eIDAS 2.0: Guida Completa per Aziende Italiane (2026)

L'eIDAS 2.0 è entrato in vigore il 20 maggio 2024, ma la piena applicazione è scaglionata. Entro il 2025 la Commissione europea ha pubblicato gli atti delegati e di esecuzione tecnici. Entro il 2026 tutti gli Stati membri devono rendere disponibile almeno un'implementazione del EU Digital Identity Wallet. Entro il 2027 l'EUDIW diventa strumento di identificazione obbligatorio accettato da tutti i servizi pubblici e, progressivamente, dai servizi privati essenziali (banche, telecomunicazioni, energia, trasporti). Per le aziende italiane, la scadenza operativa chiave è il 2026: da quel momento i sistemi di firma devono accettare credenziali EUDIW e i TSP devono offrire sigillo elettronico qualificato conforme al nuovo regolamento.

eIDAS 2.0 mantiene la tripartizione del 2014, ma ne rafforza i criteri. La **firma elettronica semplice (SES)** è qualsiasi metodo (es. scansione di una firma autografa) e ha valore probatorio limitato. La **firma elettronica avanzata (AES)** richiede identificazione univoca del firmatario, collegamento univoco ai dati, rilevamento alterazioni. La **firma elettronica qualificata (QES)** è basata su un certificato qualificato rilasciato da un TSP autorizzato, su dispositivo sicuro (HSM o firma remota), ed è l'unica ad avere equivalenza legale piena con la firma autografa in tutta l'UE. Per B2B e PA, la QES è la scelta obbligata.

L'EUDIW è un'app mobile rilasciata dallo Stato (per l'Italia, evoluzione di SPID/CIE) che permette al cittadino di attestare la propria identità, attributi (es. albo professionale, residenza, IBAN) e credenziali (es. titoli di studio) verso terzi, in modo selettivo e con crittografia end-to-end. Le aziende potranno accettare un'identità EUDIW al posto di SPID/CIE/Passaporto per KYC e onboarding, con il vantaggio di attributi pre-verificati (quindi minor costo e tempo). L'integrazione richiede API conformi allo standard OpenID for Verifiable Credentials (OIDC4VC) e ISA².

Introdotto da eIDAS 1.0 e rafforzato in eIDAS 2.0, il sigillo elettronico è l'equivalente della firma digitale ma per le persone giuridiche. Viene apposto da un'azienda su un documento per garantirne provenienza e integrità (es. fattura elettronica emessa, attestazione di conformità). A differenza della firma digitale, non richiede l'identificazione di una persona fisica specifica ma dell'organizzazione. In SignSiSure il sigillo elettronico qualificato eIDAS 2.0 è supportato nativamente, con scelta del certificato e del dispositivo (HSM locale, HSM cloud o firma remota qualificata).

Una firma qualificata ha pieno valore legale, ma in caso di contenzioso l'onere della prova ricade spesso su chi la invoca. Per questo SignSiSure notarizza ogni evento di firma su blockchain permissioned (Hyperledger Fabric): il documento firmato, il certificato, il timestamp, l'IP, l'identità del dispositivo e l'identità del firmatario sono hashati e registrati in un log immutabile. Chiunque può verificare a posteriori (anche anni dopo) che quella firma è stata apposta in quel momento, da quel firmatario, su quel documento integro. La blockchain fornisce prova crittografica di anteriorità, eliminazione del rischio di manomissione post-firma.

La conservazione digitale dei documenti firmati digitalmente è regolata in Italia dalle regole tecniche AgID (DPCM 3 dicembre 2013) e in ambito europeo dallo standard ETSI EN 319 532. I requisiti chiave sono: integrità (impossibilità di modifica), autenticità (certezza del firmatario), leggibilità nel tempo (formati aperti o convertibili), accessibilità (indicizzazione e ricerca). La conservazione a norma in SignSiSure avviene per 10 anni (termine fiscale standard) o per il termine specifico del settore, con rinnovo automatico dei riferimenti temporali e marcatura archivistica. L'audit trail su blockchain permette di dimostrare la catena di custodia anche dopo la dismissione del sistema che ha generato il documento.

Le soluzioni internazionali (DocuSign, Adobe Sign, HelloSign) offrono firma qualificata eIDAS ma con server in US/UE e dati che escono dal perimetro italiano, problema critico per PA, sanità, legal e finance. SignSiSure è una piattaforma di firma con deploy on-premise o cloud privato in UE, certificata AgID/ACN, con conservazione a norma integrata e notarizzazione blockchain. Per aziende italiane che hanno vincoli di sovranità del dato, settori regolati o workflow con documenti confidenziali, SignSiSure offre una compliance eIDAS 2.0 completa senza rinunciare al controllo dell'infrastruttura.