Tratado de Derecho de la Sociedad Digital (2 tomos)

Deja un comentario

Ayer pude charlar un rato con mi amigo Javier Ibáñez, ya que coincidimos en el Congreso del Observatorio de Derechos Digitales: Una mirada multidisciplinar a los derechos digitales y comentamos sobre el Tratado de Derecho de la Sociedad Digital, monumental obra que él ha coordinado.

Me ha parecido tan interesante que he pensado en hacer una reseña sobre ella.

El Tratado de Derecho de la Sociedad Digital (Reus, 2025), dirigido por el catedrático Javier W. Ibáñez, profesor Ordinario de Derecho Mercantil y creador del Observatorio Observatorio CMS Comillas de Transformación Digital, es una obra colectiva sin precedentes en el ámbito jurídico español. Con más de cien autores de diez países, el Tratado se apoya en la metodología desarrollada por los comités de investigación, legal y normalización del Consorcio Red Alastria, y en la labor de cierre y difusión del Observatorio CMS–Comillas de Transformación Digital. El resultado es un mapa completo del Derecho digital contemporáneo: identidad electrónica, mercados descentralizados, criptoactivos, ciberseguridad, metaverso e inteligencia artificial.

El nuevo Derecho digital que se construye en Europa y otras jurisdicciones es frágil y volátil, en ocasiones, lo que dificulta un análisis que combine rigor y actualización.

En el Tratado, se tratan aspectos de la tecnología de registros distribuidos, internet de las cosas, inteligencia artificial o análisis de macrodatos, identidad digital, mercados descentralizados y resiliencia operativa digital.

Este es el contenido:

TOMO I — ÍNDICE COMPLETO

PRÓLOGO

  • Carmen Alonso Ledesma — p. 1

PRELIMINAR

  • Derecho de la sociedad digital y descentralizada sostenible. Cimientos metodológicos y excurso terminológico Javier Ibáñez Jiménez — p. 11
  • PARTE PRIMERA — Derecho digital y derechos constitucionales — p. 51

Sección primera — Ejercicio de derechos constitucionales en una economía digital

  • Algunos retos actuales de la regulación global en la sociedad digital Moisés Barrio Andrés — p. 53
  • Implicaciones jurídico‑constitucionales de la inteligencia artificial en el ordenamiento español. Especial referencia a la Carta de Derechos Digitales María Pérez Ugena — p. 59
  • Inteligencia artificial y derechos digitales en el ámbito sanitario Dra. Aitziber Emaldi Cirión — p. 85
  • Breve comentario a la estrategia y líneas de acción de la AEPD sobre menores, salud digital y privacidad Laura Davara — p. 135

Sección segunda — Tratamientos de datos, identidad soberana y evidencia digital — p. 159

  • GDPR‑compliant revocation of credentials Dr. Jörn Erbguth — p. 161
  • El libro mayor electrónico, regulación y aplicaciones José Félix Muñoz Soro, Pedro‑José Bueso Guillén — p. 171
  • Identidad autosoberana, evidencia digital y anclajes de confianza en el Reglamento eIDAS 2 Dr. Ignacio Alamillo Domingo, Lluís Ariño — p. 191
  • Tratamiento de datos en blockchain: responsables y encargados Briseida Sofía Jiménez‑Gómez — p. 215

Sección tercera — Sistemas digitales de resolución de conflictos — p. 243

  • El arbitraje electrónico y el principio del debido proceso Marta Gisbert Pomata — p. 245
  • Los sistemas descentralizados de resolución de controversias y el Derecho europeo: hacia una localización de la disputa en la Unión Europea Diego Agulló Agulló — p. 297
  • Resolución de conflictos mediante soluciones en la cadena de bloques Enrique Aznar — p. 325
  • Blockchain dispute resolutions: planteamiento y cuestiones jurídicas Marta Gonzalo Quiroga — p. 343

Sección cuarta — Democracia digital, economía del dato y autonomía de la voluntad — p. 399

  • La contratación a través de plataformas intermediarias en línea: tendencias y caracteres desde los principios contractuales Sergio Llebaría Samper — p. 401
  • Régimen actual del crowdfunding europeo y español: novedades destacables y cuestiones pendientes para el inversor Rebeca Carpi Martín — p. 429

PARTE SEGUNDA — Ordenamiento jurídico y financiación digital — p. 469

Sección primera — Soberanía y política monetaria digital

  • La integración de bitcoin y otras criptomonedas en las carteras de los inversionistas Prosper Lamothe López, Prosper Lamothe Fernández, Leslie Rodríguez Valencia — p. 473
  • Análisis del proceso y consecuencias de la adopción del bitcoin como moneda de curso legal en la República de El Salvador Prosper Lamothe López, Juan José Durán Herrera — p. 490

Sección segunda — Sistemas financieros y mercados descentralizados

  • Finanzas descentralizadas: alternativas a las finanzas tradicionales y nuevo paradigma María del Carmen Pileso — p. 505
  • La contratación inteligente en los mercados descentralizados Adoración Castellano García — p. 595
  • Hacia unos mercados de valores tokenizados: reflexiones y propuestas del pilot regime europeo Pablo Sanz Bayón — p. 609
  • Los instrumentos financieros tokenizados: un nuevo paradigma de financiación empresarial Xavier Foz Giralt, Beatriz Rodríguez Gómez — p. 639
  • Los nuevos mercados de valores construidos en blockchain Dr. Gonzalo Navarro Ruiz — p. 663

Sección tercera — Mercados distribuidos sectoriales

  • Mercado de futuros token sobre aceite de oliva Antonio Partal Ureña, Pilar Gómez Fernández Aguado, Luis Martínez López — p. 687
  • Retos de la tokenización de productos agroalimentarios no fungibles Eva María Ibáñez — p. 703

Sección cuarta — Pagos electrónicos y dinero digital — p. 751

  • La regolazione europea dei pagamenti digitali Filippo Zatti, Rosa Giovanna Barresi — p. 759
  • El declive de los títulos valores cambiarios José Loustau Hernández — p. 803

PARTE TERCERA — Patrimonio virtual: criptobienes y fichas digitales criptográficas — p. 829

Sección primera — Monedas estables descentralizadas

  • Dinero electrónico tokenizado Agustín Madrid Parra — p. 831

Sección segunda — Fichas de servicio y consumo

  • Las fichas de consumo (utility tokens) Alfonso Martínez‑Echevarría y García de Dueñas, Rafael del Castillo Ionov — p. 887
  • Tokens de servicios informáticos: cuestiones normativas Agustín Cruz Núñez — p. 911

Sección tercera — Tokens no fungibles (NFT)

  • Consecuencias jurídicas del fraccionamiento de los tokens no fungibles (NFTs) Joaquim Castañer Codina — p. 929

Sección cuarta — Tokens inmobiliarios

  • La proptech para la gestión de la propiedad inmobiliaria tokenizada y el alojamiento turístico Cristina Argelich Comelles — p. 985

TOMO II — ÍNDICE COMPLETO

PARTE CUARTA — Servicios de inversión descentralizados — p. 1011

Sección primera — Servicios de inversión de mercado secundario

  • Asesoramiento y gestión de carteras de criptoactivos Alberto J. Tapia Hermida — p. 1013
  • Asesoramiento de inversiones en MiCA — análisis e implicaciones sobre los servicios de inversión en tokens Álvaro Martín Sierra — p. 1033
  • Tecnologías de registro distribuido y su aplicación al sistema financiero. El caso particular del asesoramiento financiero automatizado María Jesús Blanco Sánchez — p. 1057
  • Technical standards … MiCA … Alastria recommendations Alastria Research and Technology Transfer Commission / Alastria Legal Committee — p. 1073
  • Gestión de plataformas distribuidas y activos digitales: casos de uso y cuestiones prácticas Jaime Bofill, Rodrigo Pérez Gil, Lucía Silva, Sara Piñero — p. 1091

Sección segunda — Servicios de emisión de criptoactivos y control público

  • Sanciones y otras medidas administrativas … MiCA Alfonso Codes Calatrava — p. 1107

PARTE QUINTA — Gobernanza y seguridad jurídica descentralizada — p. 1125

Sección primera — Derecho de Sociedades y DAOs

  • Los Sistemas de Compliance … DAOs … sostenibilidad Juana María Pardo Pardo — p. 1127
  • El dilema o la oportunidad de la descentralización … DAOs, protección de datos e IA María del Sagario Navarro Lérida — p. 1139

Sección segunda — Gobernanza DeFi y taxonomía de criptoactivos

  • La descentralización de los mercados financieros: DEX Luz Mª García Martínez — p. 1167
  • Taxonomía de criptoactivos y abuso de mercado Cristina Guerrero Trevijano — p. 1193

Sección tercera — Seguridad jurídica y protección registral descentralizada

  • La transformación digital de los registros jurídicos José María de Pablos O’Mullony — p. 1239
  • Inteligencia Artificial: oportunidades y desafíos en el Registro de la Propiedad, Mercantil y de Bienes Muebles Mª Rosario Jiménez Rubio — p. 1255

Sección cuarta — Gobernanza descentralizada y economía tokenizada

  • Circulación jurídica e innovación tecnológica. De la permuta a la economía tokenizada Carlos de Cores Helguera — p. 1275

Sección quinta — Ciberseguridad y resiliencia operativa digital

  • Hacia unas finanzas abiertas impulsadas por los datos (Data‑Driven Open Finance) Fernando Zunzunegui — p. 1297
  • Reglamento DORA … resiliencia digital Bruno Martín Baumeister — p. 1317
  • Guía práctica de la Directiva NIS2 Francisco Manuel Caños Guillamón — p. 1363
  • Las medidas de seguridad en el tratamiento de datos personales Jesús Yáñez Colomo — p. 1399
  • Legal regulation … information security … Russian Federation Alexander Chuburkov, Konstantin Staroduvov — p. 1419

PARTE SEXTA — Metaverso, Derecho y sociedad digital — p. 1431

Sección primera — Régimen y cuestiones jurídicas generales

  • Metaverse regulation: key legal concepts… David Durand, Javier Ibáñez — p. 1433
  • Metaverso, desafíos legales Óscar López Rodríguez, Coautores: Grupo de Regulación de AUTELSI — p. 1459

Sección segunda — Actividad económica y relaciones jurídicas

  • Los activos intangibles en los entornos digitales inmersivos Ricardo Palomo Zurdo, Enrique Rúa Alonso de Corrales — p. 1475

