Dispensa - Codice dell’amministrazione digitale - 1340 Funzionari Informatici (271 posti) - RIPAM

Il Codice dell'Amministrazione Digitale (CAD) nasce con il d.lgs. 82/2005 e, mediante successive modifiche (d.lgs. 179/2016, d.lgs. 217/2017, d.lgs. 106/2020, ecc.), costituisce il quadro normativo di riferimento per la digitalizzazione della Pubblica Amministrazione (PA). La sua posizione nella gerarchia delle fonti e le relazioni con gli altri atti normativi sono fondamentali per comprendere come le disposizioni si traducano in obblighi operativi.

Al vertice della gerarchia troviamo la Costituzione, che riconosce il diritto di tutti i cittadini all'accesso alle informazioni e ai servizi pubblici, anche in forma digitale (art. 3). Le leggi ordinarie (es. legge n. 241/1990) e i decreti legislativi (come il CAD) hanno valore subordinato alla Costituzione ma prevalgono su regolamenti e linee guida. Il d.lgs. 82/2005, in quanto decreto legislativo, e' emanato dal Governo su delega del Parlamento (art. 76 Cost.). Le norme secondarie – decreti del Presidente del Consiglio, regolamenti dell'AgID, linee guida tecniche – hanno valore di attuazione e non possono modificare il contenuto sostanziale del CAD.

Le fonti primarie del CAD sono:

• d.lgs. 82/2005 (testo unico), che definisce concetti, obblighi e organi (AgID, ufficio del difensore civico per il digitale, responsabile della transizione digitale).
• Le modifiche successive (d.lgs. 179/2016, d.lgs. 217/2017, d.lgs. 106/2020) che aggiornano le disposizioni su firma elettronica, conservazione digitale e pagamenti elettronici.
• Il d.lgs. 14-bis (art. 14-bis, co. 2, lett. b) che attribuisce all'AgID la redazione del Piano Triennale per l'Informatica nella PA.
• Il d.lgs. 71/2021 (art. 71) che stabilisce la procedura di adozione delle linee guida da parte dell'AgID.

Le fonti secondarie, pur non avendo valore gerarchico pari al testo unico, sono indispensabili per l'applicazione pratica: regolamenti AgID (es. Regolamento sulla firma digitale), linee guida (es. Linee guida AgID per la progettazione dei servizi web), standard tecnici (formati aperti, interoperabilita') e circolari interne delle singole amministrazioni.

Il CAD introduce una serie di definizioni che costituiscono il lessico di riferimento per tutti gli atti telematici. Il documento informatico e' la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti (art. 1). La copia informatica di documento analogico e' il documento elettronico che contiene lo stesso contenuto di un documento su supporto cartaceo, ma con sequenza di valori binari diversa. Il duplicato informatico, invece, e' ottenuto memorizzando la medesima sequenza di valori binari del documento originario, sia sullo stesso dispositivo sia su dispositivi diversi; in tal caso il duplicato ha lo stesso valore giuridico dell'originale.

Gli originali non unici sono quei documenti per i quali e' possibile risalire al contenuto attraverso altre scritture o per i quali e' obbligatoria la conservazione anche se in possesso di terzi (art. 1). La carta nazionale dei servizi, definita all'art. 1, comma 1, lett. d), e' il documento rilasciato su supporto informatico per consentire l'accesso per via telematica ai servizi erogati dalle PA.

Per quanto riguarda le firme, il CAD distingue tra firma elettronica (qualsiasi dato elettronico associato al documento che consente di identificare il firmatario), firma elettronica avanzata (che garantisce l'identificazione univoca del firmatario e l'integrita' del documento) e firma digitale, definita all'art. 1 come una particolare tipologia di firma qualificata basata su un sistema di chiavi crittografiche asimmetriche (pubblica e privata). La firma qualificata e' quella apposta con un certificato qualificato rilasciato da un prestatore di servizi fiduciari qualificato (art. 29).

Il CAD istituisce inoltre l'Indice nazionale dei domicili digitali (INI‑PEC) (art. 6‑bis) come elenco pubblico dei domicili digitali delle imprese e dei professionisti, gestito dal Ministero per lo Sviluppo Economico in collaborazione con le Camere di commercio. La Posta elettronica certificata (PEC) e' il mezzo di comunicazione riconosciuto per la trasmissione di documenti informatici con valore probatorio (art. 47).

Il Sistema Pubblico di Identita' Digitale (SPID) e' l'insieme di credenziali rilasciate dagli Identity Provider accreditati dall'AgID, che consente ai cittadini e alle imprese di accedere ai servizi della PA in modalita' digitale (art. 64). La Carta Nazionale dei Servizi (CNS) e la carta d'identita' elettronica sono anch'essi strumenti di autenticazione riconosciuti per l'accesso ai servizi online.

Per garantire la corretta attuazione del CAD, l'art. 17 prevede la creazione dell'ufficio del difensore civico per il digitale, istituito presso l'AgID, cui spetta la tutela dei diritti dei cittadini in ambito digitale. Sempre all'art. 17, ogni amministrazione deve individuare un responsabile della transizione digitale, ufficio interno unico che coordina la strategia di digitalizzazione, la definizione dei piani operativi e il monitoraggio della sicurezza informatica, ma non e' competente per la ricezione delle segnalazioni di violazioni del CAD (questo compito spetta al difensore civico).

Il Piano Triennale per l'Informatica nella PA, redatto dall'AgID ai sensi dell'art. 14‑bis, comma 2, lett. b), definisce gli obiettivi strategici, le linee di investimento e le priorita' di sviluppo tecnologico per il triennio successivo. Il piano e' pubblicato annualmente e costituisce il riferimento per la programmazione delle ICT nelle amministrazioni.

Infine, il CAD disciplina la conservazione digitale dei documenti informatici (art. 43). Quando il documento e' conservato a norma di legge da gestori di servizi pubblici, l'obbligo di conservazione a carico di cittadini e imprese cessa. La conservazione e' garantita da sistemi certificati, che assicurano l'integrita', l'autenticita' e la leggibilita' nel tempo, in coerenza con le disposizioni del Codice in materia di sicurezza e protezione dei dati personali.

