Definición
La QES (Qualified Electronic Signature, o firma electrónica cualificada) es la firma electrónica del nivel más alto definido por eIDAS.
Tiene el mismo valor jurídico que una firma manuscrita y se reconoce automáticamente en toda la UE. Para ser cualificada, debe apoyarse en un certificado cualificado emitido por un TSP cualificado (Universign, Docaposte, Yousign), crearse mediante un QSCD (Qualified Signature Creation Device) certificado, identificar al firmante de forma única y estar vinculada al dato firmado de modo que cualquier modificación sea detectable.
Los 3 niveles de firma eIDAS
| Nivel | Sigla | Identificación | Valor jurídico |
|---|---|---|---|
| Simple | SES | Débil (casilla, imagen) | Admisible pero impugnable |
| Avanzada | AES | Media (vínculo fuerte firmante/documento) | Admisible, firmante identificado |
| Cualificada | QES | Fuerte (certificado cualificado + QSCD) | Equivalente a la manuscrita en la UE |
Cómo obtener una QES
El TSP verifica la identidad del firmante (presencial, vídeo síncrono, EUDI Wallet en el futuro, o reutilización de una verificación existente), luego emite un certificado cualificado X.509 vinculado a esa identidad, publicado en la EU LOTL. La clave privada está protegida por un QSCD que garantiza que no se pueda copiar ni usar sin el firmante: tarjeta con chip, token USB, HSM en la nube (firma a distancia, habitual desde 2024) o secure element del smartphone (modelo EUDI Wallet).
El proceso de firma
Formatos de firma
PAdES (PDF, el más común para los contratos), CAdES (archivos binarios, correos), XAdES (documentos XML, e-invoicing) y JAdES (JSON, para las API). Todos llevan un sello de tiempo cualificado que prueba la fecha y la hora de la firma.
Casos de uso
- Contractual: crédito hipotecario, préstamo de gran importe, escritura notarial electrónica, mandato SEPA de empresa, arrendamiento comercial, pacto de socios.
- Fintech: apertura de cuenta de empresa de nivel sustancial, contratación de seguro de vida, recorridos AISP/PISP transfronterizos.
- Sector público: contratación pública, declaraciones URSSAF/IVA, administración electrónica.
La firma a distancia mediante HSM en la nube
Evolución importante desde 2018: la clave privada ya no reside en el dispositivo del firmante, sino en un HSM certificado gestionado por el TSP; el firmante autoriza la firma mediante 2FA y autenticación fuerte (passkey, WebAuthn). Mucho más práctico que una tarjeta y un lector, con el mismo valor jurídico. Adopción masiva en Yousign, Universign, DocuSign EU Qualified y Adobe Sign QES.
Vínculo con la EUDI Wallet (eIDAS 2)
Con eIDAS 2, la EUDI Wallet integra de forma nativa una QES: la clave cualificada reside en el secure element del smartphone, y el ciudadano firma desde su teléfono sin TSP externo. Una reducción de fricción que democratiza la QES y sacudirá a los actores actuales (DocuSign, Yousign, Universign), llamados a reposicionarse en torno al workflow, la pista de auditoría y la integración.
Actores principales
- Francia: Universign (grupo Signaturit, líder histórico), Yousign (challenger SaaS, serie A de 30 M€ en 2021), Docaposte (La Poste), Lex Persona, CertEurope.
- Europa: DocuSign EU y Adobe Sign (vía socios TSP), InfoCert (Italia, Tinexta), D-Trust (Alemania), Signicat (Noruega).
Coste
AES: ~0,50 a 5 € por firma (a menudo incluida en una suscripción). QES puntual: 5 a 25 € por firma. QES por suscripción: 50 a 200 €/año para un certificado individual.
Lo que la QES no es
- No es un PDF firmado escaneado ni una firma manuscrita digitalizada (a lo sumo, una SES).
- No es obligatoria para todos los contratos: la mayoría de los actos corrientes son válidos con una SES o AES.
- No es un acto auténtico: una escritura notarial sigue siendo una escritura notarial, firmable en QES por las partes.
- No está reservada al B2C: muy usada en B2B (contratación pública, SEPA).
En el ecosistema PSD2 / Open Finance
La QES es un engranaje clave: segundo factor de SCA muy fuerte (poco usado por la fricción), mandato SEPA de empresa para importes altos y ladrillo de un onboarding KYC a distancia de nivel sustancial. eIDAS 2 y la EUDI Wallet preparan su democratización.
Ejemplos concretos
- Crédito en línea: Younited, Boursorama y Cetelem hacen firmar el contrato en QES (Yousign, Universign) — oponible como una manuscrita.
- Contratación pública: respuesta a las licitaciones firmada en QES (certificados CertEurope, ChamberSign).
- Notarios: el Intercambio Digital Auténtico entre notarios usa la QES.
- Qonto: QES en las condiciones de uso y los estatutos al abrir una cuenta para las SAS/SARL.
- Disrupción EUDI: un alemán firmará un contrato francés en QES desde su wallet DE, sin pagar DocuSign ni Yousign — un modelo de negocio a replantear para los TSP.