Si tu proveedor de firma remota cierra: a quién obliga el reglamento a avisar, y a ti no te nombra
La pregunta aparece en la última reunión antes de firmar el contrato, casi siempre de boca del área legal: qué pasa con nuestras firmas si el proveedor desaparece. La respuesta comercial habitual es que eso no va a pasar. La respuesta útil está en el reglamento, que dedica tres artículos al cese de operaciones y los escribe distintos según de qué proveedor hablemos.
Merece la pena leerlos, porque uno de los tres obliga a avisarte y los otros dos no.
Tres figuras, tres artículos
El D.S. 052-2008-PCM, reglamento de la Ley 27269 publicado en El Peruano el sábado 19 de julio de 2008, divide a los prestadores de servicios de certificación digital en tres modalidades en su artículo 23: entidad de certificación, entidad de registro o verificación, y prestador de servicios de valor añadido.
La firma remota está en la tercera. Lo dejó dicho la Resolución 175-2024-DGI/INDECOPI, de 24 de junio de 2024, cuando fijó los requerimientos de acreditación «como Prestadores de Servicios de Valor Añadido en la modalidad de Sistema de creación de firma remota». Quien custodia tu clave privada en un HSM y firma por tu orden es un prestador de servicios de valor añadido, no una entidad de certificación. Los dos papeles pueden coincidir en la misma empresa, y con frecuencia coinciden, pero son acreditaciones separadas y el reglamento las trata por separado.
El cese de cada una está en un artículo propio: el 28 para las entidades de certificación, el 32 para las entidades de registro o verificación y el 39 para los prestadores de servicios de valor añadido.
Las seis puertas de salida
Los tres artículos listan las mismas causales, con mínimas diferencias de redacción:
- Por decisión unilateral comunicada a la autoridad, «asumiendo la responsabilidad del caso por dicha decisión».
- Por extinción de su personería jurídica.
- Por cancelación de su registro.
- Por sentencia judicial.
- Por liquidación decidida por la junta de acreedores en el marco de la legislación concursal, o resolución judicial de quiebra.
- Por decisión de la autoridad administrativa competente ante el incumplimiento de sus reglamentos específicos y guías de acreditación, observado en la evaluación técnica anual del artículo 71.
La última merece atención porque es la única que no depende de la voluntad del proveedor ni de un juez. Hay una revisión técnica cada año y suspenderla tiene consecuencia. Un proveedor que lleva la acreditación al día no es un adorno de folleto: es la diferencia entre seguir operando y no.
El plazo de treinta días cubre dos causales de seis
En los tres artículos el aviso previo existe solo para los dos primeros supuestos. El artículo 39, el de la firma remota, lo dice así:
Para los supuestos contenidos en los incisos a) y b) el Prestador de Servicios de Valor Añadido tiene un plazo de treinta (30) días calendario para notificar el cese de sus operaciones a la Autoridad Administrativa Competente.
Decisión unilateral y extinción de la personería jurídica. Las otras cuatro causales no traen plazo de preaviso, y es lógico: una sentencia judicial o una quiebra no se programan con un mes de antelación. La consecuencia práctica es la que conviene tener presente al negociar: en cuatro de los seis escenarios, el reglamento no te garantiza ningún tiempo de reacción. Si lo quieres, lo pones en el contrato.
Y el aviso va a la autoridad, no a ti
Aquí está la diferencia que separa a las tres figuras, y no la publica ningún proveedor.
El artículo 28, el de las entidades de certificación, obliga a notificar el cese «tanto a la Autoridad Administrativa Competente como a los titulares de los certificados digitales que hubiera emitido». Los titulares aparecen con esas palabras.
El artículo 39, el de la firma remota, obliga a notificar «a la Autoridad Administrativa Competente». Los usuarios del servicio no se mencionan. Lo único que ese artículo manda preservar es el inciso c) del artículo 37, que es la confidencialidad de la información relativa a los usuarios. Confidencialidad, no continuidad ni entrega de nada.
El artículo 32, el de las entidades de registro o verificación, sigue el mismo patrón: notifica a la autoridad y deja constancia de cómo preserva la confidencialidad del inciso c) de su artículo 30.
