Ultimo aggiornamento: agosto 2026.
Per ottenere una firma digitale scegli un gestore qualificato AgID, fatti identificare (SPID/CIE/video/de visu), attiva il certificato su dispositivo qualificato e usa un software di firma con PIN e autenticazione a due fattori.
- La “firma digitale” è una firma elettronica qualificata basata su un certificato qualificato e su dispositivo QSCD, conforme a eIDAS e al CAD.
- Identificazione ammessa: SPID/CIE, video-identificazione, riconoscimento de visu, o identità digitale europea (EUDI Wallet) dove operativa.
- Formati di firma: PAdES per PDF, CAdES per file diversi, XAdES per XML; marca temporale consigliata per data certa.
Cos’è la firma digitale, in parole semplici
La firma digitale è una firma elettronica qualificata. In pratica è una “firma con valore legale pieno” in tutta l’Unione Europea. Si basa su un certificato qualificato emesso da un prestatore di servizi fiduciari qualificato.
Il certificato è la tua carta d’identità crittografica. Include il tuo nome e la tua chiave pubblica. Il dispositivo QSCD (smart card, token USB o soluzione cloud sicura) custodisce la chiave privata e la protegge con PIN e doppia verifica.
In Italia il termine “firma digitale” indica la variante nazionale della firma elettronica qualificata. La disciplina è nel Codice dell’Amministrazione Digitale (D.lgs. 82/2005) e nelle regole tecniche.
Quadro normativo essenziale
Le basi sono chiare e pubbliche. Il Regolamento (UE) n. 910/2014 (eIDAS) riconosce la firma elettronica qualificata con valore di firma autografa in tutti gli Stati membri. L’aggiornamento “eIDAS 2” è il Regolamento (UE) 2024/1183, che introduce l’Identità Digitale Europea (EUDI Wallet) e rafforza i servizi fiduciari.
In Italia il riferimento primario è il D.lgs. 82/2005 (CAD), consultabile su Normattiva. Le regole tecniche sono nel DPCM 22 febbraio 2013, che definisce generazione, apposizione e verifica di FEA, FEQ e firma digitale. AgID emana Linee guida sulla formazione, gestione e conservazione del documento informatico e sui servizi fiduciari qualificati.
Le Trusted List ufficiali dei prestatori qualificati sono curate da AgID per l’Italia. La Gazzetta Ufficiale e il portale Normattiva riportano testi e aggiornamenti.
Quando ti serve davvero la firma digitale
Ti serve quando devi garantire identità del firmatario, integrità del file e non ripudio. In pratica: contratti con la Pubblica Amministrazione, partecipazione a gare, invii al Registro delle Imprese, deposito bilanci, pratiche SUAP e SCIA.
Serve anche nei processi telematici (civile, amministrativo, tributario) per atti e depositi. È utile per accordi tra privati con alto rischio legale. In Europa assicura riconoscimento transfrontaliero.
Non sempre è obbligatoria. Per alcuni consensi basta una firma elettronica avanzata (FEA). La fatturazione elettronica B2B non richiede firma digitale obbligatoria, salvo casi particolari.
Come ottenerla: il percorso operativo completo
Il processo ha tre fasi: scelta del gestore, identificazione, attivazione. Scegli un prestatore qualificato presente nelle Trusted List di AgID. Valuta tipo di dispositivo, tempi, costi e canali di assistenza.
Prepara i documenti: carta d’identità o passaporto, codice fiscale, numero di cellulare, email. Serve anche una postazione per video-identificazione, se la scegli, con webcam e buona connessione.
Acquista il kit. Puoi optare per smart card con lettore, token USB con software integrato, o firma remota cloud con app OTP. La scelta dipende da mobilità, postazioni e policy IT.
Identificazione ammessa: SPID/CIE, video, de visu, EUDI Wallet
La normativa consente diverse vie. Puoi usare SPID o CIE (Carta d’Identità Elettronica) per dimostrare chi sei online. In alternativa puoi fare video-identificazione con operatore, seguendo le regole AgID.
Puoi anche presentarti di persona (de visu) presso un punto autorizzato. Dove disponibile, puoi usare l’EUDI Wallet, previsto da eIDAS 2, per fornire attributi di identità certificati. Verifica la disponibilità operativa nel tuo territorio.
Il gestore raccoglie il consenso e conserva le evidenze dell’identificazione, come richiesto dal CAD e dalle regole tecniche.
Dispositivi QSCD e sicurezza: cosa scegliere
Il QSCD è il dispositivo qualificato che protegge la tua chiave di firma. Può essere hardware (smart card o token USB) o cloud, dove la chiave è in un modulo di sicurezza HSM qualificato, accessibile con 2FA.
Hardware: portabile e offline, ma richiede driver e lettori. Cloud: ideale per smart working e team distribuiti. Richiede smartphone o app OTP e politiche di accesso robuste.
