarà sia preventivo che successivo (rientrano tra tali certificatori quelli che sono stati già accreditati dall'AIPA). Il D.Lgs 10/2002 prevede inoltre che le istanze e le dichiarazioni inviate per via telematica alla P.A. sono valide se sottoscritte mediante la firma digitale, basata su di un certificato qualificato rilasciato da un certificatore accreditato e generata mediante un dispositivo sicuro per la creazione. Sulla scia delle novità già introdotte dal Dlgs 10/2002 e dalla direttiva 1999/99/CE, il 7 aprile 2003 è stato emanato un regolamento di coordinamento in materia di firme elettroniche. Il regolamento ha stabilito in particolare: i requisiti che devono possedere i certificatori; i requisiti aggiuntivi per i certificatori qualificati; i requisiti e la procedura di accreditamento per i certificatori che intendono conseguire il riconoscimento del possesso di più elevati livelli di qualità e sicurezza per i certificati di firma; l'attività di vigilanza sulla certificazione; gli obblighi particolari cui sono sottoposti sia il titolare di firma che il certificatore; norme particolari per le PA le quali, infatti, ai fini della sottoscrizione dei documenti informatici di rilevanza esterna hanno due alternative, possono: rivolgersi a certificatori accreditati; svolgere direttamente l'attività di rilascio dei certificati qualificati soltanto, però, se rientra nell'attività interna(esclusivamente nei confronti dei propri organi o uffici) oppure, nel caso in cui i certificati di firma vengano emessi nei confronti di categorie di terzi, pubblici o privati, avranno un valore limitato soltanto ai rapporti con l'Amministrazione certificante. Con il DPCM del 13 gennaio 2004, pubblicato sulla G.U. 27 aprile 2004, sono state definite le nuove "Regole Tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale, dei documenti informatici"che sostituiscono quelle definite nel 1999 (dpcm 8 febbraio 1999). Il documento contiene disposizioni per la generazione, apposizione e verifica delle firme digitali e si applicano ai certificatori che rilasciano al pubblico certificati "qualificati" ai sensi del Testo Unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa (Dpr 445/2000) e successive modificazioni (DPR 7 aprile 2003 n.137) e ai certificatori "accreditati" ai quali si applicano anche le regole per la validazione temporale e per la protezione dei documenti informatici.

Cos'è la firma digitale
La firma digitale ha caratteristiche che superano la semplice sottoscrizione di un testo e rende possibile firmare con valore legale un documento informatico. La Firma Digitale è il risultato finale di un complesso algoritmo matematico che permette di firmare un documento informatico con la stessa validità di una firma autografa. Il processo di Firma Digitale si basa sulla crittografia asimmetrica: ogni titolare dispone di una coppia di chiavi, una privata - segreta e custodita sulla Smart Card e protetta da un codice di accesso (PIN) - l'altra pubblica - custodita e pubblicata dall'Ente Certificatore - che viene usata per la verifica della firma. Le due chiavi sono correlate in maniera univoca, tuttavia dalla chiave pubblica è impossibile risalire a quella privata.  Il funzionamento del sistema è garantito dalla presenza della terza parte fidata - l'Ente Certificatore - qual è Postecom - che assicura l'associazione univoca tra la chiave pubblica da usare per la verifica e il titolare della corrispondente chiave privata. Tale associazione si basa sull'emissione di un certificato digitale, che avviene solo dopo l'identificazione e registrazione certa del richiedente. Postecom (in funzione di Ente Certificatore) gestisce l'intero ciclo di vita del certificato compresa la sospensione temporanea della sua validità o la sua revoca definitiva. Oltre alla Firma Digitale, Postecert offre il servizio di cifratura che consente di tradurre un documento elettronico in un insieme di caratteri decifrabili solo da chi dispone della corrispondente chiave privata. Il documento elaborato con l'algoritmo di cifratura diventa di impossibile lettura a terzi sia in fase di trasmissione sia in fase di archiviazione. La cifratura ha lo scopo di garantire la massima riservatezza e sicurezza dei documenti informatici.