El programa con que firmas también tiene que estar acreditado: qué exige el reglamento, qué software reconoce INDECOPI y cómo lo compruebas

Imaginemos a Gonzalo, que administra una clínica veterinaria en Trujillo (el caso es inventado). Su arrendador le manda el contrato de alquiler del local en PDF y le pide que lo firme con su certificado digital. Gonzalo abre el archivo con el lector gratuito que ya tiene instalado, elige su certificado, escribe el PIN y el panel de firmas se pone verde. Una semana después, el abogado del arrendador le hace una pregunta que no esperaba: «¿Con qué programa firmaste? Tiene que ser uno acreditado». Gonzalo sabe que su certificado viene de una entidad acreditada. Del programa no sabe nada.

La pregunta tiene base en el reglamento. El certificado es la mitad de la exigencia, y la otra mitad es el programa. Este artículo sigue esa segunda mitad: qué artículos la fijan, quién acredita el software, qué lista oficial nombra los programas aceptados y cómo miras tú si el tuyo figura. Leímos las fuentes el 25 de octubre de 2026; las copias están al final. Donde concluimos algo nosotros, lo marcamos como «nuestra lectura».

Qué dice el reglamento y en qué artículos

El D.S. 052-2008-PCM, reglamento de la Ley 27269, menciona el software acreditado en tres artículos, y un decreto posterior añade un matiz que cambia la lectura de los otros.

Artículo 4, la prueba. Los documentos firmados digitalmente dentro de la IOFE «deberán ser admitidos como prueba en los procesos judiciales y/o procedimientos administrativos», siempre que el certificado venga de una entidad de certificación acreditada, con una entidad de registro acreditada. Y sigue: «asimismo deberá haberse aplicado un software de firmas digitales acreditado ante la Autoridad Administrativa Competente». La Autoridad Administrativa Competente es INDECOPI: el glosario de 2008 dice que esa responsabilidad «recae en el Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual - INDECOPI», y la resolución de junio de 2026 que citamos más abajo habla de las competencias que le asigna el artículo 57 del reglamento. El mismo artículo 4 añade que la validez se comprueba «aplicando el Software de Verificación de la firma digital», y que en caso de controversia el juez puede pedir a la autoridad un perito.

Artículo 54 c), la Administración Pública. Los certificados deben venir de una entidad de certificación para el Estado acreditada, y «Las firmas digitales deben ser generadas por programas de software o componentes acreditados por la Autoridad Administrativa Competente según su Guía de Acreditación de Software». Es una obligación para las entidades públicas que intercambian documentos entre sí.

Artículo 63, los prestadores de valor añadido. Cuando una empresa presta un servicio en el que el usuario firma dentro de la plataforma (el reglamento lo llama prestador de valor añadido «con firma digital del usuario final», artículo 34 a), «resulta indispensable la acreditación del software a ser empleado en la prestación de los servicios, conforme a los lineamientos y parámetros establecidos por la Autoridad Administrativa Competente». El artículo 57 d) pone a la autoridad a acreditar a esos prestadores «y el software que emplean en la prestación de sus servicios».

El procedimiento y la vigencia. El D.S. 026-2016-PCM (El Peruano, 29 de abril de 2016) incorporó el artículo 58-A, que lista lo que debe adjuntar quien pide acreditar un software: el pago del TUPA, documentos de la empresa, establecimiento en el país, el derecho de propiedad o uso sobre el programa y dos dispositivos con el software, un original y una copia. Cierra con una frase corta: «La acreditación del software tendrá una vigencia de cinco (05) años».

El matiz de 2012. El D.S. 105-2012-PCM (El Peruano, 21 de octubre de 2012) añadió dos párrafos al numeral 42.1 del reglamento. El primero dice que, en los servicios electrónicos del Estado que requieran firma digital de los funcionarios o de los administrados, «corresponde a las entidades públicas la acreditación del software que crea la firma digital del funcionario» y que ese software verificará que la firma del administrado esté asociada a un certificado emitido dentro de la IOFE. El segundo es el que importa a Gonzalo si tratara con una entidad pública: «En ningún caso los administrados a los que están destinados los servicios que requieran firma digital están obligados a acreditar el software de firma digital que utilicen».

