Acceso electrónico de los ciudadanos a los servicios públicos y normativa de desarrollo. La gestión electrónica de los procedimientos administrativos: registros, notificaciones y uso de medios electrónicos. Esquema Nacional de Seguridad y de Interoperabilidad. Normas técnicas de Interoperabilidad.

Tema desarrollado para el ejercicio único del Cuerpo de Técnicos Auxiliares de Informática de la Administración del Estado, convocatoria de 1.030 plazas de ingreso libre (Resolución de 18 de diciembre de 2025, BOE de 22 de diciembre de 2025, Anexo V). Es el tema 8 del bloque I «Organización del Estado y Administración electrónica», que en nuestra numeración interna es el tema 8 de 33. Verificado contra los textos consolidados del BOE de las Leyes 39/2015 y 40/2015, del Real Decreto 203/2021, del Real Decreto 311/2022 (Esquema Nacional de Seguridad) del Real Decreto 4/2010 (Esquema Nacional de Interoperabilidad) y de las resoluciones del BOE que aprueban cada una de las Normas Técnicas de Interoperabilidad en vigor.

Qué esperar de este tema en el examen. Es el tema del bloque I que más se parece al bloque técnico, y el tribunal lo trata como tal: en 2019 preguntó la estructura de las medidas del Esquema Nacional de Seguridad y una norma técnica inexistente; en 2023, la dimensión de seguridad afectada por la criptografía y los servicios web de los intercambios; en 2024, la herramienta LUCIA del Centro Criptológico Nacional y la notificación por anuncio en el BOE; y en 2026, cuatro preguntas seguidas —la definición de «compromiso de la seguridad», el responsable del sistema del artículo 13, una norma técnica que no existe y los registros telemáticos en días inhábiles—, más la resolución digital de 200 puntos por pulgada y el formato BMP en el ejercicio extraordinario. Cinco o seis preguntas por convocatoria: es el tema mejor pagado de los nueve.

Dos advertencias sobre normas muertas. La Ley 11/2007 de acceso electrónico de los ciudadanos a los servicios públicos —que da nombre al enunciado oficial del tema— está derogada: su contenido se repartió entre las Leyes 39/2015 y 40/2015. Y el Esquema Nacional de Seguridad ya no es el Real Decreto 3/2010, sino el Real Decreto 311/2022, que cambió los principios básicos, la organización de responsabilidades y hasta el nombre del tercer grupo de medidas del Anexo II: donde antes se leía «medidas técnicas» hoy se lee «medidas de protección». Un apunte que diga otra cosa está describiendo la norma derogada.

Índice

1. El marco: de la Ley 11/2007 a las Leyes 39/2015 y 40/2015
2. Derechos de las personas y obligación de relacionarse electrónicamente
3. Registros electrónicos y oficinas de asistencia
4. Términos, plazos y cómputo en el entorno electrónico
5. Notificaciones electrónicas
6. Documento, copias, expediente y archivo electrónicos
7. El Reglamento de actuación por medios electrónicos: Real Decreto 203/2021
8. El uso de medios electrónicos en la Ley 40/2015
9. El Esquema Nacional de Seguridad: Real Decreto 311/2022
   • Principios básicos y requisitos mínimos
   • Organización: los cuatro responsables
   • Dimensiones, niveles y categorías
   • Las medidas del Anexo II
   • Auditoría, conformidad e informe del estado de la seguridad
   • El Centro Criptológico Nacional y sus herramientas
10. El Esquema Nacional de Interoperabilidad: Real Decreto 4/2010
11. Las Normas Técnicas de Interoperabilidad
    • La lista de la disposición adicional primera
    • Qué trata cada norma, según el real decreto
    • Documento electrónico
    • Expediente electrónico
    • Digitalización de documentos
    • Copiado auténtico y conversión
    • Política de firma y sello electrónicos
    • Protocolos de intermediación de datos
    • Relación de modelos de datos
    • Política de gestión de documentos electrónicos
    • Requisitos de conexión a la Red SARA
    • SICRES: el intercambio de asientos registrales
    • Reutilización de recursos de información
    • Catálogo de estándares
    • Cómo se encadenan las normas
    • Para estudiar más allá: dónde está cada texto
12. Errores típicos que cuestan preguntas
13. Cuadros de cifras y plazos
14. Lo que ya ha preguntado el tribunal

1. El marco: de la Ley 11/2007 a las Leyes 39/2015 y 40/2015

La Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos fue la norma que convirtió el uso de medios electrónicos en un derecho del ciudadano y en una obligación de la Administración. Su aportación conceptual sigue viva —sede electrónica, registro electrónico, expediente electrónico, actuación administrativa automatizada—, pero la norma en sí fue derogada por la Ley 39/2015. La reforma de 2015 hizo algo más que refundir: partió el Derecho administrativo en dos según un criterio de relación:

Norma	Regula	Contenido electrónico relevante
Ley 39/2015, del Procedimiento Administrativo Común	La relación ad extra: Administración con las personas	Derechos, identificación y firma del interesado, registros, términos y plazos, notificaciones, documentos y copias, expediente administrativo.
Ley 40/2015, de Régimen Jurídico del Sector Público	La relación ad intra: organización y relaciones entre Administraciones	Sede electrónica, portal de internet, sello electrónico, actuación administrativa automatizada, firma de los empleados públicos, intercambio electrónico de datos, Esquemas Nacionales de Seguridad e Interoperabilidad.

La regla mnemotécnica funciona bien: lo que mira al ciudadano está en la 39; lo que mira a la máquina y a la organización está en la 40. Por eso el registro electrónico y la notificación son de la 39, y la sede electrónica y el sello de órgano son de la 40. Ambas se completan con el Real Decreto 203/2021, de 30 de marzo, que aprueba el Reglamento de actuación y funcionamiento del sector público por medios electrónicos, y que es el desarrollo reglamentario conjunto de las dos leyes.

2. Derechos de las personas y obligación de relacionarse electrónicamente

El artículo 13 de la Ley 39/2015 recoge los derechos de las personas en sus relaciones con las Administraciones: comunicarse a través de un Punto de Acceso General electrónico; ser asistidas en el uso de medios electrónicos; utilizar las lenguas oficiales; acceder a la información pública, archivos y registros; ser tratadas con respeto y deferencia; exigir responsabilidades; obtener y utilizar los medios de identificación y firma previstos en la ley; a la protección de datos; y cualesquiera otros que les reconozcan la Constitución y las leyes.

El artículo 14 es la pieza más preguntada del bloque. Su apartado 1 consagra el derecho de elección de las personas físicas: pueden elegir en todo momento si se comunican o no por medios electrónicos, salvo que estén obligadas, y el medio elegido puede modificarse en cualquier momento. Su apartado 2 enumera seis sujetos obligados a relacionarse electrónicamente:

1. Las personas jurídicas.
2. Las entidades sin personalidad jurídica.
3. Quienes ejerzan una actividad profesional para la que se requiera colegiación obligatoria, para los trámites y actuaciones que realicen en ejercicio de esa actividad profesional. La ley precisa que, en todo caso, se entienden incluidos notarios y registradores de la propiedad y mercantiles.
4. Quienes representen a un interesado que esté obligado a relacionarse electrónicamente.
5. Los empleados de las Administraciones públicas para los trámites y actuaciones que realicen con ellas por razón de su condición de empleado público, en la forma que se determine reglamentariamente.
6. Las personas trabajadoras autónomas para los trámites y actuaciones que realicen con las Administraciones en ejercicio de su actividad profesional.

Y el apartado 3 permite establecer reglamentariamente la obligación para determinados colectivos de personas físicas que, por razón de su capacidad económica, técnica, dedicación profesional u otros motivos, quede acreditado que tienen acceso y disponibilidad de los medios electrónicos necesarios.

La consecuencia del incumplimiento está en el artículo 68.4: si un sujeto obligado presenta su solicitud presencialmente, la Administración le requerirá para que la subsane a través de su presentación electrónica, y se considerará como fecha de presentación aquella en la que haya sido realizada la subsanación. No se inadmite: se retrasa la fecha, que a efectos de plazos suele ser peor.

3. Registros electrónicos y oficinas de asistencia

El artículo 16 de la Ley 39/2015 impone que cada Administración disponga de un Registro Electrónico General en el que se haga el correspondiente asiento de todo documento que sea presentado o que se reciba. Los organismos vinculados podrán disponer de su propio registro electrónico, plenamente interoperable e interconectado con el Registro Electrónico General.

Contenido del asiento: número, epígrafe expresivo de su naturaleza, fecha y hora de presentación, identificación del interesado, órgano administrativo remitente si procede, y persona u órgano administrativo al que se envía; y, en su caso, referencia al contenido del documento. Los registros garantizarán la constancia de cada asiento en cada uno de los registros y emitirán automáticamente un recibo consistente en una copia autenticada del documento, incluyendo la fecha y hora de presentación y el número de entrada de registro, así como un recibo acreditativo de otros documentos que, en su caso, lo acompañen.

Los lugares de presentación del apartado 4 son cinco y se preguntan como lista cerrada:

1. En el registro electrónico de la Administración u organismo al que se dirijan, así como en los restantes registros electrónicos de cualquiera de los sujetos del artículo 2.1.
2. En las oficinas de Correos, en la forma que reglamentariamente se establezca.
3. En las representaciones diplomáticas u oficinas consulares de España en el extranjero.
4. En las oficinas de asistencia en materia de registros.
5. En cualquier otro que establezcan las disposiciones vigentes.

Las oficinas de asistencia en materia de registros son la pieza que sustituyó a los antiguos registros presenciales: en ellas los interesados podrán presentar sus solicitudes en papel, y la oficina las digitalizará para su incorporación al expediente electrónico, devolviendo los originales al interesado. Cada Administración debe mantener actualizado un directorio geográfico que permita localizarlas.

Sobre el funcionamiento, el artículo 31 establece reglas que caen literalmente:

• Cada Administración publicará los días y el horario en que deban permanecer abiertas las oficinas que prestarán asistencia para la presentación electrónica, garantizando el derecho de los interesados a ser asistidos.
• El registro electrónico de cada Administración u organismo se regirá a efectos de cómputo de plazos por la fecha y hora oficial de la sede electrónica de acceso, que deberá contar con las medidas de seguridad necesarias para garantizar su integridad y figurar de modo accesible y visible.
• El registro electrónico permitirá la presentación de documentos todos los días del año durante las veinticuatro horas.
• A efectos del cómputo de plazo fijado en días hábiles, y en lo que se refiere al cumplimiento de plazos por los interesados, la presentación en un día inhábil se entenderá realizada en la primera hora del primer día hábil siguiente, salvo que una norma permita expresamente la recepción en día inhábil. En el asiento de entrada se inscribirán como fecha y hora de presentación aquellas en las que se produjo efectivamente la recepción, constando como fecha y hora de entrada las cero horas y un segundo del primer día hábil siguiente.
• Y una regla capital: los documentos se considerarán presentados por el orden de hora efectiva en el que lo fueron en el día inhábil, y los presentados en el día inhábil se reputarán anteriores, según el mismo orden, a los que lo fueran el primer día hábil posterior.

El precepto que el tribunal preguntó en 2026 pertenece a una norma anterior y todavía vigente en lo no derogado, el Real Decreto 209/2003: los registros telemáticos permiten la presentación de solicitudes, escritos y comunicaciones todos los días del año durante las veinticuatro horas y realizarán y anotarán entradas y salidas en días inhábiles, aunque ese asiento no compute a efectos de plazos. La idea es la misma que la del artículo 31: el registro no cierra, lo que se desplaza es el cómputo.

4. Términos, plazos y cómputo en el entorno electrónico

El artículo 30 de la Ley 39/2015 introdujo una novedad muy preguntada: cuando los plazos se señalen por horas, se entiende que estas son hábiles —son hábiles todas las horas del día que formen parte de un día hábil— y los plazos expresados en horas no podrán tener una duración superior a veinticuatro horas, en cuyo caso se expresarán en días. Cuando los plazos se señalen por días, se entiende que estos son hábiles, excluyéndose del cómputo los sábados, los domingos y los declarados festivos. Cuando se fijen en días naturales, se hará constar en la correspondiente notificación.

