Firma electrónica avanzada: qué la distingue y cuándo hace falta
Una propuesta comercial que llega a una empresa peruana con la frase «firma electrónica avanzada con validez legal» dice algo cierto y calla lo que importa. El término existe en Perú desde 2021 y está bien definido. Lo que la etiqueta no cuenta es que, si la otra parte niega haber firmado, la avanzada se prueba igual que la firma más simple.
Este artículo explica de dónde sale la categoría, cómo la recogió el reglamento peruano, qué te están ofreciendo de verdad cuando te la nombran y en qué casos ese producto resuelve el problema.
De dónde viene el término
La categoría es europea. El Reglamento (UE) 910/2014, llamado eIDAS, organiza la firma electrónica en tres escalones. Su artículo 3 define la firma electrónica avanzada como la que cumple los requisitos del artículo 26, que son cuatro:
- Estar vinculada al firmante de manera única.
- Permitir la identificación del firmante.
- Haber sido creada con datos de creación que el firmante puede utilizar, con un alto nivel de confianza, bajo su control exclusivo.
- Estar vinculada con los datos firmados de modo que cualquier modificación posterior sea detectable.
Léelos otra vez y fíjate en lo que no dicen: en ningún punto se exige un certificado emitido por una entidad supervisada. Son requisitos sobre el comportamiento de la firma, no sobre quién respalda la identidad del firmante.
Ese respaldo llega en el escalón siguiente, el de la firma electrónica cualificada, y es el escalón al que eIDAS reserva la equivalencia con la firma manuscrita.
Otros países adoptaron la misma etiqueta con su propio contenido. Chile llamó firma electrónica avanzada a la suya en la Ley 19.799. México usa el término para la e.firma del SAT. Que la palabra coincida no significa que los requisitos coincidan.
Qué hay en Perú
En Perú hay dos categorías, y las dos están en la Ley 27269. El artículo 2 define la firma electrónica en sentido amplio. El artículo 3 define la firma digital como la que usa criptografía asimétrica con una clave privada y una clave pública relacionadas matemáticamente.
La equivalencia con la firma manuscrita la fija el artículo 3 del D.S. 052-2008-PCM, y la condiciona a una cosa: que la firma digital se haya generado dentro de la Infraestructura Oficial de Firma Electrónica.
Desde 2021 el reglamento tiene también los tres escalones. El D.S. 029-2021-PCM, publicado en El Peruano el 19 de febrero de 2021, le incorporó el artículo 1A, que reconoce «tres (03) modalidades de firma electrónica»: la simple, la avanzada y la cualificada. La avanzada es «aquella firma electrónica simple» que está vinculada al firmante de manera única, permite identificarlo, se crea con datos que el firmante puede utilizar bajo su control y está vinculada a los datos firmados de modo que cualquier modificación posterior es detectable. Son los cuatro requisitos de eIDAS, con una diferencia de redacción: el texto peruano no dice «con un alto nivel de confianza» ni «exclusivo». La cualificada «o firma digital» es la avanzada que cumple el capítulo II del reglamento, es decir, la de la IOFE.
Aparte están los tres niveles de seguridad de los certificados del artículo 22: Medio, Medio Alto y Alto. Miden cómo se protege la clave privada y cómo se validó la identidad del titular, y son una gradación dentro de la firma digital.
La comparación, puesta una al lado de la otra:
| eIDAS (Unión Europea) | Perú (Ley 27269 y su reglamento) |
|---|---|
| Firma electrónica simple | Firma electrónica, artículo 2 |
| Firma electrónica avanzada | Firma electrónica avanzada, artículo 1A b) del reglamento (desde 2021) |
| Firma electrónica cualificada | Firma electrónica cualificada o firma digital, artículo 1A c), dentro de la IOFE |
La fila central es la que produce la confusión comercial, y no porque falte. El artículo 2A, incorporado por el mismo decreto, reparte la carga de la prueba así: con firma simple o avanzada, si hay controversia sobre la autoría, «la carga de la prueba recae en quien la invoque como auténtica»; con la cualificada, «la carga de la prueba se invierte» y quien niega la autoría tiene que demostrar que la firma es apócrifa. Para el reglamento, en un juicio, la avanzada pesa lo mismo que la simple.
Qué te están vendiendo, en realidad
Cuando un proveedor ofrece «firma electrónica avanzada» en Perú, casi siempre es una de estas dos cosas, y la diferencia entre ellas es la que decide si te sirve.
