Cadena de custodia digital: guía ISO 27037 para evidencia electrónica (2026)

Resumen ejecutivo: cadena de custodia digital

No hay estadística oficial sobre en cuántos procedimientos la prueba electrónica resulta determinante: el CGPJ publica actividad judicial, no composición probatoria. Lo que sí puede afirmarse es que un defecto de cadena de custodia es de lo primero que impugna la contraparte, y de lo que más debilita una prueba electrónica. La STS 300/2015 advirtió que la posibilidad de manipulación de los archivos digitales «forma parte de la realidad de las cosas», y es precisamente la custodia documentada lo que permite descartarla cuando la contraparte la invoca.

Esta guía explica, paso a paso, qué es la cadena de custodia digital, cómo documentarla conforme a la norma ISO/IEC 27037, qué exige la legislación española y cuáles son los errores que más comprometen una prueba electrónica en juicio.

Todos nuestros informes periciales siguen la metodología ISO 27037 de cadena de custodia. Si necesitas garantizar la validez judicial de tu evidencia digital, consulta nuestra metodología de trabajo o solicita una consulta gratuita para que evaluemos tu caso.

Qué es la cadena de custodia digital

La cadena de custodia digital es el procedimiento documentado que registra de forma continua e ininterrumpida quién ha tenido acceso a una evidencia electrónica, cuándo se ha accedido, dónde se ha almacenado y qué operaciones se han realizado sobre ella, desde el momento de su identificación hasta su presentación ante un tribunal.

A diferencia de la custodia de objetos físicos, la evidencia digital presenta características únicas que hacen su cadena de custodia más exigente:

• Volatilidad: los datos pueden modificarse o perderse con el simple paso del tiempo, el reinicio de un equipo o una actualización automática.
• Duplicabilidad exacta: es posible crear copias bit a bit idénticas al original, lo que permite trabajar sin alterar la fuente.
• Invisibilidad de la manipulación: una alteración en un archivo digital no deja marcas visibles a simple vista; solo los hashes criptográficos y los metadatos permiten detectarla.
• Dispersión: la evidencia puede residir simultáneamente en dispositivos locales, servidores remotos, copias de seguridad en la nube y caches de terceros.

El propósito fundamental de la cadena de custodia es responder, en cualquier momento del proceso, a cuatro preguntas:

1. Quién ha tenido contacto con la evidencia (identificación nominal y firma).
2. Cuándo se ha producido cada interacción (timestamps con zona horaria).
3. Dónde ha estado almacenada la evidencia (ubicación física y lógica).
4. Qué se ha hecho con ella en cada paso (descripción de operaciones y herramientas utilizadas).

Si alguna de estas cuatro preguntas no puede responderse para un momento concreto del ciclo de vida de la evidencia, existe lo que se denomina un gap de custodia, que la contraparte puede usar para cuestionar la fiabilidad de la evidencia.

Marco legal de la cadena de custodia digital en España

El ordenamiento jurídico español no cuenta con una ley específica dedicada exclusivamente a la cadena de custodia digital. En su lugar, la regulación se construye a partir de varias normas procesales, penales y de protección de datos que, en conjunto, establecen los requisitos de admisibilidad.

Ley de Enjuiciamiento Civil (LEC)

• Artículo 299.2: admite como medio de prueba “los medios de reproducción de la palabra, el sonido y la imagen, así como los instrumentos que permiten archivar y conocer o reproducir palabras, datos, cifras y operaciones matemáticas llevadas a cabo con fines contables o de otra clase”.
• Artículo 382: regula la reproducción ante el tribunal de medios audiovisuales, pudiendo las partes aportar los dictámenes y medios de prueba que estimen pertinentes sobre su autenticidad.
• Artículo 384: regula la aportación de instrumentos que archivan o reproducen datos, su examen y contradicción, y ordena valorarlos «conforme a las reglas de la sana crítica». No condiciona literalmente su valor a «acreditar autenticidad e integridad» —eso puede discutirse, pero no es lo que dice el precepto—.

