943.032   1   Ordinanza  sui servizi di certificazione nel campo della   firma elettronica e di altre applicazioni di certificati digitali   (Ordinanza sulla firma elettronica, OFiEle)   del 23 novembre 2016 (Stato 2  ottobre 2020)     Il Consiglio federale svizzero,   visti gli articoli 4, 6 capoverso 1, 7 capoverso 4, 9 capoverso 4, 10 capoverso 3,   12 capoverso 4, 14 capoverso 2 e 21 della legge federale del 18 marzo 20161 sulla  firma elettronica (FiEle);  visto l’articolo 59a capoverso 3 del Codice delle obbligazioni2,   ordina:   Art. 1 Organismi di riconoscimento   1 Il Servizio di accreditamento svizzero (SAS) della Segreteria di Stato dell’eco- nomia accredita gli organismi che riconoscono i prestatori di servizi di certificazione  conformemente alle disposizioni dell’ordinanza del 17 giugno 19963 sull’accredita- mento e la designazione.   2 Se non esiste alcun organismo di riconoscimento accreditato, l’Ufficio federale  delle comunicazioni (UFCOM) riconosce i prestatori di servizi di certificazione.   Art. 2 Assicurazione   1 I prestatori di servizi di certificazione che vogliono essere riconosciuti concludono  un’assicurazione responsabilità civile per un importo di almeno 2 milioni di franchi  per evento assicurato e di 8 milioni di franchi per anno di assicurazione.   2 Invece dell’assicurazione possono produrre una garanzia equivalente.   Art. 3 Generazione, memorizzazione e utilizzazione di chiavi crittografiche   1 La lunghezza della chiave e l’algoritmo utilizzato devono essere in grado di resi- stere agli attacchi crittografici durante la validità del certificato regolamentato.   2 L’UFCOM disciplina le modalità nelle prescrizioni tecniche e amministrative e  stabilisce i requisiti applicabili ai sistemi di generazione, di memorizzazione e di  utilizzazione delle chiavi crittografiche private.        RU 2016 4667  1 RS 943.03  2 RS 220  3 RS 946.512   943.032      Esercizio del commercio   2   943.032   Art. 4 Certificati regolamentati   1 L’UFCOM disciplina il formato dei certificati regolamentati per le applicazioni  seguenti:   a. la firma elettronica di una persona fisica o il sigillo elettronico di un’unità  IDI ai sensi dell’articolo 3 capoverso 1 lettera c della legge federale del  18 giugno 20104 sul numero d’identificazione delle imprese (LIDI);   b. l’identificazione elettronica di suddetta persona o unità;   c. il criptaggio di dati elettronici.   2 I certificati regolamentati contenenti l’indicazione che, con la propria firma elet- tronica, il titolare può contrarre un obbligo per sé o per l’unità IDI di cui è rappre- sentante possono essere rilasciati soltanto a persone fisiche.   Art. 5 Rilascio di certificati regolamentati a persone fisiche   1 I prestatori di servizi di certificazione riconosciuti esigono dalle persone che chie- dono un certificato regolamentato che esibiscano personalmente un passaporto, una  carta d’identità svizzera o una carta d’identità riconosciuta per l’entrata in Svizzera.   2 Se le qualità specifiche (art. 7 cpv. 3 lett. a FiEle), il potere di rappresentanza o  l’unità IDI rappresentata (art. 7 cpv. 3 lett. b FiEle) sono iscritti nel registro di com- mercio, i prestatori di servizi di certificazione riconosciuti esigono la presentazione  di un estratto attuale e autenticato di quest’ultimo. Le qualità specifiche e il potere di  rappresentanza menzionati nell’estratto non richiedono né la conferma da parte  dell’organismo competente né l’approvazione dell’unità IDI rappresentata ai sensi  dell’articolo 9 capoversi 2 e 3 FiEle.   