ZertES e la firma elettronica qualificata: guida pratica per le imprese svizzere

Non tutte le firme digitali sono uguali. In Svizzera e nell'Unione Europea esistono tre livelli distinti di firma elettronica — e solo il livello più alto, la firma elettronica qualificata (FEQ), ha lo stesso valore legale di una firma autografa davanti a un tribunale. Chi non conosce questa distinzione rischia di trovarsi con documenti formalmente firmati ma giuridicamente deboli nel momento in cui contano di più.

Questa guida spiega cosa sono ZertES e eIDAS, perché la distinzione tra i livelli di firma è importante per le imprese svizzere, e come Swiss Trust Layer implementa questi standard in modo accessibile.

I tre livelli di firma elettronica

Tanto ZertES quanto eIDAS distinguono tre categorie:

Firma elettronica semplice (FES): Un'immagine scansionata della firma o un campo di testo con il nome. Nessuna protezione crittografica. Nessuna equivalenza legale con la firma autografa. Facilmente contestabile.

Firma elettronica avanzata (FEA): Collegata al firmatario tramite un processo verificabile (codice SMS, email di conferma) e rilevabile se il documento viene alterato successivamente. Sufficiente per molti processi aziendali ordinari, ma non equivalente a una firma autografa davanti a un giudice.

Firma elettronica qualificata (FEQ): Il livello massimo. Emessa da un prestatore di servizi di certificazione accreditato. Equivalente per legge alla firma autografa sia in Svizzera (ZertES) sia nell'UE (eIDAS). Inversione dell'onere della prova.

ZertES: il quadro normativo svizzero

ZertES — Legge federale sui servizi di certificazione nel settore della firma elettronica (RS 943.03) — è la norma federale svizzera che definisce le condizioni a cui una firma o un timestamp elettronico ha valore legale qualificato davanti alle autorità e ai tribunali svizzeri.

L'articolo 2 di ZertES stabilisce che il timestamp o la firma devono essere emessi da un prestatore di servizi di certificazione (ZDA) accreditato presso UFCOM (Ufficio federale delle comunicazioni), che l'accreditamento richiede audit indipendenti e conformità continuativa a standard tecnici e organizzativi rigorosi, e che un timestamp qualificato ZertES ha valore di presunzione legale: la data e il contenuto del documento sono considerati autentici fino a prova contraria.

Swisscom Trust Services è un ZDA accreditato secondo ZertES. Ogni sigillo emesso tramite Swiss Trust Layer è ancorato all'infrastruttura Swisscom e soddisfa questo standard.

eIDAS: il quadro normativo europeo

Per le transazioni transfrontaliere nell'Unione Europea, il riferimento è il regolamento eIDAS (UE n. 910/2014). Questo regolamento crea un quadro uniforme per il riconoscimento delle firme elettroniche in tutti i 27 stati membri.

L'articolo 25 di eIDAS stabilisce: una firma elettronica qualificata ha lo stesso valore legale di una firma autografa in tutti gli stati membri dell'UE.

L'articolo 41 aggiunge una disposizione particolarmente rilevante per i timestamp: un timestamp elettronico qualificato gode di una presunzione legale che la data e l'ora indicate siano accurate e che l'integrità dei dati a cui il timestamp si riferisce sia intatta. Questa presunzione è confutabile — ma l'onere di confutarla spetta alla parte che contesta, non a chi ha apposto il sigillo. In pratica, un timestamp emesso da un QTSP iscritto nell'EU Trust List è estremamente difficile da contestare con successo in sede giudiziaria.

Swisscom Trust Services è iscritta nell'EU Trust List come QTSP. I sigilli emessi tramite Swiss Trust Layer sono quindi riconosciuti in tutti i 27 stati membri dell'UE.

Perché le imprese svizzere hanno bisogno di entrambi gli standard

La maggior parte delle PMI svizzere opera tanto nell'ordinamento giuridico elvetico quanto con clienti e partner nell'UE. La scelta tra ZertES e eIDAS non è quindi una scelta: serve entrambi.

La buona notizia è che non è necessario scegliere operativamente. Swisscom Trust Services detiene contemporaneamente l'accreditamento ZertES e lo status QTSP eIDAS. Un singolo sigillo Swiss Trust Layer soddisfa entrambi gli standard, coprendo tribunali svizzeri e autorità federali, tutti i 27 stati membri dell'UE, e il quadro globale della Convenzione di Berna (181 stati) per la protezione del diritto d'autore.

Come Swiss Trust Layer implementa questi standard

Storicamente, accedere a una FEQ richiedeva procedure complesse: identificazione presso un'autorità accreditata, gestione di certificati digitali, installazione di software specializzato. Swiss Trust Layer semplifica radicalmente questo percorso.

1. Carica il documento. Qualsiasi formato è accettato. Il contenuto del file non viene mai trasmesso o conservato: viene elaborato solo l'hash SHA-256, un'impronta crittografica unica del documento.

2. Swisscom certifica il timestamp. Swiss Trust Layer trasmette l'hash a Swisscom Trust Services, che emette un timestamp qualificato conforme a ZertES e eIDAS. Il timestamp è immutabile: non può essere applicato retroattivamente.

3. Ricevi il certificato. Ottieni un documento conforme allo standard PAdES contenente l'hash, il timestamp certificato, la catena di certificazione Swisscom e la tua identità. Questo certificato è direttamente utilizzabile in giudizio.

4. Verifica pubblica. Chiunque può verificare il sigillo su swisstrustlayer.com/validate — senza login, senza contattare Swiss Trust Layer. La verifica è matematica, non dipende dalla disponibilità di sistemi interni.

Quando serve una FEQ e quando basta una FEA

Non tutti i documenti richiedono una FEQ. Ma probabilmente ne hai bisogno per documentazione di proprietà intellettuale, contratti di licenza con valore commerciale significativo, accordi tra parti in giurisdizioni diverse, documenti che potrebbero essere presentati in giudizio, documenti di settori regolamentati (finanza, sanità, legale), accordi tra cofondatori e documenti societari, e qualsiasi documento per il quale potresti dover dire: "questo documento è autentico, l'ho firmato questa data, e ho la prova".

Domande frequenti

Un sigillo FEQ significa che il documento è cifrato?

No. Il documento non è cifrato. Il sigillo crea un'impronta crittografica (hash) del contenuto esatto del documento. Se anche un solo carattere viene modificato successivamente, l'hash cambia completamente e il sigillo diventa non valido. Il documento rimane leggibile.

Una FEQ è riconosciuta in ogni paese?

Nell'UE (eIDAS) e in Svizzera (ZertES) la FEQ ha definizioni legali specifiche e presunzione legale. Per la protezione del diritto d'autore, i sigilli Swiss Trust Layer sono riconosciuti globalmente attraverso la Convenzione di Berna.

Quanto costa?

Swiss Trust Layer offre Seal Credits Lite a partire da CHF 5 all'anno. Sono disponibili piani professionali ed enterprise per team e volumi elevati.

Devo capire la crittografia per usarlo?

No. La piattaforma gestisce tutto. Se sai caricare un file, sai creare un timestamp qualificato.

Il panorama legale per i documenti digitali si sta evolvendo rapidamente. La differenza tra chi può dimostrare l'autenticità dei propri documenti e chi non può è sempre più determinante. Inizia su swisstrustlayer.com.