La digitalizzazione dei documenti pone notevoli problemi  per la validità degli stessi. Per riuscire a risolvere al meglio la questione in modo da non lasciare zone d’ombra è stata quindi introdotta la marca temporale, grazie alla quale è possibile sapere con esattezza quando un documento è stato generato e l’orario esatto della sua creazione.

Il collocamento temporale, poiché di questo in fondo si tratta, rappresenta un mix di informazioni che una volta accluse al documento apportano allo stesso la possibilità di accertare in modo univoco la riconducibilità del consenso al firmatario. Inoltre, fornisce un vero e proprio sigillo a certificati dotati di una scadenza propria.

È il Codice dell’Amministrazione Digitale a indicare la marca temporale alla stregua del processo il quale consente di associare temporalmente data ed ora specificatamente determinate ad un documento informatico. In tal modo diventa possibile collocare un documento, che sia firmato elettronicamente o meno, in un preciso momento nel tempo, definendolo e rendendolo valido a fini di legge.

Una volta che la marca temporale è stata apposta su un documento digitalizzato, indica con assoluta chiarezza il momento in cui è stato creato, trasmesso o archiviato, oltre a garantirne la sua validità nel tempo. Andiamo quindi a vedere più nel dettaglio di cosa si tratta, quando deve essere utilizzata e la sua reale funzione.

Cos’è la marca temporale?

Per marca temporale si intende il servizio che consente di associare data e ora non solo certe, ma anche legalmente valide ad un documento informatico, permettendo in tal modo di associare una validazione temporale opponibile a terzi. (cfr. Art. 20, comma 3 Codice dell’Amministrazione Digitale Dlgs 82/2005).

Il sog­get­to che provvede ad ero­gare la mar­ca temporale è indicato anche come Time-Stam­ping Autho­ri­ty (TSA) ed è disciplinato dal D.P.C.M. 30 marzo 2009, “Regole tecniche in materia di generazione, apposizione e verifica delle firme digitali e validazione temporale dei documenti informatici”.

Da un punto di vista pratico, il servizio di marcatura temporale di un documento informatico consiste nella generazione, da parte dell’autorità di certificazione consultata dagli interessati, di una firma digitale la quale può anche essere aggiuntiva a quella del sottoscrittore. La marca temporale nel momento in cui provvede alla convalida del documento certifica anche il fatto che l’ID del suo firmatario era valido al momento della firma. Il tutto senza toccare il contenuto del documento o modificandone la firma.

L’apposizione di una marca temporale ad un documento provvisto di firma digitale, rende quest’ultima sempre e comunque valida anche ove il relativo certificato risulti sospeso, scaduto o revocato. Naturalmente, però, la marca deve essere stata acclusa in un momento precedente alla sospensione, alla scadenza o alla revoca.

Occorre subito sottolineare come spesso la marca temporale sia associata alla firma digitale, essendo però altra cosa. La seconda, infatti, rappresenta in informatica ciò che la firma autografa è nel mondo reale: apposta su carta, in questo caso virtuale, assume valore legale garantendo l’autenticità, l’integrità e la validità di un documento. In particolare, accerta in maniera inequivocabile e, soprattutto inoppugnabile, che una determinata persona ha sottoscritto lo stesso e ne ha approvato i contenuti.

La marca temporale, però, può essere considerata non meno importante, alla luce del fatto che ogni firma prevede una scadenza naturale. In pratica, nel caso in cui la firma digitale non sia esclusivamente legata ad una semplice procedura in un determinato momento, non basta apporla per garantirne il valore nel tempo e l’opponibilità nei confronti di terzi del documento digitale firmato.

Il caso più classico è quello rappresentato da un contratto di compravendita il quale deve essere certificato a distanza di un lasso di tempo ben preciso: nel caso in cui la firma sia scaduta, potrebbero insorgere notevoli problemi, tali da generare il ricorso ad un tribunale civile. Il tutto può essere evitato proprio grazie alla marca temporale.

Quanti tipi di marche temporali esistono?

In base al regolamento eIDAS, tramite l’articolo 2, è possibile distinguere tra due tipi di validazione temporale:

  1. la validazione temporale elettronica, definita dal regolamento stesso come “un insieme di dati in forma elettronica che collegano altri dati in forma elettronica a una particolare ora e data, così da provare che questi ultimi esistevano in quel momento”;
  2. la validazione temporale qualificata, a sua volta definita alla stregua di marca temporale in grado di rispettare le caratteristiche elencate nell’articolo 42 del regolamento eIDAS e grazie alla quale la validazione temporale elettronica dà forma a una presunzione legale relativa alla certezza della data e dell’ora.

Come la FEQ (Firma Elettronica Qualificata), anche la validazione temporale qualificata va a beneficiare della data e dell’ora che sono indicate e precisate, oltre che dell’integrità dei dati a cui si riferiscono data e ora in questione. Tali caratteristiche sono descritte nell’articolo 41 del regolamento eIDAS assumendo un’importanza fondamentale in termini di prova ove dovessero verificarsi  contenzioni legati alla marca temporale.

