Hardware frente a fiscalización en la nube: un análisis país por país

Un pendrive USB falla en una caja registradora de Múnich. Una smartcard caduca en un bar de Viena. Un registratore telematico necesita su Verificazione Periodica bienal en Milán. Una kontrollenhet llega al final de su vida útil certificada en una cafetería de Estocolmo.

Cuatro países, cuatro mandatos de fiscalización y la misma pregunta de fondo con la que todo proveedor de TPV se topa tarde o temprano: ¿la conformidad vive en una caja física atornillada al TPV o en una llamada a una API? La KassenSichV alemana, la RKSV austriaca, la normativa italiana de corrispettivi telematici y la ley sueca del kassaregister empezaron todas exigiendo hardware, y las cuatro reconocen hoy una alternativa en la nube bajo esa misma ley. Esta guía compara lo que "hardware" y "nube" significan realmente en cada mercado, porque el mecanismo cambia de un país a otro en lugar de ser la misma normativa copiada y pegada cuatro veces.

Puntos clave

La alternativa en la nube de cada mercado responde al mismo régimen de conformidad que su opción de hardware —excepto Austria, que no certifica ninguna de las dos—, y la nube no es automáticamente más barata, más fiable ni está más avanzada en todas partes.

• La TSS alemana (llamada TSE, Technische Sicherheitseinrichtung, en la normativa) puede ser un módulo USB/SD físico o una TSS en la nube certificada por el BSI. Ambas variantes deben estar certificadas: TSE y TSS son lo mismo. El certificado actual de fiskaly para su TSS en la nube es válido hasta 2033, pero esa fecha corresponde al certificado propio de fiskaly, no al de cualquier otro proveedor ni a ninguna recertificación futura.
• La RKSV austriaca no tiene ningún régimen de certificación estatal, ni para hardware ni para la nube. La conformidad se apoya en un certificado cualificado de un prestador de servicios de confianza según eIDAS (como A-Trust, PrimeSign o GlobalTrust), más la propia declaración de conformidad del proveedor de TPV; y registrar la unidad de firma en FinanzOnline sigue siendo responsabilidad legal del comerciante en cualquier caso.
• El camino certificado en la nube de Italia, SIGN IT full, todavía no está homologado. fiskaly forma parte del grupo piloto de la Agenzia delle Entrate que trabaja hacia esa homologación al amparo del Decreto Legislativo 1/2024, artículo 24; se esperan las primeras homologaciones a finales de 2026 o principios de 2027. Mientras tanto, SIGN IT lite funciona sobre el propio portal Documento Commerciale Online de la AdE, activo desde 2016.
• La opción en la nube de Suecia es anterior a la entrada de fiskaly en ese mercado, por cuatro años. La SKVFS 2020:9 legalizó los sistemas de control en la nube (kontrollsystem) el 1 de enero de 2021; la adquisición de InfraSec Sweden AB por parte de fiskaly en 2025 integró una infraestructura en la nube ya establecida en SIGN SE, en lugar de crear esa categoría.
• Los argumentos realmente sólidos a favor de la nube son la escalabilidad y, de cara al futuro, la capacidad de aplicar parches —no que "el hardware falla y la nube no". Los servicios en la nube también tienen caídas; la diferencia real está en la carga de mantenimiento y en la rapidez con la que una corrección llega a todas las cajas a la vez.

¿Cómo funciona la TSE alemana en formato hardware, y qué sustituye la nube?

La KassenSichV alemana (Kassensicherungsverordnung) exige que toda caja registradora electrónica ejecute un Sistema de Seguridad Técnica (TSS), llamado TSE en la propia normativa, que firma cada transacción y la almacena de forma inviolable. La guía de fiskaly sobre la KassenSichV y la TSE cubre el conjunto más amplio de obligaciones que esto genera; esta sección se centra en la elección entre hardware y nube dentro de esas obligaciones.

Una TSS de hardware se distribuye como un pendrive USB, una tarjeta SD o un módulo integrado de proveedores acreditados por el BSI, principalmente Swissbit, cuyos módulos también se venden bajo las marcas Epson y Diebold Nixdorf. Toda TSS —hardware o nube— debe estar certificada por el BSI (Bundesamt für Sicherheit in der Informationstechnik), y esa certificación corre en dos relojes distintos que es fácil confundir: la propia plataforma de hardware está certificada durante 5 años, y la clave de firma de la TSS tiene su propio límite de validez independiente de 8 años. En cuanto caduca cualquiera de los dos, el dispositivo ya no puede firmar transacciones legalmente, que es lo que en la práctica obliga a sustituir el hardware; no existe una tasa de renovación del BSI aparte por unidad.

