El certificado digital que RENIEC emite al personal de una entidad pública: cuánto cuesta, cuánto dura y quién lo cancela cuando alguien se va
La jefa de abastecimiento de una municipalidad deja el cargo el 31 de julio. Entrega las llaves de la oficina, la computadora y el sello. Lo que nadie le pide es el certificado digital con el que firmaba órdenes de compra, porque no es un objeto: es un archivo en un token o en una carpeta de su perfil. Ese certificado lleva el nombre de la municipalidad y sigue siendo válido hasta que alguien lo cancele o hasta que venza.
Quién tiene que cancelarlo, cuánto tarda y qué pasa si nadie lo hace está escrito en tres documentos de RENIEC que casi nadie abre: la ficha del trámite en gob.pe, la Declaración de Prácticas de Certificación de su entidad de certificación y el contrato que firma cada entidad pública. Este artículo los lee enteros.
Qué certificado es y de quién es
RENIEC actúa como entidad de certificación para el Estado peruano (ECEP-RENIEC) y organiza sus certificados en clases. La tabla 1 de su Declaración de Prácticas de Certificación, versión 5.1 aprobada el 4 de junio de 2026, las reparte así: la Clase 2 va dentro del DNI electrónico, la Clase 3 son los «certificados digitales para Trabajadores de la Administración Pública» y la Clase 4 los de sistemas de información, que es como RENIEC llama a los de agente automatizado.
Este artículo trata de la Clase 3. Su rasgo principal es el reparto de papeles. La Declaración de Prácticas de Registro de la EREP-RENIEC, versión 8.1 de 2025, lo dice en su apartado 1.3.4: «las entidades de la Administración Pública y Personas Jurídicas son titulares del certificado digital; y sus funcionarios, empleados o servidores son los suscriptores».
El certificado es de la entidad. El servidor lo usa. Qué responsabilidad tiene cada uno de los dos está en el certificado de tu empresa lleva el nombre de una persona, y vale igual para una entidad pública.
Se nota en el propio certificado. El perfil de la tabla 243 de la Declaración de Prácticas de Certificación fija el nombre común como <APELLIDOS Nombres> FAU <número de RUC> {soft, hard} y el campo de organización como el nombre de la entidad. Quien valida una firma tuya ve tu nombre y ve la entidad en nombre de la cual firmaste.
Qué pide el trámite
La ficha «Solicitar certificación digital para persona jurídica», con último cambio el 2 de octubre de 2025, describe el procedimiento para «solicitantes pertenecientes a entidades de la administración pública». Los requisitos son cinco:
- Que la entidad haya firmado con RENIEC el contrato de prestación de servicios de certificación digital para persona jurídica (el anexo 19).
- Que el representante legal de la entidad tenga un certificado digital vigente.
- Una autorización de emisión para cada suscriptor, firmada por ese representante.
- La solicitud de emisión firmada por el suscriptor.
- DNI vigente, o carné de extranjería si el suscriptor es extranjero.
El pago es de S/ 8.10 por certificado, con el código de tributo 00529, en el Banco de la Nación, en sus agentes o en pagalo.pe. Después, el representante autoriza a cada suscriptor en la plataforma PIER y los documentos se presentan por oficio en la mesa de partes virtual. RENIEC tiene cinco días hábiles para resolver, contados desde que da por buena la documentación.
El certificado de agente automatizado, el que usa un sistema que firma sin una persona delante, tiene su propia ficha con el mismo código de tributo y otro importe: S/ 6.10.
Hay un detalle que la ficha no resuelve. El segundo requisito pide que el representante ya tenga certificado vigente, y la ficha no explica cómo lo obtiene el primero. Si tu entidad empieza de cero, esa es la primera pregunta para identidaddigital@reniec.gob.pe.
Los dos plazos de treinta días que anulan el trámite
El contrato tipo de la Clase III tiene dos plazos en su cláusula sexta que conviene poner en el calendario del área de sistemas:
- El servidor designado tiene 30 días calendario para validar su identidad ante RENIEC y firmar el contrato de conformidad, contados desde que la entidad firma el documento con el que pide los certificados. Si no lo hace, el trámite se declara nulo.
- Aprobada la solicitud, tiene otros 30 días calendario para descargar el certificado.
La cláusula cuarta añade la consecuencia económica: si el suscriptor no descarga a tiempo, RENIEC no devuelve lo que pagó la entidad. En una entidad que tramita cuarenta certificados de golpe y la mitad del personal está de vacaciones, eso son S/ 162 perdidos y un segundo trámite.
Dura un año como máximo, y no se renueva
La tabla 243 de la Declaración de Prácticas de Certificación fija la validez del certificado de firma y autenticación de la Clase 3 en «máximo 1 año». La de agente automatizado, en la tabla 276, también. Compáralo con los cuatro años de los certificados del DNIe, que contamos en renovar los certificados del DNIe: el certificado de trabajo caduca cuatro veces antes.
Y no hay renovación. El apartado 4.6 del mismo documento lo dice en una línea: «La ECEP-RENIEC no brinda este servicio». Lo que existe es la reemisión con llaves nuevas, que el apartado 4.7 regula con tres condiciones:
- Se pide firmando los documentos del trámite con el certificado anterior, «siempre que no haya expirado ni haya sido cancelado». Si se te venció, ya no hay reemisión posible.
