QES, AES y SES: comprender los tres niveles de firma eIDAS en 2026

El reglamento eIDAS (n.º 910/2014) constituye la piedra angular del derecho europeo de la firma electrónica. Desde su entrada en vigor, estructura tres niveles de firma —SES, AES y QES— cuyas exigencias técnicas y valor probatorio difieren radicalmente. En 2026, con la entrada en vigor progresiva del reglamento eIDAS 2.0 (reglamento UE 2024/1183), estas distinciones adquieren importancia para toda organización que desee desmaterializar sus actos jurídicos con total conformidad. Este artículo descifra las diferencias fundamentales entre estos tres niveles, las obligaciones que implican y los criterios a retener para elegir el formato correcto según la naturaleza de tus documentos.

SES: la firma electrónica simple, flexible pero limitada

Definición y características técnicas

La firma electrónica simple (SES, o Simple Electronic Signature) se define en el artículo 3(10) del reglamento eIDAS como «datos en forma electrónica adjuntos o asociados lógicamente a otros datos en forma electrónica, que el firmante utiliza para firmar». Esta definición es deliberadamente amplia: un simple clic en «Acepto», una firma dibujada con el dedo en una tableta, o una casilla marcada en un formulario en línea entran en esta categoría.

La SES no requiere verificación previa de la identidad del firmante ni certificado criptográfico alguno. Su robustez se basa únicamente en el contexto contractual y las pruebas periféricas (dirección IP, marca de tiempo del servidor, correo de confirmación). El glosario de la firma electrónica recensa el conjunto de términos técnicos asociados a estos mecanismos.

Valor jurídico y casos de aceptación

La SES se beneficia del principio de no discriminación establecido en el artículo 25(1) eIDAS: no puede ser rechazada como prueba únicamente porque sea electrónica. Sin embargo, no confiere presunción de fiabilidad alguna. En caso de impugnación, la carga de la prueba recae íntegramente sobre la parte que la invoca. El valor jurídico de la firma electrónica depende por tanto fuertemente del nivel elegido.

La SES es apropiada para actos de bajo riesgo: aceptación de términos y condiciones, formularios internos, pedidos en línea de bajo valor, o encuestas de satisfacción. Es inadecuada para cualquier documento susceptible de ser impugnado ante la justicia.

AES: la firma avanzada, el equilibrio entre seguridad y practicidad

Los cuatro criterios cumulativos del artículo 26 eIDAS

La firma electrónica avanzada (AES, Advanced Electronic Signature) se define en el artículo 3(11) eIDAS y debe satisfacer cuatro condiciones enumeradas en el artículo 26:

1. Estar vinculada de manera unívoca al firmante: un identificador único vincula la firma a una persona física determinada.
2. Permitir identificar al firmante: se realiza una verificación de identidad (correo electrónico, número de teléfono, documento de identidad según el proveedor).
3. Haber sido creada a partir de datos que el firmante puede utilizar con un alto nivel de confianza bajo su control exclusivo: típicamente un código OTP enviado a su teléfono o un certificado de software.
4. Estar vinculada a los datos firmados de tal forma que cualquier modificación posterior sea detectable: la firma se basa en un hash criptográfico del documento.

Tecnologías utilizadas y niveles de garantía

En la práctica, la AES se implementa mediante certificados digitales de nivel sustancial (conforme al reglamento eIDAS), mecanismos de autenticación multifactor, o soluciones de identidad documental (escaneo de documento de identidad, comparación biométrica). Los proveedores de servicios de confianza cualificados como Certyneo ofrecen recorridos de firma AES que integran la verificación de identidad a distancia, conformes a los referentes ANSSI y a las normas ETSI EN 319 401.

La AES ofrece un excelente equilibrio entre seguridad y fluidez de experiencia de usuario. Se recomienda para contratos comerciales ordinarios, actos de recursos humanos, convenciones de asociación o contratos de prestación de servicios. Consulta nuestra guía completa sobre la firma electrónica en la empresa para profundizar en los usos en contexto profesional.

Limitaciones de la AES frente a ciertos actos

La AES resulta insuficiente para actos auténticos o aquellos para los cuales la ley exige explícitamente la firma cualificada. En Francia, el artículo 1367 del Código civil reserva la presunción de máxima fiabilidad únicamente a las firmas cualificadas conforme a eIDAS. La AES puede ser descartada por un juez si la parte contraria demuestra una insuficiencia en el proceso de verificación de identidad.

QES: la firma cualificada, equivalente legal del manuscrito

Definición regulatoria y exigencias técnicas

La firma electrónica cualificada (QES, Qualified Electronic Signature) se define en el artículo 3(12) eIDAS como una firma avanzada creada por un dispositivo de creación de firma cualificado (QSCD) y basada en un certificado cualificado de firma electrónica. Estos dos componentes son indisociables.

