No vale con cualquier app. Tener un software de fichaje no es suficiente: debe cumplir los requisitos técnicos del decreto, que incluyen inmutabilidad, trazabilidad, acceso remoto para la ITSS y custodia de 4 años. Si tu sistema permite modificar registros sin dejar rastro o no puede conectarse con la Inspección de forma remota, estás expuesto a las mismas sanciones que si no tuvieras nada. Este artículo explica, punto por punto, qué tiene que tener técnicamente tu software para que cuando llegue el inspector, no haya que llamar a nadie.
Por qué el decreto marca una línea roja técnica, no solo jurídica
Desde el RDL 8/2019 (art. 34.9 ET) toda empresa está obligada a registrar la jornada. Eso ya lo sabes. Lo que muchos no saben es que el nuevo decreto no se limita a decir “usa algo digital”: la nueva normativa no se limita a exigir “fichaje digital”, sino que establece especificaciones técnicas concretas que todo sistema debe cumplir obligatoriamente.
El cambio más importante no es de formato, sino de exigencia técnica. Lo que cambia con el nuevo Real Decreto es precisamente esa exigencia técnica: el registro tendrá que hacerse exclusivamente con sistemas digitales que cumplan unos requisitos concretos de trazabilidad, inmutabilidad y accesibilidad remota.
Y hay un matiz que duele: el Ministerio de Trabajo diferencia entre llevar el control horario y llevarlo con un sistema homologable. Puedes tener todos los fichajes al día y aun así ser sancionado si el sistema no cumple los requisitos técnicos de trazabilidad e inalterabilidad que exigirá la inspección.
Dicho esto, repasemos cada requisito uno a uno.
Los 7 requisitos técnicos que exige el anteproyecto de decreto
1. Digitalización completa: fuera papel y Excel
El nuevo decreto prohibirá expresamente el papel, Excel y cualquier sistema sin trazabilidad digital. Solo serán válidos sistemas 100% digitales con log de auditoría.
Esto no es una novedad total: la Inspección ya está sancionando registros en Excel que considera manipulables, aquellos sin control de versiones y sin trazabilidad. Lo que hace el decreto es formalizar y endurecer lo que la ITSS ya aplica en la práctica.
2. Inmutabilidad técnica de los registros
Este es el concepto que más confunde. Inmutabilidad no significa que no se pueda corregir un fichaje: significa que cualquier corrección deja rastro.
Cualquier modificación en el registro debe dejar un rastro digital inmutable: quién hizo el cambio, cuándo y por qué.
Para lograr esa inmutabilidad de forma técnicamente verificable, el decreto exige elementos concretos. Se exigen: sellos de tiempo asociados a cada acción, historial de versiones de los registros sin sobrescrituras opacas, y uso de huellas digitales (hash) que permitan probar que no ha habido manipulación.
Un caso real que ilustra el riesgo: la SAN 4128/2023 ratificó una sanción de 187.515 € a una empresa de logística precisamente porque la ITSS demostró que los registros en Excel eran editados retrospectivamente sin log de cambios.
Y si un trabajador olvida fichar, la corrección también tiene que pasar el filtro. Si un trabajador olvida fichar, la corrección posterior debe incluir trazabilidad completa (quién la introdujo, cuándo y por qué). Una corrección unilateral sin conocimiento del trabajador puede considerarse manipulación ante un tribunal.
3. Trazabilidad completa: el log de auditoría
Trazabilidad e inmutabilidad van de la mano, pero no son lo mismo. La trazabilidad responde a las preguntas quién, qué, cuándo y desde dónde.
Un sistema trazable registra no solo la hora de entrada y salida, sino también quién realizó el fichaje, desde qué dispositivo y ubicación, y si hubo alguna modificación posterior. La ITSS puede auditar toda esta cadena de información en cualquier momento.
El registro original nunca se elimina. Cada corrección conserva el dato inicial junto con la modificación. La nueva ley exige un campo de justificación obligatorio para documentar el motivo de cada cambio.
Esto tiene implicaciones prácticas muy concretas para el administrador del sistema: si das de alta un fichaje de hace tres días porque un empleado se olvidó, eso tiene que quedar registrado con tu nombre de usuario, la fecha exacta en que lo introdujiste y el motivo. Sin eso, el registro no tiene valor probatorio.
