Las soluciones de firma electrónica remota que desean operar en el mercado europeo bajo el marco del Reglamento eIDAS deben asumir que no basta con generar firmas electrónicas válidas en el momento de su emisión. La clave es garantizar que esas firmas y las evidencias asociadas puedan mantenerse íntegras, válidas y verificables a lo largo del tiempo, incluso cuando cambien los algoritmos criptográficos, los certificados expiren o los dispositivos utilizados dejen de ser seguros. En este punto es donde entra en juego la norma ETSI TS 119 511, que define los requisitos de política y seguridad para la preservación a largo plazo de firmas electrónicas y de otros datos digitales.
Esta norma parte de una realidad jurídica y técnica: una firma que hoy es válida puede perder su valor probatorio si dentro de unos años no es posible comprobar su integridad. Por eso, establece un marco de controles para que los proveedores de servicios de confianza puedan ofrecer evidencias duraderas, capaces de ser aceptadas en un procedimiento judicial aunque hayan pasado décadas desde la firma original. En el caso de las soluciones de firma remota, aplicar estos requisitos supone un salto cualitativo que las convierte en servicios con garantías comparables a las de un notario digital.
Alcance y objetivos
La norma distingue dos grandes escenarios de aplicación. El primero es la preservación de firmas electrónicas avanzadas o cualificadas, de forma que se pueda seguir verificando su validez en el futuro, aunque se debiliten los algoritmos utilizados o el certificado haya caducado. Un ejemplo sencillo sería un contrato firmado en 2025 con un algoritmo considerado seguro en ese momento, pero cuya solidez se pone en duda en 2040. Gracias a los mecanismos de preservación, esa firma podría seguir siendo aceptada por un tribunal como prueba válida.
El segundo escenario es la generación de pruebas de existencia de datos digitales, ya sean firmados o no. Aquí el objetivo es demostrar que un determinado archivo existía en una fecha concreta y que no ha sido modificado desde entonces. Pensemos en un informe técnico o en una factura digital que, aun sin estar firmada, se necesita presentar como prueba de que ya existía en un momento concreto de una relación comercial o contractual.
Modelos de almacenamiento
La norma plantea tres modelos distintos de prestación del servicio de preservación, y cada proveedor debe decidir cuál aplicar. El primero es el modelo con almacenamiento, en el que el prestador conserva tanto los datos originales como las evidencias que demuestran su existencia y validez. El segundo es el modelo con almacenamiento temporal, en el que los datos o sus huellas digitales (hashes) se guardan únicamente el tiempo necesario para generar la evidencia, que luego se entrega al cliente. Por último, está el modelo sin almacenamiento, donde el proveedor no conserva ni los datos ni las evidencias, sino que actúa como un intermediario que genera y devuelve pruebas en tiempo real.
Cada modelo tiene implicaciones legales y técnicas. Un servicio con almacenamiento ofrece mayor tranquilidad al usuario final, porque sabe que el prestador conserva las pruebas durante todo el periodo necesario. Sin embargo, también supone mayores responsabilidades de custodia y de seguridad para el proveedor. Por el contrario, un modelo sin almacenamiento minimiza el riesgo de custodia de datos, pero obliga al cliente a garantizar que guarda correctamente las evidencias recibidas.
Documentación obligatoria
Uno de los pilares de la norma ETSI TS 119 511 es la transparencia documental. Todo proveedor de confianza que preste servicios de firma remota y preservación debe contar con una práctica de servicio de preservación, un documento que describe cómo se opera el servicio, qué procesos se aplican y cuáles son las responsabilidades tanto del prestador como de los clientes. A esta práctica se suma la política de preservación, donde se establecen las reglas generales, el alcance del servicio y los requisitos de seguridad aplicados.
