Firma electrónica: los 3 niveles de eIDAS y cuándo valen

Un clic vale, pero no se defiende igual que un certificado

Casi cualquier firma electrónica obliga en España. El artículo 1278 del Código Civil es tajante: los contratos vinculan «cualquiera que sea la forma en que se hayan celebrado», siempre que reúnan las condiciones esenciales de validez. Y el artículo 23 de la Ley de Servicios de la Sociedad de la Información (LSSI) añade que los contratos por vía electrónica producen todos sus efectos y que el soporte electrónico cumple el requisito de forma escrita cuando la ley lo exige.

La pregunta útil, entonces, no es si un contrato firmado online es válido. Es qué podrás demostrar si dentro de dos años alguien dice «yo no firmé eso». Ahí, y solo ahí, los niveles de firma dejan de ser un detalle técnico y se convierten en una decisión de negocio.

Los tres niveles de firma del reglamento eIDAS

El Reglamento (UE) 910/2014, conocido como eIDAS y modificado en 2024 por el Reglamento (UE) 2024/1183, ordena las firmas electrónicas en tres escalones:

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Firma electrónica simple. Datos en formato electrónico que el firmante asocia a otros datos. Dibujar la rúbrica con el dedo en una pantalla, escribir el nombre o marcar una casilla de «acepto» entra aquí.
Firma electrónica avanzada. El artículo 26 exige cuatro condiciones: vínculo único con el firmante, capacidad de identificarlo, datos de creación bajo su control exclusivo con alto nivel de confianza, y ligazón al documento de forma que cualquier cambio posterior se detecte.
Firma electrónica cualificada. Una firma avanzada creada con un dispositivo cualificado y basada en un certificado cualificado, emitido por un prestador de confianza supervisado.

El artículo 25 fija las dos reglas que importan. Primera: no se puede negar efecto jurídico ni admisibilidad como prueba a una firma por el mero hecho de ser electrónica o de no ser cualificada. Segunda: la firma cualificada equivale a la firma manuscrita.

Las plataformas comerciales juegan en los tres niveles. DocuSign, por ejemplo, explica en su página de firmas basadas en estándares que su servicio admite firma electrónica, avanzada y cualificada. Para la avanzada añade verificación de identidad del firmante; para la cualificada exige verificación de identidad presencial o equivalente, que puede hacerse por videoconferencia. La firma por defecto, la del clic, es la simple.

Como resume el especialista europeo Signaturit Group en un análisis técnico publicado por Interempresas, la distinción entre niveles se apoya en el grado de seguridad y en la capacidad de probar la autoría: la firma cualificada, basada en certificado digital, es la que garantiza el máximo nivel y equivale a la manuscrita. El proceso se apoya en criptografía asimétrica: el firmante sella con su clave privada y la otra parte verifica con la clave pública, de modo que cualquier modificación posterior invalida la rúbrica.

¿Qué cambia en un juicio: quién carga con la prueba?

Aquí está la diferencia real, y la fija la Ley 6/2020, de 11 de noviembre, que complementa en España el reglamento europeo. Su artículo 3 remite a dos apartados del artículo 326 de la Ley de Enjuiciamiento Civil.

Si el documento se firmó con un servicio de confianza no cualificado y la otra parte impugna su autenticidad, integridad o fecha, se aplica el régimen general de prueba de los documentos privados. En la práctica, eso significa discutir el registro de auditoría de la plataforma, los correos y las direcciones IP, y a veces pagar un perito.

Si se usó un servicio cualificado que figuraba en la lista de confianza de prestadores cualificados, la ley presume que el documento reúne la característica cuestionada y que el servicio funcionó bien. Quien impugna carga con la comprobación; si sale negativa, paga sus costas, y si el tribunal considera la impugnación temeraria puede imponerle una multa de 300 a 1.200 euros.

Dicho de otro modo: el nivel de firma no decide si el contrato existe, decide quién tiene que trabajar para demostrarlo.

Alquiler, contrato laboral y compraventa: cuándo basta un clic

Alquiler de vivienda. Un contrato de arrendamiento firmado con una plataforma de firma electrónica es válido. El Código Civil solo exige documento público para arrendamientos de inmuebles de seis o más años cuando deban perjudicar a terceros (artículo 1280). Eso sí: antes de firmar a distancia, comprueba quién es realmente el propietario. El fraude habitual no está en la firma, sino en la persona.
Contrato de trabajo. Aplica el principio general del artículo 23 de la LSSI: si la ley pide forma escrita, el soporte electrónico la cumple. Guarda el PDF firmado junto con su informe de auditoría; ese paquete es tu prueba de las condiciones pactadas.
Compraventa de inmueble. Aquí la plataforma no basta para todo. El artículo 1280 exige documento público para los actos que crean, transmiten o modifican derechos reales sobre inmuebles, y la propia LSSI deja fuera de su régimen los contratos que requieran forma pública o intervención de notarios o registradores. Un contrato de arras puede firmarse online; la escritura, ante notario.

