Firma electrónica en la nube o on-premise: ¿qué elegir en 2026?

Introducción

Elegir entre una firma electrónica en la nube y un alojamiento on-premise es una de las decisiones estratégicas más estructurantes para una DSI o una dirección jurídica en 2026. Si bien el SaaS ha atraído ampliamente a las PYMES por su simplicidad de despliegue, las grandes empresas y las organizaciones sujetas a restricciones regulatorias sectoriales aún se cuestionan sobre la pertinencia de un alojamiento internalizado. Este comparativo exhaustivo analiza ambos modelos según cinco ejes clave: soberanía de datos, seguridad técnica, conformidad eIDAS, costo total de propiedad y agilidad empresarial. Al final de este artículo, dispondrá de un marco de decisión operacional para elegir la arquitectura adaptada a su contexto.

Comprender los dos modelos de alojamiento

La firma electrónica en la nube (SaaS)

En un modelo cloud, el editor gestiona la totalidad de la infraestructura: servidores, actualizaciones, disponibilidad, copias de seguridad y seguridad de datos. La empresa cliente accede a la solución mediante una API o interfaz web, sin ninguna instalación local. Los actores del mercado europeo —incluyendo Certyneo— se apoyan generalmente en centros de datos certificados ISO 27001 localizados en la Unión Europea (Francia, Alemania, Países Bajos), garantizando conformidad con el RGPD sin esfuerzos adicionales por parte del cliente.

Las ventajas son bien conocidas: despliegue en pocas horas, escalabilidad inmediata, actualizaciones automáticas que integran evoluciones regulatorias (eIDAS 2.0, DSP3, NIS2), y modelo económico basado en el uso (OPEX). Según el informe Markess by Exaegis 2025, el 78 % de las empresas francesas de menos de 500 empleados prefieren ahora el SaaS para sus herramientas de desmaterialización.

El despliegue on-premise

El on-premise consiste en instalar la plataforma de firma electrónica directamente en los servidores de la empresa o en un centro de datos privado que controla. Este modelo ofrece control total sobre los datos, flujos y políticas de seguridad. Es históricamente adoptado por bancos, aseguradoras, hospitales o administraciones públicas que tratan datos sensibles sujetos a referentes específicos (HDS, SecNumCloud, PGSSI-S).

La contrapartida es una carga operacional significativa: el equipo de TI debe gestionar actualizaciones, certificados de firma calificados, HSM (Módulos de Seguridad de Hardware), alta disponibilidad y vigilancia regulatoria. El costo inicial (CAPEX) es elevado, con licencias que pueden superar 80 000 € para una instalación empresarial, a los que se suman costos de infraestructura anuales.

Soberanía de datos y conformidad regulatoria

El RGPD y la localización de datos

El reglamento eIDAS y sus implicaciones para sus firmas calificadas exigen que los proveedores de servicios de confianza (PSCo) sean auditados e inscritos en las listas de confianza nacionales. Ya sea que opte por cloud u on-premise, su solución debe apoyarse imperativamente en un PSCo calificado. La verdadera cuestión RGPD se centra en las transferencias fuera de la UE: un cloud alojado en un hiperscalador estadounidense (AWS, Azure, GCP) sin cláusulas contractuales estándar (SCC) válidas expone a la empresa a sanciones que pueden alcanzar el 4 % de la facturación mundial.

Las soluciones cloud europeas como Certyneo cumplen este requisito de forma nativa, con servidores exclusivamente localizados en Francia y un DPA (Contrato de Tratamiento de Datos) conforme al artículo 28 del RGPD proporcionado desde la suscripción.

SecNumCloud y sectores regulados

Para los operadores de importancia vital (OIV) y las organizaciones sujetas a la doctrina Cloud en el centro de la DINUM, la calificación SecNumCloud de la ANSSI se impone progresivamente. En 2026, solo algunos actores cloud franceses han obtenido esta calificación (OVHcloud, Outscale). Las organizaciones afectadas deben por lo tanto elegir un cloud calificado SecNumCloud o mantener un on-premise conforme al referente ANSSI RGS v2.

Tenga en cuenta que NIS2, transpuesta a la ley francesa por la ley del 26 de enero de 2025, amplía las obligaciones de ciberseguridad a más de 15 000 entidades esenciales e importantes, creando una nueva presión normativa sobre la elección de arquitectura.

