Los 36 renglones del Código de Comercio sobre firma electrónica, y cuáles son tuyos
La respuesta corta
La firma electrónica en materia comercial vive en el Título Segundo del Libro Segundo del Código de Comercio, «Del Comercio Electrónico», que va del artículo 89 al 114 y suma 36 renglones contando los bis. Diecinueve de esos 36 regulan a los prestadores de servicios de certificación acreditados y a la Secretaría de Economía: no te aplican si tu empresa sólo firma contratos. Catorce son las reglas del juego —qué es un mensaje de datos, cuándo se tiene por enviado, cuándo cumple la forma escrita, cuándo una firma es avanzada—. Y sólo tres te obligan con tu nombre: el 95 bis 2 como comerciante, el 99 como firmante y el 107 cuando eres tú quien recibe.
Casi todo lo que se publica en México sobre este tema cita el 89, cita el 97 y se detiene ahí. No está mal: son los dos que deciden. Pero deja la impresión de que el Código de Comercio dice tres cosas sobre firma electrónica, y dice treinta y seis. Lo que sigue es el título completo leído de corrido contra el PDF de la Cámara de Diputados —última reforma publicada en el Diario Oficial el 14 de noviembre de 2025—, ordenado por la única pregunta que importa cuando no eres abogado: a quién obliga cada renglón.
Qué es exactamente este título
Es el Título Segundo del Libro Segundo del Código de Comercio y se llama «Del Comercio Electrónico». Va del artículo 89 al 114, y como varios artículos se agregaron después con la palabra «bis», los renglones reales son 36. No nació de una pieza: el título se adicionó en 2000, se reestructuró entero en 2003, le entró un capítulo nuevo de digitalización en 2016 y le tocaron tres párrafos en 2017. Por eso se lee a saltos, y por eso conviene el mapa antes que el texto.
Son cinco bloques: un Capítulo I de mensajes de datos, un Capítulo I Bis de digitalización, un Capítulo II de firmas, un Capítulo III de prestadores de servicios de certificación y un Capítulo IV de una sola pieza sobre certificados y firmas del extranjero.
Capítulo I · Los once que son las reglas del juego
Del 89 al 95, once renglones. No te imponen obligaciones: definen el terreno. Son los que hay que tener a mano cuando la contraparte dice que un contrato firmado en pantalla «no vale».
El 89, que es el diccionario y los cuatro principios
El 89 hace tres cosas en una. Fija el alcance —toda la República, en asuntos del orden comercial—; somete la interpretación y aplicación del título a cuatro principios, que son neutralidad tecnológica, autonomía de la voluntad, compatibilidad internacional y equivalencia funcional; y define catorce términos que el resto del título usa como si ya los supieras. Entre ellos Mensaje de Datos, Firmante, Certificado, Datos de Creación de Firma Electrónica, Sello Digital de Tiempo y Parte que Confía.
La definición que más peso carga es la de Firma Electrónica, y conviene leerla completa porque termina donde nadie la cita: son los datos electrónicos que identifican al firmante e indican que aprueba el contenido, «y que produce los mismos efectos jurídicos que la firma autógrafa, siendo admisible como prueba en juicio». La equivalencia con la firma de puño y letra está en la definición misma, sin pedir tecnología alguna a cambio.
El 89 bis, el más citado y el peor citado
Dice que no se negarán efectos jurídicos a una información por estar contenida en un mensaje de datos. Es la frase que aparece en todos los folletos. Lo que casi nunca se copia es su condición final: eso vale «siempre y cuando los mensajes de datos se ajusten a las disposiciones de este Código y a los lineamientos normativos correspondientes». No es un cheque en blanco; es una regla con un reenvío al resto del título.
