Firma digital, firma electrónica y firma electrónica avanzada: qué dice exactamente la ley peruana

Dos contratos llegan al mismo juzgado. Uno se firmó pegando una imagen de la firma en un PDF. El otro se firmó con un certificado emitido por una entidad acreditada por INDECOPI. Los dos son documentos electrónicos y los dos se van a admitir como prueba.

La diferencia aparece después, cuando una de las partes dice que ella no firmó eso. En el primer caso, quien presentó el contrato tiene que demostrar que la otra parte lo firmó. En el segundo, la ley ya le dio a esa firma el mismo valor que a una manuscrita, y el trabajo de desmontarlo le toca a quien lo niega.

Esa inversión es todo el asunto. Este artículo explica de dónde sale, con el número de artículo de cada norma, y por qué la tercera categoría que aparece en casi todos los comparativos del mercado peruano no existe en la ley peruana.

La ley peruana define dos cosas, en sus artículos 1 y 3

La norma es la Ley 27269, Ley de Firmas y Certificados Digitales, publicada el 28 de mayo de 2000. Su artículo 1 fija el objetivo de todo lo demás:

La presente ley tiene por objeto regular la utilización de la firma electrónica otorgándole la misma validez y eficacia jurídica que el uso de una firma manuscrita u otra análoga que conlleve manifestación de voluntad.

El segundo párrafo del mismo artículo 1 define la especie general:

Entiéndase por firma electrónica a cualquier símbolo basado en medios electrónicos utilizado o adoptado por una parte con la intención precisa de vincularse o autenticar un documento cumpliendo todas o algunas de las funciones características de una firma manuscrita.

Léelo despacio, porque es más amplio de lo que la gente supone. Un nombre escrito al final de un correo cabe ahí. Un botón de «acepto» cabe ahí. Una imagen escaneada pegada en un PDF cabe ahí. Todos son firma electrónica en el sentido del artículo 1, siempre que haya intención de vincularse.

El artículo 3 define la especie concreta:

Firma digital: aquella firma electrónica que utiliza una técnica de criptografía asimétrica, basada en el uso de una clave privada y una clave pública relacionadas matemáticamente entre sí.

Toda firma digital es firma electrónica. Al revés no. Y la ley no define ninguna categoría intermedia entre ambas.

Lo que añade la IOFE, que es donde está el valor

La Ley 27269 se reglamentó ocho años después, con el Decreto Supremo 052-2008-PCM, publicado el 19 de julio de 2008. Su artículo 3 dice una sola frase, y es la que hay que memorizar:

La firma digital generada dentro de la Infraestructura Oficial de Firma Electrónica tiene la misma validez y eficacia jurídica que el uso de una firma manuscrita.

Fíjate en la condición: generada dentro de la Infraestructura Oficial de Firma Electrónica. No basta con usar criptografía asimétrica. La equivalencia automática con la firma manuscrita se la lleva la firma digital hecha con un certificado emitido dentro de la IOFE.

¿Y las de fuera? El artículo 2 del mismo reglamento las resuelve, y conviene citarlo entero porque casi nadie lo hace:

Las disposiciones contenidas en el presente Reglamento no restringen la utilización de las firmas digitales generadas fuera de la Infraestructura Oficial de Firma Electrónica, las cuales serán válidas en consideración a los pactos o convenios que acuerden las partes.

Es decir: son válidas, pero su validez depende de que las partes lo hayan pactado. Si hay un contrato marco entre dos empresas que dice «aceptamos firmar así», funciona. Si no hay pacto y la otra parte lo niega, te quedas sin el atajo.

Quién administra la IOFE también está escrito. El artículo 57 del reglamento designa al Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual, INDECOPI, como Autoridad Administrativa Competente. Es quien acredita a las entidades de certificación y quien mantiene el registro de las acreditadas. Comprobar que tu proveedor está en ese registro lleva dos minutos y explicamos cómo en cómo comprobar que un certificado digital está acreditado.

Qué pasa de verdad en un juicio

Aquí es donde se cuentan más medias verdades, en las dos direcciones.

El artículo 4 del reglamento dice que los documentos electrónicos firmados digitalmente dentro del marco de la IOFE deberán ser admitidos como prueba en los procesos judiciales. Eso es admisibilidad: el juez tiene que aceptarlos y mirarlos.

