P.E.C. che cos'e'

La posta elettronica certificata (PEC)

è un tipo particolare di posta elettronica, disciplinata dalla legge italiana, che permette di dare a un messaggio di posta elettronica lo stesso valore legale di una raccomandata con avviso di ricevimento tradizionale garantendo così il non ripudio. Anche il contenuto può esserecertificato e firmato elettronicamente oppure criptato garantendo quindi anche autenticazione, integrità dei dati e confidenzialità.

La disciplina della PEC è principalmente contenuta nel Decreto del presidente della Repubblica 11 febbraio 2005 n. 68 e nel decreto legislativo 7 marzo 2005 n. 82 (cosiddetto codice dell'amministrazione digitale).

Nell'aprile 2011 Francesco Gennai, Alba Shahin (ISTI-CNR), Claudio Petrucci e Alessandro Vinciarelli (CNIPA) hanno redatto l'Internet RFC 6109 (Request for Comments 6109) al fine di rendere accessibili alla comunità Internet l'architettura e i protocolli PEC.

Dal 1º luglio 2013 le comunicazioni tra imprese e pubblica amministrazione devono avvenire solo via PEC, non essendo più accettate le comunicazioni in forma cartacea

Il servizio "CEC-PAC" ufficiale del Governo italiano ("PostaCertificat@") verrà progressivamente sospeso nell'arco del 2015

Funzionamento

Per poter utilizzare il servizio si deve disporre di un'apposita casella di PEC presso uno dei gestori autorizzati (un servizio di PEC gratuita era fornito fino a dicembre 2014 dal Governo Italiano, su un dominio specifico, senza firma digitale, ed esclusivamente per comunicazioni tra cittadino e Pubblica Amministrazione e viceversa).

La pubblicazione dell'elenco dei gestori autorizzati e quello della Pubblica Amministrazione, la vigilanza e il coordinamento nei confronti dei gestori e della Pubblica Amministrazione è demandata all'Ente nazionale per la digitalizzazione della Pubblica Amministrazione (DigitPA).

Al momento dell'invio di una mail PEC il gestore PEC del mittente si occuperà di inviare a quest'ultimo una ricevuta che costituirà valore legale dell'avvenuta (o mancata) trasmissione del messaggio, con precisa indicazione temporale del momento in cui la mail PEC è stata inviata. In egual modo, il gestore del destinatario, dopo avergli depositato il messaggio PEC nella sua casella, fornirà al mittente una ricevuta di avvenuta consegna, con l'indicazione del momento temporale nel quale tale consegna è avvenuta. In caso di smarrimento di una delle ricevute presenti nel sistema PEC è possibile disporre, presso i gestori del servizio, di unatraccia informatica avente lo stesso valore legale in termini di invio e ricezione, per un periodo di trenta mesi, secondo quanto previsto dalle normative.

Dal punto di vista dell'utente, una casella di posta elettronica certificata non si differenzia dunque da una casella di posta normale; cambia solo per ciò che riguarda il meccanismo di comunicazione sul quale si basa la PEC e sulla presenza di alcune ricevute inviate dai gestori PEC al mittente e al destinatario. L'utente destinatario non visualizza l'e-mail del mittente, ma un messaggio automatico generato dal gestore di posta del mittente, che contiene due allegati: la e-mail "originale" del mittente con relativi allegati, e un file di ".xml" (file di testo o apribile con apposito software) con le stesse informazioni della notifica di invio trasmessa al mittente (ID del messaggio, luogo data e ora di invio, e dati di intestazione quali e-mail del destinatario tipo PEC / non-PEC, oggetto). La posta elettronica certificata, infatti, per essere tale, deve seguire le regole fissate dal Decreto del presidente della Repubblica n. 68/2005 e dalle successive regole da esso previste. Queste norme, insieme ad altre (tra cui, in particolare, il Codice dell'Amministrazione Digitale, Decreto legislativo n. 235/2010), ne stabiliscono la validità legale, le regole e le modalità di utilizzo. In particolare:

Il servizio può essere erogato esclusivamente dai gestori accreditati presso il CNIPA che è l'organo pubblico preposto al controllo della posta elettronica certificata.
Per la PEC devono essere usati domini dedicati (un dominio di PEC non contiene caselle email non PEC).

