La Seguridad Social cambia sus notificaciones: quién puede dejar de recibir cartas y el plazo de 10 días

La Orden ISM/541/2026, de 27 de mayo, no crea desde cero la notificación electrónica en la Seguridad Social, sino que modifica la Orden ISM/903/2020 para extender la obligación de usar este canal a nuevos colectivos y refinar las excepciones. Tras su entrada en vigor el 1 de septiembre de 2026 (tres meses después de su publicación en el BOE del 1 de junio), el marco jurídico básico está prácticamente cerrado; lo que queda pendiente son, sobre todo, pasos de despliegue técnico y de adaptación práctica.

Qué ya está en vigor con la Orden ISM/541/2026

A partir del 1 de septiembre de 2026, según el BOE y los resúmenes de prensa (Demócrata y Redacción Médica):

• Nuevos obligados: se incorporan como sujetos obligados a recibir notificaciones y comunicaciones electrónicas las personas físicas solicitantes o perceptoras de prestaciones de incapacidad temporal, así como los casos en los que la notificación se refiera a incapacidad permanente o lesiones permanentes no incapacitantes. Estos se suman a colectivos ya obligados (personas jurídicas, entidades sin personalidad, profesionales, Sistema RED, etc.).
• Canal principal: las resoluciones, requerimientos o citaciones sobre esos procedimientos se ponen a disposición en la Sede Electrónica de la Seguridad Social (SEDESS); SMS y correos son solo avisos, no la notificación en sí.
• Plazo de 10 días: el ciudadano dispone de diez días naturales para abrir la notificación electrónica; si no accede, se entiende rechazada y los plazos del procedimiento siguen corriendo.
• Salvaguardas y papel residual: aun siendo sujetos obligados, la Administración puede notificar por medios no electrónicos en varios supuestos (comparecencia espontánea en oficinas, necesidad de entrega directa por un empleado público, urgencia que haga inadecuado el canal electrónico o ausencia de datos de contacto electrónico). En esos casos, se informa además de la posibilidad de facilitar un dispositivo para futuros avisos.
• Asistencia presencial: se añade la posibilidad de que en los CAISS un funcionario ayude al interesado a acceder válidamente a la SEDESS, precisamente para evitar indefensión por falta de competencias digitales.

Marco normativo ya disponible

Con esta orden, la implantación de la notificación electrónica en la Seguridad Social se apoya en un conjunto de normas que ya están vigentes:

• Ley 39/2015 del Procedimiento Administrativo Común, que configura la tramitación electrónica como forma habitual y permite imponer la obligación de relacionarse electrónicamente.
• Real Decreto 203/2021, Reglamento de actuación por medios electrónicos, que fija que en el ámbito estatal la obligatoriedad puede establecerse por real decreto o por orden ministerial.
• Texto refundido de la Ley General de la Seguridad Social, artículo 132, que remite las notificaciones electrónicas a la SEDESS y habilita al ministerio para fijar sujetos obligados.
• Orden ISM/903/2020, ya vigente, que reguló el sistema de notificaciones electrónicas y listó los primeros colectivos obligados, ahora ampliados por la Orden ISM/541/2026.
• Otras normas de administración electrónica en el sistema de Seguridad Social (por ejemplo, el Real Decreto 1011/2023 sobre administración electrónica en la Inspección de Trabajo y la Seguridad Social), que refuerzan el contexto digital.

Desde el punto de vista estrictamente jurídico-reglamentario, por tanto, la orden completa el régimen de notificación electrónica para el ámbito específico que toca (incapacidades), sin dejar fases normativas pendientes identificadas en su propio texto.

Pasos pendientes para una implantación “completa” en la práctica

Donde sí quedan tareas es en la implantación operativa y en una posible extensión futura del modelo a más ámbitos de la Seguridad Social. A la luz del BOE y de las instrucciones y explicaciones públicas recogidas por la prensa, los principales pasos pendientes son:

