e-Evidence Compliance Checklist: Is Your Organisation Ready Now the Regulation Applies?

En Reglamento sobre la prueba electrónica (UE) 2023/1543 has applied directly across the participating Member States since 18 de agosto de 2026. For online service providers, this is one of the most significant cross-border compliance shifts since the GDPR. From 18 August 2026, authorities in the participating Member States (all except Denmark) can issue European Production Orders (sent as EPOC certificates) and European Preservation Orders (sent as EPOC-PR certificates) directly to service providers once their national implementation is in place, with binding deadlines measured in hours, not weeks. Most Member States are still completing it: in September 2026 the Commission listed only six as legally ready and only Germany and Ireland as technically ready to receive orders through the system. Until the others are live, orders may arrive through secure alternative channels.

Si su empresa ofrece servicios de comunicación electrónica, alojamiento, nube, redes sociales, mercados, dominios o numeración IP a usuarios de la UE, es casi seguro que entra en el ámbito de aplicación, aunque su sede esté fuera de la Unión. El incumplimiento puede acarrear multas de hasta 1.000 euros. 2% de facturación anual global, enforcement by the authorities of the Member State where your designated establishment or legal representative is located, and serious reputational damage.

Este completo Lista de comprobación del cumplimiento de e-Evidence walks you through the legal, organisational, technical and operational requirements you should evaluate now, so you can identify gaps, prioritise remediation and be demonstrably ready now that the Regulation applies.

¿Qué es el Reglamento de la UE sobre la prueba electrónica?

Regulation (EU) 2023/1543 — together with its companion Directive (EU) 2023/1544 — establishes a harmonised legal framework that allows competent judicial authorities in one Member State to obtain electronic evidence directly from service providers established or represented in another Member State. It adds a fast, standardised mechanism designed for the realities of cloud-era investigations alongside the slower European Investigation Order and mutual legal assistance procedures.

El Reglamento introduce dos instrumentos básicos. El European Production Order obliga a un proveedor a presentar determinados datos electrónicos, mientras que la European Preservation Order compels a provider to preserve data pending a follow-up production request or MLA procedure. Both are transmitted through the EU’s decentralised IT system, whose Member State access points use e-CODEX, as standardised certificates (EPOC and EPOC-PR forms). You connect through the national system of the Member State where your addressee is located, either through the web-based interface or through an API based on ETSI TS 104 144. Evidence above 25 MB is delivered by secure alternative means with a hash-protected manifest.

¿A quién se aplica el Reglamento sobre la prueba electrónica?

El Reglamento tiende una red deliberadamente amplia. Es probable que usted sea un proveedor de servicios designado si ofrece alguno de los siguientes servicios a usuarios ubicados en la UE:

• Servicios de comunicaciones electrónicas - telefonía, mensajería, correo electrónico, VoIP y comunicaciones interpersonales independientes del número.
• Servicios de nombres de dominio de Internet y numeración IP - registros, registradores, RIR, servicios de privacidad/proxy y proveedores de DNS.
• Servicios de la sociedad de la información donde el almacenamiento de datos es un componente definitorio: redes sociales, mercados en línea, herramientas de colaboración y plataformas de contenidos.
• Computación en nube y proveedores de alojamiento - IaaS, PaaS, SaaS, alojamiento gestionado y redes de distribución de contenidos.

Fundamentalmente, el ámbito de aplicación sigue el “prueba de ”conexión sustancial: if EU users can use your service and you target the EU market (for example through localised pricing, language or marketing), you are in scope regardless of where your corporate entity is registered. Non-EU providers must appoint a legal representative in a Member State where they offer services (Directive (EU) 2023/1544).

Las cuatro categorías de pruebas electrónicas

El Reglamento distingue entre cuatro categorías de datos, cada una de ellas con diferentes umbrales y salvaguardias. Su inventario de datos y sus flujos de trabajo de divulgación deben poder diferenciarlos con precisión:

1. Datos de los abonados - identidad, datos de contacto, información de facturación y tipo de servicio utilizado.
2. Datos solicitados con el único fin de identificar al usuario — IP addresses and, where necessary, source ports and timestamps, requested only to identify a person.
3. Datos de tráfico (distintos de la categoría 2): registros de conexión, marcas de tiempo, origen/destino, identificadores de dispositivos.
4. Datos de contenido - el contenido de las comunicaciones, archivos almacenados, mensajes, fotos y documentos.

Los datos de los abonados y de identificación pueden solicitarse para cualquier infracción penal. Los datos de tráfico y contenido se reservan para delitos punibles con una pena privativa de libertad máxima de al menos tres años, o para una lista definida de delitos graves de ciberdelincuencia, terrorismo y abuso sexual infantil. Una de las medidas de preparación más importantes, y a menudo olvidada, es determinar en qué sistemas se encuentra cada categoría.

