Firma electrónica avanzada: qué es, cómo funciona y qué dice el Reglamento eIDAS

El mercado global de la firma electrónica alcanzó los 13.400 millones de dólares en 2025, con proyecciones que apuntan a 70.200 millones para 2030 y una tasa de crecimiento anual compuesta del 39,2 %, según MarketsandMarkets. Más del 80 % de las organizaciones ya utiliza alguna forma de firma electrónica en su operativa diaria (eSignGlobal, 2024). Sin embargo, un problema persistente debilita esta ola de adopción: la mayoría de los profesionales confunde los tres niveles de firma definidos por el derecho de la Unión Europea, lo que expone a sus organizaciones a lagunas de cumplimiento y a contratos impugnables. La firma electrónica avanzada (AES, por sus siglas en inglés) se sitúa en el centro de esa confusión. Ofrece garantías más sólidas que un simple clic para firmar, pero se queda por debajo del aparato completo que exige una firma electrónica cualificada. Entender dónde empieza y dónde termina la firma electrónica avanzada, qué exige realmente el Reglamento eIDAS (UE) n.º 910/2014 y cuándo conviene a tu organización subir o bajar en la escala de firmas son preguntas que los responsables jurídicos, los equipos de cumplimiento y los responsables de TI necesitan resolver con precisión, no con eslóganes de marketing.

¿Qué es una firma electrónica avanzada?

Una firma electrónica avanzada es una firma electrónica que cumple cuatro requisitos concretos establecidos en el artículo 26 del Reglamento eIDAS. Es más fiable que una firma electrónica simple, pero menos exigente que una firma electrónica cualificada. La firma electrónica avanzada aporta un vínculo verificable entre el firmante y los datos firmados, ofrece detección de manipulaciones y sitúa los medios de firma bajo el control exclusivo del firmante. Ante los tribunales de la UE y en las transacciones transfronterizas, esta combinación tiene un peso jurídico real.

Definición y requisitos del artículo 26 de eIDAS

El artículo 3, apartado 11, del Reglamento eIDAS define la firma electrónica avanzada como aquella que cumple los requisitos del artículo 26. Esos cuatro requisitos constituyen la columna vertebral de cualquier implementación:

1. Vinculada de manera única al firmante: la firma debe estar ligada a una única persona identificable mediante un mecanismo que no pueda compartirse ni reasignarse.
2. Capaz de identificar al firmante: el proceso debe establecer quién firmó realmente, más allá de una simple dirección de correo o de un registro de IP.
3. Creada con datos de creación de firma que el firmante puede utilizar, con un alto nivel de confianza, bajo su control exclusivo: la clave privada, el token o el factor biométrico deben permanecer accesibles únicamente para el firmante.
4. Vinculada a los datos firmados de modo que cualquier modificación posterior sea detectable: la protección de integridad garantiza que el documento no pueda alterarse tras la firma sin dejar rastro.

Estas cuatro condiciones son acumulativas. Si falta una sola, la firma no se considera avanzada según eIDAS. En la práctica, esto significa que un PDF firmado con una simple herramienta de dibujo falla en casi todos los criterios, mientras que una firma generada a través de una identidad verificada por OTP y un hash criptográfico puede cumplir los cuatro.

Diferencias entre firma simple, avanzada y cualificada

eIDAS establece una jerarquía de tres niveles. Cada nivel añade requisitos sobre el anterior y aumenta tanto la seguridad jurídica como la complejidad de implementación. La siguiente tabla comparativa resume las diferencias prácticas que importan para las decisiones de cumplimiento.

¿Qué significa esto en la práctica? La firma electrónica avanzada tiene un valor legal genuino en toda la UE. El artículo 25, apartado 1, de eIDAS establece que no se denegarán efectos jurídicos ni admisibilidad a una firma electrónica por el mero hecho de estar en formato electrónico. En el caso concreto de la firma avanzada, los cuatro requisitos del artículo 26 crean una presunción de fiabilidad que los tribunales y los reguladores respetan cada vez más.