3 I prestatori di servizi di certificazione riconosciuti devono assicurarsi che le iscri- zioni nel certificato non siano contrarie a quelle del registro di commercio. In parti- colare, per una persona che, secondo il registro di commercio, è autorizzata a rap- presentare un ente giuridico o che vi esercita una funzione, possono menzionare nel  certificato, in relazione all’ente giuridico interessato, soltanto lo stesso potere di  rappresentanza o la stessa funzione.   4 Se l’unità IDI rappresentata è iscritta nel registro di commercio, per menzionare  nel certificato un potere di rappresentanza non iscritto nel registro di commercio è  necessaria la firma di una persona autorizzata a rappresentare l’unità IDI secondo il  registro di commercio.   5 I prestatori di servizi di certificazione riconosciuti verificano inoltre i dati relativi  alle caratteristiche di base dell’unità IDI rappresentata consultando il registro IDI  (art. 11 cpv. 1 LIDI5). Se l’unità IDI non ha autorizzato la pubblicazione dei propri  dati relativi alle caratteristiche di base (art. 11 cpv. 3 LIDI), devono esigere la pre- sentazione di un estratto del registro IDI attuale e autenticato.   6 I capoversi 1–5 si applicano anche al rilascio di un certificato regolamentato a una  persona fisica che utilizza uno pseudonimo.       4 RS 431.03  5 RS 431.03     O sulla firma elettronica   3   943.032   Art. 6 Rilascio di certificati regolamentati a unità IDI diverse da persone  fisiche   1 L’identità della persona che chiede il rilascio di un certificato regolamentato per  un’unità IDI che non è una persona fisica deve essere verificata conformemente  all’articolo 5 capoverso 1. Il potere di rappresentanza di questa persona dev’essere  giustificato con una procura scritta, salvo se è iscritto nel registro di commercio.   2 I prestatori di servizi di certificazione riconosciuti devono verificare i dati relativi  alle caratteristiche di base dell’unità IDI consultando il registro IDI (art. 11 cpv. 1  LIDI6). Se l’unità IDI non ha autorizzato la pubblicazione dei propri dati relativi alle  caratteristiche di base (art. 11 cpv. 3 LIDI), devono esigere la presentazione di un  estratto attuale e autenticato del registro IDI.   3 Se l’unità IDI è iscritta nel registro di commercio, deve essere richiesta la presen- tazione di un estratto attuale e autenticato di quest’ultimo.   Art. 7 Dispensa dall’obbligo di presentarsi personalmente   1 L’identità di una persona che chiede un certificato regolamentato può essere stabi- lita a distanza a condizione che un organismo di valutazione della conformità abbia  confermato che il metodo di riconoscimento utilizzato fornisce una garanzia equi- valente alla presenza di persona.   2 I prestatori di servizi di certificazione riconosciuti possono rilasciare certificati  regolamentati nel quadro di un processo di verifica dell’identità tramite comunica- zione audiovisiva in tempo reale conforme alle esigenze della legge del 10 ottobre  19977 sul riciclaggio di denaro. I certificati rilasciati in questo modo possono essere  utilizzati soltanto nell’ambito delle relazioni tra i titolari e gli intermediari finanziari  che ne hanno verificato l’identità.   3 I prestatori di servizi di certificazione riconosciuti possono accettare una domanda  corredata di firma elettronica qualificata per il rilascio di un certificato regolamen- tato:   a. a un’unità IDI che non è una persona fisica, a condizione che un registro  pubblico attesti il potere di rappresentanza del richiedente;   b. a una persona fisica senza qualità specifiche né potere di rappresentanza, a  condizione che questa persona sia già stata identificata dal prestatore di ser- vizi di certificazione conformemente all’articolo 5 o ai capoversi 1 e 2 del  presente articolo.       