La firma si applica con software compatibile con PAdES, CAdES e XAdES. PAdES è la scelta standard per PDF; CAdES per file non PDF; XAdES per XML.
Attivazione, tempi, costi, durata
Dopo l’identificazione, ricevi il certificato qualificato. Con hardware, inserisci smart card o token, imposti PIN e installi i software. Con il cloud, attivi l’app, configuri l’OTP e il codice di sblocco.
I tempi medi vanno da pochi minuti (con SPID/CIE) a 1-2 giorni lavorativi (video-identificazione o de visu in alta stagione). La durata tipica del certificato è 3 anni. Il rinnovo si fa prima della scadenza, con verifica dell’identità.
Hai sempre il diritto di revocare o sospendere il certificato. La revoca è immediata e pubblicata nelle liste di revoca (CRL/OCSP) secondo le regole tecniche.
Usare la firma digitale nel modo corretto
Scegli il formato giusto. Per inviare un PDF firmato alla PA o al Registro Imprese, usa PAdES-BES o PAdES-BASELINE, leggibile con i normali viewer. Per file diversi, usa CAdES e ottieni un .p7m.
Aggiungi la marca temporale se vuoi “data certa” opponibile a terzi. La marca temporale è una ricevuta crittografica che prova quando il documento esisteva. È utile in gare, bandi e contenziosi.
Verifica sempre la firma ricevuta. Usa un verificatore conforme agli standard ETSI. Controlla validità del certificato, catena di fiducia, integrità del file e presenza della marca temporale.
Errori comuni da evitare
Non firmare file già firmati con formati incompatibili. Potresti invalidare la firma precedente. Evita conversioni last minute da formati proprietari a PDF senza controlli.
Non condividere mai PIN o OTP. Attiva il blocco automatico della smart card dopo tentativi errati. Aggiorna driver e software per evitare errori di verifica.
Non aspettare l’ultimo giorno per rinnovo o marca temporale. I sistemi possono essere saturi. Pianifica con anticipo, soprattutto a fine trimestre o fine anno.
Regola decisionale rapida
Seleziona in 60 secondi la soluzione giusta
Se devi depositare bilanci, atti al Registro Imprese o partecipare a gare: scegli firma digitale qualificata. Preferisci PAdES per PDF e aggiungi marca temporale quando richiesto dal bando.
Se firmi documenti tra privati con basso rischio legale: valuta FEA con tracciamento robusto. Se il rischio è medio-alto o cross-border, torna alla firma digitale qualificata.
Se lavori in mobilità o su più sedi: preferisci firma remota cloud con 2FA. Se lavori su una postazione fissa e offline: smart card o token USB.
Se devi attivarla in poche ore: usa identificazione con SPID/CIE. Se non hai SPID/CIE: fai video-identificazione. Se serve supporto in presenza: chiedi riconoscimento de visu.
Se operi anche fuori Italia: verifica che il prestatore sia in Trusted List UE. La firma digitale qualificata è valida in tutta l’Unione ai sensi di eIDAS.
Fonti normative da conoscere
Regolamento (UE) n. 910/2014 (eIDAS) e Regolamento (UE) 2024/1183. Codice dell’Amministrazione Digitale (D.lgs. 82/2005) su Normattiva. DPCM 22 febbraio 2013 sulle regole tecniche. Linee guida AgID su firme e documenti informatici.
Verifica dei requisiti del gestore e compliance
Scegli solo prestatori in elenco pubblico AgID come “prestatori di servizi fiduciari qualificati”. Verifica copertura dei profili: rilascio certificati, conservazione log, politiche di sicurezza, canali di revoca 24/7.
Controlla che il dispositivo sia un QSCD certificato secondo standard riconosciuti. Assicurati che il fornitore dichiari livelli di servizio, tempi di attivazione, e modalità di assistenza.
Richiedi documentazione su privacy e trattamento dati. Il prestatore opera anche secondo il GDPR. Conserva copie di contratti, termini di servizio e prove di identificazione.
Tabella scenari, requisiti e tempistiche
| Scenario | Tipo firma consigliata | Identificazione ammessa | Dispositivo/soluzione | Tempistiche medie | Note normative |
|---|---|---|---|---|---|
| Deposito bilanci/atti al Registro Imprese | Firma digitale (QES) in PAdES o CAdES | SPID/CIE, video, de visu | Smart card/token USB o firma remota cloud | Da 30 minuti a 1 giorno | CAD; DPCM 22/02/2013; Linee guida AgID |
| Contratti con PA, gare e appalti | Firma digitale (QES) con marca temporale | SPID/CIE, video, de visu, EUDI Wallet dove operativo | Remota cloud con 2FA consigliata | Stesso giorno con SPID/CIE | eIDAS; CAD; regole di gara |
| Accordi tra privati a rischio medio | FEA ben tracciata o firma digitale | SPID/CIE o video | Remota cloud o smart card | Da poche ore a 1 giorno | CAD; DPCM 22/02/2013 |
| Processi telematici (PCT/PAT/PTT) | Firma digitale (QES), formati richiesti | SPID/CIE, video, de visu | Smart card/token o remota con policy robuste | 1 giorno | eIDAS; CAD; regole tecniche giustizia |
| Operatività cross-border UE | Firma elettronica qualificata (QES) | SPID/CIE, EUDI Wallet dove attivo | Remota cloud per mobilità | Variabile, di solito in giornata | eIDAS e 2024/1183 |
FAQ
Che differenza c’è tra firma elettronica semplice, avanzata e firma digitale (qualificata)?