El 90 y el 90 bis, de quién se presume que viene
Aquí está el corazón probatorio y casi nadie lo trabaja. El 90 presume que el mensaje proviene del emisor si lo mandó él, si se usaron medios de identificación como claves o contraseñas suyas, o si lo generó un sistema programado por él. El 90 bis agrega cuándo el destinatario puede actuar en consecuencia, y pone dos momentos en que esa presunción deja de operar: cuando el emisor ya avisó que el mensaje no era suyo y hubo plazo razonable para reaccionar, y cuando el destinatario sabía o debía saber que no venía de él. Es lo que en otros países se llama no repudio, armado al revés: no como propiedad de la firma, sino como reparto de riesgo entre quien manda y quien recibe.
El 91, el 91 bis, el 92, el 94 y el 95: cuándo, dónde y con qué acuse
Cinco renglones de logística jurídica que sólo se vuelven urgentes cuando hay un plazo de por medio. El 91 fija el momento de recepción; el 91 bis, que el mensaje se tiene por expedido cuando sale de un sistema bajo control del emisor; el 94, que se expide donde el emisor tiene su establecimiento y se recibe donde lo tiene el destinatario; y el 95, que cada mensaje recibido se presume distinto salvo que haya razón para saber que es duplicado. El 92 es el del acuse de recibo, y trae una fracción que vale un contrato entero: si el emisor condicionó los efectos del mensaje a recibir acuse, el mensaje se considera no enviado mientras no llegue ese acuse. Quien manda una orden de compra por correo y da por hecho el pedido debería leerlo dos veces; está desarrollado en orden de compra y cotización aceptada.
El 93 y el 93 bis, que son los que de verdad usan los contratos
El 93 resuelve la forma escrita: se tiene por cumplida si la información se mantiene íntegra y accesible para su ulterior consulta, «sin importar el formato». Y agrega que cuando la ley además exija la firma de las partes, ese requisito se cumple siempre que el mensaje sea atribuible a dichas partes —atribuible, no certificado—. Su tercer párrafo es el que permite al fedatario público trabajar con mensajes de datos, y de ahí cuelga cuándo hace falta un fedatario y cuándo no. El 93 bis define qué significa «original» en electrónico: garantía confiable de integridad desde que se generó en su forma definitiva, y posibilidad de mostrarlo. Su segundo párrafo es el que explica por qué un PDF que se regenera en cada descarga es un problema, porque mide la integridad sobre el contenido completo e inalterado.
Capítulo I Bis · Seis renglones de digitalización, y uno que sí te nombra
Del 95 bis 1 al 95 bis 6, agregados en 2016. Cinco de los seis hablan del prestador que digitaliza papel: qué presunciones tiene a su favor, que necesita acreditación, que debe guardar confidencialidad, y qué facultades tiene la Secretaría de Economía para acreditarlo y verificarlo. Nada de eso es tuyo.
El sexto sí. El 95 bis 2 dice, en una sola línea, que en materia de conservación de mensajes de datos «será responsabilidad estricta del comerciante mantenerlos bajo su control, acceso y resguardo directo». Responsabilidad estricta, del comerciante, y control directo. Léelo junto con el artículo 49, el de los diez años, y queda claro que contratar una plataforma no traslada la obligación: el que tiene que poder exhibir el expediente sigues siendo tú. Por eso cambiar de proveedor no debería implicar perder nada.
Capítulo II · Cuatro artículos de firmas, y sólo uno te obliga
El capítulo que da nombre a todo el tema es el más corto del título: 96, 97, 98 y 99.
El 96 y el 97, el método y el estándar
El 96 ordena aplicar el Código de modo que no se excluya ni se prive de efecto jurídico a cualquier método para crear una firma electrónica. El 97 es el estándar: la firma se tiene por suficiente si «resulta apropiada para los fines para los cuales se generó o comunicó» el mensaje, y se considera avanzada o fiable si cumple cuatro requisitos —que los datos de creación correspondan exclusivamente al firmante, que estuvieran bajo su control exclusivo al momento de firmar, que se detecte cualquier alteración de la firma posterior y que se detecte cualquier alteración de la información—. Su último párrafo es la puerta que casi nadie enseña: cualquiera puede demostrar por otros medios que una firma es fiable, o presentar pruebas de que no lo es. La diferencia práctica entre los dos niveles está en firma simple o avanzada.