Firma electrónica avanzada frente a firma digital: aclarando la confusión habitual

Los términos "firma electrónica avanzada" y "firma digital" se usan a menudo como sinónimos, pero se refieren a conceptos distintos. Una firma digital es un mecanismo técnico basado en criptografía asimétrica: una clave privada cifra un hash del documento y una clave pública correspondiente permite la verificación. Una firma electrónica avanzada es una categoría jurídica definida por eIDAS que especifica qué debe lograr una firma, no cómo debe construirse.

En la práctica, la mayoría de las implementaciones de firma avanzada se apoyan en la tecnología de firma digital para satisfacer los requisitos de detección de manipulaciones y de vínculo único. Pero una firma avanzada podría, en teoría, utilizar otros enfoques técnicos, siempre que se cumplan los cuatro requisitos del artículo 26. A la inversa, una firma digital que carezca de una identificación adecuada del firmante o de mecanismos de control exclusivo no se consideraría firma electrónica avanzada según eIDAS.

Para una ilustración concreta de cómo funcionan las firmas digitales en contextos aplicados, consulta este ejemplo de firma digital.

Cómo funciona la firma electrónica avanzada: el proceso técnico

Detrás de cada firma electrónica avanzada hay una arquitectura técnica que convierte los cuatro requisitos legales del artículo 26 en operaciones concretas y verificables. Cada paso se corresponde directamente con una obligación normativa y produce una traza de auditoría diseñada para resistir el escrutinio judicial en cualquier Estado miembro de la UE.

Identificación del firmante y vínculo único

Los dos primeros requisitos del artículo 26 exigen que la firma esté vinculada de forma única al firmante y que permita identificarlo. Qué significa esto en la práctica: debe existir un paso de verificación de identidad antes de firmar y un enlace criptográfico entre esa identidad verificada y el resultado de la firma.

Los enfoques habituales incluyen:

• Verificación mediante OTP: una contraseña de un solo uso enviada a un número de móvil registrado confirma que la persona que inicia la firma controla un dispositivo previamente verificado.
• Verificación por vídeo biométrico: el firmante graba un breve vídeo que se coteja con un documento de identidad. Así se crea un vínculo sólido entre la persona física y el acto de firma.
• Autenticación basada en identidad electrónica (eID): los esquemas nacionales de identidad electrónica (Cl@ve y el DNI electrónico o DNIe en España, BankID en Escandinavia, eHerkenning en los Países Bajos) proporcionan una identificación con garantías equivalentes a las de la Administración.

Sea cual sea el método elegido, debe producir un registro de identificación que se conserva junto a la firma. Años después, todavía debe ser posible reconstruir con exactitud quién firmó y cuándo.

Control exclusivo y detección de manipulaciones

El tercer requisito establece que los datos de creación de firma deben estar bajo el control exclusivo del firmante con un alto nivel de confianza. Esto no significa necesariamente que el firmante posea un dispositivo físico. Las soluciones en la nube pueden cumplir este requisito combinando la autenticación multifactor con una gestión de claves en el servidor, donde la clave privada solo se activa después de que el firmante supera un reto de autenticación.

El cuarto requisito, la detección de manipulaciones, suele implementarse mediante un hash criptográfico. Cuando se firma el documento, se calcula un hash (una huella matemática de longitud fija, habitualmente un hash criptográfico SHA-256) de todo el contenido y se sella con la clave de firma. Si se modifica un solo carácter tras la firma, el hash cambia y la alteración se hace visible de inmediato. Las normas publicadas por el Instituto Europeo de Normas de Telecomunicaciones (ETSI), incluidas la serie EN 319 y los perfiles definidos en ISO 14533, especifican los formatos técnicos que garantizan la interoperabilidad entre plataformas y fronteras.

Cuándo basta la firma avanzada y cuándo se exige la cualificada

Para la mayoría de las transacciones comerciales en la UE, la firma electrónica avanzada es suficiente. Contratos laborales, acuerdos de servicios, documentación de compras, reclamaciones de seguros, aprobaciones internas corporativas: todo ello puede firmarse con una firma avanzada en la mayoría de los Estados miembros. El principio del artículo 25, apartado 1, es la neutralidad tecnológica: el efecto jurídico de una firma depende de su fiabilidad, no de su formato.

