¿Qué es una Entidad de Certificación y por qué determina la validez de tu firma?
En República Dominicana, una firma electrónica no es válida solo porque exista un certificado. Es válida porque detrás de ese certificado hay una institución autorizada, auditada y vigilada que respalda la identidad del firmante. Esa institución es la Entidad de Certificación, y entender su rol es clave para cualquier empresa que quiera operar legalmente con documentos electrónicos.
Este artículo explica qué hace una Entidad de Certificación, qué responsabilidades asume frente a tu organización y por qué elegir la correcta no es un detalle técnico, sino una decisión de cumplimiento.
¿Qué es una Entidad de Certificación?
La Ley No. 126-02 sobre Comercio Electrónico, Documentos y Firmas Digitales, en su Artículo 2 literal k), define a la Entidad de Certificación como aquella institución o persona jurídica que, autorizada conforme a la ley y a las normas dictadas por el INDOTEL, está facultada para:
- Emitir certificados digitales en relación con las firmas digitales de las personas.
- Ofrecer o facilitar los servicios de registro y estampado cronológico de la transmisión y recepción de mensajes de datos.
- Cumplir otras funciones relativas a las comunicaciones basadas en firmas digitales.
Una Entidad de Certificación, conocida internacionalmente por sus siglas en inglés como CA (Certificate Authority), es la institución que verifica que la persona detrás de una firma digital es realmente quien dice ser. Sin esa verificación, no hay equivalencia funcional con la firma manuscrita, y por tanto no hay validez legal plena.
El marco regulatorio: INDOTEL como autoridad de control
En República Dominicana, ninguna empresa puede operar como Entidad de Certificación por cuenta propia. El Instituto Dominicano de las Telecomunicaciones (INDOTEL), conforme al Artículo 56 de la Ley 126-02, ejerce la función de vigilancia y control sobre las Entidades de Certificación. Esto significa que el INDOTEL:
- Autoriza la operación de cada Entidad de Certificación en el territorio nacional.
- Audita su cumplimiento técnico, financiero y de seguridad.
- Revoca autorizaciones cuando una Entidad de Certificación deja de cumplir los requisitos.
El marco regulatorio principal se compone de la Ley 126-02 y el Decreto No. 335-03 (Reglamento de Aplicación), junto con las normas complementarias dictadas por el INDOTEL. Toda Entidad de Certificación que opere en el país debe cumplir de manera rigurosa con esta normativa.
Aunque las distintas modalidades de firma pueden ser admitidas y valoradas ante la justicia según las circunstancias del caso, contar con un certificado emitido por una entidad autorizada por INDOTEL otorga la plena equivalencia funcional a la firma manuscrita otorgada por la ley. Es una distinción relevante al evaluar los riesgos legales de cada documento.
Cuatro funciones esenciales de una Entidad de Certificación
Más allá de la definición legal, una Entidad de Certificación cumple cuatro funciones que sostienen toda la cadena de confianza:
1. Verificación de identidad
Antes de emitir un certificado, la Entidad de Certificación debe verificar de forma fehaciente la identidad del solicitante. Este proceso puede delegarse parcialmente en Unidades de Registro, pero la responsabilidad final recae sobre la entidad. Es el momento más crítico: un error aquí compromete toda la validez posterior.
2. Emisión y administración de certificados
La Entidad de Certificación emite el certificado digital vinculando la identidad verificada con un par de claves criptográficas. Pero la emisión no termina su trabajo: debe administrar todo el ciclo de vida del certificado, incluyendo renovaciones, suspensiones y revocaciones.
3. Estampado cronológico (timestamping)
Cada documento firmado debe poder asociarse a un momento exacto e irrefutable. La Entidad de Certificación ofrece servicios de estampado cronológico que dan fecha cierta a la transacción, un requisito esencial para procesos fiscales, contractuales y judiciales.
4. Mantenimiento de un registro auditable
La Entidad de Certificación mantiene registros completos de todas las operaciones, accesibles para auditoría del INDOTEL y, en su caso, de las partes interesadas en una disputa legal.
Servicios que una Entidad de Certificación autorizada puede prestar
Según los artículos 35, 36 y 56 de la Ley 126-02, las Entidades de Certificación autorizadas por INDOTEL pueden ofrecer:
|
Servicio |
Descripción |
|
Emisión y conservación de certificados |
Todo el ciclo de vida del certificado digital |
|
Estampado cronológico de mensajes de datos |
Fecha cierta a transmisiones y recepciones |
|
Estampado cronológico de documentos digitales |
Fecha cierta al documento firmado |
|
Almacenamiento seguro de documentos digitales |
Conservación con integridad verificable |
|
Servicios de Unidades de Registro |
Verificación de identidad y trámites asociados |
|
Certificación de documentos digitales firmados |
Validación de firmas para terceros |
Si tu organización utiliza firmas digitales en contratos, procesos fiscales, expedientes electrónicos u otros documentos con efectos jurídicos, identificar quién respalda los certificados utilizados es una parte fundamental de la evaluación de cumplimiento.
Lo que debes comprobar antes de elegir una Entidad de Certificación
Antes de contratar a una Entidad de Certificación, vale la pena saber qué se le exige. Según el Reglamento de Aplicación, una Entidad de Certificación debe:
- Contar con autorización vigente del INDOTEL.
- Tener un seguro de responsabilidad civil apropiado (Artículo 16 del Reglamento).
- Demostrar capacidad tecnológica, económica y de comunicaciones suficiente.
- Mantener una Manifestación de Prácticas de Certificación pública y actualizada.
Pedirle a tu proveedor evidencia de estos puntos no es desconfianza: es debida diligencia.
Por qué este tema es crucial para la operación de tu negocio
Si tu organización firma contratos, gestiona expedientes médicos o emite documentos notariales en formato digital, la validez legal y el nivel de respaldo de cada uno de esos actos depende de la Entidad de Certificación que esté detrás. No del software de firma. No del proveedor que vende el flujo. De la Entidad de Certificación autorizada por INDOTEL.
Esto se traduce en tres preguntas concretas que toda empresa debería poder responder:
- ¿Quién es la Entidad de Certificación que respalda nuestras firmas?
- ¿Está autorizada por INDOTEL en este momento?
- ¿Quién monitorea el vencimiento de nuestros certificados activos?
Esta última es la que más problemas genera en la práctica. Un certificado vencido no firma, y un proceso paralizado por un certificado caducado puede detener una facturación, una contratación o un cierre de mes completo. Para evitarlo, lo primero es saber con quién estás firmando realmente.
Digito: Entidad de Certificación autorizada por INDOTEL
En Digito somos una Entidad de Certificación autorizada por INDOTEL bajo el marco de la Ley 126-02. Eso significa que cuando tu empresa firma con un certificado emitido por nosotros, esa firma tiene la equivalencia funcional con la firma manuscrita reconocida por la ley dominicana, y queda respaldada por una institución sometida a las auditorías y controles del regulador.
Esta diferencia es fundamental: no es lo mismo utilizar una plataforma tecnológica para gestionar firmas que contar con una Entidad de Certificación que respalde directamente la emisión y gestión de los certificados dentro del marco regulatorio dominicano.
Si tu organización está evaluando implementar firma electrónica o ya tiene certificados activos cuya vigencia nadie está monitoreando, hablemos.
