SES, AES y QES: qué nivel de firma necesita cada documento
La confusión más cara del cumplimiento digital. Qué dice eIDAS de cada nivel, cuál pide cada documento y qué prueba hay que conservar para que aguante.
Lo esencial
- El Reglamento (UE) 910/2014 (eIDAS) define tres niveles: simple (SES), avanzada (AES) y cualificada (QES).
- Su artículo 25.1 es la clave que casi nadie cita: a una firma electrónica no se le pueden negar efectos jurídicos ni admisibilidad como prueba solo por ser electrónica o por no ser cualificada.
- Solo la cualificada tiene, por el artículo 25.2, el efecto jurídico equivalente a la firma manuscrita.
- En la práctica, la pregunta útil no es «¿es válida?» sino «¿qué tendría que probar si alguien la niega?».
Los tres niveles, sin jerga
| Nivel | Qué exige eIDAS | Efecto | Uso típico |
|---|---|---|---|
| Simple (SES) | Datos en formato electrónico usados por el firmante para firmar. Poco más. | Admisible como prueba; su fuerza depende de la evidencia que la acompañe | Conformidades, acuses, aceptación de condiciones |
| Avanzada (AES) | Vinculada al firmante de forma única, permite identificarlo, creada con medios bajo su control exclusivo y detecta cualquier cambio posterior (art. 26) | Admisible, y con mucha mejor posición probatoria | Contratos mercantiles, acuerdos con proveedores |
| Cualificada (QES) | AES con certificado cualificado y dispositivo cualificado de creación de firma | Equivalente a la manuscrita (art. 25.2), con inversión de la carga de la prueba | Lo que la ley exija expresamente, actos ante la Administración |
Qué nivel pide cada documento
La regla práctica: el nivel se elige por el coste de que la firma se caiga, no por costumbre.
| Documento | Nivel razonable | Por qué |
|---|---|---|
| Aceptación de condiciones de un portal | SES | El riesgo de repudio es bajo y hay rastro de acceso |
| Acuse de recepción de documentación | SES | Lo que importa es la fecha, no la identidad fuerte |
| Contrato de suministro | AES | Importe relevante y partes identificadas; conviene identificación fuerte |
| Acuerdo de confidencialidad | AES | Se invoca justo cuando hay conflicto |
| Contrato laboral | AES | Identificación del trabajador y no repudio |
| Poderes y actos ante la Administración | QES | Suele exigirse expresamente |
La prueba no es el PDF firmado
Este es el punto que más se descuida. El PDF con el sello visual es el resultado; la prueba es el conjunto de evidencias que permiten reconstruir qué pasó:
- Qué documento exacto se firmó, identificado por su huella criptográfica y no por su nombre.
- Quién firmó y cómo se comprobó su identidad: código al móvil, certificado, verificación documental.
- Cuándo, con una fecha que no dependa del reloj de ninguna de las partes.
- Desde dónde y con qué dispositivo, en la medida en que se registró.
- Qué vio el firmante en el momento de firmar: si el documento cambió después, tiene que poder detectarse.
Un proveedor niega haber firmado el anexo de precios de hace dos años.
- Se recupera el expediente de firma, no solo el PDF.
- Se enseña la huella del documento firmado y su coincidencia con el que se aporta.
- Se enseña el registro de identificación: a qué móvil se mandó el código y a qué hora se introdujo.
La discusión deja de ser «yo no firmé eso» y pasa a ser un hecho documentado con fecha cierta. Con solo el PDF, la conversación habría sido mucho más incómoda.
Verificación por un tercero
Una prueba que solo puede comprobar quien la custodia es una prueba débil. Lo deseable es que la otra parte —o un juzgado— pueda verificar por su cuenta, sin darse de alta en nada y sin depender de que tu proveedor siga existiendo.
Eso se consigue anclando la huella del documento: la verificación recalcula la huella del fichero aportado y la contrasta con el anclaje. Si coinciden, el documento es el mismo. Si no, no lo es. No hace falta preguntarle a nadie.
Pedir esta guía en PDF
Te la mandamos por correo. La versión en PDF lleva además las plantillas y el checklist para imprimir.
Cuando publiquemos la siguiente
Una vez al mes: qué obligación entra en vigor, a quién afecta y qué documentación hay que empezar a pedir. Nada más.
Y si lo que quieres es dejar de perseguir estos papeles
Todo lo que cuenta esta guía —pedir, insistir, leer, validar, sellar y poder demostrarlo— es exactamente lo que hace Code Contract. Sin que tus proveedores cambien nada.
Programar una demo de 30 minutos