• Depuración y recogida de datos de contacto: la orden condiciona parte de la convivencia con el papel a que existan o no datos electrónicos del ciudadano. Para que el sistema funcione de forma homogénea, la Seguridad Social debe generalizar la obtención y actualización de teléfonos y correos electrónicos de las personas en incapacidad temporal o permanente.
• Uso masivo de credenciales electrónicas: aunque el marco legal ya permite el acceso mediante certificado digital o Cl@ve, la implantación completa exige que los ciudadanos:
  • Dispongan efectivamente de certificado electrónico, DNIe o Cl@ve Permanente.
  • Sepan utilizarlos para consultar notificaciones en la SEDESS, en Mi Carpeta Ciudadana o en la DEHú.
  Las oficinas del INSS y los CAISS deben seguir emitiendo certificados y ayudando a activar Cl@ve para cerrar esta brecha.
• Consolidación técnica de la SEDESS y de Importass: la entrada en vigor implica que todas las notificaciones de estos procedimientos se gestionen ya de forma estable por la vía electrónica. En la práctica, eso supone seguir ajustando:
  • Los sistemas internos de gestión de expedientes para que usen por defecto la notificación electrónica.
  • La integración con canales como la app Importass, que ofrece avisos personalizados y acceso a notificaciones.
• Información al ciudadano y colectivos profesionales: la prensa refleja que la reforma ha generado confusión (por ejemplo, sobre si “desaparecen las cartas”). Falta completar el esfuerzo de comunicación:
  • A los ciudadanos en baja laboral o con procedimientos de incapacidad en curso.
  • A asesores laborales, graduados sociales y gestores administrativos que suelen gestionar expedientes de incapacidad.
• Gestión de las excepciones y del papel residual: aunque para las bajas médicas algunos medios hablan de un “apagón del papel”, la propia orden mantiene varios supuestos en los que seguirá habiendo notificación física o presencial. En la práctica, la implantación completa exige:
  • Definir criterios internos claros sobre cuándo se recurre al papel o a la entrega presencial.
  • Asegurar que estas excepciones se usan de forma homogénea en todo el territorio, evitando agravar desigualdades de acceso.
• Eventual extensión a otras prestaciones (más allá de lo que la orden ya regula): hoy, las pensiones de jubilación o viudedad, el Ingreso Mínimo Vital o las prestaciones familiares no han sido incorporadas por esta reforma. Una “implantación completa” del modelo de notificación electrónica en todo el sistema requeriría, si el Gobierno lo decide, nuevas órdenes o reformas que amplíen el catálogo de procedimientos obligados.

En resumen, tras la entrada en vigor de la Orden ISM/541/2026 el andamiaje normativo para la notificación electrónica en procesos de incapacidad está ya cerrado. Lo que queda por delante es culminar el despliegue técnico, lograr que la mayoría de ciudadanos dispongan y usen identificación electrónica y decidir, políticamente, si se extiende este modelo obligatorio a más prestaciones y colectivos dentro de la Seguridad Social.

El Instituto Nacional de la Seguridad Social (INSS) es la entidad gestora responsable del reconocimiento y control de la mayoría de las prestaciones económicas del sistema de Seguridad Social, y eso le otorga un papel central tanto en la tramitación de prestaciones como en las notificaciones que se dirigen a las personas interesadas.

Marco general de competencias en prestaciones

Según el artículo 1 del Real Decreto 2583/1996, de 13 de diciembre, de estructura orgánica y funciones del INSS, y de acuerdo con el texto refundido de la Ley General de la Seguridad Social (TRLGSS, Real Decreto Legislativo 8/2015), al INSS se le atribuyen, entre otras, estas competencias:

• Reconocimiento y control del derecho a las prestaciones económicas en su modalidad contributiva, sin perjuicio de las competencias del Servicio Público de Empleo Estatal (prestaciones por desempleo) y del Instituto Social de la Marina para el Régimen Especial de Trabajadores del Mar (v. gr. convenios y resoluciones BOE-A-2025-12282, BOE-A-2025-20463).
• Reconocimiento y control del derecho a las prestaciones económicas en su modalidad no contributiva, salvo aquellas cuya gestión esté atribuida al IMSERSO o a los servicios competentes de las comunidades autónomas (Resolución de 29 de julio de 2025, BOE-A-2025-16558).
• Reconocimiento del derecho a la asistencia sanitaria en el ámbito de la Seguridad Social.
• Gestión y control de la incapacidad temporal e incapacidad permanente, incluida la evaluación, calificación y revisión de las incapacidades y el reconocimiento de la correspondiente prestación económica, así como la determinación de la contingencia causante (Resolución 53/2025 del País Vasco sobre convenios INSS–ISM–servicios de salud).
• Funciones relacionadas con la modificación, conservación y extinción de las prestaciones, para lo cual el INSS accede a información de otras administraciones (por ejemplo, la base padronal del INE para verificar domicilio y convivencia: Adenda al convenio INSS–INE, BOE-A-2025-14179).