Admisibilidad no es lo mismo que verdad indiscutible, y este es el punto que los vendedores de certificados suelen saltarse. Un documento con firma digital acreditada no gana el juicio solo. Lo que gana es la equivalencia del artículo 3: se trata como un papel firmado a mano. Un papel firmado a mano también se puede impugnar, alegando que la firma se falsificó o que se firmó bajo coacción. La diferencia es que ahora esa impugnación tiene que argumentarla y probarla quien la plantea.

Con una firma electrónica simple ocurre lo contrario. También se admite como prueba, porque en Perú no hay una regla que excluya el documento electrónico. Pero nadie te regala la equivalencia: si la contraparte dice que ese correo no lo escribió, quien lo presenta tiene que construir la prueba de que sí, con registros de acceso, direcciones IP, testigos y peritaje. Eso cuesta tiempo y dinero, y a veces no se consigue.

La pregunta útil antes de elegir no es cuál es «más segura». Es: si mañana la otra parte niega haber firmado esto, ¿quién tiene que probar qué, y cuánto me cuesta?

El Código Civil lo permitió antes que la ley de firmas

Un mes después de la Ley 27269, la Ley 27291, de junio de 2000, modificó dos artículos del Código Civil que sostienen todo lo demás.

El artículo 141 quedó así: la manifestación de voluntad es expresa cuando se realiza en forma oral o escrita, a través de cualquier medio directo, manual, mecánico, electrónico u otro análogo.

El artículo 141-A, incorporado por esa misma ley, resuelve el caso de la formalidad: cuando la ley exija que la manifestación de voluntad se haga con alguna formalidad expresa o requiera de firma, esta podrá ser generada o comunicada a través de medios electrónicos, ópticos o cualquier otro análogo. Para los instrumentos públicos, la autoridad competente debe dejar constancia del medio empleado y conservar una versión íntegra para consultas posteriores.

Ese segundo artículo es el que permite, por ejemplo, que un contrato que la ley exige por escrito se firme electrónicamente. También marca los límites: hay actos donde la formalidad la impone otra norma y esa norma manda. Lo desarrollamos en qué documentos se pueden firmar digitalmente en Perú, y cuáles no.

Los tres niveles que sí existen en el reglamento

Si buscabas una gradación en la norma peruana, existe, pero no es la que se suele citar. El artículo 22 del D.S. 052-2008-PCM establece tres niveles de seguridad para los certificados: Medio, Medio Alto y Alto.

Esos niveles se refieren a cómo se protege la clave privada y a cómo se validó la identidad del titular al emitirlo. Un certificado en un archivo .p12 guardado en el disco de un servidor y uno cuya clave privada nunca sale de un módulo de hardware no están en el mismo nivel, aunque los dos sean firma digital dentro de la IOFE y los dos tengan la equivalencia del artículo 3.

Para uso tributario esto tiene una consecuencia práctica: SUNAT acepta el certificado en archivo para firmar comprobantes, y la mayoría de emisores trabajan así. Para firmar contratos de importe alto o documentos que van a vivir diez años, el nivel del certificado es una decisión que conviene tomar a propósito y no por descarte.

De dónde viene «firma electrónica avanzada»

Si has comparado proveedores, habrás visto una tabla de tres filas: simple, avanzada y cualificada. Esa tabla es correcta, y describe el Reglamento (UE) 910/2014, conocido como eIDAS, que rige en la Unión Europea. Su artículo 3 define la firma electrónica avanzada como la que cumple los requisitos del artículo 26, y reserva la equivalencia plena con la manuscrita para la cualificada.

Chile tiene su propia versión con la Ley 19.799. México trabaja con la firma electrónica avanzada del SAT.

En el texto del reglamento peruano, el término «firma electrónica avanzada» no aparece. Las dos categorías son las de los artículos 2 y 3 de la Ley 27269, y la línea que separa el valor jurídico de una y otra es la IOFE.

Esto importa cuando contratas. Si una propuesta comercial en Perú te ofrece «firma electrónica avanzada», la pregunta que hay que hacer es concreta: ¿el certificado lo emite una entidad acreditada por INDECOPI dentro de la IOFE, sí o no? Todo lo demás es descripción de producto. Lo desarrollamos en firma electrónica avanzada: qué la distingue y cuándo hace falta.

