Certificado QSCD eIDAS: todo lo que necesitas saber para obtenerlo en Francia en 2026

El auge de la desmaterialización obliga a empresas y administraciones a dominar nociones técnicas precisas. Entre ellas, el certificado QSCD (Qualified Signature Creation Device) ocupa un lugar central en el dispositivo eIDAS. Sin él, ninguna firma electrónica cualificada —la única que goza de una presunción legal de valor equivalente a la firma manuscrita— puede ser emitida. Sin embargo, la gran mayoría de las organizaciones francesas desconocen aún qué es un QSCD, cómo se distingue de un simple certificado digital y qué trámites permiten obtenerlo. Este artículo te proporciona una respuesta completa: definición técnica, fundamentos normativos, lista de actores acreditados en Francia y proceso de obtención paso a paso.

¿Qué es un certificado QSCD? Definición y alcance normativo

El término QSCD es el acrónimo inglés de Qualified Signature Creation Device, que se traduce al francés como dispositif qualifié de création de signature y al español como dispositivo cualificado de creación de firma. Designa una herramienta de hardware o software que genera y almacena las claves criptográficas utilizadas para firmar electrónicamente, mientras garantiza un nivel de seguridad máximo definido por el reglamento eIDAS n.º 910/2014.

Distinción entre certificado cualificado y QSCD

Es necesario distinguir dos conceptos frecuentemente confundidos:

• El certificado cualificado (Qualified Certificate for Electronic Signature, QCert) es un certificado digital expedido por un proveedor de servicios de confianza cualificado (PSCQ). Acredita la identidad del firmante y contiene su clave pública.
• El QSCD es el soporte seguro en el cual la clave privada asociada al certificado es generada y conservada. Puede tratarse de un token USB criptográfico, de una tarjeta inteligente, de un HSM (Hardware Security Module) o de un QSCD remoto (remote QSCD) alojado en la infraestructura del proveedor.

Para que una firma sea cualificada en sentido de eIDAS, ambos elementos deben estar presentes: un certificado cualificado Y un QSCD. El anexo II del reglamento fija los requisitos que el dispositivo debe cumplir (unicidad de los datos de creación, imposibilidad de deducir la clave privada, protección contra falsificación, etc.).

Niveles de firma electrónica y lugar del QSCD

El reglamento eIDAS define tres niveles de firma:

1. Firma electrónica simple (SES): sin requisito técnico particular.
2. Firma electrónica avanzada (AdES): vinculada de manera única al firmante, creada a partir de datos bajo su control exclusivo, pero sin obligación de QSCD.
3. Firma electrónica cualificada (QES): requiere imperativamente un certificado cualificado almacenado en un QSCD. Es el único nivel que se beneficia de una presunción legal de equivalencia a la firma manuscrita en todos los Estados miembros.

Para profundizar en las diferencias entre estos tres niveles, la comparación de soluciones de firma electrónica de Certyneo ofrece un análisis detallado.

Los proveedores cualificados (QTSP) en Francia: ¿quién puede expedir un QSCD?

En Francia, la expedición de certificados cualificados y la puesta a disposición de QSCD corresponden exclusivamente a proveedores de servicios de confianza cualificados (QTSP) inscritos en la lista de confianza nacional (Trust Service List, TSL), publicada y mantenida por la ANSSI (Agencia Nacional de la Seguridad de los Sistemas de Información).

La ANSSI, autoridad de supervisión francesa

La ANSSI juega en Francia el papel de órgano de control (supervisory body) previsto en el artículo 17 de eIDAS. Audita a los candidatos QTSP según criterios estrictos alineados con las normas ETSI EN 319 401 (requisitos generales para los TSP) y ETSI EN 319 411 (certificados cualificados). Un proveedor no puede proclamarse "cualificado" sin figurar en la lista de confianza francesa publicada en formato XML firmado.

Entre los QTSP franceses acreditados figuran notablemente actores como Certigna, CertEurope, Docaposte, Keynectis o Thales (ex-Gemalto). Cada uno propone ofertas de certificados cualificados almacenados en QSCD de hardware (tarjetas inteligentes, tokens USB) o QSCD remotos, estos últimos en fuerte crecimiento desde 2022.

QSCD remoto (remote QSCD): el nuevo estándar en la empresa

El QSCD remoto representa una evolución importante: la clave privada del firmante ya no se almacena en un soporte físico entregado al usuario, sino en un HSM certificado, alojado en la infraestructura segura del QTSP. El firmante accede a su dispositivo mediante autenticación fuerte (OTP, biometría, aplicación móvil). Este enfoque, regulado por el estándar ETSI EN 319 432 y validado por la ANSSI, se integra ahora en la mayoría de plataformas SaaS de firma cualificada, incluida Certyneo.

