¿Qué son las firmas electrónicas cualificadas?

Una firma sirve para atribuir un documento a su firmante. Las firmas, como señal de confirmación o de conformidad, nos acompañan a diario tanto en el mundo empresarial como en la vida privada, y desde hace cientos de años son imprescindibles en nuestra vida. Hace pocos años todavía se discutía si el escaneo de una firma manuscrita cumplía el requisito de forma escrita. Desde el Reglamento eIDAS, solo las firmas electrónicas cualificadas lo cumplen. Pero ¿qué son las firmas electrónicas cualificadas?

¿Qué son las firmas electrónicas?

La firma electrónica es, por así decirlo, el equivalente digital de la firma manuscrita. Se considera la expresión de una declaración de voluntad en formato digital. Los procedimientos de firma electrónica existen desde principios de los años 2000 y hoy están consolidados en la vida empresarial. En la gran mayoría de los países, las firmas electrónicas cualificadas se equiparan a las firmas manuscritas. En Europa, la norma central es el Reglamento eIDAS. Existen distintos tipos de firma electrónica, pero solo las firmas electrónicas cualificadas tienen el mismo valor que las firmas manuscritas.

Tipos de firma electrónica

Según el Reglamento eIDAS, una firma electrónica se define como: «los datos en formato electrónico anejos a otros datos electrónicos o asociados de manera lógica con ellos que utiliza el firmante para firmar». El Reglamento eIDAS distingue además tres niveles de firma digital, cada uno más seguro que el anterior. Solo la firma electrónica cualificada se equipara a la firma manuscrita en papel.

La firma electrónica simple (SES)

La forma más sencilla de firma electrónica es la firma electrónica simple (SES, por sus siglas en inglés). Aunque el propio Reglamento eIDAS no menciona este término, se ha impuesto en la práctica. Es básicamente un término genérico que abarca todas las firmas electrónicas que no alcanzan el nivel avanzado o cualificado. Incluso el nombre escrito a máquina (por ejemplo, en la firma de un correo electrónico) se considera una SES.

La firma electrónica avanzada (AES)

Los requisitos de una firma electrónica avanzada (AES) son mucho más exigentes. Una AES cumple todos los requisitos siguientes:

• Está vinculada al firmante de manera única (clave privada).
• Permite identificar al firmante.
• Los datos de creación de firma utilizados están bajo el control exclusivo del firmante.
• Está vinculada con los datos firmados de modo que cualquier modificación posterior de los mismos sea detectable.

Desde el punto de vista técnico, la firma electrónica funciona con una clave privada y una clave pública. En primer lugar, se calcula a partir del documento un valor hash único (la «huella digital» del documento). El valor hash se calcula a partir del texto completo y suele expresarse como un número hexadecimal de 64 dígitos. Si el documento se modifica posteriormente, el valor hash cambia y la firma deja de ser válida. El valor hash se cifra con una clave privada y se guarda en los metadatos del documento. Con la clave pública del firmante se puede leer el valor hash de los metadatos.

A partir del documento recibido puede calcularse de nuevo el valor hash. Las firmas solo son válidas si el valor hash obtenido de los metadatos coincide con el valor hash recalculado. En ese caso, puede presumirse que la identidad del remitente y la integridad de la información recibida están garantizadas. Si los valores hash no coinciden, se notifica un error y la seguridad del proceso no está garantizada.

La firma electrónica cualificada (QES)

La firma electrónica cualificada (QES) es el tipo de firma electrónica más seguro. Tiene todas las características de una AES y funciona técnicamente igual. Además de cumplir los requisitos de una AES, se crea mediante un dispositivo cualificado de creación de firma y se basa en un certificado cualificado de firma electrónica. Un certificado cualificado solo puede ser expedido por prestadores cualificados de servicios de confianza (QTSP). Para convertirse en QTSP, un prestador de servicios debe cumplir criterios estrictos fijados por las autoridades competentes.

Conclusión: ¿qué aporta una firma electrónica cualificada?

Una QES cumple, por tanto, dos funciones esenciales. Garantiza que los documentos no se modifiquen posteriormente («integridad»). Y atribuye los datos a una persona concreta («autenticidad»), ya que solo esa persona dispone de la clave privada. Además, la expedición de certificados cualificados y la supervisión de las autoridades garantizan que los certificados de firma funcionen de forma fiable.