In sintesi, il CAD si configura come un sistema normativo a piu' livelli, dove il d.lgs. 82/2005 rappresenta la pietra angolare, integrato da modifiche successive, regolamenti AgID e linee guida tecniche. Le definizioni chiave – documento informatico, firma digitale, copia informatica, duplicato, originali non unici, INI‑PEC, SPID, CNS, AgID, responsabile della transizione digitale e difensore civico – costituiscono il vocabolario indispensabile per rispondere correttamente alle domande tipiche dei quiz di concorso e per operare nella PA digitale con piena consapevolezza giuridica.

Il Codice dell'amministrazione digitale (d.lgs. 82/2005 e s.m.i.) individua un assetto istituzionale unico per garantire la coerenza, l'interoperabilita' e la sicurezza dei servizi telematici della Pubblica Amministrazione (PA). Al vertice di questo assetto vi e' l'Agenzia per l'Italia digitale, comunemente indicata con l'acronimo AgID. L'AgID nasce con l'art. 14-bis, comma 2, lett. b) del d.lgs. 82/2005, che le attribuisce la competenza esclusiva di programmare, coordinare e monitorare l'uso delle tecnologie dell'informazione e della comunicazione (TIC) da parte di tutte le amministrazioni statali, regionali e locali. Tra le sue funzioni principali rientrano la redazione del Piano triennale per l'informatica nella Pubblica Amministrazione, la definizione di linee guida tecniche, la gestione dell'Indice nazionale dei domicili digitali (INI‑PEC) e la designazione dei soggetti qualificati per i servizi fiduciari (firma digitale, posta elettronica certificata, ecc.). Il Piano triennale, previsto dall'art. 14-bis, co. 2, lett. b), e' elaborato direttamente dall'AgID e costituisce lo strumento di programmazione strategica che fissa gli obiettivi di digitalizzazione, i progetti prioritari e i criteri di valutazione per l'intero sistema amministrativo.

All'interno dell'AgID, l'ufficio del difensore civico per il digitale e' istituito ai sensi dell'art. 17 del d.lgs. 82/2005 e s.m.i. La sua collocazione nell'Agenzia garantisce indipendenza e capacita' di intervento trasversale su tutte le amministrazioni. Il difensore civico ha il compito di ricevere e valutare le segnalazioni dei cittadini, delle imprese e dei professionisti relative a presunte violazioni del Codice o a difficolta' nell'accesso ai servizi digitali. Dopo aver verificato la fondatezza delle segnalazioni, il difensore puo' avviare procedure di mediazione, formulare raccomandazioni alle amministrazioni interessate e, se necessario, attivare il procedimento di reclamo previsto dalla normativa. Il ruolo e' quindi quello di tutelare i diritti degli utenti e di promuovere la trasparenza e l'efficacia dell'intero ecosistema digitale.

Parallelamente, l'art. 17 impone a ciascuna PA di individuare un ufficio interno responsabile per la transizione digitale. Questo ufficio, spesso denominato “Ufficio transizione digitale” o “Ufficio innovazione ICT”, e' l'organo interno che coordina l'adozione delle tecnologie digitali all'interno dell'ente. Tra le sue competenze rientrano la definizione della strategia digitale dell'amministrazione, la pianificazione e il coordinamento dei progetti di sviluppo dei sistemi informativi, la gestione del fascicolo informatico, la promozione dell'uso della firma digitale e della posta elettronica certificata, nonche' il monitoraggio dell'aderenza alle linee guida AgID. E' inoltre incaricato di garantire che i servizi erogati siano accessibili tramite i domicili digitali (PEC, INI‑PEC) e di curare la formazione del personale sull'uso delle TIC.

E' importante distinguere le funzioni dell'ufficio del difensore civico da quelle del responsabile della transizione digitale. Il difensore civico non e' chiamato a gestire la sicurezza informatica, ne' a coordinare lo sviluppo dei sistemi informativi: questi compiti spettano rispettivamente al Responsabile della sicurezza informatica (art. 35) e al responsabile della transizione digitale. Allo stesso modo, l'ufficio del responsabile della transizione digitale non riceve le segnalazioni di violazione del Codice, compito riservato al difensore civico. Tale separazione e' fondamentale per evitare conflitti di interesse e per garantire una risposta rapida e specializzata alle diverse esigenze della PA.

Il quadro istituzionale si completa con la collaborazione tra AgID, il difensore civico e gli uffici di transizione digitale delle singole amministrazioni. L'AgID, attraverso le proprie linee guida (art. 71) e le disposizioni del Piano triennale, fornisce gli standard tecnici e le indicazioni di interoperabilita' che gli uffici di transizione devono attuare. Il difensore civico, monitorando le esperienze degli utenti, fornisce feedback utili per l'aggiornamento delle linee guida e per il perfezionamento del Piano triennale. In tal modo, la struttura organizzativa garantisce un ciclo virtuoso di pianificazione, attuazione, verifica e miglioramento continuo, rispondendo alle esigenze di efficienza, trasparenza e sicurezza richieste dal Codice dell'amministrazione digitale.

Il Piano Triennale per l’informatica (PTI) e la programmazione delle tecnologie dell’informazione e della comunicazione (ICT) costituisce lo strumento di programmazione strategica previsto dall’art. 14-bis, comma 2, lett. b) del d.lgs. 82/2005 e s.m.i.. Secondo tale disposizione, la redazione, l’aggiornamento e la diffusione del PTI spettano all’Agenzia per l’Italia Digitale (AgID), che ne cura la coerenza con le politiche nazionali di innovazione, con i vincoli di bilancio e con le direttive comunitarie in materia di interoperabilita' e sicurezza. Il piano, redatto con cadenza triennale, deve essere pubblicato sul sito istituzionale dell’AgID e trasmesso a tutte le amministrazioni pubbliche, affinche' ciascuna possa adeguare la propria programmazione operativa.

Il PTI si articola in tre macro‑aree: infrastrutture, servizi e sicurezza. Nella sezione infrastrutture si definiscono gli investimenti necessari per la realizzazione della rete nazionale di connettivita' (SPC), per la migrazione verso il cloud della pubblica amministrazione e per l’adozione di data centre certificati. La parte relativa ai servizi individua le linee di sviluppo dei sistemi informativi di base (anagrafe nazionale della popolazione, anagrafe delle imprese, piattaforma digitale nazionale dati) e dei servizi al cittadino (carta nazionale dei servizi, SPID, CNS). Infine, la sezione sicurezza stabilisce gli obiettivi di protezione dei dati, di gestione delle vulnerabilita' e di risposta agli incidenti, in linea con il piano nazionale di cyber security e con le linee guida AgID in materia di gestione del rischio.

