Identidad digital, Cartera IDUE, Firma electrónica, Archivo digital, blockchain, Medios de pago, eBanca, administración de justicia. administración pública, Seguridad Jurídica Preventiva Digital
Mañana, miércoles 21 de octubre de 2026, la Asociación Data Economy España celebra en Madrid su Jornada Economía del Dato 2026, con el lema «La Economía del Dato en la Era de los Agentes». Será una mañana de paneles y ponencias en el International Lab (iLAB) de Madrid Innova, en la calle de Bailén, 41. La inscripción es gratuita, aunque quedan pocas plazas: inscripción aquí.
Ismael Arribas, presidente de la asociación, me ha invitado a participar en el panel sobre el futuro de la identidad digital y la Cartera de Identidad Digital Europea, y aprovecho para contar de qué va la jornada y qué ideas pienso llevar.
Por qué una jornada sobre datos y agentes
La nota conceptual del evento parte de un dato llamativo: el volumen de datos generado en el mundo, que se calculaba en 33 zettabytes en 2018, se estimaba en 175 zettabytes para 2025. Y cambia también quién los procesa y cómo. Las organizaciones están incorporando agentes de inteligencia artificial en casi todas sus áreas de negocio, desde el desarrollo hasta las ventas, la atención al cliente o las finanzas: sistemas autónomos capaces de tomar decisiones y planificar tareas complejas con una supervisión humana mínima. Según la misma nota, el número de identidades no humanas y de agentes podría superar los 45.000 millones a finales de este año.
Esa realidad plantea preguntas de soberanía del dato, regulación, ciberseguridad e identidad digital, que son precisamente los ejes de la jornada.
El programa
09:15 – 09:30 · Recepción de asistentes.
09:30 – 09:40 · Apertura y bienvenida, a cargo del presidente de la Asociación Data Economy España.
09:40 – 10:00 · Keynote: Estrategia europea para la estandarización, a cargo de Coen Janssen, Policy Officer «Data Policy and Innovation» de la DG CONNECT de la Comisión Europea.
10:05 – 10:55 · Panel: El futuro de la Identidad digital y la Cartera digital europea. Modera Raúl López (Sybol ID), con Jesús Díaz Vico (IOG) y Julián Inza (EADTrust).
11:05 – 11:50 · Sesión técnica y regulatoria: Confianza, Soberanía y Cumplimiento: Navegando el AI Act de la UE y el Cibersecurity and Resilience Act. Modera María J. Alonso (Qaleon), con Alfredo Muñoz (Tritemius), David Arroyo (CSIC) y Susana López (GNOSS). El foco: los marcos de supervisión imprescindibles para mitigar los riesgos éticos y legales de las decisiones automatizadas por agentes de IA, y los nuevos espacios de datos sectoriales regulados.
11:55 – 12:45 · Mesa redonda: El futuro de la inversión. Modera Emilio Prado (Epunto Interim Management), con Miguel Ángel Domínguez (Alastria) y Juan José Engo (TRITEMIUS).
12:45 – 13:05· Keynote de David Arroyo (CSIC).
13:05 – 13:15 · Clausura y conclusiones.
13:15 – 14:30 · Vino de honor.
Participan representantes de las empresas socias de la asociación (Qaleon, GNOSS, Tritemius, QCentroID, Digitel TS, Grupo Renault, Sybol y Epunto Interim Management), además de Alastria, Cyberlur, investigadores y expertos independientes.
Lo que llevaré al panel sobre identidad digital y Cartera
2026, el año de las carteras; 2027, el de las partes usuarias
2026 es el año en que los Estados miembros deben poner a disposición de sus ciudadanos la Cartera de Identidad Digital Europea, y 2027 el año en que los sectores regulados, como la banca, deberán aceptarla. En España, además, está en tramitación el real decreto que regulará el ecosistema de la Cartera. El reto ya no es tecnológico: es que las partes usuarias estén preparadas para integrarla en sus procesos.
Mucho más que identificación: las declaraciones de atributos
La Cartera no es solo un medio de identificación. Su verdadero valor está en las declaraciones electrónicas de atributos, cualificadas o no, que permiten acreditar títulos, poderes de representación o la existencia de un contrato. Un ejemplo: el alta de un cliente en un banco en la que la persona se identifica con los datos de su Cartera, firma el contrato con un certificado cualificado y recibe en la propia Cartera una declaración que acredita el contrato custodiado por un prestador cualificado.
La siguiente frontera: la identidad de la IA agéntica
Después de las personas y de las empresas, llegan sus agentes. Si un agente de IA firma un pedido, acepta unas condiciones o concede un crédito, las preguntas son las mismas que para una persona: quién es, en nombre de quién actúa, hasta dónde llega su mandato y cómo se prueba después. Los prestadores de servicios de confianza llevamos dos décadas respondiendo a esas preguntas, y creo que la solución para los agentes va por el mismo camino:
Certificados para agentes de IA vinculados a una entidad, parecidos a los de empleado, con un identificador de política (OID) que indique que el titular es un agente autorizado por esa entidad, vigencia corta, revocación inmediata y el alcance del mandato expresado en el propio certificado. Su encaje natural es la Cartera Empresarial Europea, donde la empresa acredita sus poderes y puede delegar en el agente una parte de ellos, con trazabilidad.
Certificados para agentes personales, configurados como persona física que actúa en nombre de sí misma, también marcados con un OID que advierta a quien los recibe de que no está tratando con un humano.
Evidencias con valor legal de lo que hace cada agente. El Reglamento de IA exige registros automáticos y supervisión humana efectiva; los sellos de tiempo cualificados, el archivo electrónico cualificado y los registros con orden cronológico garantizado (lo que en Tallin llamábamos qDLT) convierten esos registros en prueba. Lo explicaba hace unas semanas en «De la conservación cualificada de firmas y sellos a los servicios cualificados de archivo con orden cronológico (qDLT)».
No es una idea aislada. En la Global Digital Collaboration Conference de Ginebra, a principios de septiembre, varias sesiones trataron la identidad de los agentes y su vinculación con las carteras digitales, incluida una sobre agentes que actúan con la Cartera Empresarial Europea. En el IETF ya circulan borradores individuales de perfiles de certificado para agentes de IA, y la ITU-T y la OpenID Foundation trabajan en la identidad de la IA agéntica. Pero falta lo esencial en Europa: un perfil normalizado en ETSI que encaje con eIDAS. Es el momento de hacerlo, antes de que cada plataforma invente el suyo.
Si estáis en Madrid, será un buen momento para debatir cómo hacer que las identidades digitales, también las de los agentes de IA, sean dignas de confianza. ¡Nos vemos allí!
Quien siga de cerca la transición a la criptografía postcuántica habrá notado que en los últimos seis meses el tema ha pasado de las recomendaciones genéricas a los calendarios con fechas, las normas técnicas aplicables y los estándares de protocolo publicados. Al mismo tiempo, una pieza que muchos esperábamos para este año, el estándar de firma FN-DSA (FIPS 206), sigue sin aparecer. En esta entrada repaso lo más relevante: normativa y pautas públicas, estándares de NIST, ETSI e IETF, la evolución de los certificados TLS y las herramientas abiertas para elaborar el inventario criptográfico.
FIPS 206 (FN-DSA): todavía no
En agosto de 2024 NIST publicó los tres primeros estándares postcuánticos: FIPS 203 (ML-KEM, mecanismo de encapsulado de claves derivado de CRYSTALS-Kyber), FIPS 204 (ML-DSA, firma basada en retículos derivada de CRYSTALS-Dilithium) y FIPS 205 (SLH-DSA, firma basada en funciones hash derivada de SPHINCS+). El cuarto, FIPS 206, debía especificar FN-DSA, la firma derivada de Falcon (de ahí el nombre: FFT over NTRU-Lattice-Based Digital Signature Algorithm), cuyo atractivo son unas firmas mucho más compactas que las de ML-DSA (en torno a 666 bytes en el nivel I frente a los 2.420 de ML-DSA-44).
A fecha de hoy FIPS 206 no se ha publicado, ni siquiera como borrador para comentarios públicos (initial public draft). En abril de 2026, Dustin Moody (NIST) indicaba en el foro PQC que el borrador seguía en la cadena de aprobación administrativa, sin fecha concreta. Y el 28 de septiembre de 2026 el equipo de FIPS 206, a través de Ray Perlner, presentó un nuevo plan sometido a discusión:
Un único procedimiento de firma, especificado con el detalle suficiente para validarse con vectores de prueba conocidos (KAT).
Aritmética de punto fijo en la generación de claves y en la firma (inicialmente 32.32 y 64.64), en lugar de la de punto flotante, que es la que hace de Falcon un algoritmo delicado de implementar de forma segura y reproducible.
Las variantes optimizadas se aprobarían más adelante en publicaciones especiales (SP) separadas, con sus propios KAT y separación de dominio.
Cambiar decisiones de diseño a estas alturas sugiere que el borrador tardará todavía unos meses, y que después vendrá el periodo de comentarios y la versión final. Para quien necesite firmas postcuánticas hoy, las opciones estandarizadas siguen siendo ML-DSA (Dilithium) y SLH-DSA (SPHINCS+) y, para firmware, los esquemas con estado LMS y XMSS de la SP 800-208.
NIST sí ha movido otras piezas en 2026: el borrador de la SP 800-230 (13 de abril), con nuevos juegos de parámetros de SLH-DSA (SPHINCS+) para casos de uso con un número limitado de firmas; el borrador de la SP 800-133r3 (17 de abril) sobre generación de claves; y el paso de nueve candidatos a la tercera ronda del proceso de firmas adicionales (NIST IR 8610, mayo). El estándar del segundo KEM, HQC (Hamming Quasi-Cyclic, basado en códigos correctores de errores), seleccionado en marzo de 2025 como alternativa a ML-KEM (Kyber) basada en otro problema matemático, también está pendiente de borrador.
El calendario ya tiene fechas
La novedad más importante del año no es técnica sino de planificación: Europa, España y Estados Unidos coinciden ya en un calendario muy parecido.
«k) para la transición hacia una criptografía postcuántica, teniendo en cuenta los calendarios de transición y los requisitos pertinentes establecidos en los actos jurídicos y políticas de la Unión aplicables.»
El considerando 8 explica el porqué: la posibilidad de ataques basados en «recopilar ahora para descifrar más adelante», «que probablemente ya están teniendo lugar», los riesgos futuros de falsificación de firmas mediante ataques cuánticos y la retirada progresiva de los algoritmos de clave pública actuales «hacen aún más urgente iniciar acciones de migración a la criptografía poscuántica». Pide que esas políticas incluyan herramientas para evaluar la exposición de los activos criptográficos, un plan de migración y pruebas de implantación, que fomenten soluciones europeas verificadas y sometidas a evaluación formal, y que se ajusten a la hoja de ruta del Grupo de Cooperación SRI, «logrando así la migración a la criptografía poscuántica de aquí a 2030 para los casos de uso crítico y de aquí a 2035 para los casos de uso de nivel medio y bajo». Es todavía una propuesta, sujeta al procedimiento legislativo ordinario, pero convierte la hoja de ruta en una obligación de los Estados.
En el ámbito de la certificación de productos, ENISA y el subgrupo de criptografía del ECCG sometieron a consulta pública, hasta finales de julio de 2026, la versión 3 de los Agreed Cryptographic Mechanisms del esquema europeo EUCC, la referencia de mecanismos criptográficos aceptados para productos certificados.
31 de diciembre de 2026: estrategia y gobernanza definidas, inventario criptográfico, clasificación de casos de uso y pilotos en marcha para los sistemas de riesgo alto y medio.
31 de diciembre de 2030: migración completada en los sistemas de riesgo alto.
31 de diciembre de 2035: migración completada en los de riesgo medio y, en lo posible, en los de riesgo bajo.
La guía recomienda soluciones híbridas al menos en las primeras etapas: en el establecimiento de claves, combinar al menos dos mecanismos (intercambio clásico, intercambio postcuántico o claves precompartidas) mediante una función de derivación; en firmas, hibridar las basadas en retículos (ML-DSA y FN-DSA), mientras que las basadas en hash (XMSS y SLH-DSA) no lo requieren. Entre los KEM cita ML-KEM, HQC y FrodoKEM, que considera la opción más conservadora. Insiste en la criptoagilidad como criterio de diseño, en el gobierno del programa (comité, oficina PQC, equipos técnicos) y en su alineamiento con el ENS, NIS2, DORA y el RGPD, y recuerda el teorema de Mosca para estimar el margen disponible: si el tiempo que deben protegerse los datos más el tiempo de migración supera el plazo hasta que exista un ordenador cuántico relevante, el problema ya está aquí. Para elegir productos remite a la guía CCN-STIC 221 de mecanismos autorizados y al apartado Quantum Resistant del catálogo CPSTIC.
En septiembre, el secretario de Estado de Telecomunicaciones e Infraestructuras Digitales, Antonio Hernando, anunció en el encuentro de AMETIC en Santander que el Gobierno elaborará un inventario de sistemas, empezando por la Administración General del Estado, y un calendario de migración que situaría el inicio de la transición de los sistemas más críticos en 2030-2031. Por ahora no hay real decreto ni orden ministerial: es un anuncio de plan, que conviene seguir.
Estados Unidos
La orden ejecutiva 14412, Securing the Nation Against Advanced Cryptographic Attacks, de 22 de junio de 2026, endurece los plazos federales: criptografía postcuántica para el establecimiento de claves en los activos de alto valor y sistemas de alto impacto antes del 31 de diciembre de 2030, y para las firmas antes del 31 de diciembre de 2031. El memorando OMB M-26-15 que la acompaña pide además un inventario criptográfico automatizado que alimente un CBOM central. En el sector privado, Google anunció el 25 de marzo su objetivo de estar preparada en 2029, con ML-DSA incorporado a Android 17 para el arranque verificado y la atestación.
ETSI TS 119 312: los prestadores de servicios de confianza ya tienen reglas
Para los prestadores cualificados de servicios de confianza la publicación más relevante del semestre es la ETSI TS 119 312 V2.1.1 (junio de 2026), Cryptographic Suites, la especificación que establece qué algoritmos y longitudes de clave son adecuados para firmas, sellos y certificados en el ecosistema eIDAS. La versión 2 supone un cambio de enfoque:
Incorpora ML-DSA (Dilithium; parámetros 44, 65 y 87) y SLH-DSA (SPHINCS+) como algoritmos recomendados, y LMS y XMSS de forma condicionada a una gestión estricta del estado.
Define un marco de firmas híbridas (cláusula 6.4), con combinaciones recomendadas como RSA-PSS de 3.000 bits o más con ML-DSA-65.
Fija fechas de fin concretas: los certificados con claves RSA de menos de 3.000 bits no deberían emitirse después del 31 de diciembre de 2026, y su validez no debería ir más allá de 2028.
Exige protección postcuántica (híbrida o por sustitución) cuando la validez de lo protegido se extienda más allá de 2030, tanto para RSA como para ECDSA.
No incluye todavía FN-DSA (Falcon), por la razón ya explicada, ni ML-KEM (Kyber), que no es un algoritmo de firma. Y remite el calendario detallado de migración a un documento específico de ETSI que aún está en elaboración.
En España, el abandono de RSA-2048 por los prestadores no es solo una recomendación técnica: tiene mandato del organismo supervisor. La Subdirección General para la Sociedad Digital, de la Secretaría de Estado de Digitalización e Inteligencia Artificial, publicó en octubre de 2025 la Nota sobre la migración del algoritmo RSA, dirigida a los prestadores cualificados y no cualificados que usan RSA. Les exige cumplir el Anexo 1 de la guía CCN-STIC 807 del Centro Criptológico Nacional, según el cual a partir del 1 de enero de 2027 los certificados RSA que se sigan emitiendo deberán usar módulos de al menos 3.000 bits. Los prestadores cualificados que tengan jerarquías con claves más cortas deben generar otras nuevas y acreditarlo con un informe técnico de un organismo de evaluación de la conformidad que incluya, como mínimo, la evidencia de la ceremonia de generación de claves (o con el informe de su auditoría, si se realiza antes del 31 de diciembre de 2026). Ya lo comenté en «Actualización urgente para las administraciones públicas en relación con las firmas electrónicas», porque las Administraciones deben adaptar sus sedes y plataformas de firma para aceptar los nuevos certificados.
Norma europea y supervisor nacional coinciden, por tanto: 2026 es el último año para emitir certificados RSA-2048, y quien firme o selle documentos que deban conservar su valor más allá de 2030 debe planificar ya la hibridación con algoritmos postcuánticos.
En otro ámbito, ETSI ha publicado el informe técnico TR 104 171 (versión 1.1.1, de marzo de 2026, difundido en septiembre) con pautas de implementación para generadores cuánticos de números aleatorios (QRNG), que introduce el concepto de «confianza cero en la entropía».
En la parte de cifrado, la que protege frente a la recolección de tráfico para descifrarlo en el futuro, el IETF ha cerrado este año los documentos que faltaban:
TLS: el intercambio de claves postcuántico ya es estándar
RFC 9954 (julio de 2026), de carácter informativo, define la construcción general del intercambio de claves híbrido en TLS 1.3: se combinan un algoritmo clásico y uno postcuántico y el secreto resultante es seguro mientras lo sea cualquiera de los dos.
RFC 10024, Post-Quantum Traditional (PQ/T) Hybrid Key Agreement Mechanisms for TLS 1.3 (agosto de 2026), en vía de estándar, la concreta en tres grupos: X25519MLKEM768, el único marcado como recomendado en el registro de IANA y el que ya negocian por defecto los principales navegadores, y SecP256r1MLKEM768 y SecP384r1MLKEM1024, pensados para entornos cuyas normas exigen curvas NIST.
El borrador de ML-KEM sin componente clásico en TLS fue aprobado por el IESG en septiembre, está en la cola del RFC Editor y se publicará como RFC informativa; en el registro de IANA figura como no recomendado, frente al híbrido.
Es decir, las orientaciones del IETF coinciden con las del CCN: híbrido primero. Activar X25519MLKEM768 en servidores, balanceadores y CDN es hoy una de las acciones con mejor relación entre coste y beneficio.
La autenticación: certificados más cortos y Merkle Tree Certificates
La autenticación postcuántica es más difícil por una cuestión de tamaño. Una firma ML-DSA-44 (Dilithium) ocupa unos 2.420 bytes, frente a los 64 de ECDSA P-256; con las varias firmas y claves públicas que viajan en un handshake TLS (certificado, cadena, transparencia), la sustitución directa llevaría el handshake por encima de los 10 KB, con un impacto apreciable en la latencia. ML-DSA ya está definido para certificados X.509 en el RFC 9881 (octubre de 2025), pero su despliegue masivo en la web es otra cosa.
Por eso cobra interés el trabajo del grupo IETF PLANTS sobre los Merkle Tree Certificates (MTC): la autoridad de certificación emite los certificados en lotes, firma una sola vez la raíz del árbol de Merkle y los navegadores reciben esas firmas por separado, de modo que en el handshake solo viaja una prueba de inclusión. Let’s Encrypt anunció en junio que tendrá un entorno de pruebas con MTC a finales de 2026 y uno de producción en 2027, y Cloudflare y Chrome están experimentando con el mismo esquema.
En paralelo avanza la reducción de la duración de los certificados TLS acordada en el CA/Browser Forum (votación SC-081v3, abril de 2025): desde el 15 de marzo de 2026 el máximo es de 200 días, que bajará a 100 días en marzo de 2027 y a 47 días en marzo de 2029. La justificación principal es reducir la dependencia de una revocación que no funciona bien y la vigencia de datos de validación obsoletos, pero hay un argumento que interesa especialmente aquí: la criptoagilidad. Una organización que renueva sus certificados cada pocas semanas de forma automatizada (con ACME) puede cambiar de algoritmo, de clave o de autoridad de certificación en un ciclo de renovación; una que gestiona certificados de un año a mano, no. La renovación frecuente es, en la práctica, el ensayo general de la migración postcuántica.