El 99, el único artículo del título que te obliga por firmar
El 98 obliga al prestador a decirle a sus usuarios si la firma que vende cumple o no las cuatro fracciones del 97. El 99 obliga al Firmante, que eres tú, y no lo cita nadie. Son cuatro deberes: cumplir las obligaciones derivadas del uso de la firma; actuar con diligencia y establecer medios razonables para evitar el uso no autorizado de los datos de creación; cerciorarse de que las declaraciones que hiciste sobre el certificado y su vigencia son exactas; y responder por las obligaciones derivadas del uso no autorizado de tu firma cuando no hubieras obrado con la debida diligencia para impedirlo.
Esa última fracción es la que cambia conversaciones reales. Cuando alguien dice «yo no firmé eso», el 99 pregunta antes otra cosa: qué hiciste para que nadie pudiera firmar por ti. Compartir la liga de firma, prestar la contraseña o dejar la sesión abierta en una computadora común no son descuidos sin consecuencia; son exactamente el supuesto de la fracción IV. Qué pasa después, cuando la firma se desconoce en juicio, está en valor probatorio en juicio.
Capítulo III · Catorce artículos que no son para ti, salvo el 107
Del 100 al 113. Es el capítulo más largo del título y regula íntegro a los prestadores de servicios de certificación: quiénes pueden serlo previa acreditación ante la Secretaría —notarios y corredores públicos, personas morales privadas e instituciones públicas—, qué requisitos y fianza necesitan, qué obligaciones tienen, qué debe contener un certificado para ser válido, cuándo deja de surtir efectos y qué sanciones se les aplican. Si tu empresa firma contratos y no vende certificados, ninguno de estos trece te aplica.
Dos cosas que sí conviene sacar de aquí. La primera es el segundo párrafo del 100: expedir certificados o prestar servicios relacionados «no conllevan fe pública por sí misma», de modo que un notario acreditado como prestador puede darte un papel con fe pública o sin ella y hay que preguntar cuál. La segunda es quién está acreditado de verdad: el directorio de la Secretaría de Economía es público y el 15 de septiembre de 2026 lista doce prestadores, con el detalle de qué servicio tiene autorizado cada uno. Qué es esa figura, en prestador de servicios de certificación.
La excepción del capítulo es el 107, que sí te habla cuando el que recibe eres tú: pone a cargo del destinatario y de la parte que confía las consecuencias de no verificar la validez, suspensión o revocación del certificado y de no tener en cuenta sus limitaciones de uso. Quien acepta un documento firmado con certificado tiene deberes propios, y son suyos.
Capítulo IV · El 114 y la firma de afuera
Un solo artículo, y resuelve una duda que aparece en cuanto tienes un cliente en otro país. El 114 ordena no tomar en consideración dónde se expidió el certificado ni dónde está el establecimiento del prestador o del firmante. Un certificado expedido fuera de México produce aquí los mismos efectos si presenta «un grado de fiabilidad equivalente», y lo mismo una firma creada o usada fuera. Lo que se mide es fiabilidad, no pasaporte. Qué cambia de verdad cuando el documento llega a un juzgado mexicano está en plataforma internacional o mexicana.
Los tres renglones que te obligan con tu nombre
| Renglón | A quién obliga | Qué te pide en la práctica |
|---|---|---|
| 95 bis 2 | Al comerciante | Conservar tus mensajes de datos bajo control, acceso y resguardo directo. Responsabilidad estricta y no se subcontrata |
| 99 fracciones I a III | Al firmante | Diligencia para que nadie use tus datos de creación de firma, y exactitud en lo que declaras del certificado |
| 99 fracción IV | Al firmante | Responder por el uso no autorizado de tu firma si no obraste con diligencia para impedirlo |
| 107 | Al destinatario y a la parte que confía | Verificar validez, suspensión o revocación del certificado y respetar sus límites de uso, antes de actuar |
Cómo se usa este mapa
- 1Cuando alguien te diga que tu contrato no vale, la discusión está en el 89, el 89 bis y el 93, no en la Ley de Firma Electrónica Avanzada. Esa ley regula trámites ante dependencias del gobierno federal y su artículo 4 manda los actos de comercio a este Código.