Quali informazioni contiene la marca temporale?

La marca temporale, contiene le seguenti informazioni:

  • l’Identificativo dell’emittente;
  • un numero di serie;
  • l’algoritmo di sottoscrizione, l’Identificativo del certificato relativo alla chiave di verifica della stessa e quello della funzione di hash che è stata usata al fine di generare l’impronta dell’evidenza informatica (si intende per tale una sequenza di simboli binari che può essere sottoposta ad elaborazione durante un processo informatico) da sottoporre a processo di validazione;
  • il riferimento temporale per la sua generazione;
  • il valore dell’impronta dell’evidenza informatica (sequenza di simboli binari che può essere elaborata in un processo informatico).

Quando si rende necessaria l’apposizione della marca temporale?

Apporre una marca temporale è obbligatorio nei seguenti casi:

  • ove si tratti di finanziamenti a medio o lungo termine destinati alle imprese;
  • nelle fatture che sono state emesse sul web;
  • nelle richieste relative all’erogazione di prestiti e finanziamenti e in quelle di anticipo per forniture o esportazioni;
  • nei documenti per la valutazione del rischio;
  • negli ordini di acquisto e nelle ricevute.

La marca temporale a livello legislativo

A definire da un punto di vista legislativo la marca temporale è il regolamento eIDAS (electronic IDentification Authentication and Signature), approvato dall’UE ed emanato con il numero 910/2014 con il preciso intento di dare vita ad una base normativa a livello comunitario per i servizi fiduciari e i mezzi di identificazione elettronica. In particolare, la normativa si incarica di stabilire un terreno comune in cui possano avere luogo interazioni elettroniche prive di pericoli per imprese, cittadini e istituzioni.

L’articolo da tenere presente è il 42, ovvero quello relativo ai “requisiti per la validazione temporale elettronica qualificata”. Una validazione, per essere tale, deve in buona sostanza riuscire a soddisfare i seguenti requisiti:

  • collegare data e ora ai dati in maniera tale da escludere ragionevolmente la possibilità che siano operate modifiche non rilevabili degli stessi;
  • basarsi su una fonte accurata di misurazione del tempo dotata di un collegamento al tempo universale coordinato;
  • essere oggetto di apposizione tramite una firma elettronica avanzata, utilizzando un sigillo elettronico avanzato del prestatore di servizi fiduciari qualificato, oppure facendo comunque leva su un metodo equivalente.

La marca temporale, di conseguenza costituisce la garanzia che una firma digitale apposta su un documento mantenga la sua effettiva validità anche con il progredire del tempo. Lo fa certificando ora e giorno dell’operazione, collocando in maniera precisa il documento nel tempo. Dal momento in cui la stessa è stata apposta, il documento in oggetto acquisisce una sua validità incontestabile.

Quanto dura la marca temporale?

Con la sua risposta 725 risalente al 18 ottobre del 2021, è stata l’Agenzia delle Entrate a chiarire in maniera inequivocabile come lo strumento rappresentato da una firma digitale corredata da marca temporale, ove esso sia rispondente ai requisiti dalle norme e alle regole tecniche in vigore al momento, sia idoneo a garantire in toto la certezza della data di emissione di un attestato di conformità.

È ancora, del resto, il regolamento eIDAS ad attestarlo con estrema chiarezza: “Una validazione temporale elettronica qualificata gode della presunzione di accuratezza della data e dell’ora che indica e di integrità dei dati ai quali tale data e ora sono associate”.

Una volta stabilito che la marca temporale rende valido un documento dal momento della sua apposizione, occorre però cercare di capire per quanto sia operante tale validità. Anche in questo caso è la normativa a stabilirlo con certezza, in particolare l’articolo 49 del 30 marzo 2009: dura 20 anni. In pratica, apponendo la marca temporale il documento in oggetto acquisisce l’inoppugnabilità piena per due decenni rispetto agli atti di terzi. Alcuni enti certificatori, però, estendono tale validità anche oltre i canonici 20 anni.

Occorre anche sottolineare come l’apposizione della marca in presenza di una firma digitale, vada non solo a prolungare gli effetti della stessa anche una volta che sia intervenuta la scadenza dei certificati di firma, ma anche a consentirne la conservazione nel tempo. Di qualsiasi documento si tratti, è proprio la marca temporale a conferirgli una proiezione nel tempo di lunga durata.

La marca temporale: specifiche tecniche

Come ricordato all’inizio, a sottoscrivere la marca temporale è la Time-Stamping Authority (TSA) e per poterla generare deve essere utilizzato l’algoritmo di hash SHA-256. Analogamente a quanto avviene per i file firmati digitalmente, che hanno come estensione .P7M, anche quelli marcati temporalmente ne hanno una propria, .TSD (TimeStampedData).

È però anche possibile separare il file della marca da quello del documento ad essa sottoposto. In questo caso la marcatura sarà distinta dall’estensione .TST (TimeStampToken), oppure .TSR (TimeStampResponse). Il secondo formato è però ormai in via di sparizione e potrebbe non essere accettato dai sistemi automatici cui sono destinati i documenti in questione, in quanto se è valido legalmente ha una codifica differente.