El valor jurídico de la firma electrónica no depende del carácter físico o remoto del QSCD, siempre que la conformidad eIDAS esté acreditada por una cualificación ANSSI.

Cómo obtener un certificado QSCD en Francia: el proceso paso a paso

La obtención de un certificado cualificado en QSCD sigue un proceso formalizado, más exigente que el de un certificado simple o avanzado. Estos son los pasos imprescindibles.

Paso 1: elegir tu QTSP y tipo de QSCD

La primera decisión concierne al tipo de QSCD deseado:

• QSCD físico (tarjeta inteligente o token USB): adaptado a usos puntuales, a profesionales liberales o a dirigentes. Implica una entrega física del soporte.
• QSCD remoto: ideal para organizaciones firmantes de alto volumen o en modo 100 % digital. Ningún soporte físico que gestionar.

La elección del proveedor depende también de las integraciones disponibles (API REST, webhooks, conectores SIRH) y del nivel de soporte. Se recomienda consultar la lista oficial de QTSP en el portal de la ANSSI antes de tomar cualquier decisión.

Paso 2: el proceso de verificación de identidad (KYC)

El reglamento eIDAS impone una verificación de identidad rigurosa antes de la expedición de un certificado cualificado. Se aceptan dos modalidades:

• Presencial (in-person): el solicitante se presenta en un punto de registro del QTSP o ante un operador de verificación mandatado, con sus documentos de identidad oficiales.
• A distancia por videollamada (remote identity proofing): desde 2021, algunos QTSP proponen una verificación por videoconferencia en tiempo real con un agente, regulada por los requisitos ETSI EN 319 461. La verificación automatizada por IA (eKYC) aún no es admitida para certificados cualificados en Francia a mediados de 2026, exigiendo la ANSSI siempre una intervención humana.

Los documentos requeridos comprenden generalmente: documento de identidad válido (DNI, pasaporte), justificante de vinculación con la entidad profesional (Kbis, extracto RCS), y en ocasiones una carta de misión para firmantes que actúan en nombre de una persona jurídica.

Paso 3: generación de claves y entrega del QSCD

Una vez verificada la identidad, el QTSP procede a la generación del par de claves criptográficas en el entorno seguro del QSCD. Para un QSCD físico, el soporte se inicializa y se entrega o se envía al titular con un código PIN seguro. Para un QSCD remoto, el titular activa su dispositivo a través de la aplicación móvil del proveedor y configura su mecanismo de autenticación fuerte.

El certificado cualificado se asocia luego a la clave pública y se publica en el directorio del QTSP. Su duración de validez es generalmente de 1 a 3 años, según la oferta contratada. Una renovación debe anticiparse antes de la expiración para mantener la continuidad de la capacidad de firma.

Coste, plazos y renovación: lo que hay que anticipar

Tabla tarifaria indicativa en 2026

Los precios de los certificados cualificados en QSCD varían considerablemente según el proveedor y el tipo de dispositivo:

• QSCD físico (token USB o tarjeta): entre 80 € y 250 € IVA no incluido para la primera emisión (incluido el soporte material), luego 50 € a 150 € IVA no incluido para la renovación anual.
• QSCD remoto: frecuentemente integrado en ofertas de suscripción SaaS a partir de 15 € a 40 € IVA no incluido por usuario y mes, o en packs por acto para volúmenes bajos.

Estos costes deben compararse con el ahorro de tiempo y la reducción de riesgos jurídicos. El calculador ROI de Certyneo permite estimar con precisión el retorno sobre la inversión según el volumen de documentos firmados.

Plazos de obtención

El plazo entre la solicitud y la disponibilidad efectiva del certificado cualificado es generalmente de 3 a 10 días laborales para soluciones físicas (envío postal incluido) y de algunas horas a 48 horas para QSCD remotos, siempre que el expediente KYC esté completo. Las organizaciones que prevean picos de actividad (renovaciones contractuales a fin de ejercicio, convocatorias públicas, cierres contables) deben planificar en consecuencia.

Revocación y ciclo de vida del certificado

Un certificado cualificado puede ser revocado antes de su término en caso de compromiso de la clave privada, salida del titular o cambio de información certificada. La revocación se publica en la Certificate Revocation List (CRL) o a través del protocolo OCSP (Online Certificate Status Protocol) del QTSP. Cualquier firma estampada después de la revocación se reputa inválida; las estampadas antes conservan su valor, siempre que lleven una marca de tiempo. La marca de tiempo electrónica cualificada juega aquí un papel crucial para probar la anterioridad de una firma.

