Ordinanza sui servizi di certificazione nel campo della firma elettronica

Ordinanza sui servizi di certificazione nel campo della firma elettronica (Ordinanza sulla firma elettronica, OFiEle)

del 3 dicembre 2004

Il Consiglio federale svizzero, visti gli articoli 4, 6 capoverso 1, 7 capoverso 3, 8 capoverso 2, 9 capoverso 3, 11 capoverso 4, 13 capoverso 2 e 20 della legge federale del 19 dicembre 2003¹ sui servizi di certificazione nel campo della firma elettronica (FiEle), ordina:

Art. 1 Organismi di riconoscimento 1 Il Servizio di accreditamento svizzero (SAS) dell’Ufficio federale di metrologia e di accreditamento accredita gli organismi che riconoscono i prestatori di servizi di certificazione conformemente alle disposizione dell’ordinanza del 17 giugno 1996² sull’accreditamento e la designazione. 2 Se non esiste alcun organismo di riconoscimento accreditato, l’Ufficio federale delle comunicazioni (Ufficio federale) riconosce i prestatori di servizi di certifica- zione.

Art. 2 Assicurazione 1 I prestatori di servizi di certificazione che vogliono essere riconosciuti concludono un’assicurazione responsabilità civile per un importo pari almeno a 2 milioni di franchi per evento assicurato e a 8 milioni di franchi per anno di assicurazione.

2 Invece dell’assicurazione essi possono produrre una garanzia equivalente.

Art. 3 Chiave per la creazione e per la verifica della firma 1 I certificati qualificati sono rilasciati soltanto se la lunghezza della chiave per la creazione e per la verifica della firma e il tipo di algoritmo riconosciuto utilizzato sono tali da resistere agli attacchi crittografici durante la validità del certificato qualificato. 2 L’Ufficio federale disciplina i particolari mediante prescrizioni tecniche e ammini- strative e stabilisce i requisiti applicabili ai dispositivi per la creazione delle firme. Può inoltre fissare i requisiti per il processo di verifica della firma.

RS 943.032

2004-2027 5101

Ordinanza sulla firma elettronica RU 2004

Art. 4 Certificati qualificati

1 L’Ufficio federale disciplina il formato dei certificati qualificati.

2 I prestatori di servizi possono rilasciare certificati qualificati destinati a loro stessi in quanto persone giuridiche.

Art. 5 Rilascio di certificati qualificati 1 I prestatori di servizi di certificazione riconosciuti esigono dalle persone che chie- dono un certificato qualificato che esibiscano personalmente un documento di iden- tità o un passaporto. Inoltre esigono dalle persone con qualità specifiche che producano la prova di tali qualità, ad esempio in caso di procura. Se la qualità specifica è in relazione a un’iscrizione nel registro di commercio, occorre inoltre esibire: a. un estratto del registro di commercio attuale e autenticato; b. la dichiarazione di approvazione:

1. per le imprese individuali: da parte del titolare;

2. per le società di persone: da parte dei soci;

3. per le persone giuridiche: da parte dell’organo direttivo o amministra-

tivo supremo. 3 I prestatori di servizi di certificazione riconosciuti possono accettare da persone senza qualità specifiche, di cui hanno determinato l’identità negli ultimi sei mesi conformemente al capoverso 1, una domanda corredata di firma elettronica qualifi- cata per il rilascio di un nuovo certificato qualificato.

4 L’identità delle persone che utilizzano uno pseudonimo deve essere determinata

conformemente ai capoversi 1–3.

Art. 6 Divieto di duplicazione e di conservazione I prestatori di servizi di certificazione riconosciuti non possono né produrre né conservare duplicati delle chiavi per la creazione delle firme dei loro clienti.

Art. 7 Annullamento dei certificati qualificati 1 I prestatori riconosciuti informano i loro clienti sulla modalità di richiesta del- l’annullamento dei certificati qualificati. Essi devono essere in grado di ricevere in qualsiasi momento le domande di annullamento. 2 Garantiscono a terzi l’accesso online alle informazioni relative all’annullamento dei certificati qualificati sino alla scadenza della validità. Le informazioni compren- dono il numero di serie del certificato, la menzione relativa all’annullamento, non- ché la data e l’ora dell’annullamento. Devono essere autenticate mediante la firma elettronica qualificata del prestatore riconosciuto. 3 I prestatori di servizi di certificazione riconosciuti devono essere in grado di dare informazioni relative ai certificati qualificati non più validi durante undici anni dalla scadenza.

