Si tu negocio opera en o con la Unión Europea, el Reglamento eIDAS es el marco legal que rige tus firmas electrónicas. Esta guía explica los tres niveles de firma, los requisitos de cumplimiento y qué implica para tu empresa.
¿Qué es eIDAS?
eIDAS (identificación electrónica y servicios de confianza) es el Reglamento (UE) 910/2014, en vigor desde el 1 de julio de 2016. Sustituyó a la Directiva de firmas electrónicas (1999/93/CE) y estableció:
- Un marco legal unificado para firmas, sellos y sellos de tiempo electrónicos
- Tres niveles de firma electrónica con seguridad creciente
- Reconocimiento transfronterizo de la identificación electrónica entre estados miembros
- Normas para prestadores de servicios de confianza (PSC)
A diferencia de una directiva, eIDAS es un reglamento: aplica de forma directa y uniforme en los 27 estados miembros.
Los tres niveles de firma electrónica
Nivel 1: Firma electrónica simple (SES)
El nivel más básico, sin requisitos técnicos específicos.
Ejemplos: escribir el nombre en un campo, pulsar «Acepto», dibujar la firma con el dedo o pegar una imagen escaneada.
Estatus legal: admisible como prueba, pero no equivale automáticamente a una firma manuscrita. Un tribunal puede exigir pruebas adicionales.
Casos de uso: contratos de bajo valor, aprobaciones internas, aceptación de términos y acuerdos cotidianos.
Nivel 2: Firma electrónica avanzada (AES)
Debe cumplir cuatro requisitos (artículo 26):
- Estar vinculada de forma única al firmante
- Permitir identificar al firmante
- Crearse con datos bajo el control exclusivo del firmante
- Estar vinculada a los datos firmados de modo que se detecte cualquier cambio posterior
Estatus legal: mayor valor probatorio que la SES. No puede denegarse su efecto legal solo por ser electrónica.
Casos de uso: contratos B2B, contratos laborales, acuerdos con proveedores y operaciones con mayor exigencia.
Nivel 3: Firma electrónica cualificada (QES)
El estándar de oro. Una AES que además:
- Se crea con un dispositivo cualificado de creación de firma (QSCD)
- Se basa en un certificado cualificado emitido por un prestador cualificado de servicios de confianza (QTSP)
Estatus legal: tiene el mismo efecto legal que una firma manuscrita en todos los estados miembros (artículo 25.2). Es el único tipo con reconocimiento transfronterizo automático.
Casos de uso: operaciones inmobiliarias, servicios financieros regulados, actos notariales y contratos de alto valor.
Comparación: SES vs. AES vs. QES
| Característica | SES | AES | QES |
|---|---|---|---|
| Requisitos técnicos | Ninguno | 4 requisitos | AES + QSCD + certificado cualificado |
| Verificación de identidad | No obligatoria | Sí | Sí, por QTSP |
| Efecto legal | Prueba admisible | No se puede denegar el efecto | Igual a firma manuscrita |
| Reconocimiento transfronterizo | No automático | No automático | Automático en la UE |
| Coste/complejidad | Bajo | Medio | Alto |
Servicios de confianza bajo eIDAS
| Servicio | Finalidad |
|---|---|
| Sellos electrónicos | Para organizaciones (como un sello de empresa) |
| Sellos de tiempo electrónicos | Probar que un documento existía en un momento concreto |
| Entrega electrónica | Envío y recepción certificados de documentos |
| Autenticación de sitios web | Certificados de identidad del sitio |
Los servicios cualificados figuran en la Lista de confianza de la UE, mantenida por cada estado miembro.
eIDAS 2.0 (actualización 2024)
La UE está desplegando eIDAS 2.0 (Reglamento 2024/1183), que introduce:
- Cartera de identidad digital de la UE — acceso a una wallet de identidad digital para cada ciudadano
- Firmas cualificadas remotas — acceso más fácil a QES vía wallets móviles
- Atestación electrónica de atributos — credenciales verificables (títulos, licencias, etc.)
- Marco de confianza actualizado — nuevos requisitos para prestadores de servicios
Se espera que eIDAS 2.0 aumente la adopción de QES al hacerlas más accesibles.
Cómo WPsigner apoya el cumplimiento eIDAS
- Capacidad SES — Escribir, dibujar o pulsar para firmar
- Pistas de auditoría — Marcas de tiempo, IP y hashes del documento
- Autoalojado — Mantén los datos en tu jurisdicción para RGPD y eIDAS
- Sin exportación de datos — Los documentos no salen de tu servidor
- Detección de manipulación — Los documentos firmados incluyen hashes de integridad
Para operaciones que exijan AES o QES, WPsigner puede combinarse con prestadores cualificados de servicios de confianza.