El Reglamento eIDAS y la Ley de firma electrónica para empresas

Lo más importante en pocas palabras: El Reglamento eIDAS establece, a escala de la UE, cuándo una firma electrónica tiene la misma validez jurídica que una firma manuscrita. Distingue tres niveles: firmas electrónicas simples, avanzadas y cualificadas (QES). Según el artículo 25 del Reglamento eIDAS, los tres niveles son admisibles como prueba ante los tribunales, pero solo la firma electrónica cualificada (QES) puede sustituir a la forma escrita exigida por la ley, según el artículo 126a del Código Civil alemán (BGB). Para la mayoría de los procesos empresariales basta con la firma electrónica avanzada (FES).

El Reglamento (UE) n.º 910/2014, publicado en el Diario Oficial de la Unión Europea en 2014, es de aplicación directa en todos los Estados miembros de la UE desde julio de 2016. Ha sustituido tanto a la anterior Ley alemana de firma electrónica como a la Directiva de la UE sobre firma electrónica 1999/93/CE en la que se basaba. Un dato interesante al respecto: los tres niveles de firma que conocemos hoy en día existen, en esencia, desde la década de los noventa y se han mantenido prácticamente sin cambios desde entonces. La principal novedad de eIDAS es que estos niveles son ahora vinculantes en todos los Estados miembros de la UE, mientras que la antigua Directiva dejaba margen de maniobra a los Estados miembros. Además, eIDAS introdujo novedades en materia de firmas activadas a distancia, así como de sellos electrónicos, marcas de tiempo y servicios de notificación. Para las empresas, esto significa concretamente que un documento firmado de forma cualificada en Alemania se reconoce automáticamente también en Francia o en España.

Una aclaración terminológica previa: «firma digital» se refiere técnicamente a un procedimiento criptográfico, mientras que «firma electrónica» es el término jurídico según eIDAS. En el lenguaje coloquial, ambos términos se utilizan a menudo como sinónimos. En este artículo seguimos el concepto jurídico de «firma electrónica» según eIDAS, aunque señalaremos las diferencias técnicas cuando sea pertinente.

La firma electrónica simple (FES) abarca cualquier marca digital que pueda atribuirse a una persona, como, por ejemplo, una firma escaneada. Tiene el menor valor probatorio y no requiere verificación de identidad. Por ello, no es adecuada para procesos comerciales serios en los que haya un valor litigioso.

La firma electrónica avanzada (FES) atribuye la firma de forma inequívoca a una persona. Se puede generar de diversas maneras: para ello, una tableta de firma de signotec registra características biométricas como la fuerza de presión, la velocidad de escritura, el tiempo y la aceleración. Alternativamente, la asignación inequívoca también puede realizarse mediante una autenticación con una contraseña de un solo uso (OTP) enviada por SMS o mediante la comprobación de un documento de identidad. En ambos casos, es la firma criptográfica basada en un certificado del PDF la que garantiza que las modificaciones posteriores del documento sigan siendo detectables, y no los propios datos biométricos. Para la gran mayoría de los procesos empresariales que no están sujetos a requisitos legales de forma, este nivel es suficiente desde el punto de vista jurídico.

La firma electrónica cualificada (QES) se basa en un certificado cualificado de un proveedor de servicios de confianza y requiere una verificación previa de la identidad, por ejemplo, mediante identificación por vídeo. Es la única forma de firma para la que la ley prevé una flexibilización de la carga de la prueba: según el artículo 25, apartado 2, del Reglamento eIDAS, la QES tiene el mismo efecto jurídico que una firma manuscrita, y, en relación con el artículo 371a del Código de Procedimiento Civil (ZPO), cuando la QES ha sido verificada de forma válida, se presume su autenticidad; por lo tanto, en caso de litigio, es la parte contraria la que debe fundamentar serias dudas sobre la autenticidad, y no el firmante quien debe demostrarla. De este modo, la QES se equipara a la firma manuscrita y cumple con el requisito de la forma escrita previsto en el artículo 126a del Código Civil alemán (BGB).

La mayoría de los contratos en el día a día empresarial no están sujetos a ningún requisito de forma. Los contratos de suministro, de prestación de servicios y la mayoría de los contratos de compraventa pueden formalizarse con seguridad jurídica mediante un FES. En consecuencia, los bancos utilizan con frecuencia la FES para la apertura de cuentas y los contratos de crédito que no exigen una forma específica; las aseguradoras, para la formalización de contratos; el sector sanitario, para las declaraciones de consentimiento; y los departamentos de recursos humanos, para la mayoría de los contratos de trabajo.

