Un proveedor de TPV que ya opera en Madrid cierra un acuerdo con un grupo de restauración con locales en Bruselas, Budapest y Berlín. En cada ciudad, la ley pregunta cómo se protege una venta frente a cambios posteriores, y las cuatro respuestas son distintas.
En Madrid, la protección está en el software de facturación. En Bruselas, el sistema de caja y una caja negra en el mostrador necesitan cada uno un certificado oficial. En Budapest, el ticket tiene que salir de una caja registradora autorizada por la administración tributaria. En Berlín, el grupo puede elegir entre un dispositivo certificado y un servicio en la nube certificado.
Esa división se deriva de la ley, que cambia de un país a otro. Cada régimen decide dónde tiene que estar la protección, y saber qué tipo aplica un mercado resuelve la mayor parte de la conversación técnica antes de la primera reunión para definir el alcance.
En resumen
Los regímenes europeos de fiscalización son de tres tipos. Los regímenes de software, como Verifactu en España, fijan reglas para el sistema de facturación y no implican ningún dispositivo. Los regímenes de hardware, como el sistema de caja registradora certificado de Bélgica para la hostelería (ahora en transición al SCE/GKS 2.0 conectado) y las normas húngaras sobre cajas registradoras, exigen equipos certificados o autorizados en el punto de venta. Los regímenes híbridos, como los de Alemania, Austria y Suecia, definen una función de seguridad y aceptan tanto un dispositivo local como un servicio en la nube.
La pregunta que clasifica cada mercado
Una norma de fiscalización existe para impedir que una venta registrada se modifique o se borre sin dejar rastro. Lo que cambia es a quién hace responder el legislador. Puede responsabilizar al productor del software, exigir equipos aprobados por la autoridad o fijar un estándar técnico y aceptar cualquier forma que lo cumpla.
| Mercado | Régimen | Requisito en el punto de venta | Base legal |
|---|---|---|---|
| España | Software | Software de facturación conforme, sin dispositivo | Real Decreto 1007/2023 |
| Bélgica | Hardware | Sistema de caja y módulo de datos fiscales (FDM), ambos certificados por el SPF Finanzas | Real Decreto n.º 1, art. 21bis; Orden Ministerial de 29 de abril de 2024 |
| Alemania | Híbrido | TSE certificada por el BSI, de hardware o en la nube | § 146a AO, KassenSichV |
| Austria | Híbrido | Unidad de creación de firma: tarjeta inteligente o HSM, local o remota | § 131b BAO, RKSV |
| Suecia | Híbrido | Kontrollenhet certificada o kontrollsystem en la nube | SFS 2011:1244, cap. 39; SKVFS 2020:9 (nube) |
| Italia | Híbrido, con la vía en la nube ya abierta | Dispositivo RT o el procedimiento web "Documento Commerciale Online" de la AdE: sin hardware, acceso con SPID/CIE/CNS, cualquier dispositivo conectado, transmisión automática de datos. El paso al software ya ha empezado con API como fiskaly SIGN IT lite, mientras que las primeras soluciones de software certificadas y homologadas por la AdE están en camino. | Provvedimento de la AdE de 28 de octubre de 2016; Decreto Legislativo 1/2024, art. 24 (vía software) |
Regímenes de software: las reglas están en el sistema de facturación
España es el caso más claro. El Real Decreto 1007/2023 fija los requisitos de los sistemas informáticos de facturación (SIF): qué debe contener cada registro de facturación y cómo se encadenan y protegen los registros para que no puedan alterarse. En él no aparece ningún dispositivo fiscal. Los territorios forales del País Vasco aplican su propio régimen, TicketBAI, que también regula el software y no el hardware.
La prueba recae en quien pone el software en el mercado. Según el artículo 13 del reglamento, el productor emite una declaración responsable, una declaración, incluida en el propio producto, de que este cumple las reglas, y la mantiene a disposición del cliente y de la Agencia Tributaria (AEAT). En la práctica es una autocertificación: ningún laboratorio público prueba el producto y ningún registro lo inscribe.
España no es el único régimen de software, y los demás acreditan el cumplimiento de otra forma. En Francia, el software de caja tiene que cumplir cuatro condiciones (inalterabilidad, seguridad, conservación y archivo), demostradas mediante la certificación de un organismo acreditado o, desde el 21 de febrero de 2026, mediante una declaración del propio editor (auto-attestation). En Portugal, el software de facturación tiene que estar certificado por la administración tributaria, la Autoridade Tributária e Aduaneira (AT). Ninguno de los dos mercados exige un dispositivo fiscal, y el artículo de fiskaly sobre certificación externa frente a autocertificación compara los modelos de prueba.