PARTE SÉPTIMA — Ética y Derecho digital en una economía social — p. 1499

Sección primera — Personalidad cibernética, derechos e IA

  • Humanismo digital y Derecho Blanca Sáenz de Santa María Gómez‑Mampaso — p. 1501
  • Ciber‑Ética y Ciber‑Derecho para un nuevo humanismo José Luis Fernández Fernández — p. 1511
  • Robótica y Personalidad Cibernética Salvatore Moccia, Francesca Moccia — p. 1525
  • Límites a la libertad de expresión en el ciberespacio María Lubomira Kubica — p. 1537
  • Legitimidad en el uso de imágenes y posts de Instagram Marta Seminario González, Miguel García‑Menéndez — p. 1587
  • Respeto a los derechos fundamentales en el uso de IA María Reyes Corripio Gil Delgado — p. 1605

Sección segunda — Ética, convergencia social e inclusión financiera

  • Tokenised Value Creation and Transfer Joachim Schwerin — p. 1625
  • State of the Art of Decentralized Finance Suzana Maranhão Moreno, Jean Marc Seigneur — p. 1639
  • Luces y sombras de la IA en el sector público Ariana Expósito Gázquez — p. 1667
  • Convergencia de Blockchain e IA Ana Felicitas Muñoz Pérez — p. 1691
  • La implementación social de la tecnología de registro distribuido Enrique Juan Namey de Garaizar — p. 1713

PARTE OCTAVA — Cumplimiento normativo, responsabilidad y delincuencia digital — p. 1729

Sección primera — Derecho penal, justicia y digitalización

  • Ciberdelincuencia y Derecho penal de la sociedad del riesgo Javier Gómez Lanz — p. 1731
  • Derecho digital y Derecho penal … IA Noelia Álvarez Romera — p. 1753
  • Inteligencia artificial y digitalización de la justicia Carla Boixareu Clavero — p. 1769
  • Régimen y funcionamiento de las DAO en DeFi Isabel Fernández Torres — p. 1789
  • Blockchain, criptoactivos y cibercriminalidad Agustín Cruz Núñez — p. 1815
  • El nuevo delito de falsificación de criptomonedas Sergio Berenguer Pascual — p. 1829
  • Violaciones de seguridad a la luz del RGPD y LOPDGDD Elena Davara F. de Marcos — p. 1855
  • Manipulación de cotizaciones, uso indebido de información privilegiada y criptoactivos Reyes Palá Laguna — p. 1875

Sección segunda — Cumplimiento normativo y derecho digital

  • Hacia una digitalización de los modelos de compliance Ana Ramos Pérez — p. 1899
  • Derecho de la Competencia y regulación de plataformas digitales. DMA Patricia Liñán Hernández — p. 1925
  • Reuniones telemáticas en sociedades cotizadas Marina Torres Díaz — p. 1947
  • Digitalización del derecho societario y actuaciones notariales Leticia Domínguez Pavón — p. 1973
  • Sandbox regulatorio de IA: RD 817/2023 Jorge González Cortade — p. 1993
  • La nueva figura de la ERIR en la LMV Gloria Hernández Aler, Mariona Pericas, Pablo Corredoyra — p. 2017
  • La tributación de las DAOs Rosa M. Galán Sánchez — p. 2027

Sección tercera — Responsabilidad civil e inteligencia digital

  • La RC de los sistemas de IA en Europa Íñigo A. Navarro Mendizábal — p. 2049
  • Uso responsable y ético de IA en el sector asegurador Marta García Mandalóniz, Fernando Javier Ravelo Guillén — p. 2099

Certificado EPREL para Trabajadores Autónomos, Asociaciones y Cooperativas

Deja un comentario

La normativa del Registro Europeo de Productos de Etiquetado Energético (EPREL), se orienta, en su diseño, al registro de personas jurídicas como responsables de los productos, asignando al Identificador de Organización Europeo (NTR) el rol de identificación oficial de la organización, tal como se recoge en el «User Manual for Suppliers» publicada por la Comisión Europea en el sitio oficial de EPREL (última versión: 27‑06‑2025). A partir del 22 de abril de 2025, solo se admitirán sellos electrónicos que incluyan el NTR como identificador de organización, en aplicación de lo establecido en el Reglamento de Ejecución (UE) 2024/994.

Aunque es posible que el responsable de un producto eléctrico afectado por la normativa de eficiencia energética sea una persona física (o natural), como por ejemplo, un trabajador autónomo, o sea una entidad sin figura jurídica clásica (y, por tanto, sin inscripción en el Registro Mercantil), como algunos tipos de cooperativas y asociaciones, siempre que se cumplan los requisitos de verificación y de identificación establecidos, debe poder registrar productos eléctricos en EPREL.

La norma oficial de EPREL no es clara en cuanto a la forma de inscribir trabajadores autónomos, Cooperativas y Asociaciones en EPREL y en cuanto a la forma de obtener certificados cualificados para ese fin.

Sin embargo, EADTrust ha cooperado con el Registro EPREL para resolver esta problemática específica.

Aunque no existe un “manual específico” público para autónomos, asociaciones o cooperativas, sino un marco general que admite distintos tipos de organizaciones y de identificadores, EADTrust, la entidad de confianza que emite el certificado, sigue las pautas definidas por el organismo EPREL y actúa con criterio técnico y jurídico, sin añadir interpretaciones que puedan generar incertidumbre regulatoria.

Si es su caso, contacte con EADtrust en el 91 7160555 o 902 365 612

Ya tenemos el proyecto de la Orden Ministerial que regulará la solución pública de facturación electrónica

Deja un comentario

Ayer, 17 de abril de 2026, se publicó, con fecha 16 de abril de 2026, por el Ministerio de Hacienda, el Proyecto de Orden Ministerial por la que se regula la solución pública de facturación electrónica, de acuerdo con lo dispuesto en la Disposición final tercera del Real Decreto 238/2026, de 25 de marzo, por el que se desarrolla el sistema de facturación electrónica obligatoria entre empresarios y profesionales y por el que se modifica el Reglamento por el que se regulan las obligaciones de facturación, aprobado por el Real Decreto 1619/2012, de 30 de noviembre.

En la página «Tramitaciones abiertas: Audiencia e información pública«, en la sección de participación pública .

Dicho Proyecto de Orden se completa con los siguientes documentos:

Detalles de la audieencia e información pública

  • Fecha de inicio presentación de observaciones: 17 de abril de 2026
  • Fecha de finalización presentación de observaciones: 8 de mayo de 2026
  • Correo electrónico para la presentación de observaciones: normativa.sgtt@correo.aeat.es

Contexto normativo

Este proyecto de Orden Ministerial se dicta al amparo de la disposición final tercera del Real Decreto 238/2026, de 25 de marzo, que desarrolla el sistema de facturación electrónica obligatoria entre empresarios y profesionales. A su vez, ese RD desarrolla reglamentariamente el artículo 2 bis de la Ley 56/2007 y la disposición adicional vigesimoprimera introducida por la Ley 7/2024. La cadena normativa es, por tanto: Ley 18/2022 → Ley 7/2024 → RD 238/2026 → esta Orden Ministerial.

Objeto y finalidad

La Orden regula los elementos técnicos y funcionales de la Solución Pública de Facturación Electrónica (SPFE), cuyo desarrollo y gestión corresponde a la Agencia Estatal de Administración Tributaria (AEAT). La SPFE cumple tres funciones principales:

  1. Plataforma alternativa gratuita para pymes y profesionales que quieran emitir y recibir facturas electrónicas sin acudir a plataformas privadas.
  2. Repositorio universal de todas las facturas electrónicas emitidas al amparo de la obligación legal.
  3. Receptor de información de pagos, para monitorizar plazos y combatir la morosidad.

Obligaciones clave derivadas del RD 238/2026

Los empresarios que no usen la SPFE para emitir sus facturas están obligados a remitir, simultáneamente a la emisión, una copia electrónica fiel en sintaxis UBL a la solución pública.

Los destinatarios de facturas deberán comunicar electrónicamente a la SPFE el pago efectivo, el rechazo o el impago de las facturas.

Estructura de la Orden (10 artículos)

ArtículoContenido
Art. 1Objeto de la orden
Art. 2Ámbito de aplicación (por remisión al art. 3 del RD 238/2026)
Art. 3Especificaciones técnicas de las facturas emitidas/interconectadas: modelo semántico EN16931, sintaxis UBL
Art. 4Elementos técnicos de la copia fiel (contenido mínimo, identificación como copia, prohibición de anexos)
Art. 5Procedimiento de uso: formulario web (para emisión individual) o servicios web (para interconexión y copias fieles); validación y acuse de recibo
Art. 6Código único de factura: concatenación de NIF del emisor + número + serie + fecha
Art. 7Servicio de comunicación de pagos: rechazo, pago, cobro e impago
Art. 8Procedimiento para comunicar pagos (vía web service o formulario); plazo de 4 días si hay incidencia técnica
Art. 9Recuperación de facturas: las plataformas privadas deben automatizar el acceso a la SPFE para recuperar los mensajes intercambiados
Art. 10Autenticación: certificados electrónicos o sistema Cl@ve; posibilidad de actuar mediante representación

Aspectos destacados

  • Estándar técnico: UBL con modelo semántico europeo EN16931. Las facturas no podrán llevar ficheros embebidos, salvo firma electrónica en los casos de interconexión.
  • Gratuidad: El acceso a la solución pública y sus distintos usos tendrán carácter gratuito para los usuarios.
  • Disponibilidad previa: La SPFE deberá estar disponible al menos dos meses antes de la primera aplicación efectiva de la orden.
  • Entrada en vigor: La orden entrará en vigor el 1 de octubre de 2026, fecha a partir de la cual comienzan a computar los plazos transitorios previstos en la Ley 18/2022 y en el RD 238/2026. h

El documento se encuentra en trámite de audiencia e información pública desde el 17 de abril de 2026, por lo que aún puede ser objeto de modificaciones antes de su aprobación definitiva.

Por las fechas indicadas en el propio proyecto de Orden Ministerial, la previsión es que se apruebe pronto.

Veri-factu, SII, factura electrónica y regímenes forales: este es el mapa para no perderse (con mención al sello electrónico)

Deja un comentario

La proliferación de siglas y normativas en torno a la facturación en España puede resultar abrumadora, incluso para quienes seguimos este ecosistema de cerca.

¿Qué diferencia hay entre Veri-Factu y el SII? ¿A qué obliga ya la Ley Crea y Crece tras el Real Decreto 238/2026? ¿Qué pasa en Navarra o en el País Vasco? ¿Y el sello electrónico remoto cualificado?

En este artículo trato de trazar un mapa claro de todos estos conceptos, sus solapamientos y sus diferencias, y termino explicando por qué el sello electrónico remoto cualificado es una pieza técnica que los une a todos.

