NOM 151 y firma electrónica: qué exige la ley en México y en España

Cumplir con la NOM 151 y con eIDAS no es cuestión de comprar un certificado. Son dos cosas: la firma cumple las reglas del derecho que rige el documento, y puedes demostrarlo después ante un juez, un auditor o una autoridad. Si falta una de las dos mitades, hasta un contrato bien firmado puede deshacerse.

Según el país, el marco cambia de nombre. En México, el Código de Comercio da equivalencia funcional al mensaje de datos y a la firma electrónica, y la NOM-151-SCFI-2016 fija cómo conservar esos mensajes para que valgan como prueba. En España y en el resto de la UE, el Reglamento eIDAS marca el efecto de cada tipo de firma y la Ley 6/2020 lo completa. En ambos lados, la protección de datos (RGPD en España, LFPDPPP en México) alcanza a todo lo que recoge el proceso de firma.

La mayoría de los contratos se resuelve con una firma electrónica ordinaria. Los problemas llegan con las excepciones (escrituras públicas, testamentos), con contrapartes en otros países y con registros regulados, donde una autoridad añade reglas propias.

Si solo necesitas que alguien firme hoy, firmar un documento en línea lleva minutos. El resto del artículo es para cuando un auditor o el abogado de la otra parte empiece a hacer preguntas más duras.

Si tu contraparte está en Estados Unidos, la ley federal lo resolvió en 2000. La ESIGN Act dice que no se puede negar efecto jurídico a una firma, un contrato o un registro solo porque sea electrónico. La definición es amplia: un sonido, un símbolo o un proceso unido a un registro y adoptado con la intención de firmar. Un nombre escrito a teclado cuenta. Un clic también, siempre que el registro muestre qué se pulsó y quién lo hizo.

A nivel estatal, la UETA cumple la misma función en casi todos los estados, y Nueva York tiene su propia ley, la Electronic Signatures and Records Act. La UETA añade una regla práctica de atribución: una firma pertenece a una persona si fue su acto, y eso puede probarse de cualquier manera, incluido el procedimiento de seguridad empleado.

En la práctica, los requisitos estadounidenses se reducen a cinco cosas que debes poder demostrar:

• Intención: el firmante quiso firmar, no solo abrir el archivo.
• Acuerdo para cerrar el trato por vía electrónica, que la UETA deduce del contexto y de la conducta.
• Atribución, es decir, prueba de quién actuó (enlace por correo, código de acceso, verificación de identidad).
• Asociación: la firma está unida a esa versión exacta del registro.
• Conservación, una copia que «refleje con exactitud» el registro y siga accesible a quien tenga derecho, según el § 7001(d).

Documentos que la ESIGN Act no cubre

Las exclusiones están en el § 7003. La ley no alcanza a los testamentos, codicilos y fideicomisos testamentarios, documentos de adopción y divorcio, gran parte del Uniform Commercial Code, órdenes y escritos judiciales ni a una lista corta de avisos: cortes de servicios básicos, ejecución hipotecaria o desalojo de la vivienda principal, cancelación de seguros médicos o de vida, retiradas de productos y papeles que acompañan materiales peligrosos. Para esos casos decide otra norma.

Siendo sinceros, el listón en Estados Unidos es bajo para un contrato comercial corriente. Donde tropiezan las empresas es con los consumidores, porque el papeleo previo a la firma pesa tanto como la firma.

Para el cumplimiento eIDAS, empieza por la frase que casi todas las guías se saltan. El artículo 25.1 del Reglamento (UE) n.º 910/2014 dice que no se puede negar efecto jurídico ni admisibilidad como prueba a una firma electrónica por el solo hecho de ser electrónica o de no ser cualificada. Una firma simple es válida. Solo prueba menos por sí sola.

eIDAS define tres niveles:

• Simple (SES): cualquier dato electrónico usado para firmar, desde un nombre escrito hasta un clic con rastro por correo.
• Avanzada (AES): el artículo 26 añade cuatro pruebas. Está vinculada de manera única al firmante, permite identificarlo, se crea con datos que el firmante puede mantener, con un alto nivel de confianza, bajo su control exclusivo, y está vinculada al documento de modo que cualquier cambio posterior sea detectable.
• Cualificada (QES), una firma avanzada creada con un dispositivo cualificado y un certificado cualificado. El artículo 25.2 le da en toda la UE el efecto de una firma manuscrita.