El primer paso: inventario y CBOM con herramientas abiertas
Todas las guías coinciden en que el primer paso es saber qué criptografía se usa, dónde y para proteger qué información durante cuánto tiempo. El formato que se está imponiendo para documentarlo es el CBOM (Cryptography Bill of Materials), incorporado al estándar CycloneDX en su versión 1.6 (abril de 2024), que describe algoritmos, claves, certificados, protocolos y bibliotecas de un sistema y sus dependencias.
Entre las herramientas abiertas destaca CBOMkit, ahora bajo el paraguas de la Post-Quantum Cryptography Alliance de la Linux Foundation, que incluye un visor, un generador de CBOM y un plugin para SonarQube (sonar-cryptography) que detecta el uso de criptografía en el código fuente. En 2026 ha añadido soporte para Go, además de Java y Python, y está migrando su salida a CycloneDX 1.7. Un CBOM generado a partir del código, combinado con el inventario de certificados y configuraciones TLS de la infraestructura, es exactamente lo que piden tanto la guía del CCN como el memorando M-26-15.
Qué hacer ahora
Con lo publicado en estos meses, la lista de tareas para una entidad grande queda bastante definida:
Gobierno: nombrar responsables y aprobar un plan con presupuesto antes de que termine 2026, como pide el CCN.
Inventario y CBOM: descubrir la criptografía de aplicaciones, infraestructura y proveedores, y clasificar los casos de uso por riesgo y por tiempo de vida de la información.
Quick wins: activar el intercambio de claves híbrido X25519MLKEM768 en TLS y automatizar la renovación de certificados.
Firmas de larga duración: revisar qué documentos, sellos y evidencias deben conservar su valor más allá de 2030 y planificar firmas híbridas conforme a la ETSI TS 119 312.
Proveedores: incluir la criptoagilidad y la hoja de ruta postcuántica en los requisitos de compra.
Formación: preparar a los equipos técnicos y de cumplimiento, porque la migración será larga y afectará a casi todos los sistemas.
Cómo puede ayudar EADTrust
En EADTrust llevamos tiempo trabajando en esta transición. Nuestras jerarquías de certificación ya combinan RSA de 4.096 y 8.192 bits con curva elíptica ECC de 256 y 384 bits, precisamente para tener margen de criptoagilidad (por eso la nota del supervisor sobre RSA no nos ha afectado), y acompañamos a otras organizaciones en el mismo camino:
Formación en computación cuántica y criptografía postcuántica, in company y en abierto. Impartimos el curso de computación cuántica y criptografía postcuántica y lo adaptamos a cada organización, de forma presencial, en línea o híbrida, para que los equipos entiendan qué cambia, por qué y cómo abordarlo. Además, una vez al año celebramos una edición en abierto, presencial, que tendrá lugar cada año en torno al 14 de abril, Día Mundial de la Cuántica. La edición de 2026, con la metodología ENSAR y los modelos del IQC Kit, que permiten «tocar» los conceptos que se explican, se celebró los días 22 y 23 de abril (más información en «Evento formativo sobre computación cuántica y criptografía postcuántica en abril de 2026, con la metodología ENSAR»). Puede consultar el resto de nuestra oferta formativa en la página de cursos EADTrust.
Acompañamiento profesional en la migración de sistemas criptográficos de entidades grandes: inventario y CBOM, análisis de riesgos y priorización, hoja de ruta alineada con el calendario europeo y la guía del CCN, diseño de soluciones híbridas y adaptación de infraestructuras de clave pública. Ya estamos trabajando en estos aspectos con dos grandes clientes.
Si su organización necesita empezar o acelerar su transición postcuántica, puede contactar con nosotros:
En abril de 2021, dos meses antes de que la Comisión presentara su propuesta de revisión de eIDAS, se cerró el Study to support the impact assessment for the revision of the eIDAS regulation, el estudio de apoyo a la evaluación de impacto elaborado por PwC y DLA Piper para la DG CNECT. Son 248 páginas que sirvieron de base técnica y económica a la propuesta que acabó convertida en el Reglamento (UE) 2024/1183, el que conocemos como eIDAS2.
Releerlo cinco años después resulta muy instructivo: permite ver qué problemas se identificaron, qué alternativas se barajaron, cuáles se eligieron y cuánto se ha transformado el mercado de la identidad digital desde entonces. En esta entrada resumo el estudio y hago ese repaso.
El punto de partida: el diagnóstico de 2021
El estudio partía de una constatación: el Reglamento eIDAS de 2014 había dado seguridad jurídica a los servicios de confianza y se había convertido en una referencia mundial, pero la parte de identificación electrónica no estaba funcionando como se esperaba. Los problemas que identificaba eran estos:
Cobertura insuficiente. Seis años después de eIDAS, los esquemas notificados cubrían solo a un 59 % de la población de la UE, y el 41 % de los ciudadanos no podía usar ninguna identificación electrónica fiable en otro país.
Uso transfronterizo testimonial. Las autenticaciones transfronterizas con identidades notificadas no llegaban a 10.000 al año, frente a millones de usos nacionales.
Limitación al sector público. eIDAS solo obligaba a reconocer identidades para servicios públicos, que son de uso poco frecuente: los entrevistados calculaban que un ciudadano necesita identificarse 1,5 veces al año ante la Administración y diez veces más ante servicios privados. En Suecia, solo el 7 % de las 4.100 millones de autenticaciones con BankID de 2019 correspondían a servicios públicos.
Ausencia de un marco para los atributos. Las credenciales que acreditan títulos, certificados médicos o cualificaciones profesionales quedaban fuera de eIDAS, lo que obligaba a cada país y sector a crear sus propios marcos.
Privacidad mejorable. eIDAS transmitía siempre el conjunto mínimo de datos completo, no permitía la divulgación selectiva y no admitía las pruebas de conocimiento cero.
Problemas en los servicios de confianza. Había divergencias nacionales en la supervisión y la evaluación de la conformidad, no estaba regulada la verificación remota de la identidad, el archivo electrónico carecía de reglas comunes y los navegadores se negaban a reconocer los certificados cualificados de autenticación de sitios web (QWAC).
Sobre todo, el estudio describía un mercado en el que los gobiernos habían dejado de ser los proveedores dominantes de identidad. Seis grandes plataformas (Facebook, Google, Instagram, LinkedIn, Twitter y Amazon) acaparaban el 87 % de los inicios de sesión sociales en Europa y se usaban en más de 50.000 servicios. A ellas se sumaban los bancos (con BankID como referencia nórdica), los operadores móviles con Mobile Connect, las empresas de identidad digital (Yoti, Onfido…), las redes de identidad derivada (Verimi, Yes, Mastercard) y los proveedores de identidad como servicio. El temor explícito era que, sin regulación, unas pocas plataformas aumentasen su dominio, con dependencia para los proveedores de servicios, cautividad de los usuarios y pérdida de autonomía digital europea.
Las cuatro opciones que se estudiaron
Opción 0, sin cambios: mantener eIDAS y completarlo solo con actos de ejecución y con los efectos de otras normas, como la Ley de Mercados Digitales.
Opción 1, reforzar el marco existente: obligar a los Estados a ofrecer identidades notificadas a todos los ciudadanos, ampliar el conjunto de datos, facilitar su uso por el sector privado, simplificar las revisiones inter pares y crear el archivo electrónico como servicio de confianza.
Opción 2, crear un mercado de atributos: un nuevo servicio de confianza cualificado para intercambiar atributos vinculados a la identidad legal (edad, títulos, permisos de conducir, certificados médicos), con acceso de los prestadores a las fuentes auténticas.
Opción 3, una cartera de identidad personal: un marco jurídico y técnico para una aplicación móvil controlada por el usuario, con dos variantes de despliegue: por prestadores cualificados privados o por los gobiernos (directamente, por mandato o mediante reconocimiento).
La conclusión fue que la mejor solución era combinar las opciones 1, 2 y 3. Y eso es, en esencia, lo que hizo el legislador: el Reglamento 2024/1183 refuerza el marco de identificación, crea las declaraciones electrónicas de atributos (cualificadas y del sector público) y establece la Cartera de Identidad Digital Europea, cuya provisión sigue siendo responsabilidad de los Estados miembros, de forma directa, por mandato o mediante reconocimiento.
Algunas cifras del estudio
El estudio cuantificaba los costes y beneficios de cada opción. Algunas estimaciones son especialmente interesantes vistas hoy:
El desarrollo y despliegue inicial de una cartera se estimaba en unos 10 millones de euros para 2021-2023.
Obtener la cualificación como prestador de un nuevo servicio de confianza costaría de media 545.000 euros iniciales y 255.000 euros anuales.
Conectar un proveedor de servicios a un nodo eIDAS costaba unos 42.000 euros.
El intercambio de atributos podría ahorrar al sector financiero entre 410 y 1.360 millones de euros al año en incorporación de clientes y cumplimiento de las obligaciones de diligencia debida, y reducir el fraude en entre 850 y 1.400 millones, con hipótesis de adopción del 20 % al 33 %.
Se citaban previsiones de crecimiento del mercado mundial de identidad de entre el 13 % y el 20 % anual.
Qué ha pasado desde entonces
Del estudio a la norma, y de la norma a la técnica
La propuesta se presentó en junio de 2021 y, tras casi tres años de negociación, el Reglamento 2024/1183 entró en vigor en mayo de 2024. Desde entonces se ha publicado una avalancha de actos de ejecución (más de treinta, que he ido recogiendo en el blog) y se ha desarrollado el marco técnico de la cartera: el ARF, que ya va por la versión 3.0, los protocolos OpenID4VCI y OpenID4VP, las normas ISO/IEC 18013-5 y 18013-7 y la serie ETSI TS 119 472. Los Estados miembros deben tener su cartera disponible a finales de 2026, y las partes usuarias privadas obligadas deben aceptarla a finales de 2027.
Muchos de los problemas de los servicios de confianza que señalaba el estudio tienen hoy respuesta normativa: la verificación remota de la identidad (CIR 2025/1566 y ETSI TS 119 461), el archivo electrónico cualificado (CIR 2025/2532), la acreditación armonizada de los organismos de evaluación de la conformidad (CIR 2025/2162) y los QWAC, cuya coexistencia con los certificados web de los navegadores regula el CIR 2025/2527. A ellos se suman servicios que el estudio no contemplaba, como los libros registro electrónicos cualificados.
De los pilotos al despliegue
Entre 2023 y 2025, los primeros pilotos a gran escala (POTENTIAL, EWC, NOBID y DC4EU) probaron la cartera en casos reales, y hoy les han tomado el relevo APTITUDE y WE BUILD. En diciembre de 2025, el primer Launchpad reunió en Bruselas a los equipos nacionales para probar la interoperabilidad, y la segunda edición, a finales de este mes, ya está pensada para el lanzamiento. La estimación de 10 millones por cartera contrasta con experiencias como la de Rumanía, que ha construido su cartera nacional en seis meses reutilizando componentes de código abierto alemanes: la implementación de referencia de la Comisión y el código abierto han abaratado la entrada mucho más de lo que se preveía.
Las plataformas, contenidas, pero no ausentes
El estudio temía la consolidación de las grandes plataformas como guardianes de la identidad. La respuesta ha llegado por dos vías: la Ley de Mercados Digitales y la obligación de las plataformas en línea de muy gran tamaño de aceptar la Cartera de Identidad Digital Europea cuando exijan autenticación. Pero las plataformas no se han quedado quietas: sus carteras móviles ya almacenan documentos de identidad en algunos mercados fuera de la UE, y los navegadores han incorporado la Digital Credentials API, por la que pasará buena parte de la presentación remota de credenciales. La competencia ya no está en el inicio de sesión social, sino en quién controla la interfaz en la que el usuario guarda y presenta sus credenciales.
Algunas de las alternativas que citaba el estudio han desaparecido o se han reorientado. Libra, la moneda de Facebook mencionada como ejemplo de identidad ligada a pagos, se abandonó en 2022 tras convertirse en Diem. Los esquemas nacionales consolidados, como itsme en Bélgica, han optado por convivir con la cartera en lugar de competir con ella.
De los atributos al ecosistema
La opción 2 del estudio se ha materializado en las declaraciones electrónicas de atributos, pero el mercado aún está en sus inicios. Según el resumen de una de las sesiones del Launchpad 2026, en septiembre solo tres de los unos 250 prestadores cualificados europeos tenían en producción un servicio de declaraciones electrónicas cualificadas de atributos, y todavía no había ningún organismo de evaluación acreditado para él. El ahorro que el estudio atribuía al intercambio de atributos sigue siendo, por tanto, una promesa.
El cambio de mirada sobre los intermediarios
Quizá la evolución más llamativa sea esta. En 2021, el estudio veía como ventaja de la cartera que «reduciría la necesidad de intermediarios», al permitir que el ciudadano se comunicara directamente con los proveedores de servicios y de credenciales, y dejaba el modelo de negocio sin prescribir. Cinco años después, el informe de la Comisión sobre modelos de negocio sitúa a los intermediarios en el centro del ecosistema: serán ellos quienes incorporen a las partes usuarias y a los emisores, gestionen miles de relaciones contractuales y redistribuyan los ingresos. La experiencia ha demostrado que ningún proveedor de cartera puede gestionar por sí solo miles de partes usuarias.
Lo que sigue pendiente
Algunas de las preocupaciones de 2021 siguen abiertas:
Las pruebas de conocimiento cero, cuya ausencia criticaba el estudio, siguen en discusión. La verificación de edad se resuelve por ahora con declaraciones de un solo uso y atributos como «mayor de 18», mientras se debate cómo incorporar soluciones más flexibles.
La financiación del ecosistema choca con el principio de no observabilidad, que impide facturar por uso sin mecanismos específicos de privacidad.
La responsabilidad de cada actor del ecosistema sigue sin un marco claro.
El riesgo de fragmentación, que motivó la revisión, reaparece ahora en otra forma: veintisiete despliegues nacionales con opciones distintas de modelo de negocio, casos de uso y funcionalidades.
¿Cuánto vale el mercado? Lo que dicen las consultoras
El estudio de 2021 se limitaba a citar previsiones de crecimiento del 13 % al 20 % anual para el mercado mundial de identidad. Cinco años después, he buscado estimaciones más recientes del mercado de identidad digital basada en carteras con horizonte 2030-2035. Lo que hay es escaso y poco homogéneo:
Previsiones europeas demasiado optimistas. ABI Research preveía en 2024 83 millones de Carteras de Identidad Digital Europea en circulación a finales de 2025 y 169 millones en 2026, y que el objetivo del 80 % de ciudadanos con cartera se alcanzaría en 2032, dos años más tarde de lo previsto. La realidad va más lenta: a finales de septiembre de 2026, ningún país había completado el despliegue, solo Italia, Francia y Finlandia estaban claramente avanzados y Suecia no espera lanzar su cartera antes de 2028.
No he encontrado ningún estudio solvente que cuantifique en euros el mercado europeo de servicios ligados a la Cartera de Identidad Digital Europea para 2031 o 2036. El propio informe de la Comisión sobre modelos de negocio evita deliberadamente dar cifras.
Una referencia más sólida: la verificación de identidad en el alta de clientes
Un mercado comparable, y mucho mejor medido, es el de la verificación de identidad para el alta remota de clientes, sobre todo en banca. Es el de los sistemas de documento más biometría facial que ofrecen empresas como Onfido (integrada en Entrust desde 2024), Jumio, Veriff, IDnow, Signicat, Sumsub, Mitek, IDEMIA, Thales, GBG, Trulioo, AU10TIX o Shufti Pro, entre otras. Este es precisamente el mercado que la cartera puede transformar, porque permite sustituir la foto del documento y el selfie por la presentación de un PID de nivel alto.
MarketsandMarkets estima el mercado mundial de verificación de identidad en 14.340 millones de dólares en 2025 y 33.360 millones en 2031, con un crecimiento anual del 15,1 %. El mayor segmento por aplicación es el de KYC, KYB y alta de clientes.
Para Europa, Market Data Forecast lo sitúa en 4.190 millones de dólares en 2025 y 15.330 millones en 2034, con un crecimiento anual del 15,5 %. La banca, los servicios financieros y los seguros suponen el 39,3 % de la demanda, y el informe cita eIDAS 2.0 como factor del mercado.
Estas cifras dan una idea del orden de magnitud que está en juego: miles de millones al año que hoy se pagan por comprobar identidades con métodos que la cartera puede abaratar. El informe de la Comisión calcula, con datos de PwC, unos 10,4 euros por cada KYC básico de una persona física. La cuestión no es tanto si ese mercado desaparecerá como quién lo capturará. Lo más probable es que los actuales proveedores de verificación de identidad se reconviertan en intermediarios de la cartera: ya tienen las relaciones con los bancos, la integración técnica y la experiencia en cumplimiento. Varios de ellos, como Signicat o IDnow, participan activamente en los foros del ecosistema de la cartera. Para los prestadores cualificados, la oportunidad está en combinar ese papel con los servicios que solo nosotros podemos prestar: certificados cualificados, firma a distancia y declaraciones electrónicas cualificadas de atributos.
Conclusión
El estudio de 2021 acertó en el diagnóstico y en la solución: la combinación de identidad notificada reforzada, declaraciones de atributos y cartera es la que recoge el Reglamento 2024/1183. Donde más ha cambiado la visión es en la economía del ecosistema: de una cartera que eliminaría intermediarios hemos pasado a un ecosistema que depende de ellos, y de un modelo de negocio sin definir a un debate abierto sobre quién paga y cómo. Para los prestadores de servicios de confianza, las oportunidades que el estudio vislumbraba (expedición de declaraciones de atributos, firma a distancia, intermediación) son hoy más concretas que nunca, aunque el mercado esté todavía despegando.
La Comisión Europea ha publicado la agenda del EUDI Wallets Launchpad 2026, la segunda edición del encuentro de los equipos que despliegan la Cartera de Identidad Digital Europea. Se celebrará los días 29 y 30 de octubre de 2026 en The Egg (Rue Bara 175, Anderlecht), junto a la estación de Bruselas-Midi, y como el año pasado será solo con invitación.
La agenda es muy completa, pero la web obliga a ir pinchando sesión a sesión, cambiando de día y abriendo cada ficha para saber de qué trata y quién interviene. Por eso he preferido reunirla aquí en una sola página, junto con un breve repaso de lo que fue la primera edición y de cómo ha cambiado el enfoque.
Qué fue el Launchpad 2025
La primera edición se celebró del 10 al 12 de diciembre de 2025 en SPARKS (Bruselas) y la resumí en la entrada «EUDI Wallets Launchpad 2025 y Cartera de España». Fue el primer evento de pruebas de varios días organizado por la Comisión para los implementadores de la cartera, con un objetivo claro: crear comunidad y comprobar la interoperabilidad, la conformidad con las especificaciones y la preparación para el uso transfronterizo.
Combinó rondas de pruebas técnicas entre carteras, emisores y verificadores (cientos de pruebas en dos modalidades), sesiones técnicas sobre las normas de base, seudónimos, pruebas de conocimiento cero, la Digital Credentials API y las bibliotecas de referencia, demostraciones de carteras nacionales y talleres de experiencia de usuario y comunicación pensando en el despliegue masivo de 2026.
España tuvo un papel destacado: Ángel Martín Bautista (Agencia Estatal de Administración Digital) presentó la estrategia de la cartera española y Sancho Canela (NTT Data) hizo una demostración técnica, con la verificación de edad como primer caso de uso, el DNI electrónico como fuente de identidad de nivel alto y la expedición de datos PID por la FNMT.
