La ley dice que una firma electrónica tiene los mismos efectos que la manuscrita. El reglamento dice cómo se logra eso en la práctica: qué debe cumplir una entidad para emitir certificados, qué información debe contener cada certificado, cuándo se suspende o se extingue, y qué obligaciones tienen tanto el emisor como el titular. Para un área de cumplimiento, el reglamento suele ser más útil que la ley, porque es donde está el detalle operativo.
Este artículo resume lo que una empresa debería conocer del marco reglamentario vigente, sin citar disposiciones puntuales, y traduce cada bloque en verificaciones concretas. Como toda norma, su texto puede actualizarse: antes de tomar una decisión con consecuencias, confirma la versión vigente en la fuente oficial o con tu asesoría legal.
El reparto de roles
El marco reglamentario ordena a cuatro actores, y entender quién responde por qué evita discusiones inútiles:
| Actor | Rol |
|---|---|
| Organismo de control | ARCOTEL acredita, supervisa y sanciona a las entidades de certificación |
| Entidad de Certificación de Información | Verifica la identidad del solicitante, emite el certificado y responde por su gestión |
| Titular del certificado | Persona natural identificada en el certificado, responsable de su custodia y uso |
| Tercero que recibe el documento | Verifica la firma y el estado del certificado antes de darlo por bueno |
El cuarto rol es el que más se olvida. Recibir un documento firmado y archivarlo sin validar la firma es asumir un riesgo evitable: la validación es rápida, deja constancia y es lo primero que se pregunta cuando algo se discute.
Acreditación: qué significa y por qué mirarla
Una entidad acreditada acreditó ante el organismo de control su solvencia técnica, sus procedimientos de verificación de identidad, sus medidas de seguridad y su régimen de responsabilidad. Ese respaldo es lo que da peso al certificado ante un tercero.
Para la empresa la verificación es sencilla y conviene dejarla documentada en el expediente del proveedor: confirmar que la entidad está acreditada y vigente, y que el certificado que recibes fue emitido por ella. Ese es el primer punto del checklist para elegir proveedor de firma electrónica.
Contenido y ciclo de vida del certificado
El marco reglamentario define qué información debe llevar un certificado —identificación del titular, datos de la entidad emisora, período de vigencia, y los elementos técnicos que permiten verificar la firma— y regula su ciclo de vida. Para una empresa, ese ciclo se resume en cuatro estados:
- Vigente. Se puede firmar y las firmas se validan sin observaciones.
- Suspendido. Estado temporal, generalmente a pedido del titular o por una verificación en curso. Mientras dura, no se debe firmar.
- Revocado. Extinción anticipada, por pérdida de control de la clave, por datos que dejaron de ser exactos o por decisión del titular. Es irreversible.
- Vencido. Terminó el período de vigencia. Lo firmado antes conserva su valor; de ahí en adelante hay que renovar.
La confusión entre "revocado" y "vencido" causa problemas reales al validar documentos antiguos. El detalle de cómo se comprueba cada estado está en cómo verificar un certificado caducado, y la planificación de renovaciones en renovación corporativa y vigencia.
Obligaciones de la entidad emisora
Interesan a la empresa porque son derechos exigibles como cliente. Entre las principales: verificar la identidad del solicitante antes de emitir, informar con claridad las condiciones de uso y las limitaciones de responsabilidad, mantener un mecanismo de consulta del estado de los certificados, atender las solicitudes de revocación de forma oportuna y conservar la información asociada a los certificados emitidos.
Ese último punto tiene una consecuencia práctica poco conocida: si dentro de varios años hay que demostrar que un certificado estaba vigente cuando se firmó un documento, la entidad emisora es una fuente de respaldo. Por eso conviene preguntar, antes de contratar, qué información conserva y por cuánto tiempo.
Obligaciones del titular, con nombre y apellido
En una empresa, "el titular" no es la compañía: es una persona. Sus deberes se resumen en tres, y los tres deben estar escritos en la política interna:
- Entregar información exacta y mantenerla actualizada. Un cambio de representante legal, por ejemplo, afecta la exactitud de los datos del certificado.
- Mantener el control exclusivo de la clave. Compartir el token o la contraseña con un tercero, aunque sea de confianza, contradice el requisito central de la firma.