6 RS 431.03  7 RS 955.0     Esercizio del commercio   4   943.032   Art. 7a8   Art. 8 Copia e conservazione dei duplicati delle chiavi   I prestatori di servizi di certificazione riconosciuti possono realizzare e conservare i  duplicati delle chiavi crittografiche private dei propri clienti, salvo se queste ultime  sono utilizzate per la firma elettronica e sono memorizzate nei dispositivi per la  creazione delle firme in possesso dei clienti.   Art. 9 Annullamento dei certificati regolamentati   1 I prestatori riconosciuti informano i loro clienti sulla modalità di richiesta del- l’annullamento dei certificati regolamentati. Essi devono essere in grado di ricevere  in qualsiasi momento le domande di annullamento.   2 Essi devono garantire a terzi l’accesso online alle informazioni relative all’annul- lamento dei certificati regolamentati sino alla scadenza della loro validità. Le infor- mazioni comprendono il numero di serie del certificato, la menzione relativa  all’annullamento, nonché la data e l’ora dell’annullamento. Devono essere autentica- te mediante il sigillo elettronico regolamentato del prestatore riconosciuto.   3 I prestatori di servizi di certificazione riconosciuti devono essere in grado di dare  informazioni che permettano la verifica dei certificati regolamentati non più validi  anche durante gli undici anni successivi alla loro scadenza.   Art. 10 Marca temporale elettronica qualificata   L’UFCOM definisce i requisiti che devono adempiere i prestatori di servizi di certi- ficazione riconosciuti per fornire una marca temporale elettronica qualificata.   Art. 11 Libro giornale delle attività   1 I prestatori di servizi di certificazione riconosciuti conservano durante undici anni  le registrazioni concernenti le loro attività come pure i relativi documenti giustifi- cativi.   2 Per le attività relative ai certificati, il termine decorre dalla scadenza dei certificati.   3 Per i certificati rilasciati in applicazione dell’articolo 7 capoverso 3 lettera b, le  registrazioni e i documenti giustificativi per l’identificazione del titolare conforme- mente agli articoli 5 e 7 capoversi 1 e 2 devono essere conservati fino alla scadenza  del termine di undici anni relativo all’ultimo certificato rilasciato secondo tale moda- lità.       8 Introdotto dal n. I dell’O del 1° apr. 2020, in vigore dal 2 apr. al 1° ott. 2020   (RU 2020 1149).     O sulla firma elettronica   5   943.032   Art. 12 Cessazione dell’attività   1 I prestatori di servizi di certificazione riconosciuti comunicano immediatamente,  ma con un preavviso di almeno 30 giorni, al SAS e all’organismo di riconoscimento  che intendono cessare la loro attività.   2 Se non vi è alcun altro prestatore di servizi di certificazione riconosciuto cui il SAS  può trasferire i compiti conformemente all’articolo 14 capoverso 2 FiEle, l’UFCOM  assume le mansioni seguenti:   a. continua a trattare le domande di annullamento dei certificati regolamentati;   b. assicura che le informazioni relative all’annullamento dei certificati regola- mentati possano essere consultate da terzi su supporto elettronico sino alla  scadenza;   c. aggiorna il libro giornale delle attività e lo conserva unitamente ai relativi  documenti giustificativi.   3 Può annullare di propria volontà i certificati ancora validi.   Art. 13 Misure di sicurezza   1 Il titolare di un certificato regolamentato deve conservare l’accesso esclusivo alla  chiave crittografica utilizzata per creare una firma o un sigillo elettronico. Per quan- to sia ragionevolmente esigibile, porta con sé o conserva sotto chiave il dispositivo  per la creazione della firma o del sigillo elettronico.   2 In caso di perdita o di furto del dispositivo per la creazione della firma o del sigillo,  il titolare del certificato regolamentato ne deve chiedere senza indugio l’annulla- mento. Lo stesso vale se il titolare sa o ha il sospetto fondato che un terzo abbia  potuto avere accesso alla chiave crittografica utilizzata per creare una firma o un  sigillo elettronico.   