Sello electrónico según eIDAS: qué es y cuándo lo necesita tu empresa

Un sello electrónico es la contraparte organizativa de la firma: prueba que un documento salió de una empresa u organismo concretos y que nadie lo ha alterado desde entonces. El Reglamento (UE) 910/2014, más conocido como eIDAS, lo define como datos en formato electrónico anejos a otros datos electrónicos, o asociados de manera lógica con ellos, para garantizar el origen y la integridad de estos últimos. El artículo 3.24 lleva la parte que más pesa: el creador de un sello es una persona jurídica. No un ser humano. Una empresa, una asociación, un ministerio.

Esa sola distinción arrastra todo lo demás que hay en esta página.

El nombre no ayuda nada, sinceramente. Un sello electrónico no se parece al lacre ni a un tampón de caucho, y desde luego no es una imagen del logotipo de tu empresa colocada encima de un PDF. Por debajo funciona con la misma criptografía que una firma digital: una clave privada, un certificado que vincula esa clave a una identidad y un hash del documento que se rompe si cambia un solo byte. Lo que cambia es de quién es la identidad que hay en el certificado, y qué pretende afirmar el acto.

Una firma dice que una persona estuvo de acuerdo con algo. Un sello dice que una organización emitió algo. Puedes poner los dos en el mismo archivo, y bastantes circuitos regulados lo hacen: un responsable de cumplimiento firma un informe y después la empresa lo sella antes de que salga.

Pregúntale a un equipo de cumplimiento dónde encajan los sellos y lo normal es que se encoja de hombros, porque la mayoría de los proveedores de firma electrónica no los mencionan nunca. Este es el reparto práctico.

Una firma lleva voluntad. Alguien leyó aquello y aceptó quedar vinculado, y a la ley le importa ese consentimiento. Un sello lleva procedencia. Dice que este archivo salió de nuestros sistemas en este estado exacto, y no dice absolutamente nada sobre que nadie haya aceptado nada.

Por eso los certificados tienen distinta pinta. Un certificado de firma nombra a una persona, con su nombre y sus apellidos y a menudo un identificador nacional. Un certificado de sello electrónico nombra a una entidad: denominación social, país y un identificador de organización, como el CIF o el número del registro mercantil. En el campo del sujeto no hay ningún humano, y eso es el objetivo, no un descuido.

Aquí es donde la distinción se vuelve incómoda en España. El certificado de representante de persona jurídica, ese que tienes instalado para presentar impuestos, no es un sello: en su sujeto figura una persona física que actúa en nombre de la entidad. Es una firma. Muchas empresas descubren esto el día en que alguien les pide un sello de verdad y les tocan meses de trámite que creían resueltos.

Donde la diferencia se vuelve útil es en el volumen. Ninguna persona puede firmar de forma significativa cuarenta mil nóminas, y fingir lo contrario construye una ficción que se cae en cuanto alguien la examina. Un sello resuelve eso con honestidad. La organización emitió estos documentos, la organización responde de ellos y no se está atribuyendo la voluntad personal de nadie.

Hay otra diferencia que pilla a los equipos. Un sello sobrevive a la rotación de plantilla. Cuando quien tiene el certificado de firma se va, el certificado se va con él y cada documento futuro necesita otro firmante. Un sello de organización sigue funcionando, porque la identidad que certifica es la empresa.

Si lo que estás sopesando es qué nivel de firma necesita un contrato, esa es otra pregunta con su propia respuesta. Nuestra guía de la firma electrónica cualificada recorre la escalera SES, AdES y QES con detalle, y esta página no la va a repetir. Los sellos suben una escalera paralela con el mismo vocabulario.

Los sellos vienen en los mismos grados que las firmas, y las palabras significan lo mismo.

Un sello electrónico avanzado tiene que cumplir cuatro condiciones del artículo 36. Está vinculado de manera única a la organización que lo creó, permite identificarla, se crea con datos de creación del sello que la organización mantiene bajo su control con un alto nivel de confianza, y está unido a los datos de forma que cualquier cambio posterior salga a la luz.

