Firma digitale avvocato: formati, PCT e validità

Punti chiave dell'articolo

▸La firma digitale è una firma elettronica qualificata: equivale alla firma autografa (art. 25 eIDAS)
▸Nel processo telematico si usano CAdES (.p7m) e PAdES (.pdf), equivalenti per le Sezioni Unite
▸Il certificato dura 3 anni e va rinnovato prima della scadenza, senza nuovo riconoscimento
▸La marca temporale mantiene valida la firma anche dopo la scadenza del certificato

La firma digitale è lo strumento con cui l'avvocato dà valore legale agli atti che deposita e alle copie che attesta conformi. Non è una firma qualsiasi: è una firma elettronica qualificata basata su un sistema di crittografia a chiavi asimmetriche, e per il regolamento europeo eIDAS ha lo stesso valore della firma autografa. Sapere come funziona, in quali formati si appone e come si mantiene valida nel tempo non è teoria: un atto firmato male è un deposito che rischia il rifiuto.

Questa guida parte dalla firma come strumento di lavoro. Spiega la differenza tra i tipi di firma, i formati e quando si usa ciascuno, come si ottiene e si rinnova il dispositivo, come si firma nel processo telematico, come si attesta la conformità di una copia, quale valore ha la firma e come la marca temporale la protegge dalla scadenza del certificato. I riferimenti normativi sono aggiornati a luglio 2026.

Firma elettronica e firma digitale: le quattro categorie

Firma elettronica è il termine generale del regolamento eIDAS (Reg. UE 910/2014). Sotto questo cappello ci sono tre livelli di firma, con valore crescente, e la firma digitale è una specie particolare del livello più alto. Confonderli porta a errori pratici, perché non tutte le firme elettroniche hanno lo stesso valore in giudizio.

Tipo di firma	Che cos'è	Valore
Firma elettronica semplice (FES)	Qualsiasi dato elettronico usato per firmare: la spunta, il PIN, la scansione di una firma.	Valore probatorio liberamente valutabile dal giudice (art. 20 CAD).
Firma elettronica avanzata (FEA)	Connessa in modo univoco al firmatario, creata con mezzi sotto il suo controllo esclusivo, rileva le modifiche successive.	Soddisfa la forma scritta e ha efficacia di scrittura privata.
Firma elettronica qualificata (FEQ)	Una FEA basata su un certificato qualificato e creata con un dispositivo qualificato.	Equivale alla firma autografa (art. 25 eIDAS).
Firma digitale	Specie italiana di FEQ fondata sulla crittografia a chiavi asimmetriche, pubblica e privata.	Equivale alla firma autografa, con presunzione di utilizzo da parte del titolare (art. 20 CAD).

Per il lavoro dell'avvocato conta la firma digitale, che è quella richiesta negli atti del processo telematico. La sua forza sta in due elementi: il certificato qualificato, che lega in modo certo la firma a una persona identificata da un prestatore di servizi fiduciari accreditato, e il dispositivo sicuro che custodisce la chiave privata. L'art. 20 del Codice dell'amministrazione digitale (d.lgs. 82/2005) aggiunge una presunzione utile: l'utilizzo del dispositivo di firma si presume riconducibile al titolare, salvo che questi dimostri il contrario.

Una firma elettronica qualificata ha effetti giuridici equivalenti a quelli di una firma autografa.

Art. 25, par. 2, Regolamento UE 910/2014 (eIDAS)

I formati: CAdES, PAdES e XAdES

La firma digitale può essere apposta in formati diversi. Il formato non cambia il valore legale della firma, ma cambia l'estensione del file e i casi in cui conviene usarlo. Sono tre, e per l'avvocato ne contano soprattutto due.

Formato	Come si presenta il file	Quando si usa
CAdES	Una busta crittografica con estensione .p7m che ingloba il file originale.	Per firmare qualsiasi tipo di file, non solo PDF. Nel PCT produce l'atto in .p7m.
PAdES	Un PDF firmato, che resta un .pdf leggibile con i comuni lettori.	Per firmare documenti PDF mantenendoli apribili senza software specifico.
XAdES	Una firma su file XML, con estensione .xml.	Poco diffuso nel PCT. Usato per documenti strutturati, come la fattura elettronica.

La domanda ricorrente è quale scegliere tra CAdES e PAdES per gli atti del processo. La risposta l'hanno data le Sezioni Unite della Cassazione con la sentenza n. 10266 del 27 aprile 2018: secondo il diritto dell'Unione e le norme, anche tecniche, di diritto interno, le firme digitali di tipo CAdES e di tipo PAdES sono entrambe ammesse ed equivalenti, e vanno riconosciute valide ed efficaci, pur con le diverse estensioni .p7m e .pdf, anche nel processo civile di Cassazione.