Lo que se entiende mal: eIDAS no dice qué nivel necesita un contrato. Lo deciden las normas nacionales de forma. En España, el artículo 3 de la Ley 6/2020 remite a la Ley de Enjuiciamiento Civil: si el documento usó un servicio de confianza no cualificado y se impugna, su autenticidad se acredita conforme al artículo 326.3; si el servicio fue cualificado, el artículo 326.4 presume que el documento reúne la característica cuestionada, siempre que el prestador figurara en la lista de confianza en ese momento.

México no tiene niveles al estilo eIDAS, pero el Código de Comercio hace una distinción parecida. El artículo 97 acepta cualquier firma electrónica apropiada para su fin y llama avanzada o fiable a la que cumple cuatro requisitos: datos de creación exclusivos del firmante y bajo su control exclusivo al firmar, y cualquier alteración posterior de la firma o del mensaje detectable. El artículo 96 impide excluir un método de firma por ser electrónico, y el 93 da por cumplida la forma escrita con un mensaje de datos íntegro y accesible, y la firma con uno atribuible a las partes. No la confundas con la e.firma ni con la Ley de Firma Electrónica Avanzada de 2012, que regulan la firma avanzada en los trámites con la administración pública federal.

Puedes comprobar un proveedor en la Lista de Confianza de la UE, y cuando un contrato necesita de verdad ese nivel, lee cómo funciona el nivel cualificado. La modificación de 2024, el Reglamento (UE) 2024/1183, mantuvo los efectos del artículo 25 y las cuatro pruebas de la firma avanzada. Trata sobre todo de la cartera de identidad digital, explicada en qué cambió con la modificación de 2024.

La NOM-151-SCFI-2016 es la norma oficial mexicana de la Secretaría de Economía sobre conservación de mensajes de datos y digitalización de documentos. Desarrolla el artículo 49 del Código de Comercio, que obliga a los comerciantes a guardar al menos diez años los mensajes de datos con contratos, íntegros, inalterados y accesibles. Para acreditarlo, un Prestador de Servicios de Certificación (PSC) acreditado emite una constancia: un sello digital de tiempo (RFC 3161) calculado sobre la huella digital del archivo, de modo que el PSC solo recibe la huella, nunca el documento. La constancia tiene una vigencia de al menos diez años. La firma identifica y vincula; la constancia prueba que el archivo existía en esa fecha y no cambió. En España no hay un equivalente exacto: el Código de Comercio pide guardar la documentación seis años (art. 30).

Todo flujo de firma recoge datos personales: nombres, correos y direcciones IP, datos del dispositivo, a veces un teléfono y, con verificación de identidad, el escaneo de un documento y un selfi. La protección de datos se aplica a todo eso, sea cual sea el nivel de firma. Para la firma electrónica, esta es la mitad que los auditores abren primero. En España rigen el RGPD y la Ley Orgánica 3/2018, con la AEPD como autoridad. En México rige desde 2025 la nueva LFPDPPP, y la autoridad es la Secretaría Anticorrupción y Buen Gobierno.

Cinco preguntas resuelven casi todo:

1. 1.
   ¿Quién es el responsable? Tu empresa, por los contratos que envías. El proveedor suele ser tu encargado: el artículo 28 del RGPD exige un contrato sobre instrucciones, confidencialidad, seguridad, supresión y auditorías, y la ley mexicana prevé la misma figura.
2. 2.
   ¿Cuál es la base jurídica? Normalmente la ejecución de un contrato (artículo 6.1.b) para los firmantes y la obligación legal (6.1.c) para guardar el documento firmado. En México no hace falta consentimiento cuando los datos se requieren para cumplir obligaciones de una relación jurídica (art. 9, fracción IV), pero sí el aviso de privacidad (arts. 14 y 15).
3. 3.
   ¿Recoges más de lo necesario? La minimización es la razón de que una verificación de identidad se reserve para los tratos que la justifican y no se pida en cada NDA.
4. 4.
   ¿Cuánto tiempo los conservas? La limitación del plazo tira hacia un lado y los plazos legales hacia el otro: seis años en España (Código de Comercio, art. 30) y diez en México (art. 49). El artículo 17.3 del RGPD permite negar la supresión cuando una ley exige conservar o una reclamación lo necesita.
5. 5.
   ¿A dónde van los datos? Las transferencias fuera de la UE necesitan una base del capítulo V, como una decisión de adecuación o cláusulas contractuales tipo. En México, al transferir a un tercero hay que comunicarle el aviso de privacidad y sus finalidades (art. 35).

El artículo 32 del RGPD pide seguridad «adecuada al riesgo». Es deliberadamente flexible, por eso los compradores piden un certificado ISO 27001 como atajo.

La firma respaldada por blockchain plantea una pregunta incómoda: ¿cómo atender una solicitud de supresión en un registro que nadie puede editar? El Comité Europeo de Protección de Datos (CEPD) la responde en sus directrices sobre blockchain, cuya versión final se adoptó el 7 de julio de 2026. En general, dice, los datos personales no deberían ir en una cadena y nunca en el contenido de las transacciones. Si algo debe ir, tiene que servir como prueba de existencia (un puntero, un compromiso o un hash con clave), con los datos necesarios para comprobarla fuera de la cadena.

Dos detalles pesan más que el titular. El CEPD trata el hash de un dato personal como dato personal, y dice que un hash sin sal ni clave no basta, en general, como protección en una cadena pública. «Solo guardamos hashes» no es, por sí solo, una respuesta de protección de datos. Pregunta a tu proveedor qué escribe exactamente en la cadena y si podría vincularse a una persona, y deja la respuesta en tu evaluación de impacto.

Aun así, una huella en un registro público es un asiento que ni tú ni el proveedor pueden reescribir a escondidas. Documentar esa contrapartida forma parte del cumplimiento de la firma electrónica.

Si fabricas medicamentos, productos sanitarios o biológicos, o realizas ensayos clínicos bajo supervisión de la FDA, hay una capa que el derecho ordinario de la firma electrónica no conoce. La Part 11 cubre los registros y firmas electrónicos que las normas de la FDA te obligan a conservar o presentar. Es la forma más estricta de cumplimiento de la firma electrónica que encontrarán la mayoría de las empresas.

Los requisitos de la 21 CFR Part 11 en los que más tropiezan los equipos:

• Manifestación de la firma (§ 11.50). El registro firmado muestra el nombre impreso del firmante, la fecha y la hora, y el significado: revisión, aprobación, responsabilidad o autoría.
• Vinculación (§ 11.70). Las firmas están unidas a sus registros de modo que no puedan quitarse, copiarse ni trasladarse para falsificar otro registro por medios ordinarios.
• Cada firma es única de una persona, nunca se reasigna y solo se emite después de que la organización verifique su identidad (§ 11.100).
• Una carta única a la FDA, con firma manuscrita, que certifique que las firmas electrónicas de tu personal son vinculantes. Es una carta, no un ajuste, y por eso se olvida.
• Dos componentes de identificación distintos, como un código de usuario y una contraseña, para firmas no biométricas (§ 11.200).
• Pistas de auditoría seguras, generadas por ordenador y con sello de tiempo, que nunca oculten entradas anteriores (§ 11.10(e)), además de validación, límites de acceso y políticas escritas de responsabilidad.

Vuelve a leer la lista y fíjate en cuánto describe tu sistema y tus procedimientos. En la UE, el Anexo 11 de las Normas de Correcta Fabricación sobre sistemas informatizados plantea preguntas parecidas sobre validación, pistas de auditoría y firmas electrónicas. Para la parte de registros, mira qué registra una pista de auditoría de firma.