¿Cuándo conviene usar tu certificado digital?

Si tienes certificado de la FNMT o DNI electrónico, puedes firmar un PDF con AutoFirma, la aplicación del Gobierno disponible para Windows, macOS y Linux; en Android e iOS existe la app Cliente @firma móvil. Una firma basada en certificado cualificado sube el listón de prueba sin pagar una plataforma, aunque para la firma cualificada en sentido estricto el reglamento exige además un dispositivo cualificado de creación de firmas.

Ojo con las caducidades: la Ley 6/2020 limita la vigencia de los certificados cualificados a un máximo de cinco años. Un certificado vencido no firma, y eso te devuelve al punto de partida probatorio.

Lo que viene: la EUDI Wallet

El eIDAS reformado obliga a que las carteras europeas de identidad digital (EUDI Wallet) permitan a cualquier persona física firmar por defecto y gratis con firma electrónica cualificada, aunque cada Estado puede limitar ese uso gratuito a fines no profesionales.

Los plazos ya están sobre la mesa. Según MuyPymes, antes de que termine este año todos los Estados miembros deberán ofrecer al menos una cartera que permita a ciudadanos, residentes y empresas acreditar su identidad y compartir credenciales verificables. hola.com precisa que en 2027 bancos, plataformas, servicios públicos y empresas reguladas deberán estar preparados para aceptarla como sistema de identificación, y que el uso por parte del ciudadano seguirá siendo voluntario. El mismo medio señala que España forma parte del grupo que lidera las pruebas junto a Italia, Francia, Dinamarca y Grecia.

Para una pyme, esto no es una curiosidad regulatoria. La plataforma Ditto, citada por MuyPymes, recomienda cinco pasos antes del despliegue: integrar la cartera como una credencial más dentro de un modelo común de identidad en lugar de añadir una solución aislada; comprobar la seguridad también después del registro; pedir solo los datos imprescindibles aprovechando la divulgación selectiva; reforzar la recuperación de cuentas y la atención al cliente; y planificar una adopción gradual manteniendo alternativas para quien no la use.

¿Qué significa esto para tu startup?

Si vendes, contratas o alquilas con contratos firmados a distancia, la decisión sobre el nivel de firma es tuya y debería estar escrita antes del primer conflicto, no después.

Clasifica tus documentos por riesgo. No todos tus contratos merecen el mismo nivel. Un acuerdo de confidencialidad o un consentimiento de marketing se defienden con firma simple. Un contrato laboral con cláusulas de no competencia, un alquiler con fianza o una compraventa son exactamente los casos en que alguien puede tener interés en negar su firma: ahí conviene subir a avanzada o cualificada.
Archiva la evidencia, no solo el PDF. El registro de auditoría, los sellos de tiempo y los correos de envío son lo que discutirás si hay impugnación. Guárdalos junto al documento firmado, con la misma política de retención que el resto de tu documentación contractual.
Revisa la caducidad de tus certificados. Si tu equipo firma con certificado propio, automatiza el aviso de renovación. Un certificado caducado equivale a no haber firmado.
Prepara tus flujos para la wallet europea. Si tu producto hace onboarding, verificación de identidad o firma de contratos, empieza a tratar la EUDI Wallet como una credencial más de tu modelo de identidad. Las empresas que lleguen con la integración lista en 2027 capturarán a los usuarios que ya lleven la cartera en el móvil.

Como recuerda Bolsamanía al analizar las soluciones de Namirial, la mejor forma de valorar una firma digital no es preguntar cuánto tarda el usuario en firmar, sino observar cómo se autentica al participante, cómo queda vinculada su actuación al documento y qué información se conserva para reconstruir la operación si surge una discrepancia.

Conclusión

La firma electrónica simple de una plataforma seria es suficiente para el día a día, y la mayoría de los contratos nunca acaban en un juzgado. Pero el nivel de firma es una decisión sobre quién soportará la carga de la prueba si las cosas se tuercen. Firma online sin miedo; elige el nivel pensando en el peor día de la relación contractual, no en el primero.