Kolumbiens Rahmenbedingungen für die elektronische Signatur stützen sich auf zwei Hauptinstrumente: das Gesetz 527 von 1999 und das Dekret 2364 von 2012 (zusammengefasst im Dekret 1074/2015, Art. 2.2.2.47.1 ff.).

Das Gesetz 527/1999 legte den grundlegenden Grundsatz fest, dass Datennachrichten und elektronische Signaturen dieselbe Rechtsgültigkeit und Durchsetzbarkeit besitzen wie Papierdokumente und handschriftliche Unterschriften. Die Gültigkeit eines Vertrages wird nicht allein deshalb verweigert, weil er durch eine Datennachricht zustande gekommen ist. Das Gesetz führte auch Kolumbiens ursprüngliche, zertifikatsbasierte Firma Digital ein, die durch das Dekret 1747 von 2000 weiter geregelt wird. Diese erfordert ein Zertifikat, das von einer von der ONAC (Organismo Nacional de Acreditación de Colombia) akkreditierten Zertifizierungsstelle ausgestellt wurde, und birgt eine stärkere Vermutung der Echtheit in sich.

Das Dekret 2364 von 2012 erweiterte dies, indem es die Firma Electrónica formell als jeden technischen Mechanismus definierte – einschließlich Codes, Passwörtern, biometrischen Daten oder privaten kryptografischen Schlüsseln –, der einen Unterzeichner zuverlässig identifiziert und dem Zweck der Nachricht angemessen ist, unabhängig von einer ONAC-Zertifizierung. Dies verleiht Kolumbien ein zweistufiges Modell und nicht die dreistufige SES/AES/QES-Struktur, die eIDAS verwendet: eine uneingeschränkte, technologieneutrale Firma Electrónica-Stufe, die den normalen kommerziellen Gebrauch abdeckt, und eine zertifikatsbasierte Firma Digital-Stufe, die für Fälle reserviert ist, in denen eine stärkere Echtheitsvermutung gewünscht oder erforderlich ist.

Kolumbianische Gerichte haben diesen Rahmen direkt bestätigt. Das Verfassungsgericht (Urteil C-831 von 2001) entschied, dass Gerichte und öffentliche Stellen sich auf elektronische und telematische Dokumente mit derselben Gültigkeit wie Originale verlassen können, sofern deren Echtheit und Integrität gewährleistet sind. Der Oberste Gerichtshof (Urteil vom 16. Dezember 2010) legte einen praktischen Beweistest für Datennachrichten fest: Vollständigkeit, Unveränderlichkeit seit der Ausstellung, Rückverfolgbarkeit und Erhaltbarkeit – ein Test, den kolumbianische Gerichte bei der Abwägung elektronisch signierter Beweismittel nach wie vor anwenden.

Die namentlich genannten Ausschlüsse sind enger gefasst, als Standardannahmen vermuten lassen, und Immobilien sowie Testamente gehören nach dem Gesetz 527 selbst nicht zu den ausgeschlossenen Dokumentenarten. Beide erfordern stattdessen unabhängig von der Signaturtechnologie ein persönliches notarielles Verfahren. Immobilienübertragungen, Belastungen und alle Rechtsgeschäfte, die eine öffentliche Urkunde (escritura pública) erfordern, müssen gemäß dem Notarstatut (Decreto 960 de 1970) vor einem Notar vollzogen werden. Dieselbe Anforderung der handschriftlichen Unterschrift gilt auch für zivilrechtliche Treuhandvereinbarungen und Verträge von Zivilgesellschaften. Mit dem Dekret 2106 von 2019 wurde das Notarstatut so geändert, dass die eigene Unterschrift des Notars auf der Urkunde nun elektronisch erfolgen kann, das zugrunde liegende Geschäft erfordert jedoch nach wie vor das notarielle Verfahren und kann nicht über eine eigenständige kommerzielle E-Signatur-Plattform abgewickelt werden. Testamente (testamento abierto oder cerrado) erfordern nach dem Zivilgesetzbuch ebenfalls die persönliche Errichtung vor einem Notar sowie drei bis fünf Zeugen, so dass eine elektronische Signatur nur innerhalb dieses notariellen Verfahrens und nicht als Ersatz dafür anwendbar ist. Wertpapiere, insbesondere Bankchecks, erfordern eine handschriftliche Unterschrift, und die Verpflichtungen der kolumbianischen Regierung aus internationalen Verträgen sind im Gesetz 527 selbst separat ausgeschlossen.

Kolumbiens bedeutendste jüngste Entwicklung liegt außerhalb des eigentlichen Gesetzes über elektronische Signaturen. Das Gesetz 2213 von 2022 (Ley 2213 de 2022) hat die aus der Pandemiezeit stammenden Regeln (Dekret 806/2020) zur Nutzung digitaler Kanäle und Datennachrichten in Gerichtsverfahren dauerhaft verankert. Es ging sogar noch weiter, indem es den Parteien gestattet, Sondervollmachten für gerichtliche Schritte per Datennachricht mit einer bloßen Unterschriftenzeile zu erteilen: Es ist keinerlei Unterschrift – weder digital noch handschriftlich – und keine persönliche Anerkennung erforderlich. In Kombination mit dem Dekret 2106/2019, das es Notaren erlaubt, Urkunden elektronisch zu errichten, hat Kolumbien die Prozesse rund um sein E-Signatur-Gesetz kontinuierlich digitalisiert, anstatt die 1999 durch das Gesetz 527 geschaffene grundlegende zweistufige Struktur neu zu schreiben.

Im Bereich des Datenschutzes regelt das kolumbianische Gesetz 1581 von 2012 (Habeas Data) personenbezogene Daten als verfassungsmäßiges Recht, das von der Superintendenz für Industrie und Handel (SIC) durchgesetzt wird. In seiner Struktur unterscheidet es sich von der DSGVO, anstatt diese eng widerzuspiegeln. Grenzüberschreitende Übermittlungen sind standardmäßig verboten, es sei denn, das Empfängerland erfüllt einen „angemessenen“ Schutzstandard oder es gilt eine bestimmte Ausnahme wie die Einwilligung, die Notwendigkeit zur Vertragserfüllung, der medizinische oder bankenbezogene Datenaustausch oder ein internationaler Vertrag. Mit dem Rundschreiben 003 von 2025 (SIC Circular 003 of 2025) hat die SIC neu Mustervertragsklauseln des iberoamerikanischen Datenschutznetzwerks als Übermittlungsmechanismus für ansonsten nicht angemessene Bestimmungsländer anerkannt – die derzeit engste Entsprechung zu einer Option im Stil von Standardvertragsklauseln in Kolumbien. Es gibt keinen Angemessenheitsbeschluss zwischen der EU und Kolumbien in beiderlei Richtung, so dass das EU-Hosting von Firma.dev die Übermittlungsfrage nicht von sich aus so löst, wie dies bei einer Rechtsordnung mit gegenseitigem Angemessenheitsbeschluss der Fall wäre.