Funciones en la tramitación de prestaciones

Dentro de la tramitación de prestaciones, las funciones del INSS incluyen:

• Recepción de solicitudes a través de sus canales (sede electrónica, oficinas CAISS, convenios con otras administraciones) y verificación de la documentación aportada.
• Obtención y cruce de datos con otras administraciones para comprobar requisitos de acceso y mantenimiento de la prestación (ingresos, domicilio, composición de la unidad de convivencia, etc.), amparado en los artículos 71 y 77 TRLGSS sobre acceso y reserva de datos, y en la normativa de cooperación interadministrativa (Ley 40/2015).
• Emisión de resoluciones de reconocimiento, modificación, suspensión o extinción del derecho a la prestación y la ordenación de su pago (por ejemplo, pensiones o Ingreso Mínimo Vital).
• Control y revisión del cumplimiento continuado de los requisitos: acceso telemático a datos padronales y fiscales; convenios con servicios públicos de salud para acceder a informes médicos en expedientes de incapacidad (Resolución 53/2025); colaboración con la Agencia Tributaria estatal y autonómica para contrastar información económica.

Competencias en materia de notificaciones

Como entidad que dicta los actos administrativos de reconocimiento, modificación o extinción de prestaciones, el INSS es responsable de su notificación a las personas interesadas. Esa competencia se ejerce hoy de forma preferente por vía electrónica, en coordinación con el Ministerio y el resto del sistema de la Seguridad Social.

La normativa específica sobre comunicaciones recientes se ha reforzado, entre otras, con la Orden ISM/541/2026, que extiende la obligación de notificaciones electrónicas a nuevas prestaciones, especialmente:

• Personas físicas solicitantes o perceptoras de prestaciones de incapacidad temporal.
• Notificaciones relativas a incapacidad permanente y lesiones permanentes no incapacitantes.

Estas comunicaciones se ponen a disposición en la Sede Electrónica de la Seguridad Social (SEDESS). El sistema distingue entre:

• El aviso (SMS o correo electrónico) que informa de que hay una notificación pendiente.
• La notificación electrónica propiamente dicha, que es el documento con efectos jurídicos disponible en la sede; la falta de aviso no invalida la notificación correctamente depositada.

Plazos y modalidades de notificación

Una vez que el INSS deposita la notificación en la SEDESS, la persona interesada dispone en general de diez días naturales para acceder a ella. Si entra en ese plazo, la notificación se entiende practicada en el momento del acceso; si no lo hace, se considera rechazada, con los efectos legales correspondientes, sin necesidad de nuevo intento por parte de la Administración.

La normativa mantiene, no obstante, supuestos en los que se pueden utilizar medios no electrónicos:

• Cuando el INSS no dispone de datos de contacto electrónico para enviar avisos.
• Cuando resulte necesaria la entrega directa por un empleado público o exista una urgencia incompatible con el procedimiento ordinario.
• Cuando se haga preciso evitar situaciones de indefensión, en particular entre personas sin medios o habilidades digitales suficientes, que pueden ser atendidas en los CAISS, donde un funcionario puede asistirles incluso en el acceso a la sede electrónica.

Conclusión

En conjunto, el INSS concentra las competencias de reconocer, controlar, modificar y extinguir la mayor parte de las prestaciones económicas del sistema y, vinculada a esa potestad, la de notificar válidamente todas las resoluciones y requerimientos. La digitalización de estos procesos, articulada a través de la SEDESS y reforzada por normas como la Orden ISM/541/2026, pretende agilizar la gestión y reducir incidencias, pero se complementa con convenios de intercambio de datos y con canales presenciales para garantizar la protección efectiva de los derechos de las personas beneficiarias.

En España, sistemas como Cl@ve Permanente o el certificado digital deben cumplir un conjunto de requisitos legales y técnicos que vienen marcados por el derecho de la UE (sobre todo el Reglamento eIDAS) y por la normativa interna (Ley 39/2015, Ley 40/2015, reglamentos de administración digital y el Esquema Nacional de Seguridad).

