Identidad digital, Cartera IDUE, Firma electrónica, Archivo digital, blockchain, Medios de pago, eBanca, administración de justicia. administración pública, Seguridad Jurídica Preventiva Digital
La amenaza cuántica a la criptografía ha dejado de ser un debate académico para convertirse en un problema de gobierno, de cumplimiento y de responsabilidad de los administradores. Y ya empiezan a confirmarse movimientos regulatorios.
Durante años, la computación cuántica se consideró una promesa lejana y los riesgos para la criptografía serían una amenaza remota. Ese relato ha cambiado. Uno de los aspectos, el riesgo relevante para la seguridad de la información no es que exista mañana un ordenador cuántico capaz de romper la criptografía asimétrica actual con el Algoritmo de Shor (RSA, curva elíptica), sino un fenómeno que ya está ocurriendo hoy: el «recolecta ahora, descifra después» (harvest now, decrypt later). Un adversario puede capturar y almacenar hoy tráfico y datos cifrados para descifrarlos cuando disponga de esa capacidad. Todo dato con vida útil larga —historias clínicas, expedientes, secretos industriales, información clasificada— está, en la práctica, ya expuesto. De ahí que una palabra clave que representa la preparación para resistir los ataques es criptoagilidad: la capacidad de una organización de inventariar, sustituir y actualizar sus mecanismos criptográficos con rapidez y sin traumas.
1. El CCN marca el paso, con foco en el sector público
El Centro Criptológico Nacional (CCN) ha actualizado estos días su doctrina criptográfica para orientar la adopción de la criptografía postcuántica, con especial atención al sector público. La guía de buenas prácticas CCN-TEC 009, «Recomendaciones para una transición postcuántica segura» (julio de 2026), se suma a la CCN-STIC 221 de mecanismos criptográficos autorizados (noviembre de 2025) y al aviso expreso del CCN-CERT sobre los graves riesgos que la amenaza cuántica supone para la seguridad de la información y la llamada a prepararse frente a ella. El mensaje institucional es inequívoco: la migración no admite demoras y debe planificarse ya, empezando por inventariar qué se protege, con qué algoritmos y durante cuánto tiempo.
En el plano técnico, el destino está razonablemente definido: los estándares de criptografía postcuántica del NIST ya publicados: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) y el FIPS 206 (FN-DSA) pendiente de publicar, fijan los algoritmos de referencia, y organismos como ENISA y ETSI vienen empujando la migración. Lo difícil no es elegir el algoritmo, sino gobernar la transición en organizaciones con miles de sistemas y dependencias.
2. Hacia una cobertura legal: norma y sentido de urgencia
Lo relevante de este momento es que la iniciativa técnica está recibiendo cobertura legal. Se prepara una norma —previsiblemente un real decreto— que dé amparo jurídico a la transición postcuántica y, sobre todo, transmita sentido de urgencia a administraciones y operadores. No es un gesto aislado: en el 40.º Encuentro de la Economía Digital y las Telecomunicaciones de AMETIC, en Santander, el Gobierno anunció un plan de migración a criptografía postcuántica con horizonte de inicio en torno a 2030-2031 para los sistemas más críticos, articulado en cuatro ejes: inventario de sistemas a migrar (empezando por la Administración General del Estado), calendario de transición por criticidad de los datos, impulso de un ecosistema empresarial español y regulación y apoyo al desarrollo tecnológico propio, con el CCN como interlocutor técnico. Que se hable de calendario y de norma es la señal de que la criptoagilidad pasa de recomendación a obligación gestionada.
3. Las Cortes también analizan el riesgo
El impulso no es solo del Ejecutivo. En sede parlamentaria, la Comisión Mixta de Seguridad Nacional (Congreso-Senado) constituyó una Ponencia de análisis de las amenazas en el ciberespacio, en la era de la Inteligencia Artificial y la Computación Cuántica —creada el 19 de septiembre de 2024—, cuyo informe de riesgos y recomendaciones se aprobó el 24 de marzo de 2026. Que las Cortes hayan analizado formalmente estos riesgos —incluidos, de forma destacada, los que la computación cuántica proyecta sobre la criptografía— y hayan emitido recomendaciones es una señal potente: el asunto ha dejado de ser un tecnicismo del CISO para convertirse en materia de política pública y, potencialmente, de futura legislación.
4. Banca y DORA: la criptoagilidad como deber de buena administración
En el sector financiero, el marco ya existe y se llama DORA (Reglamento (UE) 2022/2554 de resiliencia operativa digital, aplicable desde el 17 de enero de 2025). DORA obliga a las entidades a una gestión rigurosa del riesgo TIC —incluidos el cifrado y la protección de datos— y crea el terreno natural para desarrollar iniciativas de criptoagilidad ante la inminencia del riesgo cuántico. Y lo hace con una lectura que interesa subrayar: la preparación frente a estos riesgos forma parte del deber de diligencia de los administradores, de lo que cabe llamar una «buena administración» digital. No anticipar un riesgo conocido, documentado por los organismos técnicos y con estándares ya disponibles, es difícilmente defendible desde el punto de vista de la responsabilidad de administradores y directivos. El énfasis, además, está en la protección de los usuarios bancarios, cuyos datos y operaciones no pueden quedar expuestos a la ventana del «recolecta ahora, descifra después».
5. El ecosistema español y AMETIC
La otra cara de la moneda es industrial: el sector de la computación cuántica se está desarrollando en España, y sus principales empresas se agrupan en torno al grupo de trabajo de Tecnologías Cuánticas de AMETIC. En el 40.º Encuentro de la Economía Digital y las Telecomunicaciones (Santander, #SANTANDER40, septiembre de 2026), AMETIC entregó sus Premios de Tecnologías Cuánticas 2026 —con reconocimientos a Kilimanjaro Quantum Tech y GMV— y concedió una mención especial a Garrigues por su coautoría de un informe pionero a nivel internacional sobre regulación, ética y gobernanza de las tecnologías cuánticas, acompañado del lanzamiento de un observatorio digital de acceso libre. Es un reconocimiento significativo, porque subraya algo que a veces se pasa por alto: la transición postcuántica no es solo un reto criptográfico, sino también jurídico y ético —gobernanza del riesgo, responsabilidad, protección de derechos— y ese marco hay que construirlo con rigor.
6. De la doctrina a la práctica: formación y acompañamiento
Garrigues es el principal accionista de EADTrust, y esa combinación —firma jurídica de referencia y agencia especializada en confianza digital— es exactamente la que hace falta para traducir todo lo anterior en acción. Desde EADTrust desarrollamos formación «In Company» que describe el marco legal que impulsa la adopción de la criptoagilidad: qué exige el CCN, qué implica DORA, qué responsabilidad recae en los administradores y cómo se convierte todo eso en un plan de inventario, priorización y migración criptográfica realista. Porque el obstáculo, en la mayoría de las organizaciones, no es la falta de algoritmos, sino la falta de gobernanza: quién es responsable, con qué calendario, con qué evidencias y bajo qué obligaciones.
Formación y Servicios Profesionales de EADTrust
La criptoagilidad y la transición postcuántica ya no son un ejercicio de futuro: el CCN marca el paso, se prepara cobertura normativa, el Senado analiza la necesidad de regular y DORA convierte la preparación en un deber de buena administración. En EADTrust (European Agency of Digital Trust) participada mayoritariamente por Garrigues, distinguida con una mención especial en los Premios de Tecnologías Cuánticas 2026 de AMETIC por su informe sobre regulación, ética y gobernanza de las tecnologías cuánticas, ayudamos a empresas y organismos a anticiparse.
Ofrecemos:
Formación «In Company» sobre computación cuántica y el marco legal que impulsa la criptoagilidad, con dos ponentes complementarios:
Jorge Christen, creador de la metodología ENSAR (Experience-Name-Speak-Apply-Repeat), lleva a los asistentes desde no saber nada de física cuántica hasta programar programas sencillos en el simulador de computación cuántica de IBM, sin requerir conocimientos previos.
Ainhoa Inza aborda el marco legal, la estandarización del NIST, la descripción de los algoritmos criptográficos (clásicos y postcuánticos) y el marco de criptoagilidad (CCN, DORA, responsabilidad de los administradores y hoja de ruta postcuántica).
Servicios profesionales de acompañamiento: análisis de impacto normativo, inventario de activos criptográficos, plan de criptoagilidad y priorización de la migración por criticidad.
Si tu organización puede verse impactada por la computación cuántica —sector público, banca y finanzas, sanidad, infraestructuras críticas o cualquier tratamiento de datos con vida útil larga—, hablemos. Contacta por correo electrónico en info@eadtrust.com o por teléfono en el 917 160 555 (también 902 365 612). Más información en eadtrust.com.
Recorrido legislativo y encaje en eIDAS2. Estado del expediente a septiembre de 2026.
La European Business Wallet avanza en el procedimiento legislativo ordinario y estos meses concentran sus pasos decisivos. Antes de entrar en el detalle, conviene situar dónde está hoy el expediente.
Estado a septiembre de 2026: el Consejo fijó su posición negociadora (orientación general) el 9 de junio de 2026; el Comité de las Regiones adoptó su dictamen el 1 de julio de 2026; y la comisión ITRE del Parlamento Europeo tiene previsto votar su informe el 10 de septiembre de 2026, el paso que abrirá la puerta a los trílogos. A la fecha de esta entrada, la votación de ITRE es inminente pero aún no se ha celebrado, y no hay todavía posición del Pleno ni negociaciones interinstitucionales en marcha.