Costo total de propiedad: análisis comparativo

El análisis TCO (Costo Total de Propiedad) a 5 años revela sistemáticamente una ventaja cloud para volúmenes inferiores a 50 000 firmas/año. Por encima de eso, el on-premise puede volverse competitivo si la infraestructura ya existe. El calculador de ROI de Certyneo permite estimar precisamente este punto de inflexión según su volumen y sector.

Un despliegue on-premise típico para una empresa de 1 000 colaboradores representa:

• Licencia inicial: 60 000 a 120 000 €
• Infraestructura HSM y servidores dedicados: 30 000 a 50 000 €
• Mantenimiento anual (20 % de la licencia): 12 000 a 24 000 €/año
• Recursos de TI internos: 0,5 a 1 ETP dedicado

Frente a esto, un cloud SaaS de la misma capacidad cuesta generalmente entre 18 000 a 40 000 €/año todo incluido, con cero CAPEX.

Seguridad técnica: ventajas y limitaciones de cada modelo

La seguridad en entorno cloud

Contrario a un prejuicio persistente, el cloud de un editor especializado ofrece a menudo un nivel de seguridad superior a una infraestructura on-premise clásica de empresa. Las razones son estructurales: los editores invierten masivamente en equipos dedicados (SOC 24/7, pruebas de penetración trimestrales, certificaciones ISO 27001 y SOC 2 Type II), lo cual está fuera del alcance de la mayoría de las DSI internas.

Las buenas prácticas incluyen cifrado AES-256 en reposo y TLS 1.3 en tránsito, autenticación multifactor obligatoria, registro inmutable de eventos de firma, y copias de seguridad geo-redundantes. El valor jurídico de la firma electrónica descansa precisamente en esta trazabilidad inalterable.

Los riesgos propios del on-premise

El on-premise genera riesgos específicos a menudo subestimados:

• Desfase de versión: sin un equipo dedicado, las actualizaciones criptográficas (revocación de certificados, paso a SHA-3) se retrasan, exponiendo a la empresa a firmas técnicamente inválidas.
• Gestión de HSM: un Módulo de Seguridad de Hardware mal configurado o cuyo firmware no se actualiza anula las garantías de no repudiación.
• Plan de recuperación de negocio: la disponibilidad (SLA) de un on-premise interno rara vez supera el 99,5 %, contra el 99,95 % para un cloud SaaS estructurado.

Para las organizaciones que desean combinar soberanía y delegación operacional, el modelo cloud privado (Cloud Privado dedicado en un centro de datos tercerizado certificado HDS o SecNumCloud) constituye una vía media pertinente.

Integración, agilidad y escalabilidad

API e interoperabilidad

Ambos modelos ahora exponen API REST documentadas. Sin embargo, la velocidad de actualización es estructuralmente diferente: un editor cloud despliega nuevas funcionalidades (firma biométrica, IA de detección de fraude documental, soporte eIDAS 2.0 Wallet) en pocas semanas, mientras que un on-premise implica un ciclo de calificación interna de 3 a 6 meses por versión principal.

Para integrar la firma electrónica en un ERP (SAP, Oracle), un SIRH o una GED (OpenText, Alfresco), el cloud ofrece conectores preconstruidos mantenidos por el editor. El comparativo completo de soluciones de firma electrónica detalla las capacidades de integración de los principales actores del mercado.

Escalabilidad y volumen

En cloud, la escalabilidad es casi instantánea: una campaña de 10 000 firmas simultáneas (AG de accionistas, despliegue RH masivo) se absorbe sin configuración previa. En on-premise, el sobredimensionamiento de la infraestructura debe anticipar picos, generando costos de inmovilización.

Las organizaciones en crecimiento rápido o que practican ciclos estacionales (inmobiliario, seguros) se benefician particularmente de la elasticidad cloud. El firma electrónica en inmobiliario, por ejemplo, experimenta picos de volumen relacionados con ciclos de mercado que harían un on-premise sobredimensionado permanentemente.

Criterios de decisión: ¿qué modelo para qué perfil?

Empresas y PYMES sin restricciones sectoriales específicas

Para una PYME de 10 a 500 empleados sin obligación regulatoria sectorial particular, el cloud SaaS se impone sin dudas: despliegue rápido, costo controlado, conformidad eIDAS y RGPD garantizada por el editor. La integración en las herramientas de RH existentes se facilita por los conectores nativos —como ilustra el uso del firma electrónica para equipos de RH que cubre nóminas, contratos y desvinculaciones convencionales sin infraestructura dedicada.