Il PTI non e' un semplice documento di bilancio, ma un vero e proprio strumento di coordinamento. L’AgID, nella sua funzione di autorita' di programmazione, elabora il piano sulla base delle richieste formulate dalle amministrazioni centrali e periferiche, dalle regioni, dalle autorita' locali e dagli enti del terzo settore. Le richieste sono raccolte mediante il “forum ICT della PA”, un organismo consultivo permanente che riunisce i responsabili della transizione digitale di ciascuna amministrazione, l’ufficio del difensore civico per il digitale (istituito dall’art. 17 del d.lgs. 82/2005) e i rappresentanti degli operatori di mercato. Questo meccanismo garantisce che il PTI rifletta le reali esigenze operative e che le risorse vengano allocate in modo trasparente e meritocratico.

Una volta approvato, il PTI diventa il riferimento per la programmazione annuale delle ICT di ogni amministrazione. Il responsabile della transizione digitale, previsto dall’art. 17 del d.lgs. 82/2005, ha il compito di tradurre gli obiettivi triennali in piani operativi di medio termine, definendo le priorita' di spesa, i tempi di realizzazione e i criteri di monitoraggio. Tra i compiti attribuiti al responsabile vi sono la definizione della strategia di interoperabilita' dei sistemi, la promozione dell’adozione di standard aperti e la verifica della conformita' alle linee guida AgID. Non rientra, invece, nella sua sfera di competenza la ricezione delle segnalazioni relative a presunte violazioni del Codice, che spetta all’ufficio del difensore civico per il digitale.

Il monitoraggio dell’attuazione del PTI avviene tramite il “piano di attuazione triennale” (PAT), redatto da ciascuna amministrazione entro 60 giorni dalla pubblicazione del PTI. Il PAT deve contenere gli indicatori di risultato (es. percentuale di servizi erogati in modalita' digitale, livello di disponibilita' delle infrastrutture, numero di incidenti di sicurezza) e le relative soglie di performance. L’AgID raccoglie i PAT, li confronta con gli obiettivi triennali e pubblica annualmente il “report di avanzamento”, che evidenzia gli scostamenti, le cause e le misure correttive da adottare. Questo ciclo di pianificazione, attuazione e verifica consente di garantire la continuita' del miglioramento e di fornire una base solida per le successive revisioni del PTI.

Il PTI prevede inoltre la programmazione di iniziative trasversali, quali la formazione del personale pubblico sull’uso delle ICT, la diffusione della cultura della firma elettronica e della posta certificata, e la promozione di soluzioni di interoperabilita' basate su API aperte. Tali iniziative sono fondamentali per realizzare il principio di “digital first” sancito dall’art. 1 del CAD, secondo cui i cittadini, le imprese e i professionisti hanno il diritto di accedere ai servizi della pubblica amministrazione mediante canali telematici, utilizzando strumenti di identificazione quali SPID, CNS o la carta d’identita' elettronica. In sintesi, il Piano Triennale per l’informatica rappresenta il pilastro della programmazione strategica delle ICT nella pubblica amministrazione, garantendo coerenza normativa, coordinamento operativo e trasparenza nella gestione delle risorse digitali.

Il documento informatico e' definito all'art. 1, comma 1, lett. a) del d.lgs. 82/2005 come la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti. Non si tratta semplicemente di un file digitale, ma di un elemento dotato di valore probatorio, capace di soddisfare il requisito della forma scritta se accompagnato da una firma elettronica qualificata, avanzata o digitale, o comunque da un mezzo idoneo ad accertarne la provenienza (art. 45). La legge prevede che la pubblica amministrazione possa produrre, ricevere e conservare tali documenti mediante sistemi informatici, garantendo al contempo la loro integrita', autenticita' e non ripudio.

Quando dal documento informatico nasce una copia informatica, si intende un documento avente contenuto identico a quello dell'originale ma memorizzato su supporto diverso e con sequenza di valori binari differente. La copia conserva la stessa efficacia probatoria dell'originale solo se la sua conformita' all'originale e' attestata da un pubblico ufficiale, come previsto dall'art. 23. La duplicazione informatica, invece, avviene mediante la memorizzazione della medesima sequenza di valori binari su uno o piu' dispositivi; in tal caso il duplicato ha valore giuridico pari all'originale, poiche' rappresenta una replica fedele dell'evidenza informatica.

Gli originali non unici, secondo la definizione di cui all'art. 1, comma 1, lett. g), sono quei documenti per i quali il contenuto puo' essere ricostruito da altre scritture o per i quali la legge impone la conservazione anche se in possesso di terzi. Esempi tipici sono i registri contabili, i libri societari o le fatture elettroniche: la loro esistenza puo' essere dimostrata mediante altri atti, ma la normativa richiede comunque la loro conservazione per i termini stabiliti.

La disciplina della conservazione digitale si articola in due fasi fondamentali: la conservazione sostitutiva e la conservazione a norma. La prima, introdotta dall'art. 43, consente alle pubbliche amministrazioni di affidare la conservazione dei documenti informatici a gestori di servizi pubblici (ad esempio i fornitori di firma digitale o di posta elettronica certificata). In tal caso l'obbligo di conservazione a carico di cittadini e imprese cessa, poiche' il gestore garantisce la permanenza, l'integrita' e l'accessibilita' del documento per i termini di legge. La seconda, prevista dagli articoli 46-55, disciplina la conservazione interna: il responsabile della conservazione, individuato dall'amministrazione titolare del procedimento, deve stipulare un accordo con il responsabile del trattamento dei dati personali e con il responsabile della sicurezza, definire le procedure operative, adottare formati di conservazione aperti e garantire la leggibilita' nel tempo mediante migrazioni periodiche.

Il processo di conservazione a norma prevede, in sintesi, la classificazione del documento (identificazione del tipo, del livello di riservatezza e del periodo di conservazione), la firma elettronica qualificata o avanzata che ne certifica l'autenticita' al momento della creazione, la generazione di un hash crittografico per garantirne l'integrita', e l'archiviazione in un sistema di gestione documentale certificato (ad esempio il Sistema di Conservazione dei Documenti, SCD). Il documento deve essere conservato in un formato aperto, cioe' documentato esaustivamente e neutro rispetto agli strumenti tecnologici, per assicurare la fruibilita' anche in presenza di evoluzioni tecnologiche. La legge stabilisce termini di conservazione differenti a seconda della natura del documento: ad esempio le fatture elettroniche devono essere conservate per dieci anni, i contratti per cinque, mentre i documenti di natura contabile o fiscale possono richiedere periodi piu' lunghi.