Una TSS en la nube no depende de una plataforma de hardware local, por lo que evita esa sustitución concreta, pero su clave de firma sigue teniendo el mismo límite de 8 años salvo que se recertifique. El componente certificado detrás de SIGN DE de fiskaly es la fiskaly sign Cloud-TSE; SIGN DE en sí es un producto que incorpora esa TSS certificada, no una TSS ni un componente certificado por sí mismo, y el certificado actual de fiskaly para ella es válido hasta 2033. Eliminar el hardware tampoco elimina toda la carga de mantenimiento: los servicios en la nube también pueden sufrir caídas, y cualquier flota de TSS, hardware o nube, sigue necesitando un seguimiento de la renovación de su clave de firma. Consulta la guía de fiskaly sobre lo que ocurre cuando un certificado de TSS de hardware caduca silenciosamente para ver cómo es esto en la práctica.

¿Qué cambió cuando Austria pasó de las smartcards de A-Trust a la RKSV en la nube?

La RKSV austriaca (Registrierkassensicherheitsverordnung) exige que una unidad de creación de firma (Signaturerstellungseinheit) firme cada recibo antes de imprimirlo, además de un registro de captura de datos —el DEP según el § 7 de la RKSV— y el registro en FinanzOnline (FON). El resumen de fiskaly sobre la RKSV cubre el conjunto completo de requisitos que esto genera.

La mayoría de los negocios que empezaron a operar cuando la RKSV entró en vigor el 1 de abril de 2017 integraron un dispositivo de firma vinculado a hardware, normalmente una smartcard de A-Trust. Esas tarjetas llevan un certificado cualificado con una caducidad fija, y el parque instalado austriaco de la era 2017 está alcanzando ahora esa ventana de renovación.

Una solución basada en la nube, como fiskaly SIGN AT, sustituye la smartcard por una integración de API que produce la misma captura DEP según el § 7 de la RKSV. Lo que no cambia es quién es responsable del papeleo: registrar la caja registradora y la unidad de firma en FinanzOnline, y notificar cuando una unidad de firma queda offline durante un periodo prolongado, siguen siendo obligaciones legales propias del contribuyente; la unidad de firma solo aporta los números de serie criptográficos y las claves públicas que el comerciante necesita para presentar esa información. Y a diferencia de los otros tres mercados de esta guía, en Austria ningún organismo estatal certifica la unidad de firma en absoluto: la conformidad se apoya en cambio en un certificado cualificado emitido por un prestador de servicios de confianza según eIDAS (A-Trust, PrimeSign, GlobalTrust), y es el proveedor de TPV quien presenta su propia declaración de conformidad en lugar de obtener una certificación estatal.

¿En qué punto se encuentra hoy el camino del software de fiscalización en Italia?

El Decreto Legislativo 127/2015 de Italia exige que el hardware certificado del Registratore Telematico (RT) transmita los corrispettivi telematici —la transmisión electrónica diaria de los recibos de venta— a la Agenzia delle Entrate (AdE), una obligación en vigor desde 2020.

Los dispositivos RT necesitan una Verificazione Periodica, una inspección técnica obligatoria, cada 2 años: un problema recurrente de coste y logística para cualquier cadena con cientos de locales. En realidad, existe una alternativa puramente de software desde 2016: el propio portal web Documento Commerciale Online de la AdE (Provvedimento 28/10/2016, § 1.11), que fiskaly ofrece hoy como SIGN IT lite. Se está construyendo un camino totalmente certificado, SIGN IT full, al amparo del Decreto Legislativo 1/2024, artículo 24. fiskaly forma parte del grupo piloto de la AdE que trabaja hacia ello, pero, a fecha de 2026, ninguna solución de software ha sido certificada ni homologada todavía: la certificación (un organismo autorizado, como el CNR o el PoliMi, prueba la solución) y la homologación (la aprobación propia de la Commissione Misuratori Fiscali) son dos pasos distintos, y ninguno de los dos se ha completado para ningún proveedor. Se esperan las primeras homologaciones a finales de 2026 o principios de 2027. La guía de fiskaly sobre los requisitos de certificación de Italia en 2026 cubre el proceso con más detalle.

Desde el 1 de enero de 2026, la Ley de Presupuestos 2025 de Italia (Ley 207/2024, artículo 1, apartados 74 a 77) también exige que toda solución de fiscalización, hardware o nube, conozca la matricola del POS al que está conectada —en el uso italiano, POS significa el terminal electrónico de pago, no el software del punto de venta— y que haya declarado esa vinculación a la AdE. Se trata de un requisito de identificación del dispositivo, no de una certificación: no existe algo así como una "matricola certificada"; una matricola es simplemente el número de serie o la vinculación lógica registrada, y la norma se aplica igual sea el dispositivo fiscal de hardware o de nube.

¿Cómo trata la ley sueca del kassaregister el hardware frente a los sistemas de control en la nube?

La Ley de Cajas Registradoras de Suecia (SFS 2007:592, hoy parte de la Ley de Procedimiento Tributario, Skatteförfarandelag SFS 2011:1244) exige que todo negocio que reciba pagos en efectivo utilice un kassaregister certificado emparejado con un sistema de control que genere el avstämningskod (código de control) de 113 caracteres adjunto a cada recibo. Ese sistema de control era históricamente una kontrollenhet física, cableada a la caja y certificada según SKVFS 2014:9.

Los sistemas de control en la nube (kontrollsystem) están legalmente permitidos desde el 1 de enero de 2021, según SKVFS 2020:9, años antes de que fiskaly entrara en el mercado sueco. La adquisición de InfraSec Sweden AB por parte de fiskaly en 2025 integró la infraestructura de conformidad en la nube ya establecida de Suecia en SIGN SE, una única API que cubre la estructura obligatoria de IVA en cuatro tramos y los 13 campos de recibo exigidos según SKVFS 2021:17, sin necesidad de una kontrollenhet física in situ. Skatteverket (la agencia tributaria sueca) sigue exigiendo el mismo proceso de registro en tres pasos y una ventana de notificación de 14 días cuando cambia un sistema de control, sea cual sea el tipo. La guía de fiskaly sobre lo que "certificado" significa realmente para una caja registradora sueca cubre la mecánica de los organismos acreditados detrás de esa certificación.

¿Qué cambia operativamente cuando un negocio pasa de hardware a nube?

La fiscalización con hardware vincula la conformidad a una unidad física: algo que necesita mantenimiento, caduca o requiere un técnico in situ. La fiscalización en la nube la vincula a una integración de API que un proveedor actualiza de forma centralizada. No todas las unidades de hardware de una flota fallan realmente, y una flota de hardware suele funcionar con una sola versión de TSS con una única fecha de caducidad de certificado compartida en lugar de cientos de fechas de renovación distintas; lo mismo ocurre con una flota de TSS en la nube, ya que depende de la versión tanto como el hardware al que sustituye.

Las dos ventajas que resisten un examen riguroso son la escalabilidad y, cada vez más, la capacidad de aplicar parches. Aprovisionar diez instancias adicionales de TSS en la nube lleva un minuto o menos, frente a pedir, enviar e instalar esa misma cantidad de módulos de hardware. Y de cara al futuro, una TSS en la nube puede recibir un parche de forma centralizada ante una vulnerabilidad recién descubierta —una preocupación creciente a medida que se multiplican los ataques asistidos por IA—, mientras que una flota de hardware necesita que se despliegue una actualización de firmware o, en el peor de los casos, una sustitución física dispositivo a dispositivo. Nada de esto hace que la nube sea inmune a interrupciones: los servicios en la nube también tienen sus propias caídas, así que el planteamiento honesto es hablar de menor carga de mantenimiento y correcciones más rápidas, no de una garantía de fiabilidad que el hardware no pueda ofrecer.

Tabla comparativa: hardware frente a fiscalización en la nube, por mercado

Conclusión

La elección entre hardware y nube es, en el fondo, una cuestión de certificación disfrazada de hardware: tres de estos cuatro países exigen que el camino en la nube responda ante la misma autoridad certificadora que el hardware al que sustituye, y el cuarto, Austria, no certifica ninguno de los dos. Las ventajas reales de la nube son la escalabilidad y, con el tiempo, la capacidad de aplicar parches, no la inmunidad frente a las caídas, ni, en el caso de Alemania, evitar una tasa por dispositivo que en realidad nunca llegó a cobrarse. Cuando la opción en la nube de un mercado realmente va por detrás —la homologación de SIGN IT full en Italia, pendiente a fecha de 2026—, vale la pena saberlo antes de asumir que el camino hacia la nube está igual de maduro en todos los países. fiskaly SIGN cubre Alemania, Austria, Italia y Suecia con una sola API para cualquier negocio que se plantee el cambio, mientras que fiskaly SAFE se encarga del archivo listo para auditoría que espera la autoridad fiscal de cada país detrás de ello.