1. El terreno de juego: dos grandes familias de obligaciones

Antes de entrar en detalle, conviene distinguir dos líneas normativas que a menudo se confunden porque comparten vocabulario pero tienen objetivos distintos:

  • Las obligaciones de control fiscal (SII, Veri-factu): nacen de la potestad de la Agencia Tributaria para verificar en tiempo real —o casi— que las facturas emitidas existen y son íntegras. El destinatario de la información es la Administración.
  • La obligación de facturar electrónicamente entre empresas (Ley 18/202 Crea y Crece / Real Decreto 238/2026)
  • ): nace del derecho del acreedor a recibir su factura en formato estructurado y de la ambición de reducir la morosidad. El destinatario es el cliente B2B.

Son obligaciones que pueden coexistir, complementarse y, en muchos casos, satisfacerse con la misma infraestructura técnica, pero que responden a lógicas diferentes.

2. El SII: el pionero del reporte en tiempo real

El Suministro Inmediato de Información (SII) se introdujo en 2017 (Real Decreto 596/2016) y obliga a determinados contribuyentes —grandes empresas, grupos de IVA, inscritos en el REDEME— a enviar a la AEAT los registros de facturación en un plazo máximo de cuatro días hábiles desde la expedición o recepción de la factura.

¿Qué se envía?

No se envía la factura en sí, sino un registro de facturación en XML con los campos esenciales (fecha, importe, NIF, tipo de IVA…). La factura original puede seguir siendo en papel o en cualquier formato, siempre que el registro llegue a tiempo.

¿Quién está obligado?

Hoy en día están obligados al SII unos 62.000 contribuyentes que representan aproximadamente el 80 % de la recaudación de IVA en España. Para el resto, sigue siendo voluntario.

La llave técnica: certificado de empresa (sello)

Las comunicaciones al SII se realizan mediante servicios web de la AEAT, autenticados con el certificado de representante de persona jurídica o el certificado de sello de persona jurídica emitido por una autoridad de certificación cualificada. Esto ya anticipa la distinción que abordaremos más adelante sobre firma vs. sello.

3. Veri-factu: integridad de secuencia en el registro en origen

Veri-factu (oficialmente, el sistema de emisión de facturas verificables regulado por el Real Decreto 1007/2023 (modificado por RD 254/2025 y RD-ley 15/2025) y desarrollado por la Orden HAC/1177/2024) tiene una naturaleza diferente al SII: no es un sistema de envío a la Administración en tiempo real (aunque puede serlo), sino un sistema de integridad en origen.

La idea central

Todo software de facturación que no esté acogido al SII deberá, a partir de su entrada en vigor, generar facturas que:

  1. Incluyan un código QR que permita al receptor verificar la factura en la sede electrónica de la AEAT.
  2. Incorporen un mecanismo de hashes encadenados en el sistema de control de llevanza de facturas consecutivas, de modo que cualquier alteración posterior sea detectable (adición o eliminación de registros).
  3. Puedan enviarse a la AEAT de forma voluntaria (modalidad VERI*FACTU) o simplemente conservarse en el sistema del emisor (modalidad de registro seguro) a disposición de que lo solicite la AEAT.

¿Quién está obligado?

Todos los empresarios y profesionales no obligados al SII que utilicen sistemas informáticos de facturación, con las excepciones habituales (contribuyentes que ya están en el SII quedan fuera del ámbito de Veri-factu, precisamente porque ya reportan la información al instante).

Fecha de entrada en vigor

Tras el Real Decreto-ley 15/2025, de 2 de diciembre

  • Personas jurídicas (Entidades del Impuesto sobre Sociedades): 1 de enero de 2027
  • Personas físicas (autónomos): 1 de julio de 2027

En resumen: el SII manda el registro a Hacienda; Veri-factu garantiza que el origen de la factura no ha sido manipulado y facilita la verificación posterior. Son excluyentes

4. La factura electrónica B2B: la Ley Crea y Crece

La Ley 18/2022, de creación y crecimiento de empresas (conocida como Ley Crea y Crece), establece en su artículo 12 la obligación de facturar electrónicamente entre empresarios y profesionales en sus relaciones B2B. Esta obligación se concreta en el Real Decreto 238/2026, de 25 de marzo que señala la futura publicación de la Orden Ministerial para dar cobertura a la solución pública gestionada por la AEAT

Plazos de aplicación efectiva (contados desde la publicación de la Orden Ministerial de desarrollo de la solución pública de facturación electrónica):

  • 12 meses → empresas con volumen de operaciones > 8 millones €.
  • 24 meses → resto de empresarios y profesionales.

Durante los primeros 12 meses las grandes empresas podrán acompañar la factura electrónica con un PDF legible (salvo que el cliente acepte expresamente el formato estructurado).

¿Qué exige?

  • Que la factura se emita en un formato estructurado (UBL, CII, EDIFACT y Facturae) y se transmita por plataformas de intercambio interoperables.
  • Que las plataformas —tanto la pública (FACeB2B) como las privadas acreditadas— garanticen la autenticidad e integridad de las facturas.
  • Que el receptor no pueda rechazar la recepción de facturas electrónicas. La eliminación del requisito de aceptación del destinatario en el artículo 232 de la Directiva del IVA es el cambio del paquete “IVA en la era digital” (ViDA) con la Directiva 2025/516, el Reglamento 2025/517 y el Reglamento de Ejecución 2025/518 que permite a los Estados miembros hacer obligatoria la factura electrónica también para el receptor.

¿Qué no es la factura electrónica?

Un PDF enviado por correo electrónico no es una factura electrónica a efectos de la Ley Crea y Crece, aunque la normativa de IVA lo tolere cuando hay acuerdo entre partes. La factura electrónica en sentido estricto requiere un formato estructurado y un canal de transmisión que garantice la autenticidad.

La firma y el sello en la factura electrónica

El reglamento Facturae y el estándar FacturaE ya exigen desde hace años la firma electrónica de la factura. Para una persona jurídica (empresa), lo que técnicamente corresponde es un sello electrónico —no una firma—, tal como veremos en el apartado dedicado a esta distinción.

5. Los regímenes forales: Navarra y el País Vasco

España no tiene un sistema tributario unitario. El régimen foral de Navarra y de los tres Territorios Históricos vascos (Álava, Gipuzkoa y Bizkaia) les otorga competencia normativa propia en materia de IRPF, Impuesto de Sociedades e IVA (en el caso vasco, a través del Concierto Económico; en el caso navarro, mediante el Convenio Económico) del art. 45.3 LORAFN (Ley Orgánica 13/1982). El nuevo RD 238/2026 incluye una disposición adicional específica para garantizar la interoperabilidad.

¿Los regímenes forales tienen su propio SII y Veri-factu?

Sí, y este es un punto que sorprende a muchos:

RégimenSIIVeri-Factu equivalenteFactura electrónica B2B (RD 238/2026)
Territorio Común (AEAT)Real Decreto 596/2016RD 1007/2023 (plazos 2027)Obligatoria (plazos según volumen)
País VascoPropio (a través de Concierto Económico)TicketBAIAdaptada vía acuerdos con Haciendas Forales
NavarraPropio (Convenio Económico)Sistema equivalente (NaTicket u homólogo)Adaptada vía acuerdos con Hacienda Foral

TicketBAI y BATUZ: el adelanto vasco

TicketBAI es el sistema de facturación verificable del País Vasco, conceptualmente muy similar a Veri-factu pero anterior en el tiempo: encadena facturas con hash, genera un código QR verificable y exige que el software de facturación esté certificado por las Haciendas Forales. BATUZ es el proyecto más amplio que incluye TicketBAI y el sistema de libros de registro (LROE – Libro de Registro de Operaciones Económicas), que sustituye a los modelos 130, 303 y 347 para los contribuyentes vascos.

El País Vasco, en definitiva, ha sido el laboratorio de lo que luego se ha exportado al territorio común como Veri-factu.

Implicaciones prácticas para empresas que operan en ambos territorios

Una empresa con sede en Madrid que venda a clientes en el País Vasco no está obligada a TicketBAI (esa obligación recae sobre los contribuyentes del foro vasco). Sin embargo, si tiene un establecimiento permanente en Bizkaia o es contribuyente foral, sí aplica. Las empresas que operan en ambos territorios deben implementar sistemas que puedan adaptarse a ambas normativas, o invertir en soluciones que soporten múltiples regímenes.

6. Firma electrónica y sello electrónico: la distinción que la normativa tributaria no siempre aclara

Llegamos al punto que, en mi opinión, genera más confusión técnica y jurídica en todo este ecosistema.

Lo que dice la normativa tributaria

El artículo 10 del Real Decreto 1619/2012 (Reglamento de facturación) exige que las facturas electrónicas garanticen la autenticidad del origen y la integridad del contenido mediante firma electrónica avanzada basada en certificado reconocido o cualificado. Muchos textos normativos recientes hablan genéricamente de «firma electrónica» sin mayor precisión.

Lo que dice el Reglamento eIDAS (910/2014/UE)

El Reglamento (UE) 910/2014 (eIDAS), que es de aplicación directa en toda la UE, establece una distinción fundamental:

  • La firma electrónica (electronic signature) es un mecanismo exclusivo de personas físicas. Solo una persona física puede «firmar» en sentido eIDAS.
  • El sello electrónico (electronic seal) es el mecanismo equivalente para personas jurídicas: acredita el origen y la integridad de un documento emitido por una organización, sin que deba intervenir ninguna persona física concreta.

Esta distinción no es un tecnicismo menor: una empresa que «firma» una factura con el certificado personal de su director financiero está creando un vínculo jurídico innecesario con esa persona física, exponiéndola a responsabilidades que en realidad son de la empresa. Además, cuando esa persona cambia de cargo o abandona la empresa, el sistema deja de funcionar o genera facturas con certificados caducados.

¿Por qué la normativa tributaria no lo deja claro?

La normativa tributaria española se redactó —y en muchos casos sigue redactándose— con anterioridad o sin plena integración del enfoque eIDAS. Cuando el Reglamento de facturación habla de «firma electrónica reconocida», hay que leerlo como un requisito de nivel de garantía equivalente al de un sello electrónico cualificado cuando quien emite la factura es una persona jurídica. La Directiva sobre facturación electrónica (2014/55/UE) y los estándares EN 16931 ya apuntan en esta dirección.

La lectura correcta, por tanto, es:

  • Si emite la factura una persona física (autónomo): usa firma electrónica cualificada.
  • Si emite la factura una persona jurídica (empresa, sociedad): usa sello electrónico cualificado.