Cómo ha cambiado el enfoque en 2026
Si 2025 fue el evento de las pruebas, 2026 es el del lanzamiento. La Comisión lo presenta como «Launchpad 2.0» y como una celebración del trabajo de los Estados miembros en sus carteras nacionales, que deben estar disponibles antes de que termine el año. Los cambios principales son:
Dos días en lugar de tres, organizados en torno a tres lemas: Work it (pruebas y talleres de cocreación), Show it (demostraciones, ponencias y paneles) y Share it (feria, expositores y networking).
Las pruebas pasan de la interoperabilidad a la preparación operativa. Se busca validar cómo funcionan las soluciones juntas en condiciones reales, con sistemas en desarrollo para producción y no con demos simplificadas, y está abierto a todos los Estados miembros sea cual sea su grado de madurez. Hay una nueva versión del Testing Playbook.
Más actores invitados: además de los equipos nacionales, los pilotos a gran escala APTITUDE y WE BUILD, los organismos de evaluación de la conformidad, laboratorios de pruebas, organismos de normalización y partes usuarias y emisores, tanto públicos como privados.
La infraestructura de confianza entra en las pruebas. Los participantes usarán el eIDAS Dashboard y las listas de entidades de confianza (LoTE) en el entorno de aceptación: proveedores de PID, de permisos de conducir móviles y de carteras, y prestadores de certificados de acceso de partes usuarias.
Las especificaciones de referencia son las que ya recogen los actos de ejecución: OpenID4VCI 1.0, OpenID4VP 1.0 y su perfil HAIP, ISO/IEC 18013-5 y 18013-7 (anexo C), la serie ETSI TS 119 472, ETSI TS 119 602 (listas de entidades de confianza) y la Token Status List del IETF.
El programa se abre a nuevos temas: modelos de negocio, partes usuarias e intermediarios, inteligencia artificial y agentes, inclusión y accesibilidad, certificación, y la proyección del modelo europeo fuera de la UE.
Jueves 29 de octubre
Tras la bienvenida de la maestra de ceremonias Claire Doole y la intervención inaugural de la Comisión sobre el estado del despliegue y lo que cabe esperar en 2027, la jornada se organiza en varios bloques temáticos. La sesión de pruebas de interoperabilidad funciona en paralelo durante todo el día.
Mercado y modelos de negocio
Markets for wallets – insights from EU-wide business model study: Francesco Aicardi (Comisión Europea) presenta las conclusiones del estudio de la Comisión sobre la sostenibilidad del ecosistema, del que hablé en «¿Quién paga la Cartera de Identidad Digital Europea?»: dónde crea valor la cartera, por qué las partes usuarias pagarían por datos verificados y cómo pueden ayudar los intermediarios.
Panel Markets for Wallets – From the ground up, moderado por Francesco Aicardi, con Florian Andreae (DSGV, las cajas de ahorros alemanas), Luigi Castaldo (Namirial) y Benjamin Ledwon (Amadeus).
Panel Working with the market, sobre la integración de la cartera con las soluciones nacionales existentes, con Wim Coulier (itsme), Christine Mahieu (SPF BOSA, Bélgica) y Mirko Calvaresi (PagoPA, Italia).
Marco de confianza
Paolo de Rosa (Comisión Europea) enmarca las dos jornadas con el estado de la implementación técnica, y Asa Barton (Comisión Europea) introduce el marco de confianza.
Beyond the checkbox – Trust and compliance for the wallet ecosystem: Apostolos Apladas, Olivier Barette y Thoke Magnussen (Comisión Europea) explican el nuevo marco de confianza de la cartera y muestran el eIDAS Dashboard.
Enabling Trust in EUDI Wallets: A QTSP Perspective: Riho Kurg (Zetes) presenta la visión de un prestador cualificado con un SDK de cartera y dispositivos remotos cualificados en producción.
Partes usuarias e intermediarios
Panel Go-between: practical perspectives on Relying party onboarding, moderado por Madis Ehastu (Comisión Europea), con Robert Poznański (Asseco Data Systems), Irene Hernández (Gataca), Herbert Leitold (A-SIT, Austria) y Esther Makaay (Signicat), sobre cómo acelerar la incorporación de partes usuarias y el papel de los intermediarios.
Getting Relying Parties Engaged – Questions and Concerns from the Trenches: Esther Makaay (Signicat) repasa los obstáculos prácticos de las partes usuarias, sobre todo en el uso transfronterizo.
Interoperabilidad, código abierto y normalización
From Open Source to National Scale: The Romania-Germany Wallet Story: Viky Manaila (Cloud Signature Consortium) y Adrian Bieschke (Ministerio Federal alemán de Transformación Digital) cuentan cómo Rumanía construyó su cartera nacional en seis meses reutilizando componentes de código abierto alemanes.
Panel Wallet interoperability in practice, moderado por Karen Cooleman, con Esther Makaay (Signicat), Anthony Carmoy (France Identité) y Sabine Otto (Comisión Europea).
ISO standards and the EUDI-wallet, 2026 and beyond: Remco Schaar (ISO) repasa las normas ISO aplicables a la cartera y las que están en preparación.
Inteligencia artificial y agentes
Who’s behind the Agent? CIO perspective on AI: Paolo de Rosa (Comisión Europea) plantea si los agentes de IA pueden autenticarse y firmar transacciones, y cómo.
Who Signs When Your Agent Does the Deal?: Andrea Valle (Adobe) aborda la delegación, la responsabilidad y el papel de la cartera en la confianza de los agentes autónomos.
Demostración Trust and Authorisation in the Age of AI, de Alexis Delamare Debouttevile (Verifiables).
Más allá de Europa y casos de uso
Panel Lessons from digital identity deployments across the globe, moderado por Tamsin Rose, con Soshi Hamaguchi (Agencia Digital de Japón), Chris Goh (ASEAN), Vicente Andreu Navarro (Comisión Europea) y David Taylor (OfDIA, Reino Unido).
The importance of the travel & mobility use case: Matteo Mannino (Comisión Europea) introduce la demostración de viajes y movilidad.
Talleres
Reducing friction of in-store verification: cómo mejorar la verificación presencial en comercios (NFC o QR, accesibilidad, preautorización).
Cross-border mDL revocation & signalling: cómo comunicar entre países la revocación de los permisos de conducir móviles (listas de estado, RESPER, credenciales de corta duración).
EUDI Wallets communication campaigns: mensajes, medios y gestión de crisis ante el lanzamiento en todos los Estados miembros.
DG AGRI – Wallets for Farmers: taller cerrado sobre las necesidades del sector agroalimentario de cara a las carteras de identidad y de empresa.
Viernes 30 de octubre
Inclusión y experiencia de usuario
Inclusion Starts With “I”: Thea Kirsch (Common Codes) comparte la experiencia alemana de trabajo con la sociedad civil y personas con necesidades diversas.
Panel Implementing inclusion – the EUDI Wallets experience, moderado por Verena Sczech (Comisión Europea), con Mike Alders (Ayuntamiento de Ámsterdam), Susanna Laurin (CEN-CENELEC) y Chris Wan (Common Codes).
How to Balance UX with Security: Pawel Tkaczyk (Centro de TI de Polonia, COI) explica cómo el equipo polaco ha diseñado la seguridad sin sacrificar la experiencia de usuario.
UX Lessons for Organisations integrating EUDI Wallets: Adrian Doerk (Lissi) y Wim Coulier (itsme) explican por qué itsme no se convertirá en una cartera EUDI y cómo sus conexiones con partes usuarias pueden facilitar la aceptación de la cartera.
Protocolos, privacidad y firma
Know Nothing: ZKP in Age Verification and Pseudonyms: Peter Altmann (Siros Foundation) sobre los límites de las declaraciones estáticas del tipo «mayor de 18» y el papel de las pruebas de conocimiento cero.
OpenID Foundation – a deep dive into VP/VCI/HAIP 1.0: Gail Hodges y Joseph Heenan (OpenID Foundation) presentan las pruebas de conformidad de código abierto ya disponibles.
From Citizen to Company: The CSC API as the Common Signing Backbone for Europe’s Wallets: Viky Manaila (Cloud Signature Consortium) defiende la API CSC como base común de la firma a distancia para la cartera de los ciudadanos y la European Business Wallet.
A look under the Hood: The Reference Implementation: Simo Karpinnen (NiScy) repasa la implementación de referencia de código abierto.
Certificación, conformidad y servicios cualificados
How to tackle the uncertainty and help to build the ecosystem of trust: Lenka Gondova (NBU, Eslovaquia) presenta el esquema eslovaco de certificación.
Trusting Wallets – Certification & conformance: Oliver Terbu (Comisión Europea) presenta el marco de pruebas de conformidad funcional de la Comisión.
From Trusted List to wallet: what it really takes to run a QEAA service in production: Serafim Gomez (Digital Sign) cuenta la experiencia de poner en producción un servicio de declaraciones electrónicas cualificadas de atributos. Según el resumen de la sesión, en septiembre de 2026 solo tres de los aproximadamente 250 prestadores cualificados europeos tenían este servicio en producción y aún no había ningún organismo de evaluación acreditado para él.
Casos transfronterizos, pagos y marcos de confianza
Bringing X-border use cases to life: Iris Speiser y Boris Ligl (DATEV eG) aportan su experiencia como socio de lanzamiento nacional y como responsables de un grupo de casos de uso de WE BUILD.
The importance of the Payments use case: Francesco Aicardi (Comisión Europea) introduce la demostración de pagos.
Building a Global Trust Framework for Digital Identity: Steffen Schwalm (msg) sobre la normalización internacional de la identidad digital de empresas y sus representantes, con libros registro electrónicos cualificados y la European Business Wallet.
El modelo europeo fuera de la UE y la comunidad
EUDI Wallets Beyond Europe: Christopher Tullis (Banco Mundial) explica cómo el Banco Mundial ayuda a otros países a alinearse con el modelo EUDI, seguido de un panel moderado por Tamsin Rose con Argena Prendi (Albania) y Milan Vojdovic (Ministerio de Información y Telecomunicaciones de Serbia), centrado en los Balcanes occidentales, Europa del Este y el Cáucaso Sur.
ID Campus y panel Sandboxes – Innovative community building initiatives from the Member States, moderado por Claire Doole, con Anthony Carmoy (France Identité), Camille Gaella, Jade Pasquier (ID Campus) y Steve Pannifer (FIME), sobre el Playground UNFOLD y el ID Campus franceses.
Talleres y cierre
Taller EUDI Wallet Catalogues (CoA & CoSA), sobre el catálogo de atributos y el catálogo de esquemas de declaraciones, y los flujos de notificación en el eIDAS Dashboard.
Taller Credential design & presentation flow, para armonizar cómo se muestran las credenciales en las distintas carteras.
Entrega de los Testing Awards a los resultados de las dos jornadas de pruebas, y clausura de la Comisión.
Ponentes ya confirmados
La página de ponentes todavía no muestra la lista completa, pero la agenda ya permite identificar a muchos de ellos:
Comisión Europea: Francesco Aicardi, Paolo de Rosa, Asa Barton, Apostolos Apladas, Olivier Barette, Thoke Magnussen, Madis Ehastu, Vicente Andreu Navarro, Matteo Mannino, Sabine Otto, Verena Sczech y Oliver Terbu.
Administraciones y organismos públicos de los Estados miembros: Adrian Bieschke (Alemania), Christine Mahieu (SPF BOSA, Bélgica), Mirko Calvaresi (PagoPA, Italia), Anthony Carmoy (France Identité), Pawel Tkaczyk (Centro de TI de Polonia, COI), Lenka Gondova (NBU, Eslovaquia), Mike Alders (Ayuntamiento de Ámsterdam) y Herbert Leitold (A-SIT, Austria).
Prestadores de servicios de confianza y empresas de identidad: Riho Kurg (Zetes), Luigi Castaldo (Namirial), Serafim Gomez (Digital Sign), Robert Poznański (Asseco Data Systems), Esther Makaay (Signicat), Irene Hernández (Gataca), Wim Coulier (itsme), Adrian Doerk (Lissi), Alexis Delamare Debouttevile (Verifiables), Steffen Schwalm (msg), Iris Speiser y Boris Ligl (DATEV), Steve Pannifer (FIME), Jade Pasquier (ID Campus) y Simo Karpinnen (NiScy).
Otros sectores: Florian Andreae (DSGV), Benjamin Ledwon (Amadeus) y Andrea Valle (Adobe).
Normalización e inclusión: Viky Manaila (Cloud Signature Consortium), Gail Hodges y Joseph Heenan (OpenID Foundation), Remco Schaar (ISO), Susanna Laurin (CEN-CENELEC), Peter Altmann (Siros Foundation), Thea Kirsch y Chris Wan (Common Codes).
Ámbito internacional: Soshi Hamaguchi (Agencia Digital de Japón), Chris Goh (ASEAN), David Taylor (OfDIA), Christopher Tullis (Banco Mundial), Argena Prendi (Albania) y Milan Vojdovic (Serbia).
Maestras de ceremonias y moderadoras: Claire Doole, Tamsin Rose y Karen Cooleman.
Lo que más me interesa
Como prestador cualificado, seguiré con especial atención cuatro sesiones:
La presentación del estudio sobre modelos de negocio, por si aporta datos adicionales sobre quién pagará el ecosistema y qué papel tendrán los intermediarios.
Los paneles sobre partes usuarias e intermediarios, porque sin partes usuarias privadas no habrá círculo virtuoso.
La experiencia de poner en producción un servicio de declaraciones electrónicas cualificadas de atributos. El dato que adelanta el resumen (tres prestadores de unos 250, sin organismos acreditados) confirma que estamos al principio y que hay mucho espacio para los prestadores que den el paso.
Las sesiones sobre certificación, marco de confianza y firma a distancia, que afectan directamente al trabajo diario de los prestadores.
Quedan por anunciar las demostraciones, los expositores y la información práctica, que la web marca como «próximamente». Actualizaré esta entrada cuando se publiquen.
Lo que ha preparado EADTrust
En EADTrust nos hemos preparado por si finalmente se admite nuestra propuesta de demostración para el Launchpad. Se trata del alta de un nuevo cliente en un banco en la que EADTrust actúa como intermediario y realiza todas las funciones que la entidad financiera tendría que implementar para operar en el ecosistema de la Cartera de Identidad Digital Europea.
El proceso tiene cinco pasos:
Información previa. Antes de empezar se explica al usuario todo el proceso, de modo que su consentimiento sea plenamente informado y no exista vicio del consentimiento.
Alta en EADTrust con la cartera. El usuario se identifica presentando el PID de su cartera y, a partir de esa identificación, se le generan la clave y el certificado cualificado en un HSM preparado para la firma a distancia.
Alta en la entidad financiera. Sin acciones adicionales por parte del usuario, se le da de alta en el banco. Este genera el contrato con los datos del PID que exige la normativa de prevención del blanqueo de capitales (PBC), y el cliente puede consultarlo desde su cartera.
Firma del contrato. Si el cliente está de acuerdo, lo confirma, y se realiza la firma electrónica cualificada del contrato con su consentimiento y bajo su control exclusivo de la clave. El contrato firmado se remite a la entidad financiera y queda en el servicio de Custodia Digital del prestador, a disposición del cliente. En la cartera se conserva una DECA que acredita el contrato firmado, con su referencia, su huella y el enlace a la custodia, para futuras consultas.
Acceso al banco. Una vez finalizada el alta, el cliente accede a la banca en línea y puede navegar por sus menús.
La Comisión Europea (DG CNECT) ha publicado el Business Models Study Report – EUDI Wallet Ecosystem Sustainability and Business Models, un estudio de 62 páginas sobre cómo hacer sostenible el ecosistema de la Cartera de Identidad Digital Europea. La propia Comisión lo presenta como una base para el debate sobre el crecimiento y la sostenibilidad a largo plazo del ecosistema, y destaca tres ideas: la propuesta de valor de la cartera para las partes usuarias, la importancia de la cooperación público-privada y el papel clave de los intermediarios.
Es un documento que muchos esperábamos, porque aborda la pregunta que lleva años sobrevolando todas las reuniones sobre la cartera: si el uso es gratuito para los ciudadanos, ¿quién paga el ecosistema? Lo he leído con atención y comparto aquí sus ideas principales y algunas reflexiones como prestador cualificado de servicios de confianza.
Conviene empezar por una advertencia que el propio informe hace: sus recomendaciones no son vinculantes, no fija precios ni modelos contractuales y respeta la autonomía de los Estados miembros. Es un marco de referencia para la discusión, no una norma.
El ecosistema como círculo virtuoso
El informe describe el ecosistema a partir de sus roles: usuarios, proveedores de carteras, proveedores de datos de identificación personal (PID), emisores de declaraciones electrónicas de atributos (públicos y privados), prestadores de firma electrónica cualificada, fuentes auténticas, partes usuarias e intermediarios. Todo ello se apoya en dos capas transversales: el marco jurídico del Reglamento y una capa de gobernanza de la confianza (certificación de carteras, registro de emisores y partes usuarias, supervisión y listas de confianza).
La tesis central es la de un círculo virtuoso: más usuarios atraen a más partes usuarias, que generan más valor e ingresos, que a su vez financian la incorporación de nuevos emisores y casos de uso, lo que atrae a más usuarios. Y la cadena de valor se simplifica en una idea muy clara: el valor está en los datos que custodian los emisores, que llegan a través de la cartera a las partes usuarias, y son estas las que, por los ahorros y las oportunidades que obtienen, estarían dispuestas a pagar. Ese flujo económico tendría que redistribuirse después hacia proveedores de carteras, emisores e intermediarios.
El valor para las partes usuarias
El informe agrupa las necesidades de las partes usuarias en cuatro tipos de riesgo: de seguridad, de cumplimiento, financiero y de fraude. Hoy los mitigan con herramientas tecnológicas, procesos manuales, seguros o la externalización de comprobaciones, todo ello costoso. La cartera puede reducir esos costes e incluso eliminar la raíz de algunos riesgos, porque disminuye la necesidad de conservar datos personales.
Como referencia cita un coste de unos 10,4 € por cada KYC básico de una persona física (dato de PwC de 2022) y propone ejemplos como la contratación de personal (verificación de títulos), el alquiler de vehículos (identidad, permiso de conducir y seguros) o la venta en línea de productos con restricción de edad.
Pero el informe insiste en que la cartera no es solo una herramienta para reducir costes: también abre nuevas oportunidades de negocio. Y reconoce algo importante: en los países con sistemas de identidad electrónica maduros, muchos de esos casos de uso ya funcionan. Allí el reto no es demostrar que hay quien está dispuesto a pagar, sino explicar qué aporta la cartera adicionalmente: interoperabilidad transfronteriza, revelación selectiva de datos y control del usuario sobre sus datos.
Cuatro fases de despliegue
El estudio propone un despliegue en cuatro fases, que no tienen por qué seguirse de forma lineal:
Lanzamiento. Liderado por el sector público y financiado con fondos públicos. Los Estados miembros proporcionan al menos una cartera «núcleo», aprovechando las soluciones de identidad electrónica existentes y su base de usuarios. Los primeros casos de uso son la identificación y la autenticación, primero ante organismos públicos y después ante las partes usuarias privadas obligadas a aceptar la cartera. El informe recuerda que todos los Estados deben tener una cartera operativa antes del 1 de enero de 2027 y que las partes usuarias privadas obligadas deberán aceptarla a finales de 2027.
Expansión. Entran las partes usuarias privadas voluntarias, atraídas por la base de usuarios y por declaraciones de atributos públicas como el permiso de conducir móvil. Empiezan a probarse cuotas de acceso e integración.
Comercialización. Se incorporan emisores privados de declaraciones electrónicas de atributos, cualificadas o no, y aparecen nuevas carteras, incluidas carteras sectoriales. Aquí los intermediarios pasan a ser imprescindibles.