Ordinanza sulla firma elettronica RU 2004

Art. 8 Servizi relativi alle liste dei certificati qualificati L’Ufficio federale definisce i requisiti che devono adempiere i prestatori riconosciuti che offrono un servizio relativo alle liste.

Art. 9 Libro giornale delle attività 1 I prestatori di servizi di certificazione riconosciuti conservano durante undici anni le registrazioni concernenti la loro attività come pure i relativi documenti giustifica- tivi. 2 Per le attività relative ai certificati, il termine inizia a decorrere al momento della scadenza del certificato. Per i certificati rilasciati sulla base di una domanda con firma elettronica (art. 5 cpv. 3), le registrazioni e i documenti giustificativi per l’identificazione del titolare conformemente all’articolo 5 capoverso 1 sono conservati finché il termine di undici anni è scaduto anche per l’ultimo certificato rilasciato secondo tale modalità.

Art. 10 Cessazione dell’attività 1 I prestatori di servizi di certificazione riconosciuti che cessano la loro attività ne danno immediatamente notifica, ma con un preavviso di almeno 30 giorni, al SAS e all’organismo di riconoscimento. 2 Se non vi è alcun prestatore di servizi di certificazione riconosciuto cui il SAS può trasferire i compiti conformemente all’articolo 13 capoverso 2 FiEle, l’Ufficio federale assume le mansioni seguenti: a. continua a trattare le domande di annullamento dei certificati qualificati; b. assicura che le informazioni relative all’annullamento dei certificati qualifi- cati possano essere consultati da terzi su supporto elettronico sino alla loro scadenza; c. aggiorna il libro giornale delle attività e lo conserva unitamente ai relativi documenti giustificativi. Può annullare di propria volontà i certificati ancora validi.

Art. 11 Misure di sicurezza I titolari di certificati qualificati non devono affidare a nessuna altra persona il dispositivo per la creazione della firma. Nella misura in cui sia ragionevolmente esigibile, lo portano con sé o lo conservano sotto chiave. In caso di perdita o di furto del dispositivo per la creazione della firma, il titolare del certificato qualificato ne deve chiedere senza indugio l’annullamento. Lo stesso vale se il titolare sa o ha il sospetto fondato che un terzo abbia potuto avere accesso alla chiave per la creazione della firma. 3 I dati per l’attivazione del dispositivo per la creazione della firma (dati di attiva- zione) non devono riferirsi a dati personali del titolare del certificato qualificato.

Ordinanza sulla firma elettronica RU 2004

Le trascrizioni dei dati di attivazione devono essere conservate in un luogo sicuro e separatamente dal dispositivo per la creazione della firma. 5 Il titolare di un certificato qualificato modifica i dati di attivazione se sa o se ha il sospetto fondato che un terzo ne sia venuto a conoscenza. Se non può modificare egli stesso i dati di attivazione deve chiedere senza indugio l’annullamento del certificato.

Art. 12 Registro di commercio Per quanto concerne la conservazione dei documenti giustificativi da esibire per il rilascio di un certificato qualificato per persone iscritte nel registro di commercio e la cui qualità sia in relazione con tale iscrizione (art. 5 cpv. 2), è fatto salvo l’artico- lo 36 dell’ordinanza del 7 giugno 19373 sul registro di commercio. Solo l’iscrizione nel registro di commercio è determinante quale prova della qualità specifica del titolare del certificato qualificato.

Art. 13 Esecuzione L’Ufficio federale emana le necessarie prescrizioni tecniche e amministrative. A tal fine tiene conto della pertinente normativa internazionale e può dichiarare applicabi- li norme internazionali.

Art. 14 Diritto previgente: abrogazione L’ordinanza del 12 aprile 20004 sui servizi di certificazione elettronica (OSCert) è abrogata.

Art. 15 Entrata in vigore La presente ordinanza entra in vigore il 1° gennaio 2005.

3 dicembre 2004 In nome del Consiglio federale svizzero: Il presidente della Confederazione, Joseph Deiss La cancelliera della Confederazione, Annemarie Huber-Hotz

3 RS 221.411 4 RU 2000 1257

Ordinanza sulla firma elettronica RU 2004

Per mantenere il parallelismo d’impaginazione tra le edizioni italiana, francese e tedesca della RU, questa pagina rimane vuota.

Ordinanza sulla firma elettronica RU 2004