Hace unos meses estaba ayudando a una amiga que dirige una pequeña agencia de marketing en Lisboa a cerrar un trato con un cliente alemán. Todo iba genial hasta que llegó la parte del contrato. El equipo legal alemán envió un PDF y pidió una "firma electrónica cualificada". Mi amiga se quedó mirando el correo durante un minuto entero y luego me escribió: "¿Qué demonios es eso, y por qué no puedo simplemente usar la misma herramienta de firma que llevo dos años usando?"
Si tienes un negocio en Europa, lo más probable es que tú también te hayas chocado con este muro. La UE tiene un único reglamento que regula las firmas electrónicas en los 27 estados miembros, pero está lleno de siglas y matices legales que la mayoría de los fundadores no se molestan en aprender hasta que los necesitan. Así que vamos a arreglarlo.
Esto es todo lo que ojalá alguien me hubiera explicado sobre eIDAS, escrito como se lo explicaría a un amigo tomando un café.
Qué es realmente eIDAS
eIDAS significa "electronic IDentification, Authentication and trust Services" (identificación electrónica, autenticación y servicios de confianza). Es un reglamento de la UE (n.º 910/2014) que está en vigor desde julio de 2016. Todo el objetivo era crear un único marco legal para firmas electrónicas, sellos electrónicos, sellos de tiempo e identificación digital en toda la Unión Europea.
Antes de eIDAS, cada país tenía sus propias reglas. Francia tenía un enfoque, Alemania otro, España hacía lo suyo. Si firmabas un contrato digitalmente en Italia y querías usarlo en un tribunal en Bélgica, podías meterte en líos. eIDAS acabó con ese problema diciendo: una firma electrónica creada en cualquier estado miembro de la UE debe ser reconocida en todos los demás.
Eso es enorme para las pymes. Significa que puedo vender una suscripción SaaS a un cliente en Atenas, conseguir su firma electrónica, y el mismo documento tiene el mismo peso legal en Helsinki, Dublín o Varsovia.
Para profundizar más en cómo funcionan las firmas electrónicas en general, mi guía legal de firma electrónica cubre lo básico en lenguaje claro.
Una historia rápida (te prometo que es corta)
El primer intento de la UE fue la Directiva de firma electrónica de 1999. Las directivas en derecho de la UE son raras porque cada país tiene que transponerlas a su derecho nacional, y ahí es donde se complicó la cosa. Cada estado miembro interpretó la directiva de forma un poco distinta, lo que arruinó el propósito.
eIDAS reemplazó esa directiva en 2014 y se aplicó directamente en todos los estados miembros desde el 1 de julio de 2016. Sin transposición, sin margen nacional (bueno, en su mayoría). Y luego, en 2024, la UE aprobó eIDAS 2.0, que mete en el juego la European Digital Identity Wallet. Más sobre eso después.
Los tres niveles de firma: SES, AES y QES
Aquí empieza la sopa de siglas. eIDAS define tres niveles de firmas electrónicas, y no son intercambiables. Elegir el equivocado es uno de los errores más comunes que veo cometer a las pymes.
Firma electrónica simple (SES)
Esta es la básica. Una SES son "datos en formato electrónico anejos a otros datos electrónicos o asociados de manera lógica con ellos que utiliza el firmante para firmar". Esa es la definición legal, y es intencionalmente amplia.
En la práctica, una SES puede ser:
- Escribir tu nombre al final de un correo
- Hacer clic en una casilla de "acepto"
- Escanear una firma manuscrita y pegarla en un PDF
- Dibujar una firma con el ratón o el dedo en una tablet
Es la más fácil de usar y funciona para la gran mayoría de situaciones de negocio. NDAs, contratos de venta, ofertas de empleo, acuerdos con proveedores, contratos de freelancers: todo eso suele estar bien con una SES.
Firma electrónica avanzada (AES)
Una AES es un escalón más arriba. Para considerarse AES, la firma tiene que cumplir cuatro requisitos específicos:
- Está vinculada de manera única al firmante
- Permite identificar al firmante
- Se crea utilizando datos que el firmante puede mantener bajo su control exclusivo
- Cualquier cambio en los datos firmados después de firmar es detectable
En la práctica, esto suele significar una firma criptográfica usando una clave privada, más alguna forma de verificación de identidad (enlace por correo, código SMS, subida de DNI). La mayoría de las plataformas modernas de firma electrónica, incluida la nuestra en CanUSign, generan firmas a nivel AES por defecto en los planes de empresa.
AES es lo que quieres para contratos de mayor valor: acuerdos B2B SaaS, partnerships, documentos de préstamo y cualquier cosa donde quieras pruebas sólidas de quién firmó y de que el documento no ha sido manipulado.