Dicho esto, determinadas leyes nacionales y regulaciones sectoriales reservan excepciones en las que solo sirve una firma electrónica cualificada (QES). Ciertas compraventas inmobiliarias en varios Estados miembros, algunas inscripciones en registros públicos y determinados instrumentos financieros regulados exigen QES de forma explícita. La distinción crítica: la QES es el único tipo de firma electrónica que eIDAS equipara automáticamente a una firma manuscrita (artículo 25.2). Para todo lo demás, la firma avanzada ofrece un equilibrio práctico entre seguridad y eficiencia operativa.

El marco normativo eIDAS para la firma electrónica avanzada

eIDAS es el marco jurídico vinculante que regula las firmas electrónicas en los 27 Estados miembros de la UE, además de los países del EEE. Antes de su entrada en vigor, las transacciones electrónicas transfronterizas eran un mosaico de normas nacionales contradictorias. eIDAS sustituyó esa fragmentación por un conjunto único de requisitos. En España, este marco se completa con la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, que desarrolla a nivel nacional las cuestiones no armonizadas por el Reglamento.

Reglamento eIDAS (UE 910/2014): los cuatro requisitos

El Reglamento eIDAS, formalmente el Reglamento (UE) n.º 910/2014, de 23 de julio de 2014, establece un marco jurídico único para la identificación electrónica y los servicios de confianza. El artículo 26 codifica los cuatro requisitos de la firma avanzada ya comentados. Pero otras disposiciones dan forma a cómo funciona la firma avanzada en la práctica:

• Artículo 25, apartado 1: no puede negarse a una firma electrónica efecto jurídico ni admisibilidad como prueba en un procedimiento judicial por el mero hecho de estar en formato electrónico o de no cumplir los requisitos de la firma cualificada.
• Artículo 25, apartado 2: solo la firma electrónica cualificada tiene el mismo efecto jurídico que una firma manuscrita. Esto significa que la firma avanzada goza de una equivalencia fuerte, pero no automática, con la firma en papel.
• Artículo 27: los Estados miembros deben reconocer las firmas electrónicas avanzadas basadas en certificados cualificados y creadas mediante dispositivos cualificados de creación de firma procedentes de otros Estados miembros.

Fuera de la UE existen marcos paralelos. Estados Unidos se apoya en la ESIGN Act (Electronic Signatures in Global and National Commerce Act, 2000) y en la UETA (Uniform Electronic Transactions Act), que adoptan un enfoque de neutralidad tecnológica sin la jerarquía de tres niveles. Estos marcos reconocen las firmas electrónicas de forma amplia, pero carecen de los requisitos detallados que distinguen a la firma avanzada de las formas más simples.

Validez legal y valor probatorio en España y en la UE

El beneficio práctico de eIDAS es el reconocimiento mutuo. Una firma electrónica avanzada creada en Francia mantiene el mismo rango jurídico cuando se presenta ante un tribunal alemán o ante una autoridad reguladora española. Esta validez transfronteriza se apoya en la aplicabilidad directa del Reglamento: a diferencia de las directivas, los reglamentos de la UE no requieren transposición nacional y surten efecto de manera uniforme.

En España, el valor probatorio de una firma electrónica avanzada se aprecia en el marco de la Ley 1/2000, de Enjuiciamiento Civil (LEC). El artículo 299.2 admite como medios de prueba los instrumentos de reproducción de la palabra, el sonido y la imagen, así como los que permiten archivar y reproducir datos; el artículo 384 dispone que esos instrumentos se valoran "según las reglas de la sana crítica"; y el artículo 326 regula la fuerza probatoria de los documentos privados y su eventual impugnación. En la práctica, una firma avanzada bien documentada, con su traza de auditoría, su registro de identificación y su cadena de custodia, refuerza notablemente la posición de quien la aporta si la otra parte impugna el documento.