Consolidación. Los intermediarios compiten entre sí, gestionan las relaciones comerciales y reparten los ingresos de forma equilibrada, también entre países.
El informe advierte de un riesgo propio de la primera fase: los casos de uso públicos movilizan a muchos usuarios, pero se usan con poca frecuencia (la declaración de la renta se hace una vez al año). Por eso es necesario pasar pronto a casos de uso privados de alta frecuencia para no perder impulso.
Cinco opciones de monetización
El estudio identifica cinco mecanismos, combinables entre sí:
Cuotas por transacción, por cada solicitud de verificación de una parte usuaria.
Cuotas por usuario, según los usuarios activos o el público alcanzable.
Cuotas de integración técnica, por conectores, API o plataformas, con pagos únicos o suscripciones.
Cuotas de acceso, a modo de afiliación para registrarse como parte usuaria y solicitar determinados atributos.
Financiación pública, que no es un modelo comercial pero sirve para arrancar el ecosistema.
Menciona una sexta posibilidad: cobrar al usuario por la expedición de atributos. El Reglamento exige que la expedición, el uso y la revocación de la cartera sean gratuitos para las personas físicas, pero no la expedición de los atributos que contiene. El informe la considera legal y técnicamente viable, igual que hoy se cobran tasas por un certificado de nacimiento o un permiso de conducir, pero la descarta como motor del ecosistema por el riesgo de frenar la adopción.
La propuesta es combinar estas opciones según la fase: financiación pública en el lanzamiento, cuotas de acceso e integración en la expansión, y cuotas por transacción o por usuario cuando los intermediarios estén consolidados.
El «problema de la privacidad»
Esta es, a mi juicio, la parte más delicada del informe. Los modelos por transacción o por usuario chocan con el principio de no observabilidad del Reglamento, que impide a los proveedores de carteras conocer el uso que el ciudadano hace de ella. Una factura detallada a una parte usuaria podría revelar qué usuario presentó qué atributo y cuándo. El informe llega a señalar que esta limitación podría impedir incluso recopilar datos agregados de uso, como el número de usuarios activos.
Como posibles soluciones menciona el informe técnico ETSI TR 119 479-2 sobre servicios de validación extendida de declaraciones electrónicas de atributos, el análisis económico del piloto EWC, soluciones de mercado que combinan presentación y pago en una única operación «atómica», cámaras de compensación anónimas y la facturación a través de intermediarios que actúan por cuenta de las partes usuarias. Pide además guías más detalladas sobre qué recopilación de datos es admisible.
Los intermediarios, protagonistas
Si hay un mensaje que se repite en todo el documento es que los intermediarios serán el motor comercial del ecosistema. Su función: facilitar la incorporación técnica de emisores y partes usuarias, gestionar el volumen de contratos (el informe pone el ejemplo de 10 carteras certificadas y 10.000 partes usuarias, con lo que ningún proveedor de cartera podría negociar y mantener 10.000 contratos), orquestar el reparto de ingresos, impulsar los casos de uso transfronterizos y convencer a nuevos emisores de que pongan sus datos a disposición.
El informe recomienda incorporarlos desde el lanzamiento, porque considera que serán imprescindibles en la fase de comercialización, y prevé que el rol de intermediario será más rentable que el de proveedor de cartera. Las empresas privadas que ofrezcan carteras lo harían más por la ventaja estratégica y por los servicios complementarios que por ingresos directos.
Riesgos y recomendaciones
El estudio identifica cuatro riesgos que podrían romper el círculo virtuoso:
un ecosistema limitado al sector público, sin viabilidad comercial;
la limitación o el bloqueo de la entrada de actores privados;
la aparición de ecosistemas privados paralelos de carteras no conformes, con menos garantías de privacidad;
la fragmentación por enfoques nacionales divergentes en implantación, funcionalidades y mecanismos de cobro.
Las recomendaciones se agrupan en dos bloques. A los Estados miembros les pide Initiate (proporcionar la cartera certificada apoyándose en la identidad electrónica existente), Open-up (mantener el ecosistema abierto a nuevos actores y funcionalidades) y Entrust (permitir que actores privados participen como proveedores de carteras e intermediarios). A los actores privados les pide Connect (incorporarse como emisores, partes usuarias, proveedores de carteras, prestadores cualificados o intermediarios y desarrollar las API y herramientas), Expand (convertir necesidades reales en nuevos casos de uso) y Collect (aportar valor económico al ecosistema y redistribuirlo preservando la privacidad).
Como próximos pasos, la Comisión anuncia debates de seguimiento con los Estados miembros y los pilotos a gran escala, la incorporación de elementos de modelo de negocio a los manuales de casos de uso y el seguimiento de cómo se configuran en la práctica los modelos de negocio en cada país.
Mi lectura como prestador cualificado de servicios de confianza
El informe acierta en lo esencial: sin partes usuarias privadas dispuestas a pagar por un valor real, la cartera se quedará en una infraestructura pública de uso esporádico. Y es valiente al reconocer que la tensión entre la no observabilidad y los modelos de cobro por uso no está resuelta. Pero hay algunos aspectos que me parece importante señalar.
Los prestadores cualificados aparecen poco. El estudio se centró en el mercado de identidad electrónica y no en el de los servicios de confianza, porque consideró que este último no estaba suficientemente maduro: según el informe, en el momento del análisis la expedición y verificación de declaraciones electrónicas de atributos cualificadas para personas físicas era «inexistente» en Europa. Es comprensible, pero precisamente por eso los prestadores cualificados tenemos que hacernos visibles. Muchas de las funciones que el informe atribuye a los intermediarios (incorporar emisores, digitalizar fuentes de datos, expedir declaraciones, gestionar la confianza) encajan de forma natural con lo que ya hacemos. El propio documento precisa que, cuando un intermediario apoya a emisores, actúa de hecho como proveedor de declaraciones electrónicas de atributos.
La responsabilidad sigue siendo una incógnita. El informe reconoce que el Reglamento no establece principios sobre la responsabilidad en el ecosistema y que los emisores piden garantías al respecto. Sin un reparto claro de responsabilidades, será difícil convencer a los emisores privados.
El rol de intermediario necesita definición. Los propios entrevistados piden clarificar sus funciones y sus requisitos de certificación. Si los intermediarios van a concentrar el acceso al ecosistema, su régimen jurídico no puede quedar en el aire.
La firma cualificada gratuita. El informe interpreta que la gratuidad de la firma electrónica cualificada para fines no profesionales no debería alterar gravemente el modelo de negocio de los prestadores, siempre que los Estados miembros eviten abusos. Será clave cómo se concrete el concepto de «fines no profesionales».
Los escépticos del KYC. Es llamativo que, mientras el informe usa el KYC bancario como ejemplo principal de ahorro, parte de los entrevistados considere que su valor aún no está demostrado y señale como más prometedores casos como el registro en hoteles o el alta de eSIM.
En EADTrust estamos preparando nuestro servicio de expedición y verificación de declaraciones electrónicas de atributos, tanto cualificadas como no cualificadas, también para el mercado privado de credenciales. Este informe confirma que ese es uno de los espacios donde se jugará la sostenibilidad del ecosistema: los atributos privados que hoy no están digitalizados son, en palabras del propio estudio, el valor que aún no se ha activado.
En España, con el proyecto de Real Decreto sobre el ecosistema de la cartera en tramitación, sería una buena ocasión para incorporar algunas de estas ideas: un ecosistema abierto a los actores privados desde el inicio, un papel definido para los intermediarios y los prestadores cualificados, y reglas claras sobre cómo financiar el sistema sin comprometer la privacidad.
Si quieres comentar el informe o explorar cómo encajan las declaraciones electrónicas de atributos en tu organización, puedes escribirme a julian.inza@eadtrust.com o contactar con EADTrust en en info@eadtrust.com.
Escribo desde Poznań, donde hoy, 14 de octubre, arranca el Trusted Economy Forum 2026. Como adelanté en Rumbo a Poznań: Trusted Economy Forum 2026, este foro se ha consolidado como una de las citas centroeuropeas de referencia sobre identidad digital y servicios de confianza. En aquel artículo hice una presentación general; en este quiero repasar con más detalle la agenda de los dos días y quiénes intervienen en cada sesión.
El lema de esta edición es «Connected by Trust». El foro se celebra en el edificio Concordia Design (calle Zwierzyniecka 3), a pocos minutos andando de la estación de tren, y lo organiza Obserwatorium.biz. Las sesiones son en inglés con traducción simultánea al polaco. La edición de 2025 reunió a más de 300 participantes de 15 países.
El programa se articula en seis módulos, tres por día, que combinan presentaciones breves (de unos 15 minutos) con muchos debates. Lo resumo a continuación.
Día 1 — miércoles 14 de octubre
Módulo 1: On the way to European Digital Identity Wallets
El primer bloque plantea una pregunta directa: ¿estamos preparados para la Cartera de Identidad Digital Europea?
Giorgia Dragoni (Observatorio de Identidad Digital del Politecnico di Milano) abre con la keynote «EUDI wallets landscape and its national strategies», un panorama de las estrategias nacionales de cartera.
Joanna Koczorowska (COI, el Centro de Tecnologías de la Información polaco, que es además patrocinador honorífico estratégico del foro) presenta «Ready for Polish EUDI Wallet!», sobre el estado de la cartera polaca.
Michał Tabor y Piotr Sterczała (Obserwatorium.biz) presentan el informe «Making the EUDI Wallet a Success».
Debate «Europe’s Digital Identity Ecosystem: from trust infrastructure to global reference model – is this the realistic scenario?», moderado por Andras A. Barsi (Aruba), con Katarzyna Zajkowska (Ministerio de Asuntos Digitales de Polonia), Katarzyna Seroczyńska (COI), Lal Chandran (iGrant.io), Jan Szajda (IDENTT) y Edgars Stafeckis (Trustlynx).
Elżbieta Andrukiewicz (Instituto Nacional de Telecomunicaciones de Polonia) explica la certificación de la cartera en «EUDI Wallet Certification in Practice: The Polish Experience and Future Perspectives».
Marco Mangiulli (Aruba) cierra el módulo con «Beyond the Wallet: Building Europe’s Next Trust Infrastructure».
Módulo 2: Trust trends
Nuevos servicios, mercados y tecnologías. Es el módulo más cercano a los temas que trato habitualmente en este blog.
Doble sesión sobre criptografía postcuántica: Martin Stiefel (Allaris) pregunta «Is your organisation ready for the post-quantum world?» y Piotr Rydlichowski (Centro de Supercomputación y Redes de Poznań, PCSS) plantea «Post-quantum – buzzword or real threat?».
Debate «Electronic Attestations of Attributes: The Missing Link in Digital Business Transformation?» sobre las declaraciones electrónicas de atributos, moderado por Marcin Wolski (Obserwatorium.biz), con Viktor Varga (Microsec) y Sebastian Elfors (IDnow Trust Services).
Aleksandra Nowak (IDENTT) aborda la integración de las partes usuarias en «EUDI Wallet relying party integration».
Jakub Kwiatkowski (PCSS) habla de confianza y procedencia en la inteligencia artificial: «Trust and Provenance in AI».
Debate «Business Wallet – what is it all about?», moderado por Arno Fiedler (Nimbus; vicepresidente de ETSI TC ESI), con Marcin Szulga (Asseco Data Systems), Szymon Mamrot (coordinador nacional de la Pasarela Digital Única, Ministerio de Desarrollo Económico y Tecnología) e Iñigo Barreira (Sectigo; también vicepresidente de ETSI TC ESI).
Grzegorz Sokołowski (GS1 Polonia) cierra con «Digital Product Passport and the Future of Trusted Data Exchange».
Tras la comida hay un interludio muy apropiado para la ciudad: Oliwier Sakowski, del Centro del Cifrado Enigma de Poznań, presenta «From Enigma to Modern Cryptography». Conviene recordar que fueron tres matemáticos formados en la Universidad de Poznań —Marian Rejewski, Jerzy Różycki y Henryk Zygalski— quienes rompieron por primera vez la criptografía de la máqiina Enigma, utilizada por Alemania en la segunda guerra mundial, a comienzos de los años treinta. En julio de 1939, semanas antes de la invasión alemana, compartieron sus resultados, sus réplicas de la máquina y el diseño de su bomba criptológica con los servicios de inteligencia británico y francés. Sobre esa base trabajó Alan Turing en Bletchley Park: su Bombe británica perfeccionó la idea polaca y permitió descifrar de forma sistemática las comunicaciones alemanas durante la guerra. Turing, que en 1936 ya había sentado las bases teóricas de la computación con su «máquina universal», es hoy una figura de referencia de la informática, y la historia de Enigma ilustra bien algo que seguimos aplicando en criptografía: la seguridad de un sistema no debe depender del secreto del algoritmo, sino de la solidez de las claves y de su correcta gestión.
Karen Mkoyan (imID) presenta el caso de Armenia: «Digital Trust Beyond the EU: Armenia’s eIDAS-Aligned Digital Trust Ecosystem».
Debate «Building a successful partnership between supervisory bodies and national QTSPs», moderado por Jon Ølnes (Signicat), con Michał Kowalewski-Li (Ministerio de Asuntos Digitales de Polonia), Artur Miękina (Asseco Data Systems), Andrea Röck (ANSSI) y Andrea Sassetti (Aruba PEC; presidente de AssoCertificatori Italia).
La jornada termina con una discusión abierta y, por la noche, con la velada de networking «Connected by Trust» en el propio Concordia Design.
Día 2 — jueves 15 de octubre
Módulo 1: Trust in action!
Implantación real de servicios de confianza, carteras y verificación de identidad en empresas y administraciones.
Andreas Freitag (Procivis): «Implement EUDI Wallet (Fast) – What are the options?».
Debate «The World of Payment, Identity and Super Wallets: One Ecosystem or Competing Digital Universes?», moderado por Beata Galas, con Jarek Sygitowicz (Authologic), Kevin Meijer (Betaalvereniging Nederland; responsable de pagos de consumo en el consorcio WE BUILD) y Tomasz Chomicki (Samsung Electronics Polonia).
Debate «Building the EUDI Wallet Ecosystem Together: Why Market Collaboration Is Essential?», moderado por Piotr Sterczała, con Piotr Brewiński (FinTech Poland), Maciej Mironiuk (Visa), Anna Koźlik (COI) y Jakub Banaś (BNP Paribas Bank Polska).
Karol Ciechoński (Ayuntamiento de Lublin) aporta la visión de la administración local: «Local administration view on new digital ecosystem».
Módulo 2: Customer in the centre!
Experiencia de usuario y modelos de negocio.
Bart Jurkowski (I’MPRO): «Ready for the Unexpected – Acting Effectively in a World of Change and Uncertainty».
Gran debate «Sector Solutions or Shared Digital Infrastructure?», moderado por Miłosz Brakoniecki (Obserwatorium.biz), con Grzegorz Wójcik (Autenti), Edgars Stafeckis (Trustlynx), Anna Sienkiewicz (ING Leasing), Andrzej Ochocki (Deutsche Telekom), Bartosz Witkowski (Signius) y Tomasz Litarowicz (Asseco Data Systems).
Adrian Doerk (Lissi) sobre la experiencia de usuario de la cartera y los retos para las partes usuarias.
Arno Fiedler (Nimbus) presenta «Proving What’s Real: C2PA, Content Credentials and the Future of Digital Trust», sobre la autenticidad del contenido digital.
Debate «What Customers Really Need», moderado por Remigiusz Lewandowski, con Piotr Andruszkiewicz (eIDAS Easy), Andrzej Zduńczyk (BIK), Krzysztof Król (UODO, la autoridad polaca de protección de datos) y Marek Pieróg (Siepomaga.pl).
Tomasz Nogol (MONET+): «Digital Identity in Insurance 2027: Opportunities You Can’t Afford to Miss».
Después de la comida, Marcin Bielicki (SENSE) habla de «habilidades blandas» para equipos de innovación, y le sigue el debate «Zero Trust Meets Digital Trust: Rethinking the Security of Electronic Transactions», moderado por Krzysztof Bogacki, con Agata Kolorz-Lentini (Autenti), Piotr Rutkowski (NASK; vicepresidente de la Asamblea General de EUROPEUM-EDIC) y Robert Poznański (Asseco Data Systems).
Módulo 3: Global Trust Services
Interoperabilidad y expansión internacional de los servicios de confianza.
Guillaume Forget (Cloud Signature Consortium; Cryptomathic): «CSC as interoperability pillar in the Trusted Digital Economy», sobre el uso de la firma electrónica más allá de los contratos (cumplimiento, prevención del fraude, facturación electrónica y cadenas de suministro).
Charla con Xavier Juredieu (EUROPEUM-EDIC; consorcio WE BUILD) sobre la hoja de ruta de EUROPEUM-EDIC y EBSI, moderada por Miłosz Brakoniecki.
Alessia Soccio (Entaksi Solutions): «Trust services as a factor of European Sovereignty – the e-Archive Case».
Michał Tabor (Obserwatorium.biz): «How to build PanEuropean eDelivery».
Debate final «How to build a bridge of trust and digital identity between Asia, America and Europe?», moderado por Guillaume Forget, con Andreea Prian (IDAKTO), Svetlanna Maleryan (imID), Łukasz Jaromin (Raidiam), Igor Marcolongo (InfoCert, grupo Tinexta) y Melany Pașca (Edge Institute, Rumanía).
La clausura está prevista para las 16:30 del jueves.
Lo que más me interesa
De un programa tan denso, hay varias sesiones que seguiré con especial atención:
El debate sobre declaraciones electrónicas de atributos. Es probablemente el servicio de confianza nuevo de eIDAS 2 con más recorrido comercial, y la pregunta del título —¿el eslabón perdido de la transformación digital de las empresas?— es exactamente la que nos hacemos los prestadores cualificados.
La relación entre organismos de supervisión y prestadores cualificados. Tener en la misma mesa al ministerio polaco, a la ANSSI francesa y a prestadores de Polonia e Italia permite comparar modelos de supervisión, algo muy útil para quienes operamos bajo la supervisión de la SEDIA en España.
La Business Wallet, con dos vicepresidentes de ETSI TC ESI en el debate, en pleno proceso de definición de la cartera empresarial europea.
La criptografía postcuántica, que aquí se presenta desde dos ángulos: la preparación de las organizaciones y el análisis de la amenaza real.
Los pilotos a gran escala, con la presencia de WE BUILD en el debate sobre pagos y en la sesión sobre EUROPEUM-EDIC y EBSI.
El puente entre Asia, América y Europa, con el caso de Armenia como ejemplo de ecosistema alineado con eIDAS fuera de la Unión, un tema que me interesa por el trabajo que hacemos en Latinoamérica.
Organización y patrocinio
El foro cuenta con el patrocinio honorífico estratégico del COI y con Asseco Data Systems como socio Gold. Entre los socios Silver están Siepomaga, IDENTT, Authologic, Signius, Aruba, Allaris y Autenti, y entre los Bronze, Crédit Agricole (EFL), QSCert, Lissi, Procivis, IDnow, Trustlynx y Monet+. Entre los patrocinadores honoríficos figuran ETSI, el Ministerio de Digitalización y el Ministerio de Desarrollo y Tecnología polacos, la UODO, NASK, el comité polaco de normalización (PKN), la Universidad Tecnológica de Poznań y el PCSS.
EADTrust y la Cartera de Identidad Digital Europea
Mi presencia en Poznań forma parte del compromiso de EADTrust con el despliegue de la Cartera de Identidad Digital Europea. EADTrust es uno de los prestadores cualificados de servicios de confianza más activos de España en el impulso de la cartera, como pueden comprobar los lectores habituales de este blog.
Ese compromiso también se traduce en eventos en España. El pasado 28 de abril coorganizamos con el Observatorio Legaltech Garrigues-ICADE la jornada «La Cartera de Identidad Digital de la UE, su implementación y transformación de la gestión de la identidad», que puede verse en vídeo en la web de la Universidad Pontificia Comillas.