Dos reglas de cierre. Primera, el artículo 30.6: cuando un día fuese hábil en el municipio o Comunidad Autónoma en que residiese el interesado, e inhábil en la sede del órgano administrativo, o a la inversa, se considerará inhábil en todo caso. Segunda, el artículo 30.2 in fine: la declaración de un día como hábil o inhábil a efectos de cómputo de plazos no determina por sí sola el funcionamiento de los centros de trabajo, la organización del tiempo de trabajo ni el acceso de los ciudadanos a los registros.

El artículo 32 regula la ampliación de plazos y añade un supuesto electrónico: cuando una incidencia técnica imposibilite el funcionamiento ordinario del sistema o aplicación que corresponda, y hasta que se solucione, la Administración podrá determinar una ampliación de los plazos no vencidos, debiendo publicar en la sede electrónica tanto la incidencia técnica acontecida como la ampliación concreta del plazo no vencido.

4.1. Las reglas del artículo 30, una a una

Es el artículo que más preguntas da del bloque, porque son reglas numéricas y se prestan a la trampa:

• Plazos por HORAS. Se entienden hábiles, y son hábiles todas las horas de un día hábil. Se cuentan de hora en hora y de minuto en minuto desde la notificación, y 🚨 no pueden durar más de veinticuatro horas: si duran más, se expresan en días.
• Plazos por DÍAS. Se entienden hábiles, y se excluyen del cómputo sábados, domingos y festivos. Desde la Ley 39/2015 el sábado es inhábil, que es el cambio respecto de la Ley 30/1992 y sigue cayendo. Si una ley los señala por días naturales, hay que hacerlo constar en la notificación.
• Cuándo empiezan. Los plazos en días se cuentan a partir del día SIGUIENTE a la notificación o publicación, o al siguiente a aquel en que se produzca la estimación o desestimación por silencio administrativo.
• Meses y años. También desde el día siguiente, pero se computan de fecha a fecha.

4.2. El registro electrónico y sus tres reglas propias (art. 31)

El registro electrónico no se rige por el horario de la oficina, sino por la fecha y hora oficial de la sede electrónica de acceso, que debe figurar de modo accesible y visible y contar con medidas que garanticen su integridad. Y funciona con tres reglas que conviene no mezclar:

1. Permite presentar documentos todos los días del año durante las veinticuatro horas. El registro no cierra nunca.
2. Presentar en día inhábil se entiende hecho en la primera hora del primer día hábil siguiente, salvo que una norma permita expresamente recibir en inhábil. 🚨 Pero el orden se conserva: los documentos del día inhábil se ordenan entre sí por su hora efectiva y se reputan anteriores a los del primer día hábil posterior. Eso importa cuando la plaza se adjudica por orden de presentación.
3. El cómputo de los plazos que ha de cumplir la Administración arranca en la fecha y hora de presentación real en el registro, no en la ficción del día hábil siguiente. Es decir: la ficción beneficia al interesado y no retrasa el reloj de la Administración.

🚨 El error clásico es aplicar la regla del día inhábil también al plazo de la Administración. Son dos relojes distintos y el artículo los separa expresamente.

5. Notificaciones electrónicas

El artículo 41 de la Ley 39/2015 establece la regla general: las notificaciones se practicarán preferentemente por medios electrónicos y, en todo caso, cuando el interesado resulte obligado a recibirlas por esa vía. Con dos excepciones en las que no procede la notificación electrónica: cuando el acto se acompañe de elementos que no sean susceptibles de conversión en formato electrónico, y cuando contengan medios de pago a favor de los obligados, tales como cheques.

Reglas de detalle muy preguntables del mismo artículo:

• Las Administraciones podrán practicar las notificaciones por medios no electrónicos cuando la notificación se realice con ocasión de la comparecencia espontánea del interesado o su representante en las oficinas de asistencia, y solicite la comunicación o notificación personal en ese momento; y cuando, para asegurar la eficacia de la actuación administrativa, resulte necesario practicar la notificación por entrega directa de un empleado público.
• En los procedimientos iniciados a solicitud del interesado, la notificación se practicará por el medio señalado al efecto por aquel, y ese medio podrá ser modificado en cualquier momento.
• Con independencia del medio utilizado, las notificaciones serán válidas siempre que permitan constancia de su envío o puesta a disposición, de la recepción o acceso por el interesado, de sus fechas y horas, del contenido íntegro y de la identidad fidedigna del remitente y destinatario.
• Los interesados que no estén obligados a recibir notificaciones electrónicas podrán decidir y comunicar en cualquier momento que las sucesivas se practiquen o dejen de practicarse por medios electrónicos.
• Cuando el interesado fuera notificado por distintos cauces, se tomará como fecha de notificación la de aquella que se hubiera producido en primer lugar.
• Y una obligación de cortesía con efecto jurídico nulo: se enviará un aviso al dispositivo electrónico y/o dirección de correo electrónico del interesado informándole de la puesta a disposición de la notificación; la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida.

La práctica de la notificación electrónica (art. 43) se hace mediante comparecencia en la sede electrónica, a través de la dirección electrónica habilitada única o mediante ambos sistemas, según disponga cada Administración. Y aquí están las dos fechas que hay que memorizar:

Momento	Efecto
El interesado accede al contenido	La notificación se entiende practicada en ese momento.
Transcurren diez días naturales desde la puesta a disposición sin que se acceda	La notificación se entiende rechazada, se hace constar en el expediente y se continúa el procedimiento, salvo que de oficio o a instancia del destinatario se compruebe la imposibilidad técnica o material del acceso.

Regla capital del artículo 43.3, que se pregunta con frecuencia: cuando la notificación se practique por medios electrónicos y además por medios no electrónicos, los plazos para recurrir se computarán desde la fecha de acceso al contenido de la notificación electrónica, o desde que se tenga por rechazada, salvo que de oficio o a instancia del interesado se compruebe la imposibilidad técnica o material del acceso. Es decir: prevalece la electrónica.

El artículo 44 regula la notificación infructuosa, y su redacción cayó literalmente en 2024 en tres modelos: cuando los interesados sean desconocidos, se ignore el lugar de la notificación o bien, intentada esta, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el Boletín Oficial del Estado. Nótese que es siempre el BOE, cualquiera que sea la Administración de que se trate, y que —con carácter facultativo y previo— las Administraciones podrán publicar un anuncio en el boletín territorial correspondiente o en el tablón de edictos.

Y el artículo 45 ordena la publicación sustitutiva de la notificación cuando el acto tenga por destinatario a una pluralidad indeterminada de personas, cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo —en cuyo caso la convocatoria debe indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos— y cuando la Administración estime que la notificación a un solo interesado es insuficiente para garantizar la notificación a todos.

6. Documento, copias, expediente y archivo electrónicos

El artículo 26 de la Ley 39/2015 fija los requisitos del documento administrativo electrónico: contener información de cualquier naturaleza archivada en un soporte electrónico según un formato determinado susceptible de identificación y tratamiento diferenciado; disponer de los datos de identificación que permitan su individualización, sin perjuicio de su posible incorporación a un expediente electrónico; incorporar una referencia temporal del momento en que han sido emitidos; e incorporar los metadatos mínimos exigidos. Y añade que los documentos deberán ser firmados electrónicamente conforme a la propia ley y su normativa de desarrollo.

Las copias (art. 27) son materia técnica y muy examinable. Cada Administración determinará los órganos con competencia para expedir copias auténticas. Las reglas:

• Las copias auténticas de documentos públicos administrativos emitidas por medios electrónicos tendrán la misma validez y eficacia que estos.
• Para garantizar la identidad y contenido de las copias, estas deberán incluir como mínimo el código seguro de verificación, o estar firmadas electrónicamente por funcionario habilitado, o expedirse mediante actuación administrativa automatizada.
• Tendrán la consideración de copia auténtica de un documento público administrativo o privado las realizadas por cualesquiera medio que permita acreditar su autenticidad y la identidad del órgano, así como el cumplimiento de los requisitos exigidos por las Normas Técnicas de Interoperabilidad.
• Las copias en soporte papel de documentos públicos administrativos electrónicos incluirán un código generado electrónicamente u otro sistema de verificación que permita contrastar su autenticidad mediante el acceso a los archivos electrónicos.
• Los interesados podrán solicitar en cualquier momento la expedición de copias auténticas de los documentos públicos administrativos que hayan sido válidamente emitidos por las Administraciones, y la solicitud se dirigirá al órgano que emitió el documento original, debiendo expedirse en el plazo de quince días desde su recepción.

El expediente administrativo (art. 70) se define como el conjunto ordenado de documentos y actuaciones que sirven de antecedente y fundamento a la resolución administrativa, así como las diligencias encaminadas a ejecutarla. Tres reglas: los expedientes tendrán formato electrónico y se formarán mediante la agregación ordenada de cuantos documentos, pruebas, dictámenes, informes, acuerdos, notificaciones y demás diligencias deban integrarlos, así como un índice numerado de todos los documentos que contenga cuando se remita; y, cuando se remita en formato electrónico, se pondrá a disposición mediante un índice electrónico autenticado. Y una exclusión expresa que se pregunta: no formará parte del expediente administrativo la información que tenga carácter auxiliar o de apoyo —como la contenida en aplicaciones, ficheros y bases de datos informáticas, notas, borradores, opiniones, resúmenes, comunicaciones e informes internos o entre órganos— ni los juicios de valor, salvo que se trate de informes preceptivos y facultativos solicitados antes de la resolución que constituyan fundamento de esta.

El archivo electrónico único (art. 17): cada Administración deberá mantener un archivo electrónico único de los documentos electrónicos que correspondan a procedimientos finalizados, en los términos establecidos en la normativa reguladora aplicable. Los documentos deberán conservarse en un formato que permita garantizar la autenticidad, integridad y conservación del documento, así como su consulta con independencia del tiempo transcurrido, asegurando la posibilidad de trasladarlos a otros formatos y soportes que garanticen el acceso desde diferentes aplicaciones. Y se asegurarán en particular la identificación de los usuarios y el control de accesos, así como el cumplimiento de las garantías previstas en la legislación de protección de datos.

7. El Reglamento de actuación por medios electrónicos: Real Decreto 203/2021

El Real Decreto 203/2021, de 30 de marzo, aprueba el Reglamento de actuación y funcionamiento del sector público por medios electrónicos y es el desarrollo conjunto de las Leyes 39/2015 y 40/2015. Su ámbito es la Administración General del Estado y su sector público institucional, sin perjuicio de las previsiones que resulten de aplicación general. Contenidos que conviene reconocer:

• Portales de internet, Punto de Acceso General electrónico y sedes electrónicas, con la distinción entre sede electrónica y sede electrónica asociada, y la exigencia de que toda sede identifique al órgano titular, disponga de canal de comunicación, publique su relación de servicios y garantice la accesibilidad.
• Sistemas de identificación y firma, incluidos los sistemas de clave concertada, y el registro electrónico de apoderamientos, con sus tres tipos de poder —general para cualquier actuación ante cualquier Administración, general para actuaciones ante una Administración u organismo concreto, y para trámites específicos—, con un plazo de vigencia máximo de cinco años.
• El Registro Electrónico General, las oficinas de asistencia en materia de registros y el Sistema de Interconexión de Registros (SIR).
• Los funcionarios habilitados, para identificación y firma en nombre del interesado que no disponga de medios electrónicos, previo consentimiento expreso, y para expedir copias auténticas.
• La notificación a través de la Dirección Electrónica Habilitada única y del Punto de Acceso General electrónico, con el aviso de puesta a disposición.
• El documento, la copia, el expediente y el archivo electrónicos, con remisión a las Normas Técnicas de Interoperabilidad, y la digitalización de documentos en soporte papel.
• El intercambio electrónico de datos en entornos cerrados de comunicación y las actuaciones administrativas automatizadas con sello electrónico de órgano y código seguro de verificación.