Ogni gestore PEC nel rispetto della norma deve sottoporsi a una serie di test d'interoperabilità, espressamente individuati e disponibili sul sito ufficiale del CNIPA I test d'interoperabilità vengono eseguiti per valutare la correttezza tecnico/funzionale del servizio di PEC erogato dal gestore. Come indicato nella documentazione ufficiale sono presenti espliciti test per verificare l'invio e la ricezione con caselle di posta elettronica tradizionale. Si ricorda che le regole tecniche PEC, allegate alDecreto Ministeriale 2 novembre 2005, prevedono la gestione di messaggi di posta elettronica tradizionale, tanto che viene definita un'apposita busta di trasporto atta a contenere e-mail provenienti da indirizzi di posta non PEC. Inoltre la ricevuta di accettazione, emanata all'atto dell'invio, evidenzia la tipologia di indirizzi di posta con apposite diciture (es. Posta Certificata - Posta non Certificata). Chiaramente, l'eventuale destinatario non PEC, pur ricevendo correttamente il messaggio, potrà generare gli avvisi di avvenuta/mancata consegna (e lettura del messaggio), ma senza alcun valore legale che invece avrebbe un destinatario di PEC.

CEC-PAC

La Comunicazione Elettronica Certificata tra Pubblica Amministrazione e Cittadino (CEC-PAC) è un servizio gratuito rivolto ai cittadini maggiorenni italiani (anche residenti all'estero) e agli stranieri residenti nel territorio italiano. Il funzionamento è identico alla PEC, tuttavia per il cittadino è possibile solo per comunicazioni verso indirizzi PEC della pubblica amministrazione italiana

Dal 2009 fino al 18 dicembre 2014, sono state rilasciate 2.121.915 caselle CEC-PAC.

Nel 2014 è stata annunciata la progressiva dismissione della CEC-PAC, a causa del mancato raggiungimento degli obiettivi iniziali. Inoltre, l'82% delle caselle attive non ha mai inviato messaggi

Vantaggi della PEC

Il servizio PEC, per sua stessa natura, mostra una serie di vantaggi rispetto alla raccomandata con ricevuta di ritorno e all'ordinaria atto giudiziario tradizionale. I principali sono:

Ogni formato digitale può essere inviato tramite posta elettronica certificata;
I messaggi possono essere consultati da ogni computer o smartphone connesso alla rete Internet;
L'avvenuta consegna al provider della mail viene garantita; nel caso non sia possibile recapitare il messaggio al destinatario, il mittente viene informato;
Le ricevute di consegna hanno piena validità legale, anche se il messaggio non è stato effettivamente letto dal destinatario (su cui grava l'onere della prova di non aver ricevuto il messaggio), in maniera simile alla cosiddetta "compiuta giacenza" dell'atto giudiziario cartaceo o della raccomandata (la differenza è che la notifica "cartacea" per compiuta giacenza si perfeziona dopo 10 giorni dal deposito presso l'ufficio postale, mentre la notifica elettronica è pressoché istantanea);
Esiste una funzionalità che permette, a chi invia, di chiedere una ricevuta di consegna "completa" (cioè che contiene anche una copia esatta, firmata digitalmente dal proprio gestore di posta, del messaggio spedito): tale ricevuta "completa" fa piena prova del contenuto inviato (al contrario di quanto avviene con la tradizionale posta raccomandata cartacea, con la quale il mittente non dispone di una prova sull'effettivo contenuto del plico imbustato: per ovviare a questo limite della tradizionale raccomandata, si può ricorrere all'espediente di non utilizzare la busta per spedizioni ma di confezionare il plico con lo stesso contenuto, opportunamente ripiegato e sigillato).
Tracciabilità della casella mittente;
Vi è certezza sulla destinazione dei messaggi;
L'invio dei messaggi può avere costi inferiori a quello delle raccomandate. Per una giusta valutazione deve essere preso in considerazione il costo di invio di una raccomandata cartacea tradizionale, che cresce in funzione del numero di pagine e del peso del plico, e il numero di comunicazioni inviate annualmente. Queste informazioni devono poi essere comparate con le tariffe del gestore PEC, che solitamente rende disponibile una casella PEC con un costo calcolato su base annuale. Di solito, una volta pagato il canone annuale l'utente può inviare un numero illimitato di messaggi PEC. Va anche calcolato il "total cost of ownership" del servizio legato alle necessità di archiviazione locale, copia di sicurezza (backup), indicizzazione e recupero-estrazione delle ricevute, specie in grandi organizzazioni che generano rilevanti quantità di corrispondenza;
Elevati requisiti di qualità e continuità del servizio. I Service Level Agreement (SLA) di legge prevedono una disponibilità del servizio del 99,8% su base quadrimestrale. Gli SLA della disponibilità del servizio PEC non valgono per la connettività. In altri termini, i server del gestore PEC possono essere disponibili nel 99,8% dell'anno, ma la connettività per raggiungerli (offerta da un soggetto terzo rispetto ai due contraenti del servizio PEC) potrebbe avere SLA differenti;
Obbligo da parte del gestore di archiviare tutti gli eventi associati a invii e ricezioni di messaggi PEC, per un periodo di trenta mesi;
Obbligo da parte del gestore di applicare le procedure atte a garantire il rispetto delle misure di sicurezza previste dal Codice dei dati personali e la sicurezza della comunicazione.

Svantaggi della PEC

La tecnologia PEC non è riconosciuta come standard internazionale, a differenza di altre tecniche di firma digitale e di tracciamento della consegna equivalenti e standard, come RFC 3798.
La presunta riservatezza garantita dalla criptatura PEC è minata alla base dal fatto che i software per la PEC vengono installati e utilizzati sui PC che gli utenti normalmente usano - e sono dunque nella maggior parte dei casi esposti al rischio derivante da spyware e malware.
Non vi sono opzioni gratuite per utilizzare la PEC: per attivarla occorre pagare i servizi di un'azienda privata. Ciò costituisce un onere aggiuntivo per professionisti e società, che contribuisce a eroderne ulteriormente la competitività in ambito internazionale, dove la PEC non è richiesta.
Il fatto che la data di notifica del file depositato coincida, legalmente, con la data del deposito, comporta la necessità di monitorare regolarmente la propria casella di posta certificata, per evitare il decorso di eventuali termini contenuti in un atto che, per ipotesi, si andrà a scaricare dopo un certo lasso di tempo: questo potrebbe comportare ossessività nel consultare la propria mail certificata. Tale problema può essere superato impostando funzioni automatiche che notifichino, su altri dispositivi (ad es.: dispositivi mobili) o su caselle email ordinarie (ad esempio, quelle dei dipendenti abilitati, in azienda, all'uso della PEC), l'arrivo di una comunicazione certificata. Inoltre, tale obiezione non tiene conto del fatto che il sistema PEC è modellato esattamente sulla base della normativa sulla notificazione postale "cartacea", la quale prevede la piena conoscibilità dell'atto giudiziario "cartaceo" e della sua avvenuta notifica per "compiuta giacenza" (seppure, nelle spedizioni cartacee, dopo 10 giorni dal deposito presso l'ufficio postale). Va tenuto conto, poi, che la legislazione italiana attuale prevede ancora altre forme di notificazione (es. pubblicità legale su giornali, pubblici proclami, ecc.) che, potenzialmente, sono ancora meno conoscibili per il cittadino "comune".
Il file depositato sulla casella PEC potrebbe essere cancellato (anche inavvertitamente) dallo stesso destinatario o da malviventi che, entrando abusivamente nella casella, potrebbero cancellare illegalmente mail certificate non a loro indirizzate, causando gravi danni al destinatario. Il problema è solo parzialmente mitigato del fatto che i documenti inviati tramite la posta elettronica certificata proveniente dalla Pubblica Amministrazione, o ad essa destinata, sono comunque registrati in maniera indelebile nei registri di protocollo informatico della PA medesima (per cui, in caso di bisogno, è sempre consentito chiedere copia dei documenti medesimi tramite una normale richiesta, invocando il Diritto di accesso agli atti e documenti amministrativi).
La comunicazione ha valore legale solo se avviene tra caselle PEC: se, invece, il messaggio viene inviato da una PEC a una casella email standard non c'è la certezza dell'avvenuta consegna/notifica (al pari di una lettera cartacea inviata per posta ordinaria). Tale obiezione, però, è parzialmente mitigata dal fatto che, di solito, l'invio via PEC da parte della Pubbliche amministrazioni avviene tramite il sistema di gestione documentale del protocollo informatico, il quale comunque registra e tiene traccia dell'invio (accettazione) del messaggio.
Qualora non si utilizzi la funzionalità della ricevuta di consegna "completa": in questo caso, il mittente ha certezza dell'avvenuta consegna del messaggio ma (al pari della tradizionale posta cartacea) non ha la prova del suo effettivo contenuto: solo il destinatario, infatti, riceve il messaggio firmato digitalmente dal provider PEC, che ne certifica il contenuto. Per superare questo limite, è sufficiente utilizzare la funzionalità di richiesta della ricevuta di consegna "completa".