Ahora estamos preparando con G-Digital, de Garrigues, dos nuevas citas: un evento ligero en diciembre de 2026 y otro más amplio, previsiblemente en abril de 2027. Buena parte de lo que estoy escuchando estos días en Poznań, y de los contactos que estoy haciendo, servirá para preparar esos encuentros. Daré más detalles aquí en cuanto estén cerrados.
Seguiré informando
En los próximos días compartiré aquí mis notas y conclusiones de las sesiones. Si también estás en Poznań y quieres que hablemos, búscame en los descansos o escríbeme a julian.inza@eadtrust.com.
Eso es lo que recoge esta entrada: un catálogo de las normas de ETSI, CEN e ISO citadas en los actos de ejecución de eIDAS2, ordenadas por organismo y número, con su título oficial en inglés, una traducción al español, un breve resumen de su contenido y los actos que las citan. Las dos entradas se complementan: aquella sirve para saber qué normas aplica un acto concreto y esta, para entender cada norma y ver en qué actos aparece.
Las referencias se han obtenido del texto de cada acto publicado en EUR-Lex, incluidos los reglamentos modificativos de julio de 2026 (CIR (UE) 2026/1730, 2026/1731 y 2026/1735), que incorporan buena parte de las especificaciones ETSI más recientes sobre la cartera, y el anexo II del CIR (UE) 2025/2162, que recoge las normas de referencia para evaluar cada servicio de confianza cualificado.
Siglas utilizadas: DEA = declaración electrónica de atributos; DECA = declaración electrónica cualificada de atributos; PID = datos de identificación de la persona (DIP); CIR = Reglamento de Ejecución de la Comisión; CID = Decisión de Ejecución de la Comisión.
Criterio de clasificación
Las normas se agrupan en dos bloques:
Bloque 1, Cartera de Identidad Digital Europea (38 entradas): normas citadas por alguno de los actos de la cartera y de sus partes usuarias, es decir, los CIR (UE) 2024/2977, 2024/2979, 2024/2980, 2024/2981, 2024/2982, 2025/848, 2026/798, 2026/1730 y 2026/1731. Algunas de ellas, como la EN 319 401 o los formatos AdES, las citan también actos de servicios de confianza; en ese caso se indican todos.
Bloque 2, resto de servicios de confianza (35 entradas): normas que solo citan los demás actos de ejecución.
Dentro de cada bloque el orden es alfabético por organismo (CEN, ETSI, ISO) y numérico dentro de cada uno. En la serie ETSI de firmas electrónicas se han traducido los títulos de forma orientativa; los títulos originales en inglés son los que hay que usar en pliegos y auditorías.
Bloque 1. Normas de la Cartera de Identidad Digital Europea
Normas CEN
CEN EN 17640:2018
Versión citada: 2018
Título:Fixed-time cybersecurity evaluation methodology for ICT products
En español: Metodología de evaluación de ciberseguridad de tiempo fijo para productos TIC
Contenido: Metodología de evaluación de seguridad con duración y esfuerzo acotados (conocida como FITCEM), en la que se inspiran esquemas nacionales como CSPN (Francia), BSZ (Alemania) o LINCE (España). Sirve de referencia para evaluar componentes de la cartera cuando no se exige una evaluación Common Criteria completa.
Citada en: CIR (UE) 2024/2981 (certificación de las carteras: metodología de evaluación y tabla de certificados reutilizables)
Normas ETSI
ETSI TS 119 182-1
Versión citada: V1.2.1 (2024-07)
Título:Electronic Signatures and Infrastructures (ESI); JAdES digital signatures; Part 1: Building blocks and JAdES baseline signatures
En español: Firmas electrónicas e infraestructuras (ESI); firmas digitales JAdES; parte 1: componentes básicos y firmas JAdES de nivel básico
Contenido: Formato de firma avanzada para JSON basado en JWS, con los niveles B, T, LT y LTA.
Citada en: CIR (UE) 2024/2979 (formato opcional de la cartera); CIR (UE) 2025/2531 (con adaptaciones); CIR (UE) 2026/248; CIR (UE) 2025/2162 (anexo II, que la cita por error como «EN 319 182-1»)
ETSI TS 119 411-8
Versión citada: V1.1.1 (2025-10)
Título:Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 8: Access Certificate Policy for EUDI Wallet Relying Parties
En español: Firmas electrónicas e infraestructuras de confianza (ESI); requisitos de política y seguridad para los prestadores que expiden certificados; parte 8: política de certificados de acceso para las partes usuarias de la Cartera EUDI
Contenido: Política de certificación específica para los certificados de acceso con los que las partes usuarias se identifican ante las carteras al solicitar datos. Sustituye a la referencia genérica a la política NCP de la EN 319 411-1.
Citada en: CIR (UE) 2026/1730 (modifica el CIR (UE) 2025/848 en lo relativo a los certificados de acceso)
ETSI TS 119 412-6
Versión citada: V1.1.1 (2025-09)
Título:Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 6: Certificate profile requirements for PID, Wallet, EAA, QEAA, and PSBEAA providers
En español: Firmas electrónicas e infraestructuras de confianza (ESI); perfiles de certificado; parte 6: requisitos de perfil de certificado para los proveedores de PID, de carteras, de DEA, de DECA y de DEA del sector público
Contenido: Perfiles de los certificados con los que firman o sellan los proveedores de datos de identificación personal, los proveedores de carteras y los emisores de declaraciones electrónicas de atributos.
Citada en: CIR (UE) 2026/1731 (anexo II del CIR (UE) 2024/2979)
ETSI TS 119 432
Versión citada: v1.3.1 (2026-03)
Título:Electronic Signatures and Trust Infrastructures (ESI); Protocols for remote digital signature creation
En español: Firmas electrónicas e infraestructuras de confianza (ESI); protocolos para la creación de firmas digitales a distancia
Contenido: Protocolos e interfaces de programación para firmar a distancia, alineados con la especificación del Cloud Signature Consortium. Es la interfaz que deben admitir las aplicaciones de firma usadas por la cartera.
Citada en: CIR (UE) 2026/1731 (anexo IV del CIR (UE) 2024/2979, cláusulas 6.4.3, A.6, A.7 y A.8)
ETSI TS 119 461
Versión citada: V2.1.1 (2025-02)
Título:Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for trust service components providing identity proofing of trust service subjects
En español: Firmas electrónicas e infraestructuras de confianza (ESI); requisitos de política y seguridad para los componentes de servicio de confianza que verifican la identidad de los sujetos
Contenido: Requisitos para verificar la identidad de personas físicas y jurídicas, presencial o a distancia (vídeo, documento con chip, identificación electrónica), con casos de uso y niveles de confianza. El CIR 2026/798 la aplica al alta remota en la cartera.
Citada en: CIR (UE) 2025/1566 (verificación de identidad); CIR (UE) 2026/798 (alta remota en la cartera); CIR (UE) 2025/2162 (anexo II)
ETSI TS 119 472-1
Versión citada: V1.2.1 (2026-02)
Título:Electronic Signatures and Trust Infrastructures (ESI); Profiles for Electronic Attestation of Attributes; Part 1: General requirements
En español: Firmas electrónicas e infraestructuras de confianza (ESI); perfiles de las declaraciones electrónicas de atributos; parte 1: requisitos generales
Contenido: Perfiles de las declaraciones electrónicas de atributos en los formatos SD-JWT VC e ISO/IEC mdoc: contenido, firma, metadatos, revocación y políticas de divulgación integradas.
Citada en: CIR (UE) 2026/1731 (anexo II del CIR (UE) 2024/2979)
ETSI TS 119 472-2
Versión citada: V1.2.1 (2026-03)
Título:Electronic Signatures and Trust Infrastructures (ESI); Profiles for Electronic Attestation of Attributes; Part 2: Profiles for EAA/PID Presentations to Relying Party
En español: Firmas electrónicas e infraestructuras de confianza (ESI); perfiles de las declaraciones electrónicas de atributos; parte 2: perfiles de presentación de DEA y PID a la parte usuaria
Contenido: Perfil del protocolo de presentación de datos de la cartera a las partes usuarias, basado en OpenID4VP, en remoto y en proximidad.
Citada en: CIR (UE) 2026/1731 (anexo II del CIR (UE) 2024/2982)
ETSI TS 119 472-3
Versión citada: V1.1.1 (2026-03)
Título:Electronic Signatures and Trust Infrastructures (ESI); Profiles for Electronic Attestation of Attributes; Part 3: Profiles for issuance of EAA or PID
En español: Firmas electrónicas e infraestructuras de confianza (ESI); perfiles de las declaraciones electrónicas de atributos; parte 3: perfiles de expedición de DEA o PID
Contenido: Perfil del protocolo de expedición de PID y declaraciones de atributos a la cartera, basado en OpenID4VCI, incluidos los metadatos del emisor y el uso de certificados de registro.
Citada en: CIR (UE) 2026/1731 (anexo I del CIR (UE) 2024/2982, protocolos de expedición; anexo III del CIR (UE) 2024/2979, políticas de divulgación integradas; nota en el anexo Ib del CIR (UE) 2024/2979)
ETSI TS 119 475
Versión citada: V1.2.1 (2026-03)
Título:Electronic Signatures and Trust Infrastructures (ESI); Relying party attributes supporting EUDI Wallet user’s authorisation decisions
En español: Firmas electrónicas e infraestructuras de confianza (ESI); atributos de la parte usuaria que respaldan las decisiones de autorización del usuario de la Cartera EUDI
Contenido: Define los certificados de registro y los datos de las partes usuarias (identidad, finalidad, atributos que pueden solicitar) que la cartera muestra al usuario para que decida si comparte sus datos.
Citada en: CIR (UE) 2026/1730 (anexo V del CIR (UE) 2025/848, certificados de registro); CIR (UE) 2026/1731 (anexo II del CIR (UE) 2024/2982)
ETSI EN 319 122-1
Versión citada: V1.3.1 (2023-06)
Título:Electronic Signatures and Infrastructures (ESI); CAdES digital signatures; Part 1: Building blocks and CAdES baseline signatures
En español: Firmas electrónicas e infraestructuras (ESI); firmas digitales CAdES; parte 1: componentes básicos y firmas CAdES de nivel básico
Contenido: Formato de firma avanzada basado en CMS (estructuras binarias ASN.1), con los niveles B, T, LT y LTA.
Citada en: CIR (UE) 2024/2979 (formato opcional de firma de la cartera; el DOUE lo escribe por error «EN 3191 22-1»); CIR (UE) 2025/2531 (libros registro electrónicos); CIR (UE) 2026/248 (sector público); CIR (UE) 2025/2162 (anexo II, libros registro)
ETSI EN 319 132-1
Versión citada: V1.2.1 (2022-02) en 2024/2979; V1.3.1 (2024-07) en 2025/2531
Título:Electronic Signatures and Infrastructures (ESI); XAdES digital signatures; Part 1: Building blocks and XAdES baseline signatures
En español: Firmas electrónicas e infraestructuras (ESI); firmas digitales XAdES; parte 1: componentes básicos y firmas XAdES de nivel básico
Contenido: Formato de firma avanzada para documentos XML basado en XMLDSig, con los niveles B, T, LT y LTA.
Versión citada: V1.1.1 (2016-04) en 2024/2979; V1.2.1 (2024-01) tras 2026/1731
Título:Electronic Signatures and Infrastructures (ESI); PAdES digital signatures; Part 1: Building blocks and PAdES baseline signatures
En español: Firmas electrónicas e infraestructuras (ESI); firmas digitales PAdES; parte 1: componentes básicos y firmas PAdES de nivel básico
Contenido: Formato de firma avanzada integrada en documentos PDF. Es el formato obligatorio que debe admitir la cartera para firmar o sellar.
Citada en: CIR (UE) 2024/2979 (formato obligatorio de la cartera), actualizada a V1.2.1 por CIR (UE) 2026/1731; CIR (UE) 2026/248
ETSI EN 319 162-1 y EN 319 162-2
Versión citada: V1.1.1 (2016-04)
Título:Electronic Signatures and Infrastructures (ESI); Associated Signature Containers (ASiC); Part 1: Building blocks and ASiC baseline containers; Part 2: Additional ASiC containers
En español: Firmas electrónicas e infraestructuras (ESI); contenedores de firma asociada (ASiC); parte 1: componentes básicos y contenedores ASiC de nivel básico; parte 2: contenedores ASiC adicionales
Contenido: Contenedores (basados en ZIP) que agrupan uno o varios documentos con sus firmas o sellos de tiempo separados, en variantes ASiC-S y ASiC-E.
Citada en: CIR (UE) 2024/2979 (formato opcional de la cartera); CIR (UE) 2026/248
ETSI EN 319 401
Versión citada: V3.1.1 (2024-06); V3.2.1 (2026-01) en 2026/1735
Título:Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers
En español: Firmas electrónicas e infraestructuras de confianza (ESI); requisitos generales de política para los prestadores de servicios de confianza
Contenido: Requisitos horizontales para cualquier prestador: gestión de riesgos, políticas y prácticas, recursos humanos, seguridad física y lógica, gestión de incidentes, continuidad de negocio y cese de actividad. Es la base sobre la que se construyen las normas específicas de cada servicio.
Citada en: CIR (UE) 2025/1566; 2025/1567; 2025/1569; 2025/1929; 2025/1942; 2025/1943; 2025/1944; 2025/1946; 2025/2160; 2025/2531; 2025/2532; 2026/798 (alta remota en la cartera); 2026/1735 (V3.2.1); CIR (UE) 2025/2162 (anexo II, con una errata «EN 310 401» en dos entradas)
ETSI EN 319 411-1
Versión citada: V1.4.1 (2023-10) en 2025/848; V1.5.1 (2025-04) en 2025/1943 y 2025/1944
Título:Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 1: General requirements
En español: Firmas electrónicas e infraestructuras de confianza (ESI); requisitos de política y seguridad para los prestadores de servicios de confianza que expiden certificados; parte 1: requisitos generales
Contenido: Políticas de certificación normalizadas (NCP, NCP+, LCP, EVCP…) y requisitos de ciclo de vida de los certificados: registro, emisión, revocación y servicios de estado.
Citada en: CIR (UE) 2025/848 (certificados de acceso y de registro de las partes usuarias, sustituida después por TS 119 411-8 y TS 119 475 mediante CIR (UE) 2026/1730); CIR (UE) 2025/1942; CIR (UE) 2025/1943; CIR (UE) 2025/1944; CIR (UE) 2025/2162 (anexo II, como «EN 319 411»)
ETSI EN 319 412-1
Versión citada: V1.6.1 (2025-06)
Título:Electronic Signatures and Infrastructures (ESI); Certificate Profiles; Part 1: Overview and common data structures
En español: Firmas electrónicas e infraestructuras (ESI); perfiles de certificado; parte 1: visión general y estructuras de datos comunes
Contenido: Estructuras comunes a todos los perfiles de certificado de ETSI, como la semántica de identificadores (por ejemplo, el NIF o el VAT en el campo organizationIdentifier).
Citada en: CIR (UE) 2025/1943; CIR (UE) 2026/1731 (referencia normativa de la TS 119 472-1 en el anexo II del CIR (UE) 2024/2979); CIR (UE) 2025/2162 (anexo II)
ETSI EN 319 412-2
Versión citada: V2.4.1 (2025-06)
Título:Electronic Signatures and Infrastructures (ESI); Certificate Profiles; Part 2: Certificate profile for certificates issued to natural persons
En español: Firmas electrónicas e infraestructuras (ESI); perfiles de certificado; parte 2: perfil de certificado para certificados expedidos a personas físicas
Contenido: Perfil de los certificados de personas físicas, incluidos los certificados cualificados de firma.
Citada en: CIR (UE) 2025/1943; CIR (UE) 2026/1731 (certificados de los registros en el anexo II del CIR (UE) 2024/2980); CIR (UE) 2025/2162 (anexo II)
ETSI EN 319 412-3
Versión citada: V1.3.1 (2023-09)
Título:Electronic Signatures and Infrastructures (ESI); Certificate Profiles; Part 3: Certificate profile for certificates issued to legal persons
En español: Firmas electrónicas e infraestructuras (ESI); perfiles de certificado; parte 3: perfil de certificado para certificados expedidos a personas jurídicas
Contenido: Perfil de los certificados de personas jurídicas, incluidos los certificados cualificados de sello.
Citada en: CIR (UE) 2025/1943; CIR (UE) 2026/1731 (anexo II del CIR (UE) 2024/2980); CIR (UE) 2025/2162 (anexo II)
ETSI EN 319 412-5
Versión citada: V2.5.1
Título:Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 5: QCStatements
En español: Firmas electrónicas e infraestructuras de confianza (ESI); perfiles de certificado; parte 5: declaraciones QCStatements
Contenido: Extensiones QCStatements que indican en el certificado su carácter cualificado, el tipo (firma, sello o web), si la clave está en un dispositivo cualificado y otros datos. El CIR 2026/1731 añade un tipo nuevo para los certificados de los emisores de declaraciones de atributos del sector público (id-etsi-qct-eidaspsbeaa).
Citada en: CIR (UE) 2025/1943; CIR (UE) 2026/1731 (anexo II del CIR (UE) 2024/2979, Pub-EAA); CID (UE) 2025/2164 (lista de confianza); CIR (UE) 2025/2162 (anexo II)
Normas ISO e ISO/IEC
ISO 3166-1
Versión citada: (sin versión; 2006 en 2025/2164)
Título:Codes for the representation of names of countries and their subdivisions — Part 1: Country code
En español: Códigos para la representación de los nombres de los países y sus subdivisiones — Parte 1: Códigos de país
Contenido: Códigos de país de dos letras (alfa-2), como ES o FR. Se usa en los datos PID, en el identificador de las partes usuarias (con la excepción de Grecia, «EL») y en las listas de confianza.
Citada en: CIR (UE) 2024/2977 (PID); CIR (UE) 2025/848 (registro de partes usuarias); CIR (UE) 2026/1731 (anexo del CIR (UE) 2024/2977); CID (UE) 2025/2164
ISO 3166-2:2020
Versión citada: 2020
Título:Codes for the representation of names of countries and their subdivisions — Part 2: Country subdivision code
En español: Códigos para la representación de los nombres de los países y sus subdivisiones — Parte 2: Códigos de subdivisión de país
Contenido: Códigos de regiones y provincias (por ejemplo, ES-MD). Se usa para indicar la jurisdicción que expide los datos PID.
Citada en: CIR (UE) 2024/2977; CIR (UE) 2026/1731
ISO/IEC 5218
Versión citada: (sin versión)
Título:Information technology — Codes for the representation of human sexes
En español: Tecnologías de la información — Códigos para la representación de los sexos humanos
Contenido: Códigos numéricos del sexo (0, 1, 2 y 9), que el PID usa para el atributo opcional «sex», ampliado con otros valores propios.
Citada en: CIR (UE) 2024/2977; CIR (UE) 2026/1731
ISO 8601-1
Versión citada: (sin versión)
Título:Date and time — Representations for information interchange — Part 1: Basic rules
En español: Fecha y hora — Representaciones para el intercambio de información — Parte 1: Reglas básicas
Contenido: Formato normalizado de fechas (AAAA-MM-DD), que se usa, por ejemplo, para la fecha de nacimiento en la codificación SD-JWT VC del PID.
Citada en: CIR (UE) 2026/1731 (anexo del CIR (UE) 2024/2977)
ISO/IEC 15408
Versión citada: 2022 (partes 1 a 5)
Título:Information security, cybersecurity and privacy protection — Evaluation criteria for IT security
En español: Seguridad de la información, ciberseguridad y protección de la privacidad — Criterios de evaluación de la seguridad TI
Contenido: Los «Common Criteria»: marco para especificar y evaluar requisitos funcionales y de garantía de seguridad de productos TIC, con niveles EAL y componentes como AVA_VAN (análisis de vulnerabilidades).
