Firma electrónica en el transporte: simple, avanzada y cualificada según eIDAS

En la documentación de transporte se repite mucho una expresión: «firma electrónica avanzada». Suena técnica y a menudo se usa sin precisión. Como el documento de transporte digital tiene que firmarse conforme al reglamento europeo, interesa saber qué significa de verdad y qué nivel exige cada caso.

Qué es eIDAS

eIDAS es el Reglamento UE 910/2014, el marco europeo que regula la identificación electrónica y los servicios de confianza. Es la norma que dice qué es una firma electrónica válida y qué garantías ofrece cada tipo. Define tres niveles, de menor a mayor exigencia.

Los tres niveles de firma

Firma electrónica simple

Es el nivel básico: cualquier dato electrónico asociado a una firma que sirve para manifestar el consentimiento. Una firma trazada en una pantalla táctil, junto con la verificación de la identidad del firmante, entra en esta categoría. Es válida y tiene valor probatorio, aunque es el nivel con menos garantías formales.

Firma electrónica avanzada

El artículo 26 de eIDAS le exige cuatro condiciones: estar vinculada de forma única al firmante, permitir identificarlo, haberse creado con medios bajo su control exclusivo, y estar ligada a los datos de modo que cualquier modificación posterior sea detectable.

Firma electrónica cualificada

Es el nivel máximo. Es una firma avanzada creada con un dispositivo cualificado y basada en un certificado cualificado emitido por un prestador de servicios de confianza acreditado. Legalmente equivale a la firma manuscrita.

Qué firma necesitan los documentos de transporte

La normativa del transporte (ROTT, en línea con eIDAS) apunta a la firma electrónica avanzada para los documentos electrónicos. En la práctica, el nivel de garantía que se logra depende de la tecnología concreta que use cada plataforma, y ahí hay diferencias importantes entre proveedores.

Lo razonable como usuario es preguntar siempre dos cosas: cómo se garantiza la integridad del documento y cómo se identifica a quien firma. Desconfía de quien promete el nivel máximo sin explicar con qué tecnología lo consigue.

Cómo lo hace Porteo

Conviene ser transparente. Porteo protege la integridad del documento con una firma criptográfica PKCS#7 y un hash SHA-512: si alguien modifica el documento después de firmarlo, la firma queda invalidada y queda constancia de ello. La identidad del firmante se contrasta con la verificación de su NIF, y cada firma registra su marca temporal, la IP y la imagen de la firma trazada.

Seamos precisos con la terminología, también cuando juega a nuestro favor. Las firmas se recogen a través de un proveedor externo especializado en firma electrónica, que no captura solo el dibujo del trazo sino cómo se ha trazado —los datos biométricos del trazo— y lo vincula al documento firmado. Eso, con la identificación del firmante y la detección de cualquier cambio posterior, es lo que sitúa la firma en el nivel avanzado del artículo 26.

El documento incorpora además un sello de tiempo cualificado y la comprobación en línea del estado del certificado, aplicados por los proveedores cualificados de ese servicio de firma: la fecha no la declara Porteo, la certifica un tercero, y queda constancia de que el certificado era válido en ese momento. Es lo que hace que el documento resultante sea de larga duración.

Y el límite, dicho con la misma claridad: no es una firma cualificada. El artículo 25.2 exige que sea el firmante quien disponga de un certificado cualificado y de un dispositivo cualificado de creación de firma, y Porteo no los emite ni los exige; tampoco se verifica al firmante con un código de un solo uso previo. El valor probatorio se apoya, por tanto, en las garantías del proveedor de firma. Para el Documento de Control en el transporte interno el nivel es holgado, y preferimos explicar con qué tecnología se consigue antes que quedarnos en la etiqueta.