5 de abril de 2026
Introducción
La firma digital en el sector público peruano no se implementa simplemente añadiendo un campo de firma a un PDF. Antes de llevar un flujo a producción, la entidad debe definir qué documentos ingresan al proceso, quiénes intervienen, qué modalidad de firma corresponde y qué evidencia permitirá validar el acto después.
El marco parte de la Ley N.º 27269, Ley de Firmas y Certificados Digitales, y de su Reglamento, aprobado por el Decreto Supremo N.º 052-2008-PCM. Para las entidades públicas, la Directiva N.º 002-2024-PCM/SGTD establece disposiciones específicas para el uso de la firma digital y otras modalidades de firma electrónica.
La consecuencia operativa es clara: la modalidad de firma no debe elegirse por comodidad ni aplicarse de manera uniforme a todos los documentos. El diseño debe partir del tipo documental, la norma aplicable, el destinatario, el nivel de evidencia requerido y la forma en que la entidad validará y conservará el resultado.
Esta guía explica cómo estructurar ese trabajo antes del despliegue, con foco en alcance, configuración, validación, trazabilidad y archivo. No sustituye el análisis jurídico o archivístico que corresponda a cada procedimiento.
Empezar por el alcance: entidad, documento y responsable
El primer control no es tecnológico. Es una matriz de documentos que delimite qué procesos se digitalizan y quién responde por cada uno. Resoluciones, oficios, actas, informes, comunicaciones internas y documentos dirigidos a ciudadanos pueden tener reglas, destinatarios y circuitos distintos.
Para cada tipo documental conviene registrar, como mínimo, el área responsable, el firmante o rol autorizado, los destinatarios, la modalidad de firma prevista, el formato del archivo, la necesidad de validación posterior y el sistema donde se conservará el expediente. Esta matriz evita que una configuración válida para un proceso termine reutilizándose sin revisión en otro.
También debe existir un responsable del cambio. Cuando la entidad incorpora un nuevo tipo de documento, modifica la cadena de aprobación o cambia el método de firma, la actualización debe pasar por el mismo control antes de llegar a producción. Así, el flujo digital refleja la política vigente de la entidad y no decisiones tomadas durante cada envío.
Distinguir firma electrónica de firma digital
En el contexto peruano, "firma electrónica" y "firma digital" no deben utilizarse como sinónimos. La firma digital regulada dentro de la Infraestructura Oficial de Firma Electrónica (IOFE) se apoya en certificados digitales y mecanismos criptográficos. La Presidencia del Consejo de Ministros indica que una firma digital generada dentro de la IOFE tiene la misma validez y eficacia jurídica que una firma manuscrita, dentro del marco aplicable.
La Directiva N.º 002-2024-PCM/SGTD regula el uso de la firma digital y otras modalidades de firma electrónica en las entidades públicas. Por ello, la entidad debe identificar expresamente qué método corresponde a cada proceso y documentar la base de esa decisión. Un mecanismo de aceptación electrónica no debe etiquetarse como "firma digital" si no cumple los requisitos del esquema aplicable.
Para los flujos que requieren firma digital, la configuración también debe considerar el certificado utilizado, el software de creación y validación, el formato de firma y el nivel necesario para conservar su verificabilidad. La Directiva contempla formatos CAdES, XAdES y PAdES, así como niveles orientados a necesidades distintas de validación y conservación en el tiempo.
La regla práctica es separar la decisión jurídica de la ejecución técnica: primero se define el método aplicable al documento; después se configura la tecnología que lo materializa.
Diseñar el flujo antes de llevarlo a producción
Una vez definido el alcance, la entidad puede convertir la matriz documental en un flujo concreto. Cada participante debe estar asociado a un rol, una acción y un orden. Quien revisa, quien aprueba y quien firma no son necesariamente la misma persona, y esa diferencia debe quedar reflejada en la configuración.
Antes del despliegue, la prueba debe utilizar el mismo tipo de documento, la misma secuencia de participantes y el mismo método de firma que se empleará en producción. El objetivo no es comprobar únicamente que el documento "se puede firmar", sino verificar que el proceso completo produce el resultado previsto: versión correcta, firmante correcto, certificado correcto cuando corresponda, orden correcto y evidencia recuperable.
En el caso de documentos PDF, la Resolución que aprueba la Directiva N.º 002-2024-PCM/SGTD establece una regla operativa especialmente útil: el servidor civil que requiera firmar digitalmente un PDF debe hacerlo una sola vez; no corresponde firmar cada página. La firma digital protege el documento completo y debe validarse con software acreditado en el marco de la IOFE.
La Directiva también dispone el uso de los servicios de creación y validación de la Plataforma Nacional de Firma Digital - FIRMA PERÚ para los escenarios comprendidos en ese marco. Por ello, una arquitectura de firma pública debe tratar la creación y la validación como controles explícitos, no como pasos implícitos del envío del documento.
En un despliegue con Nota Sign, la plataforma puede organizar documentos, participantes, roles, secuencias de aprobación y evidencia del flujo. El método de firma digital utilizado en el procedimiento debe seguir configurándose de acuerdo con la normativa peruana, la IOFE y los componentes de certificación y validación aplicables.
Conservar evidencia que permita reconstruir el acto
El documento firmado es solo una parte del expediente. Una revisión posterior debe poder responder qué versión se firmó, quién intervino, con qué rol, qué método se utilizó, cuándo se completó la firma y cuál fue el resultado de su validación.
Para ello, la entidad debe conservar de forma asociada el archivo final, la versión o identificador del documento, la identidad y el rol del firmante, los datos relevantes del certificado cuando exista, las marcas de tiempo disponibles, el resultado de validación y el registro de las acciones previas que formen parte del procedimiento. Si el flujo incluye aprobaciones antes de la firma, esas acciones también deben permanecer vinculadas al mismo expediente.
La pista de auditoría de una plataforma de firma aporta trazabilidad operativa, pero no sustituye la validación criptográfica de una firma digital. Son evidencias complementarias: una explica lo ocurrido dentro del flujo y la otra permite comprobar la firma conforme al mecanismo técnico aplicable.
El cierre del acto debe incluir una comprobación simple pero decisiva: el documento archivado debe ser exactamente la versión que fue firmada y validada. Si el archivo cambia después, la entidad pierde la correspondencia entre contenido y evidencia.
Archivar para poder validar después
El archivo no debe diseñarse como un depósito de PDFs. El expediente necesita conservar la relación entre documento, firma, validación y trazabilidad durante el plazo que corresponda según la normativa sectorial, las reglas de gestión documental y la política de la entidad.
Cuando un procedimiento exige verificabilidad a largo plazo, la estrategia de conservación debe contemplarse desde el diseño. La Directiva N.º 002-2024-PCM/SGTD prevé niveles de firma y operaciones de extensión orientados a mantener disponibles los datos necesarios para validar una firma más allá de la vigencia inicial del certificado o de determinadas fuentes de validación.
En la práctica, esto significa que el equipo de tecnología no debe decidir el archivo de manera aislada. Gobierno digital, asesoría jurídica, gestión documental, seguridad de la información y el área dueña del proceso deben acordar qué se conserva, dónde se conserva, quién puede acceder y cómo se realizará una validación futura.
Una adopción bien cerrada deja una cadena verificable: documento correcto, firmante autorizado, método adecuado, validación registrada y expediente recuperable.