El sello electrónico cualificado es el mecanismo técnico que garantiza la autenticidad e integridad tanto en Veri-Factu, en el SII como en la nueva factura electrónica B2B. Es la misma tecnología que ya se podía usar para el SII y que ahora se extiende al resto de obligaciones.”

7. El sello electrónico cualificado remoto: la pieza que lo une todo

Tanto el SII como Veri-factu, TicketBAI/BATUZ y la factura electrónica B2B requieren que las facturas o los mensajes transmitidos a las Administraciones vayan autenticados con un certificado válido de la persona jurídica emisora. El sello electrónico cualificado es el instrumento técnico-jurídico adecuado para ello.

La evolución más relevante de los últimos años es la consolidación del sello electrónico remoto: el material criptográfico (la clave privada) reside en un HSM (dispositivo cualificado de creación de firma en la nube), operado por un prestador de servicios de confianza cualificado (QTSP). El software de facturación invoca el sello a través de una API sin necesidad de gestionar localmente ningún certificado ni hardware.

Ventajas del sello remoto cualificado para la facturación

EscenarioBeneficio del sello remoto
SII (envíos masivos a AEAT)El servidor de facturación sella miles de registros por segundo sin gestión local de tokens
Veri-factu (hash + QR)Cada factura queda sellada en origen de forma automática e integrada en el flujo de negocio
TicketBAI / BATUZLos sistemas de facturación para el País Vasco ya prevén integración con APIs de sello remoto
Factura electrónica B2BLas plataformas de intercambio pueden sellar en nombre de la empresa emisora sin depender de certificados locales que caducan o se pierden
Factura electrónica en NavarraEl sello remoto permite centralizar la emisión aunque la empresa opere bajo el Convenio Económico

8. Cuadro comparativo final

ConceptoQuién obligaA quién aplicaQué garantizaInstrumento de autenticación
SIIAEAT (territorio común)Grandes empresas y grupos de IVAReporte de registros en tiempo realCertificado de sello / representante de PJ
Veri-factuAEAT (territorio común)Resto de empresarios no en SIIIntegridad en origen + verificación QRHash encadenado + sello en envío voluntario
TicketBAI / BATUZHaciendas Forales vascasContribuyentes forales vascosIntegridad en origen + reporte LROECertificado reconocido / sello
SII foral navarroHacienda Foral NavarraContribuyentes de NavarraReporte de registrosCertificado emitido bajo normativa foral
Factura electrónica B2BLey Crea y Crece + reglamento pendienteTodos los empresarios y profesionalesFormato estructurado + autenticidad e integridadSello electrónico cualificado de la PJ emisora

9. Contacte con EADTrus si necesita un sello electrónico remoto cualificado

Si tu empresa necesita adaptarse a alguno —o a varios— de los marcos normativos descritos en este artículo, la pieza transversal que simplifica todos los escenarios es el sello electrónico remoto cualificado.

EADTrust es un prestador de servicios de confianza cualificado (QTSP) inscrito en la Lista de Confianza española (TSL), que ofrece servicios de sello electrónico remoto cualificado en la nube especialmente orientados a entornos de facturación masiva. Sus características clave:

  • Alta disponibilidad y escalabilidad: apropiado para entornos SII con miles de operaciones diarias.
  • Integración por API: los sistemas de facturación (ERP, plataformas B2B, software de TicketBAI) se conectan sin cambios de arquitectura.
  • Cumplimiento eIDAS y normativa tributaria española: el sello es cualificado conforme al Reglamento 910/2014, lo que cubre los requisitos de autenticidad e integridad exigidos por el Reglamento de facturación y la Ley Crea y Crece.
  • Soporte multi-régimen: el mismo sello sirve para el SII de la AEAT, para Veri-factu, para plataformas de intercambio B2B y para los entornos forales vascos y navarro.
  • Gestión del ciclo de vida del certificado: renovaciones, revocaciones y auditorías sin impacto en los sistemas del cliente.

Si quieres más información sobre cómo integrar el sello remoto cualificado de EADTrust en tu plataforma de facturación, puedes contactar con su equipo técnico llamando al 917160555 (también 902 365 612) o consultar la documentación disponible en su web.

Conclusión

El ecosistema de la facturación en España es, como hemos visto, un mosaico de obligaciones con distinto origen normativo, distinto ámbito subjetivo y distintos plazos. La buena noticia es que todos estos marcos comparten una misma necesidad técnica: garantizar la autenticidad e integridad de las facturas mediante criptografía. Y la solución idónea para las personas jurídicas —que es la inmensa mayoría de los obligados— es el sello electrónico cualificado, preferiblemente en modalidad remota para facilitar la integración y la escalabilidad.

La distinción entre firma (personas físicas) y sello (personas jurídicas) que establece el Reglamento eIDAS no es un detalle menor: es el fundamento jurídico que da validez duradera a todos los documentos electrónicos que emitimos como empresas. Leer la normativa tributaria con las gafas de eIDAS no es optativo: es necesario para implementar bien.

¿Tienes dudas sobre qué sistema aplica a tu empresa o cómo integrar el sello remoto en tu plataforma? Llámanos al 917160555 o al 902 365 612.

Evento sobre Identidad Digital Europea el 28 de abril en el Observatorio Legaltech Garrigues-ICADE

Deja un comentario

El Observatorio Legaltech Garrigues-ICADE, está organizando la jornada: “La Cartera de Identidad Digital de la Unión Europea: implementación y transformación de la gestión de la identidad” que tendrá lugar el 28 de abril de 2026, de 18:00 a 21:00, en el Comillas Conecta Lab de la Universidad Pontificia Comillas (Madrid).

Se puede participar de forma presencial y online. Hay que Indicarlo en el formulario de inscripción

Sesión práctica desde el Laboratorio de Confianza Digital del Observatorio Legaltech Garrigues-ICADE para tratar sobre el marco legal, operación y gobierno de la nueva identidad digital europea.

Se presentarán enfoques y arquitecturas de despliegue, con resultados de proyectos piloto europeos contados por quienes los han construido. Se abordarán los estándares disponibles para Declaraciones Electrónicas de Atributos (DEA) (considerando sus 3 modalidades) y sus oportunidades en el mercado y la sociedad europea.

La sesión reunirá a expertos del ámbito público, tecnológico y jurídico para analizar el estado de despliegue de la European Digital Identity Wallet (EUDI Wallet), los avances derivados de eIDAS2 y las experiencias prácticas de implementación en los pilotos europeos.

Ya tenemos un primer borrador de las intervenciones previstas:

Bienvenida y apertura. Albi Rodríguez Jaramillo, coordinador del Observatorio Legaltech Garrigues-ICADE.

Hoja de ruta de la Cartera de Identidad Digital de la UE. Ainhoa Inza Blasco, Responsable de Políticas Tecnológicas de EADTrust.

La Cartera Nacional Española. La implementación desde el Estado con Angel Luis Martín Bautista, Subdirector del Departamento de Tecnologías Disruptivas e Integridad de la Información. de la Agencia Estatal de Administración Digital y Sancho Canela Sancho, Experto Senior de Identidad Digital y Director de Proyectos en NTT Data.

Las Declaraciones Electrónicas de Atributos (DEA) en Poderes y Representación. Referencias al Catálogo Estatal de Apoderamientos (CEA) impulsado por el Ministerio de Justicia. Moisés Menéndez Andrés, codirector del Observatorio Legaltech Garrigues-ICADE.

Panel: Pilotos Europeos y casos de uso

  • DC4EU, con Lluis Alfons Ariño Martín Adjunto a la Dirección y Comisionado de Gobierno Abierto y TIC de la Universitat Rovira i Virgili y Nacho Alamillo Domingo– Director – Astrea La Infopista Jurídica S.L.
  • EWC. con Ivan Basart Carrillo, Director de eWallet y de los Productos de Firma Electrónica en España. en Signaturit (Namirial)
  • WEBUILD. con Raquel Garay Ruiz De Azúa, Responsable del Área de Cumplimiento de Izenpe.

El reto de desarrollo de ecosistema: una experiencia práctica, –Lucas Carmona Ampuero – Director de Identidad Digital Descentralizada de Teknei

Consideraciones sobre la certificación de Carteras y Cierre. Julián Inza Aldaz, Presidente EAD Trust y miembro del Ad Hoc Working Group on EU Digital Identity Wallets Cybersecurity Certificaction de Enisa.

La Factura Electrónica ya es casi obligatoria en España tras el Real Decreto 238/2026

1 respuesta

El 31 de marzo de 2026 se publicó en el BOE el Real Decreto 238/2026, de 25 de marzo, que desarrolla el sistema de facturación electrónica obligatoria entre empresarios y profesionales (B2B), que repasaremos en este artículo.

Esta norma representa, por fin, la concreción reglamentaria de una obligación que ya se esbozaba en la Ley 56/2007, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información.

Han pasado casi veinte años desde que aquella ley estableciera la regulación sobre factura electrónica en el sector público (remitiendo a futuros cambios en la normativa de contratación en el sector público) y anunciándola también para el sector privado —con el objetivo de impulsar la digitalización, reducir costes operativos y reducir la morosidad— hasta que el Real Decreto 238/2026 la hace efectiva y operativa para todo el tejido empresarial español.

El retraso es injustificable y ha privado durante dos décadas a pymes y autónomos de los beneficios de la trazabilidad digital y la agilidad en los cobros.

Como autor del Manual de Factura Electrónica, cuya edición de 2010, fue la tercera versión y la de 2006 (y el grupo de trabajo de factura electrónica de ASIMELEC que la auspició ) llegó a influenciar la publicación de a Ley 56/2007), yo mismo anticipaba con entusiasmo los avances que traería la generalización la factura electrónica. Hoy, casi dos décadas después, celebro que el RD 238/2026

En sus páginas ya analizaba los primeros pasos en el sector público y defendía su extensión al ámbito privado como herramienta clave de modernización. Hoy, casi dos décadas después, celebro que el RD 238/2026 cierre por fin ese círculo, aunque con un retraso que ha lastrado la competitividad de nuestras empresas.

Contexto y objetivos del Real Decreto 238/2026

El decreto desarrolla expresamente el artículo 2 bis de la Ley 56/2007, modificado por la Ley 18/2022 de creación y crecimiento de empresas, y su disposición adicional vigesimoprimera, introducida por la Ley 7/2024. Lo que en 2007 se planteó como un marco general de impulso a la sociedad de la información se convierte ahora en obligación concreta para todas las operaciones B2B.