7 bis. El uso de medios electrónicos en la Ley 40/2015

Si la Ley 39/2015 pone al ciudadano en el procedimiento electrónico, la Ley 40/2015 pone a la Administración. Sus artículos 38 a 46 y 155 a 158 contienen los instrumentos con los que la Administración actúa por medios electrónicos, y son materia de examen tanto en este tema como en el siguiente.

7 bis.1. La actuación administrativa automatizada

El artículo 41 la define como «cualquier acto o actuación realizada íntegramente a través de medios electrónicos por una Administración pública en el marco de un procedimiento administrativo y en la que no haya intervenido de forma directa un empleado público». Es la definición literal y su elemento decisivo es la ausencia de intervención humana directa: no basta con que el trámite sea electrónico.

Su apartado 2 impone una garantía organizativa que se pregunta a menudo: en caso de actuación automatizada deberá establecerse previamente el órgano u órganos competentes, según los casos, para la definición de las especificaciones, programación, mantenimiento, supervisión y control de calidad y, en su caso, auditoría del sistema de información y de su código fuente. Y añade la regla que cierra el círculo de la responsabilidad: se indicará el órgano que debe ser considerado responsable a efectos de impugnación. Es decir, siempre hay un órgano al que recurrir aunque el acto lo haya dictado una máquina.

7 bis.2. Sello electrónico, código seguro de verificación y firma del empleado público

El artículo 42 enumera los sistemas de firma para la actuación administrativa automatizada, que son dos:

• Sello electrónico de Administración pública, órgano, organismo público o entidad de derecho público, basado en certificado electrónico cualificado que reúna los requisitos exigidos por la legislación de firma electrónica.
• Código seguro de verificación (CSV), vinculado a la Administración, órgano, organismo público o entidad de derecho público y, en su caso, a la persona firmante del documento, permitiéndose en todo caso la comprobación de la integridad del documento mediante el acceso a la sede electrónica correspondiente.

El código seguro de verificación es, en la práctica, lo que convierte una copia en papel en verificable: quien recibe el documento teclea el código en la sede y obtiene el original electrónico. Por eso el artículo 27 de la Ley 39/2015 lo admite como uno de los tres medios para expedir copias auténticas.

El artículo 43 regula la firma electrónica del personal al servicio de las Administraciones públicas: la actuación de una Administración cuando utilice medios electrónicos se realizará mediante firma electrónica del titular del órgano o empleado público. Cada Administración determinará los sistemas de firma que debe utilizar su personal, «los cuales podrán identificar de forma conjunta al titular del puesto de trabajo o cargo y a la Administración u órgano en la que presta sus servicios». Ese es el certificado de empleado público. Y añade una garantía de seguridad personal: por razones de seguridad pública los sistemas de firma podrán referirse solo al número de identificación profesional del empleado público.

El artículo 45 cierra con el aseguramiento e interoperabilidad de la firma electrónica: las Administraciones podrán determinar los trámites e informes que incluyan firma electrónica reconocida o cualificada y avanzada, y con carácter general utilizarán estándares abiertos y, en su caso, aquellos otros que sean de uso generalizado por los ciudadanos.

7 bis.3. Intercambio electrónico de datos entre Administraciones

El artículo 155 es la base jurídica del derecho a no aportar documentos que ya obran en poder de las Administraciones (art. 28 de la Ley 39/2015). Su regla: cada Administración deberá facilitar el acceso de las restantes Administraciones a los datos relativos a los interesados que obren en su poder, especificando las condiciones, protocolos y criterios funcionales o técnicos necesarios para acceder a dichos datos con las máximas garantías de seguridad, integridad y disponibilidad, de conformidad con la normativa de protección de datos. La disponibilidad de tales datos estará limitada estrictamente a aquellos que son requeridos a los interesados por las restantes Administraciones para la tramitación y resolución de los procedimientos y actuaciones de su competencia.

Su instrumento operativo es la Plataforma de Intermediación de Datos, servicio común que permite a un organismo consultar en línea, con el consentimiento o la habilitación legal correspondiente, datos de identidad, residencia, título, prestaciones o situación de desempleo sin pedir el papel al ciudadano. El artículo 156 es el que da cobertura a los dos Esquemas Nacionales —el de Interoperabilidad en su apartado 1 y el de Seguridad en su apartado 2—, y el artículo 157 impone la reutilización de sistemas y aplicaciones de propiedad de la Administración: antes de adquirir, desarrollar o mantener una aplicación, las Administraciones deberán consultar en el directorio general de aplicaciones si existen soluciones disponibles para su reutilización, y las que se declaren de fuentes abiertas se publicarán en dicho directorio.

El artículo 158 encomienda a la Administración General del Estado poner a disposición de las demás Administraciones, en la nube y a través de la Red SARA, las plataformas tecnológicas necesarias, y a las Comunidades Autónomas y entidades locales adherirse voluntariamente a ellas o, si acreditan que pueden prestar el servicio de un modo más eficiente, justificar esa decisión ante la Secretaría General de Administración Digital.

8. El Esquema Nacional de Seguridad: Real Decreto 311/2022

El Real Decreto 311/2022, de 3 de mayo, regula el Esquema Nacional de Seguridad y sustituyó al Real Decreto 3/2010. Su fundamento legal está en el artículo 156.2 de la Ley 40/2015. Su objeto es «establecer la política de seguridad en la utilización de medios electrónicos» y está constituido por los principios básicos y requisitos mínimos que garanticen adecuadamente la seguridad de la información tratada y los servicios prestados.

Del artículo 4 —definiciones, desarrolladas en el Anexo IV— interesa especialmente la que cayó en 2026: compromiso de la seguridad es «un incidente de seguridad en el que, debido a una violación de las medidas técnicas u organizativas de seguridad, una información o un servicio quedan expuestos, o potencialmente expuestos, a un acceso no autorizado». Conviene separarla de las vecinas: un ciberincidente es un suceso con efectos adversos sobre la seguridad de las redes y sistemas; un ciberataque supone intencionalidad; y la categoría de seguridad de un sistema es el nivel de seguridad que ha de aplicársele.

8.1. Principios básicos y requisitos mínimos

El artículo 5 enumera SIETE principios básicos, desarrollados en los artículos 6 a 11. La lista se pregunta como lista cerrada, y ojo: la norma derogada tenía seis y agrupaba «vigilancia continua y reevaluación periódica» en uno solo; el Real Decreto 311/2022 los separa:

1. Seguridad como proceso integral. Constituida por todos los elementos humanos, materiales, técnicos, jurídicos y organizativos; se prestará la máxima atención a la concienciación de las personas, porque la aplicación del Esquema estará presidida por este principio y se excluirá cualquier actuación puntual o tratamiento coyuntural.
2. Gestión de la seguridad basada en los riesgos. El análisis y la gestión de riesgos serán parte esencial del proceso de seguridad y deberán mantenerse permanentemente actualizados.
3. Prevención, detección, respuesta y conservación. Las medidas de prevención, que deben eliminar o reducir la probabilidad de materialización de las amenazas, han de contemplar la disuasión y la reducción de la exposición.
4. Existencia de líneas de defensa. La estrategia de protección constará de múltiples capas de seguridad, de forma que, cuando una de las capas falle, permita ganar tiempo para una reacción adecuada, reducir la probabilidad de compromiso y minimizar el impacto final.
5. Vigilancia continua. Permitirá la detección de actividades o comportamientos anómalos y su oportuna respuesta.
6. Reevaluación periódica. Las medidas de seguridad se reevaluarán y actualizarán periódicamente para adecuar su eficacia a la constante evolución de los riesgos y sistemas de protección.
7. Diferenciación de responsabilidades. Se diferenciará el responsable de la información, el del servicio, el de la seguridad y el del sistema.

Los requisitos mínimos (arts. 12 a 27) son dieciséis, y su enumeración se pregunta en negativo: organización e implantación del proceso de seguridad; análisis y gestión de riesgos; gestión de personal; profesionalidad; autorización y control de los accesos; protección de las instalaciones; adquisición de productos de seguridad y contratación de servicios de seguridad; mínimo privilegio; integridad y actualización del sistema; protección de la información almacenada y en tránsito; prevención ante otros sistemas de información interconectados; registro de actividad y detección de código dañino; incidentes de seguridad; continuidad de la actividad; y mejora continua del proceso de seguridad. Todos ellos se articulan a través de la política de seguridad, que debe aprobarse por el órgano superior competente.

8.2. Organización: los cuatro responsables

El artículo 13 es el precepto que cayó en los dos modelos de 2026. La política de seguridad debe identificar de forma inequívoca a los responsables, con estas funciones:

Figura	Función
Responsable de la información	Determina los requisitos de la información tratada.
Responsable del servicio	Determina los requisitos de los servicios prestados.
Responsable de la seguridad	Determina las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios, supervisa la implantación de las medidas necesarias y reporta sobre estas cuestiones.
Responsable del sistema	Por sí o a través de recursos propios o contratados, se encarga de desarrollar la forma concreta de implementar la seguridad en el sistema y de la supervisión de la operación diaria, pudiendo delegar en administradores u operadores bajo su responsabilidad.

Regla capital del apartado 3: el responsable de la seguridad será distinto del responsable del sistema, y no debe existir dependencia jerárquica entre ambos. Solo en situaciones excepcionales, por ausencia justificada de recursos, pueden coincidir, y entonces han de aplicarse medidas compensatorias. Añade el apartado 4 que una Instrucción Técnica de Seguridad regulará el Esquema de Certificación de Responsables de la Seguridad; y el 5, que en los servicios externalizados la organización prestataria deberá designar un POC (Punto o Persona de Contacto) para la seguridad de la información tratada y el servicio prestado.

8.3. Dimensiones, niveles y categorías

El Esquema trabaja con cinco dimensiones de seguridad, que hay que distinguir de las cuatro del artículo 32 del Reglamento General de Protección de Datos:

Dimensión	Sigla	Qué protege
Confidencialidad	[C]	Que la información no se ponga a disposición de quien no está autorizado.
Integridad	[I]	Que la información no sea alterada de manera no autorizada.
Trazabilidad	[T]	Que pueda determinarse quién hizo qué y en qué momento.
Autenticidad	[A]	Que una entidad es quien dice ser o que garantiza la fuente de los datos.
Disponibilidad	[D]	Que se puede acceder a la información y a los servicios cuando se necesita.

Cada dimensión se valora en tres niveles —BAJO, MEDIO y ALTO— en función del perjuicio que causaría un incidente: bajo si el perjuicio es limitado, medio si es grave y alto si es muy grave. Y la categoría de seguridad del sistema (art. 40) se determina así, en una regla que se pregunta a menudo:

• Categoría ALTA: si alguna dimensión alcanza el nivel ALTO.
• Categoría MEDIA: si alguna dimensión alcanza el nivel MEDIO y ninguna el alto.
• Categoría BÁSICA: si alguna dimensión alcanza el nivel BAJO y ninguna superior.

Es decir: manda la dimensión más exigente. Y la categoría debe reevaluarse anualmente o siempre que se produzcan modificaciones significativas en los criterios de determinación. Nótese la asimetría del vocabulario, que el tribunal aprovecha: las dimensiones tienen niveles bajo, medio y alto; los sistemas tienen categorías básica, media y alta. No se dice «categoría baja» ni «nivel básico».

8.4. Las medidas del Anexo II

El Anexo II divide las medidas de seguridad en TRES GRUPOS, y aquí está el cambio respecto de la norma derogada:

1. Marco organizativo [org]: conjunto de medidas relacionadas con la organización global de la seguridad. Incluye la política de seguridad, la normativa de seguridad, los procedimientos de seguridad y el proceso de autorización.
2. Marco operacional [op]: medidas para proteger la operación del sistema como conjunto integral de componentes para un fin. Se subdivide en planificación, control de acceso, explotación, recursos externos, servicios en la nube, continuidad del servicio y monitorización del sistema. Aquí vive, por ejemplo, la protección frente a código dañino [op.exp.6], que fue la respuesta del ejercicio extraordinario de 2026.
3. Medidas de protección [mp]: se centran en proteger activos concretos, según su naturaleza y la calidad exigida por el nivel de seguridad de las dimensiones afectadas. Se subdivide en protección de las instalaciones e infraestructuras, gestión del personal, protección de los equipos, protección de las comunicaciones, protección de los soportes de información, protección de las aplicaciones informáticas, protección de la información y protección de los servicios.