Qué es la European Business Wallet
La European Business Wallet (EBW) es una cartera digital pensada para toda empresa de la UE (con especial atención a las pymes) con la que identificarse digitalmente, firmar (sellar) electrónicamente y relacionarse con plena eficacia jurídica tanto con las administraciones públicas (B2G) como con otras empresas (B2B) a través de las fronteras. Entre sus funciones nucleares: identificación y autenticación con un identificador único y persistente de empresa; firmas y sellos electrónicos y sellado de tiempo; emisión, custodia e intercambio de documentos electrónicos verificados y credenciales de atributos de empresa (licencias, certificados, permisos, extractos); gestión de mandatos y poderes de representación (quién puede actuar por la sociedad); y entrega electrónica certificada y comunicación segura, habilitando además la facturación electrónica y la reutilización de datos bajo el principio de «solo una vez» (OOTS).
La Comisión la presentó como pieza de la agenda de simplificación (el «Digital Omnibus»), con una estimación de ahorro de al menos 150 000 millones de euros anuales para las empresas europeas.
Encaje en eIDAS2
La EBW se construye sobre la misma arquitectura de confianza que la cartera de identidad digital europea (EUDI Wallet) del Reglamento (UE) 910/2014 (eIDAS2), al que la propuesta modifica de forma limitada para alinear ambos instrumentos. La distinción esencial es el sujeto: la EUDI Wallet se orienta a las personas físicas, mientras que la EBW se orienta a las personas jurídicas / empresas, añadiendo la identidad organizativa, los mandatos y poderes de representación y las certificaciones asociadas a las actividades de negocio. En la práctica, la EBW reutiliza el andamiaje de servicios de confianza de eIDAS2 (firma y sello electrónicos, sellos de tiempo, entrega electrónica certificada, listas de confianza) y lo proyecta al mundo de la empresa.
Recorrido legislativo
La propuesta sigue el procedimiento legislativo ordinario (procedimiento 2025/0358(COD)). Estos son los hitos con fecha:
Fecha
Órgano
Hito
19 nov 2025
Comisión Europea
Adopción de la propuesta de Reglamento — COM(2025) 838 final.
19 ene 2026
Parlamento Europeo
Remisión anunciada en el Pleno; ITRE como comisión competente, ponente Eero Heinäluoma (S&D, FI).
20 ene 2026
SEPD (EDPS)
Dictamen 5/2026 sobre la propuesta.
18 mar 2026
CESE
Dictamen INT/1110 (ponente Philip Von Brockdorff).
~1 abr 2026
Parlamento Europeo
Proyecto de informe de ITRE (PE785.244).
23 abr 2026
Parlamento Europeo
Plazo de enmiendas en comisión.
4 jun 2026
Parlamento Europeo
Opinión de la comisión IMCO.
8 jun 2026
Parlamento Europeo
Opinión de la comisión JURI (ponente Axel Voss).
9 jun 2026
Consejo de la UE
Orientación general (posición negociadora), Consejo TTE, Presidencia chipriota.
1 jul 2026
Comité de las Regiones
Dictamen adoptado (ponente Branislav Zacharides): integración con el Portal Digital Único / OOTS y apoyo a las pymes. (Nuevo)
10 sep 2026 (previsto)
Parlamento Europeo
Votación del informe en la comisión ITRE — inminente; abre la vía a los trílogos. (Nuevo)
Pendiente
PE / Consejo
Posición del Pleno del PE y trílogos (no iniciados).
El expediente en el observatorio legislativo del Parlamento (OEIL) figura todavía como «a la espera de la decisión de la comisión».
El acuerdo general del Consejo (9 de junio de 2026)
El Consejo introdujo varios cambios de calado sobre la propuesta de la Comisión: que las EBW complementen, y no sustituyan, los sistemas nacionales B2B/B2G existentes (énfasis en la interoperabilidad); un listón más alto de ciberseguridad y de autorización para los proveedores de cartera; una ampliación del plazo de evaluación de las solicitudes de proveedor por los organismos de supervisión de 30 a hasta 60 días; y mayor remisión del detalle a actos de ejecución de la Comisión. El objetivo político reiterado es alcanzar un acuerdo para finales de 2026.
Puntos de debate
Voluntariedad frente a obligatoriedad. De momento la EBW es voluntaria para las empresas (no impone obligaciones directas de negocio), pero la cláusula de revisión podría endurecer esto más adelante.
Ámbito y solapamiento. Debe complementar los sistemas nacionales y el OOTS, no duplicarlos (insistencia del Consejo y del Comité de las Regiones).
Pymes y coste. CESE y Comité de las Regiones piden incentivos, financiación y sencillez para que la carga no recaiga en las pequeñas empresas.
Protección de datos y soberanía de nube europea. Dictamen del SEPD 5/2026; en el Parlamento se defiende que los datos de la cartera se alojen en proveedores de nube europeos y se almacenen en la UE.
Ciberseguridad y autorización de proveedores. El Consejo elevó el umbral y amplió los plazos de evaluación.
Calendario de aplicación previsible
Sujeto al resultado de la negociación, el esquema que se maneja es: entrada en vigor tras la adopción (previsiblemente a principios de 2027, con la publicación en el DOUE); a los 24 meses, obligación de todas las administraciones públicas de aceptar las funciones nucleares de la EBW (sin poder rechazar una actuación válida por el mero hecho de ser digital); y a los 3 años, revisión de la Comisión, incluida la valoración de si conviene ampliar el ámbito o hacer obligatorio su uso.
Qué aspectos requerirán nuestra atención
El siguiente hito determinante es la votación de ITRE del 10 de septiembre de 2026: fijará la posición negociadora del Parlamento y, con el mandato del Consejo ya listo desde junio, permitirá abrir los trílogos con vistas al acuerdo político de finales de 2026.
Servicios Profesionales de EADTrust
La recopilación y el análisis de esta información se enmarcan en los Servicios Profesionales de EADTrust (European Agency of Digital Trust). Si tu organización (administración pública o empresa) está valorando proyectos de adaptación a las carteras de identidad y de empresa (EUDI Wallet y European Business Wallet) o de desarrollo del ecosistema eIDAS2, en EADTrust podemos acompañarte en el análisis normativo, el diseño y la implantación.
Contacta con nosotros por correo electrónico en info@eadtrust.com o por teléfono en el 902 365 612 o en el 91 7160555. Más información en eadtrust.com.
En aquellos artículos fui listando los actos de ejecución de eIDAS2 (Reglamento (UE) 2024/1183, que modifica el Reglamento (UE) 910/2014) a medida que se adoptaban. Esta actualización completa la lista con lo aparecido después de febrero de 2026 e incluye la información adicional sobre la que me preguntan quienes tienen que implementar algún aspecto del nuevo marco regulatorio de confianza digital: la correspondencia entre cada Reglamento de Ejecución y las normas técnicas de ETSI y CEN que lo hacen operativo, indicando entre paréntesis, junto a cada norma, el Reglamento que la menciona. Cada acto lleva enlace al texto del DOUE en español (ES) e inglés (EN).
Siglas usadas (terminología oficial en español): DEA = declaración electrónica de atributos; DECA = declaración electrónica cualificada de atributos (la variante cualificada).
Qué ha cambiado desde la última lista
Lo más reciente es un trío de reglamentos modificativos de julio de 2026 (adoptados el 15 de julio, publicados el 22 de julio), que no crean materias nuevas sino que actualizan actos existentes: CIR (UE) 2026/1730 (más transparencia en el registro de partes usuarias, modifica el 2025/848), CIR (UE) 2026/1731 (alinea los cuatro actos núcleo de la cartera con la versión 3.0.0 del ARF, superando la v2.8.0) y CIR (UE) 2026/1735 (exige firmar o sellar los resultados de verificación contra fuentes auténticas y remite a ETSI TS 119 471 y TS 119 478). Antes de ese trío, los dos actos de 2026 fueron el CIR (UE) 2026/798 (alta remota en la cartera hasta el nivel «alto») y el CIR (UE) 2026/248 (formatos de firma/sello para el sector público, sucesor de la Decisión 2015/1506). A fecha de esta entrada (agosto de 2026), el trío 2026/1730-1731-1735 es lo más reciente publicado.