Ley de Enjuiciamiento Criminal (LECrim)

• Artículos 588 bis a) y siguientes: regulan la autorización y los principios de las medidas de investigación tecnológica —el 588 bis a) enumera especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad—. La garantía expresa de autenticidad e integridad del volcado está en el art. 588 ter f), no como contenido conjunto de los 588 bis.
• Artículos 588 ter a) a 588 ter i): regulan específicamente la interceptación de comunicaciones telemáticas, incluyendo obligaciones de integridad y custodia.

Reglamento General de Protección de Datos (RGPD) y LOPD-GDD

El tratamiento de datos personales contenidos en evidencias digitales debe respetar los principios del RGPD (Reglamento UE 2016/679) y la Ley Orgánica 3/2018 (LOPD-GDD). En particular:

• Principio de minimización: solo se deben recopilar los datos estrictamente necesarios para la finalidad procesal.
• Base legitimadora: no hay una base única. El interés legítimo del art. 6.1.f) es la habitual para un perito privado —con su ponderación—, pero no se aplica a las autoridades públicas en el ejercicio de sus funciones (6.1.e), y si la evidencia contiene categorías especiales o datos penales entran además los arts. 9.2.f) y 10. Depende del sujeto, del dato y de la finalidad.

Normas UNE españolas

• UNE 71505-1:2013: Vocabulario y principios generales del sistema de gestión de evidencias electrónicas (es la parte 1; la metodología y los formatos están en las partes 2 y 3).
• UNE 71505-3:2013: define los formatos y mecanismos técnicos para garantizar la integridad de las evidencias.
• UNE 197010:2015: regula los criterios generales para la elaboración de informes periciales sobre tecnologías de la información.

Norma ISO/IEC 27037: las 4 fases del tratamiento de evidencia digital

La norma ISO/IEC 27037:2012 (Guidelines for identification, collection, acquisition and preservation of digital evidence) es el estándar internacional de referencia para el tratamiento de evidencia digital. Estructura el trabajo en cuatro actividades: identificación, recogida, adquisición y preservación.

Tabla resumen: las 4 fases ISO 27037

Fase 1: identificación

La identificación es el primer contacto con la potencial evidencia digital. El objetivo es determinar qué elementos pueden contener datos relevantes sin alterar su estado. La norma ISO 27037 establece que el DEFR (Digital Evidence First Responder) debe:

• Evaluar la escena y documentarla visualmente (fotografías, croquis).
• Identificar todos los dispositivos digitales presentes (ordenadores, móviles, servidores, dispositivos IoT, medios extraíbles).
• Priorizar la recopilación según el orden de volatilidad (RFC 3227): primero registros y caché; después tablas de enrutamiento y ARP, procesos, estadísticas del kernel y memoria; luego sistemas de ficheros temporales; después el disco; a continuación los logs remotos y la topología de red; y por último los soportes de archivo.
• No encender ni apagar ningún dispositivo hasta evaluar su estado.

Fase 2: recopilación

La recopilación implica la recogida física de los dispositivos que contienen la evidencia. Esta fase es crítica porque cualquier error puede provocar la contaminación o destrucción de los datos:

• Cada dispositivo debe recibir una etiqueta única con número de caso, fecha, hora y responsable.
• Los precintos de seguridad deben ser numerados y registrados.
• Los dispositivos deben almacenarse en bolsas antiestáticas y cajas rígidas que eviten daños durante el transporte.
• El formulario de cadena de custodia debe firmarse en cada transferencia.

Fase 3: adquisición

La adquisición es el proceso técnico de crear copias forenses de la evidencia digital. Es la fase más técnica, y donde la intervención de un perito informático forense marca la diferencia en la calidad y la defendibilidad del trabajo:

• Se crean imágenes forenses bit a bit (sector por sector) del medio de almacenamiento completo.
• Se calculan hashes criptográficos (SHA-256 como mínimo; opcionalmente también MD5 para compatibilidad) tanto del original como de la copia.
• Se verifica que los hashes del original y la copia coincidan exactamente.
• Todo el proceso se documenta en un log que incluye: herramienta utilizada, versión, hora de inicio, hora de fin, hashes y resultado de la verificación.

