Come si fa la firma digitale: guida 2026

La firma digitale è uno strumento giuridico e tecnologico che, nel panorama normativo italiano ed europeo del 2026, ha assunto un ruolo centrale nella gestione documentale tanto per le imprese quanto per i professionisti e i privati cittadini: capire come si fa la firma digitale significa, prima di tutto, distinguere tra le diverse tipologie disponibili, comprendere il quadro regolatorio che le governa e orientarsi tra i dispositivi e i servizi che ne consentono l'utilizzo concreto. Non si tratta di una procedura uniforme: esistono varianti tecniche — firma elettronica semplice, avanzata, qualificata — che producono effetti giuridici differenti e che richiedono processi di ottenimento e di apposizione sostanzialmente diversi tra loro.

Il Regolamento eIDAS, applicabile in tutti gli Stati membri dell'Unione Europea e progressivamente rafforzato dalla revisione eIDAS 2.0, stabilisce i criteri di equivalenza tra firma autografa e firma digitale qualificata, riconoscendo a quest'ultima pieno valore legale in ogni contesto contrattuale e amministrativo. In Italia, il Codice dell'Amministrazione Digitale — il CAD — recepisce e integra queste disposizioni, attribuendo alla firma digitale la medesima efficacia probatoria della scrittura privata autenticata quando apposta da un titolare certificato da un prestatore di servizi fiduciari accreditato presso l'AgID. Questa architettura normativa è il presupposto indispensabile per chiunque voglia capire davvero come si fa la firma digitale senza limitarsi alla dimensione operativa.

Sul piano pratico, il processo si articola in una serie di passaggi che coinvolgono l'identità del firmatario, un certificato qualificato rilasciato da un ente autorizzato e uno strumento — fisico o virtuale — attraverso cui la firma viene materialmente apposta. La comprensione di ciascuno di questi elementi consente di scegliere la soluzione più adeguata al proprio contesto d'uso, evitando sia l'acquisto di dispositivi superflui sia l'utilizzo di strumenti che non garantiscono la validità giuridica necessaria.

Tipologie di firma elettronica e relativi effetti giuridici

La distinzione tra firma elettronica semplice, avanzata e qualificata non è meramente tecnica ma determina direttamente l'efficacia legale del documento firmato: la firma elettronica semplice — come quella ottenuta spuntando una casella di consenso online o inserendo un PIN — offre una protezione minima e può essere contestata con relativa facilità in sede giudiziaria, mentre la firma elettronica avanzata garantisce un legame più robusto tra firmatario e documento, richiedendo che il processo di firma sia univocamente riconducibile a una persona fisica identificata. La firma digitale qualificata, invece, è quella che in Italia si chiama comunemente "firma digitale" tout court: è prodotta attraverso un dispositivo sicuro per la creazione della firma — QSCD, Qualified Signature Creation Device — e si fonda su un certificato qualificato che attesta l'identità del titolare con un processo di riconoscimento de visu o equivalente.

Il certificato qualificato viene rilasciato da un Trust Service Provider accreditato: in Italia, l'elenco dei prestatori autorizzati è pubblicato e aggiornato dall'AgID, e comprende soggetti come Aruba, InfoCert, Namirial, Poste Italiane e altri ancora. Ogni certificato ha una durata limitata — generalmente tre anni — al termine della quale deve essere rinnovato, pena la perdita della validità delle firme apposte successivamente alla scadenza. La firma elettronica avanzata, invece, può essere offerta anche da soggetti non accreditati AgID, purché rispettino i requisiti tecnici previsti dall'eIDAS; la sua applicazione è però circoscritta a determinati ambiti contrattuali e non produce effetti equivalenti alla firma qualificata in ogni contesto.

Dispositivi per la firma digitale: smart card, token USB e soluzioni remote

Storicamente, la firma digitale in Italia veniva apposta attraverso una smart card — una tessera con chip integrato — da inserire in un apposito lettore collegato al computer; questa soluzione è ancora diffusa e rimane affidabile, ma richiede l'installazione di driver specifici e di un software di gestione del certificato, il che la rende meno immediata rispetto alle alternative più recenti. Il token USB crittografico costituisce un'evoluzione pratica della smart card: integra nello stesso dispositivo il chip e il lettore, si collega direttamente alla porta USB del computer senza necessità di hardware aggiuntivo e consente di apporre la firma digitale con una procedura analoga a quella della smart card, ma con una configurazione iniziale generalmente più semplice.

La firma digitale remota, detta anche firma digitale su HSM (Hardware Security Module), rappresenta l'evoluzione più recente e oggi la più utilizzata nell'ambito professionale e aziendale: il certificato qualificato non è memorizzato su un dispositivo fisico in possesso del firmatario, bensì su un server sicuro gestito dal prestatore di servizi, e l'autenticazione avviene tramite un secondo fattore — OTP via SMS o app, certificato su smartphone — che abilita l'utilizzo del certificato da remoto. Questa modalità elimina la dipendenza da un dispositivo fisico, consente di firmare da qualsiasi luogo e si integra facilmente in flussi documentali automatizzati; il livello di sicurezza è equivalente a quello della firma su smart card, a condizione che il provider utilizzi un HSM certificato secondo le normative europee.