Lista completa y actualizada de actos de ejecución
Bloque cartera (EUDI Wallet) -> noviembre de 2024
CIR (UE) 2024/2977 -> datos de identificación de la persona (PID) y declaraciones electrónicas de atributos emitidas a la cartera. [ES · EN]
CIR (UE) 2024/2979 -> integridad y funcionalidades básicas de la cartera. [ES · EN]
CIR (UE) 2024/2980 -> notificaciones a la Comisión sobre el ecosistema de la cartera. [ES · EN]
CIR (UE) 2024/2981 -> certificación de las carteras. [ES · EN]
CIR (UE) 2024/2982 -> protocolos e interfaces del marco de identidad digital europea. [ES · EN]
Bloque cartera y partes usuarias -> mayo de 2025
CIR (UE) 2025/846 -> emparejamiento transfronterizo de identidades de personas físicas. [ES · EN]
CIR (UE) 2025/847 -> reacciones ante brechas de seguridad de las carteras. [ES · EN]
CIR (UE) 2025/848 -> registro de las partes usuarias (incluye los certificados de acceso de parte usuaria). [ES · EN]
CIR (UE) 2025/849 -> lista de carteras certificadas. [ES · EN]
Bloque identidad y servicios de confianza -> 29 de julio de 2025
CIR (UE) 2025/1566 -> verificación de la identidad y los atributos del solicitante (identity proofing). [ES · EN]
CIR (UE) 2025/1567 -> gestión a distancia de dispositivos de creación de firma y de sello (firma/sello «en la nube»). [ES · EN]
CIR (UE) 2025/1568 -> revisiones inter pares de los esquemas de identificación electrónica (deroga la Decisión (UE) 2015/296). [ES · EN]
CIR (UE) 2025/1569 -> declaraciones electrónicas de atributos, cualificadas y del sector público. [ES · EN]
CIR (UE) 2025/1570 -> notificación de información sobre dispositivos cualificados certificados de creación de firma y de sello. [ES · EN]
CIR (UE) 2025/1571 -> formatos y procedimientos de los informes anuales de los organismos de supervisión. [ES · EN]
CIR (UE) 2025/1572 -> notificación de intención y verificación para el inicio de servicios de confianza cualificados. [ES · EN]
Bloque servicios de confianza -> 29 de septiembre de 2025
CIR (UE) 2025/1929 -> sellos cualificados de tiempo electrónicos. [ES · EN]
CIR (UE) 2025/1942 -> servicios cualificados de validación de firmas y sellos cualificados. [ES · EN]
CIR (UE) 2025/1943 -> certificados cualificados de firma electrónica y de sello electrónico. [ES · EN]
CIR (UE) 2025/1945 -> validación de firmas/sellos cualificados y de AdES basadas en certificado cualificado. [ES · EN]
CIR (UE) 2025/1946 -> servicios cualificados de preservación de firmas y sellos electrónicos. [ES · EN]
Bloque gobernanza y servicios no cualificados -> octubre de 2025
CIR (UE) 2025/2160 -> gestión de riesgos de los servicios de confianza no cualificados. [ES · EN]
CIR (UE) 2025/2162 -> acreditación de los organismos de evaluación de la conformidad. [ES · EN]
CIR (UE) 2025/2164 (Decisión) -> lista de confianza: versión de la norma de la plantilla común (modifica la Decisión de Ejecución (UE) 2015/1505). [ES · EN]
Bloque servicios de confianza -> 16 de diciembre de 2025
CIR (UE) 2025/2527 -> certificados cualificados de autenticación de sitios web (QWAC). [ES · EN]
CIR (UE) 2025/2530 -> requisitos de los prestadores cualificados de servicios de confianza (acto «paraguas»). [ES · EN]
CIR (UE) 2025/2531 -> libros registro electrónicos cualificados. [ES · EN]
CIR (UE) 2026/248 -> formatos de firmas y sellos electrónicos avanzados reconocibles por el sector público (deroga la Decisión (UE) 2015/1506). [ES · EN]
CIR (UE) 2026/798 -> alta remota (onboarding) en la cartera con elevación del nivel «sustancial» al nivel «alto». [ES · EN]
CIR (UE) 2026/1730 -> modifica el CIR (UE) 2025/848 (registro de partes usuarias): más transparencia (URL de política de privacidad). [ES · EN]
CIR (UE) 2026/1731 -> modifica los actos núcleo de la cartera (2024/2977, 2024/2979, 2024/2980, 2024/2982) para alinearlos con el ARF v3.0.0. [ES · EN]
CIR (UE) 2026/1735 -> modifica el CIR (UE) 2025/1569 (declaraciones de atributos): firma/sellado de los resultados de verificación contra fuentes auténticas. [ES · EN]
Relación de normas ETSI y CEN, con el Reglamento que las cita
Entre paréntesis, tras cada norma, figura el Reglamento de Ejecución que la menciona; cuando una norma se cita en varios actos, se indican todos.
Requisito horizontal para todo prestador
ETSI EN 319 401 -> Requisitos generales de política para prestadores de servicios de confianza (CIR (UE) 2025/1566; 2025/1567; 2025/1569; 2025/1929; 2025/1943; 2025/1944; 2025/1946; 2025/2160; 2025/2531; 2025/2532; 2026/798).
Certificados cualificados
ETSI EN 319 411-1 -> Requisitos para PSC que emiten certificados; Parte 1, general (CIR (UE) 2025/1943; 2025/1942; 2025/1944; 2025/848).
ETSI EN 319 411-2 -> Parte 2, certificados cualificados de la UE (CIR (UE) 2025/1943; 2025/2527).
ETSI EN 319 412-1/-2/-3/-5 -> perfiles de certificados y QCStatements (CIR (UE) 2025/1943).
CEN/TS 419261:2015 -> sistemas fiables que gestionan certificados y sellos de tiempo (CIR (UE) 2025/1943).
Certificados de autenticación de sitio web (QWAC)
ETSI TS 119 411-5 -> perfil para certificados de autenticación web/TLS (CIR (UE) 2025/2527).
ETSI EN 319 421 -> política de PSC que emiten sellos de tiempo (CIR (UE) 2025/1929; 2025/2532).
ETSI EN 319 422 -> protocolo de sellado de tiempo y perfil del token (CIR (UE) 2025/1929).
Validación de firmas y sellos
ETSI EN 319 102-1 -> creación y validación de AdES; Parte 1 (CIR (UE) 2025/1942; 2025/1945; 2025/1946).
ETSI TS 119 102-2 -> informe de validación de firma (CIR (UE) 2025/1942; 2025/1945).
ETSI TS 119 441 -> política de servicios de validación (CIR (UE) 2025/1942).
ETSI TS 119 172-1/-4 -> políticas de firma (CIR (UE) 2025/1942; 2025/1945; 2025/1946).
ETSI TS 119 101 -> aplicaciones de creación y validación de firma (CIR (UE) 2025/1942; 2025/1945; 2025/1946).
ETSI TS 119 612 -> Listas de confianza (Trusted Lists) (CIR (UE) 2025/1942; 2025/1945; 2025/1946; CID 2025/2164 (versión de la norma de la plantilla / standard version of the template)).
Gestión a distancia de dispositivos (firma remota)
ETSI TS 119 431-1 -> componente del PSC que opera el dispositivo remoto de creación de firma (CIR (UE) 2025/1567).
Verificación de identidad y alta remota
ETSI TS 119 461 -> verificación de identidad de los sujetos de servicios de confianza (CIR (UE) 2025/1566; 2026/798).
Declaraciones electrónicas de atributos
ETSI TS 119 471 -> requisitos para prestadores de declaración de atributos (CIR (UE) 2026/1735 (modifica / amends 2025/1569)).
ETSI TS 119 478 -> perfiles de las declaraciones electrónicas de atributos (CIR (UE) 2026/1735 (modifica / amends 2025/1569)).
Entrega electrónica certificada (QERDS)
ETSI EN 319 521 -> requisitos de prestadores ERDS (CIR (UE) 2025/1944).
ETSI EN 319 522 (partes 1-4) -> marco, contenidos, formatos e interfaces (CIR (UE) 2025/1944).
Preservación
ETSI TS 119 511 -> preservación a largo plazo de firmas y datos (CIR (UE) 2025/1946).
Libros registro electrónicos
ETSI EN 319 122-1, EN 319 132-1, TS 119 182-1 -> perfiles CAdES/XAdES/JAdES, con adaptaciones (CIR (UE) 2025/2531).
Archivo electrónico
ETSI EN 319 421 -> sellos de tiempo del servicio de archivo (CIR (UE) 2025/2532).
CEN/TS 18170:2025 -> archivo electrónico, con adaptaciones (CIR (UE) 2025/2532).
Certificación de la cartera y de la ciberseguridad
CEN EN 17640 -> metodología de evaluación de ciberseguridad de tiempo fijo (con EN ISO/IEC 17xxx) (CIR (UE) 2024/2981).
Certificados de acceso de la parte usuaria
ETSI EN 319 411-1 -> política NCP para el certificado de acceso de la parte usuaria (CIR (UE) 2025/848).
No figuran en la tabla los actos que no citan normas ETSI/CEN por número (remiten a ISO/IEC, al ARF o a otros actos): 2024/2977, 2024/2980, 2024/2982, 2025/846, 2025/847, 2025/849, 2025/1568, 2025/1570, 2025/1571, 2025/1572, 2025/2162, 2025/2530 (paraguas), 2026/1730 y 2026/1731 (que actualiza los actos núcleo de la cartera al ARF v3.0.0).
Enlaces oficiales (DOUE) a los actos posteriores a febrero de 2026
CIR (UE) 2026/248 (formatos de firma/sello para el sector público): [ES · EN]
CIR (UE) 2026/798 (alta remota en la cartera, nivel «alto»): [ES · EN]
CIR (UE) 2026/1730 (registro de partes usuarias, transparencia): [ES · EN]
CIR (UE) 2026/1731 (actos núcleo de la cartera, alineación con ARF v3.0.0): [ES · EN]
CIR (UE) 2026/1735 (declaraciones de atributos; firma/sellado de resultados de verificación): [ES · EN]
Nota metodológica y cautelas
Las referencias de norma y su asignación a cada Reglamento están tomadas del texto de cada acto en EUR-Lex.
Aspectos a los que prestar atención: primero, cada Reglamento fija una versión y fecha concretas de la norma (por ejemplo, EN 319 401 v3.1.1 (2024-06), o TS 119 461 v2.1.1 (2025-02)); conviene cotejar esos sufijos contra el anexo del DOUE antes de usarlos en un pliego o auditoría. Segundo, quedan dos comprobaciones finas: si el CIR 2025/1567 cita además TS 119 431-2 / TS 119 432, y si el CIR 2025/1946 cita también TS 119 512 (protocolos de preservación); en la lectura realizada no aparecían. Tercero, los títulos exactos de ETSI TS 119 471 y TS 119 478 (introducidas por el CIR 2026/1735) conviene confirmarlos en el catálogo de ETSI, por ser de aparición reciente.
Como es habitual, iré actualizando esta información a medida que se publiquen nuevos actos o correcciones de errores en el DOUE.
Servicios Profesionales de EADTrust
La recopilación y el análisis de esta información se enmarcan en los Servicios Profesionales de EADTrust (European Agency of Digital Trust). Si tu organización -> administración pública o empresa -> está valorando proyectos de adaptación a las carteras de identidad digital (EUDI Wallet) o de desarrollo del ecosistema eIDAS2, en EADTrust podemos acompañarte en el análisis normativo, el diseño y la implantación.
Contacta con nosotros por correo electrónico en info@eadtrust.com o por teléfono en el [+34 917160555]. Más información en eadtrust.com.
The eIDAS2 implementing acts, up to date -> and the ETSI and CEN standards they cite
In those posts I listed the eIDAS2 implementing acts (Regulation (EU) 2024/1183, amending Regulation (EU) 910/2014) as they were adopted. This update closes the list with what has appeared since, and adds the mapping between each Implementing Regulation and the ETSI and CEN technical standards that make it operational, indicating in parentheses, next to each standard, the Regulation that cites it. Each act links to the OJEU text in Spanish (ES) and English (EN).
Acronyms: EAA = electronic attestation of attributes; QEAA = qualified electronic attestation of attributes.
What has changed since the last list
The most recent items are a trio of amending regulations from July 2026 (adopted 15 July, published 22 July), which update existing acts rather than creating new subject matter: CIR (EU) 2026/1730 (more transparency in the relying-party register, amends 2025/848), CIR (EU) 2026/1731 (aligns the four core wallet acts with ARF v3.0.0, superseding v2.8.0) and CIR (EU) 2026/1735 (requires signing or sealing verification results against authentic sources and refers to ETSI TS 119 471 and TS 119 478). Before that trio, the two 2026 acts were CIR (EU) 2026/798 (remote wallet onboarding to the «high» level) and CIR (EU) 2026/248 (AdES formats for the public sector, successor of Decision 2015/1506). As of this post (August 2026), the 2026/1730-1731-1735 trio is the most recent published.
Complete, updated list of implementing acts
Wallet batch (EUDI Wallet) -> November 2024
CIR (EU) 2024/2977 -> person identification data (PID) and electronic attestations of attributes issued to the wallet. [ES · EN]
CIR (EU) 2024/2979 -> integrity and core functionalities of the wallet. [ES · EN]
CIR (EU) 2024/2980 -> notifications to the Commission on the wallet ecosystem. [ES · EN]
CIR (EU) 2024/2981 -> certification of the wallets. [ES · EN]
CIR (EU) 2024/2982 -> protocols and interfaces of the EU digital identity framework. [ES · EN]
CIR (EU) 2025/2164 (Decisión) -> trusted list: version of the standard for the common template (amends Implementing Decision (EU) 2015/1505). [ES · EN]
CIR (EU) 2026/1731 -> amends the core wallet acts (2024/2977, 2024/2979, 2024/2980, 2024/2982) to align them with ARF v3.0.0. [ES · EN]
CIR (EU) 2026/1735 -> amends CIR (EU) 2025/1569 (attestations of attributes): signing/sealing of verification results against authentic sources. [ES · EN]
ETSI and CEN standards, with the Regulation that cites each
In parentheses, after each standard, is the Implementing Regulation that mentions it; where cited in several acts, all are listed.
Horizontal requirement for every provider
ETSI EN 319 401 -> General Policy Requirements for Trust Service Providers (CIR (EU) 2025/1566; 2025/1567; 2025/1569; 2025/1929; 2025/1943; 2025/1944; 2025/1946; 2025/2160; 2025/2531; 2025/2532; 2026/798).
Qualified certificates
ETSI EN 319 411-1 -> Requirements for TSPs issuing certificates; Part 1, general (CIR (EU) 2025/1943; 2025/1942; 2025/1944; 2025/848).
ETSI EN 319 411-2 -> Part 2, EU qualified certificates (CIR (EU) 2025/1943; 2025/2527).
ETSI EN 319 412-1/-2/-3/-5 -> certificate profiles and QCStatements (CIR (EU) 2025/1943).
CEN/TS 419261:2015 -> trustworthy systems managing certificates and time stamps (CIR (EU) 2025/1943).
Website authentication certificates (QWAC)
ETSI TS 119 411-5 -> profile for web/TLS authentication certificates (CIR (EU) 2025/2527).
ETSI TS 119 612 -> Trusted Lists (CIR (EU) 2025/1942; 2025/1945; 2025/1946; CID 2025/2164 (versión de la norma de la plantilla / standard version of the template)).
Remote signature/seal device management
ETSI TS 119 431-1 -> TSP component operating the remote signature creation device (CIR (EU) 2025/1567).
Identity verification and remote onboarding
ETSI TS 119 461 -> identity proofing of trust-service subjects (CIR (EU) 2025/1566; 2026/798).
Electronic attestations of attributes
ETSI TS 119 471 -> policy/security requirements for attribute attestation providers (CIR (EU) 2026/1735 (modifica / amends 2025/1569)).
ETSI TS 119 478 -> profiles for electronic attestations of attributes (CIR (EU) 2026/1735 (modifica / amends 2025/1569)).
Qualified electronic registered delivery (QERDS)
ETSI EN 319 521 -> ERDS provider requirements (CIR (EU) 2025/1944).
ETSI EN 319 522 (partes 1-4) -> framework, contents, formats and interfaces (CIR (EU) 2025/1944).
Preservation
ETSI TS 119 511 -> long-term preservation of signatures and data (CIR (EU) 2025/1946).
Electronic ledgers
ETSI EN 319 122-1, EN 319 132-1, TS 119 182-1 -> CAdES/XAdES/JAdES profiles, with adaptations (CIR (EU) 2025/2531).
Electronic archiving
ETSI EN 319 421 -> time stamps applied by the archiving service (CIR (EU) 2025/2532).
CEN/TS 18170:2025 -> electronic archiving, with adaptations (CIR (EU) 2025/2532).
Wallet and cybersecurity certification
CEN EN 17640 -> fixed-time cybersecurity evaluation methodology (with EN ISO/IEC 17xxx) (CIR (EU) 2024/2981).
Relying-party access certificates
ETSI EN 319 411-1 -> NCP policy for the relying-party access certificate (CIR (EU) 2025/848).
Acts that do not cite ETSI/CEN standards by number (they refer to ISO/IEC, the ARF or other acts) are omitted from the table: 2024/2977, 2024/2980, 2024/2982, 2025/846, 2025/847, 2025/849, 2025/1568, 2025/1570, 2025/1571, 2025/1572, 2025/2162, 2025/2530 (umbrella), 2026/1730 and 2026/1731 (which aligns the core wallet acts with ARF v3.0.0).
Official OJEU links to the post-February 2026 acts
CIR (EU) 2026/248 (AdES formats for the public sector): [ES · EN]
CIR (EU) 2026/1735 (attestations of attributes; signing of verification results): [ES · EN]
Methodological note and caveats
Standard references and their assignment to each Regulation are taken from each act’s text on EUR-Lex. Three honest caveats: first, each Regulation pins a specific version and date of the standard (e.g. EN 319 401 v3.1.1 (2024-06), or TS 119 461 v2.1.1 (2025-02)); check those suffixes against the OJEU annex before use in a tender or audit. Second, two fine checks remain open: whether CIR 2025/1567 also cites TS 119 431-2 / TS 119 432, and whether CIR 2025/1946 also cites TS 119 512 (preservation protocols); they did not appear in the reading performed. Third, the exact titles of ETSI TS 119 471 and TS 119 478 (introduced by CIR 2026/1735) should be confirmed in the ETSI catalogue, as they are recent standards.
As usual, I will update this post as new acts or corrigenda are published in the OJEU.
EADTrust Professional Services
The compilation and analysis of this information are part of EADTrust’s Professional Services (European Agency of Digital Trust). If your organisation —public administration or company— is considering projects to adapt to digital identity wallets (EUDI Wallet) or to build out the eIDAS2 ecosystem, EADTrust can support you with the regulatory analysis, design and implementation.
He revisado el procedimiento que se utiliza en @firma para explicar la inclusión y clasificación de certificados electrónicos de los Prestadores de Servicios Electrónicos de Confianza y su validación electrónica en entornos de Administraciones Públicas. Es la versión 3.9 del documento «Procedimiento de inclusión y clasificación de certificados en @firma«, publicado en 2018.
