Timestamp RFC 3161: cosa sono, perché sono importanti e quando sono legalmente obbligatori

Immaginate di consegnare una lettera a qualcuno, che poi contesta quando è stata scritta, e voi non avete modo di dimostrare la data se non con la vostra parola. Un notaio risolve quel problema testimoniando il documento e apponendo un timbro con una data di cui è legalmente responsabile. RFC 3161 è l’equivalente crittografico: una terza parte fidata attesta, in modo matematicamente verificabile, che un documento specifico esisteva in un momento preciso e non è stato modificato da allora.

Questo è importante per la fatturazione elettronica UE perché la legge fiscale non richiede solo di conservare le fatture. Richiede di conservarle in modo da rendere rilevabile la manomissione. Un timestamp RFC 3161 è uno dei meccanismi più solidi disponibili per soddisfare questo requisito.

Come funziona un timestamp affidabile

Il meccanismo di base ha quattro passaggi:

1. Eseguire l’hashing del documento. Una funzione hash crittografica (SHA-256 o SHA-512 nelle implementazioni moderne) viene applicata al documento. Il risultato è un’impronta digitale di lunghezza fissa. Qualsiasi modifica al documento, anche un singolo bit, produce un’impronta digitale completamente diversa.
2. Inviare l’hash a una Timestamp Authority. Si invia solo l’hash, non il documento stesso, a un server affidabile chiamato Timestamp Authority (TSA). La TSA non vede mai il contenuto del documento.
3. La TSA firma la risposta. La TSA crea un token firmato che lega l’hash all’ora corrente della TSA, firmato con la chiave privata della TSA. Questo token è il timestamp. Contiene: l’hash del documento, l’ora e la firma digitale della TSA.
4. Si memorizza il token insieme al documento. Successivamente, chiunque può verificare che l’hash del documento corrisponda all’hash nel token e che la firma del token sia stata emessa dalla TSA nel momento indicato.

La garanzia di sicurezza è semplice: se qualcuno manomette il documento dopo il timestamp, l’hash non corrisponderà più a quello nel token. Se la chiave privata della TSA è affidabile (questa è la questione legale e tecnica a cui rispondono le TSA qualificate), il timestamp viene accettato come prova dell’esistenza e dell’integrità del documento in quel momento.

RFC 3161: lo standard

RFC 3161 è lo standard IETF che definisce il protocollo per la richiesta e la ricezione di timestamp. Pubblicato nel 2001 e ancora in vigore, specifica il formato del messaggio per l’invio dell’hash, la struttura del token firmato e gli algoritmi crittografici coinvolti.

Un token RFC 3161 è autosufficiente. Non si basa sull’operatività dei server della TSA. È possibile verificare un timestamp di 10 anni fa offline controllando la catena di certificati della TSA, che è separatamente archiviata. Questo è importante per l’archiviazione legale: le prove archiviate oggi devono essere verificabili nel 2035, indipendentemente dal fatto che la TSA utilizzata sia ancora in attività.

TSA qualificate vs. TSA di base

Non tutte le Timestamp Authority sono uguali ai sensi della legge dell’UE.

Una TSA di base gestisce un servizio RFC 3161, ma non assume impegni legali specifici riguardo alla propria fonte di tempo, alle procedure di audit o alle pratiche di gestione delle chiavi. I timestamp di base sono tecnicamente validi ma non hanno una presunzione legale speciale.

Una TSA qualificata è accreditata ai sensi del Regolamento (UE) n. 910/2014, noto come eIDAS. Una TSA qualificata:

• Utilizza una fonte di tempo tracciabile all’UTC tramite istituti metrologici nazionali
• Opera sotto procedure di sicurezza verificate
• È elencata in un elenco di fiducia nazionale mantenuto dall’organo di vigilanza competente
• Emette timestamp che godono di una presunzione legale di accuratezza ai sensi dell’articolo 41 di eIDAS

Ai sensi di eIDAS, un timestamp elettronico qualificato gode di una presunzione di accuratezza riguardo alla data e all’ora che indica, e all’integrità dei dati a cui la data e l’ora sono vincolate. In termini semplici, un tribunale non può facilmente ignorarlo.

