SPID, CIE e CNS: differenze e quando usarli

Nel panorama dell'identità digitale italiana, tre strumenti convivono con logiche distinte, destinati a contesti d'uso che si sovrappongono solo in apparenza: SPID, CIE e CNS rispondono a esigenze diverse, sono emessi da soggetti diversi e poggiano su infrastrutture tecniche che, pur dialogando con gli stessi servizi pubblici, non sono intercambiabili in ogni situazione. Comprendere le differenze tra SPID, CIE e CNS non è un esercizio astratto di classificazione burocratica, ma una necessità pratica per chiunque debba accedere a portali della pubblica amministrazione, firmare documenti digitalmente o gestire procedimenti che richiedono livelli di garanzia specifici.

La confusione nasce spesso dal fatto che tutti e tre permettono di autenticarsi su molti degli stessi servizi — INPS, Agenzia delle Entrate, fascicolo sanitario elettronico, portali regionali — e che la comunicazione istituzionale li ha spesso trattati come varianti equivalenti di uno stesso sistema. In realtà, ciascuno dei tre ha un'architettura propria, un livello di assurance definito dal regolamento eIDAS e, soprattutto, una catena di emissione radicalmente diversa, con implicazioni dirette sulla portabilità, sulla revoca e sull'uso in contesti transfrontalieri.

Nel 2026, con la piena operatività del wallet europeo per l'identità digitale (EUDIW) alle porte e con l'accelerazione dei servizi digitali legata al PNRR, orientarsi tra questi tre strumenti è diventato ancora più rilevante: le PA stanno progressivamente dismettendo le credenziali proprietarie, il SPID di secondo livello è ormai la soglia minima per buona parte dei servizi, e la CIE viene riconosciuta come documento elettronico in diversi paesi dell'Unione europea.

Architettura e modalità di emissione dei tre strumenti

Lo SPID — Sistema Pubblico di Identità Digitale — è un'identità federata, emessa da Identity Provider privati accreditati dall'AgID (Agenzia per l'Italia Digitale), il che significa che tra lo Stato e il cittadino si interpone un soggetto terzo — Aruba, Namirial, Poste Italiane, TIM e altri — che ha la responsabilità del riconoscimento iniziale dell'utente e della gestione delle credenziali nel tempo; questo modello garantisce flessibilità e concorrenza, ma introduce anche una dipendenza dall'operatore scelto, con conseguenze pratiche in caso di variazioni del servizio o di chiusura del provider. La CIE — Carta d'Identità Elettronica — è invece emessa direttamente dal Ministero dell'Interno attraverso i Comuni, e il chip NFC incorporato contiene non solo i dati anagrafici ma anche il certificato di autenticazione e, nella variante CIE 3.0, il certificato per la firma elettronica qualificata; l'identità è dunque ancorata al documento fisico, con un livello di garanzia intrinsecamente elevato, ma con la necessità di un lettore NFC o di uno smartphone compatibile per l'uso digitale. La CNS — Carta Nazionale dei Servizi — è uno strumento più datato, basato su smart card con certificato digitale, emessa da diversi enti (Camere di Commercio, regioni, ordini professionali) e storicamente usata da liberi professionisti, imprenditori e operatori sanitari per l'accesso ai sistemi di categoria; la sua architettura PKI è robusta, ma la necessità di un lettore fisico di smart card la rende oggi meno pratica rispetto agli altri due strumenti per l'utente comune.

Livelli di garanzia e compatibilità con eIDAS

Il regolamento eIDAS — e la sua revisione eIDAS 2.0 — classifica i mezzi di identificazione elettronica su tre livelli di garanzia: basso, sostanziale e elevato; questa gerarchia è direttamente rilevante per capire dove e come i tre strumenti si collocano, e perché non possono sempre essere usati in modo intercambiabile. Lo SPID esiste in tre livelli: il primo richiede solo username e password, il secondo aggiunge un secondo fattore (OTP via app o SMS), il terzo prevede l'uso di un dispositivo fisico certificato; nella pratica, la quasi totalità dei servizi pubblici italiani accetta il livello 2, mentre il livello 3 è richiesto in casi molto specifici, tipicamente legati a procedimenti ad alto impatto giuridico o economico. La CIE con PIN, usata attraverso l'app CieID o un lettore NFC, garantisce un livello sostanziale nativo e, in alcune configurazioni di firma, può raggiungere il livello elevato; il fatto che il certificato sia rilasciato direttamente dallo Stato italiano la rende particolarmente solida per il riconoscimento transfrontaliero nell'UE, ambito in cui lo SPID — pur notificato — ha una copertura ancora parziale. La CNS si posiziona su livello sostanziale attraverso l'autenticazione con certificato digitale su smart card, e rimane lo strumento privilegiato per determinati accessi professionali — Cassetto Fiscale per imprese, Fisconline avanzato, sistemi camerali — proprio perché la sua infrastruttura PKI è già integrata nei sistemi che la gestione d'impresa richiede quotidianamente.