Regímenes de hardware: la ley señala el equipo
En un régimen de hardware, la autoridad examina y aprueba el equipo que registra la venta. Un software conforme no basta por sí solo, porque la protección tiene que estar en un componente que la autoridad haya certificado o autorizado.
Bélgica lo aplica a la hostelería (horeca, que agrupa hoteles, restaurantes y cafeterías). Un restaurante o servicio de catering cuya facturación por comidas supere los 25.000 € anuales sin IVA tiene que emitir los tickets desde un sistema de caja registradora registrado (Real Decreto n.º 1, artículo 21bis). Las bebidas no cuentan para ese umbral. Ese sistema tiene dos partes certificadas: el propio sistema de caja y un módulo de datos fiscales (FDM), conocido como la "caja negra".
El SPF Finanzas, la administración tributaria federal de Bélgica, certifica ambas conforme a la Ley de 30 de julio de 2013 y sus normas de desarrollo. La más reciente es la Orden Ministerial de 29 de abril de 2024. El productor presenta la solicitud, hace certificar un prototipo y después registra cada unidad que vende.
La segunda generación del sistema, el SCE 2.0 (SCE significa système de caisse enregistreuse), es obligatoria para los nuevos negocios de hostelería desde el 1 de julio de 2026. Así lo establece un real decreto publicado el 3 de junio de 2026. Los negocios con la primera generación tienen hasta el 1 de julio de 2027, el 1 de julio de 2028 o el 1 de enero de 2029 para migrar, según cuándo compraron su caja más reciente. Tanto la caja como el FDM necesitan la certificación SCE 2.0.
El SCE 2.0 conecta la caja negra a internet, pero sigue siendo un aparato físico. Según la descripción técnica del SPF Finanzas, el nuevo FDM tiene su propia pantalla de estado o LED y al menos 2 GB de memoria intermedia, y se conecta a la caja por cable o wifi. La novedad es que reenvía los datos de las transacciones a la nube del SPF Finanzas.
Regímenes híbridos: la ley define una función, no una forma
Alemania, Austria y Suecia definen qué tiene que hacer el componente de seguridad y después aceptan tanto un dispositivo en la caja como un servicio en la nube. La obligación legal recae en la empresa, que en la práctica toma la decisión junto con su proveedor de TPV.
Los tres depositan su confianza en una certificación o un certificado, no en el lugar donde está el componente:
- Alemania: el § 146a AO y la KassenSichV exigen un dispositivo técnico de seguridad (TSE, Technische Sicherheitseinrichtung) que proteja cada transacción. Puede ser un pendrive USB, una tarjeta SD, un módulo integrado o una TSE en la nube. En cualquier caso, la Oficina Federal de Seguridad de la Información (BSI) tiene que certificarlo.
- Austria: la RKSV exige una unidad de creación de firma. El § 12 RKSV admite dos formas, una tarjeta inteligente o un módulo de seguridad de hardware (HSM), y el HSM puede estar alojado en un prestador de servicios de confianza y utilizarse a través de internet. Austria no tiene una certificación de producto específica para la fiscalización como la de Alemania. En su lugar, el hardware tiene que estar certificado según eIDAS como dispositivo cualificado de creación de firma o sello, y el certificado de firma también procede de un prestador de servicios de confianza.
- Suecia: el capítulo 39 de la Ley de Procedimiento Tributario (skatteförfarandelagen, SFS 2011:1244) exige que las cajas registradoras funcionen con un sistema de control. La forma original es una kontrollenhet física; desde el 1 de enero de 2021 se permite un kontrollsystem en la nube (SKVFS 2020:9). La Agencia Tributaria sueca (Skatteverket) exige que ambos estén certificados por un organismo acreditado.
Para profundizar, consulta la comparativa de fiskaly entre fiscalización con hardware y en la nube.
Italia: híbrida en la ley, con el paso al software ya en marcha
Italia está entre las categorías, pero más cerca de la nube de lo que parece. Hoy una empresa puede enviar sus datos de ventas diarios (corrispettivi telematici) a través de un registratore telematico (RT), un dispositivo fiscal en la caja. El RT necesita una verificazione periodica en el momento de la activación y después cada dos años (Provvedimento de la AdE de 28 de octubre de 2016, § 1.7). También puede usar el procedimiento web gratuito "Documento Commerciale Online" de la Agenzia delle Entrate (AdE), que se basa en el § 1.11 del mismo provvedimento y no requiere ningún hardware.
La transición ya ha empezado con ese procedimiento web. fiskaly SIGN IT lite es una API rápida y sencilla que conecta el TPV con la AdE, envía los corrispettivi telematici y genera documentos comerciales conforme a las normas fiscales más recientes, todo sin un dispositivo RT.
