La Ley 527 de 1999 construye el reconocimiento de los medios electrónicos sobre el criterio del equivalente funcional. Su artículo 5 prohíbe negar efectos jurídicos a la información por estar en forma de mensaje de datos; el 6 tiene por satisfecho el requisito de escrito si la información es accesible para su consulta posterior, y el 7 tiene por cumplido el de firma si se emplea un método que identifique al iniciador, indique que aprueba el contenido y sea confiable y apropiado para el propósito del mensaje. La Sentencia C-662 de 2000 explicó que ese criterio analiza los propósitos y funciones del papel para ver cómo cumplirlos con técnicas electrónicas, atendiendo la fiabilidad, la inalterabilidad y la rastreabilidad. La Sentencia C-831 de 2001, que declaró exequible el artículo 6, citó la guía de la Ley Modelo de la Cnudmi, según la cual un mensaje de datos no es de por sí el equivalente de un documento de papel, porque no cumple necesariamente todas sus funciones.
El Decreto 2364 de 2012 reglamentó el artículo 7. Define la firma electrónica como métodos tales como códigos, contraseñas, datos biométricos o claves criptográficas privadas que permiten identificar a una persona en relación con un mensaje de datos, siempre que sean confiables y apropiados a los fines (artículo 1, numeral 3). Su artículo 2 consagra la neutralidad tecnológica: ningún método que cumpla el artículo 7 de la ley puede excluirse ni privarse de efecto jurídico. El artículo 4 considera confiable la firma si los datos de creación corresponden exclusivamente al firmante y es posible detectar cualquier alteración no autorizada posterior, sin perjuicio de que cualquiera demuestre de otra manera su confiabilidad o aduzca pruebas de que no es confiable. Las notas del Normograma indican que fueron compilados en el Decreto Único 1074 de 2015 (artículos 2.2.2.47.1 a 2.2.2.47.8) y advierten sobre su artículo 3.1.1, que no se leyó y queda PENDIENTE DE VERIFICACIÓN.
La firma electrónica es, entonces, un género abierto y probatorio. El artículo 5 del decreto le atribuye los efectos de la firma si cumple el artículo 3, y el 7 presume, salvo prueba en contrario, que los mecanismos que acuerden las partes cumplen los requisitos, correspondiendo a quien suministra el método asegurar y probar que es seguro. El artículo 8 admite como factores de seguridad el concepto de un perito o una auditoría independiente, y el 6 impone al firmante custodiar los datos de creación y avisar si quedaron en entredicho.
La firma digital es una especie más exigente. El literal c del artículo 2 de la Ley 527 la define como un valor numérico adherido a un mensaje de datos que, mediante un procedimiento matemático conocido vinculado a la clave del iniciador y al texto del mensaje, permite determinar que se obtuvo exclusivamente con esa clave y que el mensaje no fue modificado después. Los considerandos de los decretos 2364 de 2012 y 1789 de 2021 la tratan como especie de la firma electrónica. Su ventaja está en el artículo 28: se presume que el suscriptor quiso acreditar el mensaje y quedar vinculado, y tiene la fuerza y los efectos de la firma manuscrita si es única de quien la usa, verificable, bajo su control exclusivo, ligada al mensaje de modo que cualquier cambio la invalide y conforme a la reglamentación del Gobierno.
La confianza en la firma digital descansa en las entidades de certificación y sus certificados. Según el artículo 29, en la redacción del artículo 160 del Decreto 19 de 2012, pueden serlo las personas jurídicas públicas o privadas, nacionales o extranjeras, y las cámaras de comercio, acreditadas por el Organismo Nacional de Acreditación de Colombia. La Sentencia C-219 de 2015 declaró exequibles los apartes acusados de los artículos 160 a 163 de ese decreto: el Presidente podía trasladar a ese organismo la función antes a cargo de la Superintendencia de Industria y Comercio, sin crear un trámite más gravoso. Según el artículo 35 de la Ley 527, el certificado, firmado digitalmente por la entidad, debe contener, entre los datos mínimos que enumera, el nombre y la identificación del suscriptor, los datos de la entidad de certificación, la clave pública, la metodología para verificar la firma, el número de serie y las fechas de emisión y expiración.
El suscriptor tiene deberes con consecuencias prácticas. Según los artículos 37 a 40, debe solicitar la revocación del certificado por pérdida de la clave privada o riesgo de uso indebido, so pena de responder ante los terceros de buena fe exenta de culpa que confiaron en él; debe mantener el control de la firma y responde por la falsedad o el error de la información que suministró.