Nuestra lectura: frente a una entidad pública, la carga de tener software acreditado recae en la entidad, no en el ciudadano. Ese párrafo habla de «los servicios» del Estado. No habla de un contrato entre dos particulares, que es el caso de Gonzalo, ni dice nada sobre cómo un juez valora el artículo 4 cuando alguien discute un documento privado. No encontramos jurisprudencia sobre ese punto y no la citamos.

Qué modificatorias leímos

Esto importa porque el texto que citamos es el de 2008, y el reglamento se modificó seis veces desde entonces. Lo que leímos, decreto por decreto:

Decreto	Qué leímos	Artículos que toca
D.S. 070-2011-PCM	Texto en copia escaneada (OCR)	16 y disposiciones finales octava, décimo primera y décimo segunda
D.S. 105-2012-PCM	Texto completo	5, 42.1, disposiciones finales cuarta, octava y décimo primera, y una transitoria
D.S. 026-2016-PCM	Texto completo	6, 23, 26, 34, 45, 58-A, 59, 61, 64, 75 y disposiciones finales
D.S. 029-2021-PCM	Lista de artículos modificados y texto de los que citamos	1-A y 2-A nuevos; 6, 8, 10, 15, 16, 29, 33, 35, 36, 45 a 48, 57, 60 y disposiciones finales
D.S. 155-2022-PCM	Título y considerandos	Solo la octava disposición final
D.S. 082-2024-PCM	Título y lista de artículos	27 y 46

En ninguna de esas listas figuran el artículo 4, el 54 ni el 63. Nuestra lectura: esos tres artículos siguen como en 2008. Lo concluimos de las listas y no de un texto consolidado oficial, que no encontramos. El D.S. 105-2012 sí cita al artículo 4 y al 54 c) dentro del párrafo nuevo del 42.1, pero no los modifica. El 29-2021 modificó el artículo 57, aunque solo el literal h) según su propio texto; el literal d) que citamos es el de 2008.

Y una cautela: la resolución de INDECOPI de 2026 enumera los decretos que modifican el reglamento como 105-2012, 026-2016, 029-2021 y 082-2024. No menciona el 070-2011 ni el 155-2022.

Quién acredita el software y con qué guía

INDECOPI publica la «Guía de Acreditación de Aplicaciones de Software de Firma Digital (SFD)», con cuatro anexos, en la colección «Guías de Acreditación - Firma Digital» de gob.pe. La página lleva la fecha 13 de mayo de 2026, pero el PDF dice «Versión 4.0» y «Rev: 2016» en cada hoja. No sabemos si esa fecha marca un cambio de contenido o solo la subida del archivo.

El documento se presenta así: «En conformidad con el artículo 4° del D.S. 052-2008-PCM», regula los requisitos que las aplicaciones «deben cumplir para poder gozar del amparo jurídico de la IOFE». Distingue tres clases de programa: de firma para el usuario final, de firma por agente automatizado y de verificación por agente automatizado. El de Gonzalo es de la primera, y la guía le fija diez requerimientos. Los más útiles para quien firma:

• Revocación. Antes de firmar, el programa debe consultar la lista de revocación: «La aplicación deberá poder realizar el proceso de consulta de CRL mediante protocolos HTTP, LDAP o HTTPS, según sea el caso». Cómo funciona esa consulta está en revocación con CRL y OCSP.
• Vigencia. Como evidencia, el solicitante puede demostrar «que su aplicación impide la realización de la firma digital con un certificado no vigente».
• Uso del certificado. «La aplicación deberá verificar que los bit Non Repudiation y/o DigitalSignature se encuentran activos cuando se realiza el proceso de firma». Es la regla de cifrar no es firmar.
• La clave privada no sale. «No deben generarse copias automatizadas de la clave privada en el computador durante el proceso de firma».
• Un visor. El programa debe dar al firmante y al receptor «visores para verificar el estado de integridad del documento firmado, la fecha de realización de la firma, la clave pública y los datos contenidos en el certificado».