Privacy e sicurezza

La capienza contrattualizzata delle caselle di posta impone severi limiti alla libera circolazione della corrispondenza. Nella normativa non esiste cenno a cosa accada se la serie di messaggi PEC supera la capienza della casella acquistata, sia dal mittente sia dal ricevente. Tecnicamente, poiché la PEC si basa sulla tecnologia della posta elettronica, se la casella del destinatario è piena, il mittente riceverà - in luogo della ricevuta di avvenuta consegna - un messaggio d'errore di sistema che informa, con la relativa diagnostica, dell'impossibilità di consegnare il messaggio.

Nella Informativa per la privacy al cittadino della Postacertificat@ del Governo Italiano è specificato che "i dati personali dell'Utente contenuti nell’indirizzo di Postacertificat@ saranno inseriti in un elenco, presente sul portale, ma consultabile unicamente da tutte le Pubbliche Amministrazioni aderenti al servizio base Postacertificat@".

Norme a carico del gestore

La normativa italiana richiede che un'azienda, per diventare gestore del servizio PEC, debba superare un'apposita procedura di accreditamento. Il servizio può infatti essere erogato esclusivamente dai gestori accreditati presso il CNIPA, che è l'organo pubblico preposto al controllo della posta elettronica certificata. Un soggetto per diventare gestore PEC deve presentare domanda al CNIPA e rispettare precisi vincoli tecnici e organizzativi. Tra i più stringenti in termini economici appare quello previsto dall'articolo 14 del Decreto del presidente della Repubblica 11 febbraio 2005 n. 68, che riporta al comma 3: «I richiedenti l'iscrizione nell'elenco dei gestori di PEC diversi dalle pubbliche amministrazioni devono avere natura giuridica di società di capitali e capitale sociale interamente versato non inferiore a un milione di euro». Questo rende tale ruolo solo alla portata di poche imprese adeguatamente capitalizzate, escludendo di fatto dal mercato le piccole imprese di hosting, inducendo potenzialmente una devianza del libero mercato a favore di grosse imprese che in mancanza di concorrenza (né italiana né ovviamente straniera, visto che la PEC non esiste fuori dall'Italia) potrebbero vendere il servizio PEC facendo in futuro una politica dei prezzi da regime di quasi monopolio.

