Ultimo aggiornamento: agosto 2026.
Per ottenere la firma digitale remota scegli un prestatore qualificato accreditato AgID, fatti identificare (SPID/CIE o video), attiva l’OTP e firmi online con pieno valore legale. Dura 3 anni, rinnovabile.
- Base legale: Regolamento (UE) n. 910/2014 (eIDAS) e successive modifiche; Codice dell’Amministrazione Digitale, d.lgs. 82/2005 (su Normattiva). La firma digitale remota è una firma elettronica qualificata.
- Attivazione: riconoscimento con SPID/CIE o video, rilascio del certificato su QSCD remoto (HSM), autenticazione a più fattori con OTP.
- Gestione: validità 3 anni, verifiche con CRL/OCSP, marca temporale per “data certa”, sospensione/riattivazione, revoca immediata in caso di rischio.
Guida completa alla firma digitale remota (FDR) 2026
Cos’è la FDR e come funziona, in pratica
La firma digitale remota è una firma elettronica qualificata. In parole semplici: è la tua firma “con valore legale” applicata online, senza smart card o chiavette USB.
Il cuore tecnico è un certificato qualificato. Questo certificato contiene i tuoi dati e vive in un dispositivo qualificato di firma (QSCD) gestito in data center sicuri, spesso un HSM. Non è sul tuo PC, quindi non lo puoi copiare o perdere.
Per firmare usi due fattori. Selezioni il file, ti autentichi sull’area del prestatore e confermi con un’OTP (one time password) via app o token. Il sistema applica la firma con algoritmi standard (es. RSA o ECDSA) e allega il certificato qualificato.
Normativa di riferimento: perché vale quanto la firma autografa
La cornice europea è il Regolamento (UE) n. 910/2014 (eIDAS), aggiornato di recente per la European Digital Identity. Stabilisce che la firma elettronica qualificata equivale alla firma autografa in tutti gli Stati membri.
In Italia, il Codice dell’Amministrazione Digitale (d.lgs. 82/2005, consultabile su Normattiva) recepisce eIDAS e fissa definizioni e effetti giuridici. Le regole tecniche su generazione, apposizione e verifica delle firme e delle marche temporali sono nel DPCM 22 febbraio 2013.
AgID definisce linee guida operative e pubblica l’elenco dei prestatori di servizi fiduciari qualificati attivi in Italia. Le stesse fonti descrivono procedure di riconoscimento in presenza e a distanza (video, SPID, CIE) per il rilascio dei certificati qualificati.
Come ottenerla: requisiti, passaggi e tempi
1) Scegli un prestatore qualificato. Deve essere nell’elenco pubblico AgID dei prestatori di servizi fiduciari qualificati.
2) Prepara i documenti. Servono documento d’identità valido, codice fiscale, indirizzo email e numero di cellulare sotto il tuo controllo.
3) Fai il riconoscimento. Puoi usare SPID, CIE con PIN, riconoscimento video guidato o de visu. Sono modalità ammesse dalle linee guida AgID per certificati qualificati.
4) Viene emesso il certificato. Il prestatore genera e custodisce la tua chiave privata nel QSCD remoto. Tu ricevi le credenziali per accedere e l’app o il token OTP.
5) Esegui la prima firma. Fai un test con un PDF o un file di prova. Verifica subito che il tuo nome compaia tra i firmatari e che la firma risulti “qualificata”.
I tempi variano. Con SPID o CIE spesso firmi in giornata. Con riconoscimento video, in genere entro 24-48 ore.
Quando serve davvero: usi quotidiani per professionisti e imprese
La FDR è utile quando vuoi certezza giuridica e tempi rapidi. Ecco gli usi più frequenti.
Contratti con clienti e fornitori. Firmi PDF in pochi minuti e chiudi accordi a distanza, con pieno valore legale e non ripudio. Se lavori online per i clienti, verifica quando puoi farlo senza Partita IVA e quando devi aprirla.
Bilanci e pratiche al Registro delle Imprese. Per il deposito telematico la firma elettronica qualificata è prassi necessaria.
Pratiche SUAP/SCIA e istanze verso la PA. Molti procedimenti digitali accettano solo firme qualificate.
Gare e piattaforme di e-procurement. La firma qualificata è standard nelle gare telematiche e sugli acquisti della PA.
Fatture elettroniche. Nel B2B la firma non è obbligatoria perché integrità e autenticità passano dal Sistema di Interscambio. Nel B2G è spesso facoltativa ma ammessa. Verifica sempre il capitolato o le istruzioni della piattaforma.
Validità, rinnovo, sospensione e revoca: come gestire il ciclo di vita
La FDR dura 3 anni. Il prestatore indica la scadenza nell’area personale. Ricevi promemoria nei mesi precedenti.
Rinnovo. Di solito puoi rinnovare online con un nuovo riconoscimento leggero. Il nuovo certificato parte dalla data di emissione, non dalla scadenza del precedente.
Sospensione. Se sospetti un uso improprio, chiedi la sospensione. Blocchi subito l’uso, ma puoi riattivare dopo le verifiche.