4. Acceso remoto para la ITSS: el cambio más disruptivo
Los sistemas de registro horario digital deberán permitir que la ITSS acceda a los datos de forma remota, sin necesidad de personarse en la empresa. Esto implica que el sistema debe estar en la nube o tener capacidad de interoperabilidad con los sistemas de la Inspección. Es el cambio que más impacto tendrá en la operativa, porque elimina el margen de preparación documental ante una visita inspectora: los datos deben estar listos en tiempo real.
El mecanismo técnico previsto en el anteproyecto es claro: el anteproyecto exige que los sistemas de fichaje puedan enviar datos automáticamente a la ITSS mediante un protocolo API REST estandarizado.
Los datos mínimos que debe poder transmitir el sistema: inicio, fin, pausas, identificación del trabajador y centro de trabajo. El tiempo de respuesta máximo al requerimiento es de 24 horas.
¿Y el RGPD? No hay conflicto. La cesión de datos a la ITSS está amparada legalmente por el art. 6.1.c del RGPD (obligación legal). La ITSS es una autoridad pública con competencias de inspección, el acceso será bajo demanda —no cesión masiva— y está sujeta a confidencialidad profesional.
Esto descarta, de entrada, cualquier software que no opere en la nube o que no disponga de API de exportación. Esto deja fuera soluciones cerradas, sin API ni exportaciones fiables, y obliga a apostar por plataformas de registro horario digital con capacidad de integración.
5. Cifrado AES-256 y servidores en la UE
Los datos del registro horario son datos personales. Como tales, exigen protección técnica. El anteproyecto es específico en este punto: cifrado AES-256 en reposo y TLS 1.3 en tránsito, servidores en la UE/EEE, y control de accesos por roles (admin, supervisor, empleado).
El RGPD exige cifrado de datos en tránsito y en reposo, así como almacenamiento en servidores dentro de la UE o en países con nivel de protección equivalente.
Esto elimina directamente cualquier solución que almacene datos en servidores fuera del Espacio Económico Europeo sin las garantías contractuales adecuadas, algo que ocurre con algunas apps de productividad general que se usan como solución de fortuna para el fichaje.
6. Conservación durante 4 años con garantías de integridad
La obligación de conservar 4 años ya existía en el art. 34.9 ET desde 2019. Lo nuevo es que ahora se exigen garantías técnicas de esa conservación. El plazo de conservación se mantiene en cuatro años (ya existía en la norma de 2019), pero ahora con garantías técnicas de integridad y disponibilidad.
En la práctica esto implica:
- Backups automáticos con plan de recuperación ante desastres documentado.
- Que los datos sean recuperables y verificables mediante hash, no solo almacenados.
Almacenamiento seguro con recuperación ágil, prueba de integridad y cifrado en tránsito y en reposo.
La ITSS puede pedirte un registro de cualquier día de los últimos 4 años. Si tu sistema no puede sacarlo en minutos, estás en problemas.
7. Identificación unívoca del trabajador y datos completos del registro
Cada fichaje debe poder atribuirse a una persona concreta, de forma inequívoca. La identidad individual del trabajador se garantiza mediante fichaje con credenciales únicas: usuario+clave, PIN, QR o tarjeta/NFC. Queda excluida la biometría de alto riesgo.
Y el registro no puede limitarse a entrada y salida. El registro deberá incluir, como mínimo: hora y minuto de inicio y fin de jornada, hora y minuto de cada pausa no computable como trabajo efectivo, y clasificación de las horas (ordinarias, extraordinarias…).
La cuestión de la homologación: ¿existe ya un sello oficial?
Aquí hay que ser honestos. Hoy no existe un sello oficial único de homologación, pero sí criterios bastante claros sobre qué características deberá reunir un control horario de trabajadores homologado.
El modelo que se perfila es similar al de Verifactu en facturación electrónica: el Esquema Nacional de Seguridad (ENS) y estándares como la ISO 27001 se perfilan como referencia para los sistemas que quieran certificarse.
Esos estándares encajan directamente con los cuatro principios técnicos del decreto. Sus principios son: confidencialidad (acceso restringido a los datos de jornada), integridad (registros que no se modifican sin dejar rastro), disponibilidad (acceso garantizado para empresa, trabajador e Inspección) y trazabilidad (registro de quién hace qué y cuándo).