Grandes empresas y sectores regulados

Las empresas que tratan datos de salud (HDS obligatorio), datos financieros críticos o información clasificada deben evaluar seriamente el on-premise o cloud privado calificado. La cuestión no es técnica sino regulatoria: ¿el referente aplicable permite o no lugar a un cloud público?

Una arquitectura híbrida —cloud para firmas corrientes, on-premise para actos calificados más sensibles— es adoptada por varios grandes grupos franceses desde 2024. Este modelo requiere una orquestación rigurosa y pasarelas API sólidas.

Organismos públicos y administraciones

Desde la circular DINUM 2023-1, las administraciones del Estado están incentivadas a privilegiar ofertas cloud calificadas SecNumCloud. El on-premise sigue autorizado para sistemas de información sensibles (SIS) pero debe respetar RGS v2 y PGSSI-S para datos de salud. El firma electrónica para despachos de abogados ilustra cómo entidades con fuerte exigencia de trazabilidad encuentran su equilibrio entre estos dos modelos.

Marco legal aplicable al alojamiento de su solución de firma electrónica

La elección entre cloud y on-premise no es neutra en el plano jurídico. Varios corpus normativos enmarcan directamente la arquitectura técnica de sus soluciones de firma.

Código Civil, artículos 1366 y 1367: Estas disposiciones definen la firma electrónica como un procedimiento fiable de identificación que garantiza su vínculo con el acto al que se adjunta. La fiabilidad del procedimiento se presume hasta prueba en contrario cuando se utiliza una firma electrónica calificada. Esta presunción se aplica independientemente del modo de alojamiento, siempre que el proveedor de servicios de confianza (PSCo) esté calificado.

Reglamento eIDAS n° 910/2014 y eIDAS 2.0 (Reglamento UE 2024/1183): El reglamento eIDAS distingue tres niveles de firma (simple, avanzada, calificada). La firma calificada requiere obligatoriamente la intervención de un PSCo inscrito en la lista de confianza nacional (lista de confianza ANSSI para Francia). Ya sea que su solución sea cloud u on-premise, debe interfazarse con un PSCo calificado para emitir firmas calificadas. eIDAS 2.0, aplicable desde mayo de 2024, introduce la cartera de identidad digital europea (EUDIW) y fortalece los requisitos sobre gestión de certificados calificados.

Reglamento RGPD n° 2016/679: El artículo 28 impone la conclusión de un DPA (Contrato de Tratamiento de Datos) con todo proveedor cloud que trate datos personales en su nombre. El artículo 44 prohíbe transferencias de datos fuera de la UE sin garantías adecuadas (cláusulas contractuales estándar o reglas corporativas vinculantes). En on-premise interno, esta obligación desaparece pero la empresa se convierte en responsable del tratamiento en su totalidad y debe documentar sus medidas técnicas y organizativas (MTO) conforme al artículo 32.

Directiva NIS2 (Directiva UE 2022/2555), transpuesta en Francia por la ley del 26 de enero de 2025: Las entidades esenciales e importantes (sectores energía, salud, finanzas, agua, digital, transporte, administración) deben implementar medidas de ciberseguridad proporcionales, incluyendo gestión de riesgos relacionados con la cadena de suministro digital. Un proveedor cloud de firma electrónica constituye un proveedor tercero crítico en sentido de NIS2: due diligence obligatoria, cláusulas contractuales específicas y derecho de auditoría.

Normas ETSI EN 319 132 y ETSI EN 319 122: Estas normas definen los formatos de firma electrónica avanzada (XAdES, PAdES, CAdES) aceptados en mercados públicos europeos e intercambios B2B. La conformidad a estos formatos debe verificarse cualquiera que sea la arquitectura elegida.

Referente General de Seguridad (RGS v2) y HDS: Para administraciones y prestadores de alojamiento de datos de salud, el RGS v2 de la ANSSI y la certificación HDS (Prestador de Alojamiento de Datos de Salud, decreto del 11 de junio de 2018) se imponen respectivamente. Un cloud no certificado HDS está jurídicamente descalificado para alojar datos de salud de carácter personal, incluso transitoriamente al firmar un consentimiento de paciente.

Riesgos jurídicos a anticipar: Una firma emitida desde un sistema no conforme puede ser impugnada en justicia, especialmente si la integridad del documento o la identidad del firmante no puede probarse de forma incontestable. La carga de la prueba pesa sobre quien invoca la firma. Una auditoría de conformidad previa al despliegue, cloud u on-premise, es fuertemente recomendada.

