Stop al caos delle firme digitali. Dopo 15 anni e 8 proroghe normative, si completa il processo di certificazione dei dispositivi di firma digitale con l’entrata in vigore il decreto 19 luglio 2012: il provvedimento rende obbligatoria la certificazione dei dispositivi di firma digitale, affinchè i prodotti rispondano a standard pan-europei di sicurezza e identifica i produttori di dispositivi in grado di fornire sistemi di firma elettronica conformi agli standard di sicurezza e garanzia previsti dalla direttiva europea.
Prima del decreto era sufficiente per una organizzazione utilizzare un’autocertificazione rilasciata dall’Autorità di Certificazione. La nuova normativa, invece, stabilisce chiaramente che la certificazione di sicurezza della firma remota qualificata deve rispettare lo standard di sicurezza Common Criteria Eal4 +. I produttori della soluzione di firma remota sono tenuti a dimostrare che il loro prodotto è stato sottoposto ai rigorosi test e alle revisioni richieste per beneficiare di tale certificazione, divenuta ormai una condizione essenziale per la validità delle firme digitali applicate ai documenti. Una firma digitale remota apposta utilizzando un dispositivo non certificato non è più valida, esponendo il documento al rischio di invalidazione della firma per inadempienza alle nuove norme.
Si tratta di un passaggio epocale per il processo di dematerializzazione, che in questi anni aveva visto più volte rimandare l’attuazione della normativa a tutela della sicurezza delle firme elettroniche. Fino all’entrata in vigore del decreto le varie Certification Authority erano state investite del compito di assumersi la responsabilità della sicurezza delle soluzioni di firma digitale remota. Ora questa responsabilità passa in capo a chi produce i dispositivi di firma digitale. Gli stessi hanno l’obbligo di attestare gli standard di sicurezza delle proprie soluzioni, mediante un processo di test e verifiche lungo e oneroso, a cura di un organismo europeo di certificazione accreditato (Ocsi per l’Italia).
La certificazione è qualcosa su cui la Comunità Europea sta spingendo molto, in quanto garantisce una valutazione di prodotto e di servizio super-partes, ed essendo basata su standard internazionali (Common Criteria, nel caso di specie) può essere spesa su tutto il territorio dell’unione, senza la necessità di logoranti processi di mutui riconoscimenti di validità. La proposta di regolamento dell’Unione europea in materia – 2012/0146 (Cod), votato al Parlamento europeo il 3 aprile 2014 – mantiene l’obbligatorietà della certificazione di sicurezza dei dispositivi di firma e lascia inalterata la necessità del controllo esclusivo, non modificando quanto già stabilito dalla legislazione nazionale.
La firma elettronica qualificata viene utilizzata oggi dall’88,2% degli enti locali. In generale nel 2012 la percentuale di amministrazioni comunali dotate di firma elettronica qualificata variava dal 98,1% dei Comuni di maggiori dimensioni all’85,9% dei Comuni con popolazione fino a 5.000 abitanti.