¿Qué significa esto para ti ahora mismo? Que aunque la homologación formal tarde en definirse, elegir ya un sistema alineado con ENS e ISO 27001 es la apuesta más segura. La homologación no se limitará a “cumplir la ley”, sino a demostrar técnicamente ese cumplimiento mediante estándares y auditorías.
Un aviso importante mientras tanto: las especificaciones técnicas exactas del protocolo de interoperabilidad aún no se han publicado, por lo que cualquier proveedor que prometa “certificación oficial” a día de hoy no está siendo preciso. Lo que sí puedes hacer es exigir a tu proveedor un compromiso contractual de actualización cuando se publique el estándar.
Y la pregunta que debes hacerle a tu proveedor actual es concreta: ¿tienes log de auditoría inmutable? ¿Puedes demostrar que ningún administrador puede modificar un fichaje sin rastro? ¿Cómo habilitáis el acceso remoto a la ITSS cuando se publique el estándar API?
Las sanciones: qué arriesgas hoy y qué se ha quedado en el camino
Con la normativa vigente del art. 7.5 de la LISOS, la falta de registro está clasificada como infracción grave, con multas de 751 a 7.500 euros por empresa o centro de trabajo, no por trabajador. Eso ya duele, y es un riesgo real, vigente y que la ITSS ya está aplicando hoy: no hace falta ninguna reforma para que se sancione.
Conviene separar dos normas que se suelen confundir. El Real Decreto de registro de jornada, pendiente de aprobación, regula cómo debe ser el registro —qué datos recoge, cómo se practican los asientos y cómo accede la Inspección— pero no modifica las sanciones, y no puede hacerlo: el régimen sancionador está en la LISOS, una norma con rango de ley que un reglamento no puede alterar.
El aumento de las multas a un rango de 1.000 a 10.000 euros por cada persona trabajadora afectada —que sí habría cambiado la base de cálculo— estaba en el proyecto de ley de reducción de jornada, registro y desconexión, aprobado en Consejo de Ministros en mayo de 2025. El Congreso lo rechazó en septiembre de 2025 y no ha vuelto a tramitarse. Hoy no está en vigor: la sanción aplicable sigue siendo la del artículo 7.5 de la LISOS, por empresa.
Y el registro incompleto o deficiente tiene el mismo tratamiento que no tener nada. Si el sistema no recoge hora de inicio y fin, se equipara a la ausencia de registro.
Tampoco te fíes de que la Inspección solo actúa ante denuncias formales. La Inspección de Trabajo y Seguridad Social ha intensificado desde 2023 la vigilancia sobre el control horario, convirtiéndolo en uno de los aspectos más revisados en auditorías laborales. En 2023, según datos de la Inspección de Trabajo, se realizaron más de 30.000 inspecciones relacionadas con control horario, sancionándose a más de 5.000 empresas.
Checklist rápida: 10 preguntas para auditar tu sistema hoy
Antes de llamar a ningún proveedor, pasa tu sistema actual por este filtro. Si respondes “no” a alguna, tienes un problema.
Bloque A — Digitalización e inmutabilidad
- ¿El sistema es 100% digital? ¿Se ha eliminado el papel y el Excel como soporte principal?
- ¿Es técnicamente imposible modificar un fichaje sin que quede constancia?
- ¿Cada cambio registra quién lo hizo, cuándo y por qué motivo?
- ¿Los registros originales se conservan siempre, incluso tras correcciones?
Bloque B — Trazabilidad y log de auditoría
- ¿El sistema registra el dispositivo y la ubicación desde la que se fichó?
- ¿Hay hashes criptográficos que permitan verificar la integridad de cada registro?
- ¿El log de auditoría es inaccesible para el administrador (no puede borrarse)?
Bloque C — Acceso ITSS y seguridad
- ¿El sistema permite exportar datos en formatos estándar (CSV, JSON, PDF) en menos de 24 horas?
- ¿Dispone de API REST o mecanismo equivalente para facilitar el acceso remoto a la ITSS?
- ¿Los datos están cifrados en reposo (AES-256) y en tránsito (TLS 1.3) con servidores en la UE?
Bloque D — Conservación y cobertura
- ¿El sistema conserva registros de los últimos 4 años con integridad verificable?
- ¿Cubre también a trabajadores en teletrabajo, con jornadas mixtas y desplazados?
- ¿El proveedor se compromete contractualmente a actualizar el sistema cuando se publique el estándar definitivo de la ITSS?
