Conservar un documento firmado: lo que exige la norma y lo que exige la criptografía
La escena aparece siempre igual y siempre tarde. Alguien pide un contrato firmado hace seis años, el archivo aparece en una carpeta compartida, se abre sin problema, y al validar la firma el resultado es un aviso que nadie sabe interpretar.
El documento no se corrompió. Lo que falló es que guardar un archivo y conservarlo no son la misma cosa, ni en la norma ni en la criptografía. Son dos exigencias distintas y hay que cumplir las dos.
La exigencia legal: el artículo 5
El D.S. 052-2008-PCM trata la conservación en un solo artículo, y empieza por acotar cuándo aplica: «Cuando los documentos, registros o informaciones requieran de una formalidad para la conservación de documentos electrónicos firmados digitalmente».
Esa condición inicial es importante y se pasa por alto en casi todo lo que se publica del tema. No todo documento firmado cae aquí. Cae el que tiene una formalidad de conservación exigida por su propia normativa: contable, tributaria, laboral, sectorial. El resto se conserva con criterio, no con el procedimiento que viene a continuación.
Para los que sí caen, el artículo pide tres cosas:
- Ser accesibles para su posterior consulta.
- Conservarse en su formato original de generación, envío o recepción, u otro que reproduzca «en forma demostrable la exactitud e integridad del contenido electrónico».
- Conservar todo dato que permita determinar el origen, destino, fecha y hora del envío y recepción.
Fíjate en el tercero, porque no habla del documento sino de su trazabilidad. Un archivo suelto en una carpeta cumple el primero y falla el tercero: nadie puede decir de dónde salió ni cuándo llegó.
Lo que el artículo ya no exige: microformas
Hasta 2012 el artículo seguía así: «Para estos casos, los documentos electrónicos deberán ser conservados mediante microformas o microarchivos», con un notario o fedatario con Diploma de Idoneidad Técnica. Ese último párrafo ya no existe. El artículo 1 del D.S. 105-2012-PCM, publicado en El Peruano el 21 de octubre de 2012, lo sustituyó por este texto:
«La firma digital vinculada a un certificado digital generada bajo la Infraestructura Oficial de Firma Electrónica no requiere mecanismos adicionales para conservar dicho documento a salvo de adulteraciones y asegurar el cumplimiento del principio de equivalencia funcional y la integridad del contenido del documento electrónico.»
Es decir: si el documento lleva una firma digital generada dentro de la IOFE, el reglamento de firmas no pide un proceso de microformas ni un fedatario. Los tres requisitos de arriba, los literales a), b) y c), siguen vigentes. Lo que desapareció es la obligación de microformas que los acompañaba.
Las microformas no desaparecieron del ordenamiento. Existen por el Decreto Legislativo 681 y su régimen propio, como opción para quien quiere que un documento nacido en papel valga como el original. Lo explicamos en microformas: digitalizar y destruir el papel. No son un requisito del artículo 5. Otra norma sectorial podría pedir algo adicional para un documento concreto: eso no sale de este reglamento y habría que mirarlo caso por caso.
La exigencia técnica: que la firma siga verificándose
La otra mitad no la impone ninguna norma peruana. La impone la criptografía, y no admite negociación.
Una firma digital se verifica comprobando cuatro cosas: que el documento no cambió, quién firmó, si ese certificado pertenece a la cadena de confianza y si estaba vigente y sin revocar en el momento de firmar. Las tres primeras se sostienen solas con el tiempo. La cuarta no.
Cuando pasan los años, el certificado del firmante caduca y los servicios que publicaban su estado de revocación cambian o desaparecen. Si la firma no incorpora una marca de tiempo fiable y los datos de validación del momento en que se hizo, el validador ya no puede afirmar que el certificado estaba vigente al firmar. El documento no se vuelve falso: se vuelve indemostrable, que a efectos de prueba es casi lo mismo.
Por eso los niveles de firma con sello de tiempo y con datos de validación incrustados no son un lujo de conformidad, sino la condición para que un documento sobreviva a su propio certificado. Lo explicamos con los formatos y niveles concretos en PAdES, XAdES y las decisiones que no se pueden deshacer.
Y aquí está lo que hace de esto una decisión urgente: no tiene arreglo retroactivo. No se le puede añadir hoy una marca de tiempo creíble a una firma de hace tres años, porque lo único que se podría certificar es que el archivo existe hoy. Si faltaba, faltaba.
Qué hacer, según en qué punto estés
Si vas a empezar a firmar. Decide el nivel antes del primer documento, no después. Los documentos con plazo de conservación largo se firman desde el día uno con sello de tiempo y datos de validación.
Si ya llevas años firmando. Haz la prueba incómoda: coge documentos firmados hace uno, tres y cinco años y válidalos hoy en el validador de Firma Perú. El resultado te dice exactamente qué parte de tu archivo es demostrable. Cómo leer lo que responde está en validar una firma digital.
Si el resultado no es bueno. Lo que queda no es técnico sino documental: reforzar la trazabilidad alrededor del archivo, es decir, el tercer requisito del artículo 5. Registros de origen, destino y fechas, guardados de forma que no dependan del mismo sistema que puede fallar. No sustituye a un sello de tiempo, pero es lo que hay.
Una opinión, porque el asunto la pide
La conservación es la parte del proyecto que siempre se deja para el final y la única cuyo error no se puede corregir después. Todo lo demás de una integración de firma se puede rehacer: el formato, el proveedor, la interfaz. Los documentos que se firmaron mal hace tres años se quedan firmados mal.
Si tienes que elegir dónde poner atención al arrancar, ponla aquí antes que en la pantalla de firma.
La conservación es una de las obligaciones con fecha que arrastra una empresa peruana. El cuadro completo, con los plazos del reglamento de datos personales y lo que cuesta pasarse de cada uno, está en plazos y multas de protección de datos.
Las siete decisiones de una integración, en el orden en que conviene tomarlas, están en la guía completa. Y si necesitas certificados dentro de la IOFE para personas naturales, jurídicas o agentes automatizados, escríbenos contando cuántos años tienen que durar tus documentos: esa respuesta cambia la recomendación entera.
Corrección del 6 de octubre de 2026
Este artículo, en su versión del 3 de septiembre, decía que el artículo 5 del D.S. 052-2008-PCM exigía conservar los documentos firmados mediante microformas o microarchivos, con la participación de un notario o fedatario. Esa era la redacción de 2008. El artículo 1 del D.S. 105-2012-PCM (El Peruano, 21 de octubre de 2012) sustituyó el último párrafo, y el texto vigente dice que la firma digital generada bajo la IOFE «no requiere mecanismos adicionales» para conservar el documento. Revisamos además el D.S. 029-2021-PCM, que modificó otros artículos del reglamento y no el 5. Corregimos el cuerpo, el extracto y la descripción de búsqueda.