Cuál usar, por caso

Situación	Qué necesitas	Por qué
Firmar comprobantes electrónicos ante SUNAT	Certificado digital dentro de la IOFE	Lo exige la normativa tributaria; sin él el comprobante se rechaza
Contrato con un tercero que puede acabar en juicio	Firma digital IOFE	Equivalencia del artículo 3 sin tener que pactarla
Aprobación interna entre áreas de la misma empresa	Firma electrónica simple	El artículo 2 del reglamento la valida por acuerdo interno
Trámite ante una entidad pública	Firma digital IOFE	La entidad suele exigirla y verifica contra el registro de INDECOPI
Acuerdo recurrente con un proveedor habitual	Firma electrónica con contrato marco	Artículo 2 del reglamento: vale por el pacto entre las partes

La regla que aplicamos con clientes: si el documento puede terminar discutido ante un tercero que no estaba en la sala, firma digital dentro de la IOFE. Si se queda dentro de una relación donde las dos partes ya acordaron cómo firman, la firma electrónica simple hace el trabajo y cuesta menos.

Un error frecuente que no es legal, es técnico

Hay una confusión que aparece cuando la decisión jurídica ya está tomada y toca comprar: creer que cualquier certificado sirve. Un certificado de servidor web y un certificado de firma son archivos con el mismo aspecto y usos declarados distintos, y confundirlos produce rechazos de SUNAT que parecen problemas de la firma. Está contado con los códigos concretos en certificado de firma o certificado SSL.

Si lo que necesitas es emitir comprobantes, el recorrido completo de compra y configuración está en certificado digital SUNAT para facturación electrónica.

La pregunta que casi nadie hace: ¿y dentro de ocho años?

Un certificado digital de persona jurídica dura uno, dos o tres años. Un contrato de arrendamiento dura cinco. Un pagaré puede discutirse mucho después. Ahí aparece un problema que la ley no resuelve sola y que se arregla en el momento de firmar, no cuando estalla.

Cuando verificas hoy una firma hecha hace seis años, el programa comprueba si el certificado estaba vigente. Si venció hace tres, la respuesta por defecto es que la firma no valida, aunque el día en que se firmó todo estuviera en regla. El verificador no tiene forma de saber cuándo se firmó, porque la fecha que trae el documento la puso el mismo equipo que firmó y se puede cambiar.

La solución es el sello de tiempo. Una tercera parte de confianza certifica que ese documento, exactamente ese, existía en tal fecha y hora. Con sello de tiempo, el verificador razona hacia atrás: el certificado estaba vigente cuando se selló, luego la firma era buena entonces, aunque hoy el certificado ya no lo esté.

Los formatos que lo incorporan tienen nombre y conviene pedirlos por su nombre al proveedor de software:

• PAdES-LTV para documentos PDF, que además embebe la información de revocación dentro del propio archivo.
• XAdES-A para XML, el mismo estándar sobre el que SUNAT construye la firma de los comprobantes.

El coste de añadirlo al firmar es bajo. El coste de no tenerlo aparece años después, cuando el documento tiene que sostenerse solo y ya no hay nadie a quien preguntarle. Es el error que más veces hemos visto en expedientes de empresas que digitalizaron pronto y bien: firmaron con certificado acreditado, hicieron todo correcto, y guardaron archivos sin sello de tiempo.

Lo que conviene retener

La ley peruana tiene dos categorías. La firma electrónica del artículo 1 de la Ley 27269 vale, pero su fuerza depende de lo que las partes hayan pactado y de lo que puedas probar. La firma digital dentro de la IOFE tiene, por el artículo 3 del D.S. 052-2008-PCM, la misma validez que tu firma a mano, sin necesidad de pactar nada con nadie.

Comprobarlo tú mismo lleva un minuto y dos comandos. Qué campos exige la norma peruana, cómo se abre un .p12 con openssl y cómo se contrasta el emisor contra la lista de INDECOPI está en abre tu certificado digital y léelo.

Si vas a emitir comprobantes o firmar documentos que pueden acabar discutidos, nuestros certificados digitales se emiten dentro de la IOFE y aparecen en el registro de INDECOPI, que es lo único que puedes verificar tú mismo antes de pagar.