Sus objetivos principales son los mismos que inspiraron la Ley 56/2007:

  • Reducir la morosidad comercial mediante la trazabilidad real de los plazos de pago.
  • Digitalizar procesos y ahorrar costes administrativos en empresas y profesionales.
  • Mejorar la información tributaria disponible para la AEAT y luchar contra el fraude fiscal.
  • Garantizar la interoperabilidad entre plataformas privadas de facturación y la solución pública gratuita de la AEAT.
  • Alinearse con las directivas europeas sobre morosidad y facturación electrónica.

La norma consta de 15 artículos, 7 disposiciones adicionales, 3 transitorias y 4 finales. Su entrada en vigor se produce el 20 de abril de 2026, si bien la aplicación efectiva quedará supeditada a la futura orden ministerial que desarrolle la solución pública de la AEAT.

Una advertencia importante: el retraso no es solo una cuestión histórica. Durante estos casi veinte años, miles de empresas han seguido gestionando facturas en papel o en PDF no estructurados, con todos los costes, errores y retrasos en cobros que la Ley 56/2007 ya pretendía evitar. Ese lastre sigue siendo real.

¿A quien afecta? Ámbito de aplicación y excepciones

La obligación afecta a todos los empresarios y profesionales que deban expedir facturas conforme al Reglamento de facturación (RD 1619/2012), cuando el destinatario sea otro empresario/profesional establecido en España.

Excepciones principales

  • Facturas simplificadas (salvo las cualificadas, que sí quedan incluidas).
  • Exclusiones sectoriales específicas debidamente justificadas.
  • Determinados sectores regulados: operadores energéticos e IATA.
  • País Vasco y Navarra: se aplicarán mediante acuerdos con las respectivas Haciendas Forales.

El “Sistema Español de Factura Electrónica”

El artículo 5 crea el llamado «Sistema Español de Factura Electrónica», que se articula en torno a dos elementos:

  • Plataformas privadas de facturación, que deberán cumplir los requisitos técnicos y de seguridad establecidos en la norma.
  • La solución pública gratuita de la AEAT, que actuará como canal universal, repositorio centralizado y sistema de seguimiento de estados.

Las empresas podrán elegir libremente entre ambas opciones. Sin embargo, cuando se use una plataforma privada, será obligatorio remitir una copia fiel de cada factura a la plataforma pública. Si no existe acuerdo entre las partes sobre la plataforma a utilizar, se aplicará por defecto la solución pública.

Requisitos técnicos de la factura electrónica

El artículo 7 establece que todas las facturas electrónicas deberán cumplir tres condiciones simultáneamente:

  • Formato estructurado conforme a la norma europea EN 16931. Los formatos admitidos son UBL, CII, EDIFACT y Facturae.
  • Firma electrónica avanzada basada en certificado cualificado (en el caso de empresas, sello electrónico avanzado basado en certificado cualificado) om mejor, firma electrónica cualificada (en el caso de empresas, sello electrónico cualificado), que garantice la autenticidad e integridad del documento firmado o sellado electrónicamente.
  • Código único identificador de la factura.

La elección del formato UBL como estándar de la plataforma pública es, a mi juicio, muy acertada. Es un formato maduro, interoperable y con amplia adopción internacional. De hecho, tuve la oportunidad de colaborar en la definición de la firma electrónica asociada a este formato dentro del grupo de trabajo de OASIS.

FormatoDescripciónObservaciones
UBLUniversal Business Language (OASIS)Formato elegido por la AEAT para su plataforma pública
CIICross Industry Invoice (UN/CEFACT)Norma europea EN 16931
FacturaeFormato español preexistenteCompatible con el sistema; ya usado en B2G
EDIFACTEstándar EDI clásicoPara sectores con implantación previa

Interoperabilidad entre plataformas privadas

Los artículos 8 y 9 establecen la obligación de interconexión entre plataformas privadas. Cuando un cliente lo solicite, las plataformas deberán establecer esa conexión de forma gratuita y en un plazo máximo de un mes. Esta medida es esencial para evitar que la fragmentación del mercado genere fricciones operativas entre empresas que usen distintos operadores.

Obligaciones de información: estados de las facturas y pagos

Uno de los elementos más relevantes del decreto para la lucha contra la morosidad son las obligaciones de información sobre el ciclo de vida de la factura:

  • El destinatario de la factura dispone de 4 días naturales para comunicar su aceptación o rechazo.
  • También debe notificar el pago completo en el mismo plazo desde que se produzca.
  • Todos estos datos se remiten automáticamente a la AEAT, que los utilizará para elaborar indicadores públicos de morosidad comercial.

Esta trazabilidad en tiempo real es, probablemente, el avance más importante del decreto desde el punto de vista de la salud financiera de pymes y autónomos. Por primera vez existirá información sistemática y verificable sobre el cumplimiento de los plazos de pago en España.

Requisitos de las plataformas privadas

El artículo 13 establece que las plataformas privadas de facturación electrónica deberán cumplir, entre otros, los siguientes requisitos:

  • Certificación ISO/IEC 27001 de gestión de la seguridad de la información.
  • Uso de protocolos seguros AS2 o AS4 para el intercambio de facturas.
  • Implementación de firma electrónica conforme a los requisitos del decreto.
  • Plan de continuidad de negocio documentado.
  • Cumplimiento de la norma UNE 0080.

Calendario de implantación: ¿cuándo me afecta a mí?

El siguiente cuadro resume los hitos clave del calendario de implantación:

Fecha / HitoEmpresas afectadasObligación
20 de abril de 2026TodasEntrada en vigor del RD 238/2026
Tras la Orden Ministerial AEATTodasArranca el cómputo de plazos de implantación
12 meses tras la OMVolumen > 8 M€/añoObligación efectiva de emitir facturas electrónicas
24 meses tras la OMResto de empresas y autónomosObligación efectiva de emitir facturas electrónicas

Importante: el punto de partida del reloj no es el 20 de abril de 2026 (entrada en vigor del RD), sino la fecha en que se publique la orden ministerial que regule la solución pública de la AEAT. Hasta ese momento, las empresas deberán prepararse técnica y organizativamente, pero la obligación formal aún no será exigible.

Durante el período transitorio, se permitirá el envío de la factura en formato PDF como complemento a la factura electrónica estructurada, y la AEAT pondrá a disposición entornos de pruebas para facilitar la adaptación.

Implicaciones prácticas: ¿qué deben hacer las empresas?

El momento de actuar es ahora. Aunque la obligación efectiva aún no es exigible, las empresas que empiecen a prepararse hoy tendrán una ventaja competitiva clara y evitarán adaptaciones de última hora costosas y arriesgadas.

1. Audita tu situación actual

Identifica qué sistema de facturación utilizas actualmente, qué volumen de facturas B2B emites y recibes, y si ya trabajas con algún software compatible con los formatos estructurados exigidos (UBL, CII, Facturae, EDIFACT).

2. Evalúa si tu software actual es suficiente

Muchos programas de contabilidad y ERP ya ofrecen soporte para factura electrónica estructurada. Consulta con tu proveedor si la versión actual cumple con EN 16931 y si podrá conectarse con la plataforma pública de la AEAT cuando esté operativa.

3. Decide entre plataforma privada y pública

Si emites un volumen elevado de facturas o tienes necesidades avanzadas de integración con tu ERP, una plataforma privada puede ser más adecuada. Para pymes y autónomos con volumen moderado, la solución pública gratuita de la AEAT puede ser suficiente. En cualquier caso, ambas opciones son complementarias, no excluyentes.

4. Obtén los certificados de firma electrónica necesarios

La norma exige firma electrónica (en realidad, sello electrónico) basados en certificado cualificado o bien firma electrónica cualificada (en el caso de empresas, sello electrónico cualificado) en todas las facturas. Si aún no dispones de un certificado cualificado de sello electrónico para tu empresa o de un servicio de sellado remoto integrable con tu software de facturación, este es el momento de solicitarlo a EADTrust.

5. Prepárate para informar sobre estados y pagos

La obligación de notificar la aceptación, rechazo y pago de facturas en 4 días naturales implica adaptar los procesos internos de tu departamento financiero o de administración. Asegúrate de que tus flujos de trabajo internos y tu software contemplan esta funcionalidad.

Valoración crítica: luces y sombras del RD 238/2026

El decreto es, en conjunto, positivo y necesario. Sin embargo, con más de quince años de experiencia en el ámbito de la factura electrónica, identifico algunos aspectos mejorables:

  • La norma llega veinte años tarde. Ese retraso tiene un coste real y mensurable en términos de morosidad acumulada, costes administrativos innecesarios y pérdida de competitividad de las empresas españolas frente a países europeos que implantaron la facturación electrónica B2B hace años.
  • La aplicación efectiva queda supeditada a una orden ministerial cuya fecha de publicación es incierta. Esto introduce incertidumbre en la planificación empresarial.
  • La fragmentación de plataformas privadas podría generar fricciones si los mecanismos de interoperabilidad no funcionan ágilmente en la práctica. La obligación de interconexión en un mes es un paso en la dirección correcta, pero habrá que vigilar su cumplimiento.
  • La elección del formato UBL para la plataforma pública es acertada. Es un estándar maduro, bien documentado y con amplia adopción internacional, que facilitará la integración con sistemas europeos.
  • Los indicadores de morosidad que elaborará la AEAT son una herramienta muy valiosa que debería complementarse con mecanismos de transparencia y, eventualmente, con consecuencias para las empresas con peor comportamiento de pago.

Modificaciones al Reglamento de Facturación

La disposición final primera del decreto introduce ajustes puntuales en el Real Decreto 1619/2012 (Reglamento de facturación) para adaptarlo al nuevo régimen de facturación electrónica obligatoria. Estos cambios afectan principalmente a la definición de factura electrónica y a los requisitos de autenticidad e integridad.

Conclusión

El Real Decreto 238/2026 es un paso adelante largamente esperado. Supone la concreción real de un mandato que lleva veinte años en el ordenamiento jurídico español sin materializarse de forma operativa para el sector privado.

La norma tiene virtudes claras: apuesta por estándares europeos e internacionales, garantiza la gratuidad de la solución pública, establece mecanismos de interoperabilidad y crea la infraestructura para luchar contra la morosidad de forma sistemática. También tiene sombras: llega tarde, delega la operatividad real en una orden ministerial pendiente y genera cierta incertidumbre en el calendario.

Mi recomendación es no esperar a esa orden ministerial para empezar a prepararse. Las empresas que comiencen ahora a auditar sus sistemas, seleccionar plataformas y obtener los certificados necesarios estarán en una posición mucho mejor cuando llegue el momento de la obligación efectiva.

¿Tienes dudas sobre cómo adaptarte al nuevo sistema? Para la obtención de certificados de sello electrónico avanzado o cualificado, o para integrar un servicio de sellado remoto en tu aplicación de facturación, puedes contactar con EADTrust en el teléfono 91 716 05 55 o en el 902 365 612.