Revoca. Se perdi il controllo delle credenziali o dell’OTP, chiedi la revoca. È definitiva. Dovrai richiedere un nuovo certificato.
Stati tipici nel pannello: attiva, sospesa, bloccata (per troppi tentativi OTP/PIN errati), revocata, scaduta. Agisci in base allo stato e alle istruzioni del prestatore.
Sicurezza operativa: regole semplici che evitano guai seri
Tieni separati i canali. Non usare la stessa email o lo stesso numero per più utenti aziendali. Ogni titolare deve avere credenziali e OTP personali.
Proteggi l’OTP. Blocca il telefono con PIN e biometria. Non condividere codici. Disattiva l’anteprima degli SMS in lock screen, se usi OTP via SMS.
Attiva le notifiche. Molti prestatori avvisano ogni firma eseguita. Noti subito anomalie.
Marca temporale quando serve “data certa”. La marca temporale prova che il file esisteva in quel momento. È regolata dal DPCM 22 febbraio 2013 e dalle linee guida AgID.
Regola decisionale rapida
Quale firma usare e quando
Se devi firmare documenti verso la PA, il Registro Imprese o in gara telematica, scegli la firma elettronica qualificata (FDR). È lo standard richiesto.
Se firmi spesso da smartphone o in mobilità, scegli la FDR. Eviti lettori e driver, firmi ovunque.
Se lavori in assenza di rete (cantieri, aree riservate), una firma su smart card o token locale può essere più adatta. Firmi offline.
Se la controparte accetta una firma elettronica avanzata (FEA), valutala per processi interni. Ma verifica che il tuo flusso rispetti le linee guida AgID sulla FEA.
Se devi provare la data oltre ogni dubbio, aggiungi la marca temporale. È utile per scadenze, brevetti, prezzi, offerte.
Errori da evitare
Non confondere PEC con firma digitale. La PEC prova invio e ricezione, non l’integrità del contenuto firmato.
Non incollare immagini di firma nel PDF. Non hanno valore legale come la firma qualificata.
Non dimenticare la verifica. Controlla sempre la validità della firma con un software di verifica e l’esito di CRL/OCSP.
Formati di firma: come scegliere tra CAdES, PAdES e XAdES
CAdES crea un pacchetto .p7m. Va bene per qualsiasi file. La controparte deve usare un verificatore per aprirlo.
PAdES firma direttamente il PDF. È comodo perché il PDF mostra il pannello firme. Molte PA lo preferiscono per i documenti testuali.
XAdES è per file XML. È tipico di flussi strutturati e integrazioni applicative.
Se non hai indicazioni, per documenti testuali scegli PAdES. Per allegati non PDF usa CAdES.
Verifica e conservazione dei documenti firmati
Verifica in tre passaggi: 1) integrità del file, 2) validità del certificato e catena, 3) stato di revoca con CRL/OCSP. I prestatori qualificati forniscono strumenti di verifica. AgID indica criteri e formati conformi.
Se c’è marca temporale, verifica anche il certificato del servizio di marcatura. Deve essere qualificato e non revocato alla data della marcatura.
Conserva i documenti firmati in un sistema conforme alle linee guida AgID sulla formazione, gestione e conservazione del documento informatico. Archivia metadati, esiti di verifica e rapporti di controllo.
I documenti firmati prima della scadenza del certificato restano validi. La scadenza non invalida retroattivamente la firma. La marca temporale rafforza la prova nel tempo.
Riferimenti normativi essenziali (testuali)
Fonti da conoscere
Regolamento (UE) n. 910/2014 (eIDAS) e successive modifiche, Gazzetta Ufficiale dell’Unione europea.
Codice dell’Amministrazione Digitale (d.lgs. 82/2005) e aggiornamenti, portale Normattiva.
DPCM 22 febbraio 2013 sulle regole tecniche di firme elettroniche e marche temporali.
Linee guida AgID su firme, marcatura temporale, validazione e riconoscimento a distanza per certificati qualificati. Elenco pubblico dei prestatori qualificati attivi in Italia, portale AgID.
| Scenario | Firma richiesta/accettata | Requisiti tecnici | Tempistiche e note operative |
|---|---|---|---|
| Deposito bilancio al Registro Imprese | Firma elettronica qualificata (di norma PAdES su PDF e CAdES su XBRL) | Certificato qualificato valido; eventuale marca temporale secondo istruzioni Camera | Preparazione 1-2 giorni; firma in minuti; verifica esito con software di controllo pratiche |
| Contratto di consulenza tra privati | Firma qualificata consigliata; alcune controparti accettano FEA | PAdES su PDF; conservazione del pacchetto firme e log | Firma immediata; condividi file firmato e rapporto di verifica |
| Pratica SUAP/SCIA verso PA | Firma elettronica qualificata richiesta nella maggior parte dei Comuni | PAdES su moduli PDF; allegati CAdES per file non PDF; talvolta marca temporale | Raccolta allegati 1-3 giorni; firma e invio in giornata; controlla ricevute protocollate |
| Gara telematica / MEPA | Firma elettronica qualificata obbligatoria su offerta e allegati | PAdES o CAdES secondo disciplinare; verifica integrità prima del caricamento | Programma test firme 24-48 ore prima; evita scadenze; conserva ricevute di invio |
| Fattura elettronica B2B/B2C | Firma non obbligatoria; autenticità e integrità garantite dallo SdI | Formato XML FatturaPA; eventuale firma ammessa ma non necessaria | Focus su corrette anagrafiche, codici e PEC; conserva esiti SdI |
| Deleghe e istanze tributarie | In molti casi ammessa firma qualificata sul PDF | PAdES; rispetta i modelli dell’Agenzia delle Entrate | Compila modello, firma, invia secondo canale richiesto; conserva ricevute |
FAQ sulla firma digitale remota
La firma digitale remota è davvero equivalente alla firma autografa? Ci sono eccezioni?