Firma electrónica cualificada (QES)
Esta es la artillería pesada. Una QES es básicamente una AES con dos requisitos extra: tiene que crearse usando un "dispositivo cualificado de creación de firma" (piensa en un módulo de seguridad hardware o una smart card), y debe estar respaldada por un "certificado cualificado" emitido por un proveedor de servicios de confianza que esté en la lista de confianza oficial de la UE.
¿La función estrella de una QES? Tiene el mismo efecto legal que una firma manuscrita en toda la UE. Punto. Ningún tribunal puede rechazarla por el hecho de ser electrónica.
La parte mala es que la QES es un dolor de cabeza configurarla. El firmante normalmente necesita verificar su identidad en persona o por videollamada, conseguir un certificado emitido por un proveedor cualificado de servicios de confianza (QTSP) y usar un dispositivo de firma especial. Es más lenta y más cara que SES o AES.
Si quieres entender la parte técnica de cómo funcionan las firmas digitales por dentro, escribí sobre eso en firma digital vs firma electrónica.
SES vs AES vs QES: comparativa rápida
| Característica | SES | AES | QES |
|---|---|---|---|
| Verificación de identidad | No requerida | Requerida | Fuerte (presencial o vídeo) |
| Detección de manipulación | No requerida | Requerida | Requerida |
| Peso legal | Admisible, pero más débil | Prueba sólida | Equivalente a manuscrita |
| Tiempo de configuración | Segundos | Minutos | Días a semanas |
| Coste por firma | Gratis o barato | Bajo a moderado | 5 € a 50 €+ |
| Casos de uso comunes | NDAs, documentos internos, contratos básicos | Contratos B2B, empleo, proveedores | Inmobiliario, actos notariales, documentos judiciales |
| Reconocimiento transfronterizo | Sí, pero la calidad varía | Sí | Sí, con la posición más fuerte |
Validez transfronteriza (la verdadera magia)
Esta es la parte de eIDAS que creo que no recibe el reconocimiento que merece. El artículo 25 del reglamento dice que a una firma electrónica no se le pueden negar efectos jurídicos ni admisibilidad como prueba en juicio sólo por ser electrónica, o por no cumplir los requisitos de una QES.
Y el artículo 25(3) va más allá: una QES de un estado miembro tiene el mismo efecto legal que una firma manuscrita en cualquier otro estado miembro. Nada de "pero nuestro país tiene reglas especiales".
Eso es enorme para las pymes transfronterizas. He trabajado con fundadores que pagaban a abogados en tres países distintos para rehacer contratos porque pensaban que cada jurisdicción necesitaba su propia firma en papel. No lo necesitaban. Una firma electrónica conforme a eIDAS habría bastado.
Casos de uso prácticos para pymes
Vamos a ser concretos. Esto es lo que he visto que funciona realmente para pequeñas y medianas empresas en Europa:
Contratos de venta y presupuestos: SES está bien el 99 % del tiempo. Si tu ticket medio está por debajo de 50.000 € y no vendes a sectores muy regulados, no le des tantas vueltas.
Contratos de empleo: AES es el punto dulce. Quieres poder probar quién firmó y cuándo, y quieres detección de manipulación. La mayoría de países aceptan AES para contratos laborales, aunque algunos (como Alemania para ciertos tipos) aún prefieren o exigen QES.
NDAs: SES, siempre. A otra cosa.
Acuerdos con freelancers: SES o AES según el valor. Por debajo de 5.000 €, SES está bien. Por encima, me iría a AES.
Contratos de alquiler (comerciales): AES en la mayoría de países. QES en algunos. Comprueba localmente.
Préstamos (B2B): AES si es un préstamo a pequeña empresa. QES si tratas con bancos o prestamistas regulados.
Compras inmobiliarias: QES, casi siempre. Y en muchos países, sigues necesitando un notario encima.
Contratos transfronterizos con proveedores: AES es la opción segura. Funciona en todas partes y te da las pruebas que necesitas si las cosas se tuercen.
Qué requiere QES en estados miembros concretos
Aquí tengo que ser sincero: eIDAS no anula el derecho nacional sobre qué tipo de firma se requiere para tipos específicos de documentos. Cada estado miembro sigue pudiendo decir "para este tipo de documento, necesitas una QES, y punto".
Algunos ejemplos:
- Alemania: Las terminaciones de contratos laborales (en algunos casos), los contratos de crédito al consumo y ciertas inscripciones en el registro mercantil requieren QES. Alemania es probablemente el país más estricto de la UE en esto.