In pratica: il PAdES è più comodo perché il file resta un PDF leggibile da chiunque, mentre il CAdES richiede un software per aprire la busta .p7m ma consente di firmare file di qualsiasi tipo. Per l'atto principale del deposito entrambi vanno bene. Il consiglio operativo è verificare sempre le indicazioni del redattore e dell'ufficio, e mantenere coerenza tra il formato scelto e quello che il software di deposito si aspetta.

Come si ottiene e si rinnova il dispositivo

Il certificato di firma digitale si ottiene da un prestatore di servizi fiduciari qualificato, cioè un soggetto vigilato da AgID e presente nell'elenco pubblico dei prestatori qualificati. Tra i più usati dagli avvocati ci sono InfoCert, Aruba, Namirial e InfoCamere, ma l'elenco completo è consultabile sul sito di AgID. Il rilascio richiede il riconoscimento certo dell'identità del titolare, che può avvenire di persona, tramite un altro documento di firma, con SPID o con la carta d'identità elettronica.

Il dispositivo può assumere tre forme: la smart card con lettore, il token USB che integra lettore e certificato, e la firma remota, che tiene il certificato su un server sicuro e si attiva con una password e un codice usa e getta (OTP). Per chi firma molti atti la firma remota è spesso la più pratica, perché non dipende da un lettore fisico.

Sulla durata bisogna tenere separati due elementi. Il certificato di firma ha validità di tre anni. I dispositivi fisici, come smart card e token, hanno una vita complessiva di sei anni: il certificato si rinnova una volta per altri tre anni, poi il dispositivo va sostituito. Il rinnovo del certificato si fa online, di norma entro i novanta giorni che precedono la scadenza e prima del giorno di scadenza, senza un nuovo riconoscimento dell'identità.

Rinnova prima, non dopo

Il rinnovo del certificato è possibile solo finché è ancora valido. Se lo lasci scadere non puoi rinnovarlo: devi richiedere un nuovo certificato con un nuovo riconoscimento, con tempi più lunghi. Segna la scadenza nello scadenzario dello studio con novanta giorni di anticipo, come faresti con un termine processuale.

La firma negli atti del processo telematico

Nel processo telematico la firma digitale non è un accessorio: è ciò che rende l'atto un atto. L'atto principale deve essere un documento nativo digitale, cioè un file di videoscrittura convertito in PDF con testo selezionabile, firmato digitalmente in CAdES o PAdES. La scansione di un atto cartaceo non è ammessa come atto principale. Anche la procura alle liti, se rilasciata su documento informatico, va firmata digitalmente, e la relata di notifica in proprio via PEC si redige su documento separato e firmato.

Gli errori di firma sono tra le cause più frequenti di anomalia nel deposito. Vale la pena conoscerli perché sono quasi sempre gli stessi:

▸atto principale non firmato, o firmato con un certificato scaduto o revocato al momento della firma
▸firma apposta in un formato non riconosciuto dal sistema, o su un file diverso da quello effettivamente inserito nella busta
▸certificato di sottoscrizione valido ma non idoneo, per esempio un certificato di sola autenticazione al posto di uno di firma
▸procura priva della firma digitale o priva dell'attestazione di conformità quando è la copia di un originale cartaceo

Un'anomalia sulla firma può generare un errore bloccante (FATAL) che impedisce alla busta di entrare nel fascicolo, oppure un errore che la cancelleria può comunque superare. In ogni caso l'atto va firmato con un certificato valido e nel formato atteso: è un controllo che costa trenta secondi e previene un deposito da rifare. Il funzionamento del deposito e delle ricevute PEC è trattato nella guida al processo civile telematico.

L'attestazione di conformità delle copie

La firma digitale serve anche per un'operazione che l'avvocato compie di continuo: attestare la conformità di una copia. L'art. 196-octies delle disposizioni di attuazione del codice di procedura civile riconosce ai difensori il potere di estrarre duplicati e copie, analogiche o informatiche, degli atti e dei provvedimenti presenti nel fascicolo informatico o allegati alle comunicazioni di cancelleria, e di attestarne la conformità agli originali.

L'attestazione può stare sullo stesso documento oppure su un documento separato, e in entrambi i casi va sottoscritta con firma digitale. È la firma a dare all'attestazione il suo valore. Il potere di autentica dei difensori è coordinato con gli artt. 22 e 23 del Codice dell'amministrazione digitale, che regolano il valore delle copie informatiche di documenti analogici e delle copie analogiche di documenti informatici. Senza la firma, l'attestazione è carta senza efficacia.

Valore giuridico e validità nel tempo

Sul valore giuridico la regola è chiara: la firma digitale, in quanto firma elettronica qualificata, equivale alla firma autografa ai sensi dell'art. 25 del regolamento eIDAS, e il documento così firmato soddisfa il requisito della forma scritta. L'art. 20 del CAD aggiunge la presunzione di riconducibilità al titolare, che sposta su di lui l'onere di provare un uso non autorizzato del dispositivo.