La criptografía [mp.info.3] pertenece al grupo de medidas de protección y afecta a la dimensión de confidencialidad: fue la respuesta del examen de 2023. Las medidas se seleccionan en función de las dimensiones relevantes y de la categoría del sistema, y pueden sustituirse por medidas compensatorias siempre que se justifique documentalmente que protegen igual o mejor el riesgo y que se satisfacen los principios básicos y los requisitos mínimos.

8.5. Auditoría, conformidad e informe del estado de la seguridad

El artículo 31 impone que los sistemas de categoría MEDIA o ALTA sean objeto de una auditoría ordinaria al menos cada dos años, con la que se verificará el cumplimiento de los requerimientos del Esquema. Los sistemas de categoría BÁSICA no necesitan auditoría: les basta una autoevaluación, realizada por el mismo personal que administra el sistema o en quien este delegue, cuyo resultado deberá documentarse. Con carácter extraordinario, deberá realizarse auditoría siempre que se produzcan modificaciones sustanciales en el sistema, y el plazo de los dos años se computará entonces desde la fecha de la última auditoría.

La conformidad con el Esquema (art. 38) se acredita de dos formas: los sistemas de categoría BÁSICA pueden obtener una declaración de conformidad; los de categoría MEDIA o ALTA requieren certificación de conformidad. Los distintivos correspondientes deben publicarse en la sede electrónica.

El artículo 32 crea el informe del estado de la seguridad: la Comisión Sectorial de Administración Electrónica articulará los procedimientos necesarios para conocer regularmente el estado de las principales variables de la seguridad, de manera que permita elaborar un perfil general del estado de la seguridad en las entidades del ámbito de aplicación. El Centro Criptológico Nacional articulará los medios necesarios para recoger la información y elaborar el informe.

8.6. Instrucciones Técnicas, perfiles de cumplimiento e infraestructuras comunes

El Esquema de Seguridad se desarrolla mediante Instrucciones Técnicas de Seguridad, de obligado cumplimiento, aprobadas por resolución de la Secretaría de Estado competente y publicadas en el Boletín Oficial del Estado. Las que hay que reconocer por su nombre son las de informe del estado de la seguridad, notificación de incidentes de seguridad, auditoría de la seguridad, conformidad con el Esquema Nacional de Seguridad, adquisición de productos de seguridad, criptología de empleo, interconexión de sistemas de información y requisitos de seguridad en entornos externalizados. Junto a ellas, las guías CCN-STIC del Centro Criptológico Nacional, que no son norma jurídica pero sí el criterio técnico de referencia: la serie 800 es la específica del Esquema.

El artículo 29 ordena que las infraestructuras y servicios comunes puestos a disposición por las Administraciones faciliten el cumplimiento del Esquema, y que su uso sea preferente frente a soluciones propias, «salvo que se justifique en términos de eficiencia». El artículo 30 incorpora una figura nueva del Real Decreto 311/2022: los perfiles de cumplimiento específicos, que permiten a un conjunto homogéneo de entidades —por ejemplo, los ayuntamientos de menos de veinte mil habitantes, o las universidades— implantar el Esquema mediante una selección de medidas ajustada a su realidad, siempre que sean aprobados por el Centro Criptológico Nacional y garanticen una protección al menos equivalente. Junto a ellos, la acreditación de entidades de implementación de configuraciones seguras, que permite reconocer a quienes despliegan configuraciones conformes con las guías CCN-STIC.

Sobre los incidentes (art. 33 y concordantes), el Esquema construye un circuito completo: las entidades deben notificar al Centro Criptológico Nacional los incidentes que tengan un impacto significativo, y este presta el apoyo técnico y la coordinación de la respuesta; con carácter general, las entidades del sector público comunicarán a través del CCN-CERT, y las que además sean operadores de servicios esenciales lo harán conforme a la normativa específica de ciberseguridad. La Instrucción Técnica de Notificación de Incidentes gradúa el impacto en una escala de cinco niveles —crítico, muy alto, alto, medio y bajo— y otra de peligrosidad, y de esa graduación depende el plazo de notificación.

8.7. El Centro Criptológico Nacional y sus herramientas

El artículo 33 atribuye al Centro Criptológico Nacional (CCN), adscrito al Centro Nacional de Inteligencia, la capacidad de respuesta a incidentes de seguridad a través del CCN-CERT, que es el CERT gubernamental nacional. Junto a él operan el INCIBE-CERT —para ciudadanos, empresas y operadores críticos del sector privado, gestionado por el Instituto Nacional de Ciberseguridad— y el ESPDEF-CERT del Ministerio de Defensa. El CCN elabora además las guías CCN-STIC, que son las que precisan los criterios de aplicación del Esquema.

Las herramientas del CCN son materia de examen desde 2024, cuando el tribunal preguntó por LUCIA. Conviene reconocerlas por su nombre y función:

Herramienta	Para qué sirve
LUCIA	Gestión de ciberincidentes (Listado Unificado de Coordinación de Incidentes y Amenazas).
PILAR	Análisis y gestión de riesgos, conforme a la metodología MAGERIT.
INES	Informe Nacional del Estado de Seguridad: recogida de datos para el informe del artículo 32.
CLARA	Auditoría de cumplimiento del Esquema y de las guías CCN-STIC en sistemas Windows.
ROCÍO	Auditoría de configuraciones de dispositivos de red.
CARMEN	Detección de amenazas persistentes avanzadas (APT) mediante análisis de tráfico.
REYES	Intercambio de información de ciberamenazas.
MARTA	Análisis avanzado de ficheros sospechosos y código dañino (sandbox).
GLORIA	Gestor de eventos e información de seguridad.
ANA	Automatización y normalización de auditorías.
ELENA	Simulador de técnicas de ciberataque.
ATENEA	Plataforma de retos de ciberseguridad para formación y entrenamiento. ⚠️ En 2024 fue distractor de la pregunta por la herramienta de ticketing: entrena, no gestiona incidentes.
EMMA	Visibilidad y control sobre los dispositivos conectados a la red.
MÓNICA	Gestión de eventos para sistemas de categoría media y alta.
VANESA	Plataforma de emisiones y formación en línea.
ADA	Análisis avanzado de malware mediante aprendizaje automático.
MICROCLAUDIA	Vacunación centralizada frente a código dañino.

8.8. Ámbito de aplicación y relación con la protección de datos

El artículo 2 del Real Decreto 311/2022 amplió el ámbito respecto de la norma derogada, y esa ampliación se pregunta. El Esquema se aplica: al sector público definido en el artículo 2 de la Ley 40/2015; a los sistemas de información que tratan información clasificada, en lo que no contradiga su normativa específica; y —esta es la novedad— a los sistemas de información de las entidades del sector privado cuando, de acuerdo con la normativa aplicable, presten servicios o provean soluciones a las entidades del sector público para el ejercicio de sus competencias y potestades administrativas. Dicho de otro modo: el proveedor de una Administración queda sujeto al Esquema para los sistemas con los que le presta servicio, y deberá acreditarlo. Los pliegos de contratación deben recoger expresamente esa exigencia.

El artículo 3 ordena la relación con la normativa de protección de datos: cuando un sistema trate datos personales le será de aplicación lo dispuesto en el Reglamento (UE) 2016/679 y en la Ley Orgánica 3/2018, sin perjuicio de los requisitos establecidos en el Esquema. Los dos regímenes se acumulan y no se sustituyen: el análisis de riesgos del Esquema no exime de la evaluación de impacto de protección de datos, ni al revés. Y hay un punto de contacto práctico que conviene tener claro, porque el tribunal lo explota: una misma brecha puede obligar a notificar al CCN-CERT conforme al Esquema y a la Agencia Española de Protección de Datos en las 72 horas del artículo 33 del Reglamento, con destinatarios, plazos y formularios distintos.

Por último, el artículo 39 impone la actualización permanente: el Esquema se desarrollará y perfeccionará a lo largo del tiempo, en paralelo al progreso de los servicios de administración digital, de la evolución tecnológica y de los nuevos estándares internacionales sobre seguridad y auditoría, y de las nuevas amenazas. Es la cláusula que explica por qué las guías CCN-STIC y las Instrucciones Técnicas se revisan con mucha más frecuencia que el propio real decreto.

9. El Esquema Nacional de Interoperabilidad: Real Decreto 4/2010

El Real Decreto 4/2010, de 8 de enero, regula el Esquema Nacional de Interoperabilidad en el ámbito de la Administración Electrónica. A diferencia del Esquema de Seguridad, no ha sido sustituido: sigue siendo la norma de 2010, hoy con fundamento en el artículo 156.1 de la Ley 40/2015. Su objeto es comprender el conjunto de criterios y recomendaciones en materia de seguridad, conservación y normalización de la información, de los formatos y de las aplicaciones que deberán ser tenidos en cuenta por las Administraciones para asegurar un adecuado nivel de interoperabilidad.

El artículo 4 enumera los principios básicos: la interoperabilidad como cualidad integral, el carácter multidimensional de la interoperabilidad y el enfoque de soluciones multilaterales.

El artículo 6 desarrolla el carácter multidimensional y contiene la pregunta que cayó en 2024: la interoperabilidad se enfocará desde una perspectiva integral y en sus TRES DIMENSIONES:

Dimensión	De qué se ocupa
Organizativa	De la voluntad y capacidad de las organizaciones de compartir: publicación de los servicios disponibles por medios electrónicos, inventarios de información administrativa y acuerdos de intercambio.
Semántica	De que la información intercambiada signifique lo mismo para emisor y receptor: activos semánticos, modelos de datos comunes y vocabularios.
Técnica	De que los sistemas puedan hablar entre sí: estándares abiertos, infraestructuras y servicios comunes, red de comunicaciones, plan de direccionamiento, formatos, firma y digitalización.

La cuarta dimensión que a veces se cita —la interoperabilidad en el tiempo, sobre la conservación y recuperación de documentos electrónicos— aparece en el artículo 21 del propio Real Decreto y en el Marco Europeo de Interoperabilidad, pero las dimensiones del artículo 6 son tres, y ese es el dato que se responde.

Contenidos del articulado que ya han caído o están a punto:

• Artículo 11 · estándares aplicables. Las Administraciones usarán estándares abiertos y, en su caso y de forma complementaria, estándares de uso generalizado por los ciudadanos, para garantizar la independencia en la elección de alternativas tecnológicas y la adaptabilidad al progreso. El uso en exclusiva de un estándar no abierto sin ofrecer alternativa abierta se limita a los casos en que no exista un estándar abierto que satisfaga la funcionalidad, y solo mientras dicha disponibilidad no se produzca.
• Artículo 12 · infraestructuras y servicios comunes. Su uso es un instrumento de interoperabilidad, y las Administraciones enlazarán aquellas que puedan considerarse equivalentes.
• Artículo 13 · Red SARA. Las Administraciones utilizarán la Red de comunicaciones de las Administraciones públicas españolas para comunicarse entre sí y conectarse a las redes de las instituciones europeas.
• Artículo 14 · plan de direccionamiento. La Administración General del Estado definirá un Plan de Direccionamiento e Interconexión de Redes en la Administración, y su gestión corresponde al órgano competente.
• Artículo 15 · hora oficial. Las sedes y registros electrónicos se sincronizarán con la hora oficial, que es la del Real Instituto y Observatorio de la Armada, y se garantizará su difusión.
• Artículo 17 · directorios de aplicaciones reutilizables. Las Administraciones mantendrán directorios actualizados de aplicaciones para su libre reutilización, y la Administración General del Estado mantendrá un directorio general de aplicaciones para su reutilización.
• Artículo 21 · condiciones para la recuperación y conservación de documentos: garantizar la posibilidad de trasladar los datos a otros formatos y soportes, el acceso desde aplicaciones informáticas distintas, y la identificación unívoca e inequívoca del documento.
• Artículo 23 · formatos de los documentos. Se usarán formatos que sean de uso común por los ciudadanos y estándares abiertos, procurando la conservación en el tiempo y con independencia de la aplicación.
• Artículo 24 · digitalización de documentos en soporte papel: se hará conforme a lo previsto en la Norma Técnica de Interoperabilidad de Digitalización de Documentos.

