Facturación electrónica y ciberseguridad en Costa Rica: las dudas de siempre

Es el formato en que Hacienda exige que se armen los comprobantes electrónicos en Costa Rica. Lo definió la resolución MH-DGT-RES-0027-2024, publicada en La Gaceta el 19 de noviembre de 2024. Después salió la MH-DGT-RES-0001-2025, del 11 de febrero de 2025, que corrió el plazo: la 4.4 quedó obligatoria el 1 de setiembre de 2025. El que quiso pudo pasarse antes, desde el 1 de abril de ese año. Entonces, si tu sistema todavía transmite en 4.3, ya está fuera de plazo. Eso lo dice la norma, no nosotros. Lo que hace Cyfra Facturas es armar el comprobante ya en 4.4 sin que vos tengás que saber nada de esto.

Es un archivo .p12 que se saca del portal de Hacienda y que firma cada comprobante que emitís. Sin esa firma, Hacienda no acepta la factura. Dura cuatro años y hay que renovarla antes de que se venza, porque el día que vence se para la facturación. Lo último no es tributario, es de seguridad: ese archivo y su clave no van en el escritorio de la computadora ni en un chat. Quien los tenga puede firmar facturas a tu nombre.

No. Se confunden todo el tiempo porque las dos «firman», pero son cosas distintas. La firma digital es la tarjeta del sistema de firma digital de Costa Rica: te identifica y sirve, entre otras cosas, para entrar al portal de Hacienda y firmar documentos. La llave criptográfica es un archivo aparte, que se descarga de ese portal, y es la que firma cada comprobante electrónico. Una no reemplaza a la otra.

TRIBU-CR es el portal tributario de Costa Rica desde el 6 de octubre de 2025. Ese día sustituyó a ATV, y también a TRAVI, DeclaraWeb y EDDI-7, que quedaron fuera de servicio. Ahí se genera hoy la llave criptográfica y ahí se presentan las declaraciones. Los módulos se fueron activando por etapas, así que no todo estuvo disponible desde el primer día.

CABYS es el catálogo oficial de bienes y servicios de Costa Rica; lo mantiene el Banco Central junto con Hacienda. Cada producto o servicio tiene un código de 13 dígitos, y ese código trae pegada la tarifa de IVA que le toca: 13 %, 4 %, 2 %, 1 %, 0,5 % o exento. Importa porque el IVA de la factura sale de ahí. Código equivocado, IVA equivocado, y el error queda adentro de un documento que ya se transmitió.

El tiquete electrónico (tipo 04) es para venderle a un consumidor final que no va a usar ese documento para nada más. La factura electrónica (tipo 01) lleva los datos del comprador. Lo que cambia de verdad es esto: el tiquete no da derecho a crédito de IVA ni respalda un gasto para la renta (Decreto 44739-H). Si tu cliente es una empresa y le entregás un tiquete, no lo puede usar. Ante la duda, factura.

Un comprobante que ya se transmitió no se borra ni se edita. Se arregla con otro documento: una nota de crédito si hay que anularlo o bajarle el monto, una nota de débito si hay que subirlo. Los dos son comprobantes electrónicos y también se transmiten. Por eso el momento de revisar es antes de mandar, no después.

Sí, y no hay que volver a emitir nada. Lo correcto es que el sistema nuevo arranque con su propia terminal, para que los consecutivos no se pisen con los del sistema viejo, y que los comprobantes viejos se importen solo para consulta. Re-emitir un documento que ya está en Hacienda genera un duplicado, y eso sí es un problema de verdad. Así se hace la migración cuando alguien se pasa a Cyfra Facturas desde otro facturador.

No. El sistema ordena los datos y arma bien los comprobantes; el criterio sigue siendo de una persona. Si un gasto es deducible, o qué se hace con una diferencia que viene de un período anterior, eso no lo resuelve un software. Lo que sí cambia es el tipo de trabajo del contador: deja de transcribir y pasa a revisar. Si alguien te vende un sistema diciendo que ya no vas a necesitar contador, te está vendiendo humo.

Busca las formas de entrar a tus sistemas antes de que las encuentre alguien más, y después te dice cómo cerrarlas. En la práctica son evaluaciones de seguridad y pentesting, revisar qué se ve de tu empresa desde internet y arreglar configuraciones que quedaron abiertas. Al final queda un informe que dice qué hay que tocar y en qué orden. No es venderte un antivirus. Es saber por dónde te pueden entrar.

Un escaneo es automático: una herramienta revisa lo que está expuesto y hace la lista. Un pentesting es una persona intentando entrar de verdad, encadenando fallas que por separado parecen menores. El escaneo dice «esta puerta está abierta». El pentesting dice «entré por esa puerta y llegué hasta la base de datos». Sirven para momentos distintos: el escaneo es el primer termómetro, el pentesting es la prueba en serio.

Si guardás datos de clientes, cobrás en línea o dependés de un sistema para trabajar, ya la necesitás. No hace falta ser una empresa grande: los ataques automatizados no eligen por tamaño, buscan lo que esté expuesto. Para empezar, lo más barato es una evaluación que te diga qué se ve de tu empresa desde afuera y qué tan fácil es entrar.

Cuatro cosas. Qué van a revisar exactamente, y que quede por escrito. Cómo entregan los resultados: lo que sirve es un informe que dice qué arreglar primero, no la lista cruda que escupe una herramienta. Si acompañan la corrección o solo entregan los hallazgos. Y con qué autorización van a trabajar. Desconfiá del que promete seguridad total y del que tira un precio sin haber visto nada. Una propuesta seria arranca con un diagnóstico y te dice tiempos y costo claros.

Depende del alcance, y el que te dé un número sin preguntarte nada está adivinando. Lo que mueve el precio es cuántos sistemas se revisan, si son solo los que están de cara a internet o también los internos, y cuánta profundidad se pide. Un escaneo de exposición es lo más barato y se corre en horas; un pentesting con informe toma días. Lo sano es dejar el alcance por escrito antes de hablar de plata.

Es IA que corre en la infraestructura de la empresa en vez de en el servicio de un tercero. Sirve para asistentes que contestan preguntas sobre los documentos de uno citando de dónde salió la respuesta, y para búsqueda y automatización internas. La razón de tenerla adentro es una sola: que la información no salga. En un bufete o en una contabilidad, eso no es un detalle.

Si lo que necesitás ya existe y calza, comprá lo hecho: sale más barato y está probado. Lo a medida se justifica cuando ese proceso es justamente la ventaja del negocio, o cuando ninguna herramienta del mercado lo cubre sin obligarte a cambiar la forma en que trabajás. También cuando ya estás pagando tres suscripciones para tapar un mismo hueco. Si alguien te dice que a medida siempre conviene, te está vendiendo horas.

Cyfra Tech Solutions es una empresa costarricense de tecnología, fundada y dirigida por Roman Arce. Hace software a medida, inteligencia artificial privada, ciberseguridad y redes. Tiene dos productos propios: Cyfra Facturas, de facturación electrónica, y Cyfra Security Scorecard, de escaneo de exposición. El detalle está en Sobre Cyfra.