Por el contrario, una QES es obligatoria cuando la ley exige la forma escrita y permite su presentación por vía electrónica: por ejemplo, en los contratos de crédito al consumo (art. 492 del Código Civil alemán, BGB) o en los contratos de trabajo de duración determinada según el art. 14, apartado 4, de la Ley de Trabajo a Tiempo Parcial y de Duración Determinada. Además, hay que tener en cuenta lo siguiente: para los contratos de alquiler de duración determinada de más de un año se exige la forma escrita según el artículo 550 del Código Civil alemán (BGB), y en el caso de determinados tipos de documentos —como la declaración de fianza de particulares según el artículo 766, frase 2, del BGB— la forma electrónica queda totalmente excluida por ley; en estos casos, la firma manuscrita en papel sigue siendo obligatoria, y ni siquiera una firma electrónica cualificada (QES) es suficiente.

La consecuencia práctica: antes de digitalizar un proceso, las empresas deberían comprobar qué nivel requiere realmente el tipo de documento en cuestión, en lugar de recurrir de forma generalizada a la QES, más compleja, por falta de seguridad. Un proceso de firma con seguridad jurídica requiere tres elementos técnicos: un registro fiable, ya sea biométrico o basado en certificados; una vinculación a prueba de manipulaciones entre la firma y el contenido del documento; y un registro de auditoría completo. Para los procesos FES locales, signoSign/2 cumple estos requisitos; para los casos de QES y a distancia, se utiliza signoSign/Universal junto con un proveedor externo de servicios de confianza.

Con la enmienda a la normativa eIDAS 2.0, que entró en vigor en mayo de 2024, la UE introduce una «cartera digital» reconocida por el Estado, la European Digital Identity Wallet (EUDI-Wallet). Los Estados miembros deben poner a disposición, como muy tarde en 2026, al menos una aplicación de monedero de este tipo, con la que los ciudadanos puedan identificarse y realizar firmas cualificadas en toda Europa. Para las empresas con un elevado volumen de firmas electrónicas cualificadas (QES), puede merecer la pena estar al tanto de esta evolución desde el principio, ya que es probable que simplifique los procesos de identificación a medio plazo.

¿Es válida desde el punto de vista jurídico una firma escaneada?

Se considera una firma electrónica simple, con el menor valor probatorio, y es difícil de demostrar en caso de litigio.

¿Sustituye el Reglamento eIDAS a la legislación nacional?

No, la complementa. Las normas de forma, como el artículo 126a del Código Civil alemán (BGB), siguen determinando qué nivel de firma es necesario en cada caso concreto.

¿Se puede crear una firma electrónica cualificada (QES) con una tableta de firma?

No directamente, ya que para ello se necesita un procedimiento basado en certificados. En combinación con un proveedor de servicios de confianza y signoSign/Universal, es posible integrar el proceso.

¿Tiene validez una firma electrónica alemana también en otros países de la UE?

Sí. El reconocimiento mutuo de las firmas electrónicas en todos los Estados miembros de la UE es el objetivo principal del Reglamento eIDAS y se aplica a los tres niveles de firma, no solo a la QES.

¿Cuánto cuesta una firma electrónica cualificada?

Una QES sin identificación suele costar entre uno y dos euros por operación de firma. A esto hay que añadir, dependiendo del proveedor, el procedimiento de identificación, que suele oscilar entre diez y veinte euros. Estos costes hacen que la QES resulte poco rentable para muchas operaciones comerciales cotidianas, lo que constituye una razón más para utilizarla únicamente en aquellos casos en los que la ley lo exige.

El Reglamento eIDAS aclara cuándo las firmas electrónicas tienen validez jurídica, sin obligar automáticamente a las empresas a optar por la solución más cara. Con el nivel de firma adecuado para cada tipo de documento, es posible agilizar los procesos de firma sin perder seguridad jurídica. signotec lleva más de 25 años apoyando a las empresas con hardware y software que cubren todos los requisitos, desde la firma electrónica simple hasta la cualificada.

Fuentes primarias: Reglamento (UE) n.º 910/2014 (Reglamento eIDAS); Directiva 1999/93/CE; artículo 126a del Código Civil alemán (BGB); artículo 492 del Código Civil alemán (BGB); artículo 550 del Código Civil alemán (BGB); artículo 766, frase 2, del Código Civil alemán (BGB); artículo 14, apartado 4, de la Ley de Contratos de Trabajo Temporales (TzBfG); artículo 371a de la Ley de Enjuiciamiento Civil (ZPO).