10. Las Normas Técnicas de Interoperabilidad

El Real Decreto 4/2010 es una norma de principios: dice que hay que usar estándares abiertos, conservar los documentos y digitalizar con garantías, pero no dice qué metadatos lleva un documento, a qué resolución se escanea o en qué formato se firma. Ese detalle está en las Normas Técnicas de Interoperabilidad, y es justo el que pregunta el tribunal. Por eso este apartado no se queda en la lista: repasa una a una las normas aprobadas con los datos que se pueden preguntar.

La disposición adicional primera del Real Decreto 4/2010 las enumera y dice que «serán de obligado cumplimiento por parte de las Administraciones Públicas». Desde el Real Decreto 1125/2024 las aprueba el Ministerio para la Transformación Digital y de la Función Pública, a propuesta de la Comisión Sectorial de Administración Electrónica, y se publican mediante Resolución de la Secretaría de Estado de Función Pública. Las que están hoy en vigor se aprobaron antes, por resoluciones de la Secretaría de Estado para la Función Pública (2011), de Administraciones Públicas (2012 a 2016) y de Digitalización e Inteligencia Artificial (2021).

10.1. La lista de la disposición adicional primera

La redacción original de 2010 tenía once normas, de la a) a la k). El Real Decreto 1495/2011 añadió la l), la de reutilización de recursos de información, y el Real Decreto 203/2021 amplió la lista hasta la v). Hoy son veintidós letras, de la a) a la v), contando la ñ. Hay que distinguir dos cosas: estar en la lista y estar aprobada. Las doce primeras tienen su resolución publicada en el BOE. Las de la m) a la v) están previstas en el real decreto, pero a la fecha de esta revisión (octubre de 2026) no hemos localizado en el BOE la resolución que las apruebe.

Letra	Norma Técnica de Interoperabilidad de…	Aprobación
a)	Catálogo de estándares	Resolución de 3 de octubre de 2012
b)	Documento electrónico	Resolución de 19 de julio de 2011
c)	Digitalización de documentos	Resolución de 19 de julio de 2011
d)	Expediente electrónico	Resolución de 19 de julio de 2011
e)	Política de firma electrónica y de certificados de la Administración	2011, sustituida por la de firma y sello electrónicos (Resolución de 27 de octubre de 2016)
f)	Protocolos de intermediación de datos	Resolución de 28 de junio de 2012
g)	Relación de modelos de datos	Resolución de 28 de junio de 2012
h)	Política de gestión de documentos electrónicos	Resolución de 28 de junio de 2012
i)	Requisitos de conexión a la Red de comunicaciones de las Administraciones Públicas españolas	Resolución de 19 de julio de 2011
j)	Procedimientos de copiado auténtico y conversión entre documentos electrónicos	Resolución de 19 de julio de 2011
k)	Modelo de Datos para el intercambio de asientos entre las Entidades Registrales (SICRES)	2011 (SICRES 3.0), sustituida por SICRES 4.0 (Resolución de 22 de julio de 2021)
l)	Reutilización de recursos de información	Resolución de 19 de febrero de 2013
m)	Inventario y codificación de objetos administrativos	Prevista
n)	Transferencia e ingreso de documentos y expedientes electrónicos	Prevista
ñ)	Valoración y eliminación de documentos y expedientes electrónicos	Prevista
o)	Preservación de documentación electrónica	Prevista
p)	Tratamiento y preservación de bases de datos	Prevista
q)	Plan de Direccionamiento	Prevista
r)	Reutilización de activos en modo producto y en modo servicio	Prevista
s)	Modelo de datos y condiciones de interoperabilidad de los registros de funcionarios habilitados	Prevista
t)	Modelo de datos y condiciones de interoperabilidad de los registros electrónicos de apoderamientos	Prevista
u)	Sistema de Referencia de documentos y repositorios de confianza	Prevista
v)	Política de firma electrónica y de certificados en el ámbito estatal	Prevista

Las trampas exactas del tribunal. En 2019 dio como respuesta correcta, es decir, como la norma que NO existe, el «Protocolo de gestión de recursos de la Administración». En 2026 hizo lo mismo con la «Norma Técnica de Interoperabilidad de Plan de Seguridad para gestión de ciberataques». Las dos suenan perfectamente plausibles y ninguna está en la lista. Los tres distractores de 2026 eran normas que sí figuran en la lista: Plan de Direccionamiento (letra q), Reutilización de activos en modo producto y en modo servicio (letra r) y Sistema de Referencia de documentos y repositorios de confianza (letra u). Las tres son de las previstas en 2021, lo que confirma que el tribunal pregunta por la lista completa y no solo por las doce aprobadas.

Truco para la pregunta en negativo: en la lista no hay ninguna norma de seguridad. La seguridad es materia del Esquema Nacional de Seguridad y de sus guías CCN-STIC, no del de Interoperabilidad. Un «plan de seguridad», una «gestión de ciberataques» o un «protocolo de respuesta a incidentes» presentados como NTI son siempre el elemento inventado.

10.2. Qué trata cada norma, según el real decreto

El tribunal suele preguntar al revés: da el contenido y pide el nombre («la norma técnica que trata los metadatos mínimos obligatorios es la de…»). La disposición adicional primera describe el contenido de casi todas, y esas descripciones son la fuente de esas preguntas:

Norma	Qué tratará, según la disposición adicional primera
a) Catálogo de estándares	Un conjunto de estándares que cumplan el artículo 11, de forma estructurada y con los criterios de selección y ciclo de vida aplicados
b) Documento electrónico	Los metadatos mínimos obligatorios, la asociación de los datos y metadatos de firma o sellado de tiempo, otros metadatos complementarios y los formatos de documento
c) Digitalización de documentos	Los formatos y estándares aplicables, los niveles de calidad, las condiciones técnicas y los metadatos del proceso de digitalización
d) Expediente electrónico	Su estructura y formato y las especificaciones de los servicios de remisión y puesta a disposición
e) Política de firma electrónica y de certificados	Formatos de firma, algoritmos y longitudes mínimas de las claves, reglas de creación y validación, gestión de las políticas, referencias temporales y sello de tiempo, y la representación de la firma en pantalla y en papel
f) Protocolos de intermediación de datos	Las especificaciones de los protocolos que faciliten la integración y reutilización de servicios, para prestadores y consumidores de esos servicios
g) Relación de modelos de datos	Los modelos de datos comunes en la Administración y los de materias sujetas a intercambio de información con ciudadanos y otras Administraciones
h) Política de gestión de documentos electrónicos	La asignación de responsabilidades directivas y profesionales y la definición de los programas, procesos y controles de gestión de documentos y de administración de los repositorios
i) Requisitos de conexión a la Red	La conexión a la Red de comunicaciones de las Administraciones Públicas españolas (no lleva descripción)
j) Copiado auténtico y conversión	El copiado auténtico y la conversión entre documentos electrónicos, y también desde papel u otros medios físicos a formato electrónico
k) Intercambio de asientos registrales	Los aspectos funcionales y técnicos del intercambio de asientos, la gestión de errores y excepciones, la gestión de anexos, los requerimientos tecnológicos y las transformaciones de formatos
l) Reutilización de recursos de información	La localización, descripción e identificación unívoca de los recursos de información puestos a disposición del público para su reutilización
m) Inventario y codificación de objetos administrativos	La codificación de objetos administrativos y la conexión entre inventarios: unidades orgánicas y oficinas, por un lado, y procedimientos y servicios, por otro
n) Transferencia e ingreso	La transferencia de agrupaciones documentales, documentos y expedientes, con sus metadatos, entre sistemas de gestión de documentos y sistemas de archivo electrónico
ñ) Valoración y eliminación	La valoración de documentos y expedientes para fijar plazos de conservación, transferencia y acceso o, en su caso, su eliminación total o parcial
o) Preservación de documentación electrónica	La conservación de los documentos para garantizar su autenticidad, integridad, confidencialidad, disponibilidad y trazabilidad
p) Tratamiento y preservación de bases de datos	Lo mismo que la anterior, pero aplicado a la conservación de las bases de datos
q) Plan de Direccionamiento	La asignación y los requisitos de direccionamiento IP de la Red de las Administraciones, para evitar direcciones duplicadas
r) Reutilización de activos en modo producto y en modo servicio	Los requisitos para facilitar la reutilización de activos (aplicaciones y soluciones), tanto en modo producto como en modo servicio
s) Registros de funcionarios habilitados	Su modelo de datos e interoperabilidad, y su interconexión con las sedes electrónicas
t) Registros electrónicos de apoderamientos	Su modelo de datos e interoperabilidad, y su interconexión con las sedes, los registros mercantiles y de la propiedad y los protocolos notariales
u) Sistema de Referencia de documentos y repositorios de confianza	Los requisitos de las referencias a documentos que se intercambian, para no trasladar documentación de forma innecesaria
v) Política de firma y de certificados en el ámbito estatal	Las directrices sobre certificados y firma en el ámbito estatal, incluidos los perfiles interoperables de los medios de identificación previstos en la Ley 40/2015

Una pareja que se confunde: la k) (SICRES) intercambia asientos entre registros; la t) trata de la interoperabilidad de los registros de apoderamientos, que es otro registro distinto. Y la o) y la p) se diferencian solo en el objeto: documentos frente a bases de datos.

La disposición adicional primera también crea cuatro instrumentos para la interoperabilidad, que no son normas técnicas y se cuelan como distractores:

1. El Sistema de Información Administrativa (SIA): inventario de procedimientos, servicios y otras actuaciones que generen documentación pública.
2. El Centro de Interoperabilidad Semántica: almacena, publica y difunde los modelos de datos.
3. El Centro de Transferencia de Tecnología: directorio de aplicaciones para su libre reutilización, con su nombre, funcionalidades, licencia, estándares abiertos que aplica y estado de desarrollo.
4. El Directorio Común de Unidades Orgánicas y Oficinas: codifica las unidades y oficinas.

Para el ámbito de la ciberseguridad y la criptografía, la misma disposición atribuye la competencia en la aplicación del Esquema al Centro Criptológico Nacional.

10.3. Documento electrónico

Fija los componentes del documento electrónico y la estructura para intercambiarlo. Son tres: el contenido, la firma electrónica «en su caso» y los metadatos. Los documentos administrativos electrónicos, y todos los que puedan formar parte de un expediente, tendrán siempre al menos una firma.

Los metadatos mínimos obligatorios (anexo I) acompañan al documento en todo intercambio y no se modifican en ninguna fase posterior del procedimiento, salvo para corregir errores u omisiones:

Metadato	Qué recoge
Versión NTI	Versión de la norma conforme a la que se estructura el documento
Identificador	Identificador normalizado: ES_<Órgano>_<AAAA>_<ID específico>, con el código de órgano de 9 caracteres, el año de captura y un ID de 30 caracteres
Órgano	Código del órgano que genera o captura el documento, extraído del Directorio Común de unidades y oficinas
Fecha de captura	Fecha de alta en el sistema de gestión documental, en formato ISO 8601
Origen	Quién creó el contenido: 0 = ciudadano, 1 = Administración
Estado de elaboración	Original, copia electrónica auténtica con cambio de formato, copia electrónica auténtica de documento papel, copia electrónica parcial auténtica u otros
Nombre de formato	Formato del fichero, tomado de la lista del Catálogo de estándares
Tipo documental	Documentos de decisión (resolución, acuerdo, contrato…), de transmisión (comunicación, notificación…), de constancia (acta, certificado, diligencia), de juicio (informe) y de ciudadano (solicitud, denuncia, alegación, recursos…)
Tipo de firma	CSV o el formato de firma con certificado

Hay tres metadatos más que solo aparecen en ciertos casos. Si la firma es por CSV, se añaden el valor del CSV y la definición de su generación, que es la referencia a la orden o resolución que lo crea. Si el documento es una copia con cambio de formato o parcial, se añade el identificador del documento origen. Cuando la Administración da acceso a un documento en su sede, debe mostrar el contenido, la información básica de cada firma y la descripción y el valor de los metadatos mínimos.