Pide además que la aplicación lleve su propia firma de código, algoritmos «vigentes, no vulnerados o no obsoletos» y manuales de usuario. El procedimiento lo regula el anexo 2, una resolución de la Comisión de Normalización de INDECOPI del 29 de diciembre de 2010 (copia escaneada, leída con OCR). Cada año, el titular pasa una evaluación de seguimiento. Si se detecta o denuncia un incumplimiento, dice la guía, «el INDECOPI procederá a levantar el estado de acreditación».

Dónde se comprueba: dos listas distintas

INDECOPI publica dos documentos, y no dicen lo mismo.

La TSL, o lista de servicios de confianza. Es el XML que ya usamos en cómo funciona la firma digital por dentro. La que descargamos el 25 de octubre es la secuencia 25, emitida el 10 de agosto de 2026, y es byte por byte idéntica a la del 22 de octubre. Tiene 33 prestadores y 74 servicios. De esos 74, solo tres son software, los tres con tipo de servicio «unspecified»:

Servicio en la TSL	Prestador	Estado desde
Software de firma digital de RENIEC	Registro Nacional de Identidad (RENIEC)	12 de noviembre de 2012
eSignaCrypto, software de firma digital	Indenova S.L.	1 de marzo de 2013
BiSign, software de firma digital	Viettel Perú S.A.C.	10 de agosto de 2026

Los tres figuran como undersupervision, igual que casi todos los demás servicios. Es un dato escueto: ni versión, ni nivel de seguridad, ni resolución. Nuestra lectura: la TSL no sirve para saber qué versión de qué programa está acreditada hoy.

El ROPS en hoja de cálculo. En la página del Registro Oficial de Prestadores de Servicios de Certificación Digital, INDECOPI publica un archivo titulado «ROPS al 21 de octubre del 2026 - Completo». Su primera hoja se titula «ENTIDADES / EMPRESAS DEBIDAMENTE ACREDITADAS POR EL INDECOPI» y tiene una columna «SERVICIO O PRODUCTO ACREDITADO». Ahí sí aparecen los programas, con su versión:

• 51 entradas de «Software de Firma Digital», de 46 titulares (31 empresas y 15 entidades públicas), entre 57 organizaciones numeradas.
• Entre ellas, ReFirma Suite versión 1.6 (RENIEC), Plataforma Nacional de Firma Digital - Firma Perú versión 1.1.0 (Presidencia del Consejo de Ministros), Bisign versión 1.2.20 (Viettel Perú), Tocapu versión 2.1.9 (Llama.pe) y PJ Signer versión 3.1.0 (Poder Judicial).
• Una hoja de «Últimos cambios». Entre el 31 de diciembre de 2025 y el 21 de octubre de 2026 cuenta 6 altas de software y 13 bajas. La última alta es Certezia Firma versión 0.5.0, el 21 de octubre. Una de las bajas es la del «Componente de Firma Digital CPE» de la SUNAT, el 24 de agosto de 2026. La hoja no da el motivo de ninguna.

De comparar las dos listas sale algo práctico: la TSL no basta para responder al abogado de Gonzalo. El ROPS se ve más fresco (nombra altas posteriores al 10 de agosto y da de baja a Camerfirma Perú como entidad de certificación el 1 de octubre, mientras la TSL de agosto aún lista sus servicios). Tampoco coinciden del todo: BiSign figura en el ROPS como alta del 28 de abril de 2026 y en la TSL con estado desde el 10 de agosto. No sabemos por qué.

ReFirma, el programa de RENIEC

ReFirma Suite es el software que RENIEC distribuye a los ciudadanos. Su página dice que los componentes «se encuentran debidamente acreditados por la Autoridad Administrativa Competente». Son tres: ReFirma PDF (firma y valida PDF en PAdES), ReFirma PCX (PAdES, CAdES y XAdES) y ReFirma Validator, un servicio de validación. Los dos de escritorio piden Windows: la página de entrada dice «Windows 7 - 11» y los requisitos de ReFirma PDF dicen «Windows 7 - 10». Los niveles de firma T y LTA, que incorporan sello de tiempo, la página los declara disponibles para entidades públicas que suscriban un convenio TSA con RENIEC.

