18 de octubre de 2025
Introducción
Conservar a largo plazo una firma electrónica cualificada (QES) no consiste en guardar el PDF y volver a abrirlo años después. La cuestión es si, cuando el certificado haya caducado, cambien los algoritmos o se migre el repositorio, la organización seguirá pudiendo relacionar la firma con el documento original y con la evidencia necesaria para evaluarla.
El Reglamento (UE) 910/2014 (eIDAS) distingue varias funciones que conviene no mezclar. El artículo 34 regula el servicio cualificado de conservación de firmas electrónicas cualificadas, cuya finalidad es extender la fiabilidad de la QES más allá de su período de validez tecnológica. Tras la reforma de eIDAS, los artículos 45i y 45j regulan además los servicios de archivo electrónico y los requisitos de los servicios cualificados de archivo electrónico.
Para un gestor documental, esto obliga a separar tres decisiones: qué evidencia debe permanecer vinculada a la firma, qué servicio o repositorio se utilizará y qué política de retención, acceso, validación y migración corresponde al documento concreto. No existe una periodicidad universal de revalidación ni un plazo único de conservación derivado simplemente de utilizar QES.
Guardar el documento no es lo mismo que conservar la fiabilidad de la firma
Un repositorio puede mantener un archivo disponible durante muchos años y, aun así, no prestar un servicio cualificado de conservación de QES. Son funciones diferentes.
El artículo 34 de eIDAS reserva el servicio cualificado de conservación de firmas electrónicas cualificadas a un prestador cualificado de servicios de confianza que utilice procedimientos y tecnologías capaces de extender la fiabilidad de la firma más allá de su período de validez tecnológica.
Por tanto, conviene distinguir:
No debería llamarse «conservación cualificada» a una copia de seguridad, un gestor documental o una política interna de archivo únicamente porque almacenen documentos firmados.
Qué debe poder reconstruirse años después
La conservación debe partir del objeto realmente firmado. Una imagen de la rúbrica o una captura del visor no sustituyen el archivo firmado ni la evidencia técnica asociada.
Un expediente útil puede mantener relacionados:
- el archivo firmado original y sus anexos;
- un identificador estable del expediente y de la versión;
- la identidad y el rol del firmante;
- el método de firma utilizado;
- el certificado asociado y la información de cadena disponible;
- sellos de tiempo y datos de validación, cuando formen parte del método;
- información de revocación o estado disponible para la validación;
- resultados de validación conservados por el proceso;
- eventos y excepciones relevantes;
- la política de retención, acceso y recuperación aplicada.
Una huella criptográfica puede servir para comprobar si dos copias son idénticas a nivel binario, pero no demuestra por sí sola quién firmó, qué método se utilizó ni si la firma sigue siendo validable.
El objetivo del inventario no es acumular archivos, sino permitir que un revisor futuro identifique qué documento se firmó, con qué firma y sobre qué evidencia se apoya la evaluación.
Qué significa validar una QES con el paso del tiempo
El artículo 32 de eIDAS establece requisitos para la validación de una firma electrónica cualificada. Entre otros elementos, el proceso considera el certificado cualificado, su validez en el momento de la firma, el dispositivo cualificado, la integridad de los datos firmados y los requisitos de la firma avanzada.
Que un certificado haya caducado hoy no invalida automáticamente una firma creada cuando era válido. La evaluación necesita datos suficientes sobre el momento de firma y el estado entonces disponible.
Cuándo utilizar un servicio cualificado de conservación
Considérelo cuando la organización necesite extender la fiabilidad tecnológica de QES durante largos periodos y el análisis del documento lo justifique. La decisión debe identificar el prestador cualificado, el servicio concreto y la evidencia generada.
Archivo electrónico cualificado y conservación de QES no son sinónimos
El archivo electrónico preserva datos y documentos bajo su propio marco; la conservación de QES se centra en extender la fiabilidad de la firma. Un proyecto puede necesitar uno, ambos o ninguno, según el caso.
Definir retención y acceso por clase de documento
Asigne plazo, evento inicial, responsable, permisos y regla de eliminación a cada clase documental. No deduzca una duración universal del uso de QES. Legal, Seguridad y Gestión Documental deben aprobar juntos las excepciones.
Revalidar por riesgo, no por una cadencia inventada
La frecuencia debe responder al horizonte de conservación, los cambios tecnológicos y la política de riesgo. Documente qué activa una revalidación: migración, cambio de algoritmo, incidente o revisión previa a un uso relevante.
Migrar sin perder el original firmado
Conserve el archivo original y registre cualquier transformación, nuevo formato o movimiento de repositorio. Una copia convertida puede facilitar la consulta, pero no debería sustituir silenciosamente el artefacto firmado.
Probar recuperación antes de confiar en el expediente
Un revisor autorizado debe poder localizar el original, reconstruir la validación y entender cada migración. La prueba debe realizarse con herramientas y permisos realistas, no solo desde la cuenta del administrador.
Cómo encaja Nota Sign en la conservación a largo plazo
Nota Sign soporta la firma, el enrutamiento y la conservación de los registros asociados al flujo, manteniendo documento, participantes y evidencia relacionados. También soporta la integración con los servicios seleccionados. La política de retención y la decisión de utilizar conservación o archivo cualificados dependen del documento y del proveedor elegido.
Vincular la evidencia del flujo a la política de conservación en Nota Sign ayuda a que el expediente siga siendo recuperable con el paso del tiempo.