1. Marco legal básico

Los pilares normativos son:

• Reglamento (UE) 910/2014, eIDAS: establece los niveles de garantía de la identificación electrónica (bajo, sustancial y alto) y el régimen de la firma y el sello electrónicos, especialmente los cualificados.
• Ley 39/2015, del Procedimiento Administrativo Común: reconoce los sistemas de identificación y firma admitidos por las AAPP, incluidos certificados electrónicos cualificados y sistemas de claves concertadas como Cl@ve.
• Ley 40/2015 y normativa de administración digital (por ejemplo, el reglamento de actuación y funcionamiento por medios electrónicos): regulan la interoperabilidad, sedes electrónicas y la obligación de las AAPP de admitir y mantener estos medios.
• Esquema Nacional de Seguridad (ENS): fija los requisitos de seguridad para los sistemas de información del sector público, aplicables a las plataformas de identificación.
• RGPD y Ley Orgánica de protección de datos: regulan el tratamiento de los datos personales asociados a la identificación (credenciales, trazabilidad de accesos, etc.).

2. Requisitos legales específicos

• Validez jurídica de la identificación: el sistema debe permitir vincular de forma inequívoca la identidad electrónica con una persona física o jurídica, de modo que las actuaciones tengan plena eficacia jurídica como si se realizaran presencialmente.
• Reconocimiento y admisión: las AAPP están obligadas a admitir los medios previstos en la ley. En particular, los certificados cualificados de firma y los sistemas de claves concertadas integrados en Cl@ve.
• Políticas de identificación y firma: deben existir políticas documentadas (políticas de certificación, de gestión de identidades, de firma), publicadas y coherentes con eIDAS y la normativa española.
• Responsabilidad y trazabilidad: la administración y, en su caso, el prestador de servicios de confianza responden de la correcta gestión del sistema; es obligatorio conservar evidencias electrónicas y registros de actividad durante los plazos legales.
• Protección de datos: deben cumplirse los principios de minimización, limitación de finalidad y seguridad. La autenticación no puede exponer más datos de los necesarios y suele requerirse una evaluación de impacto (EIPD) para sistemas de gran escala como Cl@ve.

3. Requisitos técnicos de los certificados digitales

Los certificados digitales que se usan en la administración (FNMT, Camerfirma, etc.) deben:

• Estar emitidos por prestadores cualificados de servicios de confianza inscritos en la lista de servicios de confianza de España (TSL de la UE).
• Ajustarse a los perfiles técnicos ETSI (formatos X.509, perfiles de certificados cualificados, mecanismos de revocación mediante OCSP/CRL).
• Garantizar la protección de claves, preferentemente mediante dispositivos criptográficos seguros (tarjetas o tokens cualificados, HSM en el caso de sellos).
• Ser interoperables con los formatos de firma admitidos por la administración (PAdES, XAdES, CAdES), de modo que puedan verificarse automáticamente en las sedes electrónicas.

4. Requisitos técnicos de sistemas como Cl@ve Permanente

Cl@ve Permanente es un sistema de claves concertadas con autenticación reforzada. Entre sus exigencias técnicas se incluyen:

• Autenticación multifactor: combinación de usuario/contraseña más un segundo factor (por ejemplo, código de un solo uso enviado al móvil), alineada con niveles de garantía sustancial o alto de eIDAS.
• Gestión del ciclo de vida de credenciales: alta, renovación, suspensión y revocación deben estar controladas, con verificación inicial de identidad (presencial o mediante certificado/registro previo).
• Cifrado y protección de comunicaciones: uso obligatorio de canales seguros (TLS), custodia robusta de contraseñas (hash + sal) y protección frente a ataques de fuerza bruta, phishing o robo de sesión.
• Registro y monitorización: logs de autenticación, detección de patrones anómalos, mecanismos de bloqueo temporal y alertas ante accesos sospechosos.
• Alta disponibilidad y continuidad de servicio: infraestructuras redundantes, planes de contingencia y recuperación ante desastres, dado que sirven de puerta de entrada a la mayoría de trámites.

5. Interoperabilidad, accesibilidad y usabilidad

• Interoperabilidad: integración con la Plataforma de Intermediación y demás servicios comunes de la administración, y compatibilidad con sistemas de identificación de otros Estados miembros conforme a eIDAS.
• Accesibilidad: las sedes y portales donde se usan estos sistemas deben cumplir las WCAG (normalmente nivel AA), de acuerdo con la normativa española de accesibilidad digital.
• Usabilidad e inclusión: exigencia creciente (aunque no siempre detallada en la norma) de reducir fricciones, ofrecer asistencia, canales alternativos y garantizar que colectivos menos digitalizados puedan utilizar o complementar estos mecanismos.