Los dos regímenes en Colombia
Firma electrónica (régimen general)
Marco legal: Ley 527 de 1999 (Comercio Electrónico) y su reglamento, el Decreto 2364 de 2012.
La firma electrónica es cualquier método tecnológico que permita:
- Identificar al firmante
- Detectar si el documento fue alterado después de firmado
No requiere un certificado expedido por una entidad de certificación. Puede ser una firma sobre pantalla, un token de un solo uso, una firma con clave privada, o cualquier mecanismo técnico que cumpla las dos condiciones anteriores.
Valor probatorio: Válida y vinculante entre las partes. Quien afirme que la firma no es válida debe probarlo. La carga de la prueba se invierte: no tienes que demostrar que la firma es tuya — la otra parte debe demostrar que no lo es.
Firma digital con certificado (régimen reforzado)
Marco legal: Ley 527 de 1999, artículos 28-32, y reglamentación de la ONAC (Organismo Nacional de Acreditación de Colombia).
La firma digital certificada usa criptografía de clave pública (PKI) con un certificado emitido por una entidad de certificación acreditada ante la ONAC (Certicámara, Mática, e.firma y otras autorizadas). Equivale a la firma manuscrita en todos los efectos legales cuando el certificado está vigente.
Valor probatorio: Presunción legal de autenticidad e integridad. El documento con firma digital certificada se presume auténtico salvo prueba en contrario — el estándar más alto posible.
¿Cuál aplica para permisos de trabajo y SG-SST?
Para permisos de trabajo HSE
La firma electrónica es suficiente para la gran mayoría de permisos de trabajo industriales. El Decreto 1072 y la Resolución 0312 no exigen firma digital certificada para los documentos del SG-SST. Lo que sí exigen es:
- Que se pueda identificar quién firmó
- Que se pueda demostrar que el documento no fue alterado después de firmado
- Que la firma corresponda a la persona competente para autorizarla (el coordinador HSE certificado)
Para actas de alta severidad
Cuando el documento es un acta de investigación de accidente grave, una conciliación laboral o un acto jurídico con consecuencias penales potenciales, la firma digital certificada añade una capa de protección significativa. El empleador que la usa tiene una posición probatoria mucho más sólida ante un tribunal.
Qué es Ed25519 y por qué importa
Ed25519 es un algoritmo de firma criptográfica de clave pública (variante de EdDSA sobre Curve25519). Sus propiedades relevantes para documentos HSE:
- Genera una firma de 64 bytes que, sin la clave privada, es computacionalmente inviable de forjar
- La verificación es instantánea y puede hacerse offline
- La firma está ligada al contenido: si una sola letra cambia, la verificación falla
Una firma Ed25519 sobre el hash SHA-256 del documento, con sello de tiempo externo conforme a RFC 3161 (perfil PAdES para PDF), equivale funcionalmente a una firma electrónica avanzada según la clasificación del Decreto 2364/2012 — con valor probatorio reforzado ante un tribunal colombiano, sin necesidad de certificado de entidad de certificación.
La pregunta práctica
Si mañana ocurre un accidente en tu operación y el abogado del trabajador accidentado pregunta en el juzgado: “¿Con qué garantía afirman que el permiso de trabajo fue firmado por el coordinador HSE y no fue alterado después?”
Respuesta sin firma criptográfica
“Aquí está el permiso impreso y firmado a mano que guardamos en una carpeta.” → La contraparte preguntará cuándo fue impreso, si tiene tachaduras, y si alguien pudo reemplazar el papel después del accidente.
Respuesta con firma Ed25519 + PAdES
“Aquí está el hash SHA-256 del documento, la firma Ed25519, el sello de tiempo RFC 3161 de las 14:37:42 del día del accidente, el GPS del punto de firma y el UUID del coordinador que lo autorizó — todo verificable públicamente desde este enlace.” → La discusión jurídica cambia completamente.
Permisos de trabajo HSE
Veriwork implementa hash SHA-256 + firma Ed25519 + sello de tiempo RFC 3161 (perfil PAdES) en cada permiso. La persona competente firma con su usuario; la clave de empresa sella la transacción.
Ver Veriwork →Documentos SG-SST
Shield AI gestiona la firma dual del responsable y el representante legal en los documentos del SG-SST.
Ver Shield AI →