Ultimo aggiornamento: agosto 2026.
Puoi ottenere la firma digitale con smart card dal sito del prestatore di servizi qualificato oppure scegliere token USB o firma remota via app. Serve per pratiche al Registro Imprese; per fatture B2B non è obbligatoria.
- Valore legale: la firma digitale è una firma elettronica qualificata basata su certificato qualificato e dispositivo QSCD; riconosciuta dal Regolamento UE 910/2014 come modificato dal Regolamento UE 2024/1183 e dal CAD (D.Lgs. 82/2005).
- Come ottenerla: identificazione con SPID/CIE o de visu, rilascio del certificato, PIN/PUK; opzioni smart card, token o firma remota su HSM con app e OTP/biometria, secondo le Linee Guida AgID.
- Quando serve: adempimenti verso Registro Imprese/CCIAA e SUAP, gare e contratti digitali; non necessaria per fatture B2B via SdI. Valuta marca temporale per prova certa della data.
Cos’è la firma digitale e perché ha valore legale
La firma digitale è una firma elettronica qualificata. Vuol dire che usa un certificato qualificato a tuo nome e un dispositivo sicuro (QSCD). In Italia è l’equivalente informatico della firma a mano.
Il quadro normativo è chiaro: Regolamento UE 910/2014 (eIDAS) e sua riforma 2024/1183 (c.d. eIDAS 2.0), Codice dell’Amministrazione Digitale – D.Lgs. 82/2005 e successive modifiche, regole tecniche DPCM 22 febbraio 2013. Puoi verificarli su Normattiva e sui portali istituzionali di AgID e Gazzetta Ufficiale.
Le firme elettroniche non sono tutte uguali. La firma elettronica semplice è un segno digitale senza particolari garanzie. La firma elettronica avanzata identifica chi firma e collega la firma al documento. La firma elettronica qualificata (firma digitale in Italia) ha presunzione legale di autenticità e integrità.
I formati principali sono PAdES (firma dentro il PDF), CAdES (.p7m che “avvolge” il file) e XAdES (XML). Tutti sono previsti dalle regole tecniche eIDAS/DPCM, se generati con certificato qualificato.
Strumenti disponibili nel 2026: smart card, token, firma remota e novità eIDAS 2.0
Smart card
La smart card contiene il tuo certificato su chip. Funziona con lettore collegato al computer. È un QSCD fisico. Pro: massima controllo del dispositivo. Contro: serve lettore, driver e computer compatibile.
Token USB o dispositivi similari
Il token USB è come una “chiavetta” con chip interno. A volte include anche un software portatile. Pro: più pratico della card. Contro: richiede comunque driver e il dispositivo fisico con te.
Firma remota via app mobile
La firma remota conserva il certificato su HSM del prestatore qualificato. Tu autorizzi la firma con app, OTP o biometria a due fattori. È a norma eIDAS se il prestatore è qualificato e l’HSM è QSCD remoto.
Pro: firmi ovunque, anche senza lettori. Contro: dipende da rete e smartphone. È ideale per chi firma spesso o da remoto. L’identificazione iniziale può avvenire con SPID o CIE, secondo le regole AgID.
eIDAS 2.0 ed European Digital Identity Wallet
Con eIDAS 2.0 (Regolamento UE 2024/1183) arriva il Wallet europeo di identità digitale. Nel 2026 i prestatori qualificati iniziano l’integrazione. Attesi flussi di firma più semplici e interazioni cross-border più fluide.
La transizione sarà graduale. Verifica sempre che il servizio sia qualificato negli elenchi ufficiali AgID e nelle Trusted Lists europee. Così mantieni il pieno valore legale.
Come richiedere e attivare la firma digitale
Scelta del prestatore qualificato
Scegli un prestatore di servizi fiduciari qualificato iscritto negli elenchi AgID. Così hai certezza di certificati e dispositivi conformi. Evita soluzioni non qualificate se ti servono effetti legali forti.
Identificazione del titolare
Per il rilascio del certificato serve identificarti. Puoi farlo online con SPID o CIE, oppure in presenza. Le modalità sono regolate da eIDAS, CAD e Linee Guida AgID sull’identificazione.
Rilascio del certificato, PIN/PUK, validità
Dopo l’identificazione ricevi smart card o token, oppure attivi l’account di firma remota. Ti consegnano PIN e PUK. Tienili separati e al sicuro. La validità del certificato è di norma 3 anni, poi si rinnova.
Sospensione, revoca e rinnovo
Se perdi il dispositivo o sospetti un abuso, chiedi subito la sospensione o la revoca. La revoca rende inutilizzabile la firma. Il rinnovo richiede una nuova verifica dei dati e, a volte, una nuova identificazione.
