Firmar digitalmente un documento no cierra el proceso. Quien lo recibe también necesita comprobar que la firma es válida, que el documento conserva su integridad y que el certificado puede verificarse correctamente.
En el Estado peruano esa validación no queda a criterio de cada oficina: existe una disposición expresa sobre cómo debe hacerse.
La Directiva N.° 002-2024-PCM/SGTD, aprobada por la Resolución N.° 007-2024-PCM/SGTD, establece que la validación de una firma digital —visible o invisible— debe realizarse con un software de validación de firma digital debidamente acreditado en el marco de la Infraestructura Oficial de Firma Electrónica (IOFE).
Se publicó el 18 de diciembre de 2024, pero sigue siendo plenamente vigente para toda entidad pública que use documentos electrónicos.
Respuesta rápida
¿Cómo debe validarse una firma digital en una entidad pública peruana?
Con un software de validación de firma digital acreditado dentro de la IOFE, según la Directiva N.° 002-2024-PCM/SGTD.
En consecuencia, no debe asumirse que basta con abrir el PDF en cualquier programa y ver una firma.
¿Qué dice exactamente la Directiva?
Su disposición sobre documentos electrónicos en PDF fija tres reglas:
- El servidor civil firma digitalmente el PDF una sola vez.
- No debe firmarse cada página por separado.
- La validación de la firma debe hacerse con software acreditado en la IOFE.
Esto corrige una práctica que aún se ve en algunas organizaciones: colocar una firma visible en cada página.
Una firma digital protege todo el PDF
Una firma digital no funciona como una firma manuscrita. En papel puede existir la costumbre de firmar o visar varias páginas; en un PDF, la protección criptográfica cubre al documento electrónico completo.
Por eso la Directiva precisa que:
una firma digital, visible o invisible, protege todas las páginas del documento de principio a fin.
La ubicación de la representación gráfica no determina qué páginas quedan protegidas.
¿Qué significa validar una firma digital?
Validar una firma digital es comprobar técnicamente la información asociada a la firma, al certificado y al documento. En simple, responde preguntas como:
- ¿el documento conserva su integridad?
- ¿la firma corresponde al certificado utilizado?
- ¿quién figura como titular del certificado?
- ¿el certificado se puede verificar dentro de la cadena de confianza?
- ¿existe información que permita determinar la validez de la firma?
De ahí la diferencia entre ver una firma y validar una firma digital.
Ver la imagen de una firma no significa validarla
Un error frecuente es creer que un documento es válido porque se ve:
- un nombre;
- una imagen de firma;
- un sello gráfico;
- una fecha;
- la palabra “firmado”.
Ninguno de esos elementos, por sí solo, demuestra técnicamente que la firma sea válida. La representación gráfica es solo la parte visible; detrás hay criptografía y certificados que deben comprobarse.
¿Basta con que un lector de PDF diga “firma válida”?
Para las entidades alcanzadas por la Directiva, no. El punto central no es solo que una aplicación muestre información sobre una firma. La norma exige:
software de validación de firma digital debidamente acreditado en el marco de la IOFE.
Por eso las entidades públicas deben considerar la acreditación del software dentro de sus procedimientos de validación.
¿Qué es la IOFE?
La Infraestructura Oficial de Firma Electrónica (IOFE) es el ecosistema oficial peruano donde operan los componentes de firma y certificados digitales. Participan, entre otros:
- Entidades de Certificación;
- Entidades de Registro o Verificación;
- Prestadores de Servicios de Valor Añadido;
- proveedores de aplicaciones de software de firma digital.
INDECOPI ejerce las funciones de acreditación dentro de esta infraestructura.
¿Qué significa que un software esté acreditado?
No basta con que un programa pueda “poner” una firma en un PDF. INDECOPI cuenta con un procedimiento de acreditación para las aplicaciones de software de firma digital que quieren incorporarse a la IOFE. Evalúa requisitos técnicos y legales, seguridad e interoperabilidad.
Eso permite distinguir entre:
software que técnicamente procesa una firma
y
software acreditado dentro de la infraestructura oficial peruana.
Firma y validación son dos operaciones diferentes
| Operación | Finalidad |
|---|---|
| Crear firma digital | Generar una firma sobre un documento |
| Visualizar firma | Mostrar información gráfica o técnica |
| Validar firma digital | Comprobar técnicamente la firma |
| Software acreditado | Aplicación evaluada para operar dentro del marco de la IOFE |
Un sistema empresarial puede necesitar una o varias de estas funciones, y no todas se cubren con la misma herramienta.
¿Qué pasa si el PDF tiene varias páginas?
No hace falta firmar cada página. La Directiva dispone que los servidores civiles firmen el PDF una única vez. Un expediente de 35 páginas puede llevar una sola firma digital y esa firma protege el documento completo.