Fase 4: preservación

La preservación garantiza que la evidencia mantiene su integridad durante todo el tiempo que dure el proceso judicial, que puede prolongarse meses o años:

• Almacenamiento en entorno seguro con control de acceso (cerradura, caja fuerte o sala restringida).
• Verificación periódica de hashes para confirmar que no se ha producido ninguna alteración.
• Mantenimiento de al menos dos copias en ubicaciones diferentes.
• Control de condiciones ambientales (temperatura y humedad) para soportes magnéticos y ópticos.

Diferencia entre cadena de custodia física y cadena de custodia digital

Aunque comparten el mismo principio (garantizar la integridad de la evidencia), la custodia de objetos físicos y la de datos digitales presentan diferencias sustanciales que el perito forense debe conocer.

Cómo se documenta la cadena de custodia digital

La documentación es el eje vertebral de la cadena de custodia. Sin documentación, no hay cadena. A continuación se describen los elementos que debe contener un registro de custodia completo.

Hash criptográfico SHA-256

El hash SHA-256 es el mecanismo técnico que permite comprobar la integridad de la evidencia. Es una función criptográfica que genera un resumen de 256 bits para cualquier conjunto de datos, y si se modifica un solo bit el resultado cambia por completo. Conviene ser preciso con lo que hace: no es una «huella única» en sentido matemático —su seguridad es la resistencia computacional a las colisiones—, y demostrar que dos hashes coinciden acredita que los bytes no han cambiado desde que se calculó el de referencia, no el origen ni lo ocurrido antes. Por eso el valor de referencia debe custodiarse en lugar seguro.

Ejemplo práctico de hash SHA-256:

Imagen forense original:
SHA-256: 7f83b1657ff1fc53b92dc18148a1d65dfc2d4b1fa3d677284addd200126d9069

Copia verificada:
SHA-256: 7f83b1657ff1fc53b92dc18148a1d65dfc2d4b1fa3d677284addd200126d9069

Resultado: COINCIDEN → Integridad verificada

El hash debe calcularse:

• Inmediatamente tras la adquisición del original.
• Después de crear cada copia forense.
• Periódicamente durante el almacenamiento.
• Antes de la presentación ante el tribunal.

Timestamps con zona horaria

Cada entrada en el registro de custodia debe incluir la fecha y hora exactas en formato inequívoco, incluyendo la zona horaria. La norma ISO 8601 recomienda el formato: 2026-02-09T17:30:00+01:00 (CET).

Formulario tipo de cadena de custodia

Un formulario completo de cadena de custodia digital debe incluir estos campos:

Acta de adquisición forense

El acta de adquisición es un documento específico que registra el proceso técnico de creación de la imagen forense. Debe incluir:

1. Datos del perito (nombre, titulación, experiencia).
2. Datos del caso y del solicitante.
3. Descripción detallada del dispositivo (marca, modelo, número de serie, estado físico).
4. Herramienta de adquisición (nombre, versión, licencia).
5. Tipo de adquisición (física, lógica, sistema de archivos).
6. Hora de inicio y fin del proceso.
7. Hashes calculados (original y copia).
8. Resultado de la verificación.
9. Firma del perito y, si procede, de testigos.

Herramientas forenses para mantener la cadena de custodia

La elección de herramientas forenses validadas ayuda a defender la evidencia. Lo que un tribunal valora no es la marca, sino que el perito pueda justificar la fiabilidad de la herramienta y documentar su uso; comerciales y de código abierto sirven por igual bajo esa condición.

Tabla comparativa de herramientas forenses

Write blockers: proteger el original

Los write blockers (bloqueadores de escritura) son dispositivos hardware o software que impiden cualquier escritura en el medio de almacenamiento original durante la adquisición. Son esenciales para mantener la cadena de custodia:

• Hardware write blockers: Tableau T35u (USB), Tableau T8u (USB 3.0), WiebeTech ComboDock. Se interponen físicamente entre el disco y el equipo del perito.
• Software write blockers: montaje en modo solo lectura en Linux (mount -o ro), herramientas de CAINE Linux que activan bloqueo de escritura a nivel kernel.