Preparación jurídica y organizativa

Su primera tarea es un evaluación del alcance. Documente, de forma razonada, cuáles de sus servicios entran en el ámbito de aplicación del Reglamento, qué entidades de su grupo recibirán órdenes y qué Estado miembro actuará como su “Estado de ejecución”. Esta evaluación debe ser firmada por su Consejero General o DPO y revisada anualmente.

Next, designate one of your own EU establishments as the establecimiento designado (if you are established in the EU) or appoint a representante legal in a Member State where you offer services (if you are not), and register them with the competent national authority. In Germany, this is the Oficina Federal de Justicia (BfJ); other Member States have equivalent designated authorities. Registration is not a formality — it is the legal address where all orders are served, and in Germany failing to notify, or notifying incorrect details, can be fined up to €500,000.

• Nombrar a un Jefe de cumplimiento de e-Evidence con autoridad interfuncional sobre Legal, Seguridad, Ingeniería y Operaciones.
• Construir o conservar conocimientos jurídicos especializados capable of assessing each incoming order for formal defects, immunities or privileges to flag on the Annex III form, possible third-country conflicts (Article 17), and, if enforcement proceedings are started, the objection grounds in Article 16(4), points (a) to (f) (Article 16(5) for preservation orders).
• Build a workflow that recognises EPOCs notified to the enforcing State (traffic and content data) and handles their different timing: transmission at the end of the 10-day window unless a ground for refusal is raised. Integrate it with your case-management tooling.
• Document how you keep orders confidential from the affected user, and how you inform controllers when you act as a processor (Article 5(7)).
• Actualización condiciones de servicio, avisos de confidencialidad y directrices para la aplicación de la ley para reflejar el nuevo marco.

Requisitos de infraestructura técnica

Compliance is impossible without the right technical foundations. Service providers must receive, validate and respond to orders through the EU’s decentralised IT system (e-CODEX-based), accessed via their Member State’s national system — the workflow that purpose-built tooling such as the ICS Plataforma de conformidad e-Evidence supports, using the standardised EPOC and EPOC-PR certificates. Manual email or fax-based workflows will not meet the regulatory deadlines.

• Interfaz de entrada segura — an authenticated connection to your Member State’s national system (the web-based interface or an API based on ETSI TS 104 144) to receive, acknowledge and time-stamp every order.
• Validación de identidades y pedidos - comprobaciones automatizadas de firmas digitales, credenciales de la autoridad emisora, integridad del certificado y alineación de categorías.
• Descubrimiento y extracción de datos - herramientas capaces de localizar datos de abonados, identificación, tráfico y contenidos en todos los sistemas pertinentes en cuestión de horas, no de días.
• Standardised delivery — delivery through the decentralised IT system (web interface or API) or, where that is not possible, by secure alternative means, with integrity hashes and in formats the issuing authority can process.
• Canales de distribución cifrados — encrypted transmission of evidence to the requesting authority through the decentralised IT system, with verifiable receipt (evidence above 25 MB goes by secure alternative means with a hash-protected manifest).
• Pista de auditoría a prueba de manipulaciones - registros firmados criptográficamente de todas las acciones, desde la recepción hasta la entrega, para garantizar la integridad de las pruebas y la revisión a posteriori.
• Resistencia y alta disponibilidad - infraestructura redundante capaz de cumplir el plazo de respuesta de emergencia de 8 horas, 24 horas al día, 7 días a la semana, 365 días al año.
• Controles de minimización de datos y limitación de su finalidad - garantizar que solo se divulga lo que se ha pedido específicamente, de conformidad con el artículo 5 del RGPD.

Procesos operativos y tiempos de respuesta

El Reglamento impone plazos de respuesta estrictos y no negociables que deben guiar el diseño de su modelo operativo:

• Pedidos de producción estándar: los datos deben transmitirse dentro de 10 días de recepción.
• Órdenes de producción urgentes: en caso de amenaza inminente para la vida, la integridad física o las infraestructuras críticas, los datos deben transmitirse dentro de 8 horas.
• Órdenes de conservación: datos deben conservarse para 60 días, prorrogable 30 días más, a la espera de una orden de presentación o una solicitud de ALM.

Cumplir estos plazos requiere algo más que tecnología: exige procesos ensayados y bien documentados. Su manual operativo debe incluir:

• Admisión y triaje 24/7 con personal jurídico y técnico de guardia.
• Clasificación de la gravedad distinción entre órdenes de urgencia, ordinarias y de conservación.
• Vías de escalada para las órdenes que plantean problemas de derechos fundamentales, inmunidades, libertad de prensa o cuando la autoridad emisora parece estar actuando ultra vires.
• Garantía de calidad con una revisión a cuatro ojos antes de que ningún dato salga de su entorno.
• Seguimiento del reembolso de gastos cuando la legislación nacional permita el reembolso de los costes de cumplimiento.
• Ejercicios de mesa simular escenarios de emergencia al menos dos veces al año.
• Formación continua para el personal jurídico, de seguridad, de atención al cliente y de ingeniería que pueda encontrarse con pedidos.

