Un filo diretto lega la firma digitale al protocollo informatico, che parte formalmente tra pochi giorni, il 1. gennaio prossimo. E' facile quindi prevedere che il DPCM con le nuove regole tecniche (atteso dal 2001...) sarà sulla Gazzetta ufficiale prima del 31 dicembre.
Dunque può essere utile affrontare subito gli aspetti più importanti delle regole di seconda generazione, nel testo oggi disponibile, che dovrebbe essere quello definitivo, salvo ritocchi dell'ultima ora. Partiamo da alcune disposizioni di grandissimo rilievo, relative alla validità nel tempo del documento sottoscritto con firma digitale.

E' stato infatti in buona parte risolto il problema, sollevato più volte in passato su queste pagine, della perdita di efficacia della firma digitale alla scadenza del relativo certificato, con la conseguente necessità di sottoporre il documento stesso a una serie infinita di validazioni temporali al fine di conservarne nel tempo l'efficacia originaria.
Fra l'altro il meccanismo suscitava qualche perplessità, sia perché la firma autografa conserva la sua efficacia a tempo indeterminato (con un grave pregiudizio per l'equiparazione del documento informatico a quello tradizionale), sia sul piano sostanziale: la scadenza del certificato determinava una inaccettabile perdita di efficacia dello stesso contenuto del documento.

Recitava infatti la prima versione del testo unico sulla documentazione amministrativa (riprendendo la norma originaria del DPR 513/97) all'art. 22, comma 1, lettera f):
[si intende] per certificazione, il risultato della procedura informatica, applicata alla chiave pubblica e rilevabile dai sistemi di validazione, mediante la quale... si attesta il periodo di validità della predetta chiave ed il termine di scadenza del relativo certificato, in ogni caso non superiore a tre anni; 

Aggiungevano le regole tecniche del '99:
Art. 60 - Estensione della validità del documento informatico
1. La validità di un documento informatico, i cui effetti si protraggano nel tempo oltre il limite della validità della chiave di sottoscrizione, può essere estesa mediante l'associazione di una o più marche temporali.
2. Prima della scadenza della marca temporale, il periodo di validità può essere ulteriormente esteso associando una nuova marca all'evidenza informatica costituita dal documento iniziale, dalla relativa firma e dalle marche temporali già ad esso associate.
3. La presenza di una marca temporale valida associata ad un documento informatico secondo quanto previsto dal comma 2, garantisce la validità del documento anche in caso di compromissione della chiave di sottoscrizione, purché la marca temporale sia stata generata antecedentemente a tale evento.

Con le modifiche del TUDA introdotte dal DPR 137/03, la lettera f) delle definizioni era stata abrogata, con la conseguente scomparsa del limite di tre anni di validità del certificato. Restavano però le disposizioni dell'art. 60 delle regole tecniche, che nel nuovo testo cambiano completamente.
In primo luogo la validità nel tempo del certificato è stabilita dal certificatore (art. 15):
3. Il certificatore determina il periodo di validità dei certificati qualificati in funzione della robustezza delle chiavi di creazione e verifica impiegate e dei servizi cui essi sono destinati.
Dunque non c'è più il limite dei tre anni e sono possibili certificati di durata maggiore. Ma non è tutto:

Art. 52 - Estensione della validità del documento informatico
1. La validità di un documento informatico, i cui effetti si protraggano nel tempo oltre il limite della validità della chiave di sottoscrizione, può essere estesa mediante l'associazione di una marca temporale.

Basta dunque una sola marca temporale per estendere a tempo indeterminato l'efficacia giuridica di un documento informatico?
La risposta non è semplice. Prima di tutto si deve prendere in considerazione un'altra nuova regola del già citato art. 15:
4. Il certificatore custodisce le informazioni di cui all'articolo 29-bis, comma 2, lettera m) del testo unico, per un periodo non inferiore a dieci anni dalla data di scadenza o revoca del certificato qualificato.

Questa disposizioni allungano la norma richiamata:
Il certificatore che rilascia... certificati qualificati è tenuto inoltre a:
m) tenere registrazione, anche elettronica, di tutte le informazioni relative al certificato qualificato per dieci anni in particolare al fine di fornire prova della certificazione in eventuali procedimenti giudiziari;

La "prova della certificazione" comporta l'efficacia probatoria della firma? E' difficile sostenere il contrario.
Così è stato risolto, con qualche contorsione, il problema della perdita di validità della firma alla scadenza del certificato, almeno sul piano probatorio. Ma anche per quanto riguarda gli effetti giuridici "fisiologici", la firma sembra possa produrre i suoi effetti fino a quando è verificabile attraverso il certificato. In ogni caso, secondo le nuove regole basterà apporre la marca temporale per assicurare l'efficacia del documento fino al momento in cui la marca stessa sarà verificabile attraverso il relativo certificato. E qualche certificatore potrebbe offrire un servizio di marcatura temporale a lunghissima scadenza, naturalmente con i necessari requisiti di sicurezza.

Già, la sicurezza. Ma non si era detto e ripetuto che il limite di tre anni per la validità del certificato e la necessità del rinnovo periodico delle marche temporali, stabiliti dalle vecchie regole, erano dovuti alla crescente insicurezza delle chiavi, dovuta al continuo aumento di potenza dei sistemi di elaborazione?
In realtà si trattava di una precauzione eccessiva: anche disponendo della potenza di calcolo  necessaria a ricostruire abusivamente la chiave privata in un tempo ragionevole, la falsificazione di una firma digitale resta un'operazione di estrema complessità, forse molto più difficile dell'imitazione di una firma autografa così perfetta da ingannare un esperto grafologo.

Ma c'è di più:
Art. 50 - Registrazione delle marche generate
1. Tutte le marche temporali emesse da un sistema di validazione sono conservate in un apposito archivio digitale non modificabile per un periodo non inferiore a cinque anni ovvero, su richiesta dell'interessato, per un periodo maggiore, alle condizioni previste dal certificatore.
2. La marca temporale è valida per l'intero periodo di conservazione a cura del fornitore del servizio.

Ora ammettiamo pure che qualcuno riesca a falsificare la firma digitale apposta a un documento informatico, disponendo di un sistema informatico di potenza enormemente superiore a quella disponibile al momento in cui il certificato era valido. Ma una marca temporale falsa viene immediatamente smascherata dal confronto col registro del certificatore! E così il documento informatico è "blindato".
Nelle norme non c'è nessun limite di tempo: la marca temporale è valida per l'intero periodo di conservazione, che è almeno di cinque anni, o anche di più "su richiesta dell'interessato". Pagando, s'intende...

Forse questa è la novità più sostanziale del nuovo regolamento. Ce ne sono diverse altre, e non tutte marginali, che esamineremo nei prossimi numeri.