El certificado cualificado es emitido por un proveedor de servicios de confianza cualificado (QTSP) inscrito en la lista de confianza nacional (Trusted List) publicada por cada Estado miembro. En Francia, esta lista es administrada por la ANSSI. El QTSP debe haber sido auditado y acreditado conforme a las exigencias del anexo I del reglamento eIDAS y las normas ETSI EN 319 411-2.

El QSCD (dispositivo de creación de firma cualificado) es un soporte material o de software seguro —típicamente una tarjeta inteligente, un token USB criptográfico o un HSM (Hardware Security Module) remoto— que garantiza que la clave privada del firmante no puede ser extraída ni copiada. Las exigencias de los QSCD se precisan en el anexo II del reglamento eIDAS.

La presunción legal irrefutable del artículo 25(2)

El artículo 25(2) del reglamento eIDAS confiere a la QES un efecto jurídico equivalente a la firma manuscrita en todos los Estados miembros de la Unión Europea. Esta presunción es automática: a diferencia de la AES, la parte que produce una QES no tiene que demostrar la fiabilidad del procedimiento. Corresponde al adversario revertir esta presunción, lo que es en la práctica muy difícil en cuanto el QTSP y el QSCD sean debidamente cualificados.

En Francia, el artículo 1367 párrafo 2 del Código civil transpone esta exigencia en derecho interno: la fiabilidad del procedimiento de firma electrónica se presume hasta prueba en contrario cuando se utiliza la firma electrónica cualificada eIDAS. Esta presunción cubre también la integridad del documento firmado.

Proceso de obtención de un certificado cualificado

La obtención de un certificado cualificado exige una verificación de identidad cara a cara o por equivalente a distancia con el mismo nivel de garantía (por ejemplo, una videoidenticación conforme a la norma EN ISO/IEC 18013 o a las especificaciones del reglamento de ejecución 2015/1502). El proceso implica:

• La recogida de documentos de identidad oficiales
• La verificación de su autenticidad (detección de falsificación)
• El registro biométrico del firmante
• La emisión del certificado por el QTSP tras validación

Este nivel de exigencia explica que la QES esté reservada a actos de alto riesgo: actos en escritura privada con elevada relevancia financiera, documentos notariales electrónicos, contratación pública, actos médicos sensibles, o en ámbitos donde la normativa sectorial lo impone explícitamente. Para comparar las soluciones disponibles en el mercado, nuestro comparativo de soluciones de firma electrónica te guiará en tu elección.

Tabla comparativa y criterios de elección en 2026

Resumen de las diferencias estructurantes

Tres ejes permiten distinguir rápidamente los tres niveles:

Verificación de identidad: nula para la SES, documental u OTP para la AES, cara a cara o equivalente para la QES. Soporte criptográfico: inexistente para la SES, certificado de software para la AES, QSCD certificado para la QES. Presunción jurídica: ausente para la SES, parcial para la AES, total y automática para la QES.

En términos de fricción del usuario, la ecuación es inversa: la SES es casi transparente, la AES requiere algunos minutos de verificación, la QES supone una gestión de registro previa que puede llevar desde pocos minutos (videoidenticación) a algunos días.

Impacto de eIDAS 2.0 en estas distinciones en 2026

El reglamento eIDAS 2.0 (UE 2024/1183), cuyos actos de ejecución se publican progresivamente desde 2024, refuerza varios puntos clave. Introduce la Cartera Europea de Identidad Digital (EUDI Wallet), que permitirá a término a los ciudadanos europeos almacenar su certificado cualificado directamente en su smartphone, reduciendo considerablemente la fricción asociada a la QES. También aclara las exigencias aplicables a los QTSP y refuerza la gobernanza de las listas de confianza nacionales.

Además, eIDAS 2.0 amplía el ámbito del reconocimiento mutuo de firmas cualificadas entre Estados miembros, lo que es particularmente estructurante para empresas que operan en varios países de la Unión. La guía completa del reglamento eIDAS 2.0 detalla el conjunto de estas evoluciones regulatorias. Por último, la cuestión del sello de tiempo electrónico cualificado —complementario a la QES para conservar el valor probatorio de los documentos en el tiempo— merece también atención al diseñar tu arquitectura documental.

Marco legal aplicable a las firmas SES, AES y QES

La jerarquía de las firmas electrónicas se basa en un corpus regulatorio denso, que articula derecho europeo y derecho interno francés.

