En Perú no existe una sola forma de firmar electrónicamente. El Decreto Supremo N.° 029-2021-PCM, publicado el 19 de febrero de 2021, aprobó el Reglamento de la Ley de Gobierno Digital y, además, modificó el Reglamento de la Ley N.° 27269, Ley de Firmas y Certificados Digitales.
Uno de sus cambios más importantes fue reconocer expresamente tres modalidades de firma electrónica:
- firma electrónica simple;
- firma electrónica avanzada;
- firma electrónica cualificada, también llamada firma digital.
Esta clasificación sigue siendo clave para empresas, fintech, recursos humanos, plataformas de contratación, sistemas documentales y entidades públicas, porque cada modalidad ofrece distintos niveles de identificación, integridad y fuerza probatoria.
Respuesta rápida: las tres modalidades en Perú
| Modalidad | Característica principal | Carga de la prueba en una controversia |
|---|---|---|
| Firma electrónica simple | Un dato electrónico asociado a otros datos para firmar | Quien la invoca como auténtica debe probarla |
| Firma electrónica avanzada | Identifica al firmante, se vincula de manera única con él y permite detectar cambios posteriores | Quien la invoca como auténtica debe probarla |
| Firma electrónica cualificada o firma digital | Es una firma avanzada que además cumple el marco de firma digital e IOFE | Quien niega su autoría debe demostrar que es apócrifa |
La diferencia no es solo técnica: también cambia la posición probatoria de las partes si más adelante surge una controversia.
¿Qué es el DS 029-2021-PCM?
El DS 029-2021-PCM aprobó el Reglamento del Decreto Legislativo N.° 1412, Ley de Gobierno Digital. Desarrolla un amplio ecosistema de servicios digitales del Estado: identidad digital, ID GOB.PE, servicios digitales, Casilla Única Perú, Mesa Digital Perú, interoperabilidad, documentos electrónicos, seguridad digital, FIRMA PERÚ, firma digital, firma remota y sellado de tiempo.
Además, mediante sus disposiciones complementarias modificatorias, incorporó los artículos 1-A y 2-A al Reglamento de la Ley N.° 27269. Esos artículos establecen las tres modalidades y las reglas de carga de la prueba.
¿Qué es una firma electrónica simple?
La norma la define como un dato en formato electrónico anexo a otros datos electrónicos, o asociado lógicamente con ellos, que una persona utiliza para firmar. Es la modalidad más amplia: según el diseño del sistema, pueden existir mecanismos electrónicos de aceptación dentro de esta categoría.
Eso sí: la firma simple no incorpora necesariamente todas las garantías técnicas de una firma avanzada o cualificada.
¿Qué es una firma electrónica avanzada?
La firma avanzada debe cumplir simultáneamente estas características:
- estar vinculada al firmante de manera única;
- permitir identificar al firmante;
- haber sido creada con datos de creación de firma que el firmante pueda usar bajo su control;
- estar vinculada con los datos firmados, de modo que cualquier modificación posterior sea detectable.
En otras palabras: no basta con colocar una imagen o escribir un nombre para que exista automáticamente una firma avanzada. El sistema debe demostrar técnicamente esos atributos.
¿Qué es una firma electrónica cualificada?
Es la firma electrónica avanzada que además cumple las condiciones previstas para la firma digital. En el marco peruano:
firma electrónica cualificada = firma digital
La firma digital usa criptografía asimétrica y, cuando se genera bajo las condiciones de la Infraestructura Oficial de Firma Electrónica (IOFE) con prestadores acreditados, cuenta con las garantías jurídicas de la Ley N.° 27269 y su Reglamento.
Firma avanzada y firma digital no son lo mismo
| Firma electrónica avanzada | Firma digital o cualificada |
|---|---|
| Debe identificar al firmante | Identifica al firmante mediante certificado digital |
| Debe vincularse de manera única con él | Opera bajo el marco técnico y jurídico de la firma digital |
| Debe permitir detectar modificaciones | Utiliza criptografía asimétrica |
| La carga de probar su autenticidad recae en quien la invoca | La carga probatoria se invierte frente a quien niega la autoría |
| No es automáticamente una firma digital | Es la modalidad cualificada reconocida por el Reglamento |
Por eso, una solución empresarial no debería usar ambos términos como equivalentes.
¿Qué cambia en la carga de la prueba?
Es uno de los aportes más relevantes del DS 029-2021-PCM. El artículo 2-A fija reglas distintas:
- Firma simple o avanzada: ante una controversia sobre la autoría, la carga de la prueba recae en quien invoque la firma como auténtica. Es decir, quien pretende usarla como evidencia debe demostrar su autenticidad.
- Firma cualificada o digital: la carga se invierte. Quien niegue la autoría debe demostrar que la firma es apócrifa.
Para la gestión del riesgo contractual, esta diferencia es decisiva.
¿El DS 029-2021-PCM dice que la firma avanzada se usa cuando el riesgo es bajo?
No exactamente, y conviene precisarlo. El DS 029-2021-PCM reconoce las modalidades y su carga probatoria, pero la clasificación por nivel de riesgo para las entidades públicas se desarrolló después, con la Directiva N.° 002-2024-PCM/SGTD. Para las entidades comprendidas:
| Nivel de riesgo de cuestionamiento de autoría | Modalidad orientada por la Directiva |
|---|---|
| Bajo | Firma electrónica simple |
| Medio | Firma electrónica avanzada |
| Alto | Firma digital o firma electrónica cualificada |
Por eso no sería correcto resumir el DS 029-2021-PCM diciendo “la firma avanzada se usa cuando el riesgo es bajo”: en el sector público, la norma posterior orienta la firma avanzada a escenarios de riesgo medio.