8 errores que rompen la cadena de custodia digital

Estos son los errores más frecuentes que he observado en mi práctica profesional como perito informático forense. Cada uno de ellos ha provocado, en casos reales, la impugnación o exclusión de pruebas electrónicas en tribunales españoles.

1. No calcular el hash inmediatamente tras la adquisición. Si transcurre un periodo de tiempo sin hash documentado entre la obtención del dispositivo y la creación de la imagen forense, la parte contraria puede argumentar que los datos pudieron ser manipulados en ese intervalo. El hash SHA-256 debe calcularse en el mismo acto de la adquisición.

2. Gaps temporales sin documentar. Cualquier periodo en el que no quede registrado dónde estuvo la evidencia ni quién tuvo acceso a ella constituye un gap de custodia. Incluso unas horas sin documentar (por ejemplo, un fin de semana en un despacho sin control de acceso) pueden ser explotadas por la defensa.

3. Trabajar sobre el original en lugar de sobre copias forenses. Uno de los principios cardinales del análisis forense es nunca alterar la evidencia original. Todo el trabajo de análisis debe realizarse sobre copias forenses verificadas. Si se demuestra que el perito trabajó directamente sobre el dispositivo original, la cadena de custodia queda comprometida.

4. No utilizar write blockers durante la adquisición. Conectar un disco duro a un ordenador sin write blocker permite que el sistema operativo modifique metadatos automáticamente (timestamps NTFS, journal ext4). Estos cambios, aunque mínimos, alteran el hash del disco y rompen la trazabilidad.

5. Formularios de transferencia incompletos o sin firmas. Cada vez que la evidencia cambia de manos (de IT a abogado, de abogado a perito, de perito a juzgado), debe firmarse un acta de transferencia con fecha, hora y estado de los precintos. La ausencia de firmas en cualquier transferencia debilita gravemente la cadena.

6. No verificar periódicamente los hashes durante el almacenamiento. La evidencia puede almacenarse durante meses o años antes del juicio. Si los hashes no se verifican periódicamente, es más difícil demostrar que la evidencia permaneció intacta. La periodicidad se fija en la política del laboratorio según el caso, sin que exista una regla única aplicable a toda evidencia.

7. Almacenamiento en entornos inseguros. Guardar discos duros con evidencia en un cajón de escritorio sin cerradura, en un despacho compartido o en un almacén sin control de acceso compromete la custodia. El almacenamiento debe realizarse en entornos con acceso restringido y registro de entradas.

8. Uso de herramientas no validadas o sin documentar. Si el perito utiliza un script personalizado o una herramienta no reconocida por la comunidad forense sin documentar exhaustivamente su funcionamiento y fiabilidad, la parte contraria puede impugnar los resultados. Se deben usar herramientas reconocidas (FTK, OpenText Forensic, Autopsy) o, si se usan herramientas propias, documentar y validar su correcto funcionamiento.

Jurisprudencia española relevante sobre cadena de custodia digital

Los tribunales españoles han ido construyendo una doctrina progresiva sobre la cadena de custodia en evidencia digital. Estas son las sentencias más relevantes:

STS 587/2014 (Sala Segunda del Tribunal Supremo): el criterio de fiabilidad

Principio: la cadena de custodia es una garantía formal, no un medio de prueba. Su ruptura «no es una cuestión de nulidad o inutilizabilidad, sino de fiabilidad», y el Supremo rechaza la «concepción burocratizada» de la custodia. El caso versaba sobre restos óseos; su traslación a la evidencia digital es analógica, no una doctrina dictada sobre lo digital. La STS 300/2015 trata una materia distinta —la autenticidad de mensajes de Tuenti aportados como impresión— y no menciona la «cadena de custodia».