Il ruolo dell'AgID (Agenzia per l'Italia Digitale) e' centrale nella definizione degli standard tecnici di conservazione (art. 71) e nella qualificazione dei fornitori di servizi fiduciari (art. 29). L'Agenzia pubblica le linee guida che indicano i requisiti di sicurezza, le modalita' di firma, i formati di conservazione e le procedure di verifica periodica. Inoltre, l'AgID individua e pubblica l'elenco delle basi di dati di interesse nazionale (art. 60, co. 3ter), garantendo l'interoperabilita' tra le amministrazioni.

Dal punto di vista pratico, la procedura di conservazione digitale si articola in tre passaggi operativi: (1) acquisizione del documento informatico con firma elettronica qualificata, (2) generazione e registrazione del file di conservazione (inclusi metadati, hash e certificato di firma) all'interno del sistema di gestione documentale, (3) monitoraggio continuo della conservazione mediante controlli di integrita' e migrazioni periodiche verso formati aggiornati. Qualora il documento sia soggetto a obblighi di pubblicazione (ad esempio la carta nazionale dei servizi), la sua versione conservata deve essere resa disponibile al pubblico attraverso il fascicolo informatico, garantendo al contempo i principi di accessibilita' e trasparenza.

Infine, la normativa prevede che la trasmissione telematica del documento informatico, se effettuata con mezzi idonei ad accertarne la provenienza (art. 48), equivale alla notificazione per posta, a meno che una legge specifica disponga diversamente. Questo principio rende fondamentale la corretta gestione delle copie, dei duplicati e degli originali non unici, poiche' la loro validita' probatoria dipende dalla capacita' di dimostrare la continuita' dell'evidenza informatica lungo tutto il ciclo di vita del documento, dalla creazione alla conservazione sostitutiva o a norma.

Il Codice dell’amministrazione digitale (d.lgs. 82/2005) individua la firma elettronica come strumento giuridico fondamentale per garantire la forma scritta, l’autenticita’ e l’integrita’ dei documenti informatici. L’art. 24 stabilisce che la firma elettronica e’ l’apposizione di dati elettronici, collegati al documento, che consentono di identificare il firmatario e di verificare che il contenuto non sia stato alterato successivamente. Il concetto di firma elettronica e’ quindi ampio e comprende diverse tipologie, ognuna caratterizzata da requisiti di sicurezza differenti.

Tra le tipologie individuate dal CAD troviamo la firma elettronica semplice, la firma elettronica avanzata (FEA), la firma digitale e la firma elettronica qualificata (FEQ). La firma elettronica semplice e’ il livello più elementare: si tratta di un dato elettronico associato al documento (ad esempio, una scansione di una firma autografa o un PIN) ma non fornisce alcuna garanzia tecnica sull’identita’ del firmatario o sull’integrita’ del contenuto. Per questo motivo, nella pratica amministrativa, le firme semplici sono accettate solo quando la legge prevede espressamente una forma meno stringente.

La firma elettronica avanzata (FEA) deve soddisfare tre requisiti essenziali: (i) e’ collegata in modo univoco al firmatario; (ii) permette al firmatario di identificarsi in modo univoco; (iii) consente di rilevare ogni successiva modifica al documento. Per adempiere a tali requisiti, la FEA si basa su un certificato elettronico rilasciato da un prestatore di servizi fiduciari (PSF) accreditato, e su un dispositivo di creazione della firma (DCS) che garantisce la protezione della chiave privata.

La firma digitale rappresenta una forma specifica di firma elettronica qualificata, definita dall’art. 1 del d.lgs. 82/2005 come "un particolare tipo di firma qualificata basata su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro". Il processo di firma digitale avviene mediante l’uso della chiave privata del titolare per generare un valore hash del documento, che viene poi cifrato con la chiave privata stessa. Il destinatario, o chiunque abbia accesso al certificato pubblico associato, puo' decifrare il valore hash e confrontarlo con quello calcolato sul documento ricevuto, verificando cosi' l’integrita’ e l’autenticita’ della firma.

La firma elettronica qualificata (FEQ) e' l’unica tipologia riconosciuta come equivalente della firma autografa ai sensi dell’art. 24 co. 4bis del CAD. Per essere qualificata, la firma deve essere basata su un certificato qualificato rilasciato da un prestatore di servizi fiduciari qualificato (PSFQ) e deve essere creata mediante un dispositivo sicuro di creazione della firma (DSCF) certificato secondo le norme tecniche AgID. Il certificato qualificato garantisce l’identita’ del titolare, mentre il DSCF assicura che la chiave privata sia generata, custodita e utilizzata in modo tale da impedire accessi non autorizzati.

Il CAD, in particolare l’art. 35, prescrive i requisiti di sicurezza per i dispositivi e le procedure di creazione della firma. La chiave privata deve essere "riservata", cioè deve essere generata in un ambiente protetto, non esportabile e soggetta a controlli di accesso basati su credenziali forti (PIN, password, biometria). Inoltre, i certificati devono includere informazioni sulla data e ora di emissione, sulla durata di validita’ e sui dati del soggetto titolare; devono essere soggetti a meccanismi di revoca (CRL o OCSP) per consentire la verifica della loro validita’ in tempo reale. L’art. 24 co. 4bis prevede che una firma basata su un certificato revocato, scaduto o sospeso sia considerata "non sottoscritta", salvo che il soggetto dimostri che la sospensione e’ stata annullata.

Il tempo di marcatura (timestamp) costituisce un ulteriore elemento di sicurezza: mediante un servizio di marcatura temporale qualificato, il documento firmato ottiene una prova certificata della data e ora in cui la firma e’ stata apposta, impedendo che una firma possa essere attribuita a un momento successivo alla revoca del certificato. Tale marcatura e’ obbligatoria per le firme che devono resistere a eventuali contestazioni future, ad esempio nei procedimenti giudiziari.