¿Una empresa privada puede usar firma electrónica avanzada?
Sí. La regulación peruana reconoce distintas modalidades y no limita toda contratación electrónica a la firma digital. Pero elegir no debería hacerse solo por comodidad. Conviene analizar:
- la naturaleza del documento;
- el valor económico de la operación;
- la posibilidad de controversia;
- la necesidad de identificar al firmante;
- las evidencias disponibles;
- el tiempo durante el cual deberá conservarse la prueba;
- si existe una norma especial que exija firma digital;
- el nivel de riesgo de repudio.
La firma avanzada puede ser adecuada para ciertos procesos, pero no es un sustituto automático de la firma digital en todos los casos.
¿Qué evidencias debería conservar una firma avanzada?
Si quien invoca una firma avanzada debe demostrarla, la plataforma debería construir evidencia sólida alrededor del proceso:
- identificación del firmante;
- método de autenticación;
- fecha y hora;
- dirección IP cuando corresponda;
- identificador de dispositivo cuando corresponda;
- versión del documento;
- hash o mecanismo de integridad;
- registro de aceptación;
- eventos del proceso;
- trazabilidad de envío y acceso;
- conservación de evidencias.
La fuerza de una solución de firma no depende solo del botón “Firmar”, sino de la capacidad de reconstruir después lo ocurrido.
¿Qué es FIRMA PERÚ?
El artículo 91 del Reglamento creó la Plataforma Nacional de Firma Digital — FIRMA PERÚ, orientada a la creación y validación de firmas digitales dentro del marco de la IOFE para servicios de la Administración Pública. Está conformada por software acreditado de creación y validación de firmas digitales de titularidad pública.
Esto marca una diferencia entre una plataforma empresarial de firma electrónica y la infraestructura pública de firma digital dentro de la IOFE.
¿Qué relación tiene ID GOB.PE con la firma?
El mismo Reglamento creó ID GOB.PE, la Plataforma Nacional de Identificación y Autenticación de la Identidad Digital, destinada a autenticar la identidad de una persona natural para acceder a servicios digitales.
Identificación y firma no son lo mismo. Un flujo puede funcionar así:
Identificación → autenticación → presentación del documento → consentimiento → firma electrónica o digital → evidencia
Un sistema moderno puede combinar identidad digital y firma dentro del mismo proceso.
¿Cómo elegir el tipo de firma?
No hay una respuesta universal; un enfoque basado en riesgo ayuda:
- Procesos de menor exposición: pueden admitir mecanismos de aceptación más simples si la ley lo permite y hay evidencia suficiente.
- Procesos de riesgo medio: conviene usar mecanismos que identifiquen de manera única al firmante y detecten cambios.
- Procesos de alto impacto o fuerte exposición probatoria: la firma digital cualificada ofrece ventajas por su infraestructura técnica, certificados y régimen probatorio.
La decisión se toma caso por caso. Ejemplos:
Contrato laboral: qué documento se firma, qué norma aplica, cómo se identifica al trabajador, qué evidencia se conserva y cuánto tiempo deberá verificarse.
Fintech: validación de identidad → autenticación → presentación de condiciones → aceptación → firma → evidencias → conservación.
La modalidad elegida debe guardar relación con el riesgo de la operación y las exigencias regulatorias aplicables.
¿Cuál tiene más fuerza probatoria?
La cualificada o firma digital ofrece una ventaja probatoria expresa: para simple y avanzada, quien invoque la firma como auténtica debe probarla; para la digital cualificada, quien niegue la autoría debe probar que es apócrifa.
Esto no significa que una firma simple o avanzada carezca automáticamente de valor: significa que el riesgo y la carga probatoria son distintos.
Qué cambió después en el sector público
En diciembre de 2024, la PCM aprobó la Directiva N.° 002-2024-PCM/SGTD, que dio criterios concretos por modalidad en entidades públicas: firma simple para riesgo bajo, avanzada para riesgo medio y digital para riesgo alto y otros supuestos. El DS 029-2021-PCM es, así, una pieza de una regulación que siguió evolucionando.
Conclusión
El gran aporte de la evolución regulatoria peruana es reconocer que no todos los procesos requieren la misma tecnología, pero que tampoco todas las modalidades ofrecen la misma protección.
Una organización debería evaluar riesgo + identidad + evidencia + integridad + carga probatoria + conservación antes de decidir qué modalidad implementar.
En Firmeasy ayudamos a empresas y plataformas a diseñar procesos de firma electrónica y firma digital según cada caso de uso, vía servicios y APIs.
Preguntas frecuentes
¿Firma electrónica y firma digital son lo mismo?
No. La firma digital es una modalidad específica: la firma electrónica cualificada. La firma electrónica es el concepto más amplio que engloba simple, avanzada y cualificada.
¿Cuál de las tres modalidades tiene mejor posición probatoria?
La firma digital o cualificada: en caso de controversia, la carga de la prueba se invierte y quien niega la autoría debe demostrar que la firma es apócrifa (art. 2-A del Reglamento).
¿Una firma electrónica avanzada necesita certificado digital?
No debe confundirse con la firma digital cualificada. La firma digital sí opera con certificados digitales y las condiciones del marco de la IOFE; la firma avanzada no es automáticamente una firma digital.
Fuentes:
