Niveles de firma: una comparación entre las firmas electrónicas simples, avanzadas y cualificadas

Resumen de los puntos clave: El Reglamento eIDAS reconoce tres niveles de firma. La firma electrónica simple (EES) tiene el nivel de valor probatorio más bajo; la firma electrónica avanzada (FES) vincula de forma inequívoca la firma a una persona; y la firma electrónica cualificada (QES) es el único nivel que cumple el requisito legal de la forma escrita. Para la mayoría de los procesos empresariales basta con una FES. El nivel necesario depende exclusivamente del tipo de documento de que se trate.

No todos los documentos requieren el mismo nivel de protección jurídica. Una autorización interna conlleva requisitos menos estrictos que un contrato de préstamo: un banco exige un nivel de seguridad más elevado para este último que el que exige un organismo público para una nota de autorización interna. El Reglamento eIDAS (UE) n.º 910/2014 refleja esta distinción mediante tres niveles jerárquicos de firma. La idea subyacente a esta clasificación no es nueva: ya la anterior Directiva de la UE sobre firmas electrónicas 1999/93/CE reconocía estos tres niveles. Desde 2016, el eIDAS los ha hecho obligatorios en toda la UE y los ha integrado con disposiciones relativas a las firmas a distancia. Para las empresas, esto significa que pueden elegir de forma informada el nivel exigido por la ley para la transacción en cuestión, en lugar de optar automáticamente por el nivel más alto y más costoso.

Una breve nota sobre la terminología: en términos técnicos, por «firma digital» se entiende un proceso criptográfico, mientras que «firma electrónica» es el término jurídico definido por la eIDAS. En el lenguaje común, ambos términos se utilizan de forma intercambiable. En este artículo nos referimos a la firma electrónica en su sentido jurídico.

Una firma electrónica simple consiste en cualquier marca digital atribuible a una persona concreta. Esto incluye una firma manuscrita escaneada, una firma al pie de un correo electrónico o la imagen de una firma insertada en un archivo PDF. La firma electrónica simple no requiere ninguna verificación de identidad ni medidas técnicas de seguridad. Por consiguiente, su valor probatorio es bajo: en caso de litigio, no es posible demostrar de forma fiable quién ha firmado el documento, ni si este ha sido alterado posteriormente. Es suficiente para transacciones informales que impliquen pequeñas cantidades, pero no es adecuada para contratos de gran envergadura.

Una firma electrónica avanzada asocia de forma unívoca la firma a una persona concreta. Para ello, una tableta de firmas signotec registra características biométricas como la presión, la velocidad de escritura, el tiempo y la aceleración. Como alternativa, la atribución inequívoca puede establecerse mediante autenticación con una contraseña SMS de un solo uso o una verificación de identidad. No es la biometría la que garantiza que las modificaciones posteriores del documento sigan siendo detectables, sino la firma criptográfica basada en un certificado con la que el software sella el PDF. Para la gran mayoría de los procesos empresariales en los que no existe la obligación legal de forma escrita, la FES es suficiente desde el punto de vista jurídico. Los bancos la utilizan, por ejemplo, para la apertura de cuentas; las compañías de seguros, para los formularios de solicitud; y los departamentos de recursos humanos, para la mayoría de los contratos de trabajo.

La firma electrónica cualificada representa el nivel más alto. Se basa en un certificado cualificado expedido por un prestador de servicios de confianza cualificado y requiere una verificación previa de la identidad, por ejemplo, mediante identificación por vídeo. Desde el punto de vista técnico, funciona según el mismo principio basado en los certificados de la FES, con la diferencia de que el certificado debe ser expedido por un proveedor cualificado. La QES es la única forma de firma para la que la ley establece una presunción de validez. Esto significa que, de conformidad con el artículo 25, apartado 2, del Reglamento eIDAS, en caso de controversia, la firma se considera inicialmente auténtica, por lo que corresponde a la parte contraria demostrar lo contrario. Por lo tanto, la QES es equivalente a una firma manuscrita y cumple el requisito de la forma escrita con arreglo al artículo 126a del Código Civil alemán (BGB).