- La EREP avisa al suscriptor con al menos 30 días calendario de anticipación.
- Se puede hacer «hasta por 1 (una) vez». La Declaración de Prácticas de Registro, en su apartado 3.7, lo dice por el otro lado: se firma con el certificado que está por caducar «y que no fue brindado por re-emisión».
La cuenta práctica sale sola. Un certificado emitido hoy vence en un año; se reemite una vez y da otro año; al tercer año el servidor vuelve al trámite completo, con autorización del representante, pago y los dos plazos de treinta días. Si en la entidad hay cien firmantes, eso es un proceso administrativo continuo, no un evento.
Dónde vive la clave privada, y quién paga el soporte
La Declaración de Prácticas de Registro, en su apartado 2.2.1, exige que la clave privada se genere en un módulo criptográfico con certificación FIPS 140-2 nivel 1 o Common Criteria EAL4 como mínimo. El perfil admite dos variantes, «soft» y «hard», y cada una declara una política distinta de la norma europea ETSI EN 319 411-1: NCP para la emitida en software y NCP+ para la emitida en hardware.
El soporte lo pone la entidad. La cláusula quinta del contrato la obliga a «proporcionar el medio portador o repositorio» con los criterios de seguridad de RENIEC, y la sexta le atribuye los riesgos de usarlo. Si el certificado de tu gerente vive en el disco de un portátil compartido, el contrato ya dice de quién es el problema.
Cuando alguien se va, cancelar le toca a la entidad
La cláusula octava del contrato obliga «bajo responsabilidad» al titular y al suscriptor a pedir la cancelación en cinco supuestos. Dos afectan a cualquier entidad con rotación de personal:
- «Cuando el suscriptor deja de ser miembro de la comunidad de interés», que es la forma técnica de decir que ya no trabaja ahí.
- «Revocación de las facultades de representación» del representante legal o apoderado.
Hay un tercero que aparece cuando alguien cambia de entidad sin dejar el sector público: «Cuando la información contenida en el Certificado Digital ya no resulte correcta». El certificado dice en el campo de organización para quién firmas, y ese dato deja de ser verdad el día del cese.
La Declaración de Prácticas de Registro reparte quién puede pedir qué. En su apartado 3.9.2, para los certificados de entidades públicas, la cancelación «es solicitada por el representante del titular», y los suscriptores distintos del representante solo pueden pedirla por motivos que afectan a la clave privada: exposición, deterioro, pérdida o robo. El cese no está en esa lista. Si la servidora que se va no puede pedir la cancelación por haberse ido, la tiene que pedir la entidad.
El trámite es rápido y gratuito. La ficha de cancelación para persona jurídica, con último cambio el 9 de septiembre de 2025, dice que se hace en línea por PIER y que «la calificación es automática». Y el apartado 3.9.4 de la Declaración de Prácticas de Registro dice que la cancelación es inmediata y no tiene periodo de gracia: una vez pedida, no se deshace.
Si nadie la pide, el certificado sigue vigente hasta su fecha de vencimiento, que puede estar a once meses. Qué pasa con lo que ya se firmó antes de la cancelación, y por qué la cancelación no invalida hacia atrás, está en cancelar un certificado digital.
Lo que conviene montar en la entidad
Nada de esto exige tecnología nueva. Exige que alguien tenga una lista y la mire:
- Un inventario de certificados con suscriptor, fecha de emisión, fecha de vencimiento y si ya se reemitió una vez. Con una validez máxima de un año, sin inventario se pierde la ventana de reemisión y cada vencimiento se convierte en un trámite nuevo.
- La cancelación en la hoja de cese. Recursos humanos ya recoge el fotocheck y los accesos. Si la cancelación en PIER no está en esa misma lista, no se hace.
- El aviso de 30 días de la EREP a una cuenta que alguien lea. Llega al suscriptor. Si el suscriptor está de licencia, la reemisión se pierde.
- La reemisión antes del vencimiento, nunca después. Pasada la fecha, el apartado 4.7.1 ya no la admite.
Si en vez de una entidad pública tienes una empresa, este camino no es el tuyo: la ficha de RENIEC está escrita para la Administración Pública. Para una empresa privada, los tipos de certificado y a quién le corresponde cada uno están en certificado de persona natural, de persona jurídica o de agente automatizado, y el procedimiento general en cómo obtener tu certificado digital de persona natural, paso a paso. Si necesitas certificados para tu equipo, en mifirmadigital.pe los emitimos.
Última revisión: 18 de septiembre de 2026.
Fuentes de esta página
- ECEP-RENIEC, Declaración de Prácticas de Certificación, versión 5.1 de 4 de junio de 2026: tabla 1, apartados 4.6 y 4.7, tablas 243 y 276.
- EREP-RENIEC, Declaración de Prácticas de Registro, versión 8.1 de 2025: apartados 1.3.4, 2.2.1, 3.7, 3.9.2 y 3.9.4.
- RENIEC, contrato de prestación de servicios de certificación digital, certificado Clase III, persona jurídica: cláusulas cuarta, quinta, sexta, octava y novena.
- RENIEC, fichas de trámite en gob.pe: certificación digital para persona jurídica y para agente automatizado, con último cambio el 2 de octubre de 2025, y cancelación para persona jurídica, con último cambio el 9 de septiembre de 2025.