Otros puntos de la norma que se pueden preguntar:

• Formato: el del Catálogo de estándares, elegido según la naturaleza de la información. Se admiten otros cuando haya particularidades que lo justifiquen o para asegurar el valor probatorio del documento.
• Intercambio: con la estructura XML del anexo II. Otras estructuras solo con acuerdo previo entre las partes, y si el documento va a un tercero el emisor lo convierte a la estructura del anexo II.
• Entre Administraciones y en actuación automatizada, se transmite preferentemente por la Red SARA. Si el documento forma parte de un asiento registral, va como adjunto conforme a SICRES.
• Si el intercambio supone transferir la custodia de documentos de conservación permanente, el órgano que los entrega verifica su autenticidad e integridad en ese momento.
• Información básica de la firma que se muestra al ciudadano (anexo III). Con CSV, el valor del código. Con certificado, la validez de la firma, el firmante, el emisor del certificado y la fecha y hora de la firma.

10.4. Expediente electrónico

Fija la estructura y el formato del expediente y cómo se remite o se pone a disposición. Sus cuatro componentes:

1. Los documentos electrónicos, que pueden ir sueltos, dentro de carpetas o formando parte de otro expediente anidado.
2. El índice electrónico, que garantiza la integridad del expediente y permite recuperarlo.
3. La firma del índice por la Administración, órgano o entidad actuante.
4. Los metadatos del expediente.

El índice recoge, como mínimo, su fecha de generación y, para cada documento, su identificador, su huella digital y la función resumen con la que se obtuvo. De forma opcional recoge la fecha de incorporación y el orden del documento. La huella es lo que permite comprobar que nadie ha cambiado un documento después de indexarlo. En la remisión se envía primero la estructura del expediente y después cada documento, en el orden del índice.

Metadatos mínimos del expediente: Versión NTI, Identificador (ES_<Órgano>_<AAAA>_EXP_<ID específico>, con el EXP que lo distingue del de un documento), Órgano, Fecha de apertura, Clasificación (el procedimiento, codificado según el SIA, el Sistema de Información Administrativa), Estado, Interesado y Tipo de firma. El estado puede tomar tres valores: abierto, cerrado o índice para remisión cerrado. El interesado es el único metadato que puede faltar (0:N), porque hay expedientes de oficio sin interesado identificado.

Dos casos especiales:

• La norma puede aplicarse también a conjuntos de documentos que no nacen de un procedimiento reglado pero se forman por agregación, como resultado de una secuencia de actuaciones coherentes.
• Cuando una prueba o un documento no cabe en la estructura del expediente por su naturaleza o su extensión, se incorpora un documento que lo especifica. El original queda custodiado por el órgano gestor, que lo aportará por separado si se le pide.

10.5. Digitalización de documentos

Regula cómo se digitaliza un documento en papel, o en otro soporte no electrónico, por medios fotoeléctricos. El documento digitalizado tiene tres componentes: la imagen electrónica, los metadatos mínimos de la norma de Documento electrónico y, si procede, la firma de la imagen. Para que además sea copia auténtica tiene que cumplir también la norma de copiado auténtico.

• Formato: los formatos de imagen del Catálogo de estándares.
• Resolución mínima: 200 píxeles por pulgada, igual para blanco y negro, color o escala de grises. Fue la respuesta del ejercicio extraordinario de 2026, y los distractores rebajaban uno de los casos a 150 o lo subían a 300.
• Fidelidad: la imagen respeta la geometría del original en tamaños y proporciones y no contiene caracteres o gráficos que no estuvieran en él.
• Proceso, por este orden: digitalización por medio fotoeléctrico; si procede, optimización automática de la imagen para que sea legible (umbralización, reorientación, eliminación de bordes negros…); asignación de metadatos; y, si procede, firma.
• Mantenimiento preventivo y comprobaciones rutinarias de los escáneres, para garantizar que siguen produciendo imágenes fieles.

10.6. Procedimientos de copiado auténtico y conversión

Da las reglas para generar copias electrónicas auténticas, copias en papel auténticas de documentos electrónicos y conversiones de formato. Los puntos que se preguntan:

• Una copia electrónica idéntica al original, sin cambio de formato ni de contenido, tiene la eficacia jurídica de documento original.
• Las copias auténticas solo se expiden a partir de documentos con calidad de original o de copia auténtica.
• La copia es un documento nuevo, con sus propios metadatos. Su relación con el documento de partida queda en el metadato «Identificador del documento origen».
• Cada tipo de copia se marca en el metadato «Estado de elaboración». Hay tres: con cambio de formato (sale de una conversión), de documento papel (sale de una digitalización conforme a su norma técnica) y parcial (extractos del original que protegen los datos que no afectan al interesado).
• La conversión genera un nuevo documento con formato o versión distintos. Debe conservar el contenido, el contexto y la estructura del original, y el formato de destino se elige entre los del Catálogo de estándares.

10.7. Política de firma y sello electrónicos y de certificados

La norma de 2011 la sustituyó la de 27 de octubre de 2016, que añadió el sello electrónico y se adaptó al Reglamento (UE) 910/2014, eIDAS. Su objeto es fijar criterios comunes para la autenticación y el reconocimiento mutuo de firmas y sellos basados en certificados.

• Actores: el firmante (persona física), el creador de un sello (persona jurídica), el verificador, el prestador de servicios de confianza y el emisor y gestor de la política de firma.
• Formatos: los de la Decisión de Ejecución (UE) 2015/1506. Por compatibilidad se admiten, aunque no se recomiendan, XAdES (XML), CAdES (CMS) y PAdES (PDF) en las versiones de la norma de 2011.
• Perfil mínimo de las firmas de contenido: -EPES, es decir, la clase básica (BES) más la información sobre la política de firma.
• La política debe estar disponible en formato procesable automáticamente: XML y ASN.1.
• Firmas longevas: incorporan el estado del certificado, un sello de tiempo y la cadena de confianza, y se resellan cuando los algoritmos se quedan obsoletos.
• Cuando varios firmantes firman un mismo objeto y el segundo ratifica la firma del primero, se usa la contrafirma (CounterSignature).
• Se presumen válidos los certificados cualificados que usen los ciudadanos.

La norma parte de la definición del Real Decreto 4/2010: una política de firma es el «conjunto de normas de seguridad, de organización, técnicas y legales para determinar cómo se generan, verifican y gestionan firmas electrónicas, incluyendo las características exigibles a los certificados de firma». Toda política basada en certificados incluye:

1. El alcance y ámbito de aplicación, con los actores y los usos de la firma y del sello.
2. Los datos identificativos del documento y de su gestor: nombre, versión, OID de la política, URI de referencia, fecha de expedición y ámbito. Del gestor, su nombre, su dirección de contacto y su OID.
3. Las reglas comunes para firmante, creador de sello y verificador: formatos admitidos y uso de algoritmos, reglas de creación y reglas de validación.
4. Las reglas de confianza sobre certificados, sellos de tiempo y firmas longevas.
5. Reglas opcionales de cada organización: compromisos por servicio y certificados de atributos.
6. Las condiciones de archivado y custodia de las firmas.
7. Su propia gestión: mantenimiento, actualización y publicación de versiones. Se puede mantener un repositorio de versiones anteriores para validar firmas antiguas.

Algoritmos y longitud de claves. En los procedimientos de las Leyes 39/2015 y 40/2015 se siguen los de la Decisión de Ejecución (UE) 2015/1506. En los entornos de alta seguridad rigen, según el criterio del Centro Criptológico Nacional, las guías CCN-STIC 405 y CCN-STIC 807, esta última sobre el uso de criptografía en el Esquema Nacional de Seguridad.

Convertir una firma en longeva exige tres pasos:

1. Verificar la firma.
2. Completarla con las referencias a los certificados (del firmante, de su cadena y del sello de tiempo) y a su estado (CRL o respuestas OCSP).
3. Aplicar un sello de tiempo sobre esas referencias.

Si el sello de tiempo lo añade el propio firmante, puede hacerlo una vez transcurrido el periodo de precaución o de gracia.

10.8. Protocolos de intermediación de datos

Es la base técnica de la Plataforma de Intermediación de Datos, que hace efectivo el derecho a no aportar documentos que ya obren en poder de las Administraciones. Define cuatro papeles, en dos parejas:

Agente	Qué es
Cedente	La organización que posee los datos y responde de ellos
Emisor	Quien facilita la cesión desde el punto de vista tecnológico
Cesionario	La organización autorizada a consultar los datos
Requirente	Quien facilita la consulta desde el punto de vista tecnológico

Datos técnicos que ya han caído o están a punto:

• Los intercambios se podrán implementar a través de servicios web (pregunta de 2023), descritos en WSDL, con mensajes XML y con seguridad TLS con autenticación de cliente o seguridad extremo a extremo.
• El protocolo general es SCSP (Sustitución de Certificados en Soporte Papel) en su versión 3.0. La versión 2 solo se mantiene en servicios ya existentes.
• La plataforma funciona 24x7, no almacena información personal de los ciudadanos y se accede a ella por la Red SARA.
• Cada consulta lleva un identificador único que permite reproducir la secuencia de operaciones. La traza guarda como mínimo el identificador de la transacción, el cesionario, el requirente y el usuario final, el tipo de información pedida y la fecha y hora.

10.9. Relación de modelos de datos

Obliga a publicar en el Centro de Interoperabilidad Semántica (CISE) los modelos de datos que se usan en los intercambios con ciudadanos y con otras Administraciones. Cada modelo se publica con dos piezas: los activos semánticos en XSD (XML Schema) y una guía explicativa en PDF. Hay que distinguir dos casos. Los modelos comunes son de preferente aplicación (art. 10.1 del Real Decreto 4/2010). Los de quienes tienen competencias en materias sujetas a intercambio son de obligatoria aplicación (art. 10.2). Las codificaciones de interés estadístico siguen los modelos del INE, y las unidades y oficinas se codifican con el Directorio Común.

10.10. Política de gestión de documentos electrónicos

No regula un formato, sino el documento de política que cada organización debe aprobar. Ese documento recoge el alcance, los roles, las directrices de los procedimientos de gestión, la formación, la supervisión y auditoría y su propio proceso de revisión. La alta dirección aprueba e impulsa la política. Por debajo intervienen los responsables de los procesos de gestión, el personal especializado en gestión documental y el personal que la aplica.

Los procesos de gestión documental que incluirá como mínimo son nueve, y se preguntan en lista:

1. Captura, con los metadatos mínimos obligatorios.
2. Registro legal, incluida la digitalización del papel recibido.
3. Clasificación, con la formación de expedientes y el cuadro de clasificación.
4. Descripción.
5. Acceso, con trazabilidad de las acciones.
6. Calificación: documentos esenciales, valoración y plazos de conservación, y dictamen de la autoridad calificadora.
7. Conservación, con calendarios de conservación.
8. Transferencia entre repositorios.
9. Destrucción o eliminación, con las medidas de borrado del Esquema Nacional de Seguridad.

Como referencia para los metadatos de gestión ofrece el e-EMGDE (Esquema de Metadatos para la Gestión del Documento Electrónico), que incluye los metadatos mínimos de documento y expediente.