Traducido: si quien cierra es la entidad que te emitió el certificado, la norma te pone en la lista de avisados. Si quien cierra es la plataforma en la nube donde vive tu clave privada, la norma no te nombra.
Tu certificado se cancela al segundo
El cierre de la entidad de certificación tiene además una consecuencia automática sobre el certificado, y el artículo 28 la escribe con una precisión que sorprende leerla:
Los certificados digitales emitidos por una Entidad de Certificación cuyas operaciones han cesado deben ser cancelados a partir del día, hora, minuto y segundo en que se aplica el cese.
No hay periodo de gracia ni vigencia residual. El artículo 17, que enumera las causales de cancelación de un certificado digital, recoge la misma idea en su literal d): se cancela «por cese de operaciones de la Entidad de Certificación que emitió el certificado». Tu certificado puede tener dos años por delante en su campo de vigencia y morir mañana por algo que no hiciste tú.
Lo que ya firmaste no se cae con él. Esa distinción entre la vida del certificado y la validez de lo firmado antes está explicada entera en cancelar un certificado digital y qué pasa con lo que ya firmaste, y es la parte tranquilizadora de este asunto. Lo que sí se detiene es tu capacidad de firmar a partir de ese segundo.
Los diez años que sí están garantizados
El artículo 28 obliga a la autoridad a adoptar las medidas necesarias para preservar tres obligaciones del artículo 26 cuando una entidad de certificación cesa. Una de ellas, el literal g), es la que más vale a largo plazo:
Mantener la información relativa a los certificados digitales, por un período mínimo de diez (10) años a partir de su cancelación.
Diez años desde la cancelación, no desde la emisión. Es el plazo que permite demostrar, dentro de mucho tiempo, que un certificado estaba vigente el día en que se firmó un documento. Sin ese registro, una firma de hace ocho años queda sin forma de comprobarse. Por qué esa comprobación importa y qué hay que guardar por tu parte está en conservar un documento firmado.
Conviene notar lo que no está en la lista: el artículo 39 no impone al prestador de servicios de valor añadido ninguna obligación equivalente de conservación decenal al cesar. Las trazas de tus operaciones de firma remota, las que prueban quién autorizó cada firma y cuándo, dependen del contrato y de la declaración de prácticas del proveedor, no de este artículo.
Cuatro cláusulas que se piden por escrito
Con lo anterior en la mano, la conversación con el proveedor deja de ser abstracta. Cuatro cosas concretas:
- Preaviso contractual mayor que el legal, y para todas las causales. Los treinta días del reglamento cubren dos supuestos y van dirigidos a INDECOPI. Pide que el aviso te llegue a ti y que se dispare también si le cancelan el registro.
- Qué te entregan y en qué formato. Registros de auditoría de las firmas hechas, evidencias de autorización, y el plazo durante el que siguen disponibles. Es lo que el artículo 39 no menciona.
- Qué pasa con la clave privada. En firma remota vive dentro de un HSM que no es tuyo. Qué se hace con ella al terminar el contrato se pacta o no existe. El reparto de responsabilidades está contado en el pilar sobre firma remota y acreditación.
- Si emisión de certificado y firma remota van juntas o separadas. Si tu proveedor es a la vez entidad de certificación y prestador de valor añadido, un cierre te afecta por los dos lados a la vez, y el certificado se cancela al segundo. Si son dos empresas distintas, el riesgo se reparte, aunque a cambio tengas dos contratos que vigilar.
Y una comprobación que puedes hacer hoy sin preguntarle a nadie: la lista de prestadores acreditados es pública. Si el nombre de tu proveedor no aparece en la modalidad que le corresponde, la conversación empieza mucho antes que por el cierre. Cómo se comprueba está en cómo saber si un certificado está acreditado sin creerle a nadie.
En mifirmadigital.pe operamos dentro de la Infraestructura Oficial de Firma Electrónica y la infraestructura la lleva CloudComputing Perú, con ISO/IEC 27001 certificada. Si estás comparando proveedores de firma remota, la lista de preguntas completa está en qué exige INDECOPI para acreditar la firma remota.