Permiso INDOTEL para Custodiar Firmas Digitales: Qué Deben Hacer las Plataformas SaaS de Facturación Electrónica
Las plataformas que guardan y usan el certificado digital de sus clientes para firmar e-CF deben demostrar que lo hacen bajo una autorización o sobre la infraestructura de una entidad autorizada.
Para emitir un e-CF, cada comprobante se firma con un certificado digital. Muchas plataformas SaaS guardan ese certificado en sus servidores para que el cliente no tenga que cargarlo cada vez. Esa comodidad tiene un nombre regulatorio, y una condición: la DGII ya dejó dicho qué debe cumplir quien custodia certificados de terceros.
Qué es ser custodio de firma
En el marco de la Ley 126-02, INDOTEL reconoce como servicio electrónico de confianza la "Gestión de Datos de Creación de Firma en Nombre del Firmante". En lenguaje simple: un tercero guarda la clave privada del firmante y firma por él, a distancia, cuando este se lo autoriza. Es lo que se conoce como firma remota o en la nube.
Es distinto de emitir certificados digitales (eso lo hacen las Entidades de Certificación) y distinto de usar el certificado desde tu propia computadora. Aquí la plataforma retiene la clave y la usa en tu nombre.
Según la respuesta oficial de INDOTEL a una consulta formal (20 de octubre de 2026), si la aplicación solo es la herramienta con la que el titular firma y los datos de creación de firma permanecen bajo su control, es un dispositivo de creación de firma (Anexo I, art. 6.1, literal o). En cambio, si la plataforma almacena o custodia los certificados de sus clientes y genera firmas con ellos, es el servicio de confianza regulado en el art. 16, y solo puede prestarlo un Prestador Cualificado de Servicios de Confianza.
Qué dice el reglamento
El 3 de julio de 2025, el Consejo Directivo de INDOTEL aprobó la Resolución núm. 067-2025, que contiene la Norma Complementaria sobre Servicios de Confianza y Certificación Digital y la Norma sobre Procedimientos de Autorización y Acreditación. Entre lo que establece para este servicio:
- •Es un servicio cualificado. La norma contempla el acceso remoto del suscriptor a sus datos de creación de firma, con el certificado alojado en el centro de datos de la entidad, sujeto a un Acuerdo de Nivel de Servicio (art. 17).
- •Identidad verificada. Los datos del firmante se contrastan con los registros de la JCE o, en extranjeros, con pasaporte u otro documento de viaje (art. 36.2).
- •Auditorías. Evaluación de conformidad cada dos años y pruebas de seguridad anuales (arts. 49 y 50).
- •Conservación. Datos de suscriptores y documentos de apoyo por 20 años, y registros de certificados por 40 años desde su revocación o expiración.
En esa misma respuesta oficial, INDOTEL confirmó las condiciones que debe cumplir quien presta el servicio: los datos de creación de firma se generan, custodian y usan en un dispositivo cualificado; las copias de respaldo solo con igual nivel de seguridad y en el mínimo necesario; acceso 24 horas, 7 días a la semana, con acuerdos de nivel de servicio de al menos 99% de disponibilidad y corrección de fallos en menos de 30 minutos diarios, con indemnización a los suscriptores si se incumple (art. 17); y los estándares ETSI EN 319 401, TS 119 431-1, TS 119 431-2 y TS 119 432.
Para trámites tributarios, la Resolución 035-2020 agrega que los certificados de personas físicas solo pueden ser emitidos por Entidades de Certificación autorizadas por INDOTEL o por entidades extranjeras reconocidas, y que los datos de creación de firma son confidenciales.
El art. 22, párrafo I, del Decreto 587-24 y una respuesta de la DGII en su Comunidad de Ayuda establecen que si un proveedor custodia o manipula certificados digitales de sus clientes para firmar e-CF desde su propia infraestructura, debe cumplir una de dos condiciones. Las detallamos abajo.
Quién lo necesita y las dos vías que acepta la DGII
Aplica a toda plataforma, dominicana o extranjera, que guarde el certificado de sus clientes y firme los e-CF en su nombre. Según la respuesta de la DGII, debe cumplir una de estas dos condiciones:
Vía A · Interconexión
- Interconectarse con una Entidad de Certificación autorizada por INDOTEL
- Entregar a la DGII documentación contractual que demuestre que el uso del certificado y la firma de los e-CF ocurren en la infraestructura de esa entidad
- Suele ser la ruta más corta
Vía B · Autorización propia
- Contar con autorización vigente de INDOTEL para “Gestión de Datos de Creación de Firmas en Nombre de Firmante”
- Implica dispositivo cualificado (HSM certificado), auditoría de conformidad, póliza de seguro y resolución del Consejo Directivo
- Más control, pero más tiempo e inversión
INDOTEL aclaró que corresponde a la DGII establecer los requisitos del trámite para presentar la documentación contractual o la autorización, según el art. 22 del Decreto 587-24. Antes de firmar un contrato de interconexión, confirma con la DGII qué debes entregarle.
Requisitos técnicos y documentos
La solicitud se presenta como Prestador Cualificado de Servicios Electrónicos de Confianza, con el formulario de Solicitud de Autorización para Prestar Servicios de Certificación y de Confianza (arts. 4 y siguientes del Anexo II). El solicitante debe ser una persona jurídica constituida en República Dominicana o en el extranjero, con domicilio legal en territorio dominicano, y la autorización vale solo para los servicios que se otorgan.
Condiciones técnicas
- ✓Dispositivo cualificado para los datos de creación de firma: en firma remota, un módulo de seguridad por hardware (HSM) certificado, evaluado según ISO 15408 con perfil EN 419221-5 (CC EAL4+) como mínimo
- ✓Respaldos con el mismo nivel de seguridad que los originales y en el mínimo necesario
- ✓Acuerdo de nivel de servicio: 24x7, 99% de disponibilidad, fallos corregidos en menos de 30 minutos diarios
- ✓Cumplimiento de los estándares ETSI antes citados
Documentos
- ✓Datos del solicitante y de su representante legal, RNC y tipo de servicio
- ✓Poder o mandato del apoderado y copia certificada del Registro Mercantil vigente
- ✓Certificación de la DGII de que estás al día en tus obligaciones tributarias
- ✓Políticas de certificación, manual de procedimientos, plan de seguridad, plan de cese de actividades, plan de contingencia y política de protección de datos personales
- ✓Informe de evaluación de la conformidad emitido por un organismo acreditado ante el ODAC (o equivalente), conforme a ISO 17065 y ETSI EN 319 403
- ✓Informe de pruebas de seguridad (caja negra, gris y blanca) de un organismo registrado ante INDOTEL
- ✓Documentos en español o con traducción de intérprete judicial; documentos extranjeros apostillados o legalizados
Una vez aprobada la evaluación, debes contratar el seguro de responsabilidad civil conforme a la Resolución 043-2021. Ya autorizado, presentas cada dos años el informe de evaluación de la conformidad y cada año el de pruebas de seguridad.
Pasos para obtener el permiso
Según el procedimiento que INDOTEL detalló oficialmente (arts. 15 a 18 del Anexo II), con plazos en días hábiles:
Decide la ruta
Evalúa si te conviene interconectarte con una Entidad de Certificación autorizada (Vía A) o solicitar tu propia autorización (Vía B). La Vía A evita la inversión en HSM y auditorías propias.
Reúne el expediente
Prepara los documentos legales y técnicos de la sección anterior. Los informes de conformidad y de pruebas de seguridad son los que más tiempo toman, porque dependen de terceros acreditados.
Presenta la solicitud
Por escrito, a través de la Dirección Ejecutiva de INDOTEL o por los medios electrónicos que habilite (art. 4 del Anexo II). Registra tu domicilio ante INDOTEL.
Admisibilidad y auditoría
Si la documentación es admisible, la Dirección Ejecutiva envía una carta de admisibilidad y el Departamento de Firma Digital coordina la auditoría con base en la Resolución 067-2025 y los estándares ETSI. INDOTEL puede pedir información adicional; si no respondes en plazo, puede declarar la caducidad por falta de interés (art. 7).
Dictamen y subsanación
Si hay incumplimientos subsanables, INDOTEL emite un dictamen y otorga un plazo para corregirlos, comunicado en 3 días. Luego verifica las correcciones en los 30 días siguientes (art. 16).
Seguro y estado de resolución
Cuando el informe de conformidad certifica el cumplimiento y presentas la póliza de seguros, la solicitud pasa a estado de resolución (art. 15.3).
Resolución e inscripción
En los 15 días siguientes el Consejo Directivo formaliza la autorización mediante resolución (art. 17.1), y en los 5 días posteriores quedas inscrito en la Lista de Servicios de Confianza (art. 18).
INDOTEL estima el proceso completo en 180 días hábiles desde que recibe los documentos.
Costos y plazos
Tarifas según el Anexo de la Resolución 060-2020 de INDOTEL, informadas en su respuesta oficial. La tabla liga los RD$20,000 y los RD$45,000 a la autorización como Entidad de Certificación; si te aplican al solicitar solo este servicio, confírmalo con INDOTEL. No incluyen el HSM, el organismo de conformidad acreditado, las pruebas de seguridad ni la póliza de seguro.
Si eres usuario: qué preguntarle a tu plataforma
No tienes que ser técnico para protegerte. Antes de dejar tu certificado digital en cualquier sistema de facturación, pregunta:
- ✓¿Guardan mi certificado digital en sus servidores o lo uso desde mi equipo?
- ✓Si lo guardan, ¿tienen autorización de INDOTEL para ese servicio o están interconectados con una Entidad de Certificación autorizada?
- ✓¿Pueden mostrarme esa autorización o el contrato con la entidad?
- ✓¿Qué pasa con mi certificado si dejo de usar el servicio? ¿Lo eliminan?
- ✓¿Dónde se almacena y con qué medidas de seguridad y respaldo?
Preguntas frecuentes
¿Esto es lo mismo que certificarse como PSFE ante la DGII?
No. La certificación como proveedor de facturación electrónica es ante la DGII. El permiso del que hablamos es ante INDOTEL y solo aplica si la plataforma custodia certificados de sus clientes. La DGII aclaró además que los proveedores extranjeros no están obligados a certificarse como PSFE, pero sí deben cumplir lo anterior si custodian certificados.
¿Un proveedor que no custodia certificados necesita este permiso?
No. Según INDOTEL, si el cliente firma con su certificado y los datos de creación de firma permanecen bajo su control, la aplicación es solo una herramienta de firma. El permiso aplica cuando la plataforma almacena o custodia los certificados y firma con ellos desde su infraestructura.
¿Puedo seguir usando mi plataforma mientras tanto?
Es una pregunta que debes hacerle a tu proveedor y, si tienes dudas, a la DGII. Esta guía no establece plazos de sanción ni fechas de exigibilidad que no hayamos podido verificar.
¿Dónde consulto a INDOTEL?
Correo de asistencia: dau@indotel.gob.do; trámites: correspondencia@indotel.gob.do; teléfonos (829) 732-5555 y (809) 200-9707.
Fuentes
Contenido informativo; no constituye asesoría legal. Las normas, tasas y procedimientos pueden cambiar; confirma con INDOTEL, la DGII o un abogado especialista antes de decidir.
Sigue leyendo
Factura electrónica con respaldo y claridad
Certifícate como emisor con eNemeSys antes del 15 de noviembre.
Regístrate ahora →