Ciberseguridad en software fiscal: qué exigir al proveedor

Cuando una asesoría evalúa un software fiscal, casi siempre mira primero el precio, la integración con el ERP y la facilidad de uso. La seguridad de los datos suele quedar para el final, como una casilla que se marca sin mirar demasiado. Es un error caro: un despacho que gestiona datos fiscales, bancarios y personales de decenas o cientos de clientes es un objetivo más atractivo para un ataque que casi cualquier empresa individual.

España registró 70 organizaciones víctimas de ransomware en el segundo trimestre de 2026, con junio concentrando más de un tercio de los incidentes del trimestre. Los despachos profesionales llevan años en el radar de este tipo de ataques precisamente por la concentración de información sensible que manejan de terceros, no solo propia.

Esta guía recoge los criterios de seguridad que hay que verificar antes de contratar un proveedor de software fiscal, sin necesidad de ser experto en ciberseguridad para hacerlo.

1. Certificaciones: qué pedir y qué no hace falta

No todos los sellos de seguridad significan lo mismo, y algunos proveedores los mencionan de forma vaga para transmitir confianza sin comprometerse a nada concreto.

ISO 27001 es la certificación de referencia internacional para sistemas de gestión de la seguridad de la información. Certifica que el proveedor tiene procesos documentados, auditados por un tercero independiente y revisados de forma periódica, no solo buenas intenciones. Es el estándar razonable a exigir a cualquier proveedor SaaS que procese datos fiscales.

El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, es obligatorio para las administraciones públicas y sus proveedores tecnológicos. Para un proveedor que solo trabaja con el sector privado no es un requisito legal. Si lo tiene, es una señal adicional de madurez, pero no lo exijas como condición excluyente si el proveedor no trabaja con administración pública.

Ninguna certificación sustituye al contrato. Pide siempre ver el certificado vigente (con fecha de emisión y de caducidad), no solo el logo en la web.

2. DPA y responsabilidad ante una brecha

Cualquier proveedor que procese datos personales de tus clientes actúa como encargado del tratamiento bajo el RGPD y necesita un DPA (Data Processing Agreement) firmado con tu despacho. Lo exige el art. 28 del Reglamento (UE) 2016/679.

Sin DPA, la responsabilidad ante una brecha de datos no queda claramente delimitada. El art. 82 del RGPD permite que la responsabilidad sea solidaria entre el controlador (tu asesoría) y el encargado del tratamiento (el proveedor). Un DPA bien redactado acota quién responde de qué y reduce la exposición de tu despacho si algo falla.

Verifica tres cosas en el DPA antes de firmarlo: que liste explícitamente los sub-encargados que usa el proveedor (servidores cloud, servicios de email, otras herramientas conectadas), que incluya la obligación de notificarte cualquier brecha sin dilación indebida, y que especifique qué pasa con tus datos si terminas la relación con el proveedor.

3. Cifrado, control de acceso y ubicación de los datos

Más allá del papel, hay tres controles técnicos que determinan si un incidente se queda en un susto o se convierte en una filtración real.

• Cifrado en tránsito y en reposo. Los datos deben viajar cifrados entre tu equipo y el servidor del proveedor (HTTPS/TLS) y estar cifrados también cuando están almacenados, no solo mientras se mueven.
• Control de acceso por roles. No todos los empleados del proveedor deberían poder ver los datos de todos los clientes. Pregunta si aplican el principio de mínimo privilegio y si registran quién accedió a qué y cuándo.
• Autenticación multifactor (MFA). Tanto para el acceso de tu equipo a la plataforma como, idealmente, para el acceso interno del proveedor a sus propios sistemas.

Sobre la ubicación: los servidores donde se almacenan los datos fiscales deben estar en la Unión Europea o en un país con decisión de adecuación de la Comisión Europea. Si están fuera, hacen falta cláusulas contractuales tipo (SCCs) adicionales para que la transferencia internacional sea legal. Pide la respuesta concreta, no "en la nube": eso no dice nada sobre dónde está el dato ni bajo qué jurisdicción.