Publicado el nuevo Reglamento de Ejecución (UE) 2026/798 para el desarrollo de la Cartera IDUE

Deja un comentario

Ayer, 8 de abril de 2026, se publicó en el Diario Oficial de la Unión Europea el REGLAMENTO DE EJECUCIÓN (UE) 2026/798 DE LA COMISIÓN de 7 de abril de 2026 por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a las normas de referencia y especificaciones para la incorporación a distancia de usuarios a las carteras europeas de identidad digital por medios de identificación electrónica conformes con el nivel de seguridad sustancial junto con procedimientos adicionales de incorporación a distancia cuando la combinación cumpla los requisitos del nivel de seguridad alto.

Este acto de ejecución se basa en el artículo 5 bis, apartado 24, del Reglamento eIDAS (UE) 910/2014.

Su objetivo es fijar normas técnicas y especificaciones armonizadas para permitir la incorporación remota (onboarding) segura de usuarios a las carteras europeas de identidad digital (EUDI Wallets), utilizando medios de identificación electrónica (eID) de nivel de seguridad sustancial, y procedimientos adicionales para alcanzar el nivel alto. Esto garantiza confianza, seguridad y coherencia en toda la UE.

Los «Considerandos» principales:

  • La incorporación remota es esencial para verificar la identidad del usuario y vincularla a la cartera y al dispositivo.
  • Se utilizan normas ya consolidadas (basadas en ETSI) adaptadas al contexto de las carteras europeas.
  • Cuando el eID ya tiene nivel alto, no es necesario repetir verificaciones.
  • Para eID no notificados, se exige evaluación por organismos acreditados.
  • Se aplican plenamente las normas de protección de datos (RGPD, Reglamento 2018/1725 y Directiva 2002/58/CE).

Incluye 2 artículos:

  • Artículo 1: Establece que las normas de referencia y especificaciones aplicables figuran en el Anexo.
  • Artículo 2: Entrada en vigor y aplicabilidad (ver abajo).

El Anexo remite a la norma ETSI TS 119 461 V2.1.1 (febrero 2025) y selecciona/adapta sus cláusulas para dos escenarios:

  1. Incorporación remota con eID de nivel sustancial (Baseline LoIP).
  2. Procedimientos adicionales para alcanzar nivel alto (Extended LoIP).

Sección 1 – Cláusulas aplicables (selección de la ETSI TS 119 461):

  • Gestión de riesgos operativos, políticas y prácticas, gestión del servicio de verificación de identidad, requisitos del servicio, casos de uso concretos (con documento de identidad atendido/no atendido, por autenticación con eID, y refuerzo de nivel).

Sección 2 – Adaptaciones específicas (modificaciones importantes):

  • Evaluación de riesgos y políticas de prácticas.
  • Gestión del servicio (notificaciones, conservación de pruebas, gestión de crisis, acuerdos de cese).
  • Protección de datos por diseño y por defecto (limitación de datos biométricos).
  • Requisitos de verificación de identidad: uso de eID notificados o certificados por organismo acreditado, captura de imagen facial segura (comunicación de campo cercano con chip), tasas de falsa aceptación/rechazo (FAR/FRR).
  • Refuerzo de nivel: procedimientos para pasar de Baseline a Extended LoIP (solo cuando no se usó comparación facial automatizada).

Todo el proceso debe cumplir los requisitos de los Reglamentos de Ejecución (UE) 2015/1502 y ETSI EN 319 401.

Disposiciones finales

  • Entrada en vigor: a los veinte días de su publicación en el DOUE (es decir, el 28 de abril de 2026).
  • Aplicabilidad: obligatorio en todos sus elementos y directamente aplicable en todos los Estados miembros.

Con este acto de ejecución se confirma que decae (pierde aplicabilidad efectiva) la Orden ETD/465/2021 en el contexto de la incorporación remota a las carteras europeas de identidad digital (EUDI Wallets) y en las evaluaciones de conformidad de sistemas de verificación de identidad remota.

Por esta razón:

  • El Reglamento eIDAS 2.0 (Reglamento (UE) 2024/1183) y especialmente el Reglamento de Ejecución (UE) 2026/798 establecen un marco armonizado a nivel europeo.
  • Ambos remiten directamente a la norma ETSI TS 119 461 (versión 2.1.1 o posterior) como estándar único para la verificación de identidad remota.
  • La Orden ETD/465/2021 era una norma aplicable en España antes de la publicación del EIDAS2 (Reglamento UE 2024/1183) que detallaba cómo realizar la identificación remota y pierde sentido una vez publicada la norma europea armonizada ETSI TS 119 461.

Todavía podría utilizarse la Orden ETD/465/2021 en España para la expedición de certificados cualificados “tradicionales” (no para gestionar la identidad en «wallets»). Pero para esa funcionalidad también es posible optar por aplicar la norma ETSI TS 119 461.

Cambios a la norma ETSI TS 119 461

El Anexo del Reglamento de Ejecución da indicaciones respecto a la forma de usar la norma de referencia:

La conformidad se evalúa con arreglo a las cláusulas de ETSI TS 119 461 V2.1.1 (2025-02) enumeradas en la sección 1, con sujeción a las adaptaciones enumeradas en la sección 2.

Sección 1 — Cláusulas aplicables

5Operational risk assessment;
6Policies and practices;
7Identity proofing service management and operation;
8Identity proofing service requirements;
9.1Introduction, compliance with the present document, general requirements for all use cases;
9.2.2Use cases using an identity document for attended remote identity proofing;
9.2.3Use cases using an identity document for unattended remote identity proofing;
9.2.4Use case for identity proofing by authentication using eID means;
9.5Use cases for additional identity proofing to enhance an identity proven by use of an eID from Baseline LoIP to Extended LoIP.

Sección 2 — Adaptaciones

1)5Operational risk assessment
 —OVR-5-01: Se aplicarán los requisitos especificados en la norma ETSI EN 319401 [1], cláusula 5.
—Nota 1: Cuando la acreditación de la identidad sea realizada por el propio proveedor de datos de identificación de la persona, la evaluación de riesgos del proveedor de datos de identificación de la persona puede abarcar la acreditación de la identidad.
2)6.1Identity proofing service practice statement
 —OVR-6.1-02: Los prestadores de servicios de acreditación de la identidad (IPSP) identificarán en su declaración de prácticas los casos de uso para los que se declara la conformidad con el presente documento.
—Nota 1: Cuando la acreditación de la identidad sea realizada por el propio proveedor de datos de identificación de la persona, la declaración de prácticas del servicio de acreditación de la identidad del proveedor de datos de identificación de la persona puede abarcar la información sobre la acreditación de la identidad y no será necesaria ninguna declaración de prácticas específica para la acreditación de la identidad.
3)7.9Vulnerabilities and incident management
 —OVR-7.9-02: Las obligaciones de notificación con arreglo a la norma ETSI EN 319401 [1], REQ-7.9.2-02X y cláusula 7.9.3, se cumplirán según lo exigido por el contexto de la acreditación de la identidad y las obligaciones del proveedor de datos de identificación de la persona que se base en el servicio del IPSP.
—EJEMPLO: La notificación a la autoridad de control que supervise a un proveedor de carteras europeas de identidad digital establecido en el Estado miembro que efectúa la designación puede llevarse a cabo en cooperación entre el IPSP y el proveedor de datos de identificación de la persona.
4)7.10Collection of evidence
 —OVR-7.10-01: Se aplicarán los requisitos especificados en la norma ETSI EN 319401 [1], cláusula 7.10.
—Nota 1: Los requisitos a largo plazo para la conservación de pruebas pueden ser cumplidos por el proveedor de datos de identificación de la persona que solicita la acreditación de la identidad en lugar de por el IPSP cuando ambos sean entidades diferentes.
—Nota 2: Se aplican los requisitos del punto 8.5.2 del presente documento.
5)7.11Business continuity management
 —OVR-7.11-02: Los procesos para la gestión de crisis con arreglo a la norma ETSI EN 319401 [1], REQ-7.11.3-01X, serán los requeridos por el contexto de la acreditación de la identidad y las obligaciones del proveedor de datos de identificación de la persona que se base en el servicio del IPSP.
6)7.12Termination and termination plans
 —OVR-7.12-01: Se aplicarán los requisitos especificados en la norma ETSI EN 319401 [1], cláusula 7.12, excepto REQ-7.12-11.
—Nota: Cuando el IPSP y el proveedor de datos de identificación de la persona que solicita la acreditación de la identidad sean entidades diferentes, pueden acordar una asistencia mutua o unilateral a la hora de establecer planes de cese.
7)8.1Initiation
 —INI-8.1-05: En caso de que el proceso de acreditación de la identidad a distancia se interrumpa o falle, el IPSP garantizará que se proporcionen a las personas explicaciones suficientes y vías de recurso, en particular en el caso de la acreditación de la identidad a distancia no atendida. La información debe garantizar que las personas puedan contribuir eficazmente a la rápida resolución del problema y, en caso necesario, ejercer sus derechos como interesados, como el derecho de rectificación o la posibilidad de impugnar la decisión, contra el responsable del tratamiento pertinente.
8)8.2.1General requirements
 —COL-8.2.1-08: El IPSP aplicará medidas para garantizar el cumplimiento de los requisitos de protección de datos desde el diseño y por defecto de conformidad con el artículo 25 del Reglamento (UE) 2016/679 durante el proceso de incorporación, especialmente en lo que respecta al tratamiento de datos biométricos. Las medidas pertinentes podrán consistir en controles criptográficos, dispositivos y medidas organizativas adecuados que mejoren la privacidad. Tales medidas deben limitar la recogida de datos a lo estrictamente necesario para el tratamiento de los datos biométricos y cualquier otro dato personal que deba recogerse de las fuentes físicas y digitales de identificación a fin de vincular los datos de identificación personal del usuario a sus carteras y al dispositivo del usuario en el que esté instalada la unidad de cartera.
9)8.2.4Use of existing eID means as evidence
 —[CONDICIONAL] COL-8.2.4-02X: Si el objetivo es el nivel básico de acreditación de la identidad (Baseline LoIP), los medios de identificación electrónica deberán haber sido notificados al menos como de un nivel de seguridad eIDAS sustancial o su nivel de seguridad deberá haber sido confirmado por un organismo de evaluación de la conformidad acreditado, tal como se define en el artículo 2, punto 13, del Reglamento (CE) n.o 765/2008, o por un organismo equivalente, y, si se cumplen todos los requisitos aplicables, la evaluación dará lugar a un certificado de conformidad basado en una auditoría de certificación. Este proceso de certificación formal se basará en un proceso de evaluación de la seguridad que se refiera a los niveles de seguridad definidos para los medios de identificación electrónica notificados o para las carteras europeas de identidad digital certificadas en virtud del Reglamento (UE) n.o 910/2014 [i.25].
—COL-8.2.4-02A: sin efecto.
10)8.3.1General requirements
 —VAL-8.3.1-11X: El proceso de acreditación de la identidad verificará que las pruebas sean válidas en el momento de la acreditación de la identidad.
11)8.3.3Validation of physical identity document
 —VAL-8.3.3-21: La eficacia de las medidas para cumplir los requisitos VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A y VAL-8.3.3-07X será confirmada por un organismo de evaluación de la conformidad acreditado, tal como se define en el artículo 2, punto 13, del Reglamento (CE) n.o 765/2008, o por un organismo equivalente.
—VAL-8.3.3-22: La imagen facial de referencia del documento físico de identidad se recogerá utilizando la comunicación de campo cercano y el proceso llevará a cabo la autenticación pasiva o activa del chip del documento físico de identidad.
12)9.1Introduction, compliance with the present document, general requirements for all use cases
 —USE-9.1-01X: Para ser conformes con el presente documento, los procesos de acreditación de la identidad se ajustarán al caso de uso de la cláusula 9.5 del presente documento para el nivel ampliado de acreditación de la identidad (Extended LoIP).
—USE-9.1-03X: sin efecto.
13)9.2.3.4Use case for automated operation
 —USE-9.2.3.4-04: El IPSP establecerá valores objetivo para la tasa de falsa aceptación (FAR) y la tasa de falso rechazo (RRF), sobre la base de un análisis de riesgos y su procedimiento de inteligencia sobre amenazas, siguiendo la metodología establecida en el informe de ENISA «Methodology for sectoral cybersecurity assessments» («Metodología para las evaluaciones sectoriales de la ciberseguridad», documento en inglés) [i.28] o una metodología equivalente, en procesos de acreditación de identidad totalmente automatizados. Los valores objetivo utilizados por el IPSP serán iguales o inferiores a los establecidos para los casos de uso de carácter híbrido, cuando existan. El IPSP mantendrá estos valores objetivo para la FAR y la RRF de manera coherente, con el apoyo de un análisis de riesgos y su procedimiento de inteligencia sobre amenazas.
14)9.5.1General requirements
 —Primer apartado: Cuando el solicitante sea una persona física, también una persona física que represente a una persona jurídica, y se haya acreditado la identidad del solicitante al nivel básico de acreditación de la identidad (Baseline LoIP) mediante autenticación utilizando una identificación electrónica, y se requiera un refuerzo hasta el Extended LoIP, se aplicarán los requisitos siguientes.
—USE-9.5.1-08: La acreditación de la identidad adicional necesaria para reforzar la fiabilidad de una identidad solo es aplicable a la identificación electrónica que no se haya expedido basándose en una comparación automatizada entre imágenes faciales para el proceso de expedición inicial.
15)9.5.2Use case for enhancing identity proofing to Extended LoIP by a full identity proofing using an identity document
 —USE-9.5.2-01: La acreditación de la identidad a fin de pasar del Baseline LoIP al Extended LoIP se ajustará a los requisitos del nivel ampliado de acreditación de la identidad de uno de los casos de uso descritos en las cláusulas 9.2.2 o 9.2.3 del presente documento para el Extended LoIP.
16)9.5.3Use case for enhancing identity proofing to Extended LoIP by use of a previously captured reference face image
 —USE-9.5.3-01: Para captar una imagen facial de referencia y vincular los atributos de identidad necesarios a dicha imagen, se utilizará un proceso de acreditación de la identidad que cumpla los requisitos del Extended LoIP de uno de los casos de uso descritos en las cláusulas 9.2.2 o 9.2.3 del presente documento, o el proceso de acreditación de la identidad ha sido revisado por pares o certificado por un organismo de evaluación de la conformidad acreditado definido en el artículo 2, punto 13, del Reglamento (CE) n.o 765/2008 o un organismo equivalente para cumplir el nivel de seguridad alto con arreglo al Reglamento (UE) n.o 910/2014 [i.25].