La firma elettronica semplice è qualsiasi meccanismo digitale che collega una persona a un documento. Esempio: spuntare una casella o digitare il nome. Ha valore probatorio debole, perché non garantisce identità e integrità con standard elevati.
La firma elettronica avanzata (FEA) identifica il firmatario e collega la firma al documento in modo univoco. Usa procedure di autenticazione robuste e prove di tracciamento. È idonea per molti contratti tra privati, se ben progettata e documentata.
La firma digitale, in Italia, è la firma elettronica qualificata prevista da eIDAS e dal CAD. Si basa su un certificato qualificato rilasciato da un prestatore in Trusted List e su un dispositivo QSCD. Ha valore legale pari alla firma autografa in tutta l’UE.
Posso ottenere la firma digitale interamente online? Quali documenti servono?
Sì, nella maggior parte dei casi sì. Se hai SPID o CIE, l’identificazione è immediata. In alternativa puoi fare video-identificazione con operatore, seguendo le regole AgID per qualità e sicurezza.
Servono un documento di identità valido (carta d’identità, patente o passaporto), il codice fiscale, un numero di cellulare, una casella email e una postazione con webcam se scegli il video. Il prestatore conserva le evidenze richieste dalle regole tecniche.
Al termine, ricevi il certificato qualificato e le credenziali per l’uso del dispositivo QSCD, con PIN e autenticazione a due fattori.
Quale formato di firma devo usare per PDF e per altri tipi di file?
Per i PDF usa PAdES. È leggibile dai normali lettori e mantiene l’aspetto grafico del documento. È lo standard di fatto per invii verso PA e Registro Imprese, salvo specifiche diverse.
Per file non PDF (ad esempio .docx, .zip, .csv) usa CAdES. Il risultato è un file firmato con estensione .p7m. Per file XML usa XAdES, spesso richiesto in integrazioni applicative.
Se il bando o l’ente richiedono “data certa”, aggiungi una marca temporale rilasciata da un prestatore qualificato. La marca temporale dimostra il momento di esistenza del documento.
Quanto dura il certificato di firma e come si rinnova o si revoca?
La durata tipica è 3 anni, ma dipende dalla policy del prestatore. Riceverai avvisi di scadenza. Ti conviene rinnovare con anticipo di 15-30 giorni per evitare interruzioni nei depositi o nelle gare.
Il rinnovo può richiedere una nuova identificazione, in base alla normativa vigente e alla data dell’ultimo riconoscimento. Se non rinnovi, il certificato scade e la firma non è più valida per nuove sottoscrizioni.
Puoi revocare o sospendere il certificato in qualsiasi momento, ad esempio in caso di furto, smarrimento o compromissione. La revoca è pubblicata su liste CRL/OCSP, come previsto dal DPCM 22/02/2013.
La firma digitale italiana è valida all’estero? E cosa cambia con l’EUDI Wallet?
Sì. La firma elettronica qualificata è valida e riconosciuta in tutta l’UE ai sensi del Regolamento eIDAS. Gli enti di altri Paesi UE devono accettarla, a parità di condizioni, come una firma autografa.
L’EUDI Wallet, introdotto dal Regolamento (UE) 2024/1183, permette di presentare attributi qualificati e, dove implementato, di firmare in modo conforme con maggiore facilità da smartphone. L’adozione è progressiva nei vari Stati membri.
In attesa della piena operatività del Wallet in Italia e negli altri Paesi, continua a usare i dispositivi QSCD tradizionali o le soluzioni cloud qualificate. Verifica sempre le specifiche dell’ente ricevente.
Serve la firma digitale per la fatturazione elettronica o per invii fiscali?
Per la fatturazione elettronica B2B non è obbligatoria la firma digitale. Il Sistema di Interscambio garantisce integrità e autenticità attraverso canali e formati standard. La firma può essere usata facoltativamente.
Per invii telematici fiscali tipici (ad esempio file telematici all’Agenzia delle Entrate) non serve di norma la tua firma digitale personale, ma servono credenziali e canali abilitati. Controlla sempre le specifiche del tracciato.
La firma digitale è invece spesso necessaria per pratiche societarie e camerali, per atti e per documenti con valore legale elevato. Resta la soluzione “a prova di legge” in ambito UE secondo CAD ed eIDAS.