Marco legal aplicable al certificado QSCD

La regulación que encuadra los dispositivos cualificados de creación de firma es densa y articulada entre varios textos europeos y nacionales.

Reglamento eIDAS n.º 910/2014 (UE) — Este texto fundacional constituye la piedra angular del dispositivo. El artículo 3(12) define el dispositivo cualificado de creación de firma. El artículo 26 plantea los requisitos de la firma avanzada, mientras que el artículo 29 y el anexo II detallan los requisitos técnicos aplicables a los QSCD (unicidad de datos de creación, confidencialidad de la clave privada, no falsabilidad). El artículo 25(2) confiere a la firma cualificada una presunción de equivalencia con la firma manuscrita. El reglamento eIDAS 2.0 (Reglamento 2024/1183, en aplicación progresiva desde 2024) refuerza estos requisitos y amplía el perímetro a carteras de identidad digital europeas (EUDIW).

Código Civil francés, artículos 1366 y 1367 — El artículo 1366 establece que el escrito electrónico tiene la misma fuerza probatoria que el escrito papel bajo reserva de identificación fiable del autor e integridad del documento. El artículo 1367 precisa que la firma electrónica consiste en el uso de un procedimiento fiable de identificación que garantice el vínculo con el acto firmado. El decreto n.º 2017-1416 de 28 de septiembre de 2017 establece la presunción de fiabilidad para firmas cualificadas conforme a eIDAS.

Normas ETSI — Las normas ETSI EN 319 132 (formato XAdES para firma XML), ETSI EN 319 122 (CAdES), ETSI EN 319 162 (ASiC) y ETSI EN 319 401/411 (requisitos para TSP y certificados cualificados) constituyen el referencial técnico aplicable a los proveedores. El incumplimiento de estas normas puede provocar la suspensión de la cualificación QTSP por la ANSSI.

RGPD n.º 2016/679 — El proceso de verificación de identidad (KYC) implica el tratamiento de datos biométricos y datos personales. El responsable del tratamiento (QTSP y, en su caso, la empresa cliente) debe respetar los principios de minimización, de finalidad limitada y prever una duración de conservación proporcionada. Una AIPD (Análisis de Impacto relativo a la Protección de Datos) se recomienda para despliegues a gran escala.

Responsabilidad en caso de incumplimiento — El uso de un certificado no cualificado para firmar actos que requieren firma cualificada (ciertos mercados públicos, actos notariales electrónicos, declaraciones fiscales desmaterializadas) expone la organización a una impugnación del valor probatorio del acto, o incluso a su nulidad. El artículo 13 de eIDAS prevé un régimen de responsabilidad para los QTSP en caso de incumplimiento de sus obligaciones, pero este régimen no exonera a las empresas usuarias de su deber de diligencia en la elección y mantenimiento de su dispositivo.

Escenarios de uso del certificado QSCD en la empresa

Escenario 1: un bufete de abogados desmaterializando sus actos procesales

Un bufete de abogados con unos quince colaboradores tramita cada año varios centenares de actos procesales, poderes y convenios de honorarios. Antes del despliegue de una solución basada en QSCD remoto, cada documento requería impresión, firma manuscrita y envío postal o escaneo. El bufete optó por certificados cualificados remotos integrados en una plataforma SaaS, permitiendo a cada socio firmar desde su puesto o móvil con nivel cualificado. Resultado constatado: reducción de aproximadamente el 70 % del plazo de firma de convenios de ruptura amistosa (de 4 días a menos de 24 horas en promedio), eliminación de costes de franqueo y archivo automático de actos firmados en el DMS del bufete.

Escenario 2: una PYME industrial gestionando sus contratos con proveedores

Una PYME del sector manufacturero que tramita unos 300 contratos con proveedores al año se enfrentaba a riesgos jurídicos recurrentes relacionados con firmas simples o escaneadas, fácilmente cuestionables. Tras auditoría, resultó que varios contratos por importes superiores a 100.000 € habían sido firmados sin un procedimiento de identificación fiable. La migración hacia firmas cualificadas en QSCD remoto para contratos de alto impacto (proveedores estratégicos, acuerdos de confidencialidad, pedidos marco) permitió asegurar el patrimonio contractual. Los plazos de validación de contratos disminuyeron aproximadamente un 60 %, apreciando los contrapartes extranjeros el reconocimiento transfronterizo inmediato ofrecido por eIDAS.