Peraltro, si osserva che la responsabilità che grava sul gestore è elevata: un errore nell'identificazione di un soggetto, oppure una "falsa" ricevuta potrebbero cagionare danni gravissimi. Per questo il soggetto gestore deve dimostrare una solidità finanziaria sufficiente a garantire la propria solvibilità in casi di questo genere. Difficilmente un piccolo operatore potrebbe essere affidabile per l'utenza, dato che potrebbe "sparire", o rivelarsi insolvente, dopo aver causato un danno. Sul fronte della concorrenza è da notare come, a settembre 2009, l'elenco pubblico dei gestori di PEC operativi conti oltre 20 soggetti. Il prezzo di acquisto di una casella PEC ammonta a pochi euro all'anno.

Regole tecniche

Una descrizione più tecnica e approfondita delle operazioni che vengono svolte all'interno della posta elettronica certificata e finalizzate ad aumentarne la tracciabilità, l'affidabilità e la sicurezza del sistema, è contenuta nella normativa tecnica di riferimento (Decreto Ministeriale 2 novembre 2005.

“Regole tecniche per la formazione, la trasmissione e la validazione, anche temporale, della posta elettronica certificata” e allegato). In modo sommario è comunque possibile individuare alcuni comportamenti specifici della PEC, indicati di seguito. Alla trasmissione di un messaggio PEC partecipano diverse entità:

Il mittente, che vuole inviare un messaggio PEC
Il destinatario, al quale il mittente vuole recapitare il messaggio PEC
Il gestore del mittente, che mantiene un rapporto contrattuale con il mittente per quanto riguarda i servizi PEC
Il gestore del destinatario, che mantiene un rapporto contrattuale con il destinatario per quanto riguarda i servizi PEC
La rete internet (più in generale la rete di comunicazione)
Il messaggio PEC

Si ponga quindi il caso di un invio di messaggio PEC corretto da parte del mittente, il corretto funzionamento dei gestori mittente e destinatario e la corretta consegna del messaggio PEC nella casella del destinatario. In questo caso il processo che guida la trasmissione di un messaggio PEC segue i seguenti passi:

Il mittente predispone il messaggio PEC e lo sottopone al gestore mittente. Il gestore mittente riconoscerà il mittente solo dopo la sua autenticazione, ad esempio attraverso l'inserimento di user name e password.
Il gestore mittente verifica la correttezza formale del messaggio PEC e, in caso positivo, restituisce al mittente la ricevuta di accettazione come riconoscimento dell'avvenuto invio del messaggio. La ricevuta è firmata digitalmente dal gestore e garantisce l'integrità dell'intero messaggio con i suoi allegati.
Il gestore mittente invia il messaggio al gestore destinatario inserendolo in una busta di trasporto firmata per permettere al gestore destinatario di verificarne l'inalterabilità durante il trasporto. La busta, per definizione, contiene il messaggio e i suoi allegati, che quindi sono a loro volta protetti dalla firma del gestore.
Il gestore destinatario, una volta ricevuto il messaggio PEC, consegnerà al gestore mittente una ricevuta di presa in carico che attesta il passaggio di consegne tra i due gestori. Il gestore destinatario verifica in fase di ricezione la correttezza del messaggio (anche avuto riguardo all'integrità, grazie alla verifica della firma digitale) e si accerta che non siano presenti virus informatici.
Nel caso il messaggio superi i suddetti controlli, viene consegnato alla casella di posta del destinatario che può quindi leggerne il contenuto.
Al mittente perviene una ricevuta di avvenuta consegna, che attesta la disponibilità del messaggio presso il destinatario. La ricevuta è ancora una volta firmata digitalmente e attesta l'integrità del contenuto trasmesso (a meno di scegliere intenzionalmente una forma molto leggera di ricevuta).