Il problema pratico è un altro: cosa succede quando il certificato scade. Un documento firmato quando il certificato era valido non perde valore alla scadenza del certificato, a condizione di poter dimostrare che al momento della firma il certificato era in corso di validità e non revocato. Il rischio è proprio la prova di quel momento. Qui entra la marca temporale.

La marca temporale protegge la firma dal tempo

La marca temporale è una validazione emessa da un'autorità di marcatura (TSA) che associa alla firma una data e un'ora certe. Apposta mentre il certificato è ancora valido, dimostra che la firma esisteva prima della scadenza e la rende opponibile anche dopo. La marca ha una durata lunga, di norma venti anni. Per gli atti che devono conservare valore nel tempo, la marca temporale non è un vezzo: è la prova che tiene.

Nel processo telematico la questione è in parte assorbita, perché il deposito genera ricevute PEC che datano in modo certo l'invio dell'atto. Ma per i documenti destinati a valere a distanza di anni fuori dal fascicolo, come una scrittura privata firmata digitalmente, la validazione temporale e una corretta conservazione a norma sono ciò che evita di ritrovarsi con una firma incontestabile oggi e indimostrabile domani.

SPID, CIE ed eIDAS 2

SPID e carta d'identità elettronica (CIE) sono strumenti di identità digitale, non di firma. Servono a identificarsi e ad accedere ai servizi, per esempio al portale dei servizi telematici. È però possibile firmare con SPID, attraverso un servizio di firma con SPID regolato da AgID: in quel caso SPID diventa il mezzo per apporre una firma con valore legale, distinta dalla firma digitale su dispositivo qualificato. Per gli atti del processo, lo strumento di riferimento resta la firma digitale.

Lo scenario è destinato a cambiare con eIDAS 2, il regolamento UE 2024/1183 entrato in vigore a maggio 2024, che introduce il portafoglio europeo di identità digitale (EUDI Wallet). Entro dicembre 2026 tutti gli Stati membri devono metterlo a disposizione dei cittadini. Il wallet permetterà di conservare e presentare, in modo selettivo, documenti di identità e attributi qualificati, incluse le qualifiche professionali, e integrerà funzioni di firma. Per l'avvocato significa che, nei prossimi anni, identità e firma tenderanno a convergere in un unico strumento riconosciuto in tutta l'Unione, senza sostituire da subito i dispositivi di firma digitale già in uso.

Domande frequenti

Che differenza c'è tra firma elettronica e firma digitale?

Firma elettronica è il termine generale del regolamento eIDAS, che comprende tre livelli: semplice, avanzata e qualificata. La firma digitale è una specie italiana della firma elettronica qualificata, fondata sulla crittografia a chiavi asimmetriche, ed equivale alla firma autografa ai sensi dell'art. 25 eIDAS.

CAdES o PAdES: quale formato usare per il deposito?

Entrambi sono validi ed equivalenti nel processo telematico, come stabilito dalle Sezioni Unite della Cassazione con la sentenza n. 10266/2018. Il PAdES mantiene il file come PDF leggibile, il CAdES produce una busta .p7m e permette di firmare qualsiasi tipo di file. Va sempre verificato il formato atteso dal redattore e dall'ufficio.

Quanto dura la firma digitale e come si rinnova?

Il certificato di firma ha validità di tre anni. I dispositivi fisici come smart card e token durano complessivamente sei anni (tre più tre). Il rinnovo del certificato si fa online, di norma entro i novanta giorni prima della scadenza e prima del giorno di scadenza, senza un nuovo riconoscimento. Dopo la scadenza serve un nuovo certificato.

Un documento firmato resta valido dopo la scadenza del certificato?

Sì, se al momento della firma il certificato era valido e non revocato. Il punto è poterlo dimostrare: la marca temporale, apposta mentre il certificato è ancora valido, prova che la firma esisteva prima della scadenza e la rende opponibile anche in seguito.

Posso firmare gli atti con SPID o CIE?

SPID e CIE sono strumenti di identità digitale, non di firma. Esiste la firma con SPID regolata da AgID, ma per gli atti del processo telematico lo strumento di riferimento resta la firma digitale su dispositivo qualificato. Con eIDAS 2 e il portafoglio europeo di identità digitale, atteso entro dicembre 2026, identità e firma tenderanno a integrarsi.

Fonti

Alessio D'Aleo

CEO, The Future Law Studio

Fondatore di The Future Law Studio. Aiuta gli studi legali italiani a costruire un sistema di acquisizione clienti misurabile. Ogni guida cita fonti ufficiali e viene aggiornata quando la normativa cambia.

Contenuti giuridici revisionati da Avv. Claudio Luperto

Redatti con l'ausilio di strumenti di intelligenza artificiale e sottoposti a revisione editoriale umana, con fonti ufficiali citate e verificate.