In sintesi, la gerarchia di sicurezza si articola in: firma elettronica semplice (bassa garanzia), firma elettronica avanzata (garanzia media, basata su certificato non qualificato), firma digitale (tipo di FEQ basata su chiavi asimmetriche) e firma elettronica qualificata (massima garanzia, certificato qualificato e DSCF). La scelta della tipologia dipende dal valore probatorio richiesto e dalla normativa di riferimento: per atti che richiedono la forma scritta (ad esempio, contratti, atti amministrativi, istanze), il CAD prevede l’uso obbligatorio della FEQ o, in alternativa, di una FEA con adeguata evidenza di integrita’ e autenticita’.

Il rispetto dei requisiti di sicurezza non e’ un optional, ma una condizione di validita’ della firma stessa. Qualsiasi violazione (ad esempio, la perdita o la compromissione della chiave privata, l’uso di un certificato non revocato, la mancata marcatura temporale) comporta la nullita’ della firma e l’eventuale responsabilita’ del prestatore di servizi fiduciari, che risponde per i danni causati se non dimostra di aver adottato tutte le misure idonee a evitare il danno. Pertanto, nella pratica amministrativa, le Pubbliche Amministrazioni devono accertarsi che i fornitori di servizi fiduciari siano accreditati dall’AgID, che i dispositivi di firma siano certificati secondo le linee guida AgID e che le procedure operative includano la gestione delle chiavi, la revoca dei certificati e la marcatura temporale, garantendo cosi' la piena conformita’ al CAD.

Il Codice dell'amministrazione digitale (d.lgs. 82/2005) individua una serie di strumenti volti a garantire che cittadini, imprese e professionisti possano interagire con la Pubblica Amministrazione (PA) esclusivamente per via telematica, senza dover ricorrere a forme cartacee. Il fulcro di questo modello e' il concetto di "identita' digitale", ossia l'insieme di credenziali, certificati e domicili digitali che consentono di accedere ai servizi on line, di firmare documenti e di dimostrare la propria identita' in modo sicuro e riconosciuto dalla legge.

Il domicilio digitale e' il punto di contatto elettronico che la PA utilizza per inviare comunicazioni, notifiche e documenti a soggetti privati. Ai sensi dell'art. 6-bis del d.lgs. 82/2005, le imprese e i professionisti devono essere iscritti all'Indice nazionale dei domicili digitali (INI‑PEC), un elenco pubblico gestito dal Ministero per lo sviluppo economico in collaborazione con le Camere di commercio. L'INI‑PEC contiene, per ciascuna impresa o professionista, l'indirizzo di posta elettronica certificata (PEC) che costituisce il domicilio digitale obbligatorio. Quando il domicilio eletto non e' piu' attivo, la norma prevede la cancellazione d'ufficio, con conseguente obbligo di indicarne uno nuovo entro i termini stabiliti.

La PEC (posta elettronica certificata) e' definita dall'art. 47 del d.lgs. 82/2005 come un servizio di posta elettronica che garantisce la prova della data e dell'ora di invio e di ricezione, nonche' l'identita' del mittente e del destinatario. La sua validita' ai fini del procedimento amministrativo si basa sulla sola verifica della provenienza del messaggio; non e' necessario alcun ulteriore atto di notifica. La PEC, quindi, rappresenta lo strumento principale per la trasmissione di documenti informatici tra PA e soggetti privati, nonche' per la ricezione di comunicazioni ufficiali da parte della PA.

Il sistema SPID (Sistema Pubblico di Identita' Digitale), introdotto dall'art. 64 del CAD, consente a cittadini e imprese di autenticarsi una sola volta presso un Identity Provider (IdP) accreditato dall'AgID e di utilizzare le proprie credenziali per accedere a tutti i servizi on line della PA. SPID si basa su tre livelli di sicurezza (livello 1, 2 e 3) che differiscono per il tipo di fattore di autenticazione richiesto (password, OTP, certificato). L'utilizzo di SPID e' obbligatorio per tutti i servizi che richiedono identificazione informatica, come previsto dall'art. 1 del d.lgs. 82/2005, e rappresenta il principale strumento di "single sign‑on" per la cittadinanza digitale.

La Carta Nazionale dei Servizi (CNS), introdotta dall'art. 71 del d.lgs. 82/2005, e' una smart card rilasciata dalla PA che contiene un certificato di firma digitale qualificata e un certificato di autenticazione. La CNS permette sia la firma di documenti elettronici sia l'autenticazione ai servizi della PA, in modo analogo a SPID ma con l'ulteriore vantaggio di poter essere utilizzata anche offline per la firma di documenti su supporti fisici. La CNS e' particolarmente indicata per i soggetti che hanno necessita' di firmare frequentemente atti giuridici o contratti, poiche' la chiave privata e' custodita all'interno del chip della carta e protetta da PIN.

La Carta d'Identita' Elettronica (CIE) e' un ulteriore strumento di autenticazione riconosciuto dal CAD. La CIE, rilasciata dal Ministero dell'Interno, contiene un certificato di firma digitale e un certificato di autenticazione, analogamente alla CNS, ma e' destinata a tutti i cittadini italiani. In combinazione con il lettore di smart card, la CIE consente l'accesso ai servizi della PA, la firma di documenti e la partecipazione a procedure elettroniche, come previsto dall'art. 1 del d.lgs. 82/2005.

Il meccanismo di autenticazione si articola in tre fasi fondamentali: (1) identificazione del soggetto mediante credenziali (SPID, CNS, CIE o certificato PEC); (2) verifica della validita' del certificato tramite la catena di trust gestita dall'AgID; (3) concessione dell'accesso al servizio richiesto, con eventuale richiesta di firma digitale per garantire l'integrita' e l'autenticita' del documento prodotto. La normativa prevede che la firma digitale debba riferirsi in maniera univoca al soggetto firmatario e al documento, garantendo i principi di autenticita', integrita' e non ripudio (art. 24, co. 1, d.lgs. 82/2005).

Nel contesto dell'accesso ai servizi, la PA deve garantire la interoperabilita' tra i diversi sistemi di autenticazione. Le Linee guida AgID (art. 71, d.lgs. 82/2005) stabiliscono che tutti i portali devono accettare SPID, CNS e CIE, e che la PEC deve essere riconosciuta come canale di comunicazione ufficiale. Inoltre, l'INI‑PEC deve essere consultabile da qualsiasi amministrazione per verificare il domicilio digitale di un soggetto, evitando errori di recapito e garantendo la certezza della notifica.