Un sello electrónico cualificado es un sello avanzado más dos cosas: la clave privada vive en un dispositivo cualificado de creación de sellos, y el certificado es un certificado cualificado de sello electrónico emitido por un prestador cualificado que figura en la lista de confianza de la UE. Misma arquitectura que una QES, distinto sujeto en el certificado.

Lo que compras con el grado cualificado es el artículo 35.2, y ese sí recompensa la lectura lenta. Un sello electrónico cualificado disfruta de la presunción de integridad de los datos y de corrección del origen de esos datos. Una presunción cambia quién tiene que demostrar qué. Con un sello avanzado, si la otra parte alega que tu factura fue alterada, eres tú quien reúne pruebas de que no. Con un sello cualificado, las reúne quien lo alega. En una disputa que se alarga meses, esa inversión es el producto entero.

Dos cláusulas más lo redondean. El artículo 35.1 impide que nadie descarte un sello solo por ser electrónico o por no ser cualificado, así que un sello avanzado sigue siendo prueba real. Y el artículo 35.3 hace que un sello cualificado emitido en un Estado miembro se reconozca automáticamente en todos los demás, sin acuerdo bilateral de por medio.

La mayoría de las empresas no necesitan ninguno, y merece la pena decirlo claro antes de que el resto de esta sección te convenza de lo contrario.

Si tu flujo documental son contratos que salen a aprobación humana, con las firmas vas servido y el sello añade coste sin añadir gran cosa. Los sellos se ganan su sitio en cuatro situaciones. Mira si alguna te describe.

Documentos que nadie firma. Certificados, expedientes académicos, extractos de cuenta, pólizas, nóminas, notas registrales. Una organización emite todo eso apoyándose en sus propios registros, no porque un humano con nombre haya aceptado nada. El sello es la forma honesta de responder de ellos.

Producción a volumen. En cuanto generas miles de documentos al mes desde un sistema y no desde un escritorio, los certificados personales dejan de tener sentido operativo. Los sellos se diseñaron exactamente para esta forma del problema.

El trabajo con el sector público es el tercer caso, y es el que tiene la ley más clara detrás. El artículo 37 de eIDAS cubre los sellos en servicios públicos, y varios Estados miembros construyeron encima un régimen nacional explícito. España es el ejemplo más nítido: la Ley 40/2015 recoge el sello electrónico entre los sistemas de identificación de las administraciones públicas y como sistema de firma en la actuación administrativa automatizada, esa en la que la resolución la produce un sistema sin que la toque ningún funcionario. No hay persona que firme, así que sella la entidad. En la práctica lo verás llamado sello de órgano, y muchas veces acompañado de un código seguro de verificación impreso en el documento para poder recuperar el original en la sede electrónica.

El cuarto caso es el archivo. Si un documento tiene que seguir siendo demostrable durante una década, quien lo selló habrá cambiado de trabajo mucho antes. La identidad de la entidad envejece mejor que la identidad personal.

Fíjate en lo que no está en esa lista: los contratos B2B corrientes. Esos quieren firmas.

La facturación sale en casi toda conversación sobre sellos, normalmente con un malentendido pegado.

El artículo 233 de la Directiva del IVA te exige garantizar la autenticidad del origen y la integridad del contenido de una factura, desde que se emite hasta que termina su periodo de conservación. Cómo lo hagas es cosa tuya. La directiva menciona la firma electrónica avanzada y el EDI como ejemplos, y pone en el mismo plano los controles de gestión que creen una pista de auditoría fiable. Así que no, la normativa europea no te obliga a sellar tus facturas. Un montón de empresas cumplen sin haberlo hecho nunca.

Lo que te compra un sello es una discusión más corta. Los controles de gestión son perfectamente defendibles, pero son un proceso que tienes que describir y evidenciar durante una inspección. Un sello cualificado es una propiedad del archivo que un inspector comprueba en unos diez segundos, y encima arrastra consigo la presunción del artículo 35.2.