10.11. Requisitos de conexión a la Red SARA

• Se accede a la red por un Punto de Presencia, que es una sede con conexión directa sin organización intermedia.
• Hay seis tipos de Punto de Presencia:
  1. Los Proveedores de Acceso a la Red SARA.
  2. Los centros de proceso de datos de SARA.
  3. La red europea sTESTA.
  4. Los centros externos de monitorización.
  5. Los prestadores de servicios de certificación.
  6. Otros, como las Ventanillas Únicas Empresariales.
• En toda conexión intervienen tres partes: el ministerio competente, un proveedor de acceso y la organización que se conecta, que actúa como usuario final.
• Los Proveedores de Acceso a la Red SARA (PAS) son los ministerios, las comunidades y ciudades autónomas y los órganos constitucionales. Las entidades locales se conectan a través del PAS de su comunidad autónoma.
• El Área de Conexión de cada PAS es una zona desmilitarizada (DMZ) entre un subsistema de seguridad externo y otro interno. Presta los servicios básicos DNS, SMTP, NTP, proxy y proxy inverso.
• Las comunicaciones van cifradas por VPN, y la red enlaza con la red europea sTESTA de la Comisión.
• Las organizaciones conectadas aplican el Plan de direccionamiento e interconexión de redes del artículo 14 del Real Decreto 4/2010.
• El ministerio adquiere, instala, administra y mantiene los elementos de conectividad de cada PAS y presta un servicio de soporte 24x7. El PAS mantiene el suyo «a ser posible» 24x7.
• El ministerio protege la información con el cifrado de las comunicaciones y la detección temprana de incidentes en colaboración con el CCN-CERT.
• El alta de un nuevo servicio en la red exige un acuerdo previo entre la Administración que lo presta y la beneficiaria, y su comunicación al Centro de Soporte de la Red SARA.

10.12. SICRES: el intercambio de asientos registrales

Es la norma que hace posible el Sistema de Interconexión de Registros (SIR), es decir, que un escrito presentado en el registro de un ayuntamiento llegue electrónicamente al ministerio destinatario. La versión vigente es SICRES 4.0, aprobada por Resolución de 22 de julio de 2021 (BOE de 10 de agosto), que sustituye a SICRES 3.0, de 2011. La resolución dio un año de adaptación en el que convivieron las dos versiones. La historia es SICRES 1.0 en 1995, 2.0 en 1999, 3.0 en 2011 y 4.0 en 2021.

Sus tres novedades:

1. Reordena y actualiza los campos.
2. Sustituye el envío de los ficheros por el intercambio de referencias a los documentos.
3. Añade metadatos para automatizar el tratamiento de los asientos.

El estado del asiento se controla con códigos. El mensaje de datos puede estar en Pendiente (01), Envío (02) o Reenvío (03). Los mensajes de control son ACK (01), Error (02), Confirmación (03), ACK de confirmación (04), Rechazo (05) y ACK de rechazo (06). Ojo con el ACK: solo acredita la recepción técnica correcta y no confirma que el intercambio haya terminado bien. Eso lo hace la confirmación.

El mensaje de datos de intercambio tiene siete segmentos:

1. Origen (o remitente).
2. Destino (o destinatario).
3. Interesado, con su representante.
4. Asiento.
5. Anexo, que ahora lleva la referencia única del documento, no el fichero.
6. Internos y control.
7. Formulario genérico.

Aparte va el mensaje de control, que informa del estado del intercambio. Las entidades registrales y las unidades de tramitación se identifican con dos directorios:

• El DIR3 (Directorio Común de Unidades Orgánicas y Oficinas), para las Administraciones.
• El DIRe (Directorio de Entidades), para las personas jurídicas privadas.

• El sistema de intercambio debe garantizar cinco principios: integridad, confidencialidad, autenticidad, no repudio y accesibilidad. SICRES 4.0 es independiente de la tecnología de transmisión.
• Para evitar asientos duplicados se usan tres datos: el identificador de intercambio, el identificador de fichero y el número de secuencia.
• Mientras dura el intercambio existe un pre-asiento registral. Si no llega a convertirse en asiento firme, el destino no conserva el mensaje ni sus anexos, solo la traza de la transacción.
• Los errores son de tres tipos: lógicos (validación de estructura, contenido o direcciones), físicos (máquinas o software no disponibles) y de transmisión (comunicaciones). El sistema debe admitir además un modo de prueba.

10.13. Reutilización de recursos de información

Desarrolla la Ley 37/2007, de reutilización de la información del sector público, en su vertiente técnica:

• Selección: tienen prioridad los conjuntos de mayor relevancia y potencial social y económico. Los datos se ofrecen primarios (sin manipular), con el nivel de detalle más fino posible, estructurados para su tratamiento automático y con la fecha de su última actualización.
• Identificación: identificadores de recursos uniformes (URI) persistentes sobre HTTP o HTTPS, comprensibles y que no revelen la tecnología interna.
• Formatos: estándares abiertos, preferentemente con representación semántica, y se puede ofrecer el mismo conjunto en varias distribuciones.
• Catálogo: interfaz de publicación e interfaz de consulta, con acceso en HTML para personas y como datos reutilizables con el vocabulario DCAT. El modelo de dirección en sede es sede.gob.es/datosabiertos.

El esquema de URI del anexo II es la parte más técnica, y la que mejor encaja con el bloque de desarrollo web:

http://{base}/{carácter}[/{sector}][/{dominio}][/{concepto}][.{ext}]

La base y el carácter son obligatorios e invariables, y el resto es opcional. El carácter toma uno de cuatro valores:

Carácter	Qué identifica
catalogo	El catálogo y sus conjuntos de datos (/catalogo/{dataset})
def	Vocabularios y ontologías, normalmente RDF-S u OWL
kos	Sistemas de organización del conocimiento (taxonomías, tesauros), normalmente en SKOS
recurso	Cada instancia física o conceptual (/recurso/{sector}/{clase}/{ID})

• Normalización de los URI: identificadores cortos y semánticos, en minúsculas (salvo los nombres de clase), sin acentos, diéresis ni signos salvo el guion, sin artículos ni conjunciones y en castellano o en una lengua cooficial. Un URI ya publicado no debe cambiar nunca.
• El servidor hace negociación de contenido según la cabecera HTTP: devuelve HTML a una persona y RDF a una máquina.
• Los metadatos del catálogo y de cada conjunto de datos (anexo III) se expresan con DCAT, Dublin Core, FOAF y SKOS: título, descripción, órgano publicador, fechas en ISO 8601, idioma, cobertura geográfica, temática, términos de uso…
• La temática sigue la taxonomía de sectores del anexo IV, la que usa datos.gob.es.

10.14. Catálogo de estándares

Es la norma a la que remiten todas las demás cuando dicen «en un formato admitido». Fija el conjunto mínimo de estándares que cumplen el artículo 11 del Real Decreto 4/2010. De cada estándar indica si es abierto o de uso generalizado, su versión mínima y su estado en el ciclo de vida. El estado solo tiene dos valores: «Admitido» o «En abandono». El catálogo se revisa con periodicidad anual, y cuando se elimina un estándar en abandono se elige otro que cubra su función.

La categoría más preguntada es «Formatos ficheros – Imagen y/o texto». Según el texto publicado en el BOE incluye:

• CSV, HTML, CSS, MHTML y TXT.
• JPEG, PNG, SVG y TIFF.
• PDF y PDF/A.
• Los ofimáticos abiertos OpenDocument (ODF) y Office Open XML estricto.
• RTF, que figura «en abandono».

🚨 BMP no está en el catálogo, y tampoco GIF. Fue la pregunta de reserva del ejercicio extraordinario de 2026: «¿cuál NO está incluido?», con CSS, JPEG y TIFF como distractores. Los tres están en la lista, y CSS sorprende porque no es una imagen, pero la categoría es «imagen y/o texto». Otros estándares que el catálogo marca «en abandono» son AVI en contenedores multimedia y PKCS#7 en firma electrónica.

Cada estándar se clasifica por el eslabón de la cadena de interoperabilidad con el que se relaciona. Hay cuatro:

1. Accesibilidad multicanal, integrada y segura.
2. Infraestructuras y servicios asociados.
3. Integración de sistemas y servicios.
4. Modelos e integración de datos.

Del estándar se recoge también su categoría funcional, su nombre común y formal, el tipo, la versión mínima, las extensiones y el estado. El nombre común es el valor que toma el metadato «Nombre de formato» de la norma de Documento electrónico, y así se enlazan las dos normas. Si una necesidad no está cubierta, el órgano puede elegir otro estándar e informar de ello. Para pedir que se añada, modifique o dé de baja un estándar se dirige una solicitud a la Secretaría Ejecutiva del Comité Sectorial de Administración Electrónica.

Los estándares del catálogo, agrupados por categoría:

Categoría	Estándares
Firma electrónica	CAdES, XAdES, PAdES, CMS, XML-DSig, ETSI TS 102 176-1 (algoritmos). En abandono: PDF Signature y PKCS#7
Política de firma	ETSI TR 102 038 (en XML) y ETSI TR 102 272 (en ASN.1)
Certificados y sellado de tiempo	OCSP (estado de certificados X.509) y ETSI TS 102 023 (autoridades de sellado de tiempo)
Cifrado e integridad	TLS y SHA
Codificación	Base16, Base32 y Base64; UCS/UTF (ISO/IEC 10646); idioma con RFC 4646 e ISO 639
Imagen y/o texto	CSV, HTML, CSS, JPEG, MHTML, ODF, OOXML estricto, PDF, PDF/A, PNG, SVG, TIFF, TXT. En abandono: RTF
Cartografía y SIG	GML, WFS y WMS
Compresión	ZIP y GZIP
Contenedores multimedia	MPEG-4. En abandono: AVI
Sonido	MP3 y OGG-Vorbis
Vídeo	MPEG-4 y WebM
Gestión documental y archivística	ISAD (G), ISAAR (CPF), ISDF, NEDA, UNE-ISO 15489, UNE-ISO 23081, UNE-ISO 30300 y 30301
Correo electrónico	SMTP y MIME
Transporte y red	DNS, HTTP, IPSec y NTP (y LDAP en infraestructuras)
Servicios web	SOAP, WSDL, UDDI y WS-Security
Identificación	ASN.1, OID, URI, URL y URN
Específicos de aplicación	CODICE (contratación), Facturae (factura electrónica), SCSP y SICRES
Semántica y metadatos	DCAT, RDF, RDFa, OWL, SKOS, SPARQL, N3, Turtle, MoReq, PREMIS y los metadatos de INSPIRE
Integración de datos y métricas	XML, XSD y las fechas y horas en ISO 8601

Un detalle fino: bajo la entrada «JPEG», la especificación formal que cita el catálogo es la ISO/IEC 15444, que es JPEG 2000. Y el catálogo es de 2012, con una corrección de errores publicada en el BOE de 17 de enero de 2013.

10.15. Cómo se encadenan las normas

Las normas no se leen sueltas: se remiten unas a otras, y entender esas remisiones ahorra memorizar. El recorrido de un papel que entra por registro lo muestra bien:

1. Se digitaliza (NTI de Digitalización) a 200 ppp, en un formato del Catálogo de estándares.
2. Se le asignan los metadatos mínimos de la NTI de Documento electrónico.
3. Si debe tener el valor del original, se hace copia auténtica conforme a la NTI de Copiado auténtico, con el estado de elaboración «copia electrónica auténtica de documento papel».
4. Se firma conforme a la Política de firma y sello.
5. Se envía al órgano competente como anexo de un asiento SICRES por el SIR, sobre la Red SARA.
6. Se incorpora a un Expediente electrónico con su índice firmado.
7. Durante todo su ciclo de vida se gestiona según la Política de gestión de documentos electrónicos.

Si el órgano necesita un dato de otra Administración, no se lo pide al ciudadano: lo consulta por la Plataforma de Intermediación (NTI de Protocolos de intermediación), con los modelos de datos publicados en el Centro de Interoperabilidad Semántica (NTI de Relación de modelos de datos).