Infine, la conservazione dei documenti firmati digitalmente segue le regole dell'art. 43 del CAD: se il documento e' stato conservato a norma di legge dal gestore del servizio pubblico, l'obbligo di conservazione a carico del cittadino o dell'impresa cessa. Questo principio consente di ridurre gli oneri amministrativi e di favorire la diffusione di pratiche digitali, mantenendo al contempo la garanzia di valore probatorio dei documenti elettronici.

Il Codice dell'amministrazione digitale (d.lgs. 82/2005) individua il documento informatico come la rappresentazione elettronica di atti, fatti o dati giuridicamente rilevanti. Per garantire la certezza della sua esistenza, della sua provenienza e della sua integrita', la normativa prevede una serie di operazioni tecniche e procedurali che, se correttamente eseguite, conferiscono al documento informatico la stessa efficacia probatoria di un documento analogico sottoscritto. Le fasi fondamentali di questo ciclo sono la protocollazione, la trasmissione, la notificazione e l'inserimento nel fascicolo informatico.

La protocollazione rappresenta il primo atto formale di ingresso di un documento informatico nel flusso amministrativo. Ai sensi dell'art. 45 del d.lgs. 82/2005, la pubblica amministrazione titolare del procedimento deve attribuire al documento un numero di protocollo univoco, una data e l'indicazione dell'ufficio competente. Questo avviene mediante sistemi di protocollo informatico certificati, i quali garantiscono l'immodificabilita' del registro di protocollo mediante l'uso di firme elettroniche qualificate o di marcature temporali. Il numero di protocollo costituisce il riferimento per tutte le successive operazioni di gestione e per la consultazione da parte dei soggetti interessati.

Una volta protocollato, il documento puo' essere trasmesso ad altre amministrazioni o a soggetti privati. L'art. 46 stabilisce che la trasmissione avvenga mediante canali telematici sicuri, quali la posta elettronica certificata (PEC), i sistemi di scambio informatico (SDI) o le piattaforme di interoperabilita' messe a disposizione dall'AgID. La trasmissione deve contenere tutti gli elementi necessari a dimostrare la provenienza del documento: firma elettronica qualificata, marcatura temporale o altra forma di garanzia dell'integrita'. Quando il documento contiene dati sensibili o giudiziari, la normativa (art. 46, comma 2) impone che la trasmissione sia limitata ai dati strettamente indispensabili per il perseguimento della finalita' richiesta.

La notificazione telematica e' l'atto con cui il documento trasmesso acquista valore di comunicazione ufficiale nei confronti del destinatario. Secondo l'art. 48, la notifica per via telematica equivale alla notifica per mezzo della posta, salvo diversa disposizione di legge. La procedura di notifica prevede la generazione di un atto di notifica elettronica, che deve contenere il riferimento al documento notificato, il numero di protocollo, la data e l'ora di avvenuta notifica, nonche' la prova della consegna al domicilio digitale del destinatario (PEC o altro indirizzo accreditato). La prova di avvenuta notifica e' conservata nel registro di notifica, anch'esso sottoposto a firme elettroniche qualificate.

Il risultato di protocollazione, trasmissione e notificazione e' l'alimentazione del fascicolo informatico. L'art. 41 del d.lgs. 82/2005 dispone che la pubblica amministrazione titolare del procedimento realizzi un fascicolo informatico che raccoglie tutti gli atti, i documenti e i dati relativi al procedimento, garantendo la loro consultazione da parte di tutte le amministrazioni coinvolte e degli interessati. Il fascicolo deve essere strutturato in modo da consentire l'accesso simultaneo e la modifica controllata da piu' soggetti, mantenendo al contempo l'integrita' e la tracciabilita' di ogni operazione (log di accesso, firma elettronica dei nuovi allegati, marcature temporali). La conservazione a lungo termine dei contenuti del fascicolo e' disciplinata dagli articoli 42 e 43, i quali prevedono che, qualora il documento sia conservato da gestori di servizi pubblici, l'obbligo di conservazione a carico di cittadini e imprese cessa.

Nel contesto pratico, la corretta gestione del ciclo di vita del documento informatico richiede l'adozione di standard tecnici definiti dalle linee guida AgID (art. 71). Tali standard stabiliscono i formati aperti da utilizzare per garantire la fruibilita' a lungo termine, le modalita' di firma elettronica, le procedure di marcatura temporale e le regole di interoperabilita' tra i sistemi di protocollo e di scambio. Inoltre, la normativa impone che ogni amministrazione designi un responsabile della transizione digitale (art. 17) che coordini l'implementazione di questi processi, monitori la sicurezza informatica e verifichi la conformita' alle disposizioni di legge.

In sintesi, la protocollazione assegna al documento informatico un'identita' univoca e certificata; la trasmissione ne garantisce la corretta consegna tra soggetti diversi; la notificazione conferisce valore di comunicazione ufficiale; e il fascicolo informatico raccoglie, organizza e conserva tutti gli elementi del procedimento, assicurando al contempo la loro accessibilita' e integrita' nel rispetto delle disposizioni del CAD. Conoscere questi passaggi e le relative norme consente di rispondere con sicurezza alle domande d'esame che riguardano lo scambio telematico di documenti, evitando le trappole piu' frequenti e dimostrando una padronanza operativa del quadro giuridico e tecnico.

Le linee guida emanate dall'AgID costituiscono il riferimento normativo per l'applicazione pratica del d.lgs. 82/2005. Esse traduiscono i principi generali del CAD in regole operative, indicando i requisiti minimi di interoperabilita', accessibilita' e usabilita' che le Pubbliche Amministrazioni devono rispettare nella realizzazione di servizi, documenti e archivi digitali. L'art. 71 del d.lgs. 82/2005 stabilisce che le linee guida sono adottate dall'AgID e hanno valore di fonte secondaria rispetto al testo unico, ma la loro osservanza e' obbligatoria per la validita' dei procedimenti telematici. Tra le principali pubblicazioni troviamo le "Linee guida per la gestione del documento informatico", le "Linee guida per la firma elettronica qualificata" e le "Linee guida per la sicurezza informatica della PA".

