Certificato autofirmato a livelli

[Tesoro]

Ciao a tutti :)
Sono nuovo, anzi nuovissimo, e non trovo la sezione giusta dove postare il mio quesito; prego gentilmente i moderatori di spostarla dove è meglio

Supponiamo che io sia un dirigente statale, nominato con decreto ministeriale (e quindi il mio ruolo conoscibile e verificabile). Per lavorare utilizzo una smart card emessa da Postecom, contiene un certificato di autenticazione e firma digitale, comprensivo di codice fiscale e di email.
Con la smart card nel lettore ed inserendo il pin posso quindi:
- Autenticarmi nei siti dell'amministrazione ed in tanti altri, agenzia delle entrate, inps, ecc. (a questi siti si accede col codice fiscale, quindi i certificati delle le smart card abilitate ad entrare in questi siti devono contenere i codici fiscali).
- firmare digitalmente file, produco/firmo atti amministrativi digitali eliminando carta e procedure.
- firmare digitalmente email S/Mime con outlook (fra i dettagli del certificato vi è il mio indirizzo email).

I miei impiegati possiedono una smart card, sempre emesse da Postecom ma molto più economica, che però contiene solo un certificato di autenticazione. Nel certificato vi è inserito il codice fiscale (infatti possono autenticarsi sui siti di diverse Pubbliche Amministrazioni, Noipa, sito dell'agenzia entrate e sito dell'Inps) e lavorare nelle applicazioni dipartimentali.
Non possono firmare digitalmente. Non possono firmare email S/mime (sul certificato non è inserita l'email).

Office ed altre applicazioni permettono di creare id digitali o certificati autofirmati, che poi si possono conservare su file (oppure importarlo su una smart card dove magari ci sono altri certificati). Ho provato a crearne uno, ma non mi chiede alcuna informazione, e crea un certificato senza dati e senza password che non si sa di chi è, non certifica un bel niente ed appare inutile.

Vorrei che gli impiegati avessero la possibilità di firmare files e firmare email senza che l'ufficio debba comprare per tutti un kit di firma digitale.
Voi chiedo se sapete se è possibile creare per ogni impiegato dell'ufficio un certificato dipendente dal mio che abbia le seguenti caratteristiche:
- che sia concatenato al mio, nel senso che risulti che il certificato inserito mia smart card (a mio nome, ma che è figlio del certificatore postecom) sia padre/certificatore del certificato dell'impiegato.
- che fra i dettagli certificato contenga anche qualche informazione extra, tipo il ruolo autorizzato dell'impiegato (ad esempio le parole "delegato a firmare certificazioni da banca dati sito NOIPA").
- che permetta loro di firmare digitalmente files.
- che contenga il loro indirizzo email e permetta quindi a loro di firmare email.
Se è possibile, come si fa? Grazie.