Cumplimiento eIDAS en la firma electrónica: qué exige y cómo elegir una solución
El cumplimiento eIDAS en la firma electrónica exige que cada firma reúna los requisitos de su nivel y deje evidencias que la respalden. Aquí tienes qué exige el reglamento en cada nivel y qué cambia con eIDAS 2. También qué añaden el ENS y el RGPD en España y cómo comprobar si una solución cumple.
Table of Contents
TL;DR
- Cumplir eIDAS significa que cada firma reúne los requisitos de su nivel (simple, avanzada o cualificada) y que puedes demostrarlo con evidencias. eIDAS no certifica plataformas de firma.
- Para la mayoría de contratos basta una firma avanzada. La cualificada se reserva para cuando una norma la exige o el riesgo es alto.
- En España se suman el ENS, obligatorio para el sector público y sus proveedores, y el RGPD.
- eIDAS 2 obliga a los Estados a ofrecer la cartera europea de identidad digital antes del 24/12/2026.
- Soluciones conformes a eIDAS en España: SealSign, Signaturit o Docusign, entre otras. SealSign añade ENS categoría alta, un informe certificado de cada documento y servicios cualificados de entrega certificada y conservación.
¿Qué significa cumplir eIDAS en la firma electrónica?
Cumplir eIDAS significa que tus firmas reúnen los requisitos que el Reglamento (UE) 910/2014 fija para su nivel y que puedes demostrarlo. El reglamento no homologa plataformas de firma. Lo que valora es cada firma, la identificación del firmante y los servicios de confianza que intervienen, como los certificados o los sellos de tiempo.
En la práctica, para una empresa española eso implica:
- Validez en toda la UE. Ninguna firma pierde efectos legales por ser electrónica (art. 25.1), y la cualificada se reconoce en los 27 Estados miembros (art. 25.3).
- Un nivel adecuado a cada documento. La mayoría de contratos funcionan con firma avanzada. La cualificada se reserva para cuando una norma la exige o el riesgo es alto.
- Prestadores supervisados. En España los supervisa el Ministerio para la Transformación Digital y de la Función Pública. Es quien publica la lista de confianza de prestadores cualificados.
El marco completo lo tienes en nuestra guía sobre la firma electrónica y su validez legal.
Qué no implica cumplir eIDAS
- No obliga a usar firma cualificada en todos los documentos.
- No convierte a una plataforma en «cualificada». Para la firma, lo cualificado son el certificado y el dispositivo del firmante.
- No sustituye al RGPD ni, en el sector público, al Esquema Nacional de Seguridad.
Qué exige eIDAS a cada nivel de firma
eIDAS fija tres niveles de firma electrónica con requisitos crecientes. La simple solo exige datos que se usen para firmar. La avanzada debe identificar al firmante y detectar cambios en el documento. La cualificada añade un certificado cualificado y un dispositivo cualificado, y equivale a la firma manuscrita.
| Nivel | Qué exige eIDAS | Cómo se cumple en la práctica |
|---|---|---|
| Simple | Datos en formato electrónico que el firmante usa para firmar (art. 3.10) | Aceptar con un clic o firmar en pantalla, con registro de la operación |
| Avanzada | Vinculada al firmante de forma única, permite identificarlo, está bajo su control exclusivo y detecta cualquier cambio posterior (art. 26) | Identificación por código OTP, firma biométrica o certificado, más sello de tiempo y huella del documento |
| Cualificada | Firma avanzada creada con un dispositivo cualificado y basada en un certificado cualificado (art. 3.12) | Certificado cualificado del firmante en DNIe o tarjeta criptográfica |
La firma cualificada tiene además una ventaja procesal: si se impugna, se presume auténtica e íntegra (art. 326.4 de la Ley de Enjuiciamiento Civil). Las diferencias entre niveles las detallamos en tipos de firma electrónica: simple, avanzada y cualificada.