4. Plan de respuesta a incidentes: los plazos no perdonan

Ante una brecha de seguridad que afecte a datos personales, la ley obliga a notificarlo a la AEPD en un plazo máximo de 72 horas desde que se tiene conocimiento. Si la brecha afecta a datos de tus clientes, también hay que comunicárselo a ellos sin dilación.

Ese plazo cuenta desde que tu despacho tiene conocimiento del incidente, no desde que el proveedor decide avisarte. Si el proveedor tarda días en informarte de que ha tenido un problema, tú ya has incumplido tu propio plazo legal sin haberlo sabido. Por eso el contrato o el DPA debe fijar en cuánto tiempo el proveedor está obligado a notificarte a ti, con un contacto y un procedimiento concretos, no una promesa genérica de "te avisaremos".

Pregunta directamente: ¿tienen un plan de respuesta a incidentes documentado? ¿Han tenido algún incidente en los últimos dos años y cómo lo gestionaron? Una respuesta evasiva a esta segunda pregunta dice más que cualquier certificado.

5. Copias de seguridad: la pregunta que casi nadie hace

Casi todos los proveedores dicen que hacen copias de seguridad. Muy pocos pueden demostrar que esas copias se han restaurado alguna vez con éxito. La diferencia es crítica: un backup que nunca se ha probado puede fallar justo en el momento en que hace falta, que es el peor momento posible para descubrirlo.

Los datos concretos que hay que pedir son la frecuencia de las copias, el tiempo objetivo de recuperación (RTO, cuánto tardarían en restaurar el servicio tras un incidente grave) y la fecha del último test de restauración documentado. Si el proveedor no puede dar estos tres datos, probablemente no los tiene medidos, lo que es en sí mismo una señal de alerta.

Seis preguntas para hacer al proveedor antes de firmar

1. ¿Qué certificaciones de seguridad tenéis y desde cuándo? Pide ver el certificado vigente, no solo el nombre de la certificación.
2. ¿Dónde están alojados los servidores donde se guardan mis datos y los de mis clientes? La respuesta debe ser un país o región concreta, no "en la nube".
3. ¿El DPA es un contrato firmable o solo una política de privacidad genérica? Pide ver el documento antes de decidir, no después de firmar.
4. ¿Cuál es vuestro protocolo si sufrís una brecha de seguridad? Debe incluir plazo de notificación a tu despacho y punto de contacto concreto.
5. ¿Con qué frecuencia probáis la restauración de las copias de seguridad? Pide fecha del último test, no solo la frecuencia de generación.
6. ¿Puedo pedir un informe de auditoría de seguridad si un cliente o Hacienda me lo requiere? Un proveedor serio no tiene problema en compartir esta documentación bajo NDA si hace falta.

Estos criterios se suman a los que ya conviene revisar al evaluar la integración entre un OCR contable y tu ERP: la seguridad no es un apartado aislado, es parte de la misma decisión de compra. Y si tu despacho todavía no tiene sistematizada la revisión anual de cumplimiento, la guía de revisión RGPD anual en asesorías cubre el proceso completo paso a paso.

En AutoApunte procesamos datos fiscales de asesorías y sus clientes con infraestructura en la Unión Europea, DPA incluido en el contrato de servicio y sin entrenar modelos con esos datos. Si quieres revisar cómo encaja con la política de seguridad de tu despacho antes de comprometerte, podemos hacer ese diagnóstico en 30 minutos sin compromiso de contratar nada.

Fuentes: Reglamento (UE) 2016/679 (RGPD), art. 28 y art. 82 - BOE-DOUE, texto del RGPD - Real Decreto 311/2022, del Esquema Nacional de Seguridad - Agencia Española de Protección de Datos - INCIBE, Instituto Nacional de Ciberseguridad - EscudoDigital: "España registró 70 víctimas de ransomware durante el segundo trimestre del año" (agosto 2026).