El reglamento eIDAS: tipos de firma electrónica en la UE
El Reglamento eIDAS (UE) n.º 910/2014 (electronic IDentification, Authentication and trust Services) es la norma que regula la identificación electrónica y los servicios de confianza —entre ellos, la firma electrónica— en toda la Unión Europea. A diferencia de una directiva, un reglamento europeo se aplica directamente en los 27 estados miembros sin necesidad de que cada país lo transponga a su propia legislación, lo que da a eIDAS un alcance uniforme en toda la UE.
Qué cubre eIDAS además de la firma
Aunque suele asociarse principalmente con la firma electrónica, eIDAS en realidad regula un conjunto más amplio de "servicios de confianza": identificación electrónica de personas, sellos electrónicos (el equivalente a la firma pero para personas jurídicas), sellos de tiempo electrónicos, servicios de entrega electrónica certificada y autenticación de sitios web. La firma electrónica es solo uno de estos servicios, aunque el más relevante para la mayoría de las empresas que gestionan contratos y documentos.
Los tres niveles de firma electrónica
eIDAS distingue tres niveles de firma electrónica, cada uno con requisitos técnicos y un efecto legal distinto:
Firma electrónica simple (SES)
Es la categoría más amplia: cualquier dato en formato electrónico adjunto o asociado lógicamente a otros datos electrónicos que el firmante usa para firmar. Puede ser tan básico como un nombre escrito al final de un correo o un clic de aceptación tras revisar un documento. eIDAS reconoce que no se le puede negar efecto legal ni admisibilidad como prueba en un procedimiento judicial únicamente por ser electrónica o por no cumplir los requisitos de la firma avanzada o cualificada.
Firma electrónica avanzada (AdES)
Para alcanzar este nivel, la firma debe cumplir cuatro requisitos: estar vinculada de forma única al firmante, permitir identificar al firmante, haberse creado mediante datos que el firmante puede usar bajo su control exclusivo, y estar vinculada a los datos firmados de tal forma que cualquier modificación posterior del documento sea detectable. En la práctica, esto suele implementarse con mecanismos criptográficos que generan un hash único del documento en el momento de la firma, vinculado a la identidad verificada del firmante.
Firma electrónica cualificada (QES)
Es el nivel más alto. Añade a los requisitos de la firma avanzada dos elementos adicionales: debe crearse mediante un "dispositivo cualificado de creación de firma electrónica" (hardware o software que cumple especificaciones técnicas certificadas) y debe basarse en un "certificado cualificado" emitido por un prestador de servicios de confianza cualificado, supervisado conforme a eIDAS. La firma cualificada es la única a la que eIDAS otorga expresamente el mismo efecto legal que una firma manuscrita en todos los estados miembros, sin que un tribunal pueda cuestionar esa equivalencia.
Tabla comparativa
| Nivel |
Identificación |
Dispositivo/certificado |
Equivalencia legal con firma manuscrita |
| Simple (SES) |
Básica o inexistente |
No requiere certificado |
No automática, pero admisible como prueba |
| Avanzada (AdES) |
Vinculada de forma única al firmante |
Datos bajo control exclusivo del firmante |
Reforzada, pero no automática en todos los casos |
| Cualificada (QES) |
Verificación rigurosa de identidad |
Certificado cualificado + dispositivo cualificado |
Equivalencia legal expresa y automática |
Reconocimiento transfronterizo
Una de las aportaciones más importantes de eIDAS es que obliga a todos los estados miembros a reconocer una firma electrónica cualificada emitida en cualquier otro estado miembro, con el mismo efecto legal que tendría una firma cualificada nacional. Esto resuelve un problema práctico real: antes de eIDAS, un certificado digital emitido en un país podía no ser reconocido automáticamente en otro, lo que complicaba las transacciones transfronterizas dentro de la propia Unión Europea. Las firmas simples y avanzadas no tienen esta garantía automática de reconocimiento transfronterizo con el mismo nivel de fuerza, aunque en la práctica suelen aceptarse igualmente si cumplen los requisitos aplicables.