Los defectos, caso por caso: no existe un automatismo que invalide la prueba; el tribunal evalúa si el defecto concreto ha podido afectar a la integridad de la evidencia, y solo cuando la duda sobre su autenticidad es razonable procede excluirla.

Relevancia práctica: obliga a documentar la cadena, pero también permite valorar un defecto concreto en lugar de excluir la prueba de forma automática, si por otros medios se descarta la alteración.

STS 116/2025, de 13 de febrero (Sala Segunda del Tribunal Supremo)

Principio establecido: no existe una presunción que obligue a rebatir toda captura de WhatsApp mediante pericial. Para que la prueba pericial sea necesaria, la autenticidad debe impugnarse con indicios concretos de manipulación, no de forma genérica. El juzgador debe quedar convencido de la autenticidad del origen y de la integridad del contenido, y puede alcanzarlo valorando la captura junto al resto de prueba.

Relevancia práctica: la pericial deja de ser un trámite automático y pasa a ser la vía para sostener la prueba cuando se impugna de forma fundada. Documentar la cadena de custodia desde el primer momento es lo que permite responder a esa impugnación si llega.

El artículo 326 de la LEC, que es de donde sale todo

Lo que dice: un documento privado hace prueba plena si su autenticidad no se impugna (art. 326.1); impugnada, corresponde a quien lo aportó pedir el cotejo pericial «o proponer cualquier otro medio de prueba que resulte útil y pertinente al efecto» (art. 326.2). Traducido: un correo impreso sin certificación de origen ni hash no se cae solo, pero si la otra parte lo discute, hay que acreditar la autenticidad del email mediante análisis de cabeceras y metadatos.

Un matiz que conviene corregir

Circula la idea de que «la ausencia de contrapericial no equivale a aceptación tácita de la autenticidad». En el proceso civil es al revés: el art. 326.1 de la LEC dice que el documento privado hace prueba plena «cuando su autenticidad no sea impugnada por la parte a quien perjudique». Quien calla, no discute. Lo que sí es cierto es que en el proceso penal rige otra lógica —presunción de inocencia— y ahí cada parte carga con acreditar la fiabilidad de la evidencia que presenta.

Caso práctico: cadena de custodia en investigación de fraude corporativo

Para ilustrar cómo se aplica la cadena de custodia digital, se describe a continuación un procedimiento tipo: un recorrido didáctico por las fases, no el relato de un expediente concreto. Los perfiles, importes y desenlaces son ilustrativos.

Situación (ilustrativa): una empresa detecta que un empleado del departamento financiero ha realizado transferencias no autorizadas a cuentas de terceros.

Qué aporta este procedimiento: una cadena documentada —quién tocó qué, cuándo y con qué integridad— que permite sostener la autenticidad de la evidencia si se impugna. Que un tribunal la admita en un caso concreto depende de sus circunstancias; el procedimiento no lo garantiza, pero es lo que hace defendible la prueba.

Preguntas frecuentes sobre la cadena de custodia digital

1. ¿Qué ocurre si se rompe la cadena de custodia?

La ruptura de la cadena de custodia no implica automáticamente que la prueba sea excluida (STS 587/2014). Sin embargo, reduce significativamente su valor probatorio y la expone a la impugnación por la parte contraria. El tribunal valorará la gravedad del defecto y si existen medios alternativos para acreditar la integridad de la evidencia.

2. ¿Es obligatorio usar hash SHA-256 o vale con MD5?

MD5 se ha utilizado históricamente, pero su uso exclusivo es desaconsejable porque tiene vulnerabilidades de colisión conocidas (Wang y Yu, EUROCRYPT 2005). La práctica recomendada es utilizar SHA-256 como hash principal y opcionalmente MD5 como hash complementario para compatibilidad con sistemas legacy.

3. ¿Quién puede ser custodio de la evidencia digital?

Cualquier persona puede actuar como custodio siempre que se documente adecuadamente. Sin embargo, para que la cadena tenga máxima validez, es recomendable que el custodio principal sea un perito informático forense con formación y experiencia acreditadas, ya que puede testimoniar sobre las medidas de preservación adoptadas.