- Francia: La mayoría de contratos de consumo pueden usar AES, pero las transacciones inmobiliarias y algunos acuerdos financieros necesitan QES.
- Italia: Muchos documentos de la administración pública y algunas presentaciones comerciales requieren QES, a menudo llamada localmente "firma digitale".
- España: Las declaraciones fiscales ante la AEAT y muchas interacciones con la administración requieren QES, normalmente usando el DNI electrónico.
- Polonia: La mayoría de contratos B2B funcionan con AES, pero las presentaciones judiciales necesitan QES.
La lección: si operas a nivel transfronterizo y dudas, pregunta a un abogado local. Cuesta menos que hacer que tiren un contrato.
eIDAS 2.0 y la EU Digital Identity Wallet
La UE aprobó eIDAS 2.0 en 2024, y los estados miembros lo están desplegando hasta 2026. El cambio principal es la European Digital Identity Wallet (EUDI Wallet), que cada estado miembro de la UE tiene que ofrecer a sus ciudadanos para 2026.
La wallet es básicamente una app de móvil que te permite guardar tu identidad verificada por el gobierno, carnet de conducir, diplomas, credenciales de pago y, sí, tu certificado de firma cualificada. La idea es que puedas firmar un documento de nivel QES con un toque en el móvil, sin smart card ni verificación presencial para firmas repetidas.
Para las pymes, esto debería hacer la QES mucho más accesible. Ahora mismo, configurar una QES para un solo firmante puede llevar una semana y costar más de 100 €. Con la EUDI Wallet, debería ser más bien cinco minutos y gratis para los ciudadanos.
¿La pega? La implementación es desigual. Algunos países van por delante (Estonia lleva años haciendo esto con su programa e-Residency), otros van muy por detrás. No esperes un despliegue suave en todas partes para 2026.
Cómo elegir el nivel de firma adecuado
Mi marco rápido de decisión:
- ¿Cuánto vale el documento? ¿Menos de 10.000 € y no regulado? SES. ¿De 10.000 € a 100.000 €? AES. ¿Más, o sector regulado? Considera QES.
- ¿La QES es legalmente obligatoria? Si sí, no hay debate. Usa QES.
- ¿Esto va a acabar en juicio? Si una disputa es siquiera ligeramente probable, ve a AES como mínimo. El rastro de auditoría merece la pena.
- ¿Transfronterizo? AES es el mínimo seguro. A SES se le pueden negar efectos legales en algunos tribunales aunque eIDAS diga que no debería pasar.
- ¿Qué quiere tu contraparte? Si un cliente enterprise alemán dice que necesita QES, dale QES. Discutir no merece la pena por el trato.
Limitaciones honestas
eIDAS es genial, pero no es una varita mágica. Algunas cosas a tener en cuenta:
- El derecho nacional sigue importando. eIDAS pone el suelo, no el techo. Los estados miembros pueden exigir QES para tipos específicos de documentos, y lo hacen.
- La interpretación judicial varía. SES es técnicamente válida en todas partes, pero un tribunal francés y uno rumano podrían pesar las pruebas de forma muy distinta.
- QES sigue siendo cara. Incluso con eIDAS 2.0 en camino, la fricción es real. No le prometas QES a clientes si no tienes un camino claro para entregarla.
- La calidad de los proveedores de servicios de confianza varía. Quédate con QTSPs en la lista de confianza oficial de la UE. La lista es pública y se actualiza con frecuencia.
- El reconocimiento fuera de la UE es otro tema. Que un contrato sea válido en la UE bajo eIDAS no significa que sea ejecutable en EE. UU., el Reino Unido (post-Brexit) o cualquier otro sitio. Comprueba las reglas locales.
Para terminar
Si te llevas una sola cosa de todo esto, llévate esta: la mayoría de los contratos de pymes no necesitan QES. AES es suficiente para la gran mayoría de situaciones de negocio, y SES está bien para el día a día. El truco es saber cuándo subir de nivel.
eIDAS le dio a las empresas europeas el mejor marco legal de firma electrónica del mundo, y la mayoría seguimos sin aprovecharlo bien. Pagamos por herramientas legacy caras cuando existen mejores opciones, o nos quedamos con el papel porque nos da miedo el rollo legal. Ninguna de las dos cosas hace falta.
Si estás buscando una plataforma de firma electrónica que maneje AES de serie y no te lleve a la quiebra, échale un ojo a nuestra comparativa de alternativas más baratas a DocuSign. Y si quieres ver cómo es realmente la firma conforme a eIDAS en la práctica, puedes probar CanUSign gratis y firmar tu primer documento en menos de dos minutos.
La ley está de tu lado. Úsala.