Si después se modifica contenido protegido, la validación puede evidenciar que el documento ya no conserva las condiciones existentes al momento de firmarse.
Firma visible vs. firma invisible
La Directiva reconoce ambas:
Firma digital visible — el PDF muestra una representación gráfica (nombre, fecha, razón de firma).
Firma digital invisible — la firma está incorporada criptográficamente al documento, sin una imagen visible en la página.
En los dos casos, la regla es la misma: la firma debe validarse con el mecanismo establecido por la Directiva.
¿A quién aplica esta disposición?
La Directiva regula el uso de la firma digital en las entidades públicas. Por eso es clave en:
- ministerios;
- gobiernos regionales;
- municipalidades;
- organismos públicos;
- sistemas de trámite documentario;
- plataformas de gestión documental del Estado.
También es una referencia directa para las empresas de tecnología que desarrollan soluciones para el Estado.
Importante para proveedores de software del Estado
Si desarrollas sistemas de gestión documental, mesas de partes, expedientes electrónicos, ERP para entidades públicas, plataformas de firma o aplicaciones de validación, no reduzcas la firma digital a “poner una firma en el PDF”.
También debes diseñar cómo se validará esa firma. Un flujo completo se ve así:
Documento
↓
Firma digital
↓
Recepción
↓
Validación con el software correspondiente
↓
Resultado de validación
↓
Gestión o archivo del documento
¿Puede automatizarse la validación?
Sí. La validación puede integrarse dentro de plataformas y sistemas documentales:
Mesa de Partes
→ recibe el PDF
→ identifica las firmas digitales
→ ejecuta el proceso de validación
→ registra el resultado
→ continúa el flujo documental.
Así se reducen las validaciones manuales cuando se manejan grandes volúmenes. La arquitectura concreta debe respetar los requisitos aplicables a la entidad y al software utilizado.
¿Por qué esta norma sigue siendo importante en 2026?
Aunque se publicó en diciembre de 2024, la Directiva no es una noticia histórica. Deja un criterio que sigue siendo central:
no basta con generar una firma digital; también debe existir un mecanismo confiable para validarla.
A medida que el Estado digitaliza expedientes, contratos, resoluciones y cargos, la validación se vuelve parte esencial del ciclo de vida del documento.
Firma digital = creación + validación + evidencia
Un proceso electrónico sólido se representa así:
Identidad
↓
Certificado digital
↓
Firma digital
↓
Documento firmado
↓
Validación
↓
Evidencia
↓
Conservación
Si solo se implementa la firma y se ignora la validación, el proceso queda incompleto.
¿Qué debe revisar una entidad antes de implementar una solución?
Antes de incorporar una herramienta de firma o validación, conviene evaluar:
- el tipo de documento;
- el certificado utilizado;
- el tipo de firma;
- la interoperabilidad;
- las exigencias de la IOFE;
- la acreditación aplicable al software;
- la integración con el sistema documental;
- la conservación de evidencias.
No todas las soluciones de firma responden al mismo caso de uso.
Conclusión
La Directiva N.° 002-2024-PCM/SGTD dejó una regla clave para las entidades públicas:
La confianza en un documento no termina cuando se genera la firma digital. Esa firma también debe poder validarse correctamente.
Elegir el software de firma y validación no debería depender solo de la facilidad para colocar una firma en un PDF, sino también de interoperabilidad, seguridad y cumplimiento del marco de la IOFE.
En Firmeasy integramos firma y validación dentro de los sistemas de cada organización, vía servicios y APIs, para cubrir el ciclo completo del documento: firmar, validar, evidenciar y conservar.
Preguntas frecuentes
¿Tengo que firmar digitalmente cada página de un PDF?
No. La Directiva N.° 002-2024-PCM/SGTD establece que los servidores civiles firmen el PDF una sola vez. La firma digital protege todas las páginas, sin importar dónde esté la representación gráfica.
¿Cómo se valida una firma digital en una entidad pública del Perú?
Mediante un software de validación de firma digital debidamente acreditado en el marco de la IOFE, conforme a la Directiva N.° 002-2024-PCM/SGTD.
¿Abrir un PDF y ver la firma ya significa que está validada?
No. Visualizar una representación gráfica y realizar una validación técnica son operaciones distintas. Ver un nombre o un sello no demuestra por sí solo que la firma sea válida.
Fuentes:
- Resolución N.° 007-2024-PCM/SGTD (Directiva N.° 002-2024-PCM/SGTD) — Diario Oficial El Peruano
- Guía de Acreditación de Aplicaciones de Software de Firma Digital (SFD) — INDECOPI (gob.pe)
- Ley N.° 27269, Ley de Firmas y Certificados Digitales — gob.pe
- Decreto Legislativo N.° 1412, Ley de Gobierno Digital — gob.pe
