Capire il quadro svizzero della firma elettronica

Il quadro svizzero della firma elettronica

In Svizzera, il quadro normativo poggia sulla Legge federale del 18 marzo 2016 sulla firma elettronica (LFE, RS 943.03) e sull’Ordinanza del 23 novembre 2016 sulla firma elettronica (OFE, RS 943.032). La normativa distingue tre livelli: firma elettronica semplice, avanzata e qualificata (bit.admin.ch ; swisssign.com).

La firma elettronica qualificata (FEQ) è equiparata alla firma manoscritta ai sensi dell’art. 14 cpv. 2bis del Codice delle obbligazioni (easygov.swiss). Il livello di firma costituisce pertanto un elemento da valutare in funzione dell’effetto giuridico desiderato.

I servizi a distanza rappresentano un’applicazione concreta del quadro svizzero: l’Amministrazione federale ne presenta alcuni nell’ambito dell’offerta del settore privato. SwissID Sign figura tra le soluzioni associate a SwissSign AG nell’elenco EasyGov (bit.admin.ch ; easygov.swiss).

LFE e OFE: le basi legali svizzere

La LFE è la Legge federale del 18 marzo 2016 sulla firma elettronica (RS 943.03). Essa costituisce il fondamento legale svizzero per i servizi di certificazione legati alla firma elettronica (seco.admin.ch).

L’OFE, RS 943.032, è l’Ordinanza del 23 novembre 2016 sulla firma elettronica. L’UFCOM definisce le regole tecniche e operative relative ai servizi di certificazione (seco.admin.ch).

Il ruolo dell’UFCOM concerne le regole tecniche e operative applicabili ai servizi di certificazione. L’elenco dei fornitori riconosciuti è pubblicato dalla SECO (seco.admin.ch ; easygov.swiss).

Tra gli emittenti riconosciuti di certificati QES ai sensi della LFE figurano Swisscom (Svizzera) SA, DigiCert Switzerland AG, SwissSign AG e SIGN8 AG. L’UFIT fornisce la PKI del governo svizzero esclusivamente alle autorità e solo con certificati di classe A (easygov.swiss).

Le imprese che rilasciano e gestiscono certificati elettronici qualificati e regolamentati sono verificate e riconosciute dall’organismo di accreditamento KPMG (SCESm 0071) in Svizzera. KPMG SA è l’unico organismo di accreditamento autorizzato in Svizzera (seco.admin.ch).

Firma elettronica: i livelli semplice, avanzato e qualificato

Il quadro normativo distingue tre livelli: firma elettronica semplice (FES), avanzata (FEA) e qualificata (FEQ) (bit.admin.ch ; swisssign.com). La firma avanzata rappresenta dunque un livello autonomo, intermedio tra quello semplice e quello qualificato.

L’OFE fornisce una definizione della FES e della FEA, senza regolamentare questi due livelli. Per la FEA, la definizione specifica che il certificato utilizzato è rilasciato a nome del suo titolare, persona che firma o organizzazione che attesta l’origine del documento mediante un sigillo (bit.admin.ch).

Secondo SwissSign, la firma elettronica semplice presenta i requisiti di sicurezza meno stringenti. La firma qualificata è presentata come il livello più elevato (swisssign.com).

Per una firma qualificata, SwissSign indica che la verifica dell’identità del firmatario deve avvenire prima della prima firma ed essere effettuata da un prestatore di servizi fiduciari riconosciuto (swisssign.com). Le modalità concrete dipendono dal servizio scelto.

Gli effetti giuridici della firma qualificata

La firma qualificata beneficia dell’equiparazione con la firma manoscritta prevista dall’art. 14 cpv. 2bis del Codice delle obbligazioni (easygov.swiss). Questo effetto giuridico permette di distinguere la FEQ dagli altri livelli di firma.

I prestatori di servizi di certificazione che rilasciano e gestiscono certificati elettronici qualificati e regolamentati sono verificati e riconosciuti in Svizzera (seco.admin.ch). Il certificato qualificato si inserisce così nel sistema di riconoscimento previsto dalla LFE.

