Francia se prepara para la factura electrónica: desde el 1 de septiembre de 2026, todas las empresas deben poder recibirlas, y las pymes tendrán que emitirlas a partir de septiembre de 2027. Portugal tomó otro camino, y antes. En lugar de hacer pasar las facturas por plataformas, controla el programa que las genera. Resultado: cada factura portuguesa lleva un código único y un código QR que cualquiera puede leer. Y, sin embargo, una regla sencilla se resiste desde 2019: firmar las facturas que se envían en PDF.
¿Cómo controla el fisco portugués las facturas?
Mediante cuatro mecanismos, implantados por capas sucesivas.
Un programa certificado. Una orden ministerial de 2010 instauró la certificación previa de los programas de facturación por la Administración tributaria. En ellos, cada factura se firma electrónicamente con una clave RSA, y esa firma abarca, entre otros datos, la fecha, el número, el importe total… y la firma de la factura anterior del mismo tipo y de la misma serie (Portaria n.º 363/2010). Las facturas forman así una cadena: no se puede suprimir ni insertar una sin romperla. Hoy el programa certificado es obligatorio para las empresas que cumplen al menos una condición: una cifra de negocios superior a 50.000 euros el año anterior, una contabilidad organizada o, simplemente, facturar con un programa informático. Desde el 1 de julio de 2025, pueden usar en su lugar las aplicaciones de facturación gratuitas de la Autoridad Tributaria, la AT (Autoridade Tributária).
Una comunicación mensual. Desde 2013, los datos de cada factura se comunican al fisco, que los muestra en su plataforma e-Fatura. Para las facturas emitidas desde el 1 de enero de 2023, la comunicación debe hacerse como muy tarde el día 5 del mes siguiente, en tiempo real mediante un servicio web, mediante un fichero basado en el formato SAF-T (PT) o por introducción directa en el Portal das Finanças, la sede electrónica del fisco portugués (Portal das Finanças).
Un código único, el ATCUD. Desde el 1 de enero de 2023, cada serie de facturas se declara a la AT antes de usarla; la AT devuelve un código de validación, y cada factura lleva, en todas sus páginas, un identificador de la forma «ATCUD:CodigodeValidação-NumeroSequencial» (Portaria n.º 195/2020, Portal das Finanças).
Un código QR, obligatorio desde el 1 de enero de 2022 en las facturas y demás documentos fiscales emitidos por un programa certificado (OCC, Portal das Finanças).
¿Qué contiene el código QR de una factura portuguesa?
Lo esencial de la factura, en un formato legible por una máquina. Las especificaciones técnicas publicadas por la AT enumeran los campos obligatorios (Autoridade Tributária):
- el número fiscal del vendedor y el del comprador, con su país;
- el tipo de documento, su estado, su fecha y su identificador;
- el ATCUD;
- el total de impuestos y el total de la factura;
- cuatro caracteres de la firma electrónica de la factura;
- el número de certificado del programa que la ha generado.
A ellos se suman el territorio fiscal y, según el caso, las bases imponibles y el IVA por tipo, además de un campo libre opcional en el que el vendedor puede indicar datos de pago, por ejemplo un IBAN. Cada campo tiene la forma «código:valor», separado del siguiente por un asterisco, y el código debe medir al menos 30 milímetros de lado.
La AT le asigna dos objetivos: facilitar la comunicación de facturas por parte de los particulares, que las usan para sus gastos deducibles en el impuesto sobre la renta, y reforzar el control frente a la economía sumergida y el fraude (Autoridade Tributária). El cliente, o un inspector, puede leer en un instante los datos esenciales y compararlos con lo que está impreso. Y una factura fabricada fuera de un programa certificado no se corresponde con nada de lo que ha recibido el fisco: ni serie declarada ni factura comunicada. El código QR no garantiza por sí solo la autenticidad, ya que cualquiera puede generar uno, pero hace la falsificación más laboriosa y más fácil de detectar en una inspección.
España avanza por un camino parecido con VeriFactu, que repasamos en el episodio español.
¿Y la factura enviada en PDF?
Es la paradoja portuguesa. Un decreto-ley de 2019 exige que una factura electrónica garantice la autenticidad de su origen y la integridad de su contenido; las da por garantizadas cuando hay firma electrónica cualificada, sello electrónico cualificado o intercambio electrónico de datos (OCC). Un simple PDF enviado por correo electrónico no cumple ninguna de esas condiciones.
Desde finales de 2020, la entrada en vigor de esa exigencia para los PDF se aplaza año tras año: primero mediante decisiones ministeriales y después mediante las leyes de presupuestos (OCC, Marcaweb). La ley de presupuestos para 2026 dispone: «Até 31 de dezembro de 2026 são aceites faturas em ficheiro PDF, sendo consideradas como faturas eletrónicas para todos os efeitos previstos na legislação fiscal», hasta el 31 de diciembre de 2026, se aceptan las facturas en fichero PDF y se consideran facturas electrónicas a todos los efectos previstos en la legislación tributaria (Lei n.º 73-A/2025, artículo 95.º, n.º 3).
