El marco de la firma electrónica de Kenia se basa en la Ley de Información y Comunicaciones de Kenia de 1998 (KICA), en su versión enmendada por la Ley de Leyes Comerciales (Enmienda) de 2020. La regla principal de la KICA, en su sección 83J, es tecnológicamente neutra: no se puede negar la validez o la aplicabilidad de un contrato únicamente porque se haya celebrado o firmado electrónicamente. Para la gran mayoría de los acuerdos comerciales, eso significa que una firma electrónica ordinaria, como un nombre escrito, un PIN, un enlace de autenticación basado en correo electrónico o una plataforma como el flujo de trabajo de SES de Firma.dev, es legalmente suficiente, sin necesidad de certificación ni de registro gubernamental.

La KICA también define una segunda categoría más estricta: la «firma electrónica avanzada». Según la sección 83P, siempre que otra ley de Kenia exija específicamente que un documento esté «firmado» en un sentido formal, ese requisito se cumple con una firma electrónica avanzada: una vinculada de manera única al firmante, creada utilizando medios que el firmante mantiene bajo su propio y exclusivo control, y capaz de revelar cualquier cambio posterior en los datos firmados. El inconveniente es cómo debe producirse esa firma: debe llevar un certificado emitido por un Proveedor de Servicios de Certificación autorizado por la Autoridad de Comunicaciones de Kenia. A fecha de 2024, cuatro empresas poseían esa licencia (Geda, Emudhra, TendaWorld y la Autoridad de TIC), y al parecer se están estudiando más solicitudes, mientras que el certificado de un proveedor sin licencia es solo una prueba persuasiva, no definitiva, en los tribunales. Actualmente, Firma.dev no se integra con ninguno de los PSC autorizados de Kenia, por lo que no cumple por sí mismo con este nivel definido.

Un desarrollo normativo independiente y más reciente acentúa aún más esto para sectores específicos. Una directiva de la Autoridad de Comunicaciones y del Comité Nacional de Coordinación de Delitos Informáticos y Ciberdelincuencia, en vigor a partir del 1 de enero de 2026, designa ciertos sectores como Infraestructura de Información Crítica (CII, por sus siglas en inglés), incluidos los servicios bancarios y de ahorro, los seguros, los productos farmacéuticos, los servicios inmobiliarios y los sistemas que manejan datos electorales o de seguridad pública. Los proveedores de CII deben obtener sus certificados digitales y servicios de firma electrónica exclusivamente de un Proveedor de Servicios de Certificación con licencia de la CA. Las empresas de estos sectores específicos deben confirmar de forma independiente una vía de conformidad antes de confiar únicamente en el flujo de trabajo estándar de SES/AES de Firma.dev.

Quedan excluidas por completo de la validez de la firma electrónica tres categorías en virtud de la sección 83B: testamentos y codicilos, títulos valores (pagarés, letras de cambio y cheques) y documentos de propiedad. Estas exclusiones son limitadas y específicas, no una limitación general del uso comercial. Los contratos cotidianos, los acuerdos de confidencialidad, las órdenes de compra y los acuerdos de servicios fuera de los sectores de CII mencionados anteriormente quedan totalmente fuera de estas exclusiones.

El sector inmobiliario es una segunda área en la que dos leyes de Kenia apuntan en direcciones diferentes, además de su designación como CII. Las enmiendas de 2020 afectaron a las transacciones de tierras desde dos direcciones a la vez: se enmendó la Ley de Registro de la Propiedad para aceptar instrumentos ejecutados electrónicamente, incluidos los títulos de propiedad, conservados por el Registro de la Propiedad en formato electrónico, mientras que se enmendó por separado la Ley de Contratos para exigir específicamente una firma electrónica avanzada para los contratos relacionados con la tierra. Los profesionales del derecho de Kenia desaconsejan actualmente confiar en las firmas electrónicas para asuntos de tierras hasta que los tribunales o una legislación posterior resuelvan el conflicto.

La Ley de Protección de Datos de Kenia de 2019, aplicada por la Oficina del Comisionado de Protección de Datos, regula los datos personales con principios de base jurídica y derechos de los interesados similares a los del RGPD. El artículo 48 permite la transferencia internacional de datos mediante una decisión de adecuación, salvaguardias adecuadas, como cláusulas contractuales, o por la necesidad de ejecutar el contrato. A Kenia no se le ha concedido una decisión formal de adecuación por parte de la UE, por lo que las transferencias de un proveedor alojado en la UE dependen de la base de las salvaguardias o de la necesidad. La aplicación de la ley por parte de la ODPC se ha acelerado drásticamente: las resoluciones de reclamaciones casi se duplicaron en 2025 en comparación con 2024, y un proyecto de ley de enmienda de la protección de datos pendiente de 2025 ampliaría las categorías de datos sensibles y aumentaría la exposición a sanciones al cambiar el cálculo de las multas del umbral más bajo al más alto.