SES, AES y QES: diferencias entre los tres niveles de firma electrónica

No existe una única «firma electrónica». El Reglamento eIDAS diferencia tres niveles: simple, avanzada y cualificada. Todos son electrónicos, pero no ofrecen las mismas garantías de identidad, control e integridad.

Entender esta escala ayuda a evitar dos errores opuestos: pensar que una firma dibujada no tiene ningún valor o creer que cualquier firma en pantalla equivale automáticamente a una firma manuscrita.

Contenido informativo, no asesoramiento jurídico. La elección depende del documento, el riesgo y la normativa aplicable.

Comparativa rápida

Aspecto	SES: simple	AES: avanzada	QES: cualificada
Ejemplo orientativo	Firma dibujada, nombre escrito, clic de aceptación	Firma vinculada de manera única al firmante y con cambios posteriores detectables	AES con certificado cualificado y dispositivo cualificado
Identificación	Básica o contextual	Debe permitir identificar al firmante	Identidad verificada según requisitos cualificados
Control del firmante	Sin requisito técnico específico de eIDAS	Datos de creación bajo su control con un alto nivel de confianza	Requisitos reforzados y dispositivo cualificado
Integridad	Depende de las evidencias añadidas por el proceso	Cualquier cambio posterior debe ser detectable	Garantías técnicas y jurídicas más altas
Efecto clave de eIDAS	No se puede rechazar solo por ser electrónica o no cualificada	Misma regla de no discriminación, con requisitos técnicos superiores	Equivalencia explícita con la firma manuscrita en la UE
Uso orientativo	Procesos cotidianos de riesgo bajo o moderado	Acuerdos con más necesidad de identificación y prueba	Trámites u operaciones que exigen la máxima garantía o una QES

La tabla es orientativa. Una AES no es automáticamente obligatoria para todo contrato importante, y una SES no es automáticamente insuficiente por ser simple.

1. Firma electrónica simple (SES)

eIDAS define la firma electrónica de manera amplia: datos electrónicos asociados a otros datos y utilizados por el firmante para firmar. La SES es la forma que no cumple necesariamente los requisitos adicionales de la AES o la QES.

Pueden ser ejemplos:

• dibujar una firma con el dedo o el ratón;
• escribir el nombre en un campo de firma;
• pulsar un botón de aceptación con una formulación clara;
• aceptar unas condiciones mediante una casilla no premarcada;
• manifestar por correo una aceptación inequívoca.

El punto fuerte de la SES es la facilidad. Reduce fricción y puede ser adecuada para autorizaciones, consentimientos cotidianos y acuerdos entre partes conocidas. Su punto débil es que, por sí sola, puede aportar menos certeza sobre la identidad y la integridad.

Por eso es importante acompañarla de un registro: versión del documento, fecha y hora, canal de envío, consentimiento explícito, hash e historial de eventos.

2. Firma electrónica avanzada (AES)

El artículo 26 de eIDAS exige que una AES cumpla cuatro condiciones acumulativas:

1. estar vinculada de manera única al firmante;
2. permitir identificarlo;
3. crearse con datos que el firmante pueda utilizar bajo su control con un alto nivel de confianza;
4. estar vinculada a los datos firmados de forma que cualquier modificación posterior sea detectable.

No basta con añadir una contraseña cualquiera o guardar un hash en una base de datos para anunciar una AES. Hay que evaluar todo el sistema de creación, autenticación, vinculación y verificación.

Las AES son útiles cuando la identidad o una posible impugnación tienen más peso. Pueden apoyarse en certificados, sistemas de identidad electrónica u otros mecanismos diseñados específicamente para cumplir los cuatro requisitos.

3. Firma electrónica cualificada (QES)

Una QES es una AES que, además, se basa en un certificado cualificado y se crea con un dispositivo cualificado de creación de firma. Los servicios cualificados se vinculan a prestadores incluidos en las listas de confianza europeas.

El artículo 25.2 de eIDAS le reconoce la equivalencia jurídica explícita con la firma manuscrita. Una QES basada en un certificado cualificado emitido en un estado miembro debe reconocerse como QES en los demás estados miembros.

Esta garantía superior conlleva más verificaciones y, normalmente, más fricción. No es necesaria por defecto en todos los procesos.

Cómo elegir el nivel correcto

Puedes aplicar este orden de decisión:

1. Comprueba la norma aplicable. ¿Hay un nivel o una formalidad exigidos?
2. Valora el riesgo. ¿Qué impacto tendría una suplantación, una modificación o una impugnación?
3. Valora la relación. ¿Las partes ya se conocen? ¿El canal de contacto es fiable?
4. Define las evidencias. ¿Qué conservarás para demostrar consentimiento, identidad contextual e integridad?
5. Evita fricción innecesaria. Más complejidad no siempre significa una mejor experiencia ni es proporcional al caso.

Una autorización habitual de una actividad puede encajar con una SES bien trazada. Una operación regulada, de alto valor o con requisitos formales puede necesitar AES, QES o incluso otras formalidades fuera de la firma electrónica.

¿Dónde se sitúa Sygnau?

Sygnau utiliza una firma electrónica simple (SES) reforzada con evidencias de proceso: el firmante dibuja la firma en la pantalla (o entrega papel escaneado), sin crear cuenta. El sistema conserva la versión de la autorización, genera un PDF con las respuestas, calcula un hash SHA-256 y ofrece una página pública de verificación.

Sygnau no ofrece firma avanzada (AES) ni cualificada (QES), ni actúa como prestador cualificado de servicios de confianza. Si tu caso exige estos niveles, hace falta una solución certificada adecuada.

Fuentes

• Reglamento eIDAS consolidado — EUR-Lex
• ¿Qué es eSignature? — Comisión Europea
• Trusted List Browser — Comisión Europea

---