Es un documento útil y, en algunos aspectos ya tuvo en cuenta algunos términos alineado con eIDAS —habla de certificados cualificados y de dispositivos QSCD—, pero conserva referencias del marco regulatorio anterior (la Ley 59/2003, terminología de «certificación reconocida», mención al extinto MINETUR y varias URLs obsoletas) que conviene depurar. A continuación resumo las actualizaciones que sugeriría, agrupadas en cuatro bloques. He preparado además una tabla de correcciones que he puesto a disposición de la unidad responsable de publicar el documento oficial.
1. Legislación
Ley 59/2003, de firma electrónica: está derogada. La norma vigente en el ámbito nacional es la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza. Todas las remisiones a la Ley 59/2003 deberían sustituirse.
Reglamento (UE) 910/2014 (eIDAS): sigue vigente, pero está modificado por el Reglamento (UE) 2024/1183 (eIDAS2). Conviene citar esta modificación y, donde proceda, los reglamentos de ejecución de 2024, 2025 y 2026.
2. Terminología
El vocabulario de la Directiva 1999/93/CE y de la Ley 59/2003 quedó sustituido por el de eIDAS:
el «certificado reconocido» se denomina ahora «certificado cualificado«; la «firma reconocida» es ahora la «firma electrónica cualificada«.
un «prestador de servicios de certificación (PSC)» es ahora un «prestador (cualificado) de servicios electrónicos de confianza» (PSCC / QTSP). El acrónimo «PSC» ya no se lee igual.
un «dispositivo seguro de creación de firma (DSCF/SSCD)» ahora se denomina «dispositivo cualificado de creación de firma (QSCD)». El documento aún mezcla los términos SSCD y QSCD; convendría unificar al uso de las siglas QSCD.
En la lógica de lectura de la lista de confianza (TSL), las extensiones QCWithSSCD/QCNoSSCD fueron sustituidas por QCWithQSCD, QCNoQSCD y QCQSCDManagedOnBehalf (ETSI TS 119 612 v2).
Los estados y tipos heredados del modelo de acreditación anterior a eIDAS (accredited, undersupervision, supervisionceased/revoked, accreditationceased/revoked, setbynationallaw, recognisedatnationallevel, NationalRootCA-QC…) deberían revisarse: con eIDAS el estatus cualificado se expresa esencialmente como granted / withdrawn (más los transitorios), y desaparece el concepto de «acreditación».
3. Organismos
MINETUR – Ministerio de Industria, Energía y Turismo ya no existe. El organismo supervisor de los servicios electrónicos de confianza es hoy el Ministerio para la Transformación Digital y de la Función Pública – Secretaría de Estado de Digitalización e Inteligencia Artificial (SEDIA) (con una etapa intermedia como Ministerio de Asuntos Económicos y Transformación Digital).
La plataforma @firma, el Portal de Administración Electrónica (PAe) y la publicación de la lista de confianza dependen de la Secretaría General de Administración Digital (SGAD) de ese mismo ministerio (antes adscrita a Hacienda).
4. URLs y recursos
Los enlaces a minetur.gob.es (incluida la ubicación de la TSL en sede.minetur.gob.es/Prestadores/TSL/TSL.pdf) reflejan una marca ministerial obsoleta; conviene actualizarlos a la sede del Ministerio para la Transformación Digital y añadir, para la consulta a nivel UE, el eIDAS Dashboard / LOTL de la Comisión Europea.
La forja CTT (forja-ctt.administracionelectronica.gob.es) está descatalogada: los clientes y componentes de @firma se publican ahora en GitHub (github.com/ctt-gob-es) y en el PAe.
También conviene sustituir el prefijo http:// por https:// en todos los enlaces (las comunicaciones con TLS son ahora la versión por defecto), y verificar las rutas del PAe (p. ej. el «Anexo PSC» de @firma) y del soporte a integradores (CAID), que han podido cambiar de dirección.
*Esta es una sugerencia de mejora en clave colaborativa; el detalle «texto actual → propuesta → motivo» lo he recogido en una tabla que facilito a la unidad responsable. No constituye asesoramiento jurídico.*
Ayer, 22 de julio de 2026 el Diario Oficial de la Unión Europea publicó tres nuevos reglamentos de ejecución de la Comisión, todos ellos adoptados el 15 de julio de 2026, que continúan tejiendo el andamiaje normativo del Reglamento (UE) 2024/1183 (eIDAS 2) y de la Cartera Europea de Identidad Digital (Cartera IDUE / EUDI Wallet).
Los tres comparten un mismo hilo conductor —y un mismo título revelador: «en lo que respecta a las normas y especificaciones aplicables»—. No introducen figuras nuevas, sino que modifican actos de ejecución ya vigentes para alinear sus especificaciones técnicas con la evolución de la Arquitectura y el Marco de Referencia (ARF), que acaba de actualizarse a la versión 3.0.0. Dicho de otro modo: la Comisión está poniendo al día las remisiones a normas ETSI, perfiles y procedimientos para que el texto reglamentario no se quede atrás respecto de la ingeniería de la cartera.
El momento no es casual. Con el plazo del 24 de diciembre de 2026 —fecha en la que los Estados miembros deben poner al menos una cartera a disposición de la ciudadanía— cada vez más cerca, esta tanda de normas afina tres piezas sensibles del ecosistema: el registro de las partes usuarias (relying parties), el núcleo funcional de la propia cartera y las declaraciones electrónicas de atributos. A continuación, la lista con lo esencial de cada uno.
Fecha: adoptado el 15 de julio de 2026; publicado en el DOUE el 22 de julio de 2026.
Qué modifica: el Reglamento de Ejecución (UE) 2025/848, de 6 de mayo de 2025, sobre el registro de las partes usuarias de las carteras (wallet-relying parties).
En breve: actualiza las normas y especificaciones aplicables al registro de las partes usuarias. Entre los ajustes destaca el reforzamiento de la información de transparencia —por ejemplo, que las partes usuarias faciliten una URL a su política de privacidad en relación con el uso previsto de la cartera—.
Entrada en vigor: a los veinte días de su publicación (11 de agosto de 2026).
Fecha: adoptado el 15 de julio de 2026; publicado en el DOUE el 22 de julio de 2026.
Qué modifica: de una sola vez, los cuatro reglamentos del núcleo normativo de la cartera adoptados el 28 de noviembre de 2024:
(UE) 2024/2977 — datos de identificación de la persona (DIP / PID) y declaraciones electrónicas de atributos expedidas a las carteras;
(UE) 2024/2979 — integridad y funcionalidades básicas de las carteras;
(UE) 2024/2980 — notificaciones a la Comisión relativas al ecosistema de la cartera;
(UE) 2024/2982 — protocolos e interfaces que admitirá el marco europeo de identidad digital.
En breve: es la modificación de mayor alcance de la tanda. Pone al día las normas y especificaciones técnicas del corazón de la cartera para reflejar la nueva versión del ARF, garantizando la interoperabilidad transfronteriza.
Entrada en vigor: a los veinte días de su publicación.
Fecha: adoptado el 15 de julio de 2026; publicado en el DOUE el 22 de julio de 2026.
Qué modifica: el Reglamento de Ejecución (UE) 2025/1569, de 29 de julio de 2025, sobre las declaraciones electrónicas cualificadas de atributos (DECA / QEAA) y las declaraciones electrónicas de atributos expedidas por un organismo del sector público responsable de una fuente auténtica (o en su nombre).
En breve: actualiza los requisitos de expedición y revocación de estas declaraciones y —novedad relevante— introduce la firma o sellado de los resultados de la verificación frente a fuentes auténticas, exigiendo al menos una firma electrónica avanzada basada en certificado cualificado (o un sello electrónico avanzado basado en certificado cualificado). Incorpora remisiones a normas ETSI (TS 119 471 y TS 119 478) y contó con dictamen del Supervisor Europeo de Protección de Datos (SEPD) de 17 de abril de 2026.
Entrada en vigor: a los veinte días de su publicación (11 de agosto de 2026), con una salvedad: el artículo 1.3 se aplica desde el 1 de enero de 2027.
La velocidad en la generación de normas conlleva que pueda ser necesaria su modificación
Vistos en conjunto, estos tres reglamentos confirman la tendencia de los últimos meses: el marco de eIDAS 2 ya no crece tanto en nuevas piezas como en mantenimiento fino de las existentes, sincronizándolas con un ARF vivo. Para quienes desarrollan carteras, actúan como partes usuarias o emiten declaraciones de atributos, el mensaje operativo es claro: conviene revisar las referencias normativas actualizadas antes del hito de nochebuena, con especial atención a la transparencia hacia el usuario (2026/1730) y a la firma/sellado de las verificaciones frente a fuentes auténticas (2026/1735).
Referencias
Reglamento de Ejecución (UE) 2026/1730 — DOUE 22/07/2026 · BOE/DOUE · ELI
Reglamento de Ejecución (UE) 2026/1731 — DOUE 22/07/2026 · BOE/DOUE · ELI
Reglamento de Ejecución (UE) 2026/1735 — DOUE 22/07/2026 · BOE/DOUE · ELI
En este blog llevo más de dos décadas escribiendo sobre el formato UBL (Universal Business Language) y promoviendo su uso, especialmente en el contexto de la factura electrónica.