Qué cambia con eIDAS 2
eIDAS 2 es el Reglamento (UE) 2024/1183, que reforma eIDAS y está en vigor desde el 20 de mayo de 2024. Mantiene los tres niveles de firma y su validez. Lo que añade es la cartera europea de identidad digital y nuevos servicios de confianza, con plazos que afectan a empresas de sectores regulados.
| Cambio | Qué supone | Plazo |
|---|---|---|
| Cartera europea de identidad digital (EUDI Wallet) | Cada Estado debe ofrecer al menos una cartera gratuita para identificarse y compartir datos | Antes del 24/12/2026 |
| Firma cualificada en la cartera | Los ciudadanos podrán firmar con firma cualificada gratis para uso no profesional | Con la cartera |
| Aceptación obligatoria | Empresas de sectores regulados (banca, energía, transporte, salud, telecomunicaciones) y grandes plataformas deben aceptar la cartera para identificar a sus usuarios | Antes del 24/12/2027 |
| Nuevos servicios de confianza cualificados | Atestaciones electrónicas de atributos, archivo electrónico, libros mayores electrónicos y gestión de dispositivos de firma remota | En vigor |
Si tu empresa identifica clientes a distancia, conviene revisar ya los procesos de alta y contratación. La cartera podrá sustituir a parte de esos pasos.
ENS y RGPD: lo que se suma en España
En España, además de eIDAS, la firma electrónica tiene que encajar con el Esquema Nacional de Seguridad y con el RGPD. El ENS es obligatorio para el sector público y para las empresas que le prestan servicios. El RGPD se aplica siempre, porque firmar implica tratar datos personales.
Esquema Nacional de Seguridad (ENS)
El ENS está regulado en el Real Decreto 311/2022. Clasifica los sistemas en categoría básica, media o alta según el impacto de un incidente. Si firmas documentos con la Administración o trabajas para ella, pide a tu proveedor el certificado de conformidad con el ENS. Comprueba que cubre el servicio de firma.
Reglamento General de Protección de Datos (RGPD)
Los datos del firmante, como su nombre, su teléfono, su IP o sus datos biométricos, son datos personales. Tu proveedor de firma actúa como encargado del tratamiento, así que necesitas un contrato de encargo con él.
El RGPD no obliga a guardar los datos en la UE. Permite transferencias fuera de ella con garantías, como una decisión de adecuación o cláusulas contractuales tipo (capítulo V del RGPD). Aun así, alojar los datos en la UE simplifica mucho el cumplimiento.
Trazabilidad y evidencias: qué debe registrar tu solución
Una solución de firma con trazabilidad completa registra cada paso del proceso y lo reúne en un informe de evidencias (evidence report) para cada documento. Ese informe es lo que presentarás si alguien discute la firma. Sin él, el nivel de firma pierde buena parte de su valor como prueba.
Un buen informe de evidencias incluye:
- Quién firmó y con qué método se le identificó: correo, código OTP, biometría o certificado.
- Qué pasó y cuándo: creación y envío de la solicitud, apertura del documento y firma, con fecha y hora.
- Desde dónde: dirección IP y datos técnicos de la sesión.
- Qué se firmó: la huella (hash) del documento, que revela cualquier cambio posterior.
- Sello de tiempo emitido por un tercero, que fija la fecha con independencia de las partes.
El hash y el sello de tiempo son la base de la trazabilidad. Lo explicamos en qué es un hash y en cómo funciona el sellado de tiempo.
Cómo elegir una solución de firma electrónica que cumpla eIDAS
Para elegir una solución de firma electrónica conforme a eIDAS, define primero qué nivel necesita cada documento. Después, comprueba que la solución ofrece esos niveles, genera evidencias completas y cumple el ENS y el RGPD. El último paso es probar el proceso entero antes de desplegarlo. Son estos pasos:
-
Define el nivel de firma de cada documento
Agrupa tus documentos por riesgo y por si alguna norma exige un nivel concreto.
-
Comprueba que la solución ofrece esos niveles
Para la firma cualificada, debe admitir certificados cualificados y dispositivos cualificados.
-
Revisa los servicios de confianza que usa
Los sellos de tiempo, la entrega certificada o la conservación deben venir de un prestador cualificado. Comprueba que figura en la lista de confianza para ese servicio concreto.
-
Pide un informe de evidencias de ejemplo
Comprueba que recoge identidad, acciones, fechas, IP, huella del documento y sello de tiempo.