La Svizzera non ha concluso alcun accordo di riconoscimento reciproco delle firme elettroniche con paesi terzi o con l’Unione europea. In assenza di un tale accordo, una firma qualificata basata su un certificato qualificato secondo un diritto straniero non è riconosciuta come equivalente a una FEQ svizzera; vale lo stesso principio inverso per una FEQ svizzera all’estero (bakom.admin.ch).

L’UFCOM precisa che alcuni fornitori di servizi di certificazione riconosciuti in Svizzera possono fornire soluzioni legalmente riconosciute in paesi terzi. Questa possibilità non costituisce un’equivalenza automatica tra le firme svizzere e quelle straniere (bakom.admin.ch).

Identificazione e firma a distanza

Per una firma qualificata, la verifica dell’identità deve intervenire prima della prima firma ed essere effettuata da un prestatore di servizi fiduciari riconosciuto (swisssign.com). La procedura di identificazione è quindi un prerequisito per il rilascio della firma qualificata.

Con Swisscom Sign, una FEQ richiede un’identificazione unica tramite un documento d’identità valido, passaporto o carta d’identità, e viene convalidata tramite l’applicazione MySwisscom (swisscom.ch). Per le altre offerte basate su Signing Service, è necessaria una convalida a due fattori approvata da Swisscom per le firme qualificate; questa può combinare una password e un codice SMS monouso, l’applicazione mobile ID o un’altra procedura (bit.admin.ch).

Prestatori e servizi di firma elettronica in Svizzera

L’offerta del settore privato include in particolare Swisscom Signing Service, proposto da Swisscom Trust Services AG, tra i servizi di firma a distanza dei fornitori di servizi di certificazione riconosciuti ai sensi della LFE. Vengono citate inoltre Skribble AG e DeepCloud SA tra le soluzioni di firma giuridicamente valide secondo la LFE e il regolamento eIDAS (bit.admin.ch). Questi esempi dimostrano che il mercato svizzero va oltre SwissID Sign.

SwissID Sign figura presso SwissSign AG nell’elenco EasyGov degli emittenti riconosciuti di certificati QES ai sensi della LFE (easygov.swiss). È necessario distinguere questi emittenti riconosciuti dalle denominazioni commerciali dei servizi di firma.

L’elenco EasyGov presenta gli emittenti riconosciuti di certificati QES ai sensi della LFE e le soluzioni di firma ad essi associate. Occorre quindi distinguere gli emittenti di certificati dalle denominazioni commerciali dei servizi di firma (easygov.swiss).

La pagina federale sull’offerta privata cita anche Glue Software Engineering AG e PrivaSphere SA per software locali di firma giuridicamente valida secondo la LFE e il regolamento eIDAS (bit.admin.ch). Il nome di un servizio di firma non permette quindi, da solo, di sapere se il suo fornitore figura nell’elenco ufficiale dei fornitori di certificazione riconosciuti.

Scegliere un livello di firma elettronica

La scelta inizia dall’effetto giuridico desiderato: la firma qualificata è il livello equiparato alla firma manoscritta ai sensi dell’art. 14 cpv. 2bis del Codice delle obbligazioni (easygov.swiss). Per gli altri livelli, le definizioni e i requisiti applicabili vanno distinti da questa equivalenza legale.

Verificare quindi il livello proposto dal servizio e il fornitore di certificazione i cui certificati vengono utilizzati. L’elenco dei fornitori riconosciuti è pubblicato dalla SECO (easygov.swiss).

La LFE e l’OFE costituiscono la base legale svizzera, mentre l’UFCOM definisce le regole tecniche e operative dei servizi di certificazione. L’elenco dei fornitori riconosciuti è pubblicato dalla SECO e KPMG (SCESm 0071) è l’organismo di accreditamento; KPMG SA è l’unico organismo di accreditamento autorizzato in Svizzera (seco.admin.ch).

Per determinare il tipo di firma richiesto per un atto specifico, si raccomanda di rivolgersi a un consulente legale specializzato. Le regole dell’UFCOM riguardano i servizi di certificazione, non la scelta del livello adatto a ciascun atto.