Actualizado: 10 de agosto de 2026 | Redactado por el equipo de CopilotGestoria con la revisión de asesores fiscales colegiados
No. Guardar el certificado digital de tu cliente en una carpeta del despacho —o instalarlo en el ordenador de un empleado— no es conforme con la legislación vigente en materia de servicios electrónicos de confianza. Lo declaró expresamente el Ministerio de Economía y Empresa en su nota de abril de 2019, lo reiteró la Secretaría de Estado de Digitalización e Inteligencia Artificial en febrero de 2022, lo recuerda la FNMT en su FAQ 1714 y lo advirtió el Banco de España el 9 de septiembre de 2025 señalando expresamente a "gestores y consultores". El fundamento vigente no es —como repite medio sector— un inexistente artículo 25 de la Ley 6/2020, sino el artículo 26.c) del Reglamento eIDAS: la firma solo es avanzada si se crea con datos que el firmante utiliza "bajo su control exclusivo". Un fichero .p12 copiado en un servidor compartido rompe ese control por definición. Y existen cinco vías legales —apoderamiento AEAT, colaboración social, Sistema RED, apoderamiento de notificaciones y certificado de representante— que permiten trabajar sin tener el certificado del cliente.
Ese es el resumen. El problema es que la mayoría de los despachos españoles lleva quince años trabajando exactamente al revés, y ahora se le junta un segundo frente: la FNMT ha fijado el 31 de diciembre de 2026 como fin de emisión de certificados RSA y el 31 de diciembre de 2028 como caducidad máxima de los ya emitidos. Es decir, toda la cartera hay que renovarla igualmente. La pregunta ya no es si conviene ordenar esto, sino si se ordena ahora —aprovechando la renovación obligatoria— o a la fuerza dentro de dos años.
La escala ayuda a entenderlo: según los datos de transparencia de la propia FNMT-RCM, a cierre de 2024 había 15.889.596 certificados CERES activos en España (página actualizada el 21 de marzo de 2025), y una parte muy considerable no está hoy en manos de su titular. El conflicto, además, ya llega al mostrador. En un hilo del foro de fiscalidad de Rankia abierto en junio de 2025, un contribuyente resumía así su discusión con el despacho: "Al final ha aceptado que lo hagamos haciéndole un apoderamiento". El cliente conocía la salida legal y el gestor no.
Esta guía cubre qué dice exactamente la norma vigente, qué organismos ya se han pronunciado, a qué te expone la práctica, las cinco vías legales con coste y plazo reales, el calendario RSA→curva elíptica y un plan de trabajo para tu cartera.
La pregunta incómoda: ¿quién usó qué certificado la semana pasada?
Si la respuesta es "no sabría decirte", el problema no es el archivo: es que no hay rastro. CopilotGestoria custodia el certificado cifrado —la clave privada nunca queda en claro en un disco— y registra cada uso con su autor, su fecha y el consentimiento del cliente detrás.
Ver cómo se custodia y se audita🔍 1. Qué dice exactamente la ley (y la cita que todo el sector copia mal)
1.1. El documento fundacional: la nota del Ministerio de 2019
El texto que abrió el debate en España se titula "Nota sobre la utilización de certificados electrónicos por personas diferentes del titular o firmante". La firmó la Subdirección General de Servicios de la Sociedad de la Información, dentro de la entonces Secretaría de Estado para el Avance Digital (Ministerio de Economía y Empresa), y se difundió por los colegios profesionales en mayo de 2019. Su conclusión no admite lectura amable:
"En conclusión, la posibilidad de que el titular/firmante de un certificado electrónico expedido a su nombre transfiera su posesión y revele sus claves de acceso a un tercero, no es conforme con la legislación vigente, nacional y comunitaria, en materia de servicios electrónicos de confianza."
1.2. El "artículo 25 de la Ley 6/2020" no existe
Conviene saberlo antes de citar nada en una hoja de encargo o en un correo a un cliente. Decenas de artículos, publicaciones profesionales y materiales de proveedores apoyan la prohibición en un supuesto "artículo 25 de la Ley 6/2020", o en un "artículo 24" según la versión. Ninguno de los dos existe: la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, tiene 20 artículos, más cuatro disposiciones adicionales, dos transitorias, una derogatoria y siete finales. Puede comprobarse en el texto consolidado del BOE-A-2020-14046.
El origen del error es rastreable: la nota ministerial de 2019 se apoyaba en el artículo 24.1 de la Ley 59/2003, de firma electrónica, y esa ley quedó derogada el 13 de noviembre de 2020 por la disposición derogatoria única de la Ley 6/2020. Alguien arrastró el número del artículo a la ley nueva y la cita se copió en cadena durante seis años.
1.3. La cadena normativa correcta y vigente a agosto de 2026
| Precepto vigente | Qué establece | Consecuencia para el despacho |
|---|---|---|
| eIDAS, Reglamento (UE) 910/2014, art. 3.10 y 3.13 | Define "firmante" como la persona física que crea la firma, y los "datos de creación de firma" como los datos únicos que utiliza el firmante. | El firmante es una persona concreta, no un despacho. |
| eIDAS, art. 26.c) | Una firma es avanzada solo si se crea con datos que el firmante puede utilizar, con un alto nivel de confianza, "bajo su control exclusivo". | La pieza clave. Un .p12 en un servidor compartido no está bajo control exclusivo de nadie. |
| eIDAS, Anexo I | Los certificados cualificados incluirán al menos el nombre del firmante o un seudónimo. | El certificado identifica a una persona; usarlo otra rompe esa identificación. |
| Ley 6/2020, art. 5.1.b) | Obliga a solicitar la revocación ante la "violación o puesta en peligro del secreto de los datos de creación de firma". | Compartir las claves activa, literalmente, un deber de revocación. |
| Ley 6/2020, art. 11.1.c) y d) | El prestador no responde de los daños si hubo negligencia en la conservación de los datos de creación de firma o de su confidencialidad. | El riesgo se queda en el titular y, por vía civil, en quien lo custodiaba. |
Y ahora la precisión que marca la diferencia entre un argumento que aguanta una conversación difícil y uno que se cae al primer contraste: no existe un tipo sancionador específico que castigue "ceder el certificado" como tal. Lo que existe es una declaración expresa de la autoridad competente de que la conducta no es conforme a Derecho, más tres vías por las que las consecuencias llegan igualmente.
2. Cuatro organismos públicos ya lo han dicho (el último, señalando a los gestores)
Una de las razones por las que la práctica sobrevive es que se percibe como zona gris. No lo es: hay cuatro pronunciamientos públicos escalonados en seis años, y el más reciente menciona expresamente a los despachos.
| Organismo | Fecha | Qué dijo |
|---|---|---|
| Ministerio de Economía y Empresa | Abril de 2019 | Transferir la posesión del certificado y revelar las claves "no es conforme con la legislación vigente, nacional y comunitaria". |
| SEDIA (Secretaría de Estado de Digitalización e IA) | Febrero de 2022 | Nota aclaratoria que reitera el criterio y añade un matiz decisivo: los datos de creación de firma pueden ser gestionados por un tercero en nombre del firmante, siempre que se garantice que el entorno se usa bajo el control exclusivo del titular. |
| FNMT-RCM (FAQ 1714) | Vigente | Recomienda "que el certificado no se entregue a terceros, siendo el firmante y, en su caso cuando se trata de un certificado de representante, la entidad representada los responsables de su custodia". |
| Banco de España (Portal del Cliente Bancario) | 9 de septiembre de 2025 | "En el Banco de España ya hemos detectado anomalías en el uso de los certificados electrónicos." Cita expresamente la cesión "a gestores y consultores". |
El matiz de SEDIA merece subrayarse porque abre la única puerta técnicamente válida: la norma no prohíbe que un tercero gestione los datos de creación de firma, prohíbe que se pierda el control exclusivo del titular. Esa es la frontera entre un fichero copiado en una carpeta —donde el control se pierde de forma irreversible, porque una copia no se puede "devolver"— y un entorno donde la clave no sale nunca, cada uso queda registrado y el titular puede cortar el grifo. La FNMT añade que muchas webs de asistencia "se quedan con copia del certificado del usuario por lo que, no se cumple la obligación de su custodia": cambia "webs de asistencia" por "carpeta del servidor del despacho" y la frase describe la operativa de miles de asesorías españolas.
⚖️ 3. Qué te expone realmente: tres vías de riesgo
3.1. La vía penal: art. 400 bis del Código Penal (no el 399 bis)
El precepto que encaja con el uso del certificado auténtico de otra persona es el artículo 400 bis del Código Penal, introducido por la Ley Orgánica 5/2010 y vigente desde el 23 de diciembre de 2010:
"En los supuestos descritos en los artículos 392, 393, 394, 396 y 399 de este Código también se entenderá por uso de documento, despacho, certificación o documento de identidad falsos el uso de los correspondientes documentos, despachos, certificaciones o documentos de identidad auténticos realizado por quien no esté legitimado para ello."
La clave está en la palabra auténticos: el tipo no exige falsificar nada, basta con usar un documento verdadero sin estar legitimado. El Tribunal Supremo ha aplicado ese esquema, por ejemplo, al uso de un permiso de conducir auténtico por quien no es su titular.
3.2. La vía de protección de datos: RGPD
Es la más probable, porque no depende de que pase nada grave: depende de una inspección o de una reclamación. Un .p12 en carpeta compartida sin control de acceso por persona incumple de forma directa el artículo 32 del RGPD (seguridad del tratamiento) y el artículo 5.1.f) (integridad y confidencialidad). Y como el despacho suele actuar como encargado del tratamiento, arrastra el artículo 28: contrato de encargo obligatorio con instrucciones documentadas.
Tampoco aquí conviene exagerar: no hemos localizado ninguna resolución publicada de la AEPD que sancione específicamente a una gestoría por custodiar o usar el certificado de un cliente. Lo que sí hay son resoluciones análogas que dan el orden de magnitud: 4.000 € a una gestoría por comunicar documentación de un cliente a un tercero sin base legítima, y 2.000 € a una asesoría por enviar a un cliente un certificado perteneciente a otra persona. No son el mismo supuesto; son la vara de medir. Para ordenar esta parte con método está nuestra guía sobre RGPD en gestorías, multas y lista de verificación.
Antes de seguir: audita cómo están hoy tus accesos
Los certificados en carpeta compartida casi nunca son un problema aislado: vienen con contraseñas compartidas, equipos sin cifrar y ex-empleados con acceso residual. Esta guía de comprobación recorre los 40 puntos que un despacho debería tener resueltos.
3.3. La vía civil — y la motivación que nadie confiesa
Si con el certificado de un cliente se presenta algo mal, se deja de presentar, o alguien de dentro hace un uso indebido, la reclamación llega por responsabilidad civil contractual (artículos 1101 y siguientes del Código Civil). Lo desarrollamos en el artículo sobre responsabilidad civil del asesor fiscal y seguro de RC. Y aquí aparece el ángulo incómodo: en una consulta pública de julio de 2019 en Todoexpertos, un autónomo contaba que su gestoría se negaba a prestarle servicio si no le entregaba el certificado y que, al proponer el apoderamiento, el gestor lo rechazó y le sugirió buscar otro profesional. Un economista asesor le respondió con el motivo real: hay asesores que piden el certificado del cliente porque no quieren firmar con el suyo, para no verse involucrados en posibles irregularidades.
Esa creencia —"si firma su certificado, lo firma él"— es una falsa protección por tres motivos. Primero, porque usar materialmente el certificado sin estar legitimado es justo el supuesto del artículo 400 bis. Segundo, porque la responsabilidad civil del asesor no nace de qué certificado se usó, sino del encargo profesional aceptado. Y tercero, porque el efecto es el contrario del buscado: al no quedar rastro de quién autorizó qué, el despacho pierde precisamente la prueba que necesitaría para defenderse. Firmar con el certificado del cliente no traslada el riesgo: lo hace invisible.
4. La matriz que casi nadie publica: trámite → vía legal
La conversación cambia cuando se deja de discutir "¿es legal o no?" y se pasa a "¿qué necesito para el trámite que tengo delante?". Casi todo lo que hace una gestoría a diario tiene una vía habilitada que no requiere el certificado del cliente.
| Ámbito / trámite | Vía correcta | ¿Hace falta el certificado del cliente? |
|---|---|---|
| AEAT — presentar autoliquidaciones (303, 111, 130, 200…) | Colaboración social + título de representación (art. 46 LGT) | No |
| AEAT — trámites concretos, consultas, recursos, aportar documentación | Registro de Apoderamientos (REA) | No |
| AEAT — recibir y leer notificaciones | Apoderamiento con el trámite GENERALNOT / DEHú |
No |
| AEAT — actuación puntual y aislada | Documento normalizado de representación (art. 46 LGT) | No |
| TGSS — afiliación, cotización, partes de IT | Autorización al Sistema RED (formulario FR.101) | No |
| Notificaciones de la Seguridad Social | Apoderamiento en SEDESS | No |
| Firmar en nombre de la propia sociedad | Certificado de representante a nombre de quien firma | No (es propio del firmante) |
| Registro Mercantil, DGT, comunidades autónomas, ayuntamientos, subvenciones | Caso a caso: catálogos de apoderamiento dispares o inexistentes | A veces sí — aquí está el residuo real |
La última fila es la honesta: las cinco vías no cubren el 100 % de los trámites, porque las sedes autonómicas y locales van cada una a su ritmo. Lo que sí puede afirmarse es que el grueso del volumen diario —AEAT y TGSS— está cubierto, y que reducir la carpeta de certificados a los casos residuales cambia por completo la magnitud del riesgo.
Y para lo que sí exige el certificado del titular
CopilotGestoria presenta el Modelo 303, el 130 y el 111 con el certificado del propio cliente, bajo un consentimiento firmado y descargable en PDF, sin que nadie del despacho manipule el fichero. El cliente puede revocar la autorización cuando quiera y el despacho no puede saltárselo.
5. Las cinco vías legales: quién puede, cuánto cuesta y dónde falla cada una
5.1. Registro de Apoderamientos de la AEAT (REA)
Permite que cualquier obligado tributario inscriba un poder a favor de una persona física o jurídica para realizar por Internet los trámites tributarios habilitados. Su base es el artículo 46 de la Ley 58/2003, General Tributaria, desarrollado por la Resolución de 18 de mayo de 2010 de la Dirección General de la AEAT. No hace falta ser colegiado. Se otorga por identificación electrónica del poderdante —el cliente entra con su certificado o Cl@ve y te apodera en minutos—, por documento con firma notarialmente legitimada o por comparecencia personal en una oficina de la AEAT. Coste: 0 € salvo la vía notarial.
Su límite es doble: el poder solo surte efecto respecto de los trámites a los que se refiere expresamente —se apodera por catálogo, no en bloque— y el ámbito es exclusivamente AEAT. Los códigos que hemos podido confirmar hoy son GENERALLEY58, GENERALDATPE y GENERALNOT; consulta la relación de trámites habilitados de la Sede Electrónica el día en que lo tramites, porque el catálogo se actualiza. Además, los apoderamientos caducan: el vencimiento masivo del 1 de abril de 2026 lo cubrimos en la guía sobre prórroga y caducidad de apoderamientos AEAT.
5.2. Colaboración social (y su modalidad delegada)
Regulada en el artículo 92 de la LGT y desarrollada en los artículos 79 a 81 del Real Decreto 1065/2007, con la Orden HAC/1398/2003 —modificada por la Orden HFP/534/2022— como norma de detalle. Es la vía que hace innecesario el certificado del cliente para el trabajo fiscal ordinario. Requisitos según la Sede de la AEAT: pertenecer a un colegio o asociación profesional con acuerdo firmado con la Agencia Tributaria, suscribir un documento individualizado de adhesión y figurar en la relación de colegiados que la entidad comunica periódicamente a la AEAT. El alta es gratuita; el coste real es la cuota colegial.
La pieza que resuelve el "todo el despacho comparte un certificado" es la colaboración social delegada: permite dar de alta a los empleados como delegados para que cada uno presente por terceros con su propio certificado de persona física o de empleado. Anota su restricción antes de contratar a alguien que venga de otro despacho, en palabras de la Sede: "Una persona empleada podrá estar autorizada como delegada por una sola persona colaboradora social en cada momento".
5.3. Autorización al Sistema RED (TGSS)
Regulada por la Orden ESS/484/2013, de 26 de marzo, y solicitada con el formulario FR.101 en el registro electrónico de la Sede de la Seguridad Social. El certificado que se usa es el del autorizado RED —el despacho—, y la empresa cliente simplemente autoriza para que la TGSS vincule sus códigos de cuenta de cotización a ese perfil. Cubre afiliación, cotización, partes de incapacidad temporal y ficheros AFI; no cubre nada de la AEAT. El dato que más planificación exige está en la propia Orden: la Tesorería dispone de un plazo máximo de tres meses para notificar la resolución expresa, transcurrido el cual la solicitud puede entenderse desestimada por silencio administrativo. Traducido: la autorización RED de un cliente nuevo no se improvisa en enero.
5.4. Apoderamiento para notificaciones (DEHú y SEDESS)
En tiempo ahorrado es la vía que más "carpeta de certificados" elimina, porque la razón número uno por la que un despacho guarda certificados no es presentar: es vigilar buzones. Se resuelve apoderando en el REA con el trámite GENERALNOT, o en el registro general de apoderamientos, y accediendo a la Dirección Electrónica Habilitada única. Coste 0 € y efecto inmediato si el poderdante se identifica electrónicamente. Su límite es que caduca: el protocolo completo está en la guía de DEHú y gestión de notificaciones electrónicas, y la vía equivalente en Seguridad Social, en la de la Orden ISM/541/2026 y el apoderamiento en SEDESS.
5.5. Certificado de representante y firma centralizada en HSM
El certificado de representante identifica a una persona física en su condición de representante de una entidad. Precios oficiales verificados hoy en la lista de la FNMT-RCM:
| Tipo de certificado de representante | Sin IVA | Con IVA |
|---|---|---|
| Representante de administrador único o solidario | 24 € | 29,04 € |
| Representante de persona jurídica | 14 € | 16,94 € |
| Representante de entidad sin personalidad jurídica | 0 € | 0 € |
Un error que se comete a diario: quien sea administrador único o solidario no debe solicitar el certificado de representante de persona jurídica, sino el suyo específico. Y el límite honesto de esta vía es que no resuelve nada por sí sola: si el certificado es del administrador del cliente y acaba guardado en el despacho, el problema es el mismo que al principio. Solo es solución cuando el titular es alguien del despacho actuando con un mandato válido.
Lo que sí cambia las cosas técnicamente es la firma centralizada: el certificado se genera y custodia en un módulo de seguridad hardware (HSM) que puede estar certificado como dispositivo cualificado de creación de firma conforme al Reglamento (UE) 910/2014. La clave privada nunca sale ni se copia y cada uso queda registrado, que es lo contrario del .p12 duplicado. Dicho con todas las letras: ningún sistema técnico legaliza por sí solo el uso del certificado de un tercero; la base jurídica sigue siendo el mandato del titular. En el horizonte, el Reglamento (UE) 2024/1183 (eIDAS 2) obliga a cada Estado a ofrecer una cartera de identidad digital europea; la Comisión Europea sitúa el compromiso "by 2026" y varias fuentes secundarias concretan una fecha del último trimestre de ese año que no hemos podido confirmar en la comunicación oficial. No resuelve el problema del despacho —es identidad del ciudadano en su móvil—, pero deja el modelo de la carpeta compartida sin ningún futuro.
5.6. Vía adicional: tu colegio como Oficina de Registro de la FNMT
No es una alternativa al certificado, sino un atajo logístico que va a valer oro en los próximos dos años. Varios colegios están acreditados como Oficina de Registro de la FNMT y pueden acreditar la identidad de sus colegiados y de los clientes de estos. El Colegio de Economistas de Valencia, por ejemplo, publica hoy 0 € el certificado de persona física para un colegiado y 15 € para el cliente de un colegiado, prestando el servicio "exclusivamente a colegiados/as y a sus clientes en su caso". Cada colegio fija su tarifa: comprueba la del tuyo.
El equipo del despacho, cada uno con lo suyo
La colaboración social delegada va en la misma dirección que debería ir tu software: que cada empleado trabaje con su identidad y solo sobre los clientes que tiene asignados. En CopilotGestoria cada miembro del equipo ve únicamente su cartera y toda acción queda firmada con su autor real.
Ver control de accesos y permisos📅 6. El calendario RSA → curva elíptica que obliga a tocar toda la cartera
Aunque decidieras no cambiar nada de lo anterior, hay un plazo que no depende de ti. En su noticia "Plan de transición a Certificados de Curva Elíptica (ECC)", de 9 de diciembre de 2025, la FNMT-RCM fijó dos fechas que afectan a todos los certificados de firma y autenticación —ciudadanos, representantes, sector público, sello electrónico y sedes electrónicas—:
| Fecha | Qué ocurre | Fuente |
|---|---|---|
| 31 de diciembre de 2026 | Último día de emisión de certificados con RSA. A partir de ahí, todo nuevo certificado será de curva elíptica. | FNMT-RCM, noticia de 09-12-2025 |
| 31 de diciembre de 2028 | Caducidad máxima de cualquier certificado RSA ya emitido. Ninguno vivirá más allá de esa fecha. | FNMT-RCM, misma noticia, siguiendo la directriz del CCN |
| 12 de marzo de 2026 no te afecta | Los certificados de servidores seguros TLS pasan a 199 días de validez máxima. | FNMT-RCM, noticia de 10-03-2026 |
La directriz de fondo es del Centro Criptológico Nacional: autoriza a los prestadores de servicios de confianza a seguir usando claves RSA de 2048 bits hasta el 31 de diciembre de 2026 y limita la validez de lo emitido con ese algoritmo hasta el 31 de diciembre de 2028. Técnicamente, una clave ECC de 256 bits equivale a una RSA de 3072 bits.
6.1. Dos bulos que están circulando ahora mismo
"La FNMT deja de emitir RSA a finales de noviembre de 2026". Tiene un origen concreto: la presentación "Sesión técnica sobre Certificados de Curva Elíptica" de la Agencia Digital de Andalucía (mayo de 2026), cuya diapositiva 4 afirma que la FNMT dejará de emitir RSA "a final de noviembre de 2026"… mientras su propia diapositiva 7 dice "Sólo se podrán emitir RSA hasta final de 2026". El documento se contradice a sí mismo y una de sus dos versiones se ha propagado como oficial. La fecha buena, verificada hoy en fuente primaria, es el 31 de diciembre de 2026.
"Mi certificado pasa a durar 199 días". No. El recorte afecta a los certificados de servidores seguros TLS —sedes electrónicas y certificados de servidor web estándar, comodín y multidominio—, es un requisito del CA/Browser Forum y no tiene relación con la migración a curva elíptica ni con el certificado de persona física de tu cliente.
6.2. Qué se rompe con ECC (y qué no)
La misma sesión técnica publica la tabla de compatibilidad, con una advertencia literal: "las aplicaciones no actualizadas a los nuevos certificados ECC no tendrán posibilidad de usar certificados RSA".
| Aplicación | Versión | ¿Compatible con ECC? |
|---|---|---|
| AutoFirma (escritorio y móvil) | v1.9 | Sí |
| AutoFirma | v1.8, v1.6 y anteriores | No |
| @firma | v6.4 | Sí |
| @firma | v5.5 (apagado definitivo: 30 de junio de 2026) | No |
| Java (almacén propio) | 1.8.0_51 o superior | Sí |
| Java | 1.7 o inferior | No |
| Notific@ (backend) | v5.3.1.0 | Sí |
| Port@firmas corporativo | v3.7.11 | Sí |
La lectura para un despacho es sencilla: comprueba tu versión de AutoFirma, la de Java de los equipos que firman y —sobre todo— pregunta a tu proveedor de software y a las sedes autonómicas con las que trabajas si ya soportan ECC. El riesgo no está solo en el certificado, está en la cadena que lo usa.
7. La trampa operativa: la renovación en línea no siempre está disponible
Aquí está el detalle que convierte un cambio técnico en un problema de agenda. Son dos reglas de la FNMT que, con una cartera de doscientos clientes, no se resuelven a ojo.
Regla 1 — La ventana es de 60 días. En palabras de la FNMT: "El proceso de renovación de tu Certificado de Ciudadano podrá realizarse durante los 60 días previos a la fecha de caducidad". No se puede renovar antes; si caduca, se empieza de cero.
Regla 2 — La renovación en línea no vale siempre. El texto de la FNMT, verificado hoy: "Si el certificado que quieres ahora renovar lo obtuviste identificándote con otro certificado digital, DNIe, mediante Vídeo-Identificación o ya fue renovado anteriormente, no podremos emitirte un nuevo certificado sin que acredites tu identidad presencialmente en una de nuestras Oficinas de Registro, mediante el servicio de Vídeo-Identificación o con la lectura de tu DNIe".
Conviene leerlo con cuidado, porque circula una versión exagerada: no es que la renovación exija obligatoriamente una visita presencial. Es que se acaba el atajo de "renovar con el certificado que ya tengo" y hay que volver a acreditar la identidad por una de las tres vías —oficina de registro, vídeo-identificación de pago o lectura del DNIe—. Cualquiera de las tres exige algo del cliente. Y ahí está el trabajo.
Un cálculo propio, no una estadística
Si tu despacho lleva 200 clientes y la mitad de sus certificados ya no admite el atajo de renovación en línea, hablamos de 100 re-acreditaciones de identidad repartidas en ventanas de 60 días distintas, entre hoy y el 31 de diciembre de 2028. A quince minutos de coordinación por cliente —localizarlo, explicárselo, agendarlo y comprobar que lo hizo— son 25 horas de despacho que aparecerán solas, sin factura asociada, si nadie las planifica antes. Es una estimación con tus propios números, no un dato de sector.
La salida operativa es la de la sección 5.6: los colegios acreditados como Oficina de Registro de la FNMT pueden acreditar la identidad de los clientes de sus colegiados, a tarifas contenidas y sin la cola de una oficina pública.
Que la caducidad no te la avise el error de la Sede
Un certificado caducado el día 18 de un mes de presentación es un problema de otra categoría. CopilotGestoria vigila las caducidades de los certificados custodiados, avisa con antelación y detiene la operativa cuando el certificado expira o el cliente retira su autorización.
8. Plan de migración de la cartera: qué hacer el lunes
8.1. El inventario y el orden de prioridad
No se puede planificar lo que no está contado. El inventario mínimo tiene una fila por certificado con estas columnas: titular, NIF, tipo, algoritmo (RSA o ECC), fecha de emisión, caducidad, cómo se obtuvo, si ya se renovó alguna vez, dónde está físicamente hoy y qué vía legal alternativa cubriría sus trámites. Con eso montado, el orden se decide solo:
- Certificados que caducan en los próximos 12 meses. Tienen una acción con fecha; aprovecha la renovación para cambiar el modelo de trabajo. Es la única conversación de este tipo que el cliente ya espera tener.
- Clientes de puro trabajo fiscal y laboral. Los cubren la colaboración social y el Sistema RED: aquí el certificado se puede devolver directamente.
- Clientes cuyo trabajo es sobre todo vigilar notificaciones. Se resuelven con un apoderamiento en una tarde.
- Clientes con trámites autonómicos, locales o registrales. Son el residuo: si hay que custodiar, con autorización escrita, revocable, de alcance limitado y con registro de cada uso.
8.2. Protocolo de 10 puntos para el lunes por la mañana
- Cuenta cuántos certificados de clientes hay hoy en el despacho: carpetas de red, equipos, pendrives y correo. La cifra suele sorprender.
- Cierra el acceso general: nadie debe abrir la carpeta de certificados solo por estar dentro de la red.
- Da de alta la colaboración social y activa la modalidad delegada para que cada empleado use su propio certificado.
- Prepara una tanda de apoderamientos en el REA con los trámites que realmente usas, empezando por
GENERALNOT. - Revisa qué autorizaciones al Sistema RED tienes vivas y cuáles faltan, contando con los tres meses de resolución.
- Redacta la autorización escrita para los casos residuales: alcance, duración, revocabilidad y registro de usos. Que la firme el cliente.
- Escribe el protocolo de baja de empleado: qué accesos se cortan y en cuánto tiempo.
- Monta el inventario del punto 8.1 y ordénalo por fecha de caducidad.
- Comprueba tu versión de AutoFirma —necesitas la 1.9— y pregunta a tu proveedor de software si ya soporta ECC.
- Manda la comunicación a los clientes: es el paso que casi nadie da y el que convierte el problema en argumento comercial.
8.3. Cómo se lo cuentas al cliente
El error de tono habitual es escribir una carta defensiva llena de artículos. Funciona mejor presentarlo como una mejora del servicio, que es exactamente lo que es.
Estimado [cliente]:
A partir de ahora no necesitamos tener tu certificado digital para trabajar. Vamos a tramitar un apoderamiento electrónico ante la Agencia Tributaria —entras con tu certificado o Cl@ve, tarda cinco minutos y no tiene coste— y podremos hacer exactamente lo mismo que hasta ahora, con dos diferencias: tu certificado se queda contigo y tú puedes ver y revocar el poder cuando quieras.
El motivo es que la normativa europea de firma electrónica exige que el certificado esté siempre bajo el control exclusivo de su titular. Te adelantamos además que la Fábrica Nacional de Moneda y Timbre está renovando la tecnología de todos los certificados y que el tuyo deberá renovarse antes del 31 de diciembre de 2028: te avisaremos cuando se abra tu ventana de renovación.
Si nos devuelves este correo con un "adelante", lo dejamos preparado esta semana.
Y de paso, ordena el encargo con tus clientes
La conversación sobre el certificado es el momento natural para revisar el contrato de encargo de tratamiento y los accesos a datos. Esta guía recorre los 30 puntos de cumplimiento en protección de datos que una gestoría debería tener resueltos.
❓ Preguntas frecuentes
Conclusión: dos problemas que se resuelven con el mismo trabajo
Casi todos los despachos españoles llevan quince años trabajando con los certificados de sus clientes instalados en sus equipos, y casi todos por la misma razón: funcionaba y nadie decía nada. Ya no es así. Cuatro organismos públicos —Ministerio, SEDIA, FNMT y Banco de España, este último señalando expresamente a "gestores y consultores" en septiembre de 2025— han dicho lo mismo con distintas palabras, y los clientes han empezado a leerlo antes que sus asesores.
La parte buena es que el problema legal y el técnico se resuelven con el mismo movimiento. Vas a tener que tocar toda la cartera de certificados igualmente antes del 31 de diciembre de 2028 porque lo impone el calendario de la FNMT, y una parte necesitará volver a acreditar identidad en ventanas de 60 días que no admiten improvisación. Es el momento de cambiar el modelo: apoderamiento en la AEAT para lo que lo requiera, colaboración social —y su modalidad delegada— para el trabajo fiscal, Sistema RED para lo laboral y apoderamiento de notificaciones para los buzones. Cinco vías, coste cercano a cero en la mayoría, y el certificado se queda donde debe estar.
Para el residuo que ninguna vía cubre —que existe, y negarlo sería deshonesto— la pregunta correcta no es "¿lo guardo o no?", sino "¿bajo qué condiciones?": autorización escrita y revocable, alcance limitado, acceso identificado por persona, clave que no se copia y registro de cada uso. Y si vas a mantener esta conversación con tus clientes este trimestre, ten a mano el dato que la sostiene: la cita del artículo 25 de la Ley 6/2020 que circula por el sector no existe; lo que sí existe es el artículo 26.c) del Reglamento eIDAS y su exigencia de control exclusivo.
Antes de la campaña del próximo trimestre
Los errores que acaban en requerimiento de la AEAT casi nunca son de criterio: son de proceso. Esta guía recopila los diez fallos que más requerimientos generan en un despacho y cómo detectarlos antes de presentar.
Cuando tengas que custodiar, que sea así
CopilotGestoria guarda el certificado cifrado —la clave privada nunca queda en claro en un disco—, exige un consentimiento firmado por el cliente que él mismo puede revocar, y presenta el Modelo 303, el 130 y el 111 dejando justificante y trazabilidad de cada envío. El gestor revisa y decide; el certificado no pasa por ninguna carpeta. 30 días gratis.
Aviso: esta guía tiene finalidad divulgativa y refleja la normativa y las fuentes oficiales consultadas el 10 de agosto de 2026. No sustituye al asesoramiento jurídico individualizado, especialmente en lo relativo al encaje penal descrito en la sección 3.1, sobre el que no hemos localizado jurisprudencia específica. Verifica siempre códigos de trámite, precios y plazos en las sedes electrónicas correspondientes en el momento de la gestión. Más artículos en nuestro blog y dudas frecuentes en preguntas frecuentes.