3 I dati per l’attivazione del dispositivo per la creazione della firma o del sigillo  elettronico (dati di attivazione) non devono riferirsi a dati relativi alla persona o  all’unità IDI titolare del certificato regolamentato.   4 Le trascrizioni dei dati di attivazione devono essere conservate in un luogo sicuro e  separatamente dal dispositivo per la creazione della firma o del sigillo elettronico.   5 Il titolare di un certificato regolamentato deve modificare i dati di attivazione del  dispositivo per la creazione della firma o del sigillo se sa o se ha il sospetto fondato  che un terzo ne sia venuto a conoscenza. Se non può modificare egli stesso i dati di  attivazione deve chiedere senza indugio l’annullamento del certificato.   Art. 14 Registro di commercio   1 Per quanto concerne la conservazione dei documenti giustificativi da esibire per il  rilascio di un certificato regolamentato a persone le cui qualità specifiche o il cui  potere di rappresentanza siano iscritti nel registro di commercio, rimangono salvi gli     Esercizio del commercio   6   943.032   articoli 8 capoverso 5, 9 capoverso 4 e 166 dell’ordinanza del 17 ottobre 20079 sul  registro di commercio.   2 Solo l’iscrizione nel registro di commercio è determinante quale prova delle qualità  specifiche e del potere di rappresentanza del titolare del certificato regolamentato.   Art. 15 Esecuzione   L’UFCOM emana le necessarie prescrizioni tecniche e amministrative. A tal fine  tiene conto della pertinente normativa internazionale e può dichiarare applicabili  norme tecniche internazionali.   Art. 16 Abrogazione e modifica di altri atti normativi   L’abrogazione e la modifica di altri atti normativi sono disciplinate nell’allegato.   Art. 17 Disposizioni transitorie   1 I certificati qualificati rilasciati prima del 1° gennaio 2017 restano validi sino alla  loro scadenza, ma al massimo fino al 31 dicembre 2019.   2 I prestatori di servizi di certificazione riconosciuti secondo il diritto anteriore  possono rilasciare certificati regolamentati ai sensi del nuovo diritto finché non  avranno ottenuto il riconoscimento secondo il nuovo diritto o fino a quando sarà  ritirato loro il riconoscimento, ma non oltre il 31 dicembre 2018. I certificati rego- lamentati che rilasciano prima di aver ottenuto il nuovo riconoscimento sono validi  al massimo fino al 31 dicembre 2019.   Art. 18 Entrata in vigore   La presente ordinanza entra in vigore il 1° gennaio 2017.       9 RS 221.411     O sulla firma elettronica   7   943.032   Allegato  (art. 16)   Abrogazione e modifica di altri atti normativi   I   L’ordinanza del 3 dicembre 200410 sulla firma elettronica è abrogata.   II   Le ordinanze qui appresso sono modificate come segue:   ...11       10 [RU 2004 5101, 2011 3457]  11 Le mod. possono essere consultate alla RU 2016 4667.      Esercizio del commercio   8   943.032       	Art. 1 Organismi di riconoscimento 	Art. 2 Assicurazione 	Art. 3 Generazione, memorizzazione e utilizzazione di chiavi crittografiche 	Art. 4 Certificati regolamentati 	Art. 5 Rilascio di certificati regolamentati a persone fisiche 	Art. 6 Rilascio di certificati regolamentati a unità IDI diverse da persone fisiche 	Art. 7 Dispensa dall’obbligo di presentarsi personalmente 	Art. 7a 	Art. 8 Copia e conservazione dei duplicati delle chiavi 	Art. 9 Annullamento dei certificati regolamentati 	Art. 10 Marca temporale elettronica qualificata 	Art. 11 Libro giornale delle attività 	Art. 12 Cessazione dell’attività 	Art. 13 Misure di sicurezza 	Art. 14 Registro di commercio 	Art. 15 Esecuzione 	Art. 16 Abrogazione e modifica di altri atti normativi 	Art. 17 Disposizioni transitorie 	Art. 18 Entrata in vigore 	Allegato 	Abrogazione e modifica di altri atti normativi