En la actuación administrativa, el CPACA conecta la firma con la validez del acto. El artículo 57 permite emitir actos administrativos por medios electrónicos siempre que se asegure su autenticidad, integridad y disponibilidad; el numeral 10 del artículo 5 reconoce el derecho a identificarse ante las autoridades mediante medios de autenticación digital. El parágrafo 3 del artículo 6 de la Ley 962 de 2005 permite sustituir las firmas autógrafas por un certificado digital que asegure la identidad del suscriptor. Y su artículo 24, en la redacción del artículo 36 del Decreto 19 de 2012, dispensa de autenticación las firmas de particulares en documentos privados que obren en trámites ante autoridades y las presume de su titular, salvo tacha de falsedad o prueba tecnológica de ella; exceptúa los documentos que implican transacción, desistimiento y, en general, disposición de derechos, así como los relacionados con el sistema de seguridad social integral y los del magisterio.
El Decreto 1789 de 2021 añadió los artículos 2.2.2.47.9 y 2.2.2.47.10 al Decreto 1074 de 2015. El primero ordena a las autoridades determinar el grado de confianza (muy alto, alto, medio y bajo) que exige cada proceso, conforme al Título 17 del Decreto 1078 de 2015, subrogado por el Decreto 620 de 2020, y distingue según el grado: las firmas electrónicas de grado medio y alto pueden ser suministradas por prestadores de servicios ciudadanos digitales o por entidades de certificación digital; las firmas digitales de grado alto se suministran en los términos de la Ley 527; y las de grado muy alto deben seguir los mecanismos que establezca la Registraduría Nacional del Estado Civil. El segundo reconoce el derecho de las personas a usar esos mecanismos de autenticación, previo el registro del artículo 54 del CPACA, y recuerda el artículo 53.
No debe confundirse el régimen administrativo con el judicial. El artículo 2 de la Ley 2213 de 2022 dispone que en las actuaciones judiciales no se requieren firmas manuscritas ni digitales, y su artículo 5 permite poderes por mensaje de datos con la sola antefirma. Esa flexibilización pertenece al proceso judicial; en el administrativo siguen operando las reglas anteriores. El análisis de un caso identifica la exigencia de firma, el grado de confianza adecuado, el método usado y la prueba de autoría e integridad.
Ejemplo colombiano 1: imagen de la firma pegada en una resolución
La Secretaría de Movilidad de un municipio del Valle expide el 5 de junio de 2026 una resolución en PDF a la que un funcionario de apoyo adhiere la imagen escaneada de la firma de la secretaria, sin certificado ni sello. Una empresa de transporte alega que carece de firma válida.
El artículo 57 del CPACA exige asegurar autenticidad, integridad y disponibilidad. Según el artículo 4 del Decreto 2364, el método sería confiable si los datos de creación corresponden exclusivamente a la firmante y puede detectarse una alteración posterior; una imagen pegada no revela ninguna de las dos cosas. Eso no la invalida de plano, porque el parágrafo del artículo 4 deja a la entidad demostrar de otra manera su confiabilidad; pero la carga es suya y deberá acreditar autoría e integridad con registros del sistema.
Ejemplo colombiano 2: pérdida de un token de firma digital
El gerente de una empresa social del Estado de Nariño pierde el 2 de septiembre de 2026 el dispositivo con la clave privada de su certificado y no lo informa. Tres días después, un tercero firma con él contratos con proveedores que confían en el certificado vigente.
El artículo 37 de la Ley 527 obliga al suscriptor a solicitar la revocación por pérdida de la clave privada; si no lo hace, responde por los perjuicios de terceros de buena fe exenta de culpa que confiaron en el certificado. Los proveedores que verificaron un certificado vigente pueden reclamar al suscriptor sus pérdidas o perjuicios si acreditan esa buena fe exenta de culpa; el artículo 37 no traslada esa carga a la entidad de certificación, que revoca a petición del suscriptor o por las causales que enumera. Otra cuestión, que esta regla no resuelve, es si los contratos obligan a la empresa social del Estado: eso depende de las reglas de atribución de los mensajes de datos (artículos 16 y 17) y del régimen de contratación aplicable.
Ejemplo colombiano 3: recurso con firma electrónica rechazado por falta de autenticación
Una microempresaria de Bucaramanga, reconocida como parte en una actuación, interpone el 11 de mayo de 2026, por la sede electrónica de una superintendencia y con firma electrónica del servicio de autenticación, un recurso de reposición. La entidad lo rechaza por no llevar firma manuscrita ni presentación personal.
El artículo 77 del CPACA dice que los recursos se interponen por escrito que no requiere presentación personal si quien los presenta fue reconocido en la actuación, y que podrán presentarse por medios electrónicos. El artículo 2.2.2.47.10 reconoce el derecho de usar los mecanismos de autenticación del Título 17, y el artículo 24 de la Ley 962 dispensa la autenticación de las firmas de particulares. El rechazo carece de fundamento: debe tramitar el recurso, salvo que la firma sea tachada de falsa o falle la verificación de la identidad.