Ordinanza
sui servizi di certificazione nel campo della firma
elettronica
(Ordinanza sulla firma elettronica, OFiEle)

Il Servizio di accreditamento svizzero (SAS) dell’Ufficio federale di metrologia e di accreditamento accredita gli organismi che riconoscono i prestatori di servizi di certificazione conformemente alle disposizione dell’ordinanza del 17 giugno 1996² sull’accreditamento e la designazione.

Se non esiste alcun organismo di riconoscimento accreditato, l’Ufficio federale delle comunicazioni (Ufficio federale) riconosce i prestatori di servizi di certificazione.

I prestatori di servizi di certificazione che vogliono essere riconosciuti concludono un’assicurazione responsabilità civile per un importo pari almeno a² milioni di franchi per evento assicurato e a 8 milioni di franchi per anno di assicurazione.

Invece dell’assicurazione essi possono produrre una garanzia equivalente.

I certificati qualificati sono rilasciati soltanto se la lunghezza della chiave per la creazione e per la verifica della firma e il tipo di algoritmo riconosciuto utilizzato sono tali da resistere agli attacchi crittografici durante la validità del certificato qualificato.

L’Ufficio federale disciplina i particolari mediante prescrizioni tecniche e amministrative e stabilisce i requisiti applicabili ai dispositivi per la creazione delle firme. Può inoltre fissare i requisiti per il processo di verifica della firma.

L’Ufficio federale disciplina il formato dei certificati qualificati.

I prestatori di servizi possono rilasciare certificati qualificati destinati a loro stessi in quanto persone giuridiche.

I prestatori di servizi di certificazione riconosciuti esigono dalle persone che chiedono un certificato qualificato che esibiscano personalmente un documento di identità o un passaporto.

Inoltre esigono dalle persone con qualità specifiche che producano la prova di tali qualità, ad esempio in caso di procura. Se la qualità specifica è in relazione a un’iscrizione nel registro di commercio, occorre inoltre esibire:

1. un estratto del registro di commercio attuale e autenticato;

2. la dichiarazione di approvazione: 1. per le imprese individuali: da parte del titolare; 2. per le società di persone: da parte dei soci; 3. per le persone giuridiche: da parte dell’organo direttivo o amministrativo supremo.

I prestatori di servizi di certificazione riconosciuti possono accettare da persone senza qualità specifiche, di cui hanno determinato l’identità negli ultimi sei mesi conformemente al capoverso¹, una domanda corredata di firma elettronica qualificata per il rilascio di un nuovo certificato qualificato.

L’identità delle persone che utilizzano uno pseudonimo deve essere determinata conformemente ai capoversi 1–3.

I prestatori riconosciuti informano i loro clienti sulla modalità di richiesta dell’annullamento dei certificati qualificati. Essi devono essere in grado di ricevere in qualsiasi momento le domande di annullamento.

Garantiscono a terzi l’accesso online alle informazioni relative all’annullamento dei certificati qualificati sino alla scadenza della validità. Le informazioni comprendono il numero di serie del certificato, la menzione relativa all’annullamento, nonché la data e l’ora dell’annullamento. Devono essere autenticate mediante la firma elettronica qualificata del prestatore riconosciuto.

I prestatori di servizi di certificazione riconosciuti devono essere in grado di dare informazioni relative ai certificati qualificati non più validi durante undici anni dalla scadenza.

I prestatori di servizi di certificazione riconosciuti conservano durante undici anni le registrazioni concernenti la loro attività come pure i relativi documenti giustificativi.

Per le attività relative ai certificati, il termine inizia a decorrere al momento della scadenza del certificato.

Per i certificati rilasciati sulla base di una domanda con firma elettronica (art. 5 cpv. 3), le registrazioni e i documenti giustificativi per l’identificazione del titolare conformemente all’articolo 5 capoverso¹ sono conservati finché il termine di undici anni è scaduto anche per l’ultimo certificato rilasciato secondo tale modalità.

I prestatori di servizi di certificazione riconosciuti che cessano la loro attività ne danno immediatamente notifica, ma con un preavviso di almeno 30 giorni, al SAS e all’organismo di riconoscimento.

Se non vi è alcun prestatore di servizi di certificazione riconosciuto cui il SAS può trasferire i compiti conformemente all’articolo 13 capoverso 2 FiEle, l’Ufficio federale assume le mansioni seguenti:

1. continua a trattare le domande di annullamento dei certificati qualificati;

2. assicura che le informazioni relative all’annullamento dei certificati qualificati possano essere consultati da terzi su supporto elettronico sino alla loro scadenza;

3. aggiorna il libro giornale delle attività e lo conserva unitamente ai relativi documenti giustificativi.

Può annullare di propria volontà i certificati ancora validi.

I titolari di certificati qualificati non devono affidare a nessuna altra persona il dispositivo per la creazione della firma. Nella misura in cui sia ragionevolmente esigibile, lo portano con sé o lo conservano sotto chiave.

In caso di perdita o di furto del dispositivo per la creazione della firma, il titolare del certificato qualificato ne deve chiedere senza indugio l’annullamento. Lo stesso vale se il titolare sa o ha il sospetto fondato che un terzo abbia potuto avere accesso alla chiave per la creazione della firma.

I dati per l’attivazione del dispositivo per la creazione della firma (dati di attivazione) non devono riferirsi a dati personali del titolare del certificato qualificato.

Le trascrizioni dei dati di attivazione devono essere conservate in un luogo sicuro e separatamente dal dispositivo per la creazione della firma.

Il titolare di un certificato qualificato modifica i dati di attivazione se sa o se ha il sospetto fondato che un terzo ne sia venuto a conoscenza. Se non può modificare egli stesso i dati di attivazione deve chiedere senza indugio l’annullamento del certificato.

Per quanto concerne la conservazione dei documenti giustificativi da esibire per il rilascio di un certificato qualificato per persone iscritte nel registro di commercio e la cui qualità sia in relazione con tale iscrizione (art. 5 cpv. 2), è fatto salvo l’articolo 36 dell’ordinanza del 7 giugno 1937³ sul registro di commercio.

Solo l’iscrizione nel registro di commercio è determinante quale prova della qualità specifica del titolare del certificato qualificato.