En muchas convocatorias de juntas de accionistas se incluyen párrafos en la convocatoria o en un documento adjunto posiblemente titulado «Normas de funcionamiento para la representación y votación a través de medios de comunicación a distancia previos a la junta» parecidos a este:
(…) A tal efecto, los accionistas deberán acreditar su identidad, en la aplicación informática de participación en la Junta, mediante:
(i) el Documento Nacional de Identidad Electrónico,
(ii) un certificado electrónico de usuario reconocido, válido y vigente, de conformidad con lo previsto en la Ley XXX y emitido por la Autoridad Pública de Certificación Española (CERES), dependiente de la Fábrica Nacional de Moneda y Timbre (FNMT), (…)
El ejemplo se incluye para detectar los términos «reconocido» (los certificados, en la actualidad se denominan cualificados tras la publicación del Reglamento UE 910/2014) y la mención expresa a la FNMT es excesivamente restrictiva (en la actualidad son válidos todos los certificados emitidos por PSC -Prestadores de Servicios de Confianza- cualificados) mencionados en la TSL española y en la TSL europea. TSL significa Trusted Service List.
Si está preparando una junta de accionistas, contacte con EADTrust en el 902 365 612 o 917160555 para asegurarse (sin coste) de que redacta de forma adecuada la Convocatoria y los documentos complementarios. Y le podemos explicar los servicios societarios que ofrecemos.
Y no olvide que EADTrust pertenece al reconocido despacho Garrigues
Hace no muchos años, la vida de una sociedad mercantil tenía una banda sonora inconfundible: el paso de páginas del BOE, el crujido de los periódicos de gran tirada buscando convocatorias y el sello húmedo sobre el papel notarial. Hoy, esa liturgia física está dando paso a un entorno puramente digital. Pero no nos confundamos: digitalizar el gobierno corporativo no es simplemente hacer reuniones por Zoom o Teams.
Bajo el epígrafe de «Servicios Societarios Electrónicos» se está consolidando una nueva industria de servicios de confianza (Trust Services) diseñada para garantizar que la voluntad de la empresa —desde cómo se reúne hasta cómo toma decisiones— tenga la misma (o mayor) solidez jurídica que en la era del papel.
Ya no se trata solo de tecnología, se trata de gobernanza digital y seguridad jurídica preventiva. Repasemos qué piezas componen este nuevo puzle.
1. La Convocatoria y la Sede Electrónica: El Desafío del Artículo 518 LSC
Uno de los cambios más trascendentales en el gobierno corporativo es el método de convocatoria. La Ley de Sociedades de Capital (LSC) ha permitido sustituir la costosa y lenta publicación en prensa por la difusión en la Página Web Corporativa de la sociedad. Sin embargo, este cambio acarrea una responsabilidad de prueba crítica que se detalla en el Artículo 518 de la LSC.
Este artículo no se limita a autorizar la publicación digital; exige que la sociedad garantice la validez del acto de convocatoria, lo que nos obliga a resolver tres retos técnicos y jurídicos fundamentales:
A. Disponibilidad y Continuidad (La Prueba de Permanencia)
El Artículo 518 exige que la publicación debe permanecer en la web «desde la fecha de la convocatoria hasta la celebración de la junta». La sociedad debe ser capaz de demostrar judicialmente que el anuncio estuvo accesible sin interrupciones significativas durante todo el periodo legal. Esto se logra mediante servicios de monitorización externa que actúan como un tercero de confianza.
B. Integridad del Contenido (El Hashing y el Sellado de Tiempo)
Es crucial demostrar que el contenido de la convocatoria no fue modificado tras su publicación inicial. Un cambio sutil en una fecha o en el orden del día podría anular la Junta. El servicio de confianza resuelve esto mediante:
La aplicación de funciones hash al documento (huella digital criptográfica).
El sellado de tiempo cualificado sobre el hash en el momento de la publicación. Esto ofrece una evidencia irrefutable sobre la inmutabilidad de la convocatoria.