La mayoría de los contratos en el ámbito de las actividades comerciales cotidianas no están sujetos a ningún requisito formal y pueden celebrarse de forma jurídicamente válida mediante una firma electrónica (FES). Una firma electrónica cualificada (QES) solo es obligatoria en los casos en que la ley exija la forma escrita y permita el envío electrónico. Esto se aplica, por ejemplo, a los contratos de crédito al consumo con arreglo al artículo 492 del Código Civil alemán (BGB) y a los contratos de arrendamiento a plazo fijo de duración superior a un año con arreglo al artículo 550 del BGB. También entran en esta categoría algunos contratos de trabajo de duración determinada, según el artículo 14, apartado 4, de la Ley sobre el trabajo a tiempo parcial y de duración determinada, una situación que suele afectar, por ejemplo, a los departamentos de recursos humanos. En algunos casos, la forma electrónica queda totalmente excluida. De conformidad con el artículo 766, segunda frase, del Código Civil alemán (BGB), una declaración de garantía por parte de un particular debe firmarse a mano en papel. En este caso, ni siquiera basta una firma electrónica cualificada (QES).

Implicaciones prácticas: antes de digitalizar un proceso, comprueba qué nivel de firma requiere realmente el tipo de documento en cuestión. Esto te permitirá evitar esfuerzos innecesarios derivados del uso indiscriminado de la firma electrónica cualificada (QES), al tiempo que garantiza el cumplimiento de la normativa.

¿Tiene validez legal una simple firma electrónica?
Sí, es admisible como prueba, pero tiene el menor peso probatorio. Puede ser suficiente para transacciones que no estén sujetas a ningún requisito formal, siempre que el importe en cuestión sea modesto.

¿Cómo sé qué nivel necesito?
El factor clave es si el tipo de documento está sujeto a un requisito de forma escrita previsto por la ley. A falta de dicho requisito, suele bastar con una firma electrónica simple (FES); cuando se aplica el requisito de forma escrita, es necesaria una firma electrónica cualificada (QES).

¿Puede una tableta de firmas generar una QES?
No directamente, ya que para ello se requiere un certificado emitido por un proveedor de servicios de confianza cualificado. El proceso puede implementarse en combinación con signoSign/Universal de signotec y un proveedor asociado.

¿Es la FES menos segura que la QES?
Desde el punto de vista técnico, la FES también ofrece protección contra la manipulación y la identificación inequívoca del firmante. La diferencia es principalmente de carácter jurídico: solo la QES sustituye a la forma escrita y conlleva la presunción legal de prueba.

¿Una firma alemana es válida también en otros países de la UE?
Sí. El reconocimiento mutuo de las firmas electrónicas en todos los Estados miembros de la UE es un objetivo fundamental del Reglamento eIDAS y se aplica a los tres niveles.

Los tres niveles de firma garantizan una progresión lógica desde las transacciones cotidianas informales hasta los contratos que requieren la forma escrita. Para la mayoría de los procesos empresariales, la FES es la opción más adecuada y económica, mientras que la QES se reserva para casos específicos en los que la ley exige la forma escrita. signotec cubre los tres niveles con su propio hardware y software, y ayuda a las empresas a seleccionar el nivel adecuado para cada tipo de documento.

Fuentes primarias: Reglamento (UE) n.º 910/2014 (Reglamento eIDAS); Directiva 1999/93/CE; art. 126a del Código Civil alemán (BGB); art. 492 del Código Civil alemán (BGB); § 550 del Código Civil alemán (BGB); art. 766, segunda frase, del Código Civil alemán (BGB); art. 14, apartado 4, de la Ley alemana sobre el trabajo a tiempo parcial y de duración determinada (TzBfG). Esquema recomendado: Esquema «Artículo» + Esquema «Preguntas frecuentes».