Las páginas que desarrollan cada parte

• Firma electrónica avanzada: qué la distingue y cuándo hace falta, para el término que se usa fuera de la ley peruana.

• Qué documentos se pueden firmar digitalmente en Perú, y cuáles no, con la lista de excepciones.

• Abre tu certificado digital y léelo, para comprobar por tu cuenta lo que aquí se afirma.

• Firmaste con un certificado emitido fuera del Perú, que es la pregunta que aparece en cuanto entra en juego una plataforma internacional: las tres vías del reglamento y por qué ninguna opera sola.

• Quién tiene que probar qué cuando la firma es una imagen escaneada, con el artículo 2A que reparte la carga de la prueba entre las tres modalidades y la salida contractual del artículo 2.

• Mandas un PDF firmado digitalmente a una entidad del Estado, donde la equivalencia con el papel deja de ser abstracta: el artículo 30.3 del TUO de la Ley 27444 la condiciona a los procedimientos que defina cada entidad, y el artículo 47 del Reglamento de la Ley de Gobierno Digital le da tres alternativas para recibir.

• Digitalizaste el archivo con valor legal y aun así no puedes tirar el papel, para el camino inverso: qué hace falta para que un documento que nació en papel valga como el original, quién puede dar fe de ello y qué tres límites no levanta ninguna microforma.

• Boletas de pago y contratos de trabajo firmados electrónicamente, donde el artículo 3 del Decreto Legislativo 1310 autoriza la firma digital en todo tipo de documentos laborales sin el umbral de cien trabajadores que fijaba el D.S. 009-2011-TR, y el MTPE extiende la firma electrónica al trabajador.

• Cerraste el trato por correo, para la pregunta anterior a todo esto: cuándo una cadena de correos ya es manifestación de voluntad según los artículos 141 y 141-A del Código Civil, y por qué la presunción de recepción del artículo 1374 se activa con el acuse de recibo y no con el envío.

• La historia clínica electrónica y la firma digital, que es el caso donde la distinción de esta página deja de ser teórica: el literal k) del artículo 3 de la Ley 30024 define la historia clínica electrónica como la refrendada con firma digital, por su nombre, mientras que la de papel admite desde el Decreto Legislativo 1306 firma manuscrita o digital.

• Junta o directorio por videollamada, donde el artículo 21-A de la Ley General de Sociedades, reescrito por la Ley 31194, admite actas «firmadas por escrito o digitalmente», y el reglamento de SUNARP sigue pidiendo copia certificada por notario para inscribir el acuerdo.

• Firma digital en las contrataciones con el Estado, donde la Ley 32069 no nombra la firma digital ni una vez y es el artículo 87.3 de su reglamento, el D.S. 009-2025-EF, el que manda firmar el contrato con ella si el postor tiene certificado, mientras la promesa de consorcio pasó de «firmas electrónicas» a «firmas digitales» con el D.S. 001-2026-EF.

• Pagaré o letra de cambio firmados digitalmente, donde el artículo 6.2 de la Ley 27287 admite la firma electrónica en un título valor, pero el artículo 3 del reglamento recuerda que la firma no dispensa las demás formalidades: un PDF firmado no es título en papel ni valor anotado en cuenta, y de eso depende el mérito ejecutivo.

• Notario y firma digital, que cierra el grupo: el artículo 24 del D.Leg. 1049 da fe a lo que el notario autoriza con firma digital y, desde el 2 de noviembre de 2023, la Resolución 169-2023-SUNARP/SN obliga a mandar el parte a SUNARP firmado digitalmente por el SID; pero la escritura sigue en hojas de papel del colegio de notarios (artículo 38), con la huella y la suscripción de cada otorgante (artículo 59 j).

Corrección del 29 de septiembre de 2026

Hasta hoy esta página atribuía la definición de firma electrónica al artículo 2 de la Ley 27269. Está en el segundo párrafo del artículo 1, en el texto que dejó la Ley 27310 y que publica gob.pe. El artículo 2 fija el ámbito de aplicación: las firmas electrónicas que «puedan vincular e identificar al firmante, así como garantizar la autenticación e integridad de los documentos electrónicos». Las dos citas de arriba se cambiaron por el texto literal. Lo que el artículo concluía no cambia.

Última revisión: 4 de octubre de 2026.