- Solicitar la revocación sin demora cuando la clave se pierda, se comprometa o los datos dejen de ser exactos.
Cuando el titular es el representante legal, los requisitos concretos de emisión y de actualización están en requisitos de la firma electrónica para el representante legal.
Formatos y control: qué habilita cada uno
El marco no impone un soporte único. Lo que exige es que el titular mantenga el control exclusivo de los datos de creación de la firma, y ese requisito se puede cumplir de distintas maneras:
| Formato | Cómo se sostiene el control exclusivo |
|---|---|
| Archivo .p12 | Custodia del archivo y de su contraseña por parte del titular |
| Token USB | Posesión física del dispositivo más el PIN |
| Firma en la nube | Autenticación del titular ante el servicio, con la clave protegida por el proveedor |
La elección no es solo técnica: define qué tan sólido es el argumento de control exclusivo y qué tan fácil es la operación diaria. La comparación completa está en firma en la nube frente a archivo .p12 y token.
Cómo se conecta con el resto del marco
El reglamento no vive solo. Tres normas conviven con él y afectan el mismo circuito documental: la ley que le da origen, resumida en la Ley 67 explicada para empresas; la normativa de protección de datos personales, que regula qué haces con la información contenida en los documentos firmados; y la normativa procesal, que determina cómo se presenta y valora ese documento ante un juez, tema desarrollado en el valor probatorio de un documento firmado en juicio.
Para conocer valores de certificados corporativos según la cantidad de titulares que necesitas habilitar, revisa la página de precios o pide una cotización corporativa.
En el ámbito tributario, la emisión de comprobantes electrónicos aplica este mismo marco a diario. El grupo también desarrolla Azur, un sistema de facturación electrónica autorizado por el SRI que trabaja con el certificado de la compañía. Puedes crear tu cuenta en azur.com.ec/registro.
Trazabilidad de las gestiones con la entidad emisora
El grupo también desarrolla Omnifox, una plataforma omnicanal que reúne WhatsApp, correo, redes sociales y llamadas en una bandeja compartida. Para el cumplimiento sirve en un punto concreto: las solicitudes de revocación, los avisos de vencimiento y las gestiones con el proveedor quedan registradas en un hilo consultable, con fecha y responsable, en vez de dispersas en correos personales. Más información en omnifox.io.
Preguntas frecuentes
¿El reglamento exige un formato específico de firma?
No impone un soporte único: lo que exige es que el titular mantenga el control exclusivo de los datos de creación de la firma. Archivo .p12, token USB y firma en la nube pueden cumplir ese requisito, con distintas ventajas operativas. Los requisitos técnicos particulares de cada destinatario —portales del Estado, SRI, contrapartes— hay que confirmarlos con cada uno.
¿Quién puede pedir la revocación de un certificado?
Principalmente su titular, y la entidad emisora en los casos previstos, por ejemplo cuando los datos dejaron de ser exactos. En una empresa conviene tener definido de antemano quién gestiona la solicitud cuando el titular no está disponible, para no perder tiempo en una situación urgente.
¿Qué pasa si un empleado con certificado deja la empresa?
El certificado es personal y sigue siendo suyo, pero deja de representar a la compañía. Lo que corresponde es retirarlo de la matriz de firmantes autorizados, revocar sus accesos a los sistemas que firman y, si el certificado se emitió vinculado a un cargo, gestionar la actualización o revocación con la entidad emisora.
¿Es obligatorio validar las firmas de los documentos que recibo?
No siempre es una obligación formal, pero es una práctica que conviene adoptar. Validar toma segundos, permite detectar certificados revocados o documentos alterados y deja constancia de una revisión diligente. Muchas empresas lo incorporan como control de recepción documental.
¿Dónde consulto el texto vigente de la normativa?
En las fuentes oficiales del Estado y con tu asesoría legal. Las normas se actualizan y las versiones que circulan en internet no siempre están al día; para decisiones con consecuencias, trabaja siempre sobre el texto oficial vigente.
Si tu empresa necesita certificados emitidos por una entidad acreditada y con soporte corporativo, conversa con un asesor de Firmas.com.ec. Solicita tu cotización corporativa.