He realizado análisis técnicos sobre su estructura, sus perfiles de firma electrónica y su potencial de interoperabilidad, hasta los posts más recientes sobre la regulación europea y española de factura electrónica.
Incluso llegué a crear un sitio especializado en UBL para impulsar la comunidad hispanohablante ubl.org.es
Lo que durante muchos años fue una recomendación técnica orientada a la modernización y la interoperabilidad, y que por un breve lapso se convirtió en el formato «facturae 4.0» hoy se ha convertido en una pieza clave de la infraestructura de facturación electrónica obligatoria en España.
El largo camino de UBL desde 2001 hasta 2026
UBL es un estándar abierto mantenido por OASIS (el grupo de trabajo de UBL se creó en septiembre de 2001) y actualmente está en proceso de convertirse en la norma ISO/IEC 19845) que define una biblioteca de documentos de negocio en formato XML.
Durante años, su adopción en España fue limitada, ya que el formato predominante para la facturación electrónica con la Administración era Facturae, derivado inicialmente de una norma propuesta por el CCI(Centro de Cooperación Interbancaria).
Sin embargo, dos grandes hitos han consolidado su posición:
La Directiva 2014/55/UE sobre facturación electrónica en la contratación pública.
El desarrollo del estándar europeo EN 16931, que establece un modelo semántico común para las facturas electrónicas.
El estándar EN 16931 permite diferentes sintaxis. Las dos oficiales son UBL y CII (UN/CEFACT Cross Industry Invoice). Con el tiempo, UBL se ha consolidado como la sintaxis más extendida en Europa, especialmente por su uso en la red PEPPOL.
La situación actual en España: UBL como formato de referencia
Con la aprobación del Real Decreto 238/2026, España reguló el sistema de factura electrónica obligatoria entre empresarios y profesionales (B2B).El modelo español es híbrido:
Las empresas pueden intercambiar facturas a través de plataformas privadas.
Existe una Solución Pública de Facturación Electrónica (SPFE) gestionada por la Agencia Tributaria, que actúa como repositorio central.
Cuando una empresa utiliza una plataforma privada, está obligada a enviar simultáneamente a la SPFE una copia fiel de la factura en sintaxis UBL, conforme al modelo semántico EN 16931:2026.
¿Qué pasó con Facturae 4.0? El intento de evolución hacia UBL que no prosperó
Durante más de una década, el formato Facturae (derivado del formato CCI-AEAT) fue el formato oficial y obligatorio para facturar a las Administraciones Públicas españolas. La versión más utilizada ha sido la 3.2.2.
En 2007, la Fundación I+D del Software Libre (Fundetec) publicó las “Especificaciones Factura CCI UBL” (versión 1.0, junio de 2007) y desarrolló servicios web para la conversión entre Facturae y UBL 2.0. Este proyecto representó un intento serio de evolucionar Facturae hacia un formato más alineado con el estándar internacional UBL Aquí se adjuntan dos documentos de aquella iniciativa:
Posteriormente se desarrolló facturae 4.0 pero tuvo una existencia efímera. Hablé de ello en un artículo de este blog, que incluyó enlaces a archive.org para preservar los documentos asociados:
Sin embargo, estas iniciativas no llegaron a convertirse en el estándar oficial.
Facturae (formato derivado del CCI-AEAT) continuó su desarrollo como un formato adoptado para facturar a las administraciones públicas españolas (principalmente en las versiones 3.2.x), sin adoptar la estructura y el modelo de UBL.
En la regulación actual (Real Decreto 238/2026), Facturae sigue siendo válido para el intercambio entre plataformas privadas, pero ya no es el formato de referencia para la Solución Pública de Facturación de la AEAT, que ha optado claramente por UBL por su mayor madurez técnica, mejor soporte internacional y mayor facilidad de interoperabilidad con el resto de Europa.
El perfil de firma XAdES para UBL
Uno de los aspectos técnicos más importantes para dar valor legal a las facturas UBL en España (que requerían firma electrónica) fue la definición del formato de firma electrónica (o sello electrónico cuando lo aplican las empresas de forma automatizada) dentro de las especificaciones de OASIS UBL.
En mayo de 2011, el subcomité de Seguridad de OASIS UBL publicó la especificación UBL Digital Signature Profiles 1.0. Este documento definió los perfiles oficiales para firmar documentos UBL utilizando XMLDSig y, especialmente, las extensiones XAdES.
Fui uno de los editores y co-chair de este subcomité de Seguridad de OASIS que desarrolló dicha especificación.
Implicaciones prácticas para las empresas españolas
Las empresas que todavía no generan facturas en UBL conforme a EN 16931 deberían valorar seriamente su adopción, por varios motivos:
Evitarán tener que mantener dos formatos distintos.
Se preparan mejor para el intercambio transfronterizo y para los futuros requisitos del paquete ViDA.
Facilitan la automatización del procesamiento de facturas.
Reducen el riesgo de incumplimiento normativo a partir de 2027-2028.
Ideas finales
Después de más de veinte años escribiendo sobre UBL en este blog, resulta interesante observar cómo un estándar técnico que durante mucho tiempo fue una apuesta de futuro se ha convertido, por fin, en una pieza central de la regulación española de factura electrónica.
El intento de Fundetec en 2007 de alinear Facturae con UBL y el de publicación del formato «facturae 4.0» fueron esfuerzos pioneros que, aunque no prosperóaron en su momento, anticiparon la dirección que finalmente ha tomado Europa y, ahora, también España.
Lo que empezó siendo una recomendación orientada a la interoperabilidad y a la firma electrónica avanzada, hoy es una decisión técnica y estratégica que muchas empresas tendrán que tomar en los próximos meses.
¿Estás ya trabajando en la generación de facturas en UBL conforme a EN 16931? ¿O todavía estás evaluando las opciones de tu software o plataforma? Si necesitas ayuda, en EADTrust podemos ayudarte. Llama al 917160555 o contacta con info (at) eadtrust.com.
La metodología ENSAR de Jorge Christen es un enfoque pedagógico desarrollado para enseñar conceptos complejos y abstractos, especialmente en computación cuántica. El acrónimo significa Experience-Name-Speak-Apply-Repeat (Experiencia-Nombrar-Hablar-Aplicar-Repetir).
Christen, profesor de Ingeniería en Computación en la Universidad de Monterrey (UDEM, México) y colaborador de EADTrust, es autor de la metodología utilizada en los cursos de Computación Cuántica y Criptografía Postcuántica.
Principios de la metodología
ENSAR se basa en la forma en la que aprenden los niños.
Parte de tres ideas:
No se necesita conocimiento previo para empezar.
No se exige pensamiento abstracto avanzado desde el inicio.
La inclusión es prioritaria: nadie debe quedarse atrás.
Contrasta con las clases tradicionales (pizarra y tiza, silencio, miedo al error y práctica a posteriori). Propone modelos 3D, verbalización constante, materiales que el alumno se lleva a casa y un ambiente donde el error se trata como iteración.
Los cinco pasos deben aplicarse en este orden:
Experience (Experiencia): El alumno interactúa con el concepto usando los sentidos, mediante modelos físicos, juegos o materiales 3D (como un niño que explora tocando). Ejemplo: manipular esferas de distintos tamaños para intuir escalas cuánticas o armar una “Qbit Box”.
Name (Nombrar): Se asocia el objeto o fenómeno con su nombre técnico correcto. Se practica en voz alta, en grupo y en parejas, para salir de la “amnesia infantil” y fijar el vocabulario.
Speak (Hablar): Se articulan frases estructuradas y se explica el concepto a un compañero. El aula se vuelve vocal e interactiva.
Apply (Aplicar): Se usa lo aprendido de forma creativa: se inventan frases, escenarios, variaciones de un experimento o incluso se introduce humor. Se conecta con la experiencia personal.
Repeat (Repetir): Se practica de nuevo en clase, en casa y compartiendo con otros. La repetición espaciada consolida el conocimiento.
Aplicación práctica
Se implementa en los cursos de EADTrust y la fase de experimentar se realiza con objetos que se pueden «tocar» y que ejemplifican elementos de la mecánica cuántica (el IQC Kit), en los que Christen imparte la parte introductoria de forma amena.
En resumen, ENSAR busca que lo abstracto se vuelva concreto, verbal, aplicable y memorable, especialmente para audiencias no especializadas que necesitan acercarse a tecnologías emergentes como la computación cuántica.
España es, con diferencia, el país europeo con mayor número de Prestadores Cualificados de Servicios de Confianza (QTSP) activos en la lista de confianza europea (TSL). Mientras que la mayoría de los Estados miembros cuentan con una decena o menos, España supera los cincuenta prestadores registrados, si bien varios se dedican solo a los Sellos de tiempo. Esta alto número de prestadores ha permitido cierta especialización, de modo que existen variantes de certificados poco conocidas incluso entre los propios profesionales del sector.
Este artículo intenta trazar un mapa completo de los tipos de certificados cualificados que se emiten en España y señalar cuáles son los más inusuales y quiénes los emiten.
La taxonomía básica de certificados: lo que todos conocen
El Reglamento eIDAS establece tres grandes familias de certificados cualificados:
Certificados de firma electrónica (art. 28 eIDAS): se emiten a personas físicas para que firmen en su propio nombre.