La acreditación consta en dos resoluciones de INDECOPI, publicadas por RENIEC en pki.reniec.gob.pe:

• Resolución 081-2023/DGI-INDECOPI, del 5 de mayo de 2023. Otorga la acreditación a «ReFirma Suite» versión 1.6, nivel de seguridad medio, «declarando cumplidos los requisitos establecidos en la Guía de Acreditación de Software de Firma Digital», con vigencia de cinco años «contados a partir del día siguiente a la fecha de notificación». No tenemos esa fecha, así que no calculamos el vencimiento.
• Resolución 000164-2026-DGI/INDECOPI, del 24 de junio de 2026. Aprueba la tercera auditoría anual de esa versión.

ReFirma Validator trae un aviso que conviene leer entero: «El resultado de la validación puede ser no concluyente si el documento fue firmado con otro software de firma digital o utilizando parámetros de creación particulares». Es una limitación del servicio y no un aviso de invalidez. El validador de Firma Perú tiene otro alcance, que explicamos en validar una firma con el validador del Estado.

Firma Perú, la plataforma del Estado

Firma Perú tiene dos sentidos. Como norma, es la Plataforma Nacional de Firma Digital que crea el artículo 91.1 del D.S. 029-2021-PCM (El Peruano, 19 de febrero de 2021), «como la plataforma digital que permite la creación y validación de firmas digitales dentro del marco de la IOFE». El 91.2 dice que la forman «los softwares acreditados de creación y validación de firmas digitales desarrollados o de titularidad de las entidades públicas». El D.S. 098-2025-PCM (El Peruano, 31 de julio de 2025) modificó los artículos 11, 13, 14, 35, 46, 55 y 87 de ese reglamento, pero no el 91.

Como servicio, la página de la PCM (www.gob.pe/22271, «Último cambio 24 junio 2024») ofrece a la ciudadanía un firmador de escritorio y un validador, y a las entidades públicas componentes de integración. Dice también que la Resolución 277-2023/DGI-INDECOPI «otorga la acreditación a la Plataforma Firma Perú»; no leímos esa resolución, pero el ROPS del 21 de octubre lista la plataforma de la PCM, versión 1.1.0.

El firmador (apps.firmaperu.gob.pe) se ofrece para Windows 10 o superior, Ubuntu 20.04 o superior y macOS Big Sur o superior. En Windows «Funciona con DNIe y certificados digitales previamente instalados en el sistema operativo»; en Linux y macOS, «Solo funciona con DNIe» y exige instalar Java 8. Si quieres firmar con el DNI desde el celular, es otro camino: firmar con el DNIe por NFC. Y para llevar la firma a una página propia está firmar desde una aplicación web con el certificado del usuario.

Una trampa de nombres: el ROPS trae otra entrada, Firma Perú Firma.Pe versión 1.1.6, bajo la Contraloría General de la República. Tiene otro titular y otra versión que la plataforma de la PCM, y quien busque «Firma Perú» en la hoja encuentra las dos.

Adobe, las apps del celular y lo que la lista no dice

Buscamos en el ROPS del 21 de octubre y en la TSL del 25, palabra por palabra, los nombres Adobe, Acrobat, Foxit, Word, Microsoft, DocuSign, Xolido, AutoFirma, LibreOffice, WhatsApp, Android, iPhone, macOS y Linux, además de «celular» y «app». Cero resultados en las dos listas.

Esto se dice así: Adobe Acrobat no aparece en la lista leída el 25 de octubre. Y se dice solo eso. Que un programa no figure no prueba que la firma hecha con él carezca de valor: no leímos ninguna sentencia ni ningún pronunciamiento de INDECOPI sobre el caso, y el numeral 42.1 de 2012, visto arriba, exime al ciudadano frente a las entidades públicas. Lo que sí podemos afirmar es más corto: el artículo 4 pide un software acreditado, la lista oficial no nombra ese programa, y si alguien te discute el documento, el punto queda abierto.