Además, deben definirse perfiles de preservación, que recogen los detalles técnicos de los algoritmos utilizados, los formatos admitidos (por ejemplo PAdES para PDFs o XAdES para XML), y la duración mínima durante la cual se garantiza la validez de las evidencias. En estos perfiles se incluyen también las políticas de evidencia, que detallan cómo se generan y cómo se deben validar, y, en su caso, las políticas de validación de firmas, que describen los procedimientos a seguir para comprobar el estado de certificados y cadenas de confianza.
Gestión y controles de seguridad
La gestión de la seguridad es uno de los apartados más exigentes de la norma. El proveedor debe contar con personal cualificado, procedimientos claros y sistemas técnicos robustos. Entre las medidas se incluyen el uso de módulos criptográficos certificados, como HSMs conformes a FIPS 140-2 nivel 3 o evaluados bajo ISO/IEC 15408, para asegurar que las claves privadas nunca salgan del entorno protegido. También se requiere trabajar con autoridades de sellado de tiempo que cumplan la norma ETSI EN 319 421 y utilizar algoritmos recomendados en ETSI TS 119 312, actualizando las evidencias cuando alguno de esos algoritmos quede obsoleto.
Otros controles clave son la gestión de incidentes, los planes de continuidad de negocio, la trazabilidad completa de todas las operaciones mediante registros de auditoría y la obligación de tener planes de terminación que aseguren el traspaso de las evidencias si el proveedor cesa su actividad. Estas exigencias se alinean con el Reglamento eIDAS y garantizan que el servicio no solo es técnicamente seguro, sino que también resiste un escrutinio legal y regulatorio.
Procesos operativos
El funcionamiento del servicio debe garantizar que el cliente puede comunicarse de manera segura con el proveedor, con autenticación mutua y cifrado de las transmisiones. También es importante que el proveedor mantenga un sistema de notificación que alerte a los usuarios si se detecta que un algoritmo se debilita o si se produce un cambio en un perfil de preservación. En cuanto a las evidencias, estas deben generarse utilizando estándares reconocidos internacionalmente, como el protocolo de sellado de tiempo RFC 3161, la sintaxis de registro de evidencias RFC 4998 o el estándar ETSI EN 319 422.
Un aspecto relevante es la responsabilidad cuando el servicio preserva únicamente el hash de un documento y no el documento completo. En este caso, el proveedor responde por la validez de la evidencia, pero no puede garantizar que el hash corresponda al documento original, ya que no lo conoce. Esto obliga a definir claramente en las condiciones contractuales qué corresponde al prestador y qué al cliente, evitando conflictos legales posteriores.
Caso práctico: firma remota como servicio de confianza
Imaginemos una empresa tecnológica que quiere ofrecer un servicio de firma remota a sus clientes B2B. Cada firmante se identifica mediante autenticación multifactor y un código de un solo uso enviado a su dispositivo. La firma se genera en un HSM gestionado por el prestador, y se vincula al hash del contrato en PDF. Automáticamente se añade un sello de tiempo cualificado y todo se encapsula en un contenedor estándar ASiC.
El sistema está configurado para que cada cinco años las evidencias sean reforzadas con nuevos sellos de tiempo y algoritmos más robustos, de modo que el contrato siga siendo verificable incluso dentro de 20 años. Si en 2035 un tribunal solicita las pruebas de un contrato firmado en 2025, el proveedor puede aportar tanto el documento como la evidencia de que la firma existía, estaba vinculada a una persona concreta y ha mantenido su validez en el tiempo a pesar de los cambios tecnológicos.
Conclusión
La aplicación de ETSI TS 119 511 convierte una solución de firma remota en un verdadero servicio de confianza, capaz de demostrar en sede judicial que los documentos firmados son auténticos, íntegros y válidos con independencia del paso del tiempo. Esto no solo refuerza la seguridad técnica, sino que proporciona un valor probatorio incalculable para empresas y usuarios que dependen de la firma electrónica en sus operaciones diarias. Cumplir esta norma no es una opción, sino una necesidad para cualquier organización que aspire a ser reconocida como proveedor de confianza bajo eIDAS, ya sea en modalidad no cualificada o cualificada.