Estos son requisitos que no se incluyen en la norma indicada: ETSI TS 119 461 V2.1.1 (2025-02) por lo que puede ser interesante tener una «norma» modificada como referencia.

Mejoras del algoritmo TLS 1.3 para resistir la amenaza de la computación cuántica

Deja un comentario

«Criptocalipsis» o «Q-day»

En el sector de la ciberseguridad a menudo preferimos anticiparnos a las amenazas. Por eso se ha acuñado el término «Criptocalipsis» —ese momento teórico en el que un ordenador cuántico sea lo suficientemente potente como para romper en poco tiempo la criptografía asimétrica que protege Internet (la base de los algoritmos de cifrado asimétrico y de firma electrónica como RSA y ECC)— .

A ello ha contribuido las recomendaciones de los organismos de estandarización (IETF, NIST, ETSI, ISO) y los grandes proveedores de infraestructura que se toman en serio los riesgos detectados .

Y el riesgo actual tiene un nombre técnico bastante inquietante: «Harvest Now, Decrypt Later» (Recolectar ahora, descifrar después).

Cabe pensar que el tráfico cifrado que circula hoy por las redes podría estar siendo recogido y almacenado masivamente por organismos de algunos estados o por grandes organizaciones delictivas con recursos económicos a su disposición.

La información que se guarda cifrada, sin conocer la clave de descifrado, parece poco útil, pero dentro de 5, 10 o 15 años, cuando llegue el llamado «Q-Day» (el día que un ordenador cuántico relevante esté operativo), esa «caja fuerte» de datos grabados hoy podría abrirse en espacios de tiempo cortos usando el algoritmo de Shor.

Si la confidencialidad de los datos de las empresas y organismos (secretos industriales, comunicaciones diplomáticas, datos médicos a largo plazo) debe durar más de una década, la criptografía convencional podría no ser suficiente.

Uno de los usos del cifrado se da en las comunicaciones seguras de los browsers o navegadores con los sitios web que tendrán instalado un certificado para que se pieda activar esa comunicación cifrada.

El protocolo utilizado se llamaba antiguamente SSL pero ya no se usa esa denominación porque ese protocolo incluía importantes vulnerabilidades, que se han resuelto posteriormente.

Ahora se emplea el protocolo TLS , la evolución del SSL, pero tampoco vale cualquier versión. No valen la versiones anteriores a la 1.2 y pronto dejará de utilizarse esta, conforme se generalice la versión TLS 1.3.

Y en el protocolo se usa un certificado X.509 en el servidor en base al cual se gestiona el intercambio de claves

  1. Si un ataque en base a computación cuántica desvelara la clave privada del certificado, el atacante podría suplantar el servidor (lo que requeriría más operaciones para la suplantación como atacar los DNS). Incluso si eso sucede, habría indicios que permitirían al propietario del servidor web legítimo detectarlo y reaccionar.
  2. La Confidencialidad de las comunicaciones se basa en el intercambio de claves de cifrado: Si un ataque en base a computación cuántica desvelara la clave de cifrado, de un intercambio de información del pasado (preservada por el atacante), podría descifrar todo el intercambio de información.

Por eso, la prioridad del IETF en su actualización del protocolo ha sido blindar el intercambio de claves. Y ya está publicado como estándar.

Enfoque híbrido del intercambio de claves: compatibilidad y reforzamiento

El reto en el intercambio de claves en TLS es que el objetivo de usar nuevos algoritmos postcuánticos (PQC) como Kyber (ahora estandarizado por NIST como ML-KEM), debería ser compatible con el uso de algoritmos muy probados como RSA o las Curvas Elípticas (ECC). ¿Qué pasa si al profundizar en los nuevos algoritmos se descubre una vulnerabilidad matemática no detectada en los análisis previos?

La respuesta del IETF en el reciente estándar para TLS 1.3 es el pragmatismo puro: el Intercambio de Claves Híbrido.

La idea es simple y práctica: no sustituir lo viejo por lo nuevo, sino usar ambos simultáneamente. Es una estrategia de «compatibilidad y refuerzo». Para que un atacante rompa la sesión, tendría que romper a la vez la criptografía clásica (X25519, híper probada) Y la nueva criptografía postcuántica (Kyber). Si el ordenador cuántico no da con la clave, nos protege la criptografía clásica. Si el ordenador cuántico expone la clave basada en criptografía clásica, nos protege la basada en criptografía postcuántica.

3. Cómo funciona el nuevo «Handshake» TLS 1.3 Híbrido

¿Cómo se modifica un protocolo tan establecido como TLS 1.3 para negociar dos tipos de criptografía radicalmente distintos en una sola ida y vuelta, sin perder eficiencia?

El cambio ocurre en las extensiones clave del handshake inicial:

A. El Cliente propone (ClientHello)

En un TLS 1.3 normal, el cliente usa la extensión supported_groups para decir «soporte la curva elíptica X25519» y la extensión key_share para enviar «aquí tienes mi mitad de la clave pública X25519».

En el nuevo TLS híbrido, el cliente da un paso más:

  1. En supported_groups, indica soporte para nuevos identificadores «compuestos», por ejemplo, uno que significa específicamente «X25519 combinado con Kyber768».
  2. En el key_share, el cliente no envía solo una clave. Envía un paquete concatenado: [Su clave pública X25519] + [Su clave pública Kyber].

B. El Servidor elige (ServerHello)

El servidor recibe la propuesta. Si soporta ese grupo híbrido y decide usarlo:

  1. Selecciona el grupo compuesto.
  2. Genera sus propias claves para ambos algoritmos.
  3. Realiza la operación clásica Diffie-Hellman con la parte X25519.
  4. Utiliza el mecanismo de Encapsulación de Clave (KEM) de Kyber para generar un «secreto compartido» y encapsularlo para el cliente.
  5. Devuelve en su ServerHello el paquete: [Su clave pública X25519] + [El criptograma encapsulado de Kyber].

C. La Magia: La Derivación de la Clave Maestra

Este es el punto crítico. Al final de este intercambio, tanto cliente como servidor tienen en sus manos dos secretos compartidos distintos:

  • El secreto resultante del intercambio clásico (ECDH).
  • El secreto compartido desencapsulado del intercambio postcuántico (KEM).

El estándar dicta que el key schedule de TLS 1.3 (la «coctelera» criptográfica que deriva las claves finales de cifrado simétrico AES o ChaCha20) debe combinar ambos secretos. Se introducen los dos ingredientes en la función de derivación.