Come firmare: smart card, token e app
Procedura con smart card (passi pratici)
Installa il software di firma del prestatore. Collega il lettore al computer e inserisci la smart card. Avvia il software. Clicca su “firma”. Seleziona il file. Scegli il formato (PAdES per PDF o CAdES .p7m). Inserisci il PIN. Clicca su “firma”. Attendi il messaggio “documento firmato”.
Formato giusto: PAdES o CAdES
Se firmi un PDF, PAdES è comodo perché mantiene il file leggibile e può mostrare un riquadro visivo. Se devi firmare un formato diverso (es. .xml, .zip), usa CAdES: crea un .p7m che contiene originale e firma.
Marca temporale: quando serve
La marca temporale attesta data e ora certe rilasciate da un prestatore qualificato. È utile quando la data è decisiva (bandi, termini perentori). Serve anche per validazione a lungo termine oltre la scadenza del certificato.
Quando è obbligatoria o fortemente consigliata
Registro Imprese, CCIAA e SUAP
Per inviare pratiche telematiche al Registro Imprese e agli sportelli SUAP la firma digitale è lo standard. È prevista dal CAD e dalle norme sul Registro Imprese. In pratica, senza firma digitale molte pratiche non partono.
Fatture elettroniche
Per B2B e B2C, l’invio via Sistema di Interscambio assicura autenticità e integrità senza bisogno di firmare manualmente. Riferimenti: D.Lgs. 127/2015 e provvedimenti dell’Agenzia delle Entrate. Per la PA (FatturaPA), la firma qualificata può essere richiesta dalle specifiche tecniche: verifica sempre le regole applicabili al tuo ente destinatario.
Contratti, gare, istanze e processi telematici
Per contratti tra privati, la firma digitale garantisce piena prova di identità e integrità. Nelle gare telematiche è di regola obbligatoria. Anche molti procedimenti giudiziari e amministrativi accettano solo documenti firmati digitalmente.
Regola decisionale rapida
– Firmi spesso da remoto o in mobilità? Scegli firma remota via app con OTP/biometria.
– Firmi in ufficio con PC fisso e vuoi controllo fisico? Scegli smart card o token USB.
– Firmi PDF destinati a lettura immediata? Usa PAdES. Firmi file non PDF o pacchetti? Usa CAdES (.p7m).
– Devi rispettare termini perentori o conservare a lungo? Applica anche la marca temporale.
– Devi presentare pratiche al Registro Imprese/SUAP o partecipare a gare? Usa firma digitale qualificata con dispositivo QSCD (smart card, token o HSM remoto) rilasciata da prestatore qualificato.
Conservazione, sicurezza e conformità
Custodia di PIN, PUK e dispositivi
Non condividere mai PIN e PUK. Conservali separati dal dispositivo. Disattiva la funzione biometrica su app se il telefono è condiviso. Abilita avvisi di sicurezza e 2FA quando disponibili.
Revoca immediata in caso di smarrimento
Se perdi smart card, token o smartphone, contatta subito il servizio di revoca H24 del prestatore. La tempestività riduce il rischio di firme non autorizzate.
Conservazione dei documenti
Per libri e registri fiscali la conservazione deve rispettare il CAD e le Linee Guida AgID sulla formazione, gestione e conservazione dei documenti informatici. Prevedi politiche di backup e controlli periodici di leggibilità.
Validazione nel tempo
Le firme restano valide anche se il certificato scade, ma la marca temporale e i profili di validazione a lungo termine aiutano a dimostrarlo. Usa pacchetti con catene di certificati e timestamp secondo le regole tecniche.
Errori comuni e come evitarli
Formato sbagliato
Molti rigettano pratiche perché il PDF è firmato in CAdES o perché un .docx non è dentro un .p7m. Leggi sempre le specifiche dell’ente e scegli il formato corretto.
Certificato non qualificato
Una firma avanzata non sostituisce la firma digitale quando la norma chiede una firma qualificata. Controlla che il certificato sia qualificato e che il prestatore sia nell’elenco AgID.
Assenza di marca temporale
Se una scadenza è decisiva, aggiungi la marca temporale. Riduce contestazioni sulla data. È spesso richiesta in gare e bandi.
Software non aggiornato
Driver obsoleti e software non aggiornati causano errori di verifica. Aggiorna periodicamente e testa i flussi con un documento di prova prima di invii critici.