Citada en: CIR (UE) 2024/2981 (parte 3, AVA_VAN.5 para el dispositivo criptográfico seguro de la cartera); CIR (UE) 2025/1929; 2025/1942; 2025/1943; 2025/1944; 2025/1946; 2025/2531; 2025/2532; 2026/1735
ISO/IEC 17000:2020
Versión citada: 2020
Título:Conformity assessment — Vocabulary and general principles
En español: Evaluación de la conformidad — Vocabulario y principios generales
Contenido: Términos y principios comunes de la evaluación de la conformidad (certificación, inspección, validación, verificación…).
Citada en: CIR (UE) 2024/2981
EN ISO/IEC 17020:2012
Versión citada: 2012
Título:Conformity assessment — Requirements for the operation of various types of bodies performing inspection
En español: Evaluación de la conformidad — Requisitos para el funcionamiento de diferentes tipos de organismos que realizan la inspección
Contenido: Requisitos de competencia, imparcialidad y funcionamiento de los organismos de inspección.
Citada en: CIR (UE) 2024/2981; CIR (UE) 2025/2162
EN ISO/IEC 17021-1:2015
Versión citada: 2015
Título:Conformity assessment — Requirements for bodies providing audit and certification of management systems — Part 1: Requirements
En español: Evaluación de la conformidad — Requisitos para los organismos que realizan la auditoría y la certificación de sistemas de gestión — Parte 1: Requisitos
Contenido: Requisitos de los organismos que auditan y certifican sistemas de gestión. Los actos la usan también para las auditorías de seguimiento y de renovación.
Citada en: CIR (UE) 2024/2981; CIR (UE) 2025/2162
EN ISO/IEC 17025:2017
Versión citada: 2017
Título:General requirements for the competence of testing and calibration laboratories
En español: Requisitos generales para la competencia de los laboratorios de ensayo y calibración
Contenido: Requisitos de los laboratorios que realizan ensayos, aplicables a los laboratorios de evaluación de seguridad.
Citada en: CIR (UE) 2024/2981; CIR (UE) 2025/2162
EN ISO/IEC 17029:2019
Versión citada: 2019
Título:Conformity assessment — General principles and requirements for validation and verification bodies
En español: Evaluación de la conformidad — Principios generales y requisitos para los organismos de validación y verificación
Contenido: Requisitos de los organismos que validan o verifican declaraciones, aplicables a la verificación de las afirmaciones del proveedor de la cartera.
Citada en: CIR (UE) 2024/2981
EN ISO/IEC 17065:2012
Versión citada: 2012
Título:Conformity assessment — Requirements for bodies certifying products, processes and services
En español: Evaluación de la conformidad — Requisitos para organismos que certifican productos, procesos y servicios
Contenido: Norma base de los organismos de certificación de productos y servicios. Rige tanto a los organismos que certifican carteras como a los que evalúan a los prestadores cualificados.
Título:Conformity assessment — Fundamentals of product certification and guidelines for product certification schemes
En español: Evaluación de la conformidad — Fundamentos de la certificación de producto y directrices para los esquemas de certificación de producto
Contenido: Tipología de los esquemas de certificación. Los esquemas nacionales de certificación de carteras deben ser de «tipo 6» (producto, proceso y servicio, con vigilancia).
Citada en: CIR (UE) 2024/2981; CIR (UE) 2025/2162
ISO/IEC 18013-5:2021
Versión citada: 2021
Título:Personal identification — ISO-compliant driving licence — Part 5: Mobile driving licence (mDL) application
En español: Identificación personal — Permiso de conducción conforme a ISO — Parte 5: Aplicación del permiso de conducción móvil (mDL)
Contenido: Define el formato «mdoc» (CBOR/COSE) y la presentación en proximidad (QR, NFC, BLE) del permiso de conducir móvil. Es uno de los dos formatos obligatorios del PID y la base de la presentación presencial.
Versión citada: 2024 (TS) en 2024/2982; 2025 en 2026/1731
Título:Personal identification — ISO-compliant driving licence — Part 7: Mobile driving licence (mDL) add-on functions
En español: Identificación personal — Permiso de conducción conforme a ISO — Parte 7: Funciones adicionales del permiso de conducción móvil (mDL)
Contenido: Extiende la parte 5 para la presentación en remoto (por internet) de los datos mdoc. El anexo C, que se apoya en la Digital Credentials API de los navegadores, es el que se aplica a la cartera.
Citada en: CIR (UE) 2024/2982 (versión TS de 2024); CIR (UE) 2026/1731 (versión de 2025, anexo C)
ISO/IEC 19794-5
Versión citada: (sin versión)
Título:Information technology — Biometric data interchange formats — Part 5: Face image data
En español: Tecnologías de la información — Formatos de intercambio de datos biométricos — Parte 5: Datos de imagen facial
Contenido: Formato y requisitos de calidad de la imagen facial. Se mantiene por compatibilidad para el retrato del PID.
Título:Information security, cybersecurity and privacy protection — Information security management systems — Requirements
En español: Seguridad de la información, ciberseguridad y protección de la privacidad — Sistemas de gestión de la seguridad de la información — Requisitos
Contenido: Requisitos del sistema de gestión de la seguridad de la información (SGSI). Se admite como certificación reutilizable en la certificación de carteras y para los nodos del marco de interoperabilidad de la identificación electrónica.
Citada en: CIR (UE) 2024/2981; CIR (UE) 2025/1568 (revisiones inter pares de los esquemas de identificación electrónica)
En español: Tecnologías de la información — Técnicas de seguridad — Procesos de gestión de vulnerabilidades
Contenido: Procesos para investigar, clasificar y corregir vulnerabilidades notificadas. El titular del certificado de la cartera debe tenerla en cuenta en su política de gestión de vulnerabilidades.
Citada en: CIR (UE) 2024/2981
ISO/IEC 39794-5
Versión citada: (sin versión)
Título:Information technology — Extensible biometric data interchange formats — Part 5: Face image data
En español: Tecnologías de la información — Formatos extensibles de intercambio de datos biométricos — Parte 5: Datos de imagen facial
Contenido: Sucesora de la ISO/IEC 19794-5, con formatos extensibles. Es la referencia principal para el retrato del PID (imagen frontal completa).
Bloque 2. Normas del resto de servicios de confianza
Normas CEN
CEN/TS 18170:2025
Versión citada: 2025
Título:Functional and security requirements for electronic archiving services
En español: Requisitos funcionales y de seguridad de los servicios de archivo electrónico
Contenido: Especificación técnica de CEN que define los requisitos de organización, procesos y seguridad de los prestadores de servicios de archivo electrónico, incluida la conservación de la integridad, autenticidad y legibilidad de los documentos a lo largo del tiempo.
Citada en: CIR (UE) 2025/2532 (archivo electrónico cualificado, con adaptaciones); CIR (UE) 2025/2162 (anexo II, archivo electrónico y libros registro electrónicos)
CEN/TS 419261:2015
Versión citada: 2015
Título:Security requirements for trustworthy systems managing certificates and time-stamps
En español: Requisitos de seguridad de los sistemas fiables que gestionan certificados y sellos de tiempo
Contenido: Requisitos de seguridad de los sistemas que utilizan los prestadores para generar y gestionar certificados (registro, emisión, revocación) y sellos de tiempo, con base en perfiles de protección y criterios de evaluación de seguridad.
Citada en: CIR (UE) 2025/1943 (certificados cualificados de firma y de sello)
Normas ETSI
ETSI TS 103 171
Versión citada: v2.1.1
Título:Electronic Signatures and Infrastructures (ESI); XAdES Baseline Profile
En español: Firmas electrónicas e infraestructuras (ESI); perfil básico XAdES
Contenido: Perfil «baseline» anterior de las firmas XAdES (XML). Se mantiene como formato admitido para facilitar la transición desde la Decisión 2015/1506.
Citada en: CIR (UE) 2026/248 (anexo II, formatos heredados)
ETSI TS 103 172
Versión citada: (versión según el anexo II)
Título:Electronic Signatures and Infrastructures (ESI); PAdES Baseline Profile
En español: Firmas electrónicas e infraestructuras (ESI); perfil básico PAdES
Contenido: Perfil «baseline» anterior de las firmas PAdES (PDF), admitido de forma transitoria junto a la norma EN 319 142-1.
Citada en: CIR (UE) 2026/248 (anexo II, formatos heredados)
ETSI TS 103 173
Versión citada: (versión según el anexo II)
Título:Electronic Signatures and Infrastructures (ESI); CAdES Baseline Profile
En español: Firmas electrónicas e infraestructuras (ESI); perfil básico CAdES
Contenido: Perfil «baseline» anterior de las firmas CAdES (CMS), admitido de forma transitoria junto a la norma EN 319 122-1.
Citada en: CIR (UE) 2026/248 (anexo II, formatos heredados)
ETSI TS 103 174
Versión citada: (versión según el anexo II)
Título:Electronic Signatures and Infrastructures (ESI); ASiC Baseline Profile
En español: Firmas electrónicas e infraestructuras (ESI); perfil básico ASiC
Contenido: Perfil «baseline» anterior de los contenedores de firma asociada ASiC, admitido de forma transitoria junto a las normas EN 319 162-1/-2.
Citada en: CIR (UE) 2026/248 (anexo II, formatos heredados)
ETSI TS 119 101
Versión citada: V1.1.1 (2016-03)
Título:Electronic Signatures and Infrastructures (ESI); Policy and security requirements for applications for signature creation and signature validation
En español: Firmas electrónicas e infraestructuras (ESI); requisitos de política y seguridad para aplicaciones de creación y validación de firmas
Contenido: Requisitos de seguridad para las aplicaciones de software que crean y validan firmas: gestión del documento a firmar, presentación al firmante, integridad del proceso y control de los componentes.
Citada en: CIR (UE) 2025/1942 (servicios cualificados de validación); CIR (UE) 2025/1945 (validación de firmas y sellos); CIR (UE) 2025/1946 (preservación)
ETSI TS 119 102-2
Versión citada: V1.4.1 (2023-06)
Título:Electronic Signatures and Infrastructures (ESI); Procedures for Creation and Validation of AdES Digital Signatures; Part 2: Signature Validation Report
En español: Firmas electrónicas e infraestructuras (ESI); procedimientos de creación y validación de firmas digitales AdES; parte 2: informe de validación de firma
Contenido: Define la estructura y la semántica (XML) del informe de validación, de modo que el resultado y sus motivos sean legibles por máquinas e interoperables entre validadores.
Título:Electronic Signatures and Infrastructures (ESI); Signature Policies; Part 1: Building blocks and table of contents for human readable signature policy documents
En español: Firmas electrónicas e infraestructuras (ESI); políticas de firma; parte 1: componentes básicos e índice de contenidos de los documentos de política de firma legibles por personas
Contenido: Estructura de las políticas de firma y de validación. Los actos se remiten a ella para fijar restricciones concretas, como el modo de comprobar la revocación de los certificados.
Título:Electronic Signatures and Infrastructures (ESI); Signature Policies; Part 4: Signature applicability rules (validation policy) for European qualified electronic signatures/seals using trusted lists
En español: Firmas electrónicas e infraestructuras (ESI); políticas de firma; parte 4: reglas de aplicabilidad (política de validación) para firmas y sellos electrónicos cualificados europeos mediante listas de confianza
Contenido: Política de validación que permite determinar si una firma o un sello es cualificado a partir de las listas de confianza de la UE.
Título:Electronic Signatures and Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 5: Specification for the coexistence of EU qualified website authentication certificates and publicly-trusted website certificates
En español: Firmas electrónicas e infraestructuras (ESI); requisitos de política y seguridad para los prestadores que expiden certificados; parte 5: especificación para la coexistencia de los certificados cualificados de autenticación de sitios web de la UE y los certificados de sitio web de confianza pública
Contenido: Define cómo se presentan los QWAC junto a los certificados TLS reconocidos por los navegadores, incluidos los QWAC vinculados a TLS y los no vinculados a TLS, para cumplir el artículo 45 de eIDAS2.
Título:Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for trust service providers; Part 1: TSP service components operating a remote QSCD / SCDev
En español: Firmas electrónicas e infraestructuras de confianza (ESI); requisitos de política y seguridad para los prestadores; parte 1: componentes de servicio del prestador que operan un dispositivo cualificado o un dispositivo de creación de firma a distancia
Contenido: Requisitos del componente que gestiona dispositivos de creación de firma o sello a distancia (firma «en la nube»), incluida la activación de la clave bajo control exclusivo del firmante.
Citada en: CIR (UE) 2025/1567 (gestión a distancia de dispositivos); CIR (UE) 2025/2162 (anexo II)
ETSI TS 119 441
Versión citada: V1.2.1 (2023-10)
Título:Electronic Signatures and Infrastructures (ESI); Policy requirements for TSP providing signature validation services
En español: Firmas electrónicas e infraestructuras (ESI); requisitos de política para los prestadores que ofrecen servicios de validación de firmas
Contenido: Requisitos de organización y seguridad del servicio de validación: política de validación, firma de los informes y gestión de evidencias.
Título:Electronic Signatures and Infrastructures (ESI); Protocol profiles for trust service providers providing AdES digital signature validation services
En español: Firmas electrónicas e infraestructuras (ESI); perfiles de protocolo para los prestadores que ofrecen servicios de validación de firmas digitales AdES
Contenido: Protocolo de petición y respuesta entre el cliente y el servicio de validación.
Citada en: CIR (UE) 2025/2162 (anexo II)
ETSI TS 119 471
Versión citada: V1.1.1 (2025-05)
Título:Electronic Signatures and Trust Infrastructures (ESI); Policy and Security requirements for Providers of Electronic Attestation of Attributes Services
En español: Firmas electrónicas e infraestructuras de confianza (ESI); requisitos de política y seguridad para los proveedores de servicios de declaraciones electrónicas de atributos
Contenido: Requisitos de organización y seguridad para los proveedores de DEA y DECA, incluida la verificación de los atributos contra fuentes auténticas.
Citada en: CIR (UE) 2026/1735 (modifica el CIR (UE) 2025/1569, con adaptaciones); CIR (UE) 2025/2162 (anexo II)
ETSI TS 119 478
Versión citada: V1.1.1 (2026-01)
Título:Electronic Signatures and Trust Infrastructures (ESI); Specification of interfaces related to Authentic Sources
En español: Firmas electrónicas e infraestructuras de confianza (ESI); especificación de las interfaces relacionadas con las fuentes auténticas
Contenido: Interfaces para que los proveedores de DECA verifiquen atributos ante las fuentes auténticas y reciban resultados de verificación firmados o sellados.
Citada en: CIR (UE) 2026/1735 (modifica el CIR (UE) 2025/1569)
ETSI TS 119 495
Versión citada: V1.7.1 (2024-07)
Título:Electronic Signatures and Infrastructures (ESI); Sector Specific Requirements; Certificate Profiles and TSP Policy Requirements for Open Banking
En español: Firmas electrónicas e infraestructuras (ESI); requisitos sectoriales; perfiles de certificado y requisitos de política del prestador para la banca abierta
Contenido: Perfil de los certificados cualificados (QWAC y sellos) para proveedores de servicios de pago en el marco de PSD2 y la banca abierta, con sus roles y la autoridad competente.
Título:Electronic Signatures and Infrastructures (ESI); Policy and security requirements for trust service providers providing long-term preservation of digital signatures or general data using digital signature techniques
En español: Firmas electrónicas e infraestructuras (ESI); requisitos de política y seguridad para los prestadores que ofrecen preservación a largo plazo de firmas digitales o de datos mediante técnicas de firma digital
Contenido: Requisitos de los servicios de preservación que mantienen la validez de las firmas a lo largo del tiempo (aumentos, resellado, evidencias de preservación).
Citada en: CIR (UE) 2025/1946 (preservación cualificada); CIR (UE) 2025/2162 (anexo II; en archivo electrónico la cita por error como «EN 119 511»)
ETSI TS 119 512
Versión citada: (sin versión)
Título:Electronic Signatures and Infrastructures (ESI); Protocols for trust service providers providing long-term data preservation services
En español: Firmas electrónicas e infraestructuras (ESI); protocolos para los prestadores que ofrecen servicios de preservación de datos a largo plazo
Contenido: Protocolo de interacción entre clientes y servicios de preservación (envío, recuperación y obtención de evidencias).
Citada en: CIR (UE) 2025/2162 (anexo II, servicios de preservación)
ETSI TS 119 612
Versión citada: V2.3.1 (2024-11); v2.4.1 en 2025/2162
Título:Electronic Signatures and Infrastructures (ESI); Trusted Lists
En español: Firmas electrónicas e infraestructuras (ESI); listas de confianza
Contenido: Formato y semántica de las listas de confianza nacionales y de la lista de listas (LOTL) de la Comisión.
Citada en: CIR (UE) 2025/1942; 2025/1945; 2025/1946; CID (UE) 2025/2164 (versión de la norma de la plantilla común); CIR (UE) 2025/2162 (anexo II, v2.4.1)
ETSI EN 301 549
Versión citada: (sin versión)
Título:Accessibility requirements for ICT products and services
En español: Requisitos de accesibilidad de productos y servicios TIC
Contenido: Norma europea armonizada de accesibilidad, que permite comprobar que los servicios de confianza pueden ser usados por personas con discapacidad (artículo 15 de eIDAS).
Citada en: CIR (UE) 2025/2162 (anexo II, en casi todos los servicios cualificados; en archivo electrónico aparece por error como «TS 301 549»)
ETSI EN 319 102-1
Versión citada: V1.4.1 (2024-06)
Título:Electronic Signatures and Infrastructures (ESI); Procedures for Creation and Validation of AdES Digital Signatures; Part 1: Creation and Validation
En español: Firmas electrónicas e infraestructuras (ESI); procedimientos de creación y validación de firmas digitales AdES; parte 1: creación y validación
Contenido: Norma central del algoritmo de validación de firmas avanzadas: modelo de validación, bloques de comprobación (formato, identificación del firmante, cadena de certificados, revocación, sellos de tiempo, validación a largo plazo) y resultados (TOTAL-PASSED, TOTAL-FAILED, INDETERMINATE). Los actos aclaran que las referencias a la antigua TS 119 102-1 se entienden hechas a esta EN.
Citada en: CIR (UE) 2025/1942; CIR (UE) 2025/1945; CIR (UE) 2025/1946; CIR (UE) 2025/2162 (anexo II, servicios de validación)
ETSI EN 319 403-1
Versión citada: v2.3.1
Título:Electronic Signatures and Trust Infrastructures (ESI); Trust Service Provider Conformity Assessment; Part 1: Requirements for conformity assessment bodies assessing Trust Service Providers
En español: Firmas electrónicas e infraestructuras de confianza (ESI); evaluación de la conformidad de los prestadores de servicios de confianza; parte 1: requisitos para los organismos de evaluación de la conformidad que evalúan a los prestadores
Contenido: Completa la ISO/IEC 17065 con requisitos específicos para los organismos que auditan a prestadores: competencia de los auditores, proceso de auditoría y contenido del informe de evaluación.
Citada en: CIR (UE) 2025/2162 (acreditación de organismos de evaluación de la conformidad; régimen transitorio para los acreditados con la EN 319 403 v2.2.2)
ETSI EN 319 411-2
Versión citada: V2.6.1 (2025-06)
Título:Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 2: Requirements for trust service providers issuing EU qualified certificates
En español: Firmas electrónicas e infraestructuras de confianza (ESI); requisitos de política y seguridad para los prestadores que expiden certificados; parte 2: requisitos para los prestadores que expiden certificados cualificados de la UE
Contenido: Políticas de certificación de los certificados cualificados (QCP-n, QCP-l, QCP-n-qscd, QCP-l-qscd, QCP-w) y requisitos adicionales a la parte 1.
Título:Electronic Signatures and Infrastructures (ESI); Policy and security requirements for Electronic Registered Delivery Service Providers
En español: Firmas electrónicas e infraestructuras (ESI); requisitos de política y seguridad para los prestadores de servicios de entrega electrónica certificada
Contenido: Requisitos de organización y seguridad de los prestadores de entrega electrónica certificada.
Título:Electronic Signatures and Infrastructures (ESI); Electronic Registered Delivery Services; Part 1: Framework and Architecture; Part 2: Semantic contents; Part 3: Formats; Part 4: Bindings
En español: Firmas electrónicas e infraestructuras (ESI); servicios de entrega electrónica certificada; parte 1: marco y arquitectura; parte 2: contenidos semánticos; parte 3: formatos; parte 4: vinculaciones
Contenido: Arquitectura, evidencias, formatos de mensajes y protocolos de los servicios de entrega electrónica certificada.
Título:Electronic Signatures and Infrastructures (ESI); Policy and security requirements for Registered Electronic Mail (REM) Service Providers; Registered Electronic Mail (REM) Services
En español: Firmas electrónicas e infraestructuras (ESI); requisitos de política y seguridad para los prestadores de correo electrónico certificado (REM); servicios de correo electrónico certificado (REM)
Contenido: Versión de la entrega electrónica certificada basada en correo electrónico (REM): requisitos del prestador y perfiles técnicos.
Citada en: CIR (UE) 2025/2162 (anexo II, QERDS)
Normas ISO e ISO/IEC
ISO 14641
Versión citada: (sin versión)
Título:Electronic document management — Design and operation of an information system for the preservation of electronic documents — Specifications
En español: Gestión de documentos electrónicos — Diseño y explotación de un sistema de información para la conservación de documentos electrónicos — Especificaciones
Contenido: Requisitos técnicos y organizativos de los sistemas de archivo electrónico que garantizan la integridad y la trazabilidad de los documentos.
Citada en: CIR (UE) 2025/2162 (anexo II, archivo electrónico)
ISO 14721:2025
Versión citada: 2025
Título:Space data system practices — Reference model for an open archival information system (OAIS)
En español: Prácticas de los sistemas de datos espaciales — Modelo de referencia para un sistema abierto de información de archivo (OAIS)
Contenido: Modelo de referencia OAIS de preservación digital a largo plazo (ingreso, almacenamiento, gestión de datos, acceso y planificación de la preservación), nacido en el ámbito espacial y adoptado por los archivos de todo el mundo.
En español: Evaluación de la conformidad — Requisitos para los organismos de acreditación que realizan la acreditación de organismos de evaluación de la conformidad
Contenido: Requisitos para las entidades nacionales de acreditación (en España, ENAC).
Citada en: CIR (UE) 2025/2162
ISO 23257:2022
Versión citada: 2022
Título:Blockchain and distributed ledger technologies — Reference architecture
En español: Cadena de bloques y tecnologías de registro distribuido — Arquitectura de referencia
Contenido: Arquitectura de referencia de las tecnologías de registro distribuido. Su cláusula 9 sirve para describir el sistema DLT de los libros registro electrónicos cualificados.
Versiones. Cada acto fija una versión concreta de la norma, y a veces con adaptaciones o exclusiones de cláusulas. Antes de usar una referencia en un pliego, una política de certificación o una auditoría, conviene comprobar la versión y las adaptaciones en el anexo del acto publicado en el DOUE.
Erratas en los actos. Algunas referencias aparecen con errores tipográficos en el DOUE: «EN 3191 22-1» (CIR 2024/2979), «EN 310 401», «TS 301 549», «EN 119 511» y «EN 319 182-1» (anexo II del CIR 2025/2162). En este catálogo se han asignado a la norma correcta.
Especificaciones que no son de ETSI, CEN ni ISO. Los actos también citan especificaciones de otros organismos que no se incluyen aquí: RFC del IETF (por ejemplo, RFC 3161, RFC 5280, RFC 7515, RFC 7519, RFC 8392 o RFC 8949), el modelo W3C Verifiable Credentials Data Model 1.1, las especificaciones OpenID4VCI y OpenID4VP, la especificación del Cloud Signature Consortium (v2.0), FIPS PUB 140-3 y el documento Agreed Cryptographic Mechanisms del grupo de criptografía del ECCG publicado por ENISA, al que remite el nuevo anexo Ia del CIR 2024/2979.
Títulos recientes. Las especificaciones ETSI publicadas en 2025 y 2026 (TS 119 411-8, TS 119 412-6, TS 119 432 v1.3.1, TS 119 472-1/-2/-3, TS 119 475 y TS 119 478), así como la CEN/TS 18170:2025, conviene cotejarlas con el catálogo del organismo, porque sus títulos pueden variar entre versiones.
Como de costumbre, iré actualizando este catálogo a medida que se publiquen nuevos actos de ejecución o correcciones de errores.
Servicios Profesionales de EADTrust
La recopilación y el análisis de esta información forman parte de los Servicios Profesionales de EADTrust. Si tu organización, sea una administración pública o una empresa, está valorando proyectos relacionados con la Cartera de Identidad Digital Europea, las declaraciones electrónicas de atributos o la adaptación a eIDAS2, podemos acompañarte en el análisis normativo, el diseño y la implantación. Escríbenos a info@eadtrust.com o llámanos al 91 716 05 55. Más información en www.eadtrust.eu.
ETSI publicó en julio de 2026 el informe técnico de su primer Plugtests sobre declaraciones electrónicas de atributos, celebrado en remoto entre el 4 de mayo y el 30 de junio de 2026. Por primera vez, fabricantes, prestadores de servicios de confianza y laboratorios han puesto a prueba, unos contra otros, las declaraciones generadas conforme a la especificación ETSI TS 119 472-1 V1.2.1.
Las declaraciones electrónicas de atributos son una de las piezas centrales de la Cartera de Identidad Digital Europea (EUDI Wallet). Son las que permiten que la cartera vaya más allá de la identificación y se convierta en un contenedor portátil de credenciales verificables: títulos académicos, permisos de conducir, apoderamientos o certificados profesionales. Que funcionen igual con independencia de quién las emita es condición imprescindible para que el ecosistema funcione.
Cómo se organizó
El Plugtests lo organizó el Centro de Pruebas e Interoperabilidad de ETSI (CTI) a través de un portal accesible 24 horas, sin pruebas en tiempo real. Estaba previsto hasta el 1 de junio, pero se amplió hasta el 30 de junio a petición de los participantes, por el elevado número de pruebas. La participación fue gratuita e InfoCert facilitó certificados cualificados de prueba para firmar las declaraciones.
Se probaron los dos perfiles de la ETSI TS 119 472-1, en sus tres variantes: declaraciones no cualificadas, declaraciones cualificadas y declaraciones expedidas por o en nombre de un organismo del sector público responsable de una fuente auténtica.
SD-JWT VC (formato JSON, cláusula 5 de la especificación).
ISO/IEC mdoc (formato CBOR basado en ISO/IEC 18013-5, cláusula 6), tanto para permisos de conducir móviles (mDL) como para otras declaraciones.
Hubo tres tipos de prueba:
Generación y verificación cruzada. Cada participante generaba declaraciones válidas según 54 casos de prueba y el resto las verificaba. El portal actualizaba automáticamente las matrices de interoperabilidad.
Pruebas negativas. ETSI preparó 24 declaraciones SD-JWT VC deliberadamente defectuosas, que las herramientas de los participantes debían rechazar.
Conformidad. Un verificador de conformidad en línea, todavía en versión beta, comprobaba la estructura de cada declaración frente a la especificación.
Por los acuerdos de confidencialidad, el informe no publica resultados por caso de prueba ni por empresa: solo estadísticas globales y anónimas.
Participantes
Se inscribieron 116 organizaciones de 41 países y 215 personas: 207 participantes, 4 miembros del personal de ETSI y 4 expertos. Alemania (14) y España (13) fueron los países con más organizaciones, seguidos de Francia (10) y los Países Bajos (9).
La presencia española fue muy notable e incluyó al Ministerio para la Transformación Digital y de la Función Pública, prestadores de servicios de confianza, empresas tecnológicas y la UPC. También participaron organizaciones latinoamericanas: GSE (Colombia), Certisign y e-Sec (Brasil) y la Subsecretaría de Economía de Chile.
País
Organizaciones
N.º
Alemania
AUTHADA GmbH; Bundesamt für Sicherheit in der Informationstechnik (BSI); Deutsche Telekom AG; DiaLOGIKa; ecsec GmbH; Governikus GmbH & Co. KG; IDunion SCE; Independiente (experto); Lissi Gmbh; procilon GmbH; SIGN8 GmbH; Space Acceleration Industries; SPRIND GmbH; Technical University of Munich (TUM)
14
España
Bull; Centro Tecnológico del Notariado; Desteba Productions, S.L.; Digitel on Trusted Services, S.L.U; Entrust EU; ISTEC; Izertis; Lleida.net; Ministerio para la Transformación Digital y de la Función Pública; Mobbeel Solutions, S.L.; Servicios de MailCertificado – Codicert; UPC; Validated ID, SL
13
Francia
Atos Eviden; Cabinet Louis Reynaud; DOCAPOSTE CSP; Erick Virapatrin Consulting; iDAKTO; KEREVAL; MINISTERE DE L’INTERIEUR; NEOWAVE; TOPPAN Security; Verifiables
Ardaco, a.s.; Disig a.s.; DITEC, a.s.; National Agency for Network and Electronic Services (NASES); National Security Authority; Plaut Slovensko s.r.o.; Triveria
7
Italia
ARIA S.p.A.; Aruba PEC S.p.A.; InfoCert; INTESI GROUP S.p.A.; Namirial
5
Austria
A-SIT Plus; GrEEV; walt.id
3
Chequia
Bankovni identita, a.s.; CZ.NIC; NEWPS.CZ s.r.o.
3
Hungría
IdomSoft; Microsec Ltd; POLYSYS Ltd
3
Reino Unido
Allied Bits Ltd.; British Standards Institution (BSI); Entrust
3
Serbia
Chamber of Commerce and Industry of Serbia; E-Smart Systems; Post of Serbia
3
Suecia
Comfact AB; Iris Development-PassportReader; LCubed AB (iGrant.io)
3
Albania
First shpk; National Agency for Information Society (NAIS)
2
Brasil
Certisign; e-Sec Digital Security
2
Bulgaria
Evrotrust Technologies AD; Trustvestor Ltd.
2
Bélgica
BOSA; Msg systems ag
2
Finlandia
Digi- ja väestötietovirasto (DVV), Digital and Population Data Services Agency; Hovi ID
2
Grecia
Greek Universities Network (GUnet); Ministry of Digital Governance
2
Japón
NTT Data; Otip Office
2
Polonia
Asseco Data Systems; Authologic Sp. z o.o.
2
Rumanía
AlfaTrust Certification; certSIGN
2
Túnez
Higher School of Communications, University of Carthage (Sup’Com); OneTech B.S. (OTBS)
2
Ucrania
EGA; State Enterprise «DIIA»
2
Australia
SITA
1
Chile
Subsecretaría de Economía
1
Colombia
Gestión de Seguridad Electrónica (GSE)
1
Dinamarca
dewa ApS
1
Eslovenia
Netis d.o.o.
1
Estonia
SK ID Solutions AS
1
Irlanda
Adobe Systems Software Ireland Limited
1
Kenia
Mobile Solution Network ltf
1
Letonia
EUSO
1
Lituania
MIT-SOFT, UAB
1
Luxemburgo
Nowina Solutions
1
Macedonia del Norte
Nextsense
1
Moldavia
e-Governance Agency of Moldova
1
Pakistán
Ascertia
1
Portugal
DEVISE FUTURES – IT SOLUTIONS, LDA
1
Suiza
Procivis AG
1
Taiwán
Chunghwa Telecom Laboratories (CHTTL)
1
Turquía
Duru Bilişim
1
Fuente: lista de participantes del informe (cláusula 4). Denominaciones tal como figuran en él, salvo el nombre del ministerio español, traducido.
Resultados en cifras
Los participantes generaron 959 declaraciones y emitieron 11.172 informes de verificación: de media, cada declaración fue verificada por unas 12 herramientas distintas. El formato SD-JWT VC concentró casi dos tercios de la actividad.
Formato
Declaraciones generadas
Verificaciones
Subidas al verificador de conformidad
SD-JWT VC
597
7.842
698
ISO mDL (permiso de conducir móvil)
96
887
330 (mDL y mdoc)
ISO mdoc (otras declaraciones)
266
2.443
Total
959
11.172
1.028
El informe no publica los porcentajes de éxito: los acuerdos de confidencialidad limitan la difusión a estas cifras globales.
Principales conclusiones
La conclusión de fondo es que la especificación funciona, pero todavía no encaja del todo con el resto del ecosistema normativo. El informe recoge 17 cuestiones sobre las especificaciones, que ETSI trasladará a su comité técnico ESI para las próximas versiones. Las agrupo en cinco bloques.
1. Desajustes con otras normas y con el ARF
Datos de identificación personal (PID). La TS 119 472-1 exige que toda declaración mdoc que no sea un mDL use el espacio de nombres org.iso.23220.1. El PID Rulebook del ARF impone eu.europa.ec.eudi.pid.1 con su propio catálogo, de modo que un PID conforme al ARF no cumple la especificación de ETSI.
Firmas CB-AdES y mdoc. ISO/IEC 18013-5 sitúa el elemento x5chain en la cabecera no protegida, mientras que la ETSI TS 119 152-1 lo exige dentro de uHeaders. El resultado es que ninguna firma mdoc puede ser conforme con CB-AdES.
Reglamento de Ejecución (UE) 2026/248. Sus requisitos sobre el identificador del emisor y la cabecera x5c en firmas JAdES cualificadas chocan con los de la especificación, lo que impediría generar declaraciones cualificadas conformes con ambos textos.
2. Certificados de firma de las declaraciones
Exigir el uso de clave digitalSignature contrasta con los perfiles de certificados de ETSI EN 319 412-2 y -3. Se plantea definir un perfil específico para los certificados con que se firman las declaraciones electrónicas de atributos.
El Reglamento eIDAS (anexos IV y VII) exige indicar «la ubicación en la que está disponible gratuitamente» el certificado de firma. La especificación lo resuelve con las cabeceras x5u y x5t#S256, que fijan SHA-256. Los participantes pidieron admitir otros algoritmos (por ejemplo, x5t#o de JAdES) para no atar el formato a una función resumen concreta. Se propone elevar la consulta a la Comisión.
3. Estado y validez de las declaraciones
El servicio de estado se especifica de forma distinta en SD-JWT VC y en mdoc. Además, el RFC 9901 remite a la versión 13 del borrador de Token Status List, cuando la vigente es la 21.
No queda claro por qué las declaraciones de un solo uso (oneTime) deben llevar servicio de estado, si por definición no se conservan.
Los campos adm_nbf y adm_exp se atribuyen a normas del IETF que no los definen.
Se confirma que un sello de tiempo firmado con un certificado de TSU caducado sigue siendo válido mientras el servicio figure en la lista de confianza. Se aclarará en EN 319 102-1, TS 119 615 y TS 119 172-4.
4. Detalles de codificación que rompen la interoperabilidad
Muchas declaraciones codificaron el resumen de vct#integrity en base64url, cuando debe ir en base64.
Los parámetros del certificado del titular (x5c, x5t#S256, x5u) deben ir dentro de un miembro jwk anidado en cnf, no directamente en cnf.
Hay que aclarar si una SD-JWT VC compacta debe ser una firma JAdES completa o basta un JWS simple, y cómo se relaciona el parámetro iat de la cabecera con el claim iat.
Un mDL no debería admitir seudónimo, porque ISO 18013-5 exige nombre, apellidos y número de documento. Los nuevos claims deberían indicar si admiten divulgación selectiva.
5. El verificador de conformidad
La herramienta de ETSI, en beta, recibió 1.028 declaraciones. Los participantes notificaron 9 incidencias: 7 se resolvieron durante el evento y 2 quedaron pendientes (el tipo de fecha de expiry_date y la detección de vct y vct#integrity). Todavía no comprueba el perfil mdoc de la cláusula 6 ni las presentaciones de la TS 119 472-2.
En lo organizativo, ETSI concluye que el formato remoto era la única opción viable para un ejercicio de este tamaño, y destaca el papel de Discord como canal técnico y de actas.
Valoración
Este primer Plugtests demuestra que el ecosistema de declaraciones electrónicas de atributos tiene masa crítica: 116 organizaciones y más de 11.000 verificaciones cruzadas en dos meses. También muestra que la interoperabilidad no depende solo de cumplir una norma, sino de que todas las normas implicadas (ETSI, ISO, IETF, el ARF y los actos de ejecución) digan lo mismo.
Destacan tres mensajes para quienes vayan a emitir o verificar declaraciones electrónicas de atributos:
Alinear la TS 119 472-1 con el ARF y los actos de ejecución es urgente, sobre todo en el PID y en las declaraciones cualificadas, antes de que las carteras lleguen a los ciudadanos.
La criptoagilidad tiene que estar en el diseño. Fijar SHA-256 en la referencia al certificado de firma es una decisión que habrá que revisar, y es mejor hacerlo ahora que con millones de declaraciones emitidas. La criptografía tiene que ser ya postcuántica.
Los detalles de codificación importan. Errores como base64 frente a base64url bastan para que una declaración válida sea rechazada por otro verificador.
La fuerte participación española, que incluye al propio Ministerio para la Transformación Digital y de la Función Pública, es una buena noticia de cara al despliegue de la Cartera de Identidad Digital Europea en España.
He dedicado unos días a leer el borrador (versión V-12, de 29 de septiembre de 2026) y a compararlo con lo que ya han aprobado otros Estados miembros. Resumo aquí lo que regula, lo que echo en falta y cómo lo han resuelto fuera de nuestras fronteras, con la esperanza de animar a más personas y entidades a participar en el trámite.
Qué regula el proyecto
El proyecto es, sobre todo, una norma de designación de autoridades. En trece artículos, tres disposiciones adicionales y tres finales, reparte los papeles que el Reglamento (UE) n.º 910/2014, modificado por el Reglamento (UE) 2024/1183, encomienda a los Estados miembros:
Función
Organismo designado
Artículo
Proveedor de la cartera del Estado
Agencia Estatal de Administración Digital (AEAD)
7
Punto de contacto único
AEAD
2
Organismo de supervisión
Dirección General de Ordenación de los Servicios de Digitalización y de Comunicación Audiovisual (DGOSDCA)
3
Propietario del esquema de certificación y organismo certificador
Centro Criptológico Nacional (CCN)
4 y 9
Acreditación de organismos de evaluación de la conformidad
ENAC
5
Correspondencia transfronteriza de la identidad
AEAD, Agencia Tributaria y Dirección General de la Policía
6
Registro nacional de partes usuarias de las carteras
AEAD
11
Autorización de proveedores de certificados de acceso y de registro
DGOSDCA
12
Catálogo nacional de fuentes auténticas
Dirección General del Dato
13
Las disposiciones adicionales regulan la verificación previa de quienes expidan declaraciones electrónicas cualificadas de atributos y de los organismos públicos que expidan declaraciones electrónicas de atributos desde una fuente auténtica, y la representación de España en el Grupo de Cooperación sobre la Identidad Digital Europea.
Un plazo demasiado corto
El anuncio se publicó el 1 de octubre de 2026 y las observaciones pueden enviarse hasta el 13 oct 2026 a audienciapublica.prdcarteradigital@digital.gob.es. Son siete días hábiles, contando con que el 12 de octubre es festivo: el mínimo que permite la Ley del Gobierno.
La razón está en el propio anuncio. El Consejo de Ministros acordó el 29 de septiembre de 2026 la tramitación urgente del proyecto (art. 27.1.a de la Ley 50/1997), lo que suprime la consulta pública previa y reduce la audiencia a siete días hábiles (art. 27.2.b). La primera ocasión que tiene la sociedad para opinar sobre la norma es también la última, y dura poco más de una semana.
El anuncio añade algunos detalles prácticos. Las aportaciones deben identificar a su autor (nombre o razón social, datos de contacto y, en su caso, representación). Se consideran públicas, salvo las partes que se marquen y justifiquen como confidenciales. Junto al proyecto se publica la Memoria del Análisis de Impacto Normativo. Y llama la atención que el órgano responsable sea la Agencia Estatal de Administración Digital, la misma que el proyecto designa como proveedor de la cartera, punto de contacto único y registrador de partes usuarias.
Llegados a esta fecha, se entiende la urgencia: el Reglamento obliga a proporcionar al menos una cartera antes del 24 de diciembre de 2026, y las partes usuarias privadas obligadas deberán aceptarla antes del 24 de diciembre de 2027. Pero la prisa no debería reducir la participación a un trámite formal. Esta propuesta debería haberse publicado con más antelación, pero aprovechemos el escaso margen.
Mi manía: «cartera de identidad digital europea»
Quienes me leen ya saben que escribo «Cartera de Identidad Digital Europea» y no «cartera europea de identidad digital», que es la traducción oficial del artículo 3.42 del Reglamento. Es una manía, lo reconozco, pero tiene fundamento: lo europeo es la identidad, no la cartera. En inglés, European Digital Identity Wallet, el bloque European Digital Identity califica entero a Wallet.
La propia versión española del Reglamento me da la razón en otros pasajes:
habla del «Grupo de Cooperación sobre la Identidad Digital Europea» (art. 46 sexies);
define la «etiqueta de confianza de la UE para la cartera de identidad digital» (art. 3.50);
y usa «marco europeo de identidad digital», donde el adjetivo sí corresponde al marco.
No me hago ilusiones: el francés, el italiano o el alemán también ponen el adjetivo «europeo» junto a la cartera. Por eso no propongo cambiar la definición por las bravas, sino una cláusula de equivalencia en el real decreto y una corrección de la versión española del Reglamento. Fuera de esta excepción, defiendo lo contrario: que el real decreto respete la terminología oficial, cosa que hoy no siempre hace. Usa «autenticación fuerte» en lugar de «autenticación reforzada de usuario», habla de carteras «autorizadas» cuando el Reglamento dice «proporcionadas» y llama de cuatro maneras distintas al organismo de supervisión.
Lo que echo en falta y lo que me choca
Un real decreto que solo designa autoridades se queda corto. Estas son las carencias que me parecen más relevantes:
Supervisor y supervisado bajo el mismo techo. El artículo 46 bis exige que el organismo de supervisión actúe de forma independiente, pero DGOSDCA y AEAD pertenecen al mismo Ministerio.
Un punto de contacto único que no es único. El artículo 46 quater pide uno solo para servicios de confianza, carteras y sistemas de identificación notificados; el proyecto lo designa solo para las carteras y no coincide con el supervisor de los Prestadores Cualificados de Servicios de Confianza.
Nada sobre la verificación de atributos frente a fuentes auténticas. El artículo 45 sexies obliga a que los prestadores cualificados puedan contrastar domicilio, edad, titulaciones, poderes o datos societarios con la fuente correspondiente. Sin ese mecanismo no habrá mercado de declaraciones electrónicas cualificadas de atributos.
Personas jurídicas y representación, ausentes. El Reglamento incluye a las personas jurídicas y a quienes actúan en nombre de otros; el proyecto solo contempla titulares de DNI o NIE.
Solo la cartera del Estado. No hay procedimiento para reconocer carteras proporcionadas por mandato o de forma independiente, como permite el artículo 5 bis.2. No se indica la posibilidad de certificar las Carteras en esquemas de certificación de otros países.
El número de DNI o NIE como atributo obligatorio, que facilita vincular la actividad del usuario entre partes usuarias. La definición del PID indica que este número es opcional y probablemente no se incluirá en relaciones con ciudadanos de otros países.
Un requisito que el Reglamento no exige: condicionar la cualificación de los prestadores de declaraciones cualificadas a la conformidad con el esquema de certificación de las carteras.
Barreras a prestadores de otros Estados miembros para expedir certificados de acceso de parte usuaria.
Qué han hecho otros Estados miembros
Varios países ya han aprobado o tramitan su normativa, casi siempre con rango de ley y con bastante más contenido que la mera designación de autoridades. Doy el título en español y en la lengua original, y un resumen de lo principal. Los artículos citados proceden de los textos consultados y conviene contrastarlos con la publicación oficial.
Alemania — proyecto de ley en el Bundestag
Proyecto de Ley de aplicación de las disposiciones de la Unión sobre la Cartera de Identidad Digital Europea y de modificación de otras disposiciones (DIdG) — Entwurf eines Gesetzes zur Durchführung der unionsrechtlichen Vorschriften über die Europäische Brieftasche für die Digitale Identität sowie zur Änderung anderer Rechtsvorschriften, BT-Drs. 21/7408, de 29 de julio de 2026. Audiencia pública en el Bundestag el 6 de octubre de 2026.
Tres modelos de provisión a elección del Ministerio Federal de Digitalización: directa, por contrato público o reconociendo carteras privadas.
La Agencia Federal de Redes (BNetzA) es organismo de supervisión y punto de contacto único; la Oficina Federal de Administración (BVA), registrador de partes usuarias; la Oficina Federal de Seguridad de la Información (BSI), responsable de la certificación y de las violaciones de seguridad.
Datos de identificación de personas jurídicas a partir de los registros mercantil, de cooperativas, de fundaciones y de asociaciones; la representación se acredita con declaraciones electrónicas de atributos.
El emisor de los datos de identificación no puede ser el proveedor de la cartera, y este debe ser técnicamente incapaz de conocer su contenido.
En 24 meses, las autoridades federales deberán expedir sus documentos como declaraciones electrónicas de atributos, con valor equivalente a la forma escrita.
Multas de hasta 5 millones de euros o el 1 % del volumen de negocio (Ley de servicios de confianza).
Finlandia — en vigor desde el 1 de octubre de 2026
Proyecto de ley del Gobierno sobre la legislación complementaria del Reglamento de la UE relativo a la identificación electrónica transfronteriza, los servicios de confianza y la identidad digital europea — Hallituksen esitys eduskunnalle rajat ylittävää sähköistä tunnistamista, luottamuspalveluita ja eurooppalaista digitaalista identiteettiä koskevaa EU:n asetusta täydentäväksi lainsäädännöksi, HE 17/2026 vp. Incluye una nueva Laki digitaalisesta henkilöllisyystodistuksesta (Ley del documento de identidad digital).
Proveedor: la Agencia de Servicios Digitales y de Datos de Población (DVV). Supervisor y registrador: la Agencia de Transportes y Comunicaciones (Traficom), un organismo distinto.
Se admiten carteras privadas que cumplan los requisitos.
La Oficina de Patentes y Registros expide los datos de identificación de las personas jurídicas desde el Registro Mercantil.
Primera credencial: un certificado de identidad digital derivado del pasaporte o del documento de identidad.
Cartera gratuita y voluntaria; firma electrónica cualificada gratuita para uso no profesional.
Dinamarca — en vigor desde el 1 de abril de 2026
Ley sobre la cartera nacional de identidad digital — Lov om den nationale digitale identitetstegnebog, LOV nr. 301 af 24/02/2026.
La Agencia de Digitalización gestiona la cartera, el servicio de expedición de credenciales y el registro de partes usuarias.
Las autoridades responsables de fuentes auténticas deben expedir sus credenciales a través de ese servicio común.
Las entidades deben registrarse para recibir credenciales en línea, salvo para la mera verificación de edad; la Agencia puede suspender a quien actúe de forma fraudulenta.
Regula los efectos jurídicos de las credenciales, la responsabilidad e indemnización y el reparto de responsabilidades de tratamiento de datos.
Eslovaquia — en vigor desde el 1 de enero de 2025
Ley n.º 365/2024, de 27 de noviembre de 2024, por la que se modifica y completa la Ley n.º 272/2016 de servicios de confianza para las transacciones electrónicas en el mercado interior — Zákon z 27. novembra 2024, ktorým sa mení a dopĺňa zákon č. 272/2016 Z. z. o dôveryhodných službách pre elektronické transakcie na vnútornom trhu (n.º 365/2024 Z. z.).
El Ministerio del Interior proporciona la cartera y mantiene la lista de partes usuarias.
La Autoridad Nacional de Seguridad (NBÚ) supervisa tanto los servicios de confianza como el marco de la cartera.
Los proveedores de carteras deben ser prestadores cualificados de servicios de confianza o tener contrato con uno.
Multas de hasta 500.000 euros a proveedores de carteras y de hasta 5 millones o el 1 % a prestadores cualificados.
Luxemburgo — proyecto de ley
Proyecto de ley relativa a la implantación de la cartera de identidad digital europea y por la que se aplica el Reglamento (UE) 2024/1183 — Projet de loi relative à la mise en place du portefeuille européen d’identité numérique et portant mise en œuvre du règlement (UE) 2024/1183, n° 8583, presentado el 14 de julio de 2025.
Proveedor: el Centro de Tecnologías de la Información del Estado (CTIE). Supervisor: el Instituto Luxemburgués de Regulación (ILR), regulador independiente.
El registro de partes usuarias es público; para inscribirse se exige, entre otros, un certificado de antecedentes penales.
Los datos de identificación incluyen un número administrativo seudonimizado.
Inspecciones, medidas correctoras y multas de hasta 1 millón de euros; recurso ante el Tribunal administrativo.
Italia — en vigor, en fase de experimentación
Decreto-ley n.º 19, de 2 de marzo de 2024, de disposiciones urgentes para la aplicación del Plan de Recuperación — Decreto-legge 2 marzo 2024, n. 19, «Ulteriori disposizioni urgenti per l’attuazione del Piano nazionale di ripresa e resilienza (PNRR)», que introduce el artículo 64-quater del Código de la Administración Digital, «Sistema di portafoglio digitale italiano – Sistema IT-Wallet». Lo desarrolla el Decreto del Presidente del Consejo de Ministros de 31 de julio de 2026 sobre los organismos nacionales competentes para la identidad digital europea — «Organismi nazionali competenti per l’identità digitale europea».
Cartera pública en la aplicación IO, proporcionada por PagoPA, y carteras privadas acreditadas con requisitos de solvencia y seguros.
La Agencia para la Italia Digital (AgID) es organismo de supervisión, punto de contacto único y registrador; el Instituto Poligráfico (IPZS), proveedor de los datos de identificación; la Agencia Nacional de Ciberseguridad (ACN), propietaria del esquema de certificación.
Ocho declaraciones prioritarias, entre ellas títulos académicos, tarjeta sanitaria, permiso de conducir y tarjeta de discapacidad.
En tramitación o en estudio
Polonia:Projekt ustawy o zmianie ustawy o usługach zaufania oraz identyfikacji elektronicznej oraz niektórych innych ustaw (Proyecto de ley de modificación de la Ley de servicios de confianza e identificación electrónica y de otras leyes, UC122), publicado el 19 de febrero de 2026. Adapta mObywatel, ofrece firma cualificada gratuita para uso no profesional y obliga a las fuentes auténticas a ofrecer verificación a los prestadores cualificados.
Chequia:Návrh zákona, kterým se mění zákon č. 297/2016 Sb., o službách vytvářejících důvěru pro elektronické transakce, zákon č. 250/2017 Sb., o elektronické identifikaci, a zákon č. 634/2004 Sb., o správních poplatcích (Proyecto de ley por el que se modifican las leyes de servicios de confianza, de identificación electrónica y de tasas administrativas), aprobado por el Gobierno en marzo de 2026. La cartera la operará un concesionario privado.
Suecia:SOU 2024:45 Kompletterande bestämmelser till EU:s reviderade förordning om elektronisk identifiering (Disposiciones complementarias al Reglamento revisado de la UE sobre identificación electrónica), informe de 2024 que propone separar proveedor (Digg) y supervisor (PTS), admitir carteras privadas y sanciones de hasta 5 millones de euros.
Participar, aunque el tiempo apriete
La comparación deja una conclusión clara: España necesitará, además de este real decreto, una norma con rango de ley que regule aspectos pendientes no cubiertos por el Reglamento EIDAS2: el valor jurídico de las declaraciones electrónicas de atributos y el encaje de la cartera con la Ley 39/2015, uso de Cl@ve, Carpeta Ciudadana, utilización en Lexnet y Citius… Pero lo urgente es mejorar el texto que hoy está en audiencia.
Animo a todas las partes interesadas en los servicios de confianza a leer el proyecto y enviar sus observaciones, hasta el 13 de octubre de 2026, a audienciapublica.prdcarteradigital@digital.gob.es.
Quien quiera comentar conmigo estas ideas y otras que se le ocurran puede escribirme a julian (at) inza.net . También puede contactar con EADTrust en info@eadtrust.com o en el 91 716 05 55.
Después de Ginebra, Tallin y Sophia Antipolis, la siguiente parada de este otoño dedicado a la confianza digital será Poznań. Los días 14 y 15 de octubre asistiré al Trusted Economy Forum 2026, uno de los encuentros europeos con más solera en firma electrónica, identificación y servicios de confianza. Llega en el mejor momento: a dos meses del plazo de diciembre de 2026 en que los Estados miembros deben poner a disposición de sus ciudadanos la Cartera Europea de Identidad Digital.
Como conté en mi artículo sobre Ginebra, Tallin y Sophia Antipolis, cada foro aporta una pieza distinta del puzle. Ginebra aportó la gobernanza global, Tallin la certificación y los prestadores cualificados, y Sophia Antipolis la normalización y los grandes pilotos. Poznań añade algo que no siempre se encuentra en otros escenarios: el punto de vista de quienes ya están integrando carteras, firmas y verificación de identidad en procesos reales de bancos, aseguradoras, administraciones locales y empresas.
Un foro con casi dos décadas de historia
El Trusted Economy Forum es heredero del European Electronic Signature Forum, que celebró 19 ediciones. Entre 2020 y 2023 lo organizó Asseco Data Systems, y desde 2024 lo organiza Obserwatorium.biz. Pocas citas europeas pueden presumir de una continuidad así en el sector de la confianza digital.
El lema de este año es «Connected by trust». Se espera a cerca de 300 participantes de unos 20 países, con representación de la administración pública, la empresa, la universidad y la industria tecnológica. La sede es Concordia Design, en Poznań, y las sesiones serán en inglés con traducción simultánea al polaco.
El comité de programa reúne a nombres muy conocidos en el sector:
Arno Fiedler (Nimbus Technologieberatung), referente del ETSI ESI.
Sławomir Górniak, experto en Ciberseguridad de ENISA.
Viky Manaila, presidenta del Cloud Signature Consortium.
Andrzej Ruciński, Experto en identificación y firma electrónica. Presidente en Grupos de normalización
Dariusz Szostek, CEO de Szostek Digital y Profesor de la Universidad de Silesia
Michał Tabor, Socio de Obserwatorium.biz Experto en identificación y firma electrónica. Editor de estándares en ETSI.
ETSI figura como patrocinador honorífico.
Un programa en seis módulos
El programa cubre todo el recorrido de la confianza digital, desde la regulación hasta la experiencia del usuario:
On the way to European Identity Wallets. How prepared are we? Estado de la implantación de la EUDI Wallet antes de diciembre de 2026.
Trust trends. Nuevos servicios, mercados y tecnologías, entre ellos la criptografía postcuántica, la procedencia del contenido generado por IA y el Pasaporte Digital de Producto.
Digital market players. Cómo funcionar en el mercado digital de forma eficiente y conforme a la normativa.
Trust in action! Servicios de confianza, carteras e identificación remota aplicados en empresas y administraciones.
Customer in the centre! La experiencia de usuario en los servicios de confianza y la identificación electrónica.
Global Trust Services. Interoperabilidad y expansión internacional de los servicios de confianza.
Los temas de fondo son los que marcan la agenda europea: la cartera, la firma, el sello y la entrega electrónica certificada, y las declaraciones electrónicas de atributos. También el impacto del Marco Europeo de Identidad Digital y del Sistema Nacional de Ciberseguridad polaco, los modelos de negocio de la identidad digital y la administración electrónica.
Me parece un acierto que el programa combine conferencias con muchos debates. Es en los debates donde aparecen las preguntas que las presentaciones no siempre responden.
Ponentes que merece la pena escuchar
El cartel reúne a más de 60 intervinientes. Varios ya me los he encontrado en otros foros de este año, lo que confirma que se está formando una comunidad europea estable en torno a la cartera.
Carteras nacionales.
Joanna Koczorowska y Rafał Sionkowski (COI) presentarán la cartera polaca.
Adrian Bieschke y Björn Boening, del Ministerio Federal de Asuntos Digitales, explicarán la implantación alemana.
Giorgia Dragoni (Politecnico di Milano) abrirá con el panorama europeo de las carteras.
Certificación. Elżbieta Andrukiewicz, del Instituto Nacional de Telecomunicaciones de Polonia, hablará de la certificación de la EUDI Wallet, un tema que seguimos de cerca en el grupo ad hoc de ENISA.
Pilotos y ecosistema europeo.
Kevin Meijer (Asociación de Pagos de Países Bajos) y Xavier Juredieu (EUROPEUM-EDIC), ambos del consorcio WE BUILD.
Juredieu hablará además de la hoja de ruta de EBSI.
Prestadores de confianza.
Andrea Sassetti (Aruba PEC y AssoCertificatori), Igor Marcolongo (Tinexta InfoCert) y Marcin Szulga (Asseco Data Systems).
Arno Fiedler, sobre C2PA y credenciales de contenido.
Guillaume Forget (Cryptomathic), sobre el Cloud Signature Consortium como pilar de la interoperabilidad. Coincidimos de nuevo con el CSC tras la cumbre de Bogotá.
Experiencia de usuario e integración.
Adrian Doerk (Lissi) y Andreas Freitag (Procivis).
Aleksandra Nowak (IDENTT), sobre la integración de las partes usuarias.
Sector financiero. VISA, BNP Paribas, ING Leasing, BIK y FinTech Poland llevarán el debate a los pagos y la banca.
Mirada global. Karen Mkoyan (imID) presentará el ecosistema de Armenia, alineado con eIDAS. Es una prueba de que el modelo europeo ya se exporta.
Por qué Poznań, y por qué ahora
Lo que distingue al Trusted Economy Forum es su equilibrio. Junta a reguladores y a quienes despliegan, a grandes prestadores y a startups, y a la visión europea con la experiencia de un país, Polonia, que tiene uno de los ecosistemas de identidad digital más activos de la Unión. Que en el mismo programa convivan la cartera, la firma en la nube, la criptografía postcuántica, la procedencia del contenido de IA y el Pasaporte Digital de Producto refleja muy bien hacia dónde va el sector.
Además, el calendario no podría ser más oportuno. Dos semanas después se celebra en Bruselas el EU Digital Identity Wallet Launchpad 2026, del 29 al 30 de octubre. Es la segunda edición de la cita que comenté en EUDI Wallets Launchpad 2025. Seguramente asistiré también, así que Poznań será un buen ensayo de lo que allí se verá. Y en diciembre llegará el evento sobre identidad digital y Business Wallet que preparamos con el Observatorio Legaltech Garrigues-ICADE, continuación de la jornada del 28 de abril.
Volveré de Poznań con notas y contactos, y los compartiré aquí. Si vas a estar allí, escríbeme y nos vemos en Concordia Design.