Escenario 3: un grupo hospitalario desplegando la firma cualificada para sus mercados públicos

Un grupo hospitalario de unos 900 camas debía cumplir con la obligación, derivada del decreto n.º 2016-360 relativo a mercados públicos, de firmar electrónicamente los actos de compromiso por encima de ciertos umbrales. La DSI desplegó tokens USB certificados QSCD para los directores autorizados a obligar al establecimiento. La formación de usuarios, la integración en la plataforma de desmaterialización de mercados y el procedimiento de renovación anual se documentaron en una política de firma interna (Signature Policy). La ganancia operacional estimada es del orden de 3 a 4 días por procedimiento de mercado, gracias a la eliminación de envíos certificados y de circulación de parafeurs físicos.

Preguntas frecuentes

¿Qué diferencia a un QSCD de un HSM clásico?

Un HSM (Hardware Security Module) es un módulo de seguridad de hardware genérico utilizado para almacenar y gestionar claves criptográficas. Un QSCD es un HSM —u otro dispositivo seguro— que ha sido evaluado y certificado como conforme a los requisitos del anexo II del reglamento eIDAS por un laboratorio acreditado y reconocido por una autoridad de supervisión nacional. La cualificación QSCD acredita que el dispositivo cumple criterios estrictos de unicidad de clave, de no exportabilidad y de resistencia a ataques físicos y lógicos.

¿Un certificado QSCD obtenido en Francia es válido en toda la Unión Europea?

Sí. El artículo 25(2) de eIDAS establece un reconocimiento mutuo obligatorio de firmas cualificadas entre todos los Estados miembros. Un certificado cualificado expedido por un QTSP francés inscrito en la lista de confianza nacional produce los mismos efectos jurídicos en Alemania, España o Italia que en su país de emisión. Este reconocimiento automático es uno de los principales activos del dispositivo para empresas con actividades contractuales transfronterizas.

¿Cuál es la duración de validez de un certificado QSCD y se puede renovar a distancia?

La duración de validez de un certificado cualificado es generalmente establecida a 1, 2 o 3 años según la oferta del QTSP. La renovación puede efectuarse a distancia para QSCD remotos, siempre que la identidad del titular ya haya sido verificada presencialmente o por video en la emisión inicial. La mayoría de QTSP envían alertas de expiración 60 y 30 días antes del vencimiento. Ignorar estas alertas expone a una interrupción de la capacidad de firma cualificada.

¿Es obligatorio el certificado QSCD para todos los actos firmados electrónicamente?

No. El nivel de firma requerido depende de la naturaleza del acto y del marco normativo aplicable. La firma cualificada en QSCD es obligatoria para ciertos actos específicos (actos notariales electrónicos, ciertos mercados públicos, declaraciones fiscales desmaterializadas). Para la mayoría de contratos comerciales usuales, una firma avanzada es suficiente. Se recomienda consultar el glosario de la firma electrónica o un asesor jurídico para determinar el nivel requerido acto por acto.

¿Cómo verificar que una firma se basa realmente en un certificado QSCD válido?

La verificación se efectúa consultando los metadatos del documento firmado a través de una herramienta de validación conforme a las especificaciones ETSI, como el servicio DSS (Digital Signature Service) de la Comisión Europea, accesible gratuitamente. Esta herramienta verifica la cadena de confianza del certificado, su estatus (no revocado), su conformidad con el perfil cualificado y la presencia de una marca de tiempo cualificada. Ciertas plataformas SaaS como Certyneo integran este informe de validación directamente en la interfaz de gestión de documentos.

Conclusión

El certificado QSCD es mucho más que una formalidad técnica: es el fundamento jurídico y criptográfico de la firma electrónica cualificada, el único nivel que ofrece una presunción legal de equivalencia a la firma manuscrita en toda la Unión Europea. En Francia, su obtención pasa por un QTSP acreditado por la ANSSI, un proceso de verificación de identidad riguroso y una elección informada entre QSCD físico y QSCD remoto —siendo este último la norma para organizaciones que buscan agilidad y escalabilidad.

Certyneo integra de forma nativa QSCD remotos certificados en su plataforma SaaS, permitiendo a tus equipos firmar con nivel cualificado sin ningún soporte físico que gestionar. Ya sea que partas de cero o que migres desde otra solución, nuestros expertos te acompañan en cada paso. Descubre los precios de Certyneo o contacta a nuestro equipo para una auditoría de tus necesidades en firma cualificada.