È importante sottolineare che la posta elettronica certificata offre la garanzia della consegna del messaggio e non della sua lettura da parte del destinatario. In altre parole nulla è detto sul fatto che il destinatario abbia letto o meno il messaggio PEC, ma si hanno garanzie sull'avvenuto recapito. Il che, in termini legali, equivale alla raccomandata con ricevuta di ritorno, ma con in più la prova certa del contenuto, tuttavia va evidenziato che il suo valore legale è effettivo solo se la mail PEC viene inviata a un'altra mail PEC. Se invece il destinatario è in possesso solo di posta elettronica di tipo ordinario sia la PEC-mail inviata sia quest'ultima non hanno valore probatorio.

Riassumendo quindi nel circuito PEC vengono rilasciate tre ricevute ai fini della certificazione del messaggio di posta elettronica certificata:

Di accettazione, che attesta l'avvenuto invio della mail dal gestore di posta elettronica certificata del mittente.
Di presa in carico, che attesta il passaggio di responsabilità tra due distinti gestori di posta certificata, mittente e destinatario. Questa ricevuta viene scambiata tra i due gestori e non viene percepita dagli utilizzatori del servizio.
Di avvenuta consegna, che attesta che il messaggio è giunto a buon fine e che il destinatario ne ha piena disponibilità nella sua casella (anche se non ha ancora ricevuto il messaggio).

In caso di situazione negativa esistono inoltre tre tipi di avvisi rilasciati dal sistema PEC:

Di non accettazione (per virus o utilizzo di un mittente falso o utilizzo di destinatari in copia nascosta, vietati dalla PEC, o altri problemi).
Di mancata consegna, che sarà inviata al mittente entro 24 ore.
Di rilevazione di virus informatici.

Si aggiunge che i messaggi in ingresso al sistema PEC possono essere “imbustati” dal gestore in due differenti tipologie di buste:

Di trasporto, se il messaggio proviene da una casella di PEC e supera tutti i controlli di esistenza, provenienza e validità della firma.
Di anomalia, se il messaggio proviene da una casella email non PEC oppure è malformato.

Si aggiunge che i gestori e i domini da loro gestiti, in virtù del quadro normativo di riferimento di seguito descritto, sono tutti censiti all'interno di un'apposita struttura. Pertanto viene istituito un sistema di fiducia fondamentale per offrire all'utente tutte le garanzie di sicurezza caratteristiche di questo servizio.

Per avere un'idea del volume di traffico, i numeri ufficiali relativi al primo bimestre dell'anno 2009 parlano di circa 300.000 caselle e di 30 milioni di messaggi^[9].

Log dei messaggi e loro conservazione[modifica | modifica wikitesto]

Ogni gestore PEC deve conservare per trenta mesi i log dei messaggi e renderli disponibili su richiesta del titolare della casella PEC. Questa direttiva è stata prevista in sede di redazione e approvazione del D.P.R. 11 febbraio 2005, n. 68. Nei log sono contenuti tutti gli eventi associati a invii e ricezioni di messaggi nell'ambito del circuito PEC.

È importante evidenziare che log dei messaggi non significa contenuto dei messaggi stessi, ma solo traccia dell'avvenuta transazione.

Secondo quanto previsto nelle regole tecniche allegate al D.M. 2 novembre 2005 i campi dovranno contenere almeno informazioni circa:

Message-ID, codice identificativo del messaggio originale
data dell'evento
ora dell'evento
mittente
destinatario
oggetto del messaggio
tipo di evento (ad esempio ricevuta di accettazione o avvenuta consegna)
Message-ID dei messaggi correlati
gestore mittente

Il quadro normativo di riferimento

Vigilanza nei confronti dei gestori e della Pubblica Amministrazione

La normativa sulla posta elettronica certificata attribuisce al DigitPA differenti compiti. In particolare indica tale soggetto come custode e gestore delle regole tecniche. È inoltre compito del DigitPA provvedere alla pubblicazione di aggiornamenti, in coerenza con gli standard specificati nella normativa di riferimento. Il DigitPA, all'interno del proprio sito istituzionale, rende disponibile un'apposita sezione riguardante la posta elettronica certificata contenente una versione scaricabile di tutta la documentazione valida ai fini di legge e riguardante la PEC.