Per la maggior parte dei requisiti di archiviazione della fatturazione elettronica UE, un timestamp qualificato è il gold standard. Per molti scenari business-to-business, un timestamp RFC 3161 di base da una TSA affidabile è ancora una prova preziosa anche senza lo status qualificato.

Quando i timestamp sono legalmente richiesti

Il requisito varia per paese, settore e tipo di documento. Ecco una panoramica pratica:

Firme elettroniche ai sensi di eIDAS. Una firma elettronica qualificata (QES) è legalmente equivalente a una firma autografa in tutta l’UE. I timestamp non sono obbligatori su ogni documento firmato, ma un timestamp vincolato a una firma al momento della firma impedisce successive controversie sulla validità della firma in quel momento (rilevante se il certificato di firma scade o viene revocato dopo la firma).

Archiviazione delle fatture (tutti gli Stati membri UE). La Direttiva IVA UE 2006/112/CE richiede che le fatture siano conservate in modo da garantire l’autenticità della loro origine e l’integrità del loro contenuto per tutto il periodo di conservazione (tipicamente 7-10 anni a seconda della legge nazionale). Un timestamp più un manifest di hash è un’implementazione tecnica riconosciuta di questo requisito.

GoBD tedesco (Principi della corretta tenuta dei libri contabili). La legge tedesca richiede che una registrazione non possa essere modificata in modo tale che il suo contenuto originario non sia più accertabile (§ 146, comma 4, AO); i GoBD lasciano aperto il metodo, e un timestamp può contribuire a soddisfare questo requisito ma da solo non basta.

Archiefwet olandese. La legge archivistica olandese si applica agli enti pubblici, non alle imprese private, e non richiede timestamp.

Fatturazione B2G. Alcuni paesi richiedono una firma elettronica qualificata sulle fatture destinate agli enti pubblici, ad esempio la FatturaPA italiana, ma non un timestamp.

Cosa succede senza un timestamp

Senza un timestamp, è possibile affermare che una fattura è stata creata in una data particolare, ma non è possibile provarlo. Se un’autorità fiscale o un tribunale contesta la data, o disputa se il documento è stato alterato a posteriori, la propria posizione si basa interamente sui propri registri, che non sono prove indipendenti.

Più specificamente:

• Un PDF non datato può in linea di principio essere retrodatato. Un tribunale può richiedere ulteriori corroborazioni per accettare la data dichiarata.
• Una fattura modificata dopo l’archiviazione senza meccanismo di rilevamento delle manomissioni non può essere distinta da una non modificata.
• In un audit IVA, l’onere della prova che una fattura è autentica e non alterata spetta all’azienda. Un timestamp è la prova più forte che si possa fornire.

Come SealDoc implementa i timestamp RFC 3161

SealDoc richiede un timestamp RFC 3161 per ogni documento per impostazione predefinita. Ecco cosa facciamo:

1. Generiamo o convertiamo il documento (PDF/A-3, Factur-X, o entrambi).
2. Calcoliamo un hash SHA-256 del file di output.
3. Inviamo l’hash a una TSA indipendente dell’UE e riceviamo un token firmato. Se la TSA non è raggiungibile, il job viene comunque completato e SealDoc ritenta più tardi.
4. Conserviamo il token insieme alle prove del documento e lo includiamo nel pacchetto di prove.
5. Registriamo il timestamp nel nostro log della catena di custodia, che è separatamente a prova di manomissione.

Il pacchetto di prove che restituiamo contiene il token RFC 3161 come file .tsr autonomo, verificabile con qualsiasi strumento di verifica conforme a RFC 3161 indipendentemente dai nostri server. Il file manifest con hash nello stesso pacchetto di prove collega il documento e il timestamp in modo che la catena completa sia verificabile offline.

SealDoc utilizza una TSA RFC 3161 indipendente con sede nell’UE.

Ulteriori informazioni sulla conformità legale

Se si vuole comprendere il quadro completo della conformità per il proprio paese specifico e tipo di fattura, la nostra pagina di conformità legale mappa ogni mandato UE ai requisiti tecnici, incluso quale livello di timestamp è sufficiente e quale è obbligatorio.

Per la verifica immediata di un documento esistente, il nostro strumento Validator verifica la conformità PDF/A-3 e ZUGFeRD/Factur-X/XRechnung.