Firma electrónica y firma digital: ¿cuál es la diferencia?

Los dos términos se usan como si fueran sinónimos. No lo son, y la diferencia no es de grado: pertenecen a categorías distintas. Una es un estatus jurídico. La otra es criptografía. Aclarado eso, la mayor parte de la confusión en torno al tema se disuelve.

La versión breve

• Una firma electrónica es una categoría jurídica. Es la ley la que dice qué cuenta como tal. Tanto en el derecho estadounidense como en el europeo el criterio es la intención, no la apariencia: un nombre mecanografiado, un trazo dibujado o un clic pueden cumplirlo.
• Una firma digital es un método técnico. Emplea criptografía de clave pública —una clave privada, un certificado que le corresponde y un resumen (hash) del documento— de modo que cualquier cambio posterior en el archivo sea detectable y la firma pueda atribuirse a la clave que la creó.
• No son rivales. Una firma digital es una forma de producir una firma electrónica. Toda firma digital sobre un acuerdo es también una firma electrónica; la mayoría de las firmas electrónicas no son firmas digitales.

Qué definen realmente las leyes

La ESIGN Act define la firma electrónica en 15 U.S.C. § 7006(5) como:

«un sonido, símbolo o proceso electrónico, adjuntado a un contrato u otro documento o lógicamente asociado con él, y ejecutado o adoptado por una persona con la intención de firmar el documento».

El Reglamento eIDAS la define en su artículo 3, apartado 10 como:

«datos en formato electrónico anejos a otros datos electrónicos o asociados de manera lógica con ellos que utiliza el firmante para firmar».

Vuelva a leer ambas definiciones y fíjese en lo que falta: ninguna tecnología. Ni certificado, ni clave, ni algoritmo. Es deliberado. Ambos textos están redactados para ser neutrales desde el punto de vista tecnológico, de modo que no caduquen cuando se sustituya la criptografía del momento.

Ninguna de las dos normas define en ningún punto el término «firma digital».

De dónde viene la confusión

Se lee a menudo que el eIDAS define «dos tipos de firma digital»: la avanzada y la cualificada. No es lo que dice el Reglamento, y conviene deshacer el error porque se repite mucho.

El eIDAS define tres niveles de firma electrónica, en tres apartados consecutivos:

Nivel	Definido en	Qué añade
Firma electrónica (habitualmente «SES»)	Artículo 3, apartado 10	El nivel base. Admisible conforme al artículo 25.1.
Avanzada (AdES)	Artículo 3, apartado 11, por remisión al artículo 26	Vinculada de manera única al firmante y capaz de identificarlo, bajo su control exclusivo, con detección de cambios posteriores.
Cualificada (QES)	Artículo 3, apartado 12	Una AdES creada en un dispositivo certificado (un QSCD) con un certificado cualificado.

De ahí se siguen tres cosas:

1. Son niveles de firma electrónica, no tipos de firma digital. La palabra «digital» no cumple ninguna función en el Reglamento: no figura entre los términos definidos.
2. Son tres, no dos. Omitir el nivel base del artículo 3, apartado 10, es precisamente lo que produce la afirmación de los «dos tipos», y ese nivel base es el que sustenta la mayoría de los acuerdos comerciales.
3. «Firma electrónica simple» y «SES» son abreviaturas del sector, no términos legales. El Reglamento dice simplemente «firma electrónica». La abreviatura es útil y nosotros también la usamos, pero conviene saber que es nuestra y no del legislador.

En la práctica, la AdES y la QES casi siempre se implementan mediante criptografía de firma digital. Ese es el núcleo de verdad sobre el que se construye la afirmación de los «dos tipos». Pero los niveles se definen por lo que una firma debe lograr, no por la técnica empleada para lograrlo.

¿Una firma digital hace que un documento sea «más legal»?

No, y esta es la pregunta que la confusión terminológica está ocultando en realidad.

La validez jurídica procede de la ley: intención de firmar, atribución al firmante, consentimiento cuando se exige y conservación del documento. Un documento cumple esos criterios o no los cumple. La criptografía no es uno de ellos.

Lo que cambia la criptografía es la prueba. Si una firma se impugna, la pregunta deja de ser «¿es válido este tipo de firma?» y pasa a ser «¿puede demostrar quién firmó, qué vio y que el archivo no ha cambiado desde entonces?». Ese es un problema probatorio, y es el que resuelven un registro de auditoría sólido y la evidencia de manipulación.

El único punto en el que el nivel cambia realmente el resultado jurídico es en el eIDAS, donde una QES —y solo una QES— equivale automáticamente a una firma manuscrita en los 27 Estados miembros. Bajo la ESIGN Act y la UETA no hay niveles: una firma cumple la definición legal o no la cumple.

¿Cuál necesita un acuerdo normal?

Para la gran mayoría de los acuerdos comerciales —acuerdos de confidencialidad, contratos de venta, órdenes de trabajo, ofertas de empleo— lo que la ley pide, y lo que la contraparte espera, es una firma electrónica con un registro de auditoría completo. Ni la ESIGN Act, ni la UETA, ni el nivel base del eIDAS exigen una firma digital en sentido criptográfico.

Recurra a la AdES o a la QES cuando la legislación de un Estado miembro lo exija para ese tipo de documento. Esa es una cuestión sobre el documento, no sobre el software de firma. Nuestra guía sobre qué hace que una firma electrónica sea legalmente vinculante cubre los requisitos de fondo.

Signatura emite firmas electrónicas simples, con un registro de auditoría completo y un sello de evidencia de manipulación SHA-256 en cada documento completado. No emite AdES ni QES.

Preguntas frecuentes

¿Es lo mismo una firma digital que una firma electrónica?

No. «Firma electrónica» es una categoría jurídica definida por ley; «firma digital» es una técnica criptográfica. Una firma digital es una forma de crear una firma electrónica, de modo que toda firma digital sobre un acuerdo es también una firma electrónica, pero no al revés.

¿Exige la ESIGN Act una firma digital?

No. La ESIGN Act define la firma electrónica en 15 U.S.C. § 7006(5) como un símbolo o proceso adoptado «con la intención de firmar el documento». No prescribe tecnología alguna y no emplea el término «firma digital».

¿Define el eIDAS la «firma digital»?

No. El eIDAS define «firma electrónica» (artículo 3, apartado 10), «firma electrónica avanzada» (apartado 11) y «firma electrónica cualificada» (apartado 12). «Firma digital» no es un término definido en el Reglamento.

¿Es una firma digital un nombre mecanografiado?

No: un nombre mecanografiado no implica criptografía alguna. Aun así puede ser una firma electrónica válida si pueden demostrarse la intención y la atribución; tratamos cuándo se sostiene en ¿Tiene validez legal una firma mecanografiada?

¿Es una más segura que la otra?

No están en el mismo eje. La seguridad depende de lo que un sistema haga realmente: cómo autentica a los firmantes, qué registra y si los cambios en el archivo finalizado son detectables. La firma criptográfica es una herramienta potente para ello, pero una firma solo vale lo que valga la prueba que la respalda.

---

Esta página explica la ley en términos generales. No es asesoramiento jurídico y no puede decirle qué exige su documento concreto. Para eso, consulte a un abogado de su jurisdicción.

Fuentes: ESIGN Act, 15 U.S.C. § 7006, definiciones · 15 U.S.C. § 7001 · Reglamento (UE) n.º 910/2014 (eIDAS), EUR-Lex — véanse los artículos 3, 25 y 26.