Mancata verifica della firma
Dopo aver firmato, verifica sempre esito, certificati e marca temporale. Usa i tool di verifica del prestatore o i validatori conformi alle regole tecniche.
| Scenario | Strumento/Tipo firma | Requisiti tecnici | Tempistiche e note normative |
|---|---|---|---|
| Pratiche Registro Imprese/CCIAA | Firma digitale (FEQ) PAdES o CAdES | Smart card/token o firma remota; software conforme; marca temporale consigliata | Rilascio certificato 24-72 ore; norme CAD e prassi Registro Imprese |
| Fatture elettroniche B2B/B2C via SdI | Nessuna firma personale richiesta | Software fatturazione e accesso SdI | D.Lgs. 127/2015; autenticità e integrità garantite dal SdI |
| FatturaPA verso Pubbliche Amministrazioni | Firma digitale spesso richiesta dal tracciato FatturaPA | Certificato qualificato; PAdES o CAdES secondo specifiche | Verifica specifiche tecniche PA; DM e specifiche FatturaPA |
| Gare telematiche e appalti | Firma digitale con marca temporale | QSCD; tool di firma e verifica; sincronizzazione oraria | Tempi di firma e invio entro scadenza; norme eIDAS/CAD e capitolati di gara |
| Contratti tra privati (PDF) | PAdES con certificato qualificato | Software firma PDF; opzione firma visiva | Validità piena in giudizio; eIDAS e CAD |
| Presentazioni SUAP e istanze digitali | Firma digitale CAdES (.p7m) salvo diversa indicazione | Pacchetti .p7m e marca temporale | Specifiche ente; CAD e Linee Guida AgID |
FAQ
1) Che differenza c’è tra firma elettronica semplice, avanzata, qualificata e firma digitale?
La firma elettronica semplice è qualsiasi meccanismo digitale che identifica in modo debole una persona, per esempio una spunta o una scansione. Ha valore probatorio limitato. La firma elettronica avanzata identifica chi firma e collega in modo univoco la firma al documento, con controllo sul processo di firma. Ha valore intermedio e richiede procedure documentate. La firma elettronica qualificata usa un certificato qualificato a tuo nome e un dispositivo sicuro (QSCD). È regolata dal Regolamento eIDAS e dal CAD. In Italia il termine “firma digitale” indica, nella pratica, una firma elettronica qualificata generata secondo le regole tecniche nazionali. In caso di contenzioso, la firma qualificata ha presunzione legale di autenticità e integrità del documento. Chi la contesta deve fornire prove forti, mentre con firme non qualificate la prova ricade più spesso su chi propone il documento.
2) Posso firmare da smartphone con la stessa validità della smart card?
Sì, se usi un servizio di firma remota erogato da un prestatore qualificato. In questo caso il certificato è custodito in un HSM conforme e tu autorizzi l’operazione con meccanismi a due fattori, come OTP o biometria in app. Le regole eIDAS e le Linee Guida AgID abilitano questa modalità con pieno valore di firma elettronica qualificata, a condizione che il prestatore sia nei registri ufficiali. Ricorda di proteggere lo smartphone con PIN e biometria e di attivare le notifiche di sicurezza. Se cambi telefono, effettua una nuova associazione sicura dell’app e disattiva quella del vecchio dispositivo.
3) È obbligatoria per ditta individuale, società e professionisti? In quali casi pratici?
Per molti adempimenti telematici al Registro Imprese e agli sportelli SUAP la firma digitale è necessaria. È la chiave per inviare pratiche, variazioni e documenti societari. Anche in gare telematiche, bandi e capitolati, la firma digitale è quasi sempre prevista. Per i contratti tra privati non è sempre obbligatoria, ma spesso conviene per avere garanzie di identità, integrità e tracciabilità della data. Per le fatture elettroniche B2B non devi firmare manualmente, perché l’instradamento tramite SdI garantisce gli aspetti richiesti dalla legge. Verifica sempre i requisiti del singolo ente o piattaforma a cui invii il documento.
4) Devo firmare le fatture elettroniche? Come dimostro autenticità e integrità?
Per B2B e B2C non devi apporre la tua firma digitale. L’autenticità dell’origine e l’integrità del contenuto sono garantite dal Sistema di Interscambio, secondo D.Lgs. 127/2015 e provvedimenti dell’Agenzia delle Entrate. Per le fatture verso la Pubblica Amministrazione, il formato FatturaPA può richiedere la firma qualificata del file XML secondo le specifiche tecniche vigenti. In ogni caso, la conservazione a norma e l’archiviazione ordinata dei metadati di trasmissione completano la prova, perché documentano percorso e ricevute di consegna. A fini fiscali, conserva i file originali e le ricevute SdI per i termini previsti.
5) Cosa faccio se perdo smart card, token o telefono con l’app di firma?
Agisci subito. Contatta il servizio di revoca o sospensione del tuo prestatore qualificato, attivo di norma H24. La sospensione blocca temporaneamente l’uso, la revoca lo annulla in modo definitivo. Denuncia l’eventuale furto alle autorità. Se avevi PIN o OTP memorizzati sul dispositivo, cambiali. La normativa eIDAS e il CAD prevedono procedure di revoca e gestione incidenti. Dopo aver messo in sicurezza il profilo, richiedi un nuovo dispositivo o una nuova attivazione. Verifica i log di firma per escludere usi non autorizzati nelle ore successive allo smarrimento. Infine, aggiorna le procedure interne per ridurre il rischio futuro, per esempio separando i luoghi di custodia di PIN e dispositivo.
