El marco de la firma electrónica en Colombia se fundamenta en dos instrumentos principales: la Ley 527 de 1999 y el Decreto 2364 de 2012 (compilado en el Decreto 1074/2015, Art. 2.2.2.47.1 y ss.).

La Ley 527/1999 estableció la regla fundamental de que los mensajes de datos y las firmas electrónicas tienen la misma validez jurídica y vinculación legal que los documentos en papel y las firmas manuscritas. No se deniega la validez de un contrato por el mero hecho de haberse formado mediante un mensaje de datos. La ley también introdujo la Firma Digital original de Colombia, basada en certificados y regulada posteriormente por el Decreto 1747 de 2000, que requiere un certificado emitido por una entidad de certificación acreditada por el ONAC (Organismo Nacional de Acreditación de Colombia) y goza de una mayor presunción de autenticidad.

El Decreto 2364 de 2012 amplió esto al definir formalmente la Firma Electrónica como cualquier mecanismo técnico (incluyendo códigos, contraseñas, datos biométricos o claves criptográficas privadas) que identifique de forma confiable a un firmante y sea apropiado para el propósito del mensaje, independientemente de la certificación del ONAC. Esto dota a Colombia de un modelo de dos niveles, a diferencia de la estructura de tres niveles (SES/AES/QES) utilizada por eIDAS: un nivel de Firma Electrónica sin restricciones y tecnológicamente neutro que cubre el uso comercial ordinario, y un nivel de Firma Digital basada en certificados reservado para casos en los que se requiera o se desee una mayor presunción de autenticidad.

Los tribunales colombianos han respaldado directamente este marco. La Corte Constitucional (Sentencia C-831 de 2001) dictaminó que los tribunales y las entidades públicas pueden apoyarse en documentos electrónicos y telemáticos con la misma validez que los originales, siempre que se garanticen su autenticidad e integridad. La Corte Suprema de Justicia (sentencia del 16 de diciembre de 2010) estableció una prueba probatoria práctica para los mensajes de datos basada en: completitud, inalterabilidad desde su emisión, rastreabilidad y conservación; una prueba que los tribunales colombianos siguen aplicando al valorar pruebas firmadas electrónicamente.

Las exclusiones expresas son más limitadas de lo que sugieren las asunciones habituales, y los bienes inmuebles y los testamentos no son tipos de documentos excluidos bajo la propia Ley 527. En su lugar, ambos requieren un proceso notarial presencial, independientemente de la tecnología de firma utilizada. Las transferencias de bienes raíces, gravámenes y cualquier transacción que requiera escritura pública deben otorgarse ante notario de conformidad con el Estatuto Notarial (Decreto 960 de 1970), y este mismo requisito de firma manuscrita se extiende a los contratos de fideicomiso civil y de sociedad civil. El Decreto 2106 de 2019 modificó el Estatuto Notarial para que la propia firma del notario en la escritura pueda ser electrónica, pero la transacción subyacente sigue requiriendo el proceso notarial en lugar de una plataforma comercial de firma electrónica independiente. Del mismo modo, los testamentos (testamento abierto o cerrado) requieren su otorgamiento ante notario y de tres a cinco testigos en persona según el Código Civil, por lo que la firma electrónica solo se aplica dentro de ese proceso notarial en lugar de servir como sustituto del mismo. Los títulos valores, específicamente los cheques bancarios, requieren una firma manuscrita, y las obligaciones del gobierno colombiano en virtud de tratados internacionales están excluidas por separado bajo la propia Ley 527.

El desarrollo reciente más significativo de Colombia se sitúa fuera de la ley de firma electrónica propiamente dicha. La Ley 2213 de 2022 confirió carácter permanente a las normas de la época de la pandemia (Decreto 806/2020) que habilitaban los canales digitales y los mensajes de datos en las actuaciones judiciales, y fue más allá al permitir a las partes otorgar poderes especiales para actuaciones judiciales mediante mensaje de datos con solo una antefirma: sin necesidad de firma alguna (digital o manuscrita) ni de reconocimiento presencial. Junto con el Decreto 2106/2019, que permite a los notarios autorizar escrituras electrónicamente, Colombia ha estado digitalizando de forma constante los procesos que rodean a su ley de firma electrónica en lugar de reescribir la estructura central de dos niveles que estableció la Ley 527 en 1999.

En materia de protección de datos, la Ley 1581 de 2012 de Colombia (Habeas Data) regula los datos personales como un derecho constitucional, bajo la supervisión de la Superintendencia de Industria y Comercio (SIC). Difiere del RGPD en su estructura más que en ser un reflejo exacto del mismo. Las transferencias transfronterizas están prohibidas por defecto a menos que el país receptor cumpla con un estándar de protección «adecuado» o se aplique una excepción específica, como el consentimiento, la necesidad contractual, el intercambio médico o bancario, o un tratado. La Circular 003 de 2025 de la SIC respaldó recientemente las cláusulas contractuales tipo de la Red Iberoamericana de Protección de Datos como mecanismo de transferencia para destinos que de otro modo no serían adecuados, lo más parecido que tiene Colombia actualmente a una opción de tipo CCT. No existe una decisión de adecuación mutua entre la UE y Colombia en ninguna dirección, por lo que el alojamiento de Firma.dev en la UE no resuelve de forma independiente la cuestión de la transferencia como podría hacerlo en una jurisdicción con una declaración de adecuación mutua.