C. Accesibilidad y Usabilidad (Descargable e Imprimible)
La ley requiere que el documento de la convocatoria sea «descargable e imprimible» por cualquier socio. El servicio debe certificar que el archivo (generalmente un PDF) cumple las condiciones técnicas mínimas de usabilidad y que no está cifrado, dañado o protegido de forma que impida su correcta impresión. Este es un requisito técnico que tiene consecuencias jurídicas directas.
En resumen: la sede electrónica corporativa se convierte en un medio de prueba. La inversión en un servicio fehaciente de certificación de la publicación es, en realidad, una póliza de seguro contra la impugnación de acuerdos societarios.
2. El Foro Electrónico de Accionistas
Antes de la reunión, la interacción es clave. Especialmente en las sociedades cotizadas (y recomendable en grandes empresas no cotizadas), el Foro Electrónico de Accionistas se ha convertido en el ágora digital.
Este servicio no es un simple chat. Es un entorno securizado, con control de acceso riguroso, que permite a los accionistas:
Publicar propuestas complementarias al orden del día.
Lanzar iniciativas para alcanzar el porcentaje necesario para ejercer derechos minoritarios.
Presentar ofertas de adhesión o representación.
El reto técnico aquí es la identificación fehaciente de los participantes para evitar suplantaciones que podrían manipular el clima previo a la Junta.
3. La Junta Híbrida y el Voto Electrónico
El momento de la verdad es la celebración de la Junta General. La pandemia normalizó las juntas telemáticas o híbridas, pero para que sean válidas legalmente requieren mucho más que una videollamada. Y además en la actualidad para poderlas llevar a acabo deben estar expresamente recogidas en los estatutos.
Los servicios societarios modernos ofrecen plataformas que integran:
Gestión de Quórum en tiempo real: Calculando el capital presente y representado al instante.
Voto Electrónico anticipado a distancia: Emitido antes de la reunión de forma cifrada.
Voto y delegación durante la sesión: Permitiendo a quien asiste remotamente emitir su voto con la misma validez que quien levanta la mano en la sala.
Aquí los servicios cualificados de confianza digital impulsados por el Reglamento eIDAS ayudan a crear servicios confiables para garantizar la identidad de los votantes, la prueba de posesión de títulos de la sociedad y el sentido de voto, disociando el voto del votante.
4. La Trastienda: Administración Societaria y Legalización
Esta sección es fundamental para el secretario del Consejo y el compliance legal:
Firma de Actas y Certificaciones: El uso de certificados cualificados (de persona física o de representante) para cerrar los acuerdos del Consejo o de la Junta, garantizando la autoría y la inalterabilidad.
Legalización Telemática de Libros: El envío digital al Registro Mercantil de los libros de actas y el libro registro de socios, sustituyendo la presentación física.
Notificaciones Fehacientes: Comunicación de acuerdos o eventos críticos mediante servicios de entrega electrónica certificada, aportando prueba del envío y recepción con plenas garantías.
5. Identidad Digital: La llave maestra y la Visión de Futuro
Nada de lo anterior se sostiene sin una Identidad Digital robusta. Ya sea para acceder al Foro, para descargar la convocatoria certificada o para votar, necesitamos certeza sobre «quién es quién».
Estamos transitando del uso de certificados digitales tradicionales hacia modelos más ágiles pero igualmente seguros, alineados con el reglamento eIDAS2. En el futuro inmediato, veremos cómo los accionistas se identifican en las Juntas utilizando su Cartera de Identidad Digital de la UE (EUDI Wallet), simplificando el acceso transfronterizo para inversores internacionales. La integración con los Prestadores de Servicios de Confianza Cualificados (QTSP) será el nexo para dar validez legal a cada interacción.
Conclusión
Los Servicios Societarios Electrónicos han dejado de ser una «innovación» para convertirse en una necesidad de compliance. La digitalización de la sociedad mercantil no consiste solo en ahorrar papel; consiste en blindar los procesos corporativos.