Per garantire la coerenza tecnica, l'AgID ha definito una serie di standard di riferimento, molti dei quali derivano da norme internazionali ISO/IEC. L'ISO/IEC 27001 (sistema di gestione della sicurezza delle informazioni) e l'ISO/IEC 27002 (codice di buona pratica per la sicurezza) sono obbligatori per le amministrazioni che gestiscono dati sensibili o giudiziari. Per la protezione dei dati personali si richiama l'ISO/IEC 27701, mentre per la gestione dei servizi ICT si fa riferimento all'ISO/IEC 20000. Gli standard di interoperabilita' (ISO/IEC 29100, 29101, 29102) definiscono il quadro di privacy by design e di gestione dei consensi. L'adozione di questi standard non e' facoltativa: la mancata conformita' costituisce violazione dell'art. 35 del d.lgs. 82/2005, che impone che i dispositivi sicuri e le procedure per la generazione delle firme garantiscano la riservatezza della chiave privata.

La sicurezza informatica nella PA si articola su piu' livelli. In primo luogo, la valutazione dei rischi, obbligatoria ai sensi dell'art. 35, deve essere effettuata periodicamente e documentata in un Risk Assessment, che individua le minacce (malware, phishing, attacchi DDoS) e le vulnerabilita' dei sistemi. Sulla base di tale analisi, la PA deve implementare misure di prevenzione (firewall, sistemi di intrusion detection, segmentazione di rete), di protezione (cifratura dei dati a riposo e in transito, autenticazione a due fattori, uso di smart card o token per l'accesso ai sistemi critici) e di risposta (piano di continuita' operativa, SOC interno o esterno, procedure di incident handling). Il CSIRT nazionale, coordinato dall'AgID, fornisce linee guida per la gestione degli incidenti e per la comunicazione obbligatoria alle autorita' competenti.

Per quanto riguarda la gestione dei dati, il CAD distingue tra dati territoriali e basi di dati nazionali. I dati territoriali, definiti all'art. 1 come "dati che attengono, direttamente o indirettamente, a una localita' o a un'area geografica specifica", includono mappe catastali, dati geospaziali, informazioni sul territorio comunale e regionale. Tali dati devono essere resi disponibili attraverso il Sistema Informativo Territoriale (SIT) secondo i criteri di interoperabilita' e di formato aperto (es. GML, GeoJSON), in modo da consentire il riuso da parte di amministrazioni, imprese e cittadini. L'AgID, con le linee guida "Dati territoriali aperti", prescrive l'uso di standard OGC (Open Geospatial Consortium) e la pubblicazione dei metadati su cataloghi nazionali.

L'art. 60, co. 3ter, del d.lgs. 82/2005 prevede che l'AgID individui e pubblichi l'elenco delle basi di dati di interesse nazionale. Tale elenco, aggiornato annualmente, comprende le banche dati gestite da ministeri, regioni e enti pubblici che contengono informazioni di rilevanza strategica (es. anagrafe nazionale della popolazione, registro delle imprese, dati sanitari, dati statistici). Le basi di dati devono rispettare i principi di minimizzazione, proporzionalita' e limitazione della conservazione, come richiesto dal Regolamento UE n. 679/2016 (GDPR). Inoltre, la normativa vieta la conservazione nella Piattaforma Digitale Nazionale Dati (PDND) di dati relativi all'ordine e sicurezza pubblica, alla difesa e alla sicurezza nazionale (art. 71, d.lgs. 82/2005).

La conservazione dei documenti informatici, disciplinata dagli articoli 43 e 44, prevede che i gestori di servizi pubblici possano assumere la responsabilita' della conservazione a norma di legge, sollevando i cittadini e le imprese dall'obbligo di conservare copie cartacee. Tuttavia, la conservazione deve avvenire su supporti certificati, con firme elettroniche qualificate e con garanzie di integrita' e autenticita' per un periodo minimo di dieci anni, salvo disposizioni specifiche. Il responsabile della transizione digitale di ciascuna amministrazione, pur non avendo tra i compiti la gestione diretta della sicurezza informatica (come previsto dalle domande di verifica), deve assicurare il coordinamento con il responsabile della sicurezza e con il responsabile del trattamento dei dati personali per garantire che le misure di protezione siano adeguate.

Infine, la PA deve garantire la fruibilita' dei dati attraverso l'adozione di formati aperti, come previsto dall'art. 1, comma 1, lett. d) del d.lgs. 82/2005. Un "formato di dati reso pubblico, documentato esaustivamente e neutro rispetto agli strumenti tecnologici necessari per la fruizione dei dati stessi" e' definito "formato aperto". L'uso di tali formati facilita il riuso, la trasparenza e la partecipazione dei cittadini, elementi fondamentali per il diritto all'uso delle tecnologie (art. 3, CAD). In sintesi, le linee guida, gli standard tecnici, le misure di sicurezza informatica e le regole di gestione dei dati costituiscono un unico ecosistema normativo che, se osservato correttamente, consente alle Pubbliche Amministrazioni di operare in modo sicuro, interoperabile e conforme alle esigenze dei cittadini e delle imprese.

Il quiz‑drill rappresenta lo strumento piu' efficace per consolidare la conoscenza del Codice dell'amministrazione digitale (d.lgs. 82/2005 e s.m.i.) e per evitare gli errori piu' comuni che si verificano nella prova scritta. In questa sezione vengono illustrate le trappole piu' frequenti, le risposte corrette alle domande tipiche d'esame e una metodologia di verifica rapida che consente di controllare la risposta in pochi secondi, senza ricorrere a lunghi ragionamenti.

Il primo passo consiste nell'individuare la tipologia di quesito: normativo (richiede l'indicazione di articolo, comma o fonte), concettuale (richiede la definizione di un termine) o procedurale (richiede l'indicazione di un adempimento). Una volta riconosciuta la categoria, la strategia di verifica prevede tre fasi: (1) lettura attenta della domanda, (2) richiamo della norma o del concetto chiave, (3) confronto con le opzioni di risposta. Se la risposta non e' immediata, occorre verificare la presenza di parole chiave ingannevoli (ad esempio "solo", "sempre", "escluso") che spesso trasformano una risposta corretta in una errata.

Di seguito vengono riportate le domande reali piu' frequenti, le risposte corrette e le trappole associate. Per ciascuna domanda e' indicata la norma di riferimento, in modo da poterla controllare rapidamente sul testo del CAD.