La práctica nacional varía más de lo que la directiva sugiere. En España, la Facturae que entra por FACe hacia un organismo público tiene que ir firmada con certificado cualificado, y en la mayoría de los emisores lo que se aplica ahí es un sello de empresa y no la firma personal de nadie de administración. Italia lleva años esperando firma o sello cualificados en determinados flujos de factura. Alemania, en cambio, no los exige en su despliegue de factura electrónica B2B. Consulta el país, no el continente.

El calendario se mueve, eso sí. Con el paquete del IVA en la Era Digital, la factura electrónica conforme a la norma EN 16931 pasa a ser obligatoria en las operaciones intracomunitarias desde el 1 de julio de 2030. Esa norma es XML estructurado, lo que sitúa el formato de sello relevante en territorio XAdES y no PAdES. Si estás planificando tan lejos, la verificación XAdES es la comprobación que vas a acabar ejecutando.

Sellar es un servicio de confianza que se contrata, no un software que se instala. La secuencia va más o menos así.

1. 1
   Elige un prestador de la lista de confianza. Para un sello cualificado tiene que ser un QTSP presente en la lista de confianza de la UE. Cualquier otro puede emitirte un certificado, y puede estar técnicamente bien hecho, pero no será cualificado y no le aplicará la presunción del artículo 35.2.
2. 2
   Demuestra que la organización existe y que puedes actuar por ella. Aquí es donde la emisión de un sello se separa de verdad de la de un certificado personal. El prestador verifica la entidad contra un registro mercantil y después verifica, por separado, que quien pide el certificado tiene poder para obligar a esa entidad. Cuenta con escrituras, notas registrales y prueba del poder de representación, y con bastante más tiempo de calendario del que te llevaría un certificado personal.
3. 3
   Decide dónde vive la clave privada. O en hardware que operas tú, es decir un HSM certificado como dispositivo cualificado de creación de sellos, o en un dispositivo remoto que opera el prestador. Lo remoto es lo que elige casi todo el mundo, porque el sellado suele ocurrir dentro de un proceso automatizado a las tres de la mañana y no en la mesa de nadie.
4. 4
   Enchúfalo a lo que genera los documentos. Los prestadores exponen el sellado por API para que tu sistema de facturación o tu gestor documental lo llame archivo a archivo, lo que convierte esto en una tarea de integración y no en un procedimiento de oficina.

El precio funciona distinto que en los certificados personales. Los certificados de sello se venden normalmente por organización con alguna franquicia de volumen asociada, así que el coste escala con cuánto sellas y no con cuánta plantilla tienes. Cada prestador pone sus tarifas y las cambia, así que pide presupuesto a un par de QTSP en lugar de presupuestar sobre una cifra que leíste en algún sitio.

Aquí viene la parte que sorprende: no existe un procedimiento aparte para los sellos. El artículo 40 dice que los artículos 32, 33 y 34 se aplican mutatis mutandis a la validación y conservación de los sellos electrónicos cualificados. En cristiano, la ley apunta a las reglas de validación de la firma cualificada y dice: haz eso. El procedimiento técnico de debajo es ETSI EN 319 102-1, el mismo que implementa cualquier validador serio para las firmas.

Así que un informe de validación sobre un archivo sellado responde a las mismas preguntas:

• ¿Sigue cuadrando el hash criptográfico con los bytes que tienes delante, o el documento cambió después del sellado?
• ¿Llega la cadena de certificados a una raíz que el validador reconozca?
• ¿Estaba vivo el certificado en el momento de sellar, y no solamente vigente hoy? Eso lo zanjan los datos de revocación por OCSP o por CRL.
• ¿Hay un sello de tiempo de confianza, y concuerda con la hora de sellado declarada?
• ¿Es el emisor un QTSP de la lista de confianza de la UE, y se emitió el certificado como certificado cualificado de sello?

Esa última comprobación separa un sello válido de un sello cualificado, y los dos veredictos no son intercambiables. Un sello de una autoridad de certificación comercial solventísima que no esté en la lista validará limpiamente y aun así no será cualificado.