Con las apps de celular, la lista tiene otro límite. Cada entrada trae un nombre y una versión, pero no el sistema en que corre. Entradas como Tu firma EsSalud versión 1.0 o iDok Sign versión 1.1 podrían ser de escritorio, de web o de móvil, y la hoja no lo dice. No afirmamos que ninguna sea una app de celular. Si la que descargaste de una tienda no está en la lista, vale lo que dijimos de Adobe.

Cómo lo compruebas tú

1. Abre la página del ROPS en gob.pe y baja el archivo más reciente («ROPS al … - Completo»). Anota la fecha del título.
2. En la hoja EDA, busca el nombre exacto del programa y su versión en la columna «Servicio o producto acreditado». La versión importa: los cambios registran bajas de versiones concretas.
3. En «Últimos cambios», busca el nombre. Una baja reciente pesa más que una fila vieja.
4. Compara con la versión que tienes instalada; dónde se ve depende de cada programa.
5. Si no aparece, pide al proveedor el número y la fecha de su resolución de acreditación. Una entrada real la tiene, como las dos de ReFirma.
6. Si no te la dan, usa uno que figure. ReFirma PDF y el firmador de Firma Perú son gratuitos y salen en la lista.

Para el certificado, la comprobación equivalente es la de la entidad de certificación en la TSL, que explica qué exigir a tu entidad antes de pagar.

Lo que sale mal

• Versión equivocada. El ROPS lista ReFirma Suite versión 1.6. A la pregunta «¿Qué versión del software ReFirma debo utilizar para cumplir con lo establecido por el INDECOPI?», las preguntas frecuentes de RENIEC responden «La versión 1.6».
• Nombres que no cuadran. La hoja lista Librería Firmador Acepta versión 1.5.0 y, en los cambios, da de baja «Librería Firmador Acepta versión 1.5» el 13 de enero de 2026. Pasa algo parecido con ACJ Signature y con Firma 4 Evolution. Pueden ser registros distintos o el mismo producto escrito de dos maneras, y no lo sabemos.
• El panel verde. Que tu lector marque la firma como válida mide otra cosa: que la huella coincide y que la cadena llega a una raíz que el lector conoce. No dice nada sobre el artículo 4. Qué raíces traen Adobe y otros programas está en la cadena de confianza de tu certificado.

Nuestra opinión

Si el documento puede acabar en un juicio (un alquiler, un préstamo, un contrato de obra), firma con un programa que figure en el ROPS. No lo decimos porque la norma condene seguro al otro, sino porque es la única condición del artículo 4 que puedes verificar tú en diez minutos, y no cuesta nada: ReFirma PDF y Firma Perú son gratuitos. Para un trámite ante una entidad pública, el matiz de 2012 te quita presión. Y antes de pagar un programa por «estar acreditado», pide la resolución y compárala con la lista.

Si ya firmaste con un programa que no figura, no refirmes todo por reflejo. Mira primero si el documento puede discutirse; si es así, vuelve a firmarlo con uno de la lista y conserva las dos versiones. Cómo se discute un documento firmado está en impugnar un documento firmado digitalmente; qué pide la ley al integrar la firma en tu empresa, en integrar firma digital: lo que la ley exige; y el marco general, en firma digital, firma electrónica y firma electrónica avanzada.

Lo que este artículo no afirma

• Que una firma hecha con un programa que no figura en la lista sea inválida o inadmisible. No leímos jurisprudencia ni pronunciamientos de INDECOPI sobre ese caso.
• Que Adobe, una app de celular o cualquier programa «no esté acreditado». Solo decimos que no aparece en la lista leída el 25 de octubre de 2026.
• Que los artículos 4, 54 y 63 sigan como en 2008. Lo deducimos de las listas de artículos modificados; no leímos un texto consolidado ni el texto íntegro de los D.S. 070-2011, 155-2022 y 082-2024.
• La fecha de vencimiento de cada acreditación. Las resoluciones dan cinco años desde la notificación y no tenemos esas fechas; el ROPS no trae vigencias.
• Qué contiene la Resolución 277-2023/DGI-INDECOPI. Solo la citamos como la presenta la página de la PCM.
• En qué sistema corre cada programa de la lista, salvo lo que dice la página de Firma Perú.
• Los requerimientos de agentes automatizados ni los anexos de la guía distintos del 2.
• Por qué la TSL y el ROPS difieren en fechas y versiones.