Reglamento eIDAS n.º 910/2014: este texto fundacional define en los artículos 3(10), 3(11) y 3(12) los tres niveles de firma. El artículo 25 plantea el principio de no discriminación (§1) y la presunción de equivalencia manuscrita para la QES (§2). El artículo 26 enumera las cuatro condiciones cumulativas de la firma avanzada. Los anexos I y II precisan respectivamente las exigencias aplicables a los certificados cualificados y a los dispositivos de creación de firma cualificados (QSCD).

Reglamento eIDAS 2.0 — UE 2024/1183: entrado en vigor el 20 de mayo de 2024, modifica sustancialmente el reglamento de 2014, notablemente mediante la introducción de la Cartera Europea de Identidad Digital (EUDI Wallet), la extensión de los servicios de confianza cualificados y el refuerzo de la gobernanza de los QTSP. Los actos de ejecución continúan siendo publicados en 2026.

Código civil francés, artículos 1366 y 1367: el artículo 1366 reconoce el escrito electrónico como prueba en la misma medida que el escrito en papel, con la salvedad de que pueda identificarse debidamente a la persona de la cual emana y que se establezca y conserve en condiciones que garanticen su integridad. El artículo 1367 párrafo 2 plantea la presunción de fiabilidad para la firma cualificada eIDAS, en trasposición directa del artículo 25(2) del reglamento.

Decreto n.º 2017-1416 de 28 de septiembre de 2017: precisa en derecho francés las condiciones que permiten beneficiarse de la presunción de fiabilidad, remitiendo explícitamente a las exigencias del reglamento eIDAS para las firmas cualificadas.

Normas ETSI: las normas ETSI EN 319 102-1 (procedimientos de creación y validación de firma), ETSI EN 319 132 (formato XAdES), ETSI EN 319 122 (formato CAdES) y ETSI EN 319 142 (formato PAdES) enmarcan técnicamente la creación de firmas electrónicas conformes. Los proveedores cualificados deben implementar estos formatos para garantizar la interoperabilidad europea.

RGPD — Reglamento UE 2016/679: la recogida de datos biométricos en el marco de la verificación de identidad para la emisión de certificados cualificados constituye un tratamiento de datos sensibles conforme al artículo 9. El QTSP debe disponer de una base legal explícita, informar a las personas e implementar las garantías técnicas apropiadas. Generalmente se requiere un análisis de impacto (AIPD).

Directiva NIS2 — UE 2022/2555: aplicable a los operadores de servicios esenciales y a los proveedores de servicios digitales, impone exigencias reforzadas de ciberseguridad que se aplican indirectamente a los QTSP que operan infraestructuras críticas de firma electrónica.

Las organizaciones que desplieguen soluciones de firma electrónica sin respetar el nivel requerido por la naturaleza jurídica del acto se exponen a la nulidad o inoponibilidad de los documentos firmados, así como a riesgos de litigio que pueden generar perjuicios financieros significativos.

Escenarios de uso ilustrativos: elegir el nivel adecuado según el contexto

Caso 1 — Pequeña empresa industrial que gestiona cientos de pedidos a proveedores

Estos escenarios son ilustrativos: describen situaciones tipo y no reportan ningún resultado medido en un cliente. Una PYME industrial que gestiona aproximadamente 400 pedidos y contratos de proveedores al año puede recurrir a la firma AES para el conjunto de sus documentos comerciales habituales. El proceso de firma se apoya en una verificación mediante enlace de correo electrónico seguro y código OTP por SMS, con generación de un informe de auditoría con sello de tiempo para cada acto. El plazo de firma suele ser más corto que con una carta certificada. En caso de litigio comercial, el rastro de auditoría aporta una prueba suficiente y limita el riesgo de impugnación contractual. Los costes de impresión, franqueo y gestión documental también disminuyen. La magnitud de la ganancia se mide en el ámbito real de la empresa, antes y después de un piloto.

Caso 2 — Despacho de abogados especializado en derecho de sociedades

Un despacho de abogados de negocios de una quincena de colaboradores puede implementar una infraestructura de dos niveles: firma AES para la correspondencia interna, los mandatos de representación y los convenios de honorarios; firma QES para los actos privados de alto riesgo (cesiones de participaciones sociales, protocolos de acuerdo, garantías financieras). La obtención de los certificados cualificados para los socios puede realizarse mediante una sesión de videoidentificación conforme a eIDAS, sin necesidad de desplazamiento físico. La presunción legal asociada a la QES permite al despacho presentar sus actos ante cualquier jurisdicción europea sin tener que demostrar la fiabilidad del procedimiento, lo que limita el riesgo procesal.