Dicho esto, los Estados miembros conservan margen para decidir qué transacciones concretas exigen una firma cualificada en lugar de una avanzada. Un contrato firmado con firma avanzada en Finlandia es legalmente válido en Portugal, pero si la legislación portuguesa exige QES para ese tipo concreto de operación, la firma avanzada no bastará a efectos de cumplimiento en Portugal. Los responsables jurídicos deben, por tanto, verificar tanto el marco general de eIDAS como las normas nacionales específicas aplicables a su tipo de transacción.

eIDAS 2.0 y la cartera EUDI: qué cambia

El marco eIDAS revisado, conocido comúnmente como eIDAS 2.0, introduce la Cartera Europea de Identidad Digital (EUDI Wallet), que los Estados miembros deben poner a disposición de sus ciudadanos y residentes antes del 31 de diciembre de 2026. La cartera EUDI es relevante para la firma electrónica avanzada por dos motivos.

Primero, la cartera proporcionará una capa estandarizada de verificación de identidad respaldada por la Administración que podrá servir de base para la firma avanzada y la cualificada en toda la UE. En lugar de depender de esquemas nacionales de eID dispares, las organizaciones podrán verificar la identidad de un firmante a través de una única infraestructura interoperable. Segundo, la cartera admitirá firmas cualificadas de forma nativa, lo que podría reducir la barrera práctica entre la firma avanzada y la cualificada. Si crear una QES llega a ser tan sencillo como tocar el teléfono, las actuales ventajas de coste y complejidad de la firma avanzada podrían estrecharse de forma considerable.

Para las organizaciones que están construyendo hoy sus flujos de firma avanzada, la conclusión es práctica: diseña sistemas capaces de acomodar niveles de garantía superiores sin cambios de arquitectura. La dirección normativa favorece una verificación de identidad más robusta y niveles de firma más altos. La cartera EUDI acelerará ese cambio.

Certificación y firma avanzada: cómo proteger los datos en origen

La firma electrónica avanzada resuelve la identidad y la integridad del acto de firma en sí. Pero en muchos contextos operativos el reto va más allá de firmar. Los datos subyacentes, ya sea una fotografía, un vídeo, un informe o un documento contractual, también deben ser auténticos y no haber sufrido alteraciones desde el momento de su creación. La certificación de datos en origen complementa las garantías de la firma avanzada al cerrar la brecha entre "quién firmó" y "qué se firmó".

Firma digital integrada en la certificación de TrueScreen

TrueScreen, la Data Authenticity Platform, integra capacidades de firma digital directamente en su flujo de certificación. Cuando un documento, una foto o un vídeo se adquiere a través de TrueScreen, ocurren dos cosas en secuencia. Primero, la plataforma captura y certifica los datos en el punto de origen, preservando su autenticidad digital con una metodología forense que garantiza la inmutabilidad desde la fuente. Segundo, aplica una firma digital con un sello de tiempo cualificado, integrando para ello los servicios de un QTSP tercero. El resultado es un registro verificable de quién firmó, cuándo lo hizo y de que el contenido no se ha alterado desde entonces.

La identificación del firmante puede realizarse mediante verificación OTP o vídeo biométrico, ambas conformes con los requisitos de eIDAS y con el RGPD. El resultado es un paquete certificado en el que el origen de los datos, la identidad del firmante y la integridad del documento quedan demostrablemente intactos. Este enfoque aborda una debilidad que las herramientas de firma avanzada por sí solas dejan al descubierto: verifican al firmante, pero no dicen nada sobre si el propio contenido firmado era auténtico antes de aplicar la firma.

Escenarios prácticos: contratos, informes y documentación de campo

Estos son tres escenarios en los que la certificación con prueba de valor legal y firma digital integrada resuelve problemas operativos reales:

Contratos y acuerdos. Una empresa multinacional necesita que sus representantes de campo firmen contratos de servicio in situ. TrueScreen permite al representante capturar el documento firmado, certificarlo en origen y aplicar una firma digital en un único flujo. La contraparte recibe un paquete verificable en lugar de un PDF escaneado de procedencia dudosa.