El tipo de archivo decide a qué herramienta acudes, no el hecho de que sea un sello. Un PDF sellado es un archivo PAdES, así que pasa por la verificación de firma PDF. Las facturas estructuradas y las presentaciones ante la administración suelen ser XAdES. Los .p7m italianos son CAdES, y los contenedores .asice son ASiC. La validación de firmas de Chaindoc cubre los cuatro formatos y contrasta los certificados del firmante con la lista de confianza de la UE. ¿Validar a volumen en lugar de archivo a archivo? Para eso está la API.

Un aviso práctico sobre los sellos que pienses conservar. Un sello de nivel B no lleva sello de tiempo, así que años después nada prueba cuándo se aplicó, y un certificado caducado se convierte en un problema de verdad en vez de en una anécdota. Todo lo que vaya camino de un archivo debería sellarse en LT o en LTA, donde los datos de validación viajan dentro del propio archivo.

Con un informe de validación abierto delante, distinguir un sello de una firma te lleva unos cinco segundos si sabes dónde mirar.

Un certificado de sello electrónico nombra a una entidad, no a una persona

Un certificado de firma lleva nombre y apellidos, muchas veces junto a un identificador personal nacional. Un certificado de sello no lleva nada de eso. Lo que encuentras en su lugar es la denominación social de la organización, su país y un identificador de organización.

El identificador de organización tiene estructura

Ese identificador no es un campo de texto libre. ETSI EN 319 412-1 define un prefijo semántico de tres letras, después el código de país y después el valor registrado. Tres aparecen constantemente en la práctica: VAT para un número de IVA, NTR para una inscripción en el registro mercantil nacional y LEI para un Legal Entity Identifier. El certificado de sello de una empresa española lleva por tanto el CIF en la forma VATES- seguido del número, mientras que una entrada registral neerlandesa se lee NTRNL- y a continuación el número de la cámara de comercio.

Contrasta ese valor con la entidad que esperas que haya emitido el documento. Un sello criptográficamente impecable de la empresa equivocada sigue siendo la empresa equivocada.

Un sello y una firma pueden convivir

Nada impide que un documento lleve los dos, y en los flujos regulados es habitual: un cargo con nombre firma y después el organismo emisor sella el archivo terminado. Un informe de validación los lista por separado, cada uno con su certificado y su veredicto, así que lee todas las entradas y no el titular. Dos entradas válidas significan que se están haciendo dos afirmaciones distintas, una sobre el acuerdo de una persona y otra sobre la emisión de una organización.

Los patrones de fallo se repiten, y casi ninguno es técnico.

Sellar cosas que necesitaban una firma

El caro. Un sello prueba que tu organización emitió un documento. No dice nada sobre que alguien haya consentido sus términos. Si un supervisor o un juez necesita prueba de que una persona concreta estuvo de acuerdo, el sello no se la va a dar, y eso se descubre en el peor momento posible.

Comprar cualificado cuando bastaba con avanzado

Lo cualificado cuesta más y tarda más en montarse, y la presunción del artículo 35.2 solo se gana el sueldo donde los documentos se discuten de verdad. Los registros internos y la emisión de bajo riesgo rara vez lo justifican. Los sellos avanzados siguen siendo prueba real por el artículo 35.1.

Hay dos errores menores que también merecen nombre. Los equipos sellan en nivel B, archivan el resultado y años después descubren que nada prueba cuándo se aplicó el sello. Y las organizaciones tratan el certificado de sello como infraestructura corriente, dejando su clave privada al alcance de cualquiera con acceso a producción, lo que deshace en silencio el sentido de un dispositivo que el reglamento exige que siga bajo control de la entidad.

Si te llevas una sola cosa, que sea esta: haz coincidir el instrumento con la afirmación. Un sello electrónico es una herramienta estrecha que hace bien un solo trabajo, probar que tu organización emitió este archivo exacto y sin alterar. Firma aquello a lo que una persona consiente, sella lo que tu organización emite y verifica los dos antes de fiarte de ninguno. ¿Tienes ahora mismo un archivo sellado delante? Pásalo por el validador y lee el informe detallado en lugar del veredicto del titular.