Se possono essere separati, occorre anche sapere che i due file che scaturiranno dalla scissione sono comunque correlati e che la sola marca temporale non è valida. Inoltre, il consiglio degli esperti è di sottoporre al processo di marcatura temporale soltanto i file .PDF, ovvero statici. Quelli non statici, infatti, ad esempio .doc, potrebbero vedere la validazione compromessa da successive modifiche.

L’opponibilità a terzi

Tra le caratteristiche fondamentali della marca temporale c’è la sua opponibilità a terzi. In buona sostanza, ove se ne presenti la necessità, magari per l’insorgere di un contenzioso legale in un ambito amministrativo, anche le terze parti, e non solo quelle contraenti, possono farvi ricorso al fine di riuscire a dimostrare la veridicità della data che è stata apposta sul documento. Una dimostrazione la quale non necessita di firma digitale per essere valida da un punto di vista puramente legale.

Ove se ne presenti la necessità, per la verifica della validità di firma elettronica e marca temporale è possibile utilizzare programmi in grado di leggere documenti PDF, a partire naturalmente dall’ormai celebre Adobe Acrobat. I passi da seguire in questo caso sono i seguenti:

  1. fare clic su “Signatures”, dicitura che appare sulla sinistra dello schermo;
  2. fare la stessa operazione sull’opzione “Show signature properties” nel menù a tendina;
  3. fare la verifica relativa al “Signing time” del documento.

Come conservare i documenti con la marca temporale

Sin qui abbiamo visto cosa sia la marca temporale, a cosa serve realmente e le sue caratteristiche, a partire dall’opponibilità a terzi. C’è però una questione non meno importante sulla stessa, ovvero il modo in cui devono essere conservati i documenti che ne vedano la presenza. Anche in questo caso può venire in nostro soccorso la normativa esistente, in particolare l’articolo 53, comma 1 del DPCM emanato il 22 febbraio del 2013, avente come tema “Regole tecniche in materia di generazione, apposizione e verifica delle firme elettroniche avanzate, qualificate e digitali”.

Al suo interno, infatti, si precisa che ognuna delle marche temporali le quali siano state emesse da un sistema di validazione vanno conservate in un apposito archivio digitale non modificabile, per un periodo tale da non risultare inferiore a venti anni. L’interessato, inoltre, può richiederne la conservazione per un periodo maggiore, alle condizioni che sono previste dal certificatore. Questa seconda eventualità deriva dal fatto che in ambito privato la marca temporale deve essere oggetto di apposizione obbligatoria su tutti i documenti per i quali sussiste l’obbligo di conservazione digitale.

Come e dove acquistare marche temporali

Naturalmente, ove si intenda usufruire del servizio di marca temporale occorre procedere all’acquisto di un pacchetto delle stesse, presso uno degli organismi autorizzati a venderle ed essere in possesso di un account.

Ad esempio, tra di essi c’è anche Poste Italiane, tramite il servizio Postecert, che in qualità di certificatore, e attraverso il contatto commerciale, rilascia al cliente le credenziali di accesso al servizio. Il cliente provvede alla richiesta della marcatura temporale dei documenti tramite l’applicativo di firma digitale distribuito dall’ente oppure tramite un proprio servizio/applicazione, in entrambi i casi utilizzando le credenziali di accesso al servizio che gli sono state rilasciate all’uopo. Le marche temporali di Postecert sono riconosciute in tutti i Paesi dell’Unione Europea.

Altro certificatore autorizzato è poi Aruba, le cui marche hanno una particolarità: durano infatti 30 anni, 10 in più della durata minima garantita da altre realtà. In questo caso caso tutti coloro che usufruiscono anche del servizio di firma digitale hanno a propria disposizione software specifici. Chi invece non usufruisce della firma digitale non deve fare altro che scaricare ed installare nel proprio computer l’apposito programma, direttamente dal link presente all’interno della mail di attivazione del servizio. Una volta che sia stato installato dovrà essere configurato con i dati dell’account, conferendo la possibilità di utilizzare le proprie marche temporali, in qualsiasi momento se ne presenti la necessità.

Sia in questi che in altri casi, le marche temporali non possono essere acquistate singolarmente, bensì in blocchi che vanno da un minimo di cinquanta ad un massimo di cinquecento. Ogni blocco di marche comporta un costo abbastanza basso, destinato a diminuire in proporzione acquistandone quantitativo più elevati.

Nel caso di Aruba, ad esempio, il pacchetto più piccolo, da 50 marche, comporta un esborso pari a 12,50 euro più Iva, con un costo unitario di venticinque centesimi più imposte. Il blocco da 500, invece, costa 90 euro più IVA, con un prezzo il quale cala perciò di sette centesimi per ogni marca. I costi sono comunque molto standardizzati e senza particolari differenze tra un certificatore e l’altro.

Leggi anche: In arrivo l’obbligo della fattura elettronica per forfettari: le cose da sapere