Certificados de sello electrónico (art. 38 eIDAS): se emiten a personas jurídicas para sellar documentos de forma automatizada.
Certificados de autenticación de sitios web (art. 45 eIDAS): los QWAC, que autentican servidores web.
Dentro de los certificados de firma, el más habitual es el de persona física simple, que identifica al titular únicamente por su nombre y número de documento. Le sigue el de representante de persona jurídica, que añade los datos de la entidad en cuyo nombre actúa el firmante. En el ámbito del sello, el más extendido es el sello de entidad genérico.
Estos tres tipos los emite prácticamente la totalidad de los QTSPs españoles: que emiten certificados FNMT, Camerfirma, Izenpe, ACCV, Firmaprofesional, ANF, Uanataca, DigitelTS, EADTrust, AC Notarial, Logalty y muchos otros. Son el producto de catálogo estándar.
Tipos de certificados específicos del sector público español
Aquí empiezan a verse diferencias. La legislación española —en particular la Ley 40/2015 y sus desarrollos técnicos— define tipos de certificados propios para la Administración Pública que no tienen equivalente directo en otros países europeos:
Certificado de empleado público
Identifica a la persona física como funcionario o trabajador de una administración determinada. Incluye el cargo u órgano al que pertenece. Existen varias modalidades según el nivel de seguridad definido por el ENS: medio/sustancial y alto.
No todos los QTSPs lo emiten porque requiere diseñar perfiles especiales con la expectativa de ser proveedor de las administraciones públicas, o o ser, de hecho uno de tales proveedores. .requieren, además, diseñar un proceso de verificación de los datos de empleo. Entre los que sí lo hacen destacan la FNMT, ACCV, Izenpe (para el País Vasco) y, entre los prestadores privados de ámbito estatal, EADTrust y Camerfirma.
Sello de órgano de la Administración Pública
Es el equivalente al sello de entidad, pero con el perfil técnico definido en el documento «Perfiles de Certificados Electrónicos» de la AAPP (cuya gestión corresponde gestionado al Ministerio de Transformación Digital). Identifica al órgano administrativo —no a la entidad jurídica completa— como la Dirección General X de un ministerio, por ejemplo. Se usa para el sellado automatizado de notificaciones, resoluciones y otros actos administrativos.
La casuística incluye también un uso particular: el Document Signing Certificate (DSC) para los Pasaportes COVID de la UE. EADTrust operó como CSCA (Certificate Signing Certificate Authority) de España en este contexto, emitiendo certificados de sello de órgano con OIDs específicos para test, vacunación y recuperación.
Sede electrónica administrativa (QWAC EV)
El certificado de sede electrónica es técnicamente un QWAC de Extended Validation, pero con perfil específico para administraciones públicas. Identifica el dominio web como sede electrónica oficial de un organismo público, con los campos de razón social y número de registro propios de la AAPP. Es obligatorio para toda sede electrónica de la Administración General del Estado y muchas autonómicas.
La combinación de los tres tipos anteriores —empleado público, sello de órgano y sede electrónica— la ofrecen muy pocos prestadores privados. EADTrust es uno de ellos, lo que la sitúa en un segmento especializado que la mayoría de los QTSPs genéricos no cubre.
Los certificados con seudónimo: los grandes desconocidos
Este es, probablemente, el territorio menos explorado del ecosistema de certificados cualificados español. La norma eIDAS permite que un certificado cualificado incluya un seudónimo en lugar del nombre real del titular (art. 28.4 eIDAS), siempre que así lo exija la legislación nacional. En España, dos ámbitos hacen uso de esta posibilidad.
Certificado de empleado público con seudónimo (AAPP)
Diseñado para funcionarios que realizan actuaciones que deben quedar amparadas por la confidencialidad de la función pública —por ejemplo, inspectores, investigadores o personal de inteligencia— pero que necesitan firmar electrónicamente con validez cualificada. El certificado contiene un seudónimo que permite identificar al titular ante la administración competente, pero no lo expone públicamente.
Existen perfiles de nivel alto (para firma y para autenticación por separado) definidos por el CTEAJE (en Justicia) y la AAPP española.
Certificado de empleado de la Administración de Justicia con seudónimo
Perfil específico desarrollado por el Comité Técnico Estatal de la Administración Judicial Electrónica (CTEAJE), recogido en el documento «Perfil de Certificado con Seudónimo Justicia V1.0». Lo usan jueces, fiscales y otros operadores jurídicos que necesitan firmar resoluciones judiciales electrónicamente sin que su identidad real quede expuesta en el documento firmado. El seudónimo los identifica ante los sistemas de la administración de Justicia, pero no ante el público general.
Estos dos tipos de certificado con seudónimo los emite en España un número muy reducido de prestadores. La FNMT los emite para los sistemas de Justicia del Estado; EADTrust los tiene recogidos en su DPC (v5.5) tanto para el ámbito AAPP como para Justicia. Sin embargo, a pesar de estar técnicamente disponibles, estos certificados tienen poca visibilidad en los catálogos públicos de los prestadores. Es una de las áreas con mayor potencial de difusión.
Certificados PSD2: un nicho regulatorio
La Directiva de Servicios de Pago (PSD2) obliga a las entidades financieras a exponer APIs abiertas para el acceso a cuentas y servicios asociados como los AISP y PISP. Para autenticar en esas APIs se utilizan dos tipos específicos de certificados, definidos en la norma ETSI TS 119 495:
QWAC PSD2 (Qualified Web Authentication Certificate para PSD2): autenticación mutua TLS entre el proveedor de servicios de pago y el banco.
QSealC PSD2 (Qualified Seal Certificate para PSD2): sellado de mensajes en la comunicación entre PSPs.
Ambos incluyen atributos especiales en la extensión `qcStatements` que indican los roles del prestador: PISP (Payment Initiation Service Provider), AISP (Account Information Service Provider) o PSP-IC (Issuing of Card-based Payment Instruments).
Los emiten en España varios QTSPs, entre ellos ACCV, Camerfirma, EADTrust, Firmaprofesional y algunos otros. El proceso de verificación requiere acreditar ante el Banco de España (u otro supervisor nacional) la autorización del solicitante como PSP, lo que limita este mercado a entidades financieras reguladas.
Certificados para la AEAT: la entidad sin personalidad jurídica
La Agencia Tributaria utiliza certificados cualificados para una variedad de trámites. Además de los tipos estándar (persona física, representante de persona jurídica, sello de entidad), existe un tipo poco conocido: el certificado de representante de entidad sin personalidad jurídica.
Este tipo cubre comunidades de bienes, herencias yacentes, UTEs (uniones temporales de empresas) y otras figuras que operan con NIF pero no tienen personalidad jurídica propia. En la práctica, el representante firma en nombre de la comunidad o UTE con un certificado que identifica explícitamente esta relación.
La FNMT es el emisor principal de este tipo de certificado en España, vinculado directamente a los procedimientos de la AEAT.
Certificados de titulado
SIGNE es un QTSP que colabora frecuentemente con las universidades españolas. Además de los tipos estándar, emite el eTítulo, un certificado cualificado que acredita que el titular posee un título universitario oficial reconocido en España.
Este es uno de los tipos más singulares del panorama español. No es simplemente un certificado de persona física con atributos adicionales: incluye información sobre la titulación, la universidad emisora y el número de registro del título. Su uso principal es la firma de documentos académicos con la garantía de que el firmante posee la titulación que declara.
Certificados de colegiado
Varios colegios profesionales tienen su propia CA o acuerdo con un QTSP: el Consejo General de la Abogacía (CGAE) emite certificados de abogado a través de su propia infraestructura, los colegios de médicos operan a través del Consejo General de Colegios Oficiales de Médicos, el Consejo General del Notariado cuenta con ANCERT, y los registradores tienen su propia CA. El Prestador Firmaprofesional ha definido perfiles de certificado de Colegiado adecuados para múltiples colegios profesionales.
Estos certificados identifican al titular no solo como persona física, sino también como profesional en ejercicio de una determinada disciplina, con número de colegiado verificado por la institución emisora. Su validez para trámites específicos —firma de escrituras notariales, prescripciones médicas electrónicas, comunicaciones judiciales— está reconocida en la legislación sectorial correspondiente.
Certificados EPREL: un nicho europeo
EPREL (European Product Registry for Energy Labelling) es el registro europeo de etiquetado energético de la Comisión Europea. Las empresas que comercializan productos sujetos a etiquetado energético deben registrar sus productos en EPREL, y para ello necesitan un certificado cualificado de sello electrónico de persona jurídica (QSeal) que cumpla ciertos requisitos técnicos.
La mayoría de los QTSPs exigen que el solicitante figure en el Registro Mercantil para verificar su existencia como persona jurídica. Sin embargo, la obligación de registrar productos en EPREL afecta también a autónomos, asociaciones, fundaciones y otras entidades que no están inscritas en el Registro Mercantil. EADTrust es, hasta donde se conoce, el único QTSP español que emite certificados EPREL para este tipo de entidades, verificando su identidad a través de otros registros públicos o medios alternativos. Este detalle no suele aparecer en los comparativos de QTSPs, pero es determinante para muchas pymes y profesionales autónomos que comercializan productos con etiquetado energético.