Motivos de denegación y protección del usuario

The Regulation is not a blank cheque for issuing authorities. Where notified, the enforcing authority has specific, limited grounds to refuse an order, including manifest infringements of the Charter of Fundamental Rights and immunities and privileges under its law. Service providers themselves flag immunities, privileges and formal defects on the Annex III form, raise conflicts with the law of a third country through a reasoned objection (the so-called Article 17 review), and can object to enforcement only on the grounds in Article 16(4)(a)–(f) or 16(5)(a)–(e). Building the legal capacity to identify and invoke these grounds quickly is critical, both to protect your users and to limit your own liability.

Interacción con el GDPR, el NIS2 y la DSA

La prueba electrónica no existe de forma aislada. La divulgación debe seguir siendo compatible con la GDPR (licitud, minimización, registros de tratamiento y obligaciones en materia de DPIA), la Directiva NIS2 (incident handling and security of network and information systems) and, for intermediary service providers (other than micro and small enterprises), the Ley de Servicios Digitales (transparency reporting on orders from authorities). Your compliance programme should treat e-Evidence as an additional layer woven into existing privacy, security and transparency frameworks rather than a stand-alone silo.

Sanciones por incumplimiento

Member States are required to impose effective, proportionate and dissuasive penalties for breaches of the Regulation. Article 15 requires Member States to make pecuniary penalties of up to 2% de la facturación anual total mundial del proveedor in the preceding financial year available. In Germany, for example, fines reach €500,000, or up to 2% of turnover for providers with turnover above €25 million. Beyond fines, repeated or systemic failures can result in court orders, reputational damage, customer churn, and — for regulated sectors — knock-on consequences for licences and authorisations.

A Practical 6-Month Remediation Roadmap

1. Meses 1-2 - Descubrimiento y evaluación de carencias. Confirmar el ámbito de aplicación, mapear los datos, auditar los procesos de aplicación de la ley existentes, comparar con los requisitos del Reglamento.
2. Meses 2-3 - Fundamentos jurídicos. Designar establecimiento/representante, registrarse ante la autoridad nacional, ultimar políticas y actualizar contratos.
3. Meses 3-4 - Construcción técnica. Connect to your Member State’s national system (web-based interface or ETSI TS 104 144 API), implement validation, extraction and delivery tooling, harden audit logging.
4. Meses 4-5 - Preparación operativa. Reclutar y formar al equipo de respuesta, ultimar el libro de jugadas, realizar ejercicios de simulación y simulacros de emergencia.
5. Mes 6 - Garantía. Independent compliance audit, board-level sign-off and a go-live rehearsal.

Preguntas frecuentes

Para más información, consulte nuestra sección e-Evidencia FAQ.

¿Cuándo se aplica el Reglamento de la UE sobre la prueba electrónica?

Regulation (EU) 2023/1543 has applied directly in all participating EU Member States (all except Denmark) since 18 de agosto de 2026. There is no further national transposition required for the Regulation itself, although the accompanying Directive (EU) 2023/1544 had to be transposed into national law by 18 February 2026, and many Member States were late.

¿Se aplica el Reglamento a los prestadores de servicios no comunitarios?

Sí. Cualquier prestador que ofrezca servicios en la UE está incluido en el ámbito de aplicación, independientemente de dónde esté establecido. Los proveedores de fuera de la UE deben designar un representante legal en un Estado miembro para recibir y tramitar los pedidos.

¿Qué ocurre si no cumplo el plazo de urgencia de 8 horas?

El incumplimiento de un plazo puede desencadenar la ejecución por parte de la autoridad competente del Estado de ejecución, incluidas multas administrativas de hasta 2% del volumen de negocios anual global. Los esfuerzos documentados y proporcionados para cumplir la normativa -y pruebas claras de la causa de cualquier retraso- son esenciales para mitigar la exposición.

¿Puedo avisar a los usuarios cuando se soliciten sus datos?

No. For a European Production Order, the EPOC states that the addressee must not inform the person whose data are requested. The issuing authority informs them, and it may delay doing so. If you process the data on behalf of another company (as a processor), you must inform that controller unless the order tells you not to.

Cómo puede ayudarle ICS a prepararse

Si no puede mantener internamente una preparación 24/7, o simplemente desea una garantía independiente de que su programa resistirá el escrutinio, ICS le ofrece una completa Evaluación del cumplimiento de la normativa y servicio de operaciones gestionadas e-Evidence. We help you map your scope, close legal and technical gaps, connect to the decentralised IT system, train your response team and, for providers established outside the EU, act as your appointed legal representative.

Póngase en contacto hoy mismo con ICS para programar su evaluación de preparación para e-Evidence and put a clear, defensible remediation plan in place.