I tre tipi di firma elettronica: SES, AES, QES — spiegate.

La SES è ciò che la maggior parte delle persone immagina quando pensa a una firma digitale. Qualcuno clicca su «firma», il suo nome compare come prova del gesto e una marca temporale registra quando. Tutto qui.

Nessuna verifica dell’identità. Nessun certificato dedicato. Nessuna cifratura. Nessuna protezione dalle alterazioni. Si potrebbe falsificare una SES copiando l’immagine della firma di un’altra persona. Si potrebbe modificare un documento dopo la firma e la SES rimarrebbe lì, perfettamente serena. Tecnicamente, una SES è poco più di metadati allegati a un file.

Ecco il punto: la SES è tecnicamente valida ai sensi di eIDAS. I tribunali la prenderanno in considerazione. Ma se in seguito qualcuno sostiene di non aver mai firmato, vi trovate a combattere in salita. La SES va bene per approvazioni interne in cui tutti si fidano di tutti. Nel momento in cui entrano in gioco terze parti o un rischio reale, la SES è una passività travestita da soluzione.

L’AES è il terreno su cui dovrebbe collocarsi la maggior parte dei contratti commerciali. Richiede certificati digitali qualificati — un’autorità di certificazione verifica l’identità prima del rilascio. Non richiede la scansione di un documento di identità ufficiale (è la QES), ma una verifica reale, spesso una verifica telefonica combinata con controlli di identità su altri canali.

Una volta in essere il certificato, la firma AES viene matematicamente legata al documento. Non potete alterarlo dopo la firma senza che la firma stessa diventi non valida. Cambiate anche un solo carattere e tutto si rompe. Contratti commerciali, NDA, contratti di lavoro, leasing, prestazioni di servizi — l’AES li copre tutti.

La QES è la categoria dei pesi massimi. Richiede un certificato qualificato emesso da un prestatore di servizi fiduciari autorizzato dallo Stato e la vostra identità viene verificata di persona con documenti ufficiali — passaporto, carta d’identità o equivalente. Costa di più e richiede più tempo perché è realmente rigorosa.

La differenza giuridica è decisiva: ai sensi di eIDAS, una QES ha esattamente lo stesso peso legale di una firma autografa. Punto. L’onere della prova si inverte. Se qualcuno contesta una QES, deve dimostrare che è stata falsificata. Voi non dovete dimostrarne la legittimità. Questo conta per operazioni di M&A, contratti di lavoro con TFR e indennità rilevanti, contratti di credito, cartelle cliniche e atti giuridici sensibili.

Lo scarto di costo tra AES e QES è solitamente più contenuto di quanto si pensi — spesso solo pochi euro per firma. La differenza in termini di tutela giuridica è invece enorme.

La maggior parte delle aziende ha bisogno dell’AES come base. È la scelta ragionata: sicurezza reale senza l’onere di una verifica completa con documento di identità ufficiale, copertura legale sui normali accordi commerciali, senza complessità inutili.

Alcune aziende hanno occasionalmente bisogno della QES per contratti di valore elevato. Integratela nel workflow. Sapete quando vi serve.

E la SES? Se non la usate internamente o per le approvazioni più banali, vi state assumendo un rischio inutile. La copertura legale non sarà lì quando le cose andranno male.