En derecho, por tanto, la obligación de firma cualificada se aplica a partir del 1 de enero de 2027. Pero el proyecto de presupuestos para 2027, presentado en el Parlamento el 8 de octubre de 2026, prevé un nuevo aplazamiento de un año, con la misma fórmula y la fecha del 31 de diciembre de 2027 (OCC, Marcaweb). La votación final global está prevista para el 24 de noviembre de 2026, y el texto puede cambiar hasta entonces; después tendrá que promulgarse y publicarse. Un proveedor portugués de servicios web resume el método: el Estado aplaza la exigencia «um ano de cada vez», año a año.
¿Por qué tanta resistencia? Las fuentes consultadas no lo explican oficialmente. Sí se puede constatar la dificultad: firmar cada factura con un certificado cualificado exige un equipo y una suscripción que muchas pequeñas empresas no tienen, cuando el control en origen, mediante el programa certificado y la comunicación mensual, ya existe.
¿Ha acabado este sistema con las estafas?
No. Se han desplazado hacia la suplantación del propio fisco. En 2021, la AT alertaba de correos con un archivo adjunto llamado «PortaldasFinancas.pdf» o «Finanças.pdf», que pedía hacer clic en un enlace: «Em caso algum deverá abrir o ficheiro em anexo e efetuar essa operação», en ningún caso debe abrirse el archivo adjunto ni realizarse esa operación (Portal das Finanças). Desde entonces las alertas se suceden, con la misma fórmula, «Estas mensagens são falsas e devem ser ignoradas», estos mensajes son falsos y deben ignorarse; en julio de 2026, un correo falso iba dirigido a los autónomos a propósito de recibos verdes no emitidos, los justificantes con los que facturan su actividad en Portugal (Portal das Finanças, Observador).
El phishing sigue siendo el primer tipo de incidente que atiende el equipo nacional de respuesta a incidentes, el CERT.PT: 790 incidentes de phishing por correo electrónico o SMS en 2024, casi el 29 % del total (Tek Sapo). Las facturas, por su parte, siguen siendo el blanco del fraude del cambio de cuenta bancaria, como en todas partes. El código QR puede, es cierto, llevar un IBAN en su campo libre, pero es el vendedor quien lo escribe: en una factura falsificada, dirá lo que el estafador haya querido.
¿Qué puede sacar de todo esto un emprendedor francés?
El control en origen no ha acabado con el PDF. Incluso en un país donde cada factura está encadenada, codificada y comunicada al fisco, el PDF sigue siendo el formato de intercambio cotidiano, a falta de una firma sencilla de generalizar. En Francia, la factura electrónica en el sentido de la reforma es un fichero estructurado (Factur-X, UBL o CII) que pasa por una plataforma autorizada; el PDF por sí solo dejará de bastar a las pymes en septiembre de 2027 (ver La primera factura en Francia y nuestro artículo sobre la factura electrónica).
Un código QR en una factura no es una prueba. En Portugal lo regula el Estado; en otros sitios, puede llevar a cualquier parte. Antes de escanear un código QR de una factura recibida, mira adónde lleva, como explicamos en Los códigos QR trampa se esconden en los PDF.
Un adjunto que imita al fisco se inspecciona antes de abrirlo. Analizar un PDF detecta en él, en tu navegador y sin enviarlo a ningún servidor, los mecanismos activos (JavaScript, acciones automáticas al abrirlo, ejecución de programas, archivos adjuntos) y señala la presencia de enlaces, sin mostrar su dirección. No lee códigos QR ni verifica firmas; un archivo sin indicios puede contener igualmente un enlace de phishing.
PDFKami no genera facturas, no aplica firmas ni sellos y no lee los códigos QR fiscales portugueses; sirve para inspeccionar y preparar PDF sin subirlos.
Glosario
AT (Autoridade Tributária e Aduaneira): la administración tributaria y aduanera portuguesa.
Programa certificado: programa de facturación homologado por la AT, que firma y encadena cada factura.
ATCUD: código único de documento, que combina un código de validación de la serie emitido por la AT y el número de la factura.
e-Fatura: plataforma del fisco portugués donde aparecen los datos de las facturas comunicadas por las empresas.
Firma electrónica cualificada: el nivel más alto de firma electrónica según el reglamento europeo eIDAS, con el mismo valor jurídico que una firma manuscrita.
SAF-T (PT): fichero normalizado de auditoría tributaria que las empresas portuguesas generan desde su programa.
Inspecciona un adjunto sospechoso sin enviarlo: PDFKami, en tu navegador.