Processo di ottenimento del certificato qualificato

Per ottenere un certificato qualificato e poter quindi apporre una firma digitale valida ai sensi del CAD e dell'eIDAS, è necessario sottoporsi a un processo di identificazione certa della propria identità, che può avvenire secondo modalità differenti a seconda del prestatore scelto e della soluzione tecnica desiderata. L'identificazione de visu tradizionale prevede la presentazione fisica presso uno sportello del provider — o di un suo agente — con un documento d'identità in corso di validità; in alternativa, molti prestatori accettano oggi l'identificazione tramite videochiamata operatore, mediante SPID di livello 2 o superiore, oppure attraverso CIE — Carta d'Identità Elettronica — con lettura NFC tramite smartphone. Una volta completata l'identificazione, il certificato viene generato e caricato sul dispositivo scelto — smart card, token USB o HSM remoto — e il titolare riceve le credenziali di accesso necessarie per il suo utilizzo.

I costi variano sensibilmente tra i diversi provider e tra le diverse tipologie di dispositivo: un kit con smart card o token USB si aggira generalmente tra i 30 e i 70 euro per tre anni di validità, mentre le soluzioni di firma remota sono spesso offerte in abbonamento annuale o con pacchetti di firme prepagati, con prezzi che possono scendere sensibilmente per volumi elevati. Per i professionisti iscritti a ordini o associazioni di categoria — commercialisti, avvocati, ingegneri — esistono spesso convenzioni con provider accreditati che consentono di ottenere il certificato a condizioni agevolate.

Come si fa la firma digitale su un documento: la procedura operativa

Una volta in possesso del certificato qualificato e del relativo dispositivo, apporre una firma digitale su un documento richiede l'utilizzo di un software di firma che supporti i formati previsti dalla normativa italiana: i principali sono PAdES (PDF Advanced Electronic Signatures), CAdES (CMS Advanced Electronic Signatures) e XAdES (XML Advanced Electronic Signatures), ciascuno con caratteristiche diverse quanto a compatibilità, struttura del file prodotto e campi di applicazione. Il formato PAdES produce un file PDF firmato, visivamente riconoscibile e apribile con qualsiasi lettore PDF; il formato CAdES genera un file con estensione .p7m che incapsula il documento originale — di qualsiasi tipo — insieme alla firma, richiedendo un software specifico per l'estrazione e la verifica; il formato XAdES è utilizzato principalmente per documenti XML e in contesti di interoperabilità avanzata tra sistemi informatici.

I software di firma più diffusi in Italia — Dike di InfoCert, ArubaSign di Aruba, FirmaOK di Namirial — guidano l'utente attraverso una procedura in pochi passaggi: selezione del documento, scelta del formato di firma, inserimento del PIN o autenticazione con il secondo fattore nel caso della firma remota, e salvataggio del file firmato. Per verificare la validità di una firma digitale apposta su un documento, è possibile utilizzare gli stessi software oppure il servizio di verifica online messo a disposizione dall'AgID, che controlla lo stato del certificato al momento della firma — compresa l'eventuale revoca — e la catena di certificazione fino alla CA radice accreditata. La verifica è un passaggio che chi riceve documenti firmati digitalmente dovrebbe effettuare sistematicamente, poiché la presenza di una firma visibile non garantisce di per sé la validità giuridica del documento.

Ambiti di utilizzo e integrazione nei flussi documentali aziendali

La firma digitale trova applicazione in un numero crescente di contesti: dalla sottoscrizione di contratti commerciali e atti notarili, alla trasmissione di dichiarazioni fiscali e pratiche amministrative, fino alla firma di verbali societari, offerte di gara e documenti sanitari; in tutti questi ambiti, la validità giuridica della firma qualificata elimina la necessità di ricorrere alla firma autografa su carta, con evidenti vantaggi in termini di tempi, costi e tracciabilità. Nelle organizzazioni strutturate, la firma digitale si integra spesso con sistemi di workflow documentale — piattaforme come DocuSign, Yousign o soluzioni proprietarie — che orchestrano il processo di firma tra più soggetti, gestiscono le notifiche e conservano i documenti firmati in archivi digitali conformi alle normative sulla conservazione a norma.

La conservazione a norma dei documenti firmati digitalmente è un aspetto che merita attenzione specifica: un documento con firma digitale deve essere conservato in modo da garantirne l'integrità e la leggibilità nel tempo, anche oltre la scadenza del certificato con cui è stato firmato; a questo scopo, i sistemi di conservazione accreditati applicano la marca temporale — un ulteriore elemento crittografico che attesta il momento esatto della firma — e provvedono alla ri-firma periodica dei documenti per mantenerne la validità al variare degli algoritmi crittografici. Per chi gestisce volumi significativi di documenti, affidarsi a un conservatore accreditato AgID è la scelta che garantisce la conformità normativa nel lungo periodo, evitando il rischio che documenti firmati digitalmente perdano il loro valore probatorio per motivi tecnici legati all'obsolescenza degli strumenti crittografici.