Normative tecniche - Standard internazionali di riferimento

La posta elettronica certificata, come indicato nelle regole tecniche allegate al Decreto Ministeriale 2 novembre 2005, si basa su standard internazionali IETF e ISO. In particolare sulle seguenti versioni e integrazioni successive:

RFC 1847, Security Multiparts for MIME: Multipart/Signed and Multipart/Encrypted
RFC 1891, SMTP Service Extension for Delivery Status Notifications
RFC 1912, Common DNS Operational and Configuration Errors
RFC 2252, Lightweight Directory Access Protocol (v3): Attribute Syntax Definitions
RFC 2315, PKCS \ 7: Cryptographic Message Syntax Version 1.5
RFC 2633, S/MIME Version 3 Message Specification
RFC 2660, The Secure HyperText Transfer Protocol
RFC 2821, Simple Mail Transfer Protocol
RFC 2822, Internet Message Format
RFC 2849, The LDAP Data Interchange Format (LDIF) - Technical Specification
RFC 3174, US Secure Hash Algorithm 1 - SHA1
RFC 3207, SMTP Service Extension for Secure SMTP over Transport Layer Security
RFC 3280, Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List - CRL Profile

Legislazione italiana

Il quadro normativo di riferimento relativo alla Posta Elettronica Certificata è il seguente:

Decreto del Presidente della Repubblica 11 febbraio 2005, n. 68, “Regolamento recante disposizioni per l'utilizzo della posta elettronica certificata, a norma dell'articolo 27 della legge 16 gennaio 2003, n. 3.” (G.U. 28 aprile 2005, n. 97)
Decreto legislativo 7 marzo 2005, n. 82, “Codice dell'amministrazione digitale”.
Decreto Ministeriale 2 novembre 2005, “Regole tecniche per la formazione, la trasmissione e la validazione, anche temporale, della posta elettronica certificata” (G.U. del 15 novembre 2005, n. 266)
Circolare CNIPA CR/49 24 novembre 2005, “Modalità per la presentazione delle domande di iscrizione all'elenco pubblico dei gestori di posta elettronica certificata” (G.U. 5 dicembre 2005, n. 283)
Circolare 7 dicembre 2006, n. 51, “Espletamento della vigilanza e del controllo sulle attività esercitate dagli iscritti nell'elenco dei gestori di posta elettronica certificata (PEC), di cui all'articolo 14 del decreto del Presidente della Repubblica 11 febbraio 2005, n. 68, «Regolamento recante disposizioni per l'utilizzo della posta elettronica certificata, a norma dell'articolo 27 della legge 16 gennaio 2003, n. 3».”
Legge 28 gennaio 2009, n. 2. Conversione in legge, con modificazioni, del decreto-legge 29 novembre 2008, n. 185, recante misure urgenti per il sostegno a famiglie, lavoro, occupazione e impresa e per ridisegnare in funzione anti-crisi il quadro strategico nazionale. (G.U. 28 gennaio 2009, n. 22, supplemento ordinario 14/L)
Decreto del Presidente del Consiglio dei ministri del 6 maggio 2009, “Disposizioni in materia di rilascio e di uso della casella di posta elettronica certificata assegnata ai cittadini”.
Legge 18 giugno 2009, n. 69. “Disposizioni per lo sviluppo economico, la semplificazione, la competitività nonché in materia di processo civile”.
Decreto legislativo 30 dicembre 2010, n. 235.
Legge 17 dicembre 2012, n. 221. Conversione in legge, con modificazioni, del decreto-legge 18 ottobre 2012, n. 179, recante ulteriori misure urgenti per la crescita del Paese.