4. ¿Cuánto tiempo debe conservarse la evidencia digital?

La evidencia debe conservarse durante todo el procedimiento judicial y hasta que la sentencia sea firme y se agoten los plazos de recurso. No existe un plazo único: el RGPD (art. 5.1.e) obliga a conservar «no más tiempo del necesario». Lo prudente es mantener la evidencia mientras quepan recursos o acciones derivadas, y fijar un plazo por expediente con destrucción segura al vencer. (Conviene no confundir este criterio con el plazo de cinco años del art. 588 bis k) LECrim, que ordena destruir las copias de las medidas de investigación tecnológica a los cinco años desde que la pena se ejecutó, se prescribió o hubo absolución firme: es un plazo de destrucción para ese supuesto, no un mínimo de conservación para toda evidencia.)

5. ¿Sirve una captura de pantalla como evidencia digital?

Una captura de pantalla puede valorarse como prueba si el tribunal queda convencido de su autenticidad e integridad, en su caso apoyándose en el resto de prueba practicada (STS 116/2025). Ahora bien, es fácilmente falsificable, y si la contraparte impugna su autenticidad con indicios concretos, un informe pericial es la vía más sólida para sostenerla —análisis del dispositivo original, extracción de la base de datos de la aplicación, verificación de hashes—. La propia STS 116/2025 admite que la autenticidad puede acreditarse «a través de otras pruebas», así que no es la única vía, pero sí la más difícil de rebatir.

6. ¿La cadena de custodia se aplica igual en procedimientos civiles y penales?

Los principios son los mismos, pero la exigencia es mayor en el ámbito penal. En procedimientos penales, los tribunales son más estrictos con la cadena de custodia por las consecuencias que puede tener para la libertad del acusado. En procedimientos civiles, los defectos de custodia se valoran dentro de la libre valoración de la prueba conforme a las reglas de la sana crítica.

7. ¿Puede un particular mantener la cadena de custodia o necesita un perito?

Un particular puede iniciar la preservación de evidencia (por ejemplo, no apagando un dispositivo que contiene pruebas o evitando su manipulación). Para que esa evidencia llegue en las mejores condiciones al procedimiento, conviene que un perito informático forense intervenga cuanto antes y formalice la cadena de custodia con los protocolos adecuados. La admisión y la valoración las decide el tribunal; ningún perito las garantiza.

8. ¿Cómo afecta la cadena de custodia a la evidencia almacenada en la nube?

La evidencia en la nube presenta retos adicionales: los datos pueden estar distribuidos en servidores de múltiples jurisdicciones y el proveedor cloud puede modificar metadatos durante operaciones rutinarias. La cadena de custodia debe documentar el proceso de adquisición incluyendo: la URL exacta, el método de descarga, los hashes de los archivos descargados, la herramienta utilizada y capturas de los metadatos del servicio cloud en el momento de la adquisición.

Preguntas relacionadas

Si has llegado hasta aquí, estos recursos complementarios de digitalperito.es pueden resultar de utilidad:

• Cadena de custodia: definición y requisitos legales - Definición técnica completa en nuestro glosario forense con FAQs y ejemplo práctico paso a paso.
• Análisis forense digital: en qué consiste - Servicio completo de investigación forense de dispositivos, desde la adquisición hasta el informe pericial.
• Cómo preparar evidencia digital para un proceso judicial - Guía paso a paso con las 4 fases del proceso y checklist de validación.
• Guía para abogados: WhatsApp como prueba judicial - Checklist profesional con jurisprudencia actualizada para aportar WhatsApp en procedimiento judicial.
• Guymager y CAINE: adquisición forense en modo solo lectura - Tutorial de herramientas open source para la fase de adquisición de la cadena de custodia.
• ¿Cuánto cuesta un informe pericial informático? - Precios actualizados 2026 desglosados por tipo de dispositivo y complejidad.