Caso 3 — Agrupación sanitaria que desmaterializa sus actos de recursos humanos y médicos

Un grupo hospitalario de aproximadamente 1200 camas puede optar por un enfoque diferenciado según la naturaleza de los documentos. Los contratos de trabajo, anexos y fichas de puesto se firman con AES, lo que permite a los 800 agentes afectados firmar desde su smartphone sin necesidad de una infraestructura pesada. Para los convenios médicos específicos y los documentos que exigen una autenticación fuerte impuesta por la normativa sanitaria (HDS), se despliega la QES para los facultativos firmantes designados. Este modelo híbrido acorta el plazo de constitución de los expedientes de RR. HH. durante las contrataciones, una ganancia especialmente útil en periodos de tensión sobre los recursos médicos. Además, ayuda a cumplir con las obligaciones de la CNIL relativas al tratamiento de datos de salud. La magnitud de la ganancia se mide en el ámbito real del grupo, antes y después de un piloto.

Preguntas frecuentes

¿Cuál es la diferencia principal entre QES y AES en eIDAS?

La diferencia fundamental radica en dos elementos: el certificado y el dispositivo de firma. La QES se basa obligatoriamente en un certificado cualificado emitido por un proveedor acreditado (QTSP) y en un dispositivo de creación de firma cualificado (QSCD) materialmente seguro. La AES puede utilizar un certificado de software y una verificación de identidad menos rigurosa. Consecuencia directa: la QES goza de una presunción legal de equivalencia a la firma manuscrita en toda la Unión Europea, lo que la AES no garantiza automáticamente.

¿En qué casos es obligatorio utilizar una firma QES?

Ningún texto europeo impone la QES de manera general, pero varias normativas sectoriales o nacionales la exigen implícita o explícitamente. Es el caso de ciertos actos auténticos electrónicos, contratación pública específica, actos notariales desmaterializados, o en sectores regulados como banca (DSP2, KYC reforzado) o sanidad. La regla general es la siguiente: cuanto mayor sea la relevancia jurídica o financiera del acto, más recomendable es el recurso a la QES para evitar cualquier riesgo de impugnación.

¿Tiene valor jurídico la firma SES en Francia en 2026?

Sí, la firma SES es jurídicamente admisible en Francia en virtud del principio de no discriminación establecido en el artículo 25(1) del reglamento eIDAS y del artículo 1366 del Código civil. No puede ser descartada como prueba únicamente porque sea electrónica. Sin embargo, no se beneficia de presunción de fiabilidad alguna: en caso de impugnación, la parte que la invoca debe demostrar su robustez por otros medios (registros, dirección IP, pista de auditoría). Su uso debe por tanto reservarse a actos de bajo riesgo.

¿Es reconocido un certificado cualificado obtenido en Francia en toda la Unión Europea?

Sí. El artículo 25(2) del reglamento eIDAS y el mecanismo de reconocimiento mutuo de las listas de confianza nacionales (Trusted Lists) garantizan que un certificado cualificado emitido por un QTSP acreditado en Francia es reconocido en todos los Estados miembros de la Unión Europea con idéntico efecto jurídico. eIDAS 2.0 (UE 2024/1183) refuerza aún más este principio al extender el reconocimiento a los nuevos servicios de confianza cualificados introducidos por el reglamento revisado.

¿Cómo verificar que un proveedor de firma está debidamente cualificado conforme a eIDAS?

Cada Estado miembro publica y mantiene una lista oficial de confianza (Trusted List) que recensa todos los proveedores de servicios de confianza cualificados (QTSP) acreditados en su territorio. En Francia, esta lista es publicada y actualizada por la ANSSI en su sitio oficial. La Comisión Europea agrega el conjunto de listas nacionales en el portal EU Trusted List Browser (tlbrowser.tsl.europa.eu). Verifica que un proveedor figure allí antes de encomendarle la emisión de certificados cualificados o la creación de firmas QES.

Conclusión

Los tres niveles de firma electrónica definidos por el reglamento eIDAS —SES, AES y QES— responden a necesidades jurídicas y operacionales fundamentalmente diferentes. La SES es apropiada para actos de bajo riesgo, la AES cubre la mayoría de contratos profesionales ordinarios con un excelente equilibrio entre seguridad y fluidez, mientras que la QES se impone para actos de elevada relevancia jurídica gracias a su presunción legal de equivalencia manuscrita en toda la Unión Europea. En 2026, con la entrada en vigor progresiva de eIDAS 2.0, dominar estas distinciones es más estratégico que nunca para cualquier organización que desmaterialice sus procesos documentarios.

Certyneo te permite desplegar los tres niveles de firma según tus necesidades reales, con una interfaz unificada conforme a las exigencias eIDAS y ANSSI. Descubre nuestras ofertas o estima tus ganancias desde ahora gracias a nuestro calculador ROI firma electrónica, o contacta a nuestro equipo para una auditoría personalizada de tus flujos documentarios.