El NIST aparece tanto en los cuestionarios de seguridad que la gente lo da por obligatorio. Para la mayoría de las empresas privadas no lo es. La SP 800-63-4, finalizada en julio de 2025, se aplica a los sistemas federales de EE. UU., y los demás pueden tomarla como guía. Su valor está en el vocabulario: niveles de garantía de identidad (IAL), de autenticación (AAL) y de federación (FAL). Un cliente que pide «AAL2» habla de autenticación multifactor. La FIPS 186-5, de febrero de 2023, es el Digital Signature Standard de la criptografía en sí.

En España, el Esquema Nacional de Seguridad (Real Decreto 311/2022) sí es obligatorio para el sector público y también alcanza a las empresas que le prestan servicios (art. 2).

Repásala antes de que un tipo de contrato entre en producción, no después de una disputa. Cada fila es un requisito de una de las leyes anteriores, lo que suele cumplirlo y la prueba que entregarías a un auditor. Salta las filas que no apliquen. Si no puedes llenar la última columna, esa es tu brecha. Para los plazos, mira la tabla de retención documental.

Ninguna herramienta de cumplimiento de la firma electrónica te hace cumplir. Te da controles y pruebas. Tú decides qué documentos pasan por ella, con qué nivel, con qué consentimiento y durante cuánto tiempo los conservas. Escribe ese reparto antes de firmar un contrato con un proveedor, porque ahí es donde las auditorías encuentran los huecos.

Los proveedores se diferencian sobre todo en certificaciones y extras para sectores regulados, y DocuSign va por delante de la mayoría. Su centro de confianza enumera ISO 27001:2022, informes SOC 1 y SOC 2 Type 2, y el cumplimiento de 21 CFR Part 11 y del Anexo 11 de la UE. Su filial Docusign France SAS figura como prestador cualificado de servicios de confianza en la lista de confianza de la ANSSI francesa (ambos leídos el 14 de octubre de 2026). Si compras pregunta si DocuSign cubre eIDAS o la Part 11, esas páginas lo responden. La columna de la derecha de abajo sigue siendo tuya, elijas el proveedor que elijas.

Esto es lo que te da Chaindoc y dónde se acaba.

Las firmas estándar de Chaindoc son firmas electrónicas avanzadas PAdES-BES en el sentido de eIDAS, y la ESIGN Act y la UETA las aceptan como cualquier firma electrónica que supere las pruebas anteriores. Para una firma cualificada, el firmante aporta un certificado de un prestador cualificado de servicios de confianza (una identidad electrónica nacional o un proveedor compatible con CSC) y Chaindoc conduce la sesión de firma; nosotros no somos prestador de servicios de confianza. PAdES-BES no lleva sello de tiempo, así que la validación a largo plazo no viene incorporada. Guarda la pista de auditoría y el informe de verificación junto con el archivo.

Chaindoc tampoco es un PSC y no emite constancias NOM-151. Su registro en blockchain es evidencia propia de integridad, no una constancia. Si en México necesitas la NOM-151, pide la constancia a un PSC acreditado ante la Secretaría de Economía.

Cada documento terminado trae una pista de auditoría en PDF y un informe de verificación. El servidor calcula la huella de un archivo al subirlo, la huella de cada versión publicada se escribe en una blockchain pública, y la prueba de cada firmante se registra cuando termina. Los nombres y correos no van a la cadena. Los archivos viajan por TLS y las claves privadas de firma se cifran con AES-256, pero los documentos no tienen cifrado de extremo a extremo: el servidor los lee para analizarlos, convertirlos y firmarlos.

Nuestro aviso de privacidad nombra a Chaindoc como tu encargado para los documentos subidos, las firmas y las pistas de auditoría, con datos tratados en la UE, en EE. UU. o donde operen los subencargados. Chaindoc tiene los certificados ISO 27001 e ISO 9001. Añades verificaciones de identidad trato por trato con las verificaciones de identidad opcionales, y un orden de firma fijo se logra con rutas de aprobación en el plan Business. Compara los planes antes de decidir.

Eso cubre la mitad de pruebas del cumplimiento con la NOM 151 y el RGPD. La columna de la derecha de arriba sigue siendo tuya.