Servicios relacionados:

• Metodología forense ISO 27037 — Conoce en detalle cómo aplicamos la cadena de custodia en cada fase del peritaje
• Informes periciales — Informes con cadena de custodia documentada, hash SHA-256 y validez judicial completa
• Contacto y consulta gratuita — Evaluamos tu caso y te orientamos sobre la preservación de evidencia digital

Referencias y fuentes

1. ISO/IEC 27037:2012 - Information technology - Security techniques - Guidelines for identification, collection, acquisition and preservation of digital evidence. International Organization for Standardization. iso.org/standard/44381.html

2. UNE 71505-3:2013 - Sistema de Gestión de Evidencias Electrónicas. Parte 3: Formatos y mecanismos técnicos. Asociación Española de Normalización (UNE). tienda.aenor.com — en vigor.

3. RFC 3227 - Guidelines for Evidence Collection and Archiving. Internet Engineering Task Force (IETF), 2002. rfc-editor.org/rfc/rfc3227

4. Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil - Artículos 299, 382, 384. Boletín Oficial del Estado. boe.es/buscar/act.php?id=BOE-A-2000-323

5. Ley Orgánica 13/2015, de 5 de octubre - Modificación de la LECrim para el fortalecimiento de las garantías procesales y la regulación de las medidas de investigación tecnológica. boe.es/buscar/doc.php?id=BOE-A-2015-10725

6. Reglamento (UE) 2016/679 (RGPD) - Reglamento General de Protección de Datos. Parlamento Europeo y Consejo de la UE. eur-lex.europa.eu

7. STS 587/2014, de 18 de julio (Sala Segunda · ROJ STS 3086/2014 · ECLI:ES:TS:2014:3086) — la irregularidad en la cadena de custodia afecta a la fiabilidad de la prueba, no a su validez; el Supremo rechaza la lectura burocratizada.

8. STS 300/2015, de 19 de mayo (Sala Segunda · ROJ STS 2047/2015 · ECLI:ES:TS:2015:2047) — autenticidad de la mensajería impugnada aportada como impresión; materia distinta de la cadena de custodia.

9. STS 116/2017, de 23 de febrero, Sala Segunda del Tribunal Supremo (caso Falciani; ponente Manuel Marchena Gómez, recurso 1281/2016) - Sobre el alcance de la regla de exclusión del art. 11.1 LOPJ cuando la vulneración la comete un particular. Poder Judicial de España.

10. STS 116/2025, de 13 de febrero, Sala Segunda del Tribunal Supremo (ROJ: STS 634/2025) - Sobre la eficacia probatoria de las capturas de pantalla de WhatsApp y los supuestos en que resulta exigible la prueba pericial. Poder Judicial de España. — ECLI:ES:TS:2025:634

11. NIST SP 800-86 - Guide to Integrating Forensic Techniques into Incident Response. National Institute of Standards and Technology, 2006. nist.gov/publications/guide-integrating-forensic-techniques-incident-response

12. CGPJ. Memoria anual y estadística judicial — recoge actividad de los órganos judiciales (asuntos ingresados, resueltos y en trámite). No publica desglose por tipo de prueba, de modo que ninguna cifra sobre uso de prueba digital procede de esta fuente.

13. Wang, X., Yu, H. (2005) - How to Break MD5 and Other Hash Functions. Advances in Cryptology - EUROCRYPT 2005. Springer, LNCS 3494. doi.org/10.1007/11426639_2

14. UNE 197010:2015 - Criterios generales para la elaboración de informes y dictámenes periciales sobre Tecnologías de la Información y las Comunicaciones (TIC). Asociación Española de Normalización.

Sobre el autor: Jonathan Izquierdo es perito informático forense. Ex-CTO y arquitecto cloud con más de 20 años en el sector tecnológico, certificado en AWS Security y AWS Solutions Architect, ejerce como perito judicial desde 2025 y combina esa experiencia en arquitectura de sistemas con el rigor pericial. Especializado en evidencia digital, análisis forense de dispositivos y elaboración de informes periciales con validez judicial.

> Más artículos sobre evidencia digital y peritaje forense