Testo dell'articoloVigente
Art. 35 D.Lgs. 82/2005 CAD — Dispositivi sicuri e procedure per la generazione della firma qualificata
In vigore dal 01/01/2006
1. I dispositivi sicuri e le procedure utilizzate per la generazione delle firme devono presentare requisiti di sicurezza tali da garantire che la chiave privata: a) sia riservata; b) non possa essere derivata e che la relativa firma sia protetta da contraffazioni; c) possa essere sufficientemente protetta dal titolare dall'uso da parte di terzi. 1-bis) Fermo restando quanto previsto dal comma 1, i dispositivi per la creazione di una firma elettronica qualificata o di un sigillo elettronico soddisfano i requisiti di cui all'Allegato II del Regolamento eIDAS.
2. I dispositivi sicuri e le procedure di cui al comma 1 devono garantire l'integrità dei documenti informatici a cui la firma si riferisce. I documenti informatici devono essere presentati al titolare ((di firma elettronica)) , prima dell'apposizione della firma, chiaramente e senza ambiguità, e si deve richiedere conferma della volontà di generare la firma secondo quanto previsto dalle ((Linee guida)) .
3. Il secondo periodo del comma 2 non si applica alle firme apposte con procedura automatica. La firma con procedura automatica è valida se apposta previo consenso del titolare all'adozione della procedura medesima.
4. I dispositivi sicuri di firma devono essere dotati di certificazione di sicurezza ai sensi dello schema nazionale di cui al comma
5. 5. La conformità dei requisiti di sicurezza dei dispositivi per la creazione di una firma elettronica qualificata o di un sigillo elettronico prescritti dall'Allegato II del regolamento eIDAS è accertata, in Italia, dall'Organismo di certificazione della sicurezza informatica in base allo schema nazionale per la valutazione e certificazione di sicurezza nel settore della tecnologia dell'informazione, fissato con decreto del Presidente del Consiglio dei Ministri, o, per sua delega, del Ministro per l'innovazione e le tecnologie, di concerto con i Ministri delle comunicazioni, delle attività produttive e dell'economia e delle finanze. L'attuazione dello schema nazionale non deve determinare nuovi o maggiori oneri per il bilancio dello Stato. Lo schema nazionale può prevedere altresì la valutazione e la certificazione relativamente ad ulteriori criteri europei ed internazionali, anche riguardanti altri sistemi e prodotti afferenti al settore suddetto. La valutazione della conformità del sistema e degli strumenti di autenticazione utilizzati dal titolare delle chiavi di firma è effettuata dall'Agenzia per l'Italia digitale in conformità ad apposite linee guida da questa emanate, acquisito il parere obbligatorio dell'Organismo di certificazione della sicurezza informatica.
6. La conformità di cui al comma 5 è inoltre riconosciuta se accertata da un organismo all'uopo designato da un altro Stato membro e notificato ai sensi dell'articolo 30, comma 2, del Regolamento eIDAS. Ove previsto dall'organismo di cui al periodo precedente, la valutazione della conformità del sistema e degli strumenti di autenticazione utilizzati dal titolare delle chiavi di firma è effettuata dall'AgID in conformità alle linee guida di cui al comma 5.
Commento
L'articolo 35 del CAD costituisce il presidio tecnico-normativo dei dispositivi sicuri per la creazione di firma elettronica qualificata (QSCD, Qualified Signature Creation Device). Con il recepimento dell'eIDAS, il comma 1-bis ha introdotto il rinvio diretto all'Allegato II del Regolamento UE 910/2014, che elenca requisiti quali la confidenzialità della chiave privata, la resistenza alle alterazioni, la non esportabilità dei dati di creazione della firma e la conformità alle norme di valutazione della sicurezza (Common Criteria o equivalenti). L'OCSI — organo del Ministero delle Imprese e del Made in Italy — svolge le valutazioni secondo lo schema nazionale per la sicurezza informatica, rilasciando certificazioni che abilitano l'uso dei dispositivi per firme aventi valore legale pieno ai sensi dell'art. 25 eIDAS.
Il requisito di presentazione del documento prima della firma (art. 35, co. 2) risponde al principio di «what you see is what you sign»: il titolare deve poter verificare che il documento da firmare corrisponda a quanto gli è mostrato, evitando sostituzioni fraudolente del contenuto. Questo meccanismo di tutela del consenso si riflette anche sulla disciplina del GDPR (Reg. UE 2016/679) per i trattamenti che si fondano su dati firmati digitalmente. La firma automatica, consentita solo previo consenso espresso, trova applicazione nei sistemi di workflow documentale delle pubbliche amministrazioni e nel settore bancario-assicurativo per operazioni massificate.
Dal punto di vista sistematico, l'articolo 35 si raccorda con l'art. 28 CAD (certificatori qualificati), l'art. 29 (elenco fiduciario), l'art. 32 (obblighi del prestatore) e con le Linee guida AgID sulla formazione e conservazione dei documenti informatici. Sul piano europeo, forma un tutt'uno con gli artt. 29-30 eIDAS e con le norme tecniche ETSI EN 419 211, che definiscono le specifiche degli QSCD.
Domande frequenti
Che cos'è un dispositivo sicuro per la creazione di firma qualificata (QSCD)?
È un hardware o software certificato che garantisce che la chiave privata del firmatario rimanga riservata, non possa essere ricavata da terzi e non sia utilizzabile senza il controllo del titolare. In Italia la conformità all'Allegato II del Regolamento eIDAS è certificata dall'Organismo di certificazione della sicurezza informatica (OCSI) secondo uno schema nazionale approvato con DPCM.
Qual è il principio «what you see is what you sign» e perché è rilevante?
Prima di apporre la firma, il titolare deve vedere chiaramente il documento che sta per sottoscrivere, senza ambiguità o alterazioni. Questo requisito, previsto dal comma 2 dell'art. 35 CAD e confermato dall'Allegato II eIDAS, tutela la consapevolezza della manifestazione di volontà e impedisce che il contenuto del documento venga sostituito fraudolentemente tra la visualizzazione e la firma.
La firma automatica è valida ai sensi dell'art. 35 CAD?
Sì, ma solo se il titolare ha preventivamente prestato il consenso all'adozione della procedura automatica. In tal caso non è necessaria la presentazione del documento prima di ogni singola apposizione. Questo regime si applica tipicamente ai sistemi di workflow massificato delle PA e delle imprese, dove migliaia di documenti vengono firmati in sequenza su autorizzazione preventiva del firmatario.
Vedi anche