Una plataforma de firma con controles de identidad. Verificación por SMS, foto del documento de identidad, prueba de vida, registro de la dirección IP y la hora, y un informe de auditoría al final. Si cumple los cuatro rasgos del artículo 1A b), en Perú es firma electrónica avanzada, y el nombre es correcto. Pero por el artículo 2A, si la otra parte niega haber firmado, te toca a ti probar que firmó, y lo harás con ese informe de auditoría y con lo que hayáis pactado. Que un producto concreto cumpla los cuatro rasgos es algo que se demuestra, no algo que decide la etiqueta.
Firma digital con certificado acreditado, presentada con etiqueta europea. Es firma digital dentro de la IOFE, con la equivalencia del artículo 3 del reglamento, vendida con el vocabulario del catálogo internacional del proveedor. Aquí el producto es el correcto y solo sobra la etiqueta.
Las dos son cosas legítimas. Cuestan distinto y protegen distinto.
Las tres preguntas que lo resuelven
Antes de firmar el contrato con el proveedor, pregunta esto por escrito:
¿El certificado lo emite una entidad acreditada por INDECOPI dentro de la IOFE? La respuesta es sí o no, y es verificable por tu cuenta en el registro de entidades acreditadas. Cómo consultarlo está en cómo comprobar que un certificado digital está acreditado.
Si mi contraparte niega haber firmado, ¿qué me entregáis? Con firma digital dentro de la IOFE, el propio documento lo sostiene. Con una plataforma de firma electrónica, lo que te entregan es un informe de auditoría, y entonces conviene saber cuánto tiempo lo conservan y en qué formato te lo dan si algún día cambias de proveedor.
¿Sirve para mis comprobantes ante SUNAT? Aquí no hay margen. SUNAT exige firma digital con certificado dentro de la IOFE, y una plataforma de firma con controles de identidad no cubre ese uso por muy avanzada que se llame. Los rechazos que produce equivocarse están en los 7 errores de SUNAT al firmar un comprobante.
Cuándo la plataforma de firma electrónica es la decisión correcta
Nada de esto significa que haya que comprar certificado para todo. Hay casos donde la firma electrónica con controles de identidad gana, y conviene decirlos.
Cuando firmas con muchas personas que no tienen certificado y no lo van a comprar. Un contrato de trabajo con cien candidatos al mes, una autorización de un cliente final, la aceptación de unas condiciones. Exigir certificado a cada firmante convierte un trámite de dos minutos en un proyecto.
Cuando el riesgo de que alguien niegue la firma es bajo y el documento vive poco. Aprobaciones internas, conformidades de servicio, actas de reunión.
Cuando hay relación previa y contrato marco. El artículo 2 del reglamento peruano valida expresamente las firmas generadas fuera de la IOFE en consideración a los pactos que acuerden las partes. Un contrato marco bien redactado convierte esa firma en suficiente entre vosotros.
El criterio que aplicamos: si el documento puede acabar delante de un tercero que no estaba en la sala, certificado dentro de la IOFE. Si se queda entre partes que ya acordaron cómo firman, la plataforma hace el trabajo y cuesta bastante menos.
En resumen
«Firma electrónica avanzada» es un escalón que el reglamento peruano recoge desde el D.S. 029-2021-PCM. Aun así, la línea que separa el valor jurídico está en otro sitio: dentro o fuera de la Infraestructura Oficial de Firma Electrónica, que es donde el artículo 2A invierte la carga de la prueba.
Traducir la etiqueta a esa línea es todo el trabajo. El marco completo, con los artículos de cada norma, está en qué dice exactamente la ley peruana sobre firma digital y firma electrónica.
Si lo que necesitas es el lado de la IOFE, nuestros certificados se emiten dentro de ella y figuran en el registro que INDECOPI publica, que es el dato que puedes comprobar tú antes de pagar.
Corrección del 7 de octubre de 2026
La versión del 26 de agosto de 2026 decía que el reglamento peruano no tiene un equivalente de la firma electrónica avanzada y que el término no aparece en el D.S. 052-2008-PCM. Era falso desde el 19 de febrero de 2021: la Primera Disposición Complementaria Modificatoria del D.S. 029-2021-PCM incorporó al reglamento el artículo 1A, con las modalidades simple, avanzada y cualificada, y el artículo 2A, sobre la carga de la prueba. Leímos el reglamento en su texto de 2008 sin esa modificación. Se corrigieron la tabla, la sección sobre Perú y el resumen. La recomendación práctica no cambia, porque el artículo 2A da a la avanzada la misma carga de la prueba que a la simple. Comprobado en El Peruano el 7 de octubre de 2026.