10.16. Para estudiar más allá: dónde está cada texto

El texto que vale es el de la resolución publicada en el BOE. Se busca en boe.es por su referencia:

Norma	Referencia del BOE
Catálogo de estándares	BOE-A-2012-13501
Documento electrónico	BOE-A-2011-13169
Digitalización de documentos	BOE-A-2011-13168
Expediente electrónico	BOE-A-2011-13170
Política de firma y sello electrónicos y de certificados (2016)	BOE-A-2016-10146
Protocolos de intermediación de datos	BOE-A-2012-10049
Relación de modelos de datos	BOE-A-2012-10050
Política de gestión de documentos electrónicos	BOE-A-2012-10048
Requisitos de conexión a la Red SARA	BOE-A-2011-13173
Copiado auténtico y conversión	BOE-A-2011-13172
SICRES 4.0 (2021)	BOE-A-2021-13749
Reutilización de recursos de información	BOE-A-2013-2380

Además, el ministerio publica en el Portal de Administración Electrónica (PAe) una guía de aplicación de cada norma, que la explica con ejemplos y esquemas. Las guías ayudan a entender las normas, pero no son normas: si una guía y la resolución dicen cosas distintas, en el examen manda la resolución.

11. Errores típicos que cuestan preguntas

1. Citar la Ley 11/2007 como vigente. Está derogada por la Ley 39/2015; su contenido se repartió entre las Leyes 39/2015 y 40/2015.
2. Situar el Esquema Nacional de Seguridad en el Real Decreto 3/2010. El vigente es el Real Decreto 311/2022. El de Interoperabilidad, en cambio, sí sigue siendo el Real Decreto 4/2010: uno se sustituyó y el otro no.
3. Decir que el Anexo II del Esquema de Seguridad tiene «medidas técnicas». Los tres grupos son marco organizativo [org], marco operacional [op] y medidas de protección [mp]. «Medidas técnicas» era el nombre en la norma derogada, y fue la respuesta válida en 2019.
4. Contar seis principios básicos del Esquema de Seguridad. Son siete desde 2022: la vigilancia continua y la reevaluación periódica se separaron en dos.
5. Confundir las dimensiones de los dos Esquemas. El de Seguridad tiene cinco dimensiones (confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad). El de Interoperabilidad tiene tres dimensiones (organizativa, semántica y técnica).
6. Hablar de «categoría baja» o de «nivel básico». Las dimensiones tienen niveles bajo, medio y alto; los sistemas tienen categorías básica, media y alta.
7. Intercambiar el responsable de la seguridad y el del sistema. El de la seguridad decide, supervisa y reporta; el del sistema implementa y supervisa la operación diaria. Y deben ser personas distintas sin dependencia jerárquica.
8. Auditar los sistemas de categoría básica. Estos solo requieren autoevaluación; la auditoría bienal es para los de categoría media y alta.
9. Decir que la notificación se entiende rechazada a los diez días hábiles. Son diez días naturales desde la puesta a disposición.
10. Creer que la falta de aviso invalida la notificación. El artículo 41.6 dice lo contrario: la falta de práctica del aviso no impedirá que la notificación sea considerada plenamente válida.
11. Publicar la notificación infructuosa en el boletín autonómico. El artículo 44 remite siempre al Boletín Oficial del Estado; la publicación en el boletín territorial o el tablón de edictos es facultativa y previa.
12. Inadmitir la solicitud presentada en papel por un sujeto obligado. Se le requiere la subsanación electrónica y la fecha de presentación pasa a ser la de la subsanación (art. 68.4).
13. Olvidar a los trabajadores autónomos entre los obligados del artículo 14. Están en la letra f), añadida por reforma posterior a la ley original.
14. Decir que el registro electrónico cierra los días inhábiles. Está abierto todos los días del año durante las veinticuatro horas; lo que se desplaza al primer día hábil siguiente es el cómputo.
15. Incluir los borradores y notas internas en el expediente administrativo. El artículo 70.4 excluye la información auxiliar o de apoyo y los juicios de valor, salvo informes preceptivos y facultativos que fundamenten la resolución.
16. Inventar Normas Técnicas de Interoperabilidad. La lista de la disposición adicional primera del Real Decreto 4/2010 es cerrada (letras a a v), y el tribunal pregunta siempre por la que no está. Ninguna trata de seguridad: eso es del Esquema Nacional de Seguridad.
17. Meter BMP en el Catálogo de estándares. No está, y tampoco GIF. En «imagen y/o texto» figuran JPEG, PNG, SVG y TIFF, junto a CSS, HTML, PDF y los demás. Fue la respuesta de 2026.
18. Dar SICRES 3.0 como la versión en vigor. Desde la Resolución de 22 de julio de 2021 rige SICRES 4.0, que intercambia referencias a los documentos en lugar de los ficheros.
19. Confundir el ACK con la confirmación en SICRES. El ACK solo acredita la recepción técnica; el intercambio se da por bueno con el mensaje de confirmación.
20. Atribuir el CERT gubernamental al INCIBE. El CERT gubernamental nacional es el CCN-CERT; el INCIBE-CERT atiende a ciudadanos, empresas y operadores privados.
21. Confundir PILAR con LUCIA. PILAR es análisis y gestión de riesgos con la metodología MAGERIT; LUCIA es gestión de ciberincidentes.

12. Cuadros de cifras y plazos

Cifra	A qué corresponde	Norma
10 días naturales	Transcurridos desde la puesta a disposición sin acceso, la notificación se entiende rechazada	Art. 43.2 Ley 39/2015
24 horas / 365 días	Disponibilidad del registro electrónico	Art. 31.2 Ley 39/2015
24 horas	Duración máxima de un plazo expresado en horas	Art. 30.1 Ley 39/2015
15 días	Plazo para expedir copia auténtica desde la recepción de la solicitud	Art. 27.4 Ley 39/2015
5 años	Vigencia máxima de un apoderamiento inscrito en el registro electrónico de apoderamientos	Art. 6.6 Ley 39/2015
7 principios básicos	Esquema Nacional de Seguridad	Art. 5 RD 311/2022
5 dimensiones	Confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad	Anexo I RD 311/2022
3 niveles / 3 categorías	Bajo, medio y alto (dimensiones) · básica, media y alta (sistemas)	Art. 40 y Anexo I RD 311/2022
3 grupos de medidas	Marco organizativo [org], marco operacional [op] y medidas de protección [mp]	Anexo II RD 311/2022
Cada 2 años	Auditoría ordinaria de los sistemas de categoría media y alta	Art. 31 RD 311/2022
Anual	Reevaluación de la categoría de seguridad del sistema	Anexo I RD 311/2022
3 dimensiones	Organizativa, semántica y técnica	Art. 6 RD 4/2010
200 ppp	Resolución mínima de digitalización, en blanco y negro y en color o escala de grises	NTI de Digitalización de Documentos
22 letras (a–v)	Normas Técnicas de Interoperabilidad de la lista; 12 aprobadas en el BOE	DA 1.ª RD 4/2010
4 componentes	Del expediente: documentos, índice, firma del índice y metadatos	NTI de Expediente electrónico
9 procesos	De gestión documental, de la captura a la eliminación	NTI de Política de gestión de documentos
Anual	Revisión del Catálogo de estándares; estados «Admitido» y «En abandono»	NTI de Catálogo de estándares
SCSP 3.0	Protocolo general de los intercambios intermediados	NTI de Protocolos de intermediación
-EPES	Perfil mínimo de las firmas de contenido	NTI de Política de firma y sello (2016)
SICRES 4.0	Versión vigente del intercambio de asientos (2021), con un año de convivencia con la 3.0	NTI de Modelo de datos de asientos
6 sujetos obligados	A relacionarse electrónicamente con las Administraciones	Art. 14.2 Ley 39/2015
5 lugares de presentación	Registro electrónico, Correos, representaciones diplomáticas, oficinas de asistencia y los demás previstos	Art. 16.4 Ley 39/2015

12.1. La notificación electrónica y su plazo de rechazo

El dato más preguntado del bloque, y va con dos adjetivos que hay que llevar pegados: cuando la notificación electrónica es obligatoria o el interesado la ha elegido expresamente, se entiende rechazada si transcurren DIEZ DÍAS NATURALES desde la puesta a disposición sin acceder a su contenido (art. 43.2 de la Ley 39/2015).

🚨 Los dos errores que se cometen: decir «hábiles» en vez de naturales, y decir «quince» o «treinta» en vez de diez. Y un tercero más fino: la notificación se entiende practicada en el momento en que se accede al contenido, pero la Administración cumple su obligación con la puesta a disposición. Son dos momentos distintos, y el que cuenta para el rechazo es el segundo.

12.2. ENS y ENI: no son lo mismo

Los dos Esquemas nacen del mismo sitio y se confunden en examen:

• El Esquema Nacional de SEGURIDAD persigue que la información y los servicios estén protegidos: política de seguridad, análisis de riesgos, categorización del sistema y medidas proporcionadas.
• El Esquema Nacional de INTEROPERABILIDAD persigue que los sistemas se entiendan entre sí: formatos, estándares abiertos, documento y expediente electrónicos, y reutilización.

🚨 La regla mnemotécnica que funciona: si el enunciado habla de riesgos, medidas o categoría, es el ENS; si habla de formatos, estándares o intercambio, es el ENI.

12.3. Copia auténtica, copia electrónica y digitalización

Tres términos que el enunciado intercambia. La copia auténtica tiene la misma validez que el original y solo puede expedirla el órgano competente, con constancia de su carácter. La digitalización es el proceso técnico de convertir papel en electrónico; produce una copia auténtica solo si la realiza un órgano habilitado y se garantiza la correspondencia con el original. Y un documento compulsado en papel no es lo mismo: acredita el cotejo, no sustituye al original con plena validez en todos los efectos.

13. Lo que ya ha preguntado el tribunal

Convocatoria	Materia	Respuesta del tribunal
2019	Grupos de medidas del Esquema Nacional de Seguridad	Marco organizativo, marco operacional y medidas técnicas (denominación de la norma entonces vigente, el RD 3/2010).
2019	Norma técnica de interoperabilidad inexistente	Protocolo de gestión de recursos de la Administración.
2023	Medida del ENS que afecta a la dimensión de confidencialidad	Criptografía.
2023	Norma Técnica de Protocolos de intermediación de datos	Los intercambios de información se podrán implementar a través de servicios web.
2024 (LI, A y B)	Herramienta del CCN de gestión de ciberincidentes	LUCIA.
2024 (LI, LI-B y PI-A)	Art. 44 Ley 39/2015, notificación infructuosa	Interesados desconocidos, lugar ignorado o notificación intentada sin éxito: anuncio en el BOE.
2024 (PI-A)	Art. 6 RD 4/2010, dimensiones de la interoperabilidad	Organizativa, semántica y técnica.
2026 (LI, A y B)	Definición del RD 311/2022	Compromiso de la seguridad.
2026 (LI, A y B)	Art. 13 RD 311/2022, quién implementa la seguridad y supervisa la operación diaria	Al responsable del sistema.
2026 (LI, A y B)	Norma técnica de interoperabilidad inexistente	NTI de Plan de Seguridad para gestión de ciberataques.
2026 (LI, A y B)	Art. 18 RD 209/2003, registros telemáticos: señale la INCORRECTA	La falsa era que anoten entradas y salidas en días inhábiles «aunque no compute a efectos de los plazos».
2026 (extraordinario)	Medida del marco operacional del ENS	Protección frente a código dañino.
2026 (extraordinario)	NTI de Digitalización: resolución mínima	200 ppp en blanco y negro y 200 ppp en color o escala de grises.
2026 (extraordinario, reserva)	Estándar que NO está en «Formatos ficheros – Imagen y/o texto» del Catálogo de estándares	BMP (CSS, JPEG y TIFF sí están).

Cómo pregunta este tribunal en este tema. Tres rasgos. Uno: mezcla el régimen jurídico con el detalle técnico en la misma tanda, de modo que la Ley 39/2015 y las guías CCN-STIC caen una detrás de otra. Dos: le encantan las listas cerradas preguntadas en negativo —las normas técnicas de interoperabilidad, los principios del Esquema de Seguridad, los sujetos obligados del artículo 14—, con un elemento inventado que suena bien. Y tres: los nombres propios —LUCIA, PILAR, INES, SARA, SICRES— se preguntan sueltos y no se deducen: hay que memorizarlos, y son la parte del tema que más se olvida entre repaso y repaso.