Sì. In base al Regolamento (UE) n. 910/2014 (eIDAS) e al CAD, la firma elettronica qualificata è giuridicamente equivalente alla firma autografa. Vale in tutta l’Unione europea. Le eccezioni non riguardano la “validità” della firma, ma la forma richiesta per alcuni atti. Per esempio, alcuni atti richiedono l’intervento di un pubblico ufficiale o una forma particolare (come l’atto pubblico per la compravendita immobiliare). In questi casi la firma del privato, anche se qualificata, non sostituisce il ruolo del notaio o la forma prevista dalla legge. Nella pratica d’impresa, invece, la FDR copre contratti, procure, dichiarazioni, pratiche telematiche e partecipazioni a gare. Se hai dubbi sulla forma, verifica la norma specifica o le istruzioni dell’ente destinatario.
Meglio firma remota o smart card/chiavetta? Come scelgo in azienda?
La FDR vince per mobilità e semplicità. Non installi driver, non porti lettori, firmi da PC e smartphone con OTP. È ideale per team in smart working e manager spesso in viaggio. La smart card o la chiavetta USB è utile in contesti offline o ad alta segregazione, dove vuoi che la chiave privata esista solo in mano al titolare fisico. Richiede però gestione di lettori, PIN e postazioni. In azienda valuta: 1) dove firmi (ufficio, home, estero), 2) frequenza di firma, 3) requisiti del cliente/PA, 4) politiche di sicurezza interne. Molte PMI usano FDR per tutti, e mantengono una smart card “di continuità” per emergenze offline. Entrambe le soluzioni sono qualificate se il prestatore e il dispositivo sono conformi a eIDAS e al CAD.
Come verifico un file .p7m o un PDF firmato? Cosa devo controllare esattamente?
Per un .p7m (CAdES) usa un verificatore compatibile. Apri il file, controlla: 1) identità del firmatario, 2) validità del certificato e della catena di certificazione, 3) stato di revoca tramite CRL/OCSP, 4) integrità del contenuto. Se vedi “firma valida” e nessuna revoca alla data della firma, il controllo base è ok. Su un PDF firmato (PAdES) apri il pannello firme del lettore PDF. Verifica gli stessi elementi e, se presente, la marca temporale. Salva il rapporto di verifica e conservalo insieme al documento. Le regole tecniche del DPCM 22 febbraio 2013 e le linee guida AgID spiegano i controlli minimi da effettuare.
Cosa succede quando il certificato scade o lo revoco? I documenti già firmati perdono valore?
I documenti firmati quando il certificato era valido restano validi. La scadenza o la revoca non cancellano il valore delle firme apposte in precedenza. Per rafforzare la prova nel tempo, applica una marca temporale al momento della firma o subito dopo. La marca dimostra che il file esisteva a quella data, con quella firma. Quando il certificato scade, rinnova secondo le istruzioni del prestatore e aggiorna le procedure interne. Se revochi per compromissione, informa le controparti se esistono rischi su documenti appena firmati e conserva i log delle operazioni. In caso di contenzioso, la combinazione di firma qualificata, marca temporale e conservazione a norma è il pacchetto probatorio più solido.
Firma digitale, SPID e PEC: quando usare cosa nei processi fiscali e con la PA?
La firma digitale remota serve a sottoscrivere un documento con valore legale, provando identità, integrità e non ripudio. Lo usi per contratti, istanze e atti dove la legge o la prassi richiedono la firma. SPID e CIE servono a identificarti e ad accedere ai portali (per esempio, servizi dell’Agenzia delle Entrate o del tuo Comune). Non sostituiscono la firma sul documento, salvo flussi che integrano una FEA conforme. La PEC prova invio e ricezione di messaggi e allegati, ma non certifica da sola che un PDF contenga una firma qualificata. Nei processi fiscali: la fattura elettronica B2B non richiede firma; molte deleghe e istanze ammettono PDF firmato digitalmente; le pratiche SUAP/SCIA e i depositi al Registro Imprese richiedono spesso firma qualificata. Controlla sempre modulistica e istruzioni dell’ente, e conserva le ricevute di invio e protocollazione.
