La Ley Estatutaria 2573 de 2026, promulgada el 20 de mayo de 2026, cambió las reglas para las empresas colombianas que verifican la identidad de sus clientes. Ya no basta con pedir una cédula o un correo: ahora hay que demostrar de forma comprobable qué ocurrió durante cada proceso de vinculación, autenticación o aprobación. Su régimen general entra en vigencia hacia noviembre de 2026.
La buena noticia es que estas exigencias se resuelven operativamente con una plataforma de firma electrónica que verifique identidad y conserve evidencia. Aquí te explicamos, paso a paso, cómo cumplir la Ley 2573.
¿Qué exige realmente la Ley 2573 de 2026?
La Ley 2573 nace para proteger a las personas frente a la suplantación de identidad, los reportes negativos y los cobros indebidos derivados del fraude. Impone obligaciones directas a operadores de telecomunicaciones, entidades financieras y crediticias, y establecimientos comerciales que ofrezcan productos que generen obligaciones crediticias. Revisa el detalle en nuestro artículo sobre qué exige la Ley 2573 a las empresas.
De sus obligaciones se desprenden tres exigencias operativas que toda empresa debe resolver:
- Verificación confiable de identidad: implementar medidas de seguridad digital suficientes y razonables para confirmar quién está detrás de cada operación.
- Consentimiento y registro del proceso: dejar constancia de la voluntad de la persona y de cada paso ejecutado.
- Evidencia conservable con trazabilidad: mantener el rastro de los procedimientos utilizados para poder acreditarlos después.
El cambio clave: la carga dinámica de la prueba
La transformación más importante es la carga dinámica de la prueba: la carga recae en quien está en mejor posición de demostrar un hecho, es decir, la entidad. Antes, quien denunciaba una suplantación debía probar que no había contratado el producto. Ahora es la empresa la que debe acreditar que su proceso funcionó y que las medidas de seguridad digital fueron las exigibles. Si no puede probarlo, pierde el derecho a perseguir el cobro y absorbe la pérdida.
La conclusión operativa es directa: si no lo documentaste, no ocurrió. Cumplir la Ley 2573 depende tanto de verificar bien como de conservar la evidencia.
Checklist: pasos concretos para cumplir la Ley 2573
Estos son los pasos accionables para que tu empresa cumpla la Ley 2573 apoyándose en firma electrónica:
- Paso 1. Verifica la identidad antes de firmar. Elige el método acorde al riesgo: OTP por correo o WhatsApp para actos de bajo riesgo, y selfie con prueba de vida o validación de documento de identidad para operaciones sensibles.
- Paso 2. Registra el consentimiento expreso. Deja constancia de que la persona aceptó libremente el contenido, con fecha y hora.
- Paso 3. Sella el documento con evidencia forense. Captura IP, user agent y hash SHA-256 para garantizar integridad y no repudio.
- Paso 4. Aplica un sello de tiempo. Fija de forma verificable el momento exacto de cada firma.
- Paso 5. Conserva un certificado de trazabilidad descargable. Guarda el rastro completo del proceso, listo para presentarlo.
- Paso 6. Habilita la verificación pública. Permite que cualquier tercero confirme la autenticidad e integridad del documento.
Cómo la firma electrónica resuelve cada exigencia
La firma electrónica está respaldada por la Ley 527 de 1999 y el Decreto 2364 de 2012, que le otorgan validez jurídica y fuerza probatoria. Sobre esa base, cada requisito de la Ley 2573 tiene una solución técnica concreta:
| Exigencia de la Ley 2573 | Cómo se resuelve con firma electrónica |
|---|---|
| Verificación confiable de identidad | OTP por correo o WhatsApp, selfie con biometría y prueba de vida, validación de documento de identidad |
| Consentimiento libre y expreso | Registro del acto de aceptación con fecha, hora y firmante identificado |
| Evidencia conservable | Audit trail con IP, user agent y hash SHA-256 del documento |
| Trazabilidad comprobable | Certificado de trazabilidad descargable y sello de tiempo |
| Poder acreditar el proceso (carga de la prueba) | Verificación pública del documento por cualquier tercero |
Verificación de identidad adecuada al riesgo
No todos los documentos exigen el mismo nivel de verificación. Para un acuerdo interno puede bastar un OTP al correo; para un contrato de crédito o un arrendamiento conviene sumar selfie con prueba de vida y validación del documento de identidad. En FirmaRaíz escalas el método según el riesgo, cumpliendo el criterio de medidas suficientes y razonables que exige la ley. Conoce nuestras medidas de seguridad y evidencia forense.
