Firma electrónica vs. firma digital en Colombia: diferencias

Introducción

En Colombia, firma electrónica y firma digital no son sinónimos. La normativa las regula de manera distinta, y el término “firma electrónica certificada” no debería tratarse automáticamente como una tercera categoría jurídica independiente.

La Ley 527 de 1999 define la firma digital mediante un procedimiento matemático vinculado a la clave del iniciador y al contenido del mensaje. Por su parte, el Decreto 2364 de 2012, posteriormente compilado en el Decreto 1074 de 2015, regula la firma electrónica con un enfoque tecnológicamente neutral: puede utilizar códigos, contraseñas, datos biométricos, claves criptográficas privadas u otros métodos, siempre que sean confiables y apropiados para el propósito correspondiente.

Esto cambia la pregunta que debe hacerse un equipo legal o de operaciones. En vez de elegir por el nombre comercial del producto, conviene determinar qué mecanismo se utilizará, qué evidencia produce, si interviene un certificado digital y qué exige el documento o acto concreto.

Una comparación útil puede organizarse alrededor de cuatro elementos:

1. definición jurídica del método;
2. forma de identificar al firmante;
3. uso o no de certificados y servicios de certificación;
4. evidencia disponible para una revisión posterior.

El objetivo de esta guía es dejar la elección documentada antes de firmar, sin asumir que una etiqueta como “certificada” determina por sí sola el efecto jurídico del mecanismo.

Firma electrónica: la confiabilidad depende del mecanismo y del contexto

El Decreto 2364 de 2012 define la firma electrónica de forma amplia. Puede basarse, entre otros métodos, en códigos, contraseñas, biometría o claves criptográficas privadas. El punto central no es una tecnología específica, sino que el método permita identificar al firmante en relación con el mensaje de datos y sea confiable y apropiado para el propósito en que se utiliza.

Por eso, una firma electrónica no necesita convertirse en firma digital para ser evaluada. Su análisis debe centrarse en cómo funciona el mecanismo concreto y qué evidencia permite conservar.

En un flujo empresarial, esa evidencia puede incluir, según la solución utilizada:

• identificación del firmante;
• método de autenticación;
• manifestación de intención de firmar;
• fecha y hora de los eventos relevantes;
• versión del documento;
• controles de integridad;
• registro de auditoría o eventos del proceso.

La existencia de más evidencia no vuelve automáticamente adecuado el método para cualquier documento. El equipo debe contrastar esas pruebas con el acto, las partes, los acuerdos aplicables y cualquier requisito específico que corresponda.

Firma digital: criptografía, certificado e integridad

La Ley 527 de 1999 define la firma digital como un valor numérico adherido a un mensaje de datos mediante un procedimiento matemático que permite vincular la firma con la clave del iniciador y detectar modificaciones posteriores del mensaje.

En este modelo, los certificados y las entidades de certificación tienen una función propia. La misma Ley 527 regula las entidades de certificación y su capacidad para emitir certificados relacionados con firmas digitales, entre otros servicios.

Para revisar una firma digital, normalmente interesa conservar y verificar elementos como:

• el documento firmado;
• el certificado asociado;
• la identidad del suscriptor reflejada en el certificado;
• el emisor o entidad correspondiente;
• el resultado de la verificación criptográfica;
• la integridad del documento;