¿Qué pasa si tu sistema falla en alguno de estos puntos?
Si tu sistema permite modificar registros sin dejar rastro o no ofrece acceso remoto a la Inspección, se considera no conforme y la empresa se expone a las mismas sanciones que si no tuviera registro. La Inspección puede levantar acta de infracción grave.
Y el plazo de adaptación no va a ser generoso. Con un periodo de adaptación que el borrador fija en apenas 20 días hábiles tras la publicación en el BOE —una cifra que el Consejo de Estado consideró insuficiente y que el Ministerio de Economía quiere ampliar para las pymes, y que por eso sigue en discusión— y sanciones vigentes por empresa que van de 751 € a 225.018 € según la gravedad de la infracción, prepararse con antelación es fundamental para evitar multas y complicaciones legales.
La jurisprudencia ya está marcando el camino antes incluso de que el decreto sea definitivo. Si tu app registra entrada y salida pero no tiene sellado temporal inmutable, no registra pausas, no permite el acceso remoto de la Inspección y no conserva un historial de modificaciones con autoría y fecha, no cumplirá con el nuevo registro horario digital. No importa lo bonita que sea la interfaz.
FAQ
¿Vale con cualquier app de fichaje para cumplir el nuevo decreto?
No. Una app que se limita a registrar clics sin trazabilidad es poco más que un Excel con pantalla bonita. El decreto exige requisitos técnicos concretos que van mucho más allá del simple registro de entrada y salida.
¿Qué es exactamente la inmutabilidad en un sistema de fichaje?
Un registro inmutable es aquel que no puede modificarse sin dejar rastro auditable. Toda modificación en los registros deberá quedar registrada de forma inmutable. Esto incluye la identificación de quién hizo el cambio, el momento exacto y el valor anterior del dato modificado. El sistema debe hacerlo imposible de otro modo, no solo recomendarlo.
¿Qué datos debe poder enviar el sistema a la ITSS y en qué plazo?
La ITSS podrá consultar registros de forma remota, sin personarse en la empresa. Los datos mínimos a transmitir son: inicio, fin, pausas, identificación del trabajador y centro de trabajo. El tiempo de respuesta máximo al requerimiento es de 24 horas.
¿Qué cifrado mínimo se exige para los datos del registro horario?
Según el anteproyecto: cifrado AES-256 en reposo y TLS 1.3 en tránsito, con servidores en la UE. El control de accesos por roles es también obligatorio: administrador, supervisor y empleado con permisos diferenciados.
¿Qué pasa si tengo todos los fichajes al día pero mi sistema no cumple los requisitos técnicos?
La normativa prevista para 2026 establece que los sistemas de registro horario deberán cumplir requisitos técnicos obligatorios. Un sistema que no los cumpla quedará excluido como método válido, con independencia de si el registro está al día. El incumplimiento técnico y el incumplimiento del registro se sancionan de la misma manera.
¿Los Excel o Google Sheets siguen siendo válidos?
El nuevo Real Decreto prohibirá expresamente los sistemas no digitales o sin trazabilidad, incluyendo hojas de cálculo como Excel o Google Sheets. Pero no es necesario esperar al decreto: la jurisprudencia ya cuestiona estos sistemas.
¿Cuándo entra en vigor exactamente el decreto?
La Ley de registro horario digital no se ha publicado aún en el BOE, pero sus líneas principales están consolidadas tras la consulta pública de octubre de 2025.
El borrador fija una entrada en vigor de 20 días desde la publicación en el BOE, pero ese plazo es el punto más discutido de la tramitación: el Consejo de Estado lo consideró insuficiente en su dictamen de marzo de 2026 y el Ministerio de Economía ha pedido un periodo mayor para las pymes. El texto se está reelaborando y el plazo definitivo se conocerá con la publicación en el BOE. La ITSS, sin embargo, ya está actuando con criterios más estrictos ahora mismo.
¿Qué debo exigir a mi proveedor antes de que llegue el decreto?
Exige al proveedor una demostración documentada de tres elementos: sellado criptográfico de cada registro, generación automática de logs de auditoría y exportación instantánea en formato legible para un inspector. Si no puede acreditarlos con evidencia técnica, el sistema no cumplirá la norma.
¿Tu empresa cumple con el registro de jornada?
Compruébalo en 15 minutos. 30 días gratis, sin tarjeta.