Evidencia forense que resiste una controversia
Cada firma en FirmaRaíz genera un rastro de auditoría con la dirección IP, el user agent del dispositivo y el hash SHA-256 que garantiza que el documento no fue alterado. A esto se suma un sello de tiempo y un certificado de trazabilidad descargable. Es exactamente la evidencia que la carga dinámica de la prueba te exigirá presentar.
Verificación pública: prueba abierta a cualquiera
La verificación pública de documentos permite que un juez, un cliente o un tercero confirmen la autenticidad e integridad del documento sin depender de tu palabra: la forma más simple de demostrar que tu proceso funcionó.
Qué hacer según tu sector
Aunque la Ley 2573 apunta a sectores con competencia crediticia, el estándar de verificar identidad y conservar evidencia protege a cualquier empresa frente a fraudes y disputas. Dos casos comunes:
- Inmobiliarias: verifica al arrendatario y codeudor antes de firmar, y conserva la evidencia del proceso. Revisa cómo firmamos con inmobiliarias.
- Recursos humanos: confirma la identidad del nuevo colaborador y registra el consentimiento en la firma del contrato. Más en recursos humanos.
Marco normativo que respalda tu cumplimiento
Cumplir la Ley 2573 se apoya en un conjunto de normas reales que conviene tener presentes:
- Ley Estatutaria 2573 de 2026: régimen de protección frente a la suplantación de identidad; traslada a la entidad la carga de probar que sus controles funcionaron.
- Ley 527 de 1999: otorga validez jurídica y fuerza probatoria a los mensajes de datos y a la firma electrónica. Amplía el tema en firma electrónica y Ley 527.
- Decreto 2364 de 2012: reglamenta cuándo una firma electrónica se considera confiable.
- Ley 1581 de 2012: protege el tratamiento de los datos personales de los firmantes, incluidos los datos biométricos.
- Código General del Proceso: admite la evidencia electrónica y el certificado de trazabilidad como prueba en un proceso judicial.
Cumplir la Ley 2573 no tiene por qué ser complejo. Con una plataforma que verifique identidad, registre el consentimiento y conserve evidencia forense, cada firma queda respaldada por el rastro que la ley te exigirá. Revisa nuestro centro de ayuda o crea tu cuenta y firma tu primer documento con evidencia lista para presentar.
Preguntas frecuentes
¿A qué empresas les aplica la Ley 2573 de 2026?
La Ley Estatutaria 2573 de 2026 impone obligaciones directas a operadores de telecomunicaciones, entidades financieras y crediticias, y establecimientos comerciales que ofrezcan productos o servicios que generen obligaciones crediticias. Su régimen general entra en vigencia hacia noviembre de 2026. Aun si tu empresa no está en esos sectores, verificar identidad y conservar evidencia es una buena práctica frente a cualquier controversia.
¿Qué significa la carga dinámica de la prueba en la Ley 2573?
El cambio central de la Ley 2573 es que la carga de la prueba recae en quien está en mejor posición de demostrar un hecho, es decir, la entidad. Antes, la persona que denunciaba una suplantación debía probar que no había contratado el producto. Ahora es la organización la que debe acreditar que su proceso de vinculación funcionó y que aplicó medidas de seguridad digital suficientes y razonables. Si no puede probarlo, asume las consecuencias.
¿La firma electrónica basta para cumplir la Ley 2573?
La firma electrónica resuelve varias exigencias a la vez: verifica identidad, registra el consentimiento y genera evidencia conservable con trazabilidad. Cumplir la Ley 2573 no es solo firmar: es documentar todo el proceso. Una plataforma que combine verificación de identidad, audit trail forense y certificado de trazabilidad te permite demostrar que tus controles funcionaron.
¿Cómo demuestro ante un juez que verifiqué la identidad correctamente?
Necesitas evidencia técnica conservable e íntegra. Un certificado de trazabilidad que registre el método de verificación usado (OTP, selfie con prueba de vida, documento de identidad), la fecha y hora con sello de tiempo, la dirección IP, el user agent y el hash SHA-256 del documento firmado te permite reconstruir todo el proceso. La Ley 527 de 1999 reconoce fuerza probatoria a los mensajes de datos, y el Código General del Proceso admite esta evidencia en un proceso judicial.
