15 de marzo de 2025
Introducción
Cuando una política de firma electrónica en España cita a la vez el Reglamento eIDAS y la Ley 6/2020, el riesgo no está en utilizar dos fuentes, sino en atribuirles la misma función. eIDAS establece el marco europeo para las firmas electrónicas y los servicios de confianza; la Ley 6/2020 regula determinados aspectos nacionales que el marco europeo deja al desarrollo de los Estados miembros.
Esta distinción importa en la práctica. Las definiciones de firma electrónica avanzada (AES) y firma electrónica cualificada (QES), los requisitos de la AES y el efecto jurídico de la QES proceden de eIDAS. La Ley 6/2020 no vuelve a crear esas categorías para España; desarrolla cuestiones nacionales relacionadas con los servicios electrónicos de confianza, los certificados y su supervisión.
Para redactar una política sólida, cada afirmación debería apuntar a la fuente que realmente la sostiene. Esta guía explica qué conviene citar de eIDAS, qué complementa la Ley 6/2020 y cómo evitar mezclar ambos niveles normativos.
Qué corresponde al Reglamento eIDAS
El Reglamento (UE) 910/2014 es directamente aplicable en los Estados miembros y contiene las categorías europeas de firma electrónica. Para una política de firma en España, es la fuente principal cuando se habla de AES, QES y de los efectos jurídicos asociados a esas categorías.
Entre las cuestiones que deben buscarse en eIDAS están:
- la definición de las distintas categorías de firma electrónica;
- los requisitos de la firma electrónica avanzada;
- la definición de firma electrónica cualificada;
- los requisitos de certificados y dispositivos cualificados;
- los efectos jurídicos de las firmas electrónicas;
- el reconocimiento de servicios de confianza cualificados entre Estados miembros.
El artículo 25 mantiene dos reglas especialmente relevantes: una firma electrónica no puede ser privada de efectos jurídicos ni de admisibilidad como prueba únicamente por ser electrónica o por no cumplir los requisitos de una QES, y una QES tiene un efecto jurídico equivalente al de una firma manuscrita.
Además, eIDAS fue modificado por el Reglamento (UE) 2024/1183. Por eso, una política actualizada debería trabajar con el texto consolidado vigente de eIDAS y no copiar sin revisar la numeración de una versión anterior. En el texto consolidado, el reconocimiento entre Estados miembros de las firmas electrónicas cualificadas basadas en certificados cualificados se recoge en el artículo 24 bis.
Ese reconocimiento europeo no significa que cualquier contrato firmado con QES quede automáticamente aceptado para cualquier finalidad. El método de firma debe seguir relacionándose con el documento, las partes y las reglas aplicables al acto concreto.
Qué complementa la Ley 6/2020 en España
La Ley 6/2020, de 11 de noviembre, regula determinados aspectos de los servicios electrónicos de confianza en España. Su propio preámbulo explica que complementa el Reglamento eIDAS en materias que no quedaron completamente armonizadas y cuyo desarrollo corresponde a los Estados miembros.
Entre las materias que la ley desarrolla o precisa se encuentran, según el caso:
- determinadas reglas sobre certificados electrónicos;
- comprobación de identidad y otros datos para la expedición de certificados;
- obligaciones adicionales de prestadores de servicios de confianza;
- conservación de información relativa a servicios prestados;
- mecanismos nacionales de supervisión y listas de confianza;
- obligaciones de seguridad y comunicación de incidentes;
- responsabilidad, cobertura de riesgos y régimen sancionador;
- suspensión o extinción de la vigencia de certificados en los supuestos previstos.
La Ley 6/2020 en el BOE debe citarse para la materia nacional concreta que se esté aplicando. No conviene utilizarla como una referencia genérica para cualquier afirmación sobre AES o QES.
Por ejemplo, si una política afirma que una QES tiene efecto equivalente a una firma manuscrita, la fuente normativa de esa afirmación es eIDAS. Si la política describe una obligación nacional específica de un prestador sujeto a la Ley 6/2020, la cita debe dirigirse al precepto español correspondiente.
Qué no debería atribuirse a la Ley 6/2020
Una política de firma suele ganar claridad cuando separa explícitamente las afirmaciones europeas de las nacionales.
Esta separación evita que una cita correcta se utilice para sostener una conclusión distinta de la que contiene la fuente.
Cómo citar eIDAS y la Ley 6/2020 sin mezclar su alcance
La nota interna debería asociar cada afirmación a un precepto, explicar su alcance y separar la regla jurídica de la decisión operativa. Por ejemplo, «eIDAS atribuye a la QES un efecto equivalente a la firma manuscrita» es distinto de «la política exige QES para esta clase de contrato».
Usar siempre la versión normativa adecuada
eIDAS ha sido modificado, por lo que conviene enlazar el texto consolidado y registrar la fecha de revisión. La Ley 6/2020 debe consultarse en su versión vigente. Si cambia la norma o el documento, la matriz de fuentes debe revisarse antes de reutilizarse.
Cómo encaja Nota Sign en esta separación normativa
Nota Sign soporta flujos de firma electrónica, incluidas configuraciones AES y QES con los prestadores y certificados seleccionados. Legal puede definir el nivel y su fundamento; Operaciones puede traducir esa decisión en destinatarios, método, enrutamiento y evidencia dentro de Nota Sign, sin convertir la plataforma en autora de la conclusión jurídica.
Vincular la nota normativa al diseño del flujo en Nota Sign permite que cada configuración responda a una decisión documentada y no a una etiqueta genérica.
