Firma electrónica

Qué exige, en claro

Emplear firma electrónica como mecanismo para garantizar la autenticidad e integridad de la información que lo requiera: definir qué se firma (resoluciones, actas, documentos con efectos frente a terceros), con qué tipo de firma —proporcional a los niveles de las dimensiones, del sello electrónico a la firma cualificada— y bajo qué normativa (eIDAS).

Cubrir el ciclo completo: certificados y claves de firma custodiados (op.exp.10), verificación de las firmas recibidas, y conservación que permita validar la firma años después (en relación con los sellos de tiempo, mp.info.4).

Cuándo aplica y cómo escala

Aplica en cuanto el sistema maneja información cuya autenticidad e integridad deben poder demostrarse — trámites, resoluciones, documentación con efectos jurídicos; la exigencia del tipo de firma crece con los niveles de esas dimensiones. Confírmalo en la valoración formal del sistema.

Ejemplos de implementación

• Sede o plataforma que firma sus documentos de salida con sello electrónico cualificado y verifica las firmas de lo que recibe, rechazando (con aviso) lo que no valida.
• Actas y aprobaciones internas relevantes (la DoA, los nombramientos) firmadas electrónicamente por sus responsables, con el certificado corporativo custodiado en el gestor de claves.

Errores habituales

• «Firmar» pegando una imagen del garabato en el PDF: eso no es firma electrónica.
• Firmar todo con el certificado de una persona que un día se va (o caduca su certificado).
• No verificar jamás las firmas de los documentos que llegan.
• Claves de firma en carpetas compartidas: la firma vale lo que valga su custodia.
• Documentos firmados que dentro de cinco años nadie podrá validar (sin sello de tiempo ni política de conservación).

Evidencias que suele ser razonable preparar

• Relación de qué se firma, con qué tipo de firma y por quién.
• Certificados de firma inventariados y custodiados (ligado a op.exp.10).
• Mecanismo de verificación de firmas recibidas.
• Política de conservación y validación a largo plazo de lo firmado.

Preguntas que debería hacerse el responsable

• ¿Qué documentos de tu sistema deben poder demostrarse auténticos ante un tercero?
• ¿Con qué certificado se firman — y quién lo custodia?
• ¿Verificáis las firmas de lo que recibís?
• ¿Una firma de hace tres años seguiría validando hoy?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 807 · Criptología de empleo en el ENS (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.