La serie

Esta página es el pilar del clúster «El programa con que firmas». Los cinco artículos siguientes la desarrollan, en este orden:

1. Firmar un PDF con ReFirma paso a paso (próximamente).
2. Firma Perú, la plataforma del Estado: qué es y quién puede usarla (próximamente).
3. Firmar en Mac o en Linux: qué programas hay y cuáles figuran en la lista (próximamente).
4. Firmar con Adobe Acrobat: qué hace y qué dice la lista (próximamente).
5. Firmar desde el celular con una app: qué comprobar antes de usarla (próximamente).

Mientras tanto están publicados firmar un archivo que no es PDF, varias firmas en un mismo PDF y la longitud de la clave privada y el algoritmo.

Fuentes

Consultadas el 25 de octubre de 2026. Copias locales en reports/redaccion-diaria/; mfd-pilar12 es 2026-10-25-notas/fuentes/mfd-pilar12.

• D.S. 052-2008-PCM, El Peruano, 19 de julio de 2008, artículos 4, 34, 54, 57 y 63 y glosario. Copia: 2026-10-15-notas/fuentes/mfd-pilar/ds052_gobpe.txt.
• Modificatorias: D.S. 070-2011-PCM (2026-10-24-notas/fuentes/mfd-cifrar/ds070-2011-ocr.txt); D.S. 105-2012-PCM, 21 de octubre de 2012 (2026-10-17-notas/fuentes/mfd-ec/elperuano-2012-10-21.raw.txt); D.S. 026-2016-PCM, 29 de abril de 2016 (2026-10-24-notas/fuentes/mfd-cifrar/ds026-2016-lectura.txt); D.S. 029-2021-PCM, 19 de febrero de 2021, artículo 91 (2026-10-24-notas/fuentes/mfd-cadena/ds029_elperuano.txt); D.S. 155-2022-PCM (.../mfd-cadena/ds155/2139650-1.txt); D.S. 082-2024-PCM (2026-10-17-notas/fuentes/mfd-ec/ds082-2024.txt); D.S. 098-2025-PCM, 31 de julio de 2025 (2026-10-19-notas/fuentes/mfd-dnie/ds098-2025.txt).
• INDECOPI, Guía de Acreditación de Aplicaciones de Software de Firma Digital (SFD), versión 4.0, rev. 2016. Copias: mfd-pilar12/sfd-guia.txt y sfd-anexo2.ocr.txt.
• INDECOPI, ROPS al 21 de octubre del 2026 - Completo. Copias: mfd-pilar12/rops-21oct.xlsx y rops-21oct.txt. Búsqueda de nombres: mfd-pilar12/busqueda-programas.txt.
• INDECOPI, lista de confianza TSL, secuencia 25, emitida el 10 de agosto de 2026. Copia: mfd-pilar12/tsl-pe-25oct.xml.
• RENIEC, ReFirma Suite y sus páginas de ReFirma PDF, PCX y Validator, y las preguntas frecuentes. Resoluciones 081-2023/DGI-INDECOPI (5 de mayo de 2023) y 000164-2026-DGI/INDECOPI (24 de junio de 2026), en pki.reniec.gob.pe. Copias: mfd-pilar12/refirma-*.txt, reniec-preguntas-frecuentes-identidad-y-certificados-digitales.txt y mfd-pilar12/refirma/.
• PCM, Plataforma Nacional de Firma Digital - Firma Perú y firmador de documentos. Copias: mfd-pilar12/gobpe-22271.txt y firmaperu-firmador.txt.

Si lo que necesitas es un certificado con el que firmar desde un programa acreditado, en mifirmadigital.pe vendemos certificados digitales emitidos dentro de la Infraestructura Oficial de Firma Electrónica.

Última revisión: 25 de octubre de 2026.