In sintesi
L'articolo 31 del Codice dell'Amministrazione Digitale (D.Lgs. 82/2005) è stato abrogato dal D.Lgs. 26 agosto 2016, n. 179, nel contesto della revisione sistematica del CAD resa necessaria dall'entrata in vigore del Regolamento eIDAS. La disposizione originaria disciplinava aspetti relativi alla gestione e alla revoca dei certificati di firma elettronica, materia ora interamente ricondotta al quadro normativo europeo armonizzato. L'eliminazione dell'articolo 31 ha contribuito a snellire il testo del CAD, eliminando previsioni che sarebbero risultate ridondanti o potenzialmente in conflitto con le norme direttamente applicabili di eIDAS. La materia della revoca e sospensione dei certificati qualificati è oggi disciplinata dall'allegato I del Regolamento eIDAS e dalle specifiche tecniche ETSI, con le Linee guida AgID che ne precisano l'applicazione nazionale.
Testo dell'articoloVigente
Art. 31 D.Lgs. 82/2005 CAD — Articolo abrogato
In vigore dal 01/01/2006
ARTICOLO ABROGATO DAL D.LGS. 26 AGOSTO 2016, N. 179
Informazione giuridica di carattere generale — Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all'Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
Commento
L'articolo 31 CAD faceva parte del nucleo normativo dedicato alla gestione del ciclo di vita dei certificati elettronici qualificati. La revoca — ossia l'invalidazione anticipata del certificato prima della sua naturale scadenza — e la sospensione sono strumenti fondamentali per garantire l'integrità del sistema di firma digitale: un certificato compromesso o emesso in violazione dei requisiti deve essere rapidamente invalidato e tale invalidazione deve essere verificabile da chiunque utilizzi la firma.
Con la riforma del 2016, questi aspetti sono stati disciplinati dal Regolamento eIDAS e dalle specifiche tecniche europee (ETSI EN 319 series). In particolare, l'allegato I di eIDAS impone che i certificati qualificati contengano un riferimento al servizio di verifica dello stato del certificato (CRL - Certificate Revocation List oppure OCSP - Online Certificate Status Protocol). Il prestatore qualificato è obbligato a garantire la tempestività e l'accessibilità di questi servizi.
L'abrogazione dell'articolo 31 non ha ridotto le tutele per gli utenti: anzi, il passaggio a un regime regolamentare europeo ha introdotto requisiti tecnici più stringenti e verificabili attraverso le procedure di audit previste dall'articolo 20 eIDAS. AgID, in qualità di organo di vigilanza, supervisiona il rispetto di questi obblighi e può disporre la cancellazione dall'elenco dei prestatori qualificati in caso di violazioni gravi, come previsto dall'articolo 32-bis CAD.
Casi pratici
Caso 1: Verifica della validità di una firma digitale su un atto storico
Caso 2: Segnalazione di compromissione del dispositivo di firma
Domande frequenti
Perché l'articolo 31 CAD è stato abrogato nel 2016?
È stato soppresso dal D.Lgs. 179/2016 per coordinare il CAD con il Regolamento eIDAS, direttamente applicabile dal 1° luglio 2016. Le disposizioni sulla gestione e revoca dei certificati qualificati sono ora contenute nel Regolamento europeo e nelle specifiche tecniche ETSI, che vincolano tutti i prestatori qualificati nell'Unione Europea.
Come funziona oggi la revoca di un certificato di firma qualificata?
I prestatori qualificati sono tenuti a rendere disponibile un servizio di verifica dello stato del certificato (CRL o OCSP) accessibile in tempo reale. La revoca deve essere effettuata tempestivamente su richiesta del titolare o del terzo dal cui potere di rappresentanza derivano i poteri del titolare. Il riferimento normativo è l'allegato I del Regolamento eIDAS e l'articolo 32 CAD.
Dove si trovano oggi le norme sui certificati qualificati prima disciplinate dall'articolo 31 CAD?
Le norme sostanziali sono nel Regolamento eIDAS (allegati I, II, III) e nelle specifiche tecniche ETSI EN 319 series. Le modalità procedurali nazionali sono nelle Linee guida AgID sulla firma elettronica qualificata. Per la parte sanzionatoria si applica l'articolo 32-bis CAD.
Vedi anche