- 2Cuando te exijan firma avanzada, el que decide es el 97, que la define por cuatro resultados y no por una tecnología ni por un proveedor. Pregunta cuál de las cuatro fracciones no estarías cumpliendo.
- 3Cuando te ofrezcan una constancia, el capítulo aplicable es el III y la comprobación es el directorio. Qué te da y qué no esa constancia está en la NOM-151.
- 4Cuando el documento llegue de otro país, el artículo es el 114 y la pregunta es la fiabilidad equivalente, no dónde se emitió.
- 5Cuando revises tu propia operación, los que te tocan son el 95 bis 2, el 99 y el 107. Son tres, caben en una página y son los únicos que nadie va a cumplir por ti.
De dónde salen las citas
- Código de Comercio, en el texto vigente que publica la Cámara de Diputados.
- Ley de Firma Electrónica Avanzada, en el texto vigente que publica la Cámara de Diputados.
Preguntas frecuentes
¿Qué artículos del Código de Comercio hablan de firma electrónica?
El Título Segundo del Libro Segundo, «Del Comercio Electrónico», que va del artículo 89 al 114 y suma 36 renglones contando los bis. El capítulo específico de firmas es el II y son cuatro artículos: 96, 97, 98 y 99. Los que más se usan en la práctica son el 89, el 89 bis, el 93 y el 97.
¿Cuántos de estos renglones regulan al prestador y no a mi empresa?
Diecinueve de los treinta y seis. Son cinco del capítulo de digitalización —el 95 bis 1, 3, 4, 5 y 6—, el 98 del capítulo de firmas, y trece de los catorce del capítulo de prestadores, del 100 al 113 sin contar el 107. Todos ellos hablan de quién puede acreditarse, con qué requisitos, qué obligaciones tiene y qué sanciones se le aplican. Si tu empresa firma contratos y no vende certificados, puedes saltártelos completos.
¿Qué me obliga a mí el Código de Comercio cuando firmo electrónicamente?
Tres renglones. El 95 bis 2 te hace responsable estricto de conservar tus mensajes de datos bajo control y resguardo directo. El 99 te pide diligencia para que nadie use tus datos de creación de firma y te hace responder por el uso no autorizado si no obraste con esa diligencia. Y el 107 te obliga, cuando eres tú quien recibe, a verificar el certificado antes de actuar sobre él.
¿Por qué dicen que el 89 bis no es un cheque en blanco?
Porque su frase famosa termina con una condición que casi nunca se copia. Dice que no se negarán efectos jurídicos a una información por estar contenida en un mensaje de datos, y que esos mensajes surtirán los mismos efectos que la documentación impresa, «siempre y cuando los mensajes de datos se ajusten a las disposiciones de este Código y a los lineamientos normativos correspondientes». O sea que el artículo reenvía al resto del título, y ahí es donde entran la forma escrita del 93, la integridad del 93 bis y la fiabilidad del 97.
¿Vale en México una firma electrónica hecha en otro país?
El artículo 114 dice que para determinar si produce efectos jurídicos no se tomará en consideración el lugar de expedición del certificado ni dónde está el establecimiento del prestador o del firmante. Un certificado o una firma de fuera producen los mismos efectos si presentan un grado de fiabilidad equivalente al de este título. Lo que se compara es fiabilidad, no origen.
¿El acuse de recibo del artículo 92 es lo mismo que el acuse de firma?
No. El 92 regula el acuse de recibo de un mensaje de datos: sirve para saber si el otro lo recibió y, si condicionaste los efectos a ese acuse, el mensaje se tiene por no enviado hasta que llegue. El acuse de auditoría de una plataforma de firma es otra cosa: el registro de qué pasó con el documento y quién lo firmó. Qué debe traer está en el artículo sobre el acuse de auditoría.