Casi d'uso pratici: quando conviene quale strumento

Per un cittadino che accede sporadicamente ai servizi della PA — INPS per la pensione, Agenzia delle Entrate per la dichiarazione, fascicolo sanitario regionale — lo SPID di livello 2 rappresenta lo strumento con il miglior rapporto tra semplicità d'uso e diffusione dei servizi compatibili; la procedura di attivazione è interamente digitale presso la maggior parte dei provider, e la gestione quotidiana avviene tramite smartphone senza hardware aggiuntivo. La CIE diventa preferibile — e in alcuni casi obbligatoria — quando si tratta di accedere a servizi che richiedono un'identità certificata dallo Stato o quando ci si trova a interagire con piattaforme di altri paesi UE che già la riconoscono come documento elettronico valido; inoltre, chi ha perso o non ha ancora attivato lo SPID trova nella CIE un'alternativa immediata, poiché il documento viene già rilasciato con le funzionalità digitali abilitate di default dai Comuni. La CNS, invece, conserva la sua ragion d'essere soprattutto in contesti professionali strutturati: un commercialista che accede giornalmente ai sistemi dell'Agenzia delle Entrate per conto dei clienti, un medico che consulta il FSE regionale tramite postazione fissa, un imprenditore che gestisce pratiche camerali troverà nella CNS — spesso già integrata nella propria tessera professionale o nel token USB — uno strumento più efficiente per flussi di lavoro ripetuti su workstation dedicate.

Firma digitale: il ruolo specifico di CIE e CNS

Una distinzione che spesso sfugge riguarda la firma elettronica: né lo SPID né la semplice autenticazione con CIE sono equivalenti a una firma digitale qualificata ai sensi del regolamento eIDAS, e confondere autenticazione con firma può avere conseguenze legali significative in contesti contrattuali o giuridici. La CNS, se dotata di certificato di firma (e non tutti i modelli lo includono di default), consente la firma elettronica qualificata tramite le applicazioni di firma conformi; la CIE 3.0 con certificato di firma abilitato può anch'essa essere usata per firmare digitalmente documenti, ma la procedura richiede configurazioni specifiche che non tutti i comuni hanno ancora implementato in modo uniforme. Lo SPID, strutturalmente, è un sistema di autenticazione e non di firma: esiste la possibilità tecnica di costruire servizi di firma basati su SPID attraverso i provider, ma si tratta di soluzioni commerciali aggiuntive — spesso offerte come "firma con SPID" dagli Identity Provider — che non vanno confuse con la firma qualificata in senso stretto, richiedendo una valutazione caso per caso del valore legale attribuibile al documento risultante.

Prospettive di evoluzione nel contesto del wallet europeo

Con l'avanzamento dell'implementazione dell'European Digital Identity Wallet previsto dal regolamento eIDAS 2.0, il panorama delle identità digitali in Italia subirà una riconfigurazione significativa nei prossimi anni: il wallet conterrà attributi verificabili — identità, patente, titoli di studio, qualifiche professionali — e i tre strumenti attuali dovranno in qualche modo integrarsi o convergere con questo nuovo paradigma. La CIE, in quanto documento d'identità statale con chip certificato, è il candidato naturale a diventare il nucleo dell'identità nel wallet italiano, come già indicato nelle linee guida AgID e nei tavoli tecnici europei; lo SPID, nella sua forma attuale, potrebbe invece evolvere verso un ruolo più specifico di autenticazione federata per servizi che non richiedono il pieno riconoscimento transfrontaliero. La CNS, con la sua base utente professionale e la sua integrazione nei sistemi di categoria, difficilmente sparirà nel breve periodo, ma la sua evoluzione dipenderà dalla capacità degli enti emettitori — Camere di Commercio in testa — di integrarla con le nuove infrastrutture di fiducia europee, mantenendo la continuità operativa per i professionisti che vi fanno affidamento quotidianamente senza potersi permettere interruzioni nei flussi di lavoro.