El siguiente paso es la vía del software certificado, establecida en el Decreto Legislativo 1/2024, artículo 24, y en el Provvedimento de la AdE n.º 111204 de 7 de marzo de 2025. Tiene dos fases: un organismo autorizado certifica la solución y después la Commissione Misuratori Fiscali decide sobre la homologación. Algunos proveedores, entre ellos fiskaly, ya están en la fase piloto. Aún no se ha homologado ninguna solución, pero las primeras certificaciones y homologaciones se esperan en los próximos meses, como explica la guía de fiskaly sobre los requisitos de certificación en Italia.
Donde la ley deja elegir, deciden el coste y la escala
Cuando un mercado deja elegir, la cuestión pasa a ser operativa, y ahí la vía en la nube se pone por delante. Un servicio de firma en la nube se renueva, se parchea y se escala de forma centralizada. Cuando caduca una certificación o aparece una vulnerabilidad, el proveedor lo resuelve una sola vez, para todas las cajas al mismo tiempo. Añadir nuevos locales lleva minutos.
El hardware traslada ese trabajo al mostrador. Cada caja necesita su propia unidad, cada unidad tiene fecha de caducidad, y cada sustitución o actualización de firmware tiene que llegar a cada local por separado.
La objeción habitual es que un servicio en la nube falla cuando se cae la conexión. Puede pasar, pero el hardware también falla, y los regímenes híbridos establecen qué tiene que hacer una empresa cuando su componente de seguridad no está disponible, sea cual sea su forma.
La diferencia real, por tanto, es quién mantiene el hardware y a cuántos locales tiene que llegar una corrección. Con un servicio en la nube, son un proveedor y cero locales.
Qué significa para la hoja de ruta de tu TPV
Para un proveedor de TPV que planifica su próximo mercado, el régimen define la forma del trabajo antes de que nadie escriba código.
Los mercados de software convierten el cumplimiento en una función de tu producto, tanto si construyes tú la lógica de registro y encadenamiento como si la obtienes de una API. En el modelo español de autocertificación, el productor del sistema de facturación firma la declaración.
En los mercados de hardware, la aprobación de tus equipos por parte de la autoridad es la puerta de entrada. En Bélgica, tu sistema de caja necesita su propio certificado del SPF Finanzas y tiene que funcionar con un FDM certificado.
Un mercado híbrido te deja una decisión de arquitectura, y su coste crece con cada nuevo local. La vía del hardware añade a cada caja una unidad, una instalación y una fecha de caducidad. La vía de la nube añade una integración de API y una dependencia del proveedor que hay detrás.
Los regímenes también cambian, así que comprueba en qué punto está un mercado antes de planificar.
Para el grupo de restauración del principio, todo eso suma cuatro proyectos: una integración de software en Madrid, un sistema de caja certificado con caja negra en Bruselas, una caja registradora con licencia de la NAV (la administración tributaria húngara) en Budapest y una elección entre dispositivo y nube en Berlín.
Puntos clave
- Clasifica antes de definir el alcance: que un mercado regule el software, apruebe el equipo o deje elegir decide si vas a construir una función, certificar hardware o elegir una arquitectura.
- Los mercados de software vinculan el cumplimiento a tu producto: España acepta la declaración del propio productor, Francia acepta una certificación o una declaración del editor, y Portugal exige la certificación de la AT.
- Los mercados de hardware mantienen la aprobación en el equipo: la caja negra conectada de Bélgica no ha cambiado eso para los negocios afectados.
- Los mercados híbridos trasladan el coste a la flota: cada unidad de hardware se instala y se sustituye por separado, así que la diferencia entre las dos vías crece con cada local.
- Italia ya avanza hacia el software: el procedimiento web de la AdE no necesita ningún dispositivo hoy, y las primeras soluciones de software certificadas se esperan en los próximos meses.
Cómo encaja fiskaly
fiskaly es un proveedor de API de fiscalización nativo en la nube en el que confían más de 1.900 clientes B2B. Trabaja en regímenes de software e híbridos, donde el cumplimiento puede estar en la nube.
En los mercados híbridos, SIGN DE es la TSE en la nube líder del mercado, certificada por el BSI, SIGN AT cubre la RKSV austriaca y SIGN SE ofrece un kontrollsystem en la nube certificado conforme a la norma SKVFS 2020:9 de Skatteverket. En España, SIGN ES cubre Verifactu, SII, TicketBAI y NaTicket con una sola API. SIGN FR y SIGN PT cubren los regímenes de software de Francia y Portugal.
