Ya está disponible el número de noviembre de Software Compliance Review, la revista mensual de Legal Auditors sobre regulación y auditoría del software. Doce páginas que ordenan lo publicado durante octubre: la Orden HAC/1028/2026 y el nuevo escenario de facturación, las obligaciones de notificación del Cyber Resilience Act, los controles previos a usar un sistema de IA y lo que ocurre cuando un proyecto de software acaba en el juzgado.
Durante años la factura electrónica B2B fue una conversación sobre intenciones. Desde octubre es una conversación sobre calendarios, formatos y pruebas. Y una fecha, a diferencia de un principio general, no admite interpretación: o se llega, o no se llega.
La Orden HAC/1028/2026 baja al detalle
La Orden desarrolla los aspectos técnicos y funcionales de la factura electrónica B2B prevista en la Ley 18/2022. Ahí está lo que durante meses faltaba: cómo funciona la Solución Pública de Facturación Electrónica de la Agencia Tributaria y cómo convive con las plataformas privadas; qué formato manda —UBL sobre la norma EN 16931, con extensiones para España—; qué ocurre con el ciclo de vida completo de la factura, incluidos rechazos, pagos, cobros e impagos; y la copia fiel exigible a ciertas facturas emitidas desde plataforma privada, que es la pieza que más trabajo va a dar a los fabricantes.
El reloj arranca con la entrada en vigor: doce meses para las empresas con más de ocho millones de euros de volumen de operaciones y veinticuatro para el resto. La Solución Pública, por su parte, debe estar operativa al menos dos meses antes de la fecha prevista de octubre de 2027.
Para un ERP, lo relevante no es la publicación en sí, sino lo que obliga a reconstruir. El formato deja de ser una decisión interna: hay que mapear lo que la base de datos guarda contra los términos de EN 16931 y generar UBL válido semánticamente, no solo sintácticamente. El ciclo de vida obliga a gestionar estados que muchos sistemas no contemplaban. Y la copia fiel introduce una duplicidad controlada que afecta a la arquitectura, no a la interfaz.
De nuestra masterclass del 15 de octubre salieron dos frases que resumen el número. La primera: adaptar un software no consiste en generar un fichero XML y conectarse a una API. La segunda, que sigue sorprendiendo: cumplir la factura electrónica no significa cumplir VERI*FACTU, ni al revés. Son dos obligaciones que se analizan de forma coordinada y se demuestran por separado, con auditorías y pruebas técnicas independientes, no con la declaración del fabricante.
Ver las conclusiones completas de la masterclass →
Pública o privada: gratis no significa coste cero
La Solución Pública será gratuita y permitirá emitir, recibir y consultar facturas, funcionando además como repositorio. Las plataformas privadas aportan lo que aquella no cubre: integración con el ERP, automatización, circuitos de aprobación y conciliación de pagos. Para decidir conviene valorar el volumen de facturación, la integración con el sistema de gestión, la automatización de estados, el coste total de implantación y operación, y la seguridad y continuidad del servicio.
Con dos advertencias que conviene subrayar: la gratuidad de la plataforma pública no implica coste cero de adaptación, y contratar una solución privada no elimina la obligación de enviar la copia fiel a la pública. El Real Decreto 238/2026 permite combinar ambas vías.
Mientras tanto, Europa ya obliga a notificar
Casi nadie lo ha mirado, y afecta a cualquiera que ponga producto con elementos digitales en el mercado europeo. Desde el 11 de septiembre de 2026, el Cyber Resilience Act —Reglamento (UE) 2024/2847— obliga a notificar las vulnerabilidades explotadas activamente y los incidentes graves: alerta temprana en 24 horas, notificación completa en 72 y un informe final posterior. ENISA ha habilitado una plataforma única para canalizarlas.
No es un régimen para infraestructuras críticas: alcanza a fabricantes, importadores y distribuidores, incluidas empresas de software ajenas a sectores sensibles. Las sanciones pueden llegar a 15 millones de euros o el 2,5 % del volumen de negocio mundial anual. Y el 11 de diciembre de 2027 empiezan a aplicarse los requisitos generales: seguridad desde el diseño, evaluación de riesgos, gestión de vulnerabilidades, actualizaciones durante el periodo de soporte, documentación técnica y marcado CE.
Son requisitos que no se improvisan en el último trimestre. El expediente técnico de un producto se construye mientras el producto se desarrolla.
Siete controles antes de poner una IA a trabajar
No es una lista de buenas intenciones, sino lo que un auditor pedirá acreditar: finalidad y clasificación de riesgos; calidad y procedencia de los datos; fiabilidad de los resultados, probada con casos reales y excepcionales; supervisión humana con capacidad real de intervenir; ciberseguridad, incluidas instrucciones maliciosas y fugas de información; trazabilidad y evidencias; y responsabilidad del proveedor y gestión de cambios, porque una evaluación previa no garantiza el mismo comportamiento tras un cambio de modelo.
Cuando el proyecto acaba en el juzgado
El resto del número va de lo que ocurre cuando no se preparó nada a tiempo. Un informe de auditoría independiente convierte opiniones enfrentadas en hechos verificables y reduce la incertidumbre que impide pactar. Si aun así se litiga, el fundamento está en los artículos 1101 y 1124 del Código Civil: la Audiencia Provincial de Madrid, en sentencia 6/2024, reconoció más de 167.000 euros por un software defectuoso. Eso sí, el incumplimiento debe ser grave y esencial.
Completan el número el peritaje de proyectos SAP —cuándo cabe negarse a pagar y qué verificar antes de firmar el acta de aceptación—, los límites y la trazabilidad de las modificaciones de fichajes, y qué sostiene realmente el precio de una aplicación.