Qué nivel necesitas en la práctica
Para la mayoría de los documentos comerciales —contratos de servicios, acuerdos de confidencialidad, formularios de incorporación de clientes o empleados— una firma electrónica simple o avanzada, respaldada por un buen registro de auditoría, suele ser suficiente y es lo que usan la mayoría de las plataformas de firma electrónica, incluida Esignapi. La firma cualificada se reserva normalmente para actos con mayor exigencia formal: trámites ante notario, determinados procedimientos ante la administración pública, o documentos donde la ley exige expresamente ese nivel. Si no estás seguro de qué nivel necesita tu documento concreto, lo más prudente es confirmarlo con el área legal correspondiente antes de firmarlo, ya que los requisitos específicos pueden variar según el tipo de acto y el estado miembro.
Cómo se prueba el cumplimiento de cada nivel
Un punto que suele generar confusión es cómo se demuestra, ante una disputa, que una firma efectivamente alcanzó el nivel que se afirma. Para la firma avanzada, la prueba suele apoyarse en la combinación de varios elementos técnicos: el hash criptográfico del documento en el momento de la firma, que permite detectar cualquier alteración posterior; el registro de identificación del firmante, como la verificación del correo electrónico al que se envió el enlace único de firma; y un registro de auditoría cronológico que documenta cada evento relevante —envío, apertura del documento, firma— con su marca de tiempo correspondiente. Para la firma cualificada, a esto se suma la cadena de confianza del propio certificado digital, verificable contra la lista de confianza que cada estado miembro publica conforme a eIDAS.
Esto significa que, en la práctica, la robustez de una firma electrónica bajo eIDAS no depende solo de qué nivel se declare, sino de qué tan completa y verificable sea la evidencia que respalda esa firma. Una plataforma de firma que no deje un registro de auditoría detallado puede generar dudas sobre el nivel real alcanzado, incluso si técnicamente se usaron mecanismos criptográficos adecuados.
Firma documentos con un buen registro de auditoría
Esignapi deja, para cada documento firmado, un certificado de finalización con registro de auditoría encadenado mediante hashes y sellos de tiempo conforme al RFC 3161 — la evidencia técnica que respalda una firma electrónica avanzada bajo eIDAS para la gran mayoría de tus documentos comerciales.
Preguntas frecuentes
¿Qué firma necesito para un contrato comercial normal?
En la mayoría de los casos, una firma electrónica simple o avanzada es suficiente para contratos comerciales, acuerdos de servicios y formularios de incorporación. La firma cualificada se reserva para actos con mayor exigencia legal.
¿eIDAS aplica fuera de la Unión Europea?
eIDAS regula directamente a los 27 estados miembros de la UE. Países como el Reino Unido, tras su salida de la UE, mantienen marcos nacionales equivalentes con el mismo espíritu, pero no están sujetos a eIDAS como tal.
¿La firma electrónica simple sirve como prueba en un tribunal?
Sí. eIDAS establece expresamente que a una firma electrónica no se le puede negar efecto legal ni admisibilidad como prueba en procedimientos judiciales únicamente por ser electrónica o por no alcanzar el nivel avanzado o cualificado.
¿Qué diferencia hay entre un sello electrónico y una firma electrónica?
La firma electrónica identifica a una persona física; el sello electrónico (electronic seal) cumple una función equivalente para personas jurídicas, como empresas u organismos, certificando el origen e integridad de un documento emitido por esa entidad.
¿Cómo sé si un certificado digital es "cualificado" bajo eIDAS?
Debe haber sido emitido por un prestador de servicios de confianza cualificado, incluido en la lista de confianza que publica cada estado miembro conforme a eIDAS. Si tienes dudas sobre un certificado concreto, esa lista oficial es la referencia para confirmarlo.