9 de mayo de 2025
Introducción
La firma electrónica cualificada (QES) no es simplemente una firma electrónica acompañada de un certificado. En el marco eIDAS, parte de una firma electrónica avanzada y añade dos elementos específicos: debe crearse mediante un dispositivo cualificado de creación de firma electrónica y basarse en un certificado cualificado de firma electrónica.
Para un responsable de cumplimiento en España, la cuestión práctica suele ser doble: cómo comprobar que el método utilizado corresponde realmente al nivel cualificado y qué evidencia conviene conservar para poder demostrarlo después. La respuesta debe referirse al documento y al acto concretos; no basta con el nombre comercial del producto ni con ver un certificado dentro del PDF.
Esta guía explica qué distingue una QES de una AES, qué papel cumplen el dispositivo y el certificado cualificados, qué efecto jurídico atribuye eIDAS a la QES y cómo documentar una revisión interna sin convertir una recomendación operativa en un requisito legal universal.
Qué define a una firma electrónica cualificada
El Reglamento (UE) 910/2014 define la firma electrónica cualificada como una firma electrónica avanzada creada mediante un dispositivo cualificado de creación de firma electrónica y basada en un certificado cualificado de firma electrónica. La fuente oficial del Reglamento permite consultar las definiciones y requisitos aplicables.
Por tanto, la revisión no debería quedarse en «hay un certificado». Para describir una firma como cualificada, deben considerarse conjuntamente:
- los requisitos de la firma electrónica avanzada;
- el uso de un dispositivo cualificado de creación de firma electrónica;
- un certificado cualificado de firma electrónica.
Estos elementos forman parte de la categoría jurídica de QES. La organización puede documentarlos en una ficha interna, pero esa ficha no crea el nivel de firma: solo registra cómo se ha verificado para el documento analizado.
Qué diferencia una AES de una QES
La firma electrónica avanzada (AES) debe cumplir los requisitos del artículo 26 de eIDAS. Entre ellos se encuentran el vínculo único con el firmante, la posibilidad de identificarlo, el uso de datos de creación de firma que el firmante pueda utilizar con un alto nivel de confianza bajo su control y la vinculación con los datos firmados de modo que cualquier modificación posterior sea detectable.
La QES parte de ese nivel avanzado y añade los requisitos cualificados relativos al dispositivo y al certificado.
Una tabla sencilla ayuda a evitar que ambos niveles se mezclen:
La existencia de un certificado, por sí sola, tampoco convierte automáticamente una firma en AES o QES. La clasificación depende del método completo y de que se cumplan los requisitos de la categoría correspondiente.
Qué es un dispositivo cualificado de creación de firma
El dispositivo cualificado de creación de firma electrónica es uno de los elementos que distingue la QES. eIDAS vincula esta categoría con los requisitos establecidos para los dispositivos cualificados de creación de firma.
Desde un punto de vista de cumplimiento, la evidencia no debería reducirse a una anotación genérica como «dispositivo seguro». La ficha interna debe identificar qué mecanismo o servicio se utilizó en el flujo y qué evidencia permite al equipo concluir que el requisito cualificado estaba cubierto.
No siempre será una pieza física en manos del firmante. Lo importante para la revisión es documentar el mecanismo realmente utilizado y la base por la que se considera parte de una configuración cualificada, sin inventar una modalidad que el proveedor o el expediente no acrediten.
Qué es un certificado cualificado de firma electrónica
eIDAS define el certificado cualificado de firma electrónica como un certificado expedido por un prestador cualificado de servicios de confianza y que cumple los requisitos previstos para esta categoría.
Para una revisión interna, conviene distinguir entre:
- el prestador que expide el certificado;
- el servicio cualificado concreto utilizado;
- la identidad y los atributos incluidos;
- la vigencia y el estado del certificado en el momento relevante;
- la cadena y la evidencia empleadas para validarlo.
La lista de confianza correspondiente ayuda a comprobar el estatus del prestador y del servicio. El nombre comercial o la apariencia del certificado no bastan para clasificar la firma.
Qué efecto jurídico tiene una QES
El artículo 25.2 de eIDAS atribuye a la QES un efecto jurídico equivalente al de una firma manuscrita. Esta regla no garantiza por sí sola la validez de cualquier contrato: siguen siendo relevantes el documento, la capacidad, la representación y las formalidades aplicables.
Cuándo corresponde utilizar una QES
La QES puede ser adecuada cuando el documento exige ese nivel o cuando la organización necesita el nivel cualificado como control de riesgo. No debe imponerse como requisito universal. Legal y Cumplimiento deben vincular la decisión al tipo de acto y documentar su fundamento.
Qué evidencia conviene conservar para demostrar el nivel utilizado
El expediente debería relacionar la versión firmada, el firmante, el resultado de validación, el certificado cualificado, la información disponible sobre el dispositivo o servicio cualificado, las marcas temporales y cualquier excepción. Esa evidencia permite revisar la clasificación sin depender del visor utilizado el día de la firma.
Cómo estructurar una ficha interna de QES
Una ficha breve puede incluir: documento y versión, motivo para exigir QES, método configurado, prestador y servicio, certificado, resultado de validación, responsable y fecha de la comprobación. La ficha registra la decisión; no crea por sí misma el nivel cualificado.
Cómo encaja Nota Sign en un flujo cualificado
Nota Sign soporta flujos AES y QES con los prestadores y certificados seleccionados. Los equipos pueden configurar destinatarios, enrutamiento y método, y conservar los registros asociados a la versión firmada para que Cumplimiento pueda revisar el nivel utilizado.
Definir en Nota Sign el flujo y la evidencia del nivel de firma prepara al equipo antes de enviar el siguiente documento que requiera QES.