Desde certificar que un PDF era descargable en la web bajo el escrutinio del Art. 518 LSC, hasta garantizar que un voto electrónico no ha sido alterado, la tecnología se ha convertido en el nuevo notario de la vida societaria. Y en este escenario, contar con servicios de confianza cualificados no es un lujo, es la única póliza de seguro real contra la impugnación.
Contacte con EADTrust en el 917160555 (o por email info (at) eadtrust.com) para entender mejor nuestros servicios y valorar su adopción. Mejoran la seguridad jurídica de la empresa en la organización de Juntas con un coste contenido.
Las empresas enfrentan riesgos de ciberseguridad, que se complementan con un marco regulatorio que obliga a tomar medidas frente a ellos.
Una de las dimensiones de la actividad de las empresas es ahora, por tanto, el cumplimiento normativo del marco regulatorio de la Unión Europea, que exige conocimientos especializados que es difícil tener en nómina y que hace recomendable tener localizados a especialistas que colaboren con la empresa como consultores externos.
Uno de los primeros pasos es navegar por el laberinto regulatorio, en base a normas ya publicadas y en vigor, otras publicadas que entrarán en vigor más adelante, y otras normas anunciadas, pero cuyos principios ya son conocidos.
En un mundo en el que los ciberataques cuestan miles de millones al año, regulaciones como NIS2, CRA, CER y DORA no son solo «buenas prácticas», sino obligaciones que pueden evitar multas de hasta el 2% de la facturación global.
En este artículo se comentan someramente sus similitudes y diferencias para poder entender el panorama completo.
Resumen de las normas citadas:
NIS2 (Directiva (UE) 2022/2555 de Ciberseguridad): Impulsa la ciberseguridad en infraestructuras críticas y servicios digitales esenciales. Aplica a entidades «esenciales» e «importantes» en sectores como energía, transporte, salud e ICT, con énfasis en gestión de riesgos y respuesta a incidentes. Implementación obligatoria desde octubre de 2024. En España existe un Anteproyecto de Ley, ya que la Directiva se tiene que transponer al ordenamiento legal español
CRA (Reglamento (UE) 2024/2847 de Ciberresiliencia): Asegura que productos digitales (software, IoT, hardware conectado) sean seguros «por diseño» durante todo su ciclo de vida. Dirigida a fabricantes, importadores y distribuidores; excluye sectores regulados como dispositivos médicos. Plena aplicación en diciembre de 2027.
CER (Directiva (UE) 2022/2557 de Resiliencia de Entidades Críticas): Protege infraestructuras críticas contra disrupciones amplias (ciber, físicas, operativas). Cubre 11 sectores clave como energía, banca, salud y transporte; las entidades designadas deben cumplir también con NIS2. Identificación de entidades críticas hasta julio de 2026.
DORA (Reglamento (UE) 2022/2554 de Resiliencia Operativa Digital): Enfocada en el sector financiero (bancos, aseguradoras, fintech) y proveedores ICT críticos, para resistir interrupciones digitales. Incluye pruebas de resiliencia y gestión de terceros. Cumplimiento desde enero de 2025. Implica la adecuación de las entidades proveedoras de banca que serán auditadas por las propias entidades financieras.
Estas regulaciones forman un ecosistema complementario, pero su solapamiento puede generar confusión si no se abordan de forma integrada. Todas buscan elevar la resiliencia digital de la UE frente a amenazas crecientes, promoviendo una armonización transfronteriza. Aquí un resumen:
Aspecto
Descripción Común
Objetivo Principal
Mejorar la ciberseguridad y resiliencia operativa contra riesgos digitales y disrupciones.
Enfoque en Riesgos
Obligan a evaluaciones de riesgos, gestión de cadena de suministro/terceros y controles técnicos/organizativos.
Reporte de Incidentes
Requerimiento de notificación rápida (e.g., 24-72 horas) a autoