Software de control horario homologado: requisitos para la verificación del sistema

¿Por qué se plantea una certificación de los sistemas de fichaje?

A 26/07/2026, Trabajo y Economía han acordado tramitar la reforma en septiembre para resolver las cuestiones planteadas por el Consejo de Estado, según RTVE. El anteproyecto prevé sistemas fiables, inalterables y accesibles para la ITSS, pero los criterios técnicos definitivos aún no se han aprobado ni publicado.

La presión inspectora ya es real. En 2024 se tramitaron 21.411 expedientes en materia de tiempo de trabajo y las sanciones por incumplimiento de la normativa sobre jornada totalizaron 20,2 millones de euros, según el Plan Estratégico de la Inspección de Trabajo y Seguridad Social 2025-2027. El tiempo de trabajo es el segundo motivo de denuncia ante la ITSS, solo por detrás de la falta de alta de trabajadores.

Los motivos que impulsan la certificación son concretos:

• La ITSS ha documentado casos de registros horarios fabricados o alterados en auditorías
• Los convenios colectivos incorporan cada vez más cláusulas sobre autenticidad del fichaje
• La digitalización ha multiplicado los formatos de registro, dificultando la verificación
• La AEPD ha sancionado el uso de sistemas biométricos sin base jurídica, revelando la falta de estándares técnicos claros

Fichaje digital homologado vs. simple cumplimiento legal

No todo software que registra horas es un control horario digital homologado. La diferencia no está en el precio ni en las funciones, sino en la arquitectura técnica del sistema.

Una herramienta de gestión sencilla puede cumplir todos estos requisitos sin añadir complejidad al usuario. La sofisticación técnica debe estar en el motor del sistema, no en la interfaz.

¿Qué requisitos técnicos mínimos se prevén en un sistema certificable por el Ministerio de Trabajo?

El referente técnico más directo en España es VeriFACTU: el sistema de facturación verificable de la Agencia Tributaria regulado por el Real Decreto 1007/2023, de 5 de diciembre, que exige registros inalterables encadenados mediante hash SHA-256 y accesibles por la administración. El Ministerio de Trabajo está siguiendo el mismo patrón regulatorio que la AEAT. A eso se suma el reglamento eIDAS, que establece los estándares europeos de identificación electrónica y servicios de confianza.

De la combinación de ambos marcos emergen cuatro bloques de requisitos técnicos anticipables.

Integridad y trazabilidad (clave legal)

Es el bloque más exigente. VeriFACTU exige que cada registro incluya el hash SHA-256 del registro anterior, formando una cadena criptográfica. Si alguien modifica un dato intermedio, la cadena se rompe y es detectable automáticamente. La misma lógica aplicada al fichaje implica:

• Autenticación individual del usuario: marcaje vinculado a una identidad verificada. Las credenciales compartidas quedan descartadas
• Identificación del dispositivo: UUID del terminal, MAC del lector NFC o fingerprint del navegador en cada fichaje, para detectar suplantaciones o fichajes fraudulentos
• Hash chain SHA-256: cada registro N incluye el hash del registro N-1, calculado sobre todos los campos, no solo el timestamp
• Audit log inmutable: cualquier modificación genera una entrada nueva que conserva dato original, dato modificado, usuario y marca temporal exacta. El log no puede ser editado por ningún administrador
• Correcciones con motivo, autorizador y marca temporal: un fichaje erróneo no se elimina ni sobreescribe, se añade una corrección trazada con aprobación de responsable y cadena de custodia intacta
• Exportaciones trazables: los archivos exportados incluyen metadatos que permiten verificar que no han sido manipulados tras la descarga
• Accesos con control y evidencia: log de accesos con usuario, dispositivo y momento exacto, incluyendo los accesos de administración

Accesibilidad total de los registros

Un sistema que requiere preparar manualmente un informe antes de una inspección no supera este criterio. El anteproyecto prevé acceso remoto de la ITSS sin intervención del empresario, siguiendo una lógica similar al SII (Suministro Inmediato de Información) de la AEAT:

• Exportación en formatos reutilizables: JSON, XML y CSV firmado, con campos normalizados para procesamiento automático
• Trazabilidad de la exportación: cada descarga genera un registro con fecha, hora, usuario y hash del archivo generado
• Disponibilidad en modo offline: datos accesibles aunque el sistema no tenga conexión en el momento de la inspección
• Acceso controlado por perfil: trabajador (sus datos), responsable (su equipo), ITSS (conjunto completo, solo lectura)

Registro detallado de la jornada (minuto a minuto)

El anteproyecto exige identificar y marcar cada tramo: ordinario, extraordinario, efectivo o de disponibilidad. Los campos mínimos previstos por fichaje son:

• Timestamp con servidor de tiempo externo: no basta con el reloj del servidor propio de la empresa. Lo técnicamente sólido es un servidor de tiempo bajo estándar Stratum o, para máxima garantía jurídica, un sello de tiempo certificado por TSA externo conforme a RFC 3161, que demuestra que el fichaje se produjo en ese instante y no fue generado retroactivamente
• Firma digital del registro: cada entrada firmada con certificado X.509 o firma JWS, garantizando autenticidad y no-repudiación
• Device ID: UUID del dispositivo, sistema operativo y versión de la app en cada marcaje
• Tipo de evento: entrada, salida, inicio de pausa, fin de pausa
• Tipo de hora: ordinaria, extraordinaria o complementaria
• Geolocalización cuando proceda: coordenada GPS capturada únicamente en el momento del marcaje, vinculada al registro e inmodificable a posteriori. El sistema debe detectar GPS simulado por software
• Modo offline con sincronización segura: almacenamiento local cifrado (AES-256), cola de sincronización y detección de anomalías temporales superiores al umbral definido

Conservación, seguridad y protección de datos

El artículo 34.9 del Estatuto de los Trabajadores fija en 4 años la conservación obligatoria de los registros. Un sistema certificable debe garantizarlo con garantías técnicas, no solo contractuales:

• Cifrado en tránsito: TLS 1.2 como mínimo, TLS 1.3 recomendable
• Cifrado en reposo: AES-256, con cifrado a nivel de campo para datos personales (nombre, NIF), no solo a nivel de disco
• Servidores en la UE o el EEE: ubicación verificable y documentada en el contrato DPA conforme al artículo 28 del RGPD. Los backups también cifrados y verificables con la cadena de hashes original
• RBAC con perfiles diferenciados: empleado (sus datos), responsable (su equipo), RRHH/admin (gestión sin borrado posible), representantes de trabajadores (datos agregados), ITSS (solo lectura completa y remota)
• Biometría sujeta a EIPD previa: según la Guía de la AEPD sobre tratamientos de control de presencia mediante sistemas biométricos, el reconocimiento facial es un tratamiento de datos de categoría especial que requiere evaluación de impacto previa. En el ámbito laboral, no puede sustentarse en el consentimiento del trabajador dado el desequilibrio de la relación laboral. El sistema debe documentar base jurídica, demostrar que almacena plantillas matemáticas cifradas y no imágenes, y ofrecer métodos alternativos de fichaje
• Geolocalización con base jurídica y proporcionalidad: limitada al momento del fichaje, no al seguimiento continuo de la jornada
• Información activa al trabajador: cláusula informativa actualizada conforme al artículo 13 del RGPD, indicando que los datos podrán compartirse con la ITSS
• DPA firmado con el proveedor: sin contrato de encargado de tratamiento, la empresa incumple el RGPD con independencia del software utilizado

Kronjop aplica este bloque completo mediante hash criptográfico por registro, sello de tiempo RFC 3161 emitido por autoridad de certificación acreditada, y almacenamiento en la nube con inalterabilidad garantizada durante los 4 años legales.

Certificaciones o sellos que se prevén para los sistemas de control horario en España

ENS y otros estándares de seguridad como base de la certificación

Siguiendo el modelo VeriFACTU, es probable que no exista una lista oficial de software homologado. Lo que se exigirá al fabricante es una declaración responsable de cumplimiento, equivalente a la que el RD 1007/2023 ya exige para software de facturación. Esa declaración deberá incluir:

• Identificación del fabricante (razón social, CIF)
• Nombre y versión del software
• Descripción del algoritmo de hash y firma utilizado
• Ubicación de los servidores (país UE)
• Compromiso de interoperabilidad con la ITSS cuando se publique el estándar técnico
• Certificaciones de seguridad acreditadas: Esquema Nacional de Seguridad (RD 311/2022), ISO/IEC 27001 o SOC 2

En VeriFACTU, la mera tenencia de software no conforme puede acarrear sanciones de hasta 50.000 euros para el fabricante. El paralelismo con el control horario es directo.

Interoperabilidad y acceso remoto de la Inspección de Trabajo (ITSS)

El Plan Estratégico ITSS 2025-2027 menciona expresamente el nuevo sistema digital e interoperable de registro de jornada como complemento necesario para garantizar el respeto de los límites de jornada. El anteproyecto prevé que los sistemas expongan una API autenticada que permita consulta remota directa. Los datos mínimos previstos:

• Identificación del trabajador (NIF/NIE, nombre)
• Inicio y fin de jornada con timestamp validado
• Pausas y descansos con duración
• Tipo de hora: ordinaria, extraordinaria o complementaria
• Centro de trabajo o ubicación
• Tiempo de respuesta previsto al requerimiento: 24 horas

Cualquier arquitectura que no sea API-first tendrá dificultades técnicas severas para adaptarse a este requisito.

Trazabilidad completa: logs de cambios, inmutabilidad y sellos de tiempo

Las tres técnicas que conforman el núcleo de la inmutabilidad, derivadas directamente del modelo VeriFACTU:

• Hash chain SHA-256: cada registro vinculado al anterior. Cualquier alteración rompe la cadena y es detectable automáticamente, tal como establece el artículo 7 del RD 1007/2023
• Sello de tiempo externo: servidor de tiempo bajo estándar Stratum como mínimo, o TSA acreditado conforme a RFC 3161 para máxima garantía legal
• Audit log separado e irrevocable: también protegido con hash chain, registra cada acceso, consulta, modificación y exportación. No editable por ningún administrador

Homologación y protección de datos sensibles (geolocalización y biometría)

La AEPD publicó en noviembre de 2023 su Guía sobre tratamientos de control de presencia mediante sistemas biométricos, que establece los criterios que anticipan los requisitos de cualquier homologación:

• La geolocalización solo es lícita con base jurídica, información al trabajador y tratamiento proporcional al momento del fichaje
• El reconocimiento facial requiere EIPD previa y en la mayoría de los casos no puede sustentarse en el consentimiento dado el desequilibrio de la relación laboral
• Los sistemas con biometría están prohibidos por regla general, por lo que deberán documentar técnicamente cómo se almacenan las plantillas y qué protocolo se activa ante una brecha de seguridad

Ejemplos internacionales: ¿cómo se certifica en otros países?

Europa, Estados Unidos y Latinoamérica: modelos de registro horario seguro

Varios países han avanzado más que España en la estandarización técnica del fichaje laboral:

Francia: el Code du Travail exige sistemas de registro fiables e inalterables. La inspección laboral (DREETS) puede acceder a los registros en visita, y la tendencia regulatoria apunta a sistemas con trazabilidad técnica documentada.

Alemania: el Bundesarbeitsgericht estableció en septiembre de 2022 la obligación general de registro horario para todas las empresas. Los sistemas digitales deben garantizar inmutabilidad y trazabilidad de correcciones bajo los principios del marco IT-Grundschutz del BSI.

Portugal: la Autoridade para as Condições do Trabalho (ACT) aplica ya un protocolo de verificación de sistemas de fichaje que evalúa integridad y trazabilidad. Es el modelo europeo más próximo en criterios técnicos al que se anticipa en España.

Estados Unidos: la Fair Labor Standards Act no especifica formato de registro, pero la jurisprudencia exige datos inalterables y verificables. El sector financiero aplica estándares SOC 2 Type II para sistemas de tiempo y asistencia.

México y Argentina: ambos países han incorporado requisitos de autenticidad e inalterabilidad del registro en sus reformas laborales más recientes.

¿Qué se prevé en España después de analizar estos modelos?

Del análisis del anteproyecto y los modelos de referencia emergen los elementos que con mayor probabilidad conformarán el marco español de control horario homologado:

• Declaración responsable del fabricante, siguiendo el modelo del RD 1007/2023 (VeriFACTU)
• Obligatoriedad de timestamp validado externamente para todos los sistemas digitales
• API estandarizada para acceso remoto de la ITSS, según lo recogido en el Plan Estratégico ITSS 2025-2027
• Evaluación técnica previa para sistemas con biometría o geolocalización, alineada con criterios AEPD
• Portabilidad obligatoria de datos entre proveedores sin pérdida de la cadena de hashes
• Periodo de adaptación para empresas que usan herramientas sin garantías de inmutabilidad

Conclusión: hoja de ruta hacia la certificación

El software de control horario homologado deja de ser una ventaja competitiva para convertirse en un requisito de acceso al mercado.

Las empresas que trabajan ya con sistemas que garantizan hash chain, timestamp externo y RBAC no necesitarán grandes adaptaciones.

La hoja de ruta pasa por tres pasos: auditar el sistema actual frente a los requisitos técnicos descritos, identificar las brechas y seleccionar una herramienta de gestión sencilla que cumpla con la legalidad desde su arquitectura, no solo desde su política de uso.

Antes de firmar con cualquier proveedor, haz tres preguntas concretas:

• ¿Puedes entregar la declaración responsable de cumplimiento por escrito?
• ¿Qué algoritmo de hash usas y cómo se encadenan los registros?
• ¿El timestamp lo valida un servidor de tiempo externo o solo el reloj de tu propio servidor?