Legge 28 gennaio 2009 n. 2

Tra i contenuti della legge n. 2/2009 vengono indicate direttive che riguardano:

le imprese costituite in forma societaria, che devono indicare nella domanda di iscrizione al registro delle imprese il proprio indirizzo di posta elettronica certificata o analogo indirizzo di posta elettronica basato su tecnologie che certifichino data e ora dell'invio e della ricezione delle comunicazioni e l'integrità del contenuto delle stesse, garantendo l'interoperabilità con analoghi sistemi internazionali. Per quelle già esistenti, la medesima comunicazione deve avvenire entro tre anni.
i professionisti iscritti in albi, che devono comunicare ai rispettivi ordini o collegi il proprio indirizzo di posta elettronica certificata o analogo indirizzo di posta elettronica come previsto al punto precedente entro un anno. È poi cura degli ordini la pubblicazione in un elenco riservato, consultabile in via telematica esclusivamente dalle pubbliche amministrazioni, i dati identificativi degli iscritti con il relativo indirizzo di posta elettronica certificata.
le amministrazioni pubbliche, che qualora non avessero già provveduto alla comunicazione di una casella PEC secondo quanto previsto dal Codice dell'amministrazione digitale, dovranno istituire una casella di posta certificata o analogo indirizzo di posta elettronica come previsto al punto precedente per ciascun registro di protocollo.
ulteriori direttive importanti riguardano le comunicazioni tra i soggetti poc'anzi descritti. In particolare si legge che queste ultime «possono essere inviate attraverso la posta elettronica certificata o analogo indirizzo di posta elettronica di cui al comma 6, senza che il destinatario debba dichiarare la propria disponibilità ad accettarne l'utilizzo».
infine, vengono citati anche i cittadini, che a mediante opportuna richiesta potranno ottenere una casella di PEC «con effetto equivalente alla notificazione per mezzo della posta. Le comunicazioni che transitano per la predetta casella di posta elettronica certificata sono senza oneri». Tuttavia le modalità di rilascio e di uso della casella di posta elettronica certificata saranno note entro novanta giorni dalla data di entrata in vigore della legge.

Il decreto 6 maggio 2009

DECRETO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI 6 maggio 2009 - Disposizioni in materia di rilascio e di uso della casella di posta elettronica certificata assegnata ai cittadini.

In tale decreto il Consiglio dei ministri definisce le modalità di rilascio della casella di posta elettronica certificata. Tra gli aspetti salienti, viene enunciata la gratuità della stessa qualora questa sia richiesta al Dipartimento per l'innovazione e le tecnologie.

L'INPS e l'Automobile Club d'Italia, a seguito di un protocollo sottoscritto con il ministro senza portafoglio per la Pubblica Amministrazione e l'Innovazione, concedono una casella di posta elettronica certificata gratuitamente. Poste Italiane gestisce invece il servizio "CEC-PAC" ufficiale del Governo italiano, conosciuto anche col nome di "PostaCertificat@" e disponibile online. Si tratta sì di una casella di Posta Elettronica Certificata gratuita, ma con alcune limitazioni d'uso: una CEC-PAC (Comunicazione Elettronica Certificata tra Pubblica Amministrazione e Cittadino), infatti, non consente l'invio o la ricezione di posta se non con caselle PEC della Pubblica Amministrazione. Viene esclusa quindi la possibilità di comunicazioni fra privati o professionisti o imprese. Questo servizio gratuito non è più attivabile dal 18 dicembre 2014, e dal 18 settembre 2015 sarà definitivamente inibito l'accesso alla propria casella di posta elettronica anche agli utenti già registrati