Ripensare i complessi flussi di lavoro della firma: automatizzati, sicuri e conformi a eIDAS

A seconda del tipo di firma, le firme elettroniche offrono un elevato livello di protezione contro la falsificazione e la manomissione. In particolare, nel caso delle firme elettroniche avanzate (FES) e QES, i metodi crittografici garantiscono che eventuali modifiche successive apportate al documento firmato possano essere individuate.

Con sproof, i processi di firma vengono inoltre documentati tramite una traccia di audit a prova di manomissione. In questo modo è possibile registrare in modo tracciabile e verificabile le informazioni importanti relative al processo di firma.

Non appena un documento viene firmato digitalmente tramite sproof, al suo contenuto viene applicato un valore hash crittografico.

• Modifiche successive: se dopo la firma viene modificato anche solo un singolo carattere, una cifra decimale o un’immagine nel PDF, il sigillo viene invalidato.
• Risultato: qualsiasi strumento di verifica comunemente utilizzato (ad esempio Adobe Acrobat o il validatore gratuito sproof) segnala immediatamente che il documento è stato modificato e che la firma non è valida.

La legge austriaca sulle firme elettroniche (SigG) disciplinava originariamente il quadro giuridico delle firme elettroniche in Austria. Tuttavia, è entrata in disuso il 30 giugno 2016. Dal 1° luglio 2016, per le firme elettroniche si applicano in particolare il regolamento eIDAS dell’Unione Europea, direttamente applicabile, nonché la legge austriaca sulle firme elettroniche e sui servizi di fiducia (SVG). La SVG integra a livello nazionale le disposizioni europee dell’eIDAS e disciplina, tra l’altro, le firme elettroniche, i sigilli elettronici, i timbri temporali e i requisiti relativi ai servizi di fiducia e ai loro fornitori.

Nel quadro giuridico europeo, per le firme elettroniche si distinguono diversi livelli di firma: la firma elettronica semplice (EES), la firma elettronica avanzata (FES) e la firma elettronica qualificata (QES). Il tipo di firma richiesto dipende in particolare dal caso specifico e dai requisiti di legge o contrattuali.

In Austria, l’ID Austria riveste un ruolo centrale in questo contesto, poiché consente l’identificazione digitale sicura e le firme elettroniche qualificate. sproof ha integrato direttamente l’ID Austria e supporta inoltre numerose altre eID europee per i processi di identificazione e firma digitale.

Una firma elettronica avanzata (FES) è indicata per documenti che richiedono un livello più elevato di responsabilità, tracciabilità o sicurezza. È univocamente associata alla persona firmataria, ne consente l’identificazione e rende riconoscibili eventuali modifiche successive apportate al documento. Casi d’uso tipici sono contratti, autorizzazioni, documenti relativi al personale o accordi commerciali per i quali la legge non richiede una firma elettronica qualificata. Il tipo di firma più adatto dipende tuttavia sempre dal documento specifico e dai requisiti formali vigenti. Per saperne di più sulle differenze tra EES, FES e QES, consultate la nostra panoramica su tutti gli standard di firma elettronica.

Una firma elettronica semplice (EES) è indicata per documenti e processi che presentano un rischio giuridico o economico limitato, per i quali non è richiesta la forma scritta prevista dalla legge. Esempi tipici sono approvazioni interne, conferme, verbali, offerte o semplici accordi. Consente una firma rapida e semplice, ma offre solo una sicurezza limitata nell’identificazione univoca del firmatario. È quindi opportuno valutare sempre quale tipo di firma sia più adatto in base al caso specifico. Troverete una panoramica su EES, FES e QES nel nostro confronto tra gli standard di firma elettronica.

Sì. Le aziende interessate possono provare sproof sign gratuitamente per 14 giorni. Inoltre, gli esperti di sproof saranno lieti di fornire una consulenza personalizzata e di illustrare come integrare al meglio la piattaforma nei processi aziendali esistenti. Prova subito sproof sign →

Molte aziende desiderano garantire che i dati personali vengano trattati esclusivamente all’interno dell’Unione Europea e siano soggetti alle norme europee in materia di protezione dei dati. sproof tratta i dati esclusivamente nell’UE e si avvale di infrastrutture europee.

Per molte aziende, il CLOUD Act statunitense rappresenta un aspetto importante nella scelta di un fornitore di software. In determinate circostanze, la legge può obbligare le aziende statunitensi o quelle con legami con gli Stati Uniti a consegnare i dati su ordine delle autorità, indipendentemente dal fatto che questi siano archiviati negli Stati Uniti o all’estero. Per questo motivo, oggi molte organizzazioni verificano non solo la sede di archiviazione dei propri dati, ma anche la sede legale dell’azienda, l’infrastruttura cloud utilizzata e l’ordinamento giuridico applicabile. sproof si affida a un’infrastruttura esclusivamente europea. Il trattamento dei dati avviene all’interno dell’Unione Europea ed è soggetto al diritto europeo. Ciò aiuta le aziende a soddisfare elevati requisiti in materia di protezione dei dati, conformità e sovranità digitale.

Sì. DocuSign supporta le firme elettroniche conformi al regolamento eIDAS. È tuttavia importante sottolineare che la conformità eIDAS non fornisce alcuna indicazione sul luogo in cui i dati vengono trattati o archiviati. Le aziende dovrebbero quindi verificare anche in quale giurisdizione vengono trattati i propri dati, quale infrastruttura cloud viene utilizzata e quali requisiti in materia di protezione dei dati e conformità vengono soddisfatti. sproof supporta tutti i tipi di firma conformi all’eIDAS e tratta i dati esclusivamente all’interno dell’Unione Europea su un’infrastruttura europea.

Sì. Oltre ai fornitori internazionali, esistono diverse piattaforme europee di firma elettronica. Chi attribuisce particolare importanza alla protezione dei dati, alla sovranità digitale e alla conformità alla direttiva eIDAS dovrebbe includere nel confronto anche le soluzioni europee. sproof è un fornitore austriaco che ha sviluppato la propria piattaforma appositamente per soddisfare le esigenze delle aziende europee.

L’Audit Trail (registro di controllo) fornisce una cronologia completa e utilizzabile in sede giudiziaria dell’intero processo di firma. Esso documenta chi ha visualizzato, approvato e firmato il documento e in quale momento, indicando anche il metodo di verifica utilizzato (ad es. autenticazione a due fattori o eID qualificata). Questo registro funge da prova primaria, in caso di audit o controversie legali, a dimostrazione del fatto che la firma è stata apposta correttamente.

Sì. Quando più persone firmano un documento in successione (flusso di lavoro sequenziale), il PDF contiene una cronologia delle cosiddette versioni di revisione. Uno strumento di verifica (ad es. sproof Validate) convalida ogni singola firma in base allo stato del documento vigente al momento della firma.

Spesso, una volta scaduto il certificato sottostante (di solito dopo 2 o 3 anni), le firme standard non possono più essere convalidate correttamente. sproof sign utilizza quindi sistematicamente lo standard LTV (Long-Term Validation). In questo modo, le informazioni di revoca (come gli elenchi CRL o OCSP) vengono incorporate direttamente nel documento al momento della firma. Ciò consente di verificare la validità della firma anche dopo decenni, in modo conforme ai requisiti di revisione e indipendentemente dall’emittente.