Informes de inspección. Un perito de seguros fotografía los daños en el lugar de un siniestro. Las fotos se certifican en el mismo momento en que se toman y el perito firma el informe digitalmente. Cualquier disputa sobre si las imágenes fueron manipuladas o el informe alterado puede resolverse verificando la cadena de certificación y la firma digital, sin depender de testigos ni del análisis de metadatos EXIF.

Documentación de campo para cumplimiento. Una empresa energética debe documentar inspecciones ambientales para su presentación ante el regulador. Las fotografías, las mediciones y las notas del inspector se adquieren a través de TrueScreen, se certifican con inmutabilidad en origen y se firman digitalmente. La autoridad reguladora recibe una documentación con una cadena de custodia completa, desde el momento de la captura hasta el de la presentación. Para un análisis detallado de cómo difieren los mecanismos de sello electrónico y firma digital en estos contextos, consulta la comparativa dedicada.

FAQ

¿Cuál es la diferencia entre una firma avanzada y una cualificada?

Una firma electrónica avanzada (AES) cumple los cuatro requisitos del artículo 26 de eIDAS: vínculo único con el firmante, identificación del firmante, control exclusivo y detección de manipulaciones. Una firma electrónica cualificada (QES) cumple todos los requisitos de la avanzada y añade dos más: debe basarse en un certificado cualificado emitido por un prestador cualificado de servicios de confianza (QTSP) y crearse mediante un dispositivo cualificado de creación de firma (QSCD). En virtud del artículo 25.2 de eIDAS, solo la QES tiene la equivalencia legal automática con una firma manuscrita.

¿Es una firma electrónica avanzada legalmente válida en toda la UE?

Sí. Según el artículo 25.1 de eIDAS, no puede negarse a una firma electrónica avanzada efecto jurídico ni admisibilidad como prueba en ningún Estado miembro por el mero hecho de estar en formato electrónico. No obstante, determinadas leyes nacionales pueden exigir una firma cualificada para ciertos tipos de transacción, como las compraventas inmobiliarias o algunas inscripciones registrales. La firma avanzada sigue siendo válida, pero puede no satisfacer los requisitos específicos de una norma nacional concreta. En España, su valor probatorio se aprecia según las reglas de la sana crítica conforme a los artículos 299.2 y 384 de la LEC.

¿Puede usarse una firma avanzada en contratos internacionales fuera de la UE?

La firma avanzada, tal como la define eIDAS, es un concepto jurídico de la UE. Fuera de la Unión, su reconocimiento depende del derecho local. Estados Unidos, por ejemplo, reconoce las firmas electrónicas de forma amplia mediante la ESIGN Act y la UETA, pero no distingue entre niveles simple y avanzado. Muchos otros países aceptan la firma electrónica en las transacciones comerciales, aunque su valor probatorio varía notablemente. Para los contratos internacionales, conviene verificar la ley aplicable en cada jurisdicción. Combinar la firma avanzada con una certificación de datos adicional puede reforzar el registro probatorio allí donde las normas locales dejan lagunas.

¿Qué cambiará eIDAS 2.0 para las firmas electrónicas?

eIDAS 2.0 introduce la Cartera Europea de Identidad Digital (EUDI Wallet), que los Estados miembros deben desplegar antes del 31 de diciembre de 2026. La cartera ofrecerá una verificación de identidad estandarizada en toda la UE y admitirá firmas cualificadas de forma nativa. Es probable que esto reduzca la barrera entre la firma avanzada y la cualificada, haciendo que las firmas de mayor garantía sean más accesibles y rentables para organizaciones de todos los tamaños.

¿Cómo complementa la certificación de datos a una firma electrónica avanzada?

Una firma avanzada verifica quién firmó un documento y detecta manipulaciones posteriores a la firma, pero no aborda la autenticidad del contenido subyacente antes de firmar. La certificación de datos, como el proceso de adquisición en origen que utiliza TrueScreen, captura y protege los datos en el momento de su creación. Combinada con la firma avanzada, crea una cadena de confianza completa desde el origen del dato hasta la firma, con prueba de valor legal en cada paso. Importa sobre todo para la prueba fotográfica, los informes de campo y cualquier documento en el que la integridad de los datos de origen sea tan crítica como la firma en sí.