28 de mayo de 2025
Introducción
En un flujo de firma electrónica pueden intervenir certificados, servicios de creación, validadores, sellos de tiempo y mecanismos de conservación. El error habitual es llamarlos a todos «servicios de confianza» o asumir que, por trabajar con el mismo proveedor, cumplen la misma función y tienen el mismo estatus jurídico.
El Reglamento (UE) 910/2014 (eIDAS), en su versión vigente tras la reforma de 2024, define los servicios de confianza por la actividad que prestan. Entre ellos incluye, cuando corresponda, la expedición y validación de certificados, la creación y validación de firmas y sellos electrónicos, su conservación, la gestión de dispositivos remotos de creación, la creación y validación de sellos de tiempo y otros servicios como la entrega electrónica certificada o el archivo electrónico.
Para un responsable de operaciones en España, el objetivo no es memorizar todo el catálogo normativo. Es identificar qué servicios intervienen realmente en su flujo, quién los presta, si son cualificados cuando se afirma que lo son y qué evidencia produce cada uno. Esta guía propone un inventario operativo que mantiene separadas esas funciones.
Qué es un servicio de confianza y qué no debe confundirse con él
El texto consolidado de eIDAS define «servicio de confianza» como un servicio electrónico, normalmente prestado a cambio de una remuneración, que consiste en alguna de las actividades enumeradas por el Reglamento.
En un flujo relacionado con firmas electrónicas pueden aparecer, entre otras, estas funciones:
- expedición de certificados de firma electrónica;
- validación de certificados;
- creación de firmas electrónicas;
- validación de firmas electrónicas;
- conservación de firmas y certificados;
- gestión de dispositivos remotos de creación de firma;
- creación de sellos de tiempo electrónicos;
- validación de sellos de tiempo electrónicos;
- entrega electrónica certificada;
- archivo electrónico, cuando forme parte del proceso.
Esto no significa que todos los flujos necesiten todos esos servicios. Tampoco significa que cualquier software que abra un PDF o muestre un certificado sea automáticamente un servicio de confianza.
Conviene separar cuatro conceptos:
Un mismo prestador puede ofrecer varios servicios. Cada servicio debe documentarse por separado, porque su función, evidencia y posible condición de cualificado pueden ser diferentes.
No todos los servicios de confianza son cualificados
eIDAS distingue entre un servicio de confianza y un servicio de confianza cualificado. El segundo es el que cumple los requisitos aplicables establecidos por el Reglamento.
Por tanto, no basta con que una empresa se presente como prestador de servicios de confianza para concluir que todos sus servicios son cualificados. Cuando el flujo dependa de esa condición, el inventario debería identificar el servicio exacto y comprobar su estatus mediante la fuente de confianza correspondiente.
Las listas de confianza de los Estados miembros contienen información sobre los prestadores cualificados y los servicios de confianza cualificados que prestan. Esta comprobación resulta especialmente importante cuando la política interna exige, por ejemplo, un certificado cualificado, un servicio de validación cualificado o un sello cualificado de tiempo.
Una fila del inventario debería poder responder:
- ¿qué servicio concreto se utiliza?;
- ¿quién lo presta?;
- ¿se afirma que es cualificado?;
- ¿qué fuente oficial confirma esa condición?;
- ¿qué evidencia genera y dónde se conserva?
La autoridad o infraestructura pública competente mantiene la información oficial de las listas de confianza y del estatus cualificado. Nota Sign se integra con esa función pública y soporta la selección del prestador, el inicio y enrutamiento del flujo y la conservación del resultado de validación.
Separar creación, certificado y gestión del dispositivo
La creación de una firma, la expedición del certificado y la gestión de un dispositivo remoto son funciones distintas, aunque un mismo proveedor ofrezca varias. El inventario debe indicar qué servicio cubre cada etapa y con qué condición.
La validación es una función distinta de la creación
Crear una firma no equivale a validar después su certificado, integridad y estado. Defina qué servicio realiza la validación, en qué momento y qué resultado se guarda. Nota Sign soporta la incorporación de ese resultado al expediente del flujo.
Qué aporta un sello de tiempo electrónico
Un sello de tiempo vincula datos con un momento según el servicio utilizado; no es simplemente la fecha visible en el PDF. Si el control exige un sello cualificado, compruebe el servicio concreto en la fuente oficial correspondiente.
Cuándo importa la conservación cualificada
El almacenamiento ordinario mantiene archivos disponibles. Un servicio cualificado de conservación de firmas tiene requisitos específicos y debe prestarlo un proveedor cualificado. La política debe decidir si el documento requiere ese servicio o una retención operativa distinta.
Otros servicios que pueden aparecer en el flujo
La entrega electrónica certificada, el sello electrónico, el archivo electrónico o la gestión remota pueden intervenir según el caso. Inclúyalos solo cuando formen parte del flujo real y registre por separado su función y evidencia.
Construir un inventario de servicio a función
Para cada servicio, registre función, proveedor, estatus declarado, fuente oficial, configuración, artefacto generado, responsable y prueba de recuperación. Revise la fila cuando cambien el proveedor o el servicio.
Cómo encaja Nota Sign en este inventario
Nota Sign soporta flujos con certificados, AES, QES, sellos de tiempo y otros servicios de confianza seleccionados. Los equipos pueden elegir el proveedor, integrar el servicio, iniciar y enrutar la firma y conservar la validación vinculada al documento. La inclusión en una lista oficial o la concesión del estatus cualificado corresponde a la autoridad y a la infraestructura pública competente.
Vincular el inventario de servicios al flujo en Nota Sign permite saber qué proveedor realiza cada función y qué evidencia queda disponible.