-
Solicita la documentación de cumplimiento
Pide el certificado del ENS si trabajas con el sector público, el contrato de encargo del tratamiento y dónde se alojan los datos.
-
Haz una prueba completa
Firma un documento de principio a fin y valídalo en un validador independiente, como VALIDe.
Qué soluciones de firma electrónica cumplen eIDAS en España
Las soluciones de firma electrónica más usadas en España, como SealSign, Signaturit o Docusign, permiten firmar conforme a eIDAS en sus distintos niveles. La diferencia está en lo que añaden: certificación ENS, informe de evidencias, entrega certificada o conservación. Elige según tu sector y el tipo de documentos que firmas.
| Solución | Qué la diferencia | Dónde encaja mejor |
|---|---|---|
| SealSign | ENS categoría alta, sello de tiempo en todas las firmas, informe certificado de cada documento y servicios cualificados de entrega certificada (SealSend) y conservación (SealSafe) | Sector público y sus proveedores, sectores regulados y empresas que necesitan probar envíos o conservar documentos a largo plazo |
| Signaturit | Plataforma española de firma electrónica muy extendida, con firma simple, avanzada y cualificada | Uso general en empresas |
| Docusign | Plataforma internacional; su filial Docusign France es prestador cualificado en Francia | Grupos multinacionales con procesos de firma en varios países |
Si trabajas con LexNET, lo que necesitas es un certificado cualificado aceptado por LexNET; la plataforma de firma no cambia ese requisito.
Antes de decidir, pide a cualquier proveedor su certificado ENS, un informe de evidencias de ejemplo y qué servicios de confianza usa. Son las tres pruebas más rápidas de que una solución cumple de verdad.
Firma electrónica conforme a eIDAS con SealSign
SealSign Cloud te permite firmar con firma simple, avanzada o cualificada según lo que necesite cada documento, desde cualquier dispositivo. Todas las firmas llevan sello de tiempo y detectan cualquier cambio posterior en el documento, sea cual sea su nivel.
- Firma con certificado en ordenadores Windows y Mac, para la firma cualificada.
- Informe certificado de cada documento, con el historial completo: cuándo se creó y se envió la solicitud, cuándo se abrió el documento y cuándo se firmó, con fecha, hora, usuario e IP.
- ENS categoría alta, certificado por AENOR, que incluye el servicio de firma de SealSign.
Detrás de cada firma de SealSign hay un prestador de servicios de confianza que cumple los estándares de seguridad y normativa más exigentes. Puedes consultar nuestras certificaciones.
¿Necesitas además probar que alguien recibió un documento o conservarlo a largo plazo? SealSend y SealSafe son nuestros servicios cualificados de entrega certificada y de conservación.
Preguntas frecuentes
¿El reglamento eIDAS regula la firma electrónica en toda la UE?
Sí. eIDAS es un reglamento europeo y se aplica directamente en los 27 Estados miembros, sin necesidad de transponerlo. En España lo complementa la Ley 6/2020, de servicios electrónicos de confianza.
¿Qué establece el artículo 25 del reglamento eIDAS?
Fija los efectos jurídicos de la firma electrónica. No se le pueden negar efectos ni validez como prueba por ser electrónica. La firma cualificada equivale a la manuscrita, y la emitida en un Estado miembro se reconoce en todos los demás.
¿Qué es un certificado eIDAS?
Es un certificado cualificado de firma electrónica: lo emite un prestador cualificado incluido en la lista de confianza de la UE y cumple los requisitos de eIDAS. Te explicamos cómo distinguirlo en cómo reconocer un certificado digital cualificado.
¿Cuándo pierde validez la firma electrónica?
La firma no caduca, pero el certificado con el que se hizo sí. Lo que importa es que el certificado fuera válido al firmar. Por eso el sello de tiempo es clave: prueba que la firma se hizo antes de que el certificado caducara o se revocara.
¿Es obligatorio usar firma cualificada en España?
No siempre. Es necesaria en algunos trámites con la Administración y cuando una norma la exige. Para la mayoría de contratos privados, una firma avanzada con buenas evidencias es suficiente.
Actualizado el 5 de noviembre de 2026