El resultado matemático es fundamental: la clave de sesión final resultante depende criptográficamente de ambos secretos. Si un atacante cuántico logra romper la parte de X25519 en el futuro, no le servirá de nada, porque le falta el ingrediente de Kyber para poder reconstruir la clave de sesión. La confidencialidad futura queda asegurada hoy.

4. Una nota sobre el futuro de la Autenticación (Firmas y Certificados)

Los lectores más atentos notarán que solo hemos hablado del intercambio de claves. ¿Qué pasa con el certificado que presenta el servidor para autenticarse?

A día de hoy, ese certificado (el que emiten prestadores como EADTrust o Google) sigue utilizando firmas clásicas RSA o ECDSA. Como se ha indicado al principio, esto se considera un riesgo aceptable temporalmente, ya que romper esto solo permite ataques en tiempo real, no descifrado retroactivo.

La migración a certificados con firmas postcuánticas es un desafío logístico mucho mayor que implicará actualizar todas las raíces de confianza en navegadores y sistemas operativos.

Cuando llegue ese momento, la industria se debate entre varios candidatos del NIST. Mientras que Dilithium (ML-DSA) parece el estándar para propósito general, para casos de uso específicos como la firma de documentos y PDF, FALCON se perfila como una opción técnicamente superior debido a su eficiencia y al tamaño extremadamente compacto de sus firmas, algo crítico para no engordar innecesariamente los documentos electrónicos a largo plazo.

ENISA anticipa el borrador de la norma de evaluación de las Carteras de Identidad Digital de la UE

Deja un comentario

La Agencia europea ENISA acaba de lanzar una consulta pública sobre el borrador del esquema candidato de certificación para la Cartera de Identidad Digital Europea (EUDI Wallet), tras su desarrollo por el Grupo de Trabajo Ad Hoc (Ad Hoc Working Group) auspiciado por ENISA y del que me honro en formar parte.

Tras la adopción del Reglamento que establece el Marco Europeo de Identidad Digital (EIDAS2), la Comisión Europea solicitó a ENISA que apoyara la certificación de las Carteras de Identidad Digital Europea, incluyendo el desarrollo de un esquema europeo de certificación de ciberseguridad conforme al Cybersecurity Act.

Ahora, la Agencia europea ENISA publica el borrador de la norma y lo somete a una consulta pública.

La consulta pública tiene como objetivo validar los principios y la organización general del esquema propuesto, así como recopilar comentarios sobre los elementos del borrador y sus anexos. El plazo para enviar respuestas finaliza el 30 de abril de 2026.

Próximo seminario web

ENISA organizará un webinar para presentar el borrador del esquema candidato de la EUDI Wallet y responder preguntas: el Miércoles 8 de abril, de 15:00 a 16:30 CEST.

Esquemas nacionales de certificación de la EUDI Wallet

En febrero de 2026, ENISA firmó un Acuerdo de Contribución por 1,6 millones de euros con la Comisión Europea, con una duración de dos años, para apoyar el desarrollo, despliegue e implementación de esquemas nacionales de certificación de la Cartera de Identidad Digital Europea.

Financiado por el Programa Europa Digital (DEP) 2025–2027, el acuerdo establece los siguientes ámbitos de actividad:

  • Desarrollo de esquemas nacionales de certificación por parte de los Estados miembros
  • Aumento del conocimiento, capacidades y confianza mutua entre los Estados miembros y el ecosistema de certificación
  • Incremento de la capacidad y eficacia operativa para los Estados miembros y el ecosistema
  • Inicio de la alineación y transición efectiva desde los esquemas nacionales hacia un esquema europeo de certificación de ciberseguridad

Los Estados miembros deberán proporcionar al menos una Cartera de Identidad Digital Europea certificada antes de finales de 2026.

ENISA apoyará a la Comisión Europea y a los Estados miembros en la definición de controles de ciberseguridad en el ámbito de la identificación digital, facilitando su adopción oportuna en toda la UE.

¿Qué es la EUDI Wallet?

El uso de carteras digitales (EUDI Wallet, European Union Digital Identity Wallet) es un paso clave hacia una identificación fluida y segura tanto en el mundo físico como en el digital. Garantiza la seguridad y la protección de la privacidad de los usuarios y de sus datos personales.

El esquema de certificación verificará que cada cartera cumple altos requisitos de seguridad.

Hasta 2026, las implementaciones de carteras digitales rara vez habían pasado por procesos formales de certificación. El desarrollo de esquemas de certificación responde a la necesidad de un marco coherente de ciberseguridad que facilite el cumplimiento para los fabricantes, mejore la transparencia y apoye el uso seguro de productos y servicios digitales.

Las Carteras de Identidad Digital Europea también se debatirán en la Conferencia Europea de Certificación de Ciberseguridad 2026, titulada “Construir confianza mediante la certificación: las afirmaciones de seguridad deben demostrarse, no prometerse”, el 15 de abril de 2026 en Chipre.

Esquema de Certificación propuesto (EUDIW v0.4.614) para Revisión Pública

Esta publicación es una versión preliminar del esquema candidato de certificación de EUDIW (Esquema Europeo de Certificación de Ciberseguridad para las Carteras de Identidad Digital Europeas —EUDI Wallets— y los sistemas de identidad electrónica bajo los cuales se proporcionan).

El documento es el resultado del trabajo conjunto de los expertos del Ad Hoc Working Group (creado según lo previsto en el Artículo 48.2 del Reglamento (UE) 2019/881 «Ley de Ciberseguridad») y se presenta como base para una revisión pública, cuyo objetivo es:

  • Validar los principios y la organización general del esquema propuesto.
  • Recoger comentarios y observaciones sobre los elementos del borrador y sus anexos.

El esquema aborda la certificación de la ciberseguridad de los servicios en la nube relacionados con:

  • Las Carteras de Identidad Digital Europea (EUDI Wallets).
  • Los sistemas de identidad electrónica que las sustentan.

El borrador se acompaña de una versión preliminar del documento:

  • Requisitos de Seguridad para Proveedores de Servicios Relacionados con la Cartera (Wallet-Related Service Provider Security Requirements), v0.5.614

Este documento se incluye solo como referencia y para obtener una opinión temprana sobre el enfoque seguido.

Está abierta una revisión pública mediante el siguiente formulario (EUDIW Public Review) con Fecha límite: jueves 30 de abril de 2026 (incluido)

Archivos disponibles

Referencias en inglés:

¡Nueva edición del Curso de Computación Cuántica y Criptografía Postcuántica de EADTrust! 22 y 23 de abril de 2026 – Madrid (Hotel Zenith Conde Orgaz)

Deja un comentario

La computación cuántica ya no es ciencia ficción. Los avances recientes (como el chip Majorana 1 de Microsoft o los estándares NIST ya publicados) están acelerando el llamado “criptocalipsis”: el momento en que los algoritmos actuales de cifrado (RSA, ECC…) podrán ser rotos por un ordenador cuántico. ¿Está preparada tu organización para proteger sus datos, firmas electrónicas, transacciones y sistemas críticos frente a esta amenaza real?

EADTrust, como Qualified Trust Service Provider (QTSP) líder en España, organiza la nueva edición presencial de su curso “Introducción a la Computación Cuántica y a la Criptografía Postcuántica”, los días 22 y 23 de abril de 2026 (de 9:30 a 17:30 h) en el Hotel Zenith Conde Orgaz de Madrid.

¿A quién está especialmente dirigido este curso?

Este curso está pensado para quienes toman decisiones estratégicas en ciberseguridad, tecnología, cumplimiento normativo y protección de activos críticos. No requiere conocimientos previos de física ni criptografía: está diseñado para perfiles directivos y técnicos que necesitan entender el riesgo y planificar la migración.

Empresas e instituciones a las que más interesa:

  • Entidades financieras, bancarias y aseguradoras (bancos, fintech, medios de pago, seguros): para proteger transacciones, identidades digitales y activos financieros.
  • Administraciones públicas y organismos de defensa, seguridad e infraestructuras críticas: para cumplir con EIDAS 2.0, recomendaciones del CCN, ENISA y ETSI.
  • Empresas tecnológicas, telecomunicaciones y proveedores de servicios estratégicos: que gestionan PKI, firmas electrónicas o datos sensibles.
  • Sectores regulados como salud, energía, industria 4.0 y legaltech: donde la confidencialidad y la integridad a largo plazo son esenciales.
  • Responsables de ciberseguridad, CIOs, CTOs, DPOs y equipos de cumplimiento: que deben diseñar hojas de ruta de criptoagilidad y migración a PQC.

Si tu organización maneja información sensible, certificados digitales, firmas electrónicas o sistemas que deben seguir siendo seguros durante décadas, este curso es para ti.

¿Qué vas a aprender en dos días intensivos?

  • Día 1 (nivel introductorio): Historia de la física cuántica, qubits, superposición, entrelazamiento, puertas cuánticas y circuitos. Práctica real con el IBM Quantum Composer.
  • Día 2 (nivel avanzado y aplicado): Algoritmos cuánticos (Shor, Grover…), impacto en la criptografía actual, “criptocalipsis”, estándares NIST (ML-KEM, ML-DSA, etc.), hoja de ruta europea y del CCN, estrategias de migración híbrida y criptoagilidad.

Todo con la metodología ENSAR (Experience, Name, Speak, Apply & Repeat), material didáctico completo (incluido el IQC Kit), ejercicios prácticos, casos reales y ponentes expertos: Jorge Christen, Julián Inza, Ainhoa Inza y Antonio Peris.Incluye: certificado oficial de asistencia, comidas y pausas-café durante las dos jornadas.

Precio y descuentos

  • Precio general: 900 € + IVA
  • Descuento especial (hasta 25 %) para clientes de EADTrust o referenciados → hasta el 18 de abril de 2026.
    Solicita tu oferta personalizada.

¿Cómo inscribirte?

Plazas limitadas.
→ Rellena el formulario oficial aquí:
https://www.eadtrust.eu/formulario-curso-computacion/

O llama al 917 160 555 para más información.

No esperes al último momento. La transición a criptografía postcuántica es un proceso que lleva años y los plazos regulatorios (2026-2030-2035) ya están encima.

¿Quieres que tu organización esté preparada antes que la competencia?
Reserva tu plaza ahora y da el primer paso hacia la criptoagilidad real.

¿Tienes dudas o quieres que tu equipo asista en grupo? Escríbenos a contacto@eadtrust.eu (mailto:contacto@eadtrust.eu) o comenta abajo.

#ComputacionCuantica #CriptografiaPostCuantic #Ciberseguridad #CriptoAgilidad #EADTrust #PQC #QuantumSafe