• Dove e' prevista l'istituzione dell'ufficio del difensore civico per il digitale? La risposta corretta e' "Agenzia per l'Italia digitale (AgID)", come stabilito dall'art. 17 del d.lgs. 82/2005 e s.m.i. La trappola piu' comune consiste nel confondere l'ufficio con il "responsabile della transizione digitale", che e' un organo interno alla singola PA.
• Chi elabora il piano triennale per l'informatica nella pubblica amministrazione? L'AgID elabora il piano, ai sensi dell'art. 14-bis, co. 2, lett. b) del d.lgs. 82/2005 e s.m.i. Spesso gli esaminandi rispondono "il Ministero dell'economia e delle finanze", ma la norma e' chiara: la competenza spetta all'Agenzia.
• Secondo l'art. 1 del CAD, la carta nazionale dei servizi e'... E' "il documento rilasciato su supporto informatico per consentire l'accesso per via telematica ai servizi erogati dalle pubbliche amministrazioni". La trappola consiste nel pensare che si tratti di un "documento cartaceo" o di una "carta di identita' elettronica".
• Che cosa istituisce l'art. 6-bis per favorire lo scambio telematico con imprese e professionisti? Viene istituito "l'indice nazionale dei domicili digitali (INI‑PEC) delle imprese e dei professionisti". La risposta errata piu' frequente e' "il registro unico dei domicili digitali", termine non previsto dal CAD.
• Il responsabile della transizione digitale previsto dall'art. 17 del d.lgs. 82/2005 e'... Un unico ufficio interno a ciascuna PA che promuove la transizione digitale. La trappola sta nel confondere questo ruolo con quello del "difensore civico per il digitale", che ha funzioni diverse.
• Quale tra i seguenti compiti NON spetta al responsabile della transizione digitale? "Ricezione delle segnalazioni relative a presunte violazioni del Codice e di ogni altra norma in materia di digitalizzazione e innovazione della Pubblica Amministrazione". Questo compito spetta al difensore civico digitale. Altri compiti (pianificazione, coordinamento della sicurezza informatica, sviluppo dei servizi) sono corretti.
• Ai sensi dell'art. 43, se il documento informatico e' conservato per legge dai gestori di servizi pubblici, cosa succede? Cessa l'obbligo di conservazione a carico dei cittadini e delle imprese. La trappola e' l'interpretazione che la conservazione rimanga comunque obbligatoria per tutti gli attori.
• L'accesso ai servizi in rete che richiedono identificazione avviene tramite... SPID e carta di identita' elettronica. Alcuni esaminandi includono erroneamente la CNS (carta nazionale dei servizi) come requisito obbligatorio, ma la norma prevede solo SPID o CIE.
• Cosa indica l'acronimo AgID? "Agenzia per l'Italia Digitale". La trappola consiste nel rispondere "Autorita' per la gestione dell'innovazione digitale", che non e' il nome ufficiale.
• Che cosa si intende per "firma digitale" ai sensi dell'art. 1? E' "un particolare tipo di firma qualificata basata su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare di firma elettronica tramite la chiave privata e a un soggetto terzo tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrita' di un documento informatico". La trappola piu' comune e' confondere la firma digitale con la firma elettronica avanzata, che ha requisiti diversi.
• Chi e' il "titolare" della firma elettronica? La persona fisica cui e' attribuita la firma elettronica e' denominata "titolare". Alcuni rispondono "firmatario", ma la terminologia corretta e' "titolare di firma elettronica".
• Secondo l'art. 47, le comunicazioni di documenti tra le PA mediante posta elettronica certificata sono valide... "Una volta che se ne sia verificata la sola provenienza". La trappola sta nel pensare che sia necessaria anche la verifica dell'integrita', ma la norma richiede solo la prova di provenienza.
• Il documento informatico avente contenuto identico a quello del documento analogico da cui e' tratto corrisponde a... "Copia informatica di documento analogico". La risposta errata frequente e' "duplicato informatico", che ha una definizione diversa (memorizzazione della stessa sequenza binaria).
• Cosa sono gli "originali non unici"? Sono i documenti per i quali sia possibile risalire al loro contenuto attraverso altre scritture o i documenti di cui sia obbligatoria la conservazione, anche se in possesso di terzi. La trappola consiste nel confondere questi con gli "originali unici".
• Quale tra i seguenti NON ha l'obbligo di dotarsi di un domicilio digitale? "I dirigenti della PA". Tutte le altre categorie (imprese, professionisti, cittadini) hanno l'obbligo, mentre i dirigenti sono esclusi.
• Che cosa regola l'art. 71 del CAD? Le linee guida contenenti le regole tecniche e di indirizzo per l'attuazione del CAD sono adottate dall'AgID. La trappola e' rispondere "dal Ministero per la pubblica amministrazione", ma la competenza e' esplicitamente attribuita all'Agenzia.
• Quale disposizione della L. n. 241/1990 disciplina l'uso della telematica nei rapporti tra le amministrazioni e i privati? L'articolo 3-bis. Spesso gli esaminandi citano l'art. 1, ma la norma specifica e' il 3-bis.
• Che cosa si intende per "formato aperto"? Un formato di dati reso pubblico, documentato esaustivamente e neutro rispetto agli strumenti tecnologici necessari per la fruizione dei dati stessi. La trappola e' pensare che qualsiasi formato "non proprietario" sia automaticamente aperto, ma la definizione richiede anche la documentazione completa.

Strategia di verifica rapida: dopo aver letto la domanda, individua la parola chiave (es. "istituzione", "elabora", "definisce") e cerca nella tua mente il riferimento normativo (art., comma, lett.). Se la risposta contiene una citazione esatta dell'articolo, e' quasi sicuramente corretta. In caso di dubbio, verifica se la risposta include termini di esclusione ("solo", "escluso") che spesso sono usati per creare trappole. Un trucco pratico e' quello di formulare mentalmente la risposta in una frase completa: "Secondo l'art. X del d.lgs. 82/2005, ...". Se la frase rispetta la struttura della norma, la risposta e' valida.

Infine, per consolidare la preparazione, esercitati con i quesiti in ordine casuale, annota le trappole che ti hanno colto di sorpresa e rivedi le relative norme. Con questa metodologia potrai affrontare i quiz con sicurezza, riducendo al minimo gli errori di interpretazione e dimostrando una padronanza completa del Codice dell'amministrazione digitale.