Tabla resumen: tipos de certificados y QTSPs representativos
Tipo de certificado
Categoría eIDAS
QTSPs representativos
Singularidad
Persona física (PF)
Firma
Todos los principales
Estándar
Representante de PJ
Firma
Todos los principales
Estándar
Sello de entidad (PJ)
Sello
Todos los principales
Estándar
Empleado público
Firma
FNMT, ACCV, Izenpe, Camerfirma, EADTrust
España-específico
Sello de órgano AAPP
Sello
FNMT, ACCV, Izenpe, EADTrust
España-específico
Sede electrónica (QWAC EV)
Web
FNMT, Camerfirma, EADTrust
España-específico
Seudónimo AAPP
Firma
FNMT, EADTrust
Muy infrecuente
Seudónimo Justicia
Firma
FNMT, EADTrust
Muy infrecuente
QWAC PSD2
Web
ACCV, Camerfirma, EADTrust, Firmaprofesional
Regulatorio PSD2
QSealC PSD2
Sello
ACCV, Camerfirma, EADTrust, Firmaprofesional
Regulatorio PSD2
Representante entidad sin PJ
Firma
FNMT
AEAT-específico
eTítulo (titulado)
Firma
SIGNE
Único en España
Colegiado (abogado, médico, notario…)
Firma
CGAE, CGOCOM, ANCERT, Firmaprofesional
Sectorial
EPREL
Sello
EADTrust (documentado)
Nicho europeo
Conclusiones
Una de las conclusiones más llamativas de este análisis es que los catálogos públicos de los QTSPs suelen mostrar solo una fracción de los tipos de certificados que técnicamente emiten. Los casos más evidentes son los certificados con seudónimo: aunque EADTrust los tiene perfectamente definidos en su DPC con perfiles técnicos completos, apenas aparecen en la web comercial. Ocurre algo similar con los certificados de sede electrónica o con la validación explícita para EPREL.
En un mercado donde los compradores toman decisiones de licitación o contratación basándose en lo que ven en la web, la cobertura real de un QTSP puede ser muy superior a lo que parece. Publicar y difundir adecuadamente los tipos de certificado disponibles —especialmente los más especializados— no es solo marketing: es información técnica relevante para quienes los necesitan.
Contacte con EADtrust
Contacte con EADTrust si necesita certificados especiales info(at)eadtrust.com – 917160555
Cartera digital europea, iconos del pasado y un Papa robótico
En el programa de radio de RNE«Cruce de cables» del 14/06/2026 charlamos sobre la próxima llegada de la cartera digital europea, de porqué seguimos usando iconos del pasado en la tecnología actual y nos detemos en ‘Project Pope’, un relato futurista sobre un «Papa electrónico» -un superordenador al que alimentan con todo el conocimiento del universo.
Esta semana, en Cruce de cables (93), ponemos el foco en la futuracartera digital europea, una aplicación oficial impulsada por la Unión Europea que permitirá a los ciudadanos identificarse, almacenar documentos como el DNI o el carnet de conducir y realizar gestiones online de forma segura en cualquier país miembro. Analizamos sus implicaciones conJulián Inza, director del Laboratorio de Confianza Digital del Observatorio Legaltech Garrigues-ICADE.
Además,Álvaro Ibáñez, ‘Alvy’ de Microsiervos, nos explica por quéseguimos utilizando iconos heredados de hace décadasen nuestros ordenadores y por qué, probablemente, no van a desaparecer.Carolina Denia nos trae «tecnología que no lo parece», como la nueva pulsera cuantificadora de Google, Fitbit Air, que prescinde de pantalla. Y aprovechando la actualidad,Gisela Bañosnos habla sobre‘Project Pope’(Clifford D. Simak, 1981) que plantea la historia de un planeta donde una inteligencia artificial intenta calcular todas las posibles interpretaciones de Dios.
Desde la redacción deDevuego, Jon Fernández recomienda el videojuego de la semana:‘007 First Light’. Y, por último,Antonio Pulidonos presenta a cuatro participantes delproyecto europeo EITIC-EU, impulsado por Erasmus+ y coordinado por Fundación Cibervoluntarios, que busca inspirar y empoderar a niñas y jóvenes de entre 10 y 16 años para que se acerquen a las carreras STEAM.
Gracias a David Sierra, por contar con el Laboratorio de Confianza Digital del Observatorio Legaltech Garrigues-ICADE para comentar estas cosas en su programa Cruce Cables.
Llevo casi 20 años explicando por qué la regulación española que obliga a los Prestadores de Servicios de Confianza Digital (especialmente a los cualificados) a constituir un seguro de responsabilidad civil (o un aval bancario o seguro de caución) por importes fijos y elevados está mal enfocada y resulta, en la práctica, poco útil.
b) Constituir un seguro de responsabilidad civil por importe mínimo de 1.500.000 euros, excepto si el prestador pertenece al sector público. Si presta más de un servicio cualificado de los previstos en el Reglamento (UE) 910/2014, se añadirán 500.000 euros más por cada tipo de servicio. La citada garantía podrá ser sustituida total o parcialmente por una garantía mediante aval bancario o seguro de caución…
Esta obligación no proviene directamente del Reglamento eIDAS (UE 910/2014). El artículo 24.2.c) del Reglamento europeo solo exige a los prestadores cualificados:
mantener recursos financieros suficientes y/o obtener un seguro de responsabilidad civil adecuado, de conformidad con el Derecho nacional.
Es decir, eIDAS deja margen a los Estados miembros para definir qué se considera “suficiente” o “adecuado”. España optó por mantener (y actualizar ligeramente) un modelo de cuantías fijas y elevadas heredado de la antigua Ley 59/2003 de firma electrónica y del Real Decreto-ley 14/1999.
¿Por qué este enfoque es problemático? (Lo que ya expliqué en artículos anteriores)
Las cuantías son arbitrarias y no responden a un análisis de riesgo real No existe base actuarial que justifique los 1,5 millones de euros (ni los 500.000 € adicionales por servicio). El riesgo real depende del volumen de certificados emitidos, del tipo de uso, de los límites de responsabilidad que el propio prestador establezca, etc. Fijar cantidades iguales para un pequeño prestador y para uno grande no tiene sentido.
El aval bancario y el seguro de caución no son sustitutos válidos Estas figuras exigen designar un beneficiario concreto (normalmente la Administración). Sin embargo, el objetivo del seguro de responsabilidad civil es indemnizar al perjudicado (el titular del certificado o el tercero que confía en él). Un aval o caución ejecutado por la Administración no garantiza que el dinero llegue al damnificado ni que se corresponda con el daño real sufrido. Son instrumentos pensados para otro tipo de obligaciones (licitaciones, contratos administrativos), no para responsabilidad civil frente a terceros.
En la práctica, el mercado español no ofrece este seguro Durante años las aseguradoras españolas han rechazado este tipo de pólizas específicas. Los prestadores se ven obligados a buscar soluciones en el extranjero o a incumplir formalmente la norma (o a buscar interpretaciones creativas). Esto genera inseguridad jurídica y un coste innecesario.
Contradicción con el espíritu de eIDAS El Reglamento europeo apuesta por un enfoque proporcionado y basado en el riesgo. La Ley 6/2020, en cambio, mantiene un esquema rígido y cuantitativo que penaliza especialmente a los prestadores más pequeños e innovadores.
Hacia un enfoque más moderno y efectivo
En lugar de mantener este requisito heredado, sería mucho más coherente con eIDAS y con la realidad del mercado actual:
Exigir recursos financieros suficientes demostrables (reservas, patrimonio, líneas de crédito) o un seguro de responsabilidad civil adecuado según el perfil de riesgo real del prestador.
Permitir pólizas de responsabilidad civil profesional / cyber insurance bien diseñadas, que cubran los riesgos reales (errores en la emisión/validación, fallos de seguridad, etc.).
Obligar a los prestadores a publicar de forma clara en su web los límites de responsabilidad y el mecanismo de reclamación (algo que ya recomendaba la Directiva 1999/93/CE y que sigue sin cumplirse de forma generalizada).
Actualizar las cuantías (o eliminarlas) mediante el real decreto que la propia Ley 6/2020 permite.
En el contexto actual de eIDAS 2.0 y la implantación masiva de las Carteras de Identidad Digital Europea (EUDI Wallet), el número de prestadores cualificados y no cualificados va a crecer significativamente. Mantener requisitos desproporcionados o ineficaces solo dificulta la entrada de nuevos actores y encarece innecesariamente los servicios.
Conclusión
El seguro de responsabilidad civil de los Prestadores de Servicios de Confianza Digital sigue siendo, en gran medida, una amenaza fantasma: existe sobre el papel, genera costes y trámites, pero no ofrece una protección real y proporcionada ni a los prestadores ni a los usuarios.
Es hora de alinear definitivamente la regulación española con el enfoque flexible y basado en riesgos del Reglamento europeo. De lo contrario, seguiremos arrastrando durante otra década un requisito que nació en 1999 y que ya entonces era cuestionable.
En mi intervención en Espacio tiSec 2026 abordaré cómo los nuevos modelos de uso de las EUDI Wallets están modificando el perfil de riesgo de las organizaciones y qué implicaciones tiene esto para los seguros (ciber y de responsabilidad). El debate sobre el seguro de los prestadores de confianza digital es solo una pieza más de un puzzle mucho más amplio: cómo transferir, mitigar o asumir los riesgos en el ecosistema digital de confianza.
Todo es electrónico 