Escenarios de uso: cloud u on-premise según el contexto empresarial

Escenario 1 — Un grupo industrial de tamaño intermedio gestionando 15 000 contratos anuales

Una ETI industrial (aproximadamente 1 200 colaboradores, 3 sitios de producción en Francia) debe desmaterializar la totalidad de sus contratos con proveedores, clientes y subcontratistas. Trata en promedio 15 000 firmas por año, con picos en enero (renovación de contratos marco) y septiembre (campañas de compra). Sus datos industriales son sensibles pero no clasificados.

Tras analizar TCO a 5 años, la dirección financiera concluye que un cloud SaaS europeo certificado ISO 27001 es 40 % menos costoso que un despliegue on-premise equivalente (economía de escala del editor vs. 0,7 ETP de TI dedicado internamente). La DSI retiene una solución cloud alojada en Francia con SLA 99,95 % e API REST documentada, integrada directamente en su ERP. Los picos estacionales se absorben sin sobrecosto. Resultado constatado tras 12 meses: reducción del 65 % del tiempo promedio de firma de contratos con proveedores (de 8,3 días a 2,9 días), y ahorro anual estimado de 120 000 € en costos de tratamiento de papel y seguimiento.

Escenario 2 — Un agrupamiento hospitalario de 1 200 camas sujeto a certificación HDS

Un agrupamiento hospitalario público desea desmaterializar sus consentimientos de pacientes, contratos de médicos libres y contratos públicos. Los datos tratados incluyen información de salud de carácter personal, sujeta a certificación HDS (Prestador de Alojamiento de Datos de Salud) y PGSSI-S.

El on-premise puro se descarta por la complejidad de mantenimiento de HSM y la ausencia de competencias criptográficas internamente. El agrupamiento opta por un cloud privado alojado en un prestador certificado HDS y calificado SecNumCloud. La solución de firma se despliega en este cloud dedicado, con aislamiento de red estricto y registros de auditoría exportados hacia el SIEM interno. El costo es superior en 25 % a un cloud compartido estándar, pero inferior en 35 % a un on-premise completo. Beneficio operacional: los 800 consentimientos mensuales se tratan en menos de 24 horas contra 5 días en formato papel, con trazabilidad completa conforme a exigencias de la HAS.

Escenario 3 — Un despacho de abogados de 25 colaboradores integrando firma en su flujo de trabajo diario

Un despacho de abogados de negocios parisino trata diariamente actos de cesión, protocolos de acuerdo y mandatos que requieren firma electrónica avanzada o calificada. La confidencialidad de datos de clientes es prioridad absoluta, pero el despacho no dispone de infraestructura de TI propia.

El on-premise se excluye de plano por razones de recursos. El despacho elige un SaaS cloud europeo con cifrado de extremo a extremo, claves de cifrado controladas por el cliente (BYOK —Lleva Tu Propia Clave), y garantía contractual de no acceso a datos por parte del editor. Esta arquitectura denominada "cero conocimiento" satisface tanto exigencias deontológicas del Colegio de Abogados como obligaciones RGPD. La integración con el software de gestión de expedientes (vía API) reduce el tiempo de preparación de un acto firmable de 45 minutos a 8 minutos en promedio, es decir una ganancia de productividad del 82 % en esta tarea.

Conclusión

¿Cloud u on-premise? No existe una respuesta universal, sino un marco de decisión estructurado. Para la gran mayoría de empresas francesas —PYMES, ETIs sin restricción sectorial crítica— el cloud SaaS europeo conforme eIDAS y RGPD ofrece la mejor relación entre seguridad, conformidad y costo total de propiedad. El on-premise o cloud privado calificado sigue siendo pertinente para sectores regulados (salud, defensa, OIV) donde referentes coercitivos (HDS, SecNumCloud, RGS v2) imponen control total de la infraestructura.

En 2026, la verdadera cuestión no es más "cloud u on-premise" sino "¿qué nivel de soberanía para qué datos, con qué PSCo calificado?" Certyneo responde a estas exigencias con una arquitectura cloud alojada exclusivamente en Francia, certificada ISO 27001, conforme eIDAS 2.0 y RGPD. Descubra nuestras ofertas y tarifas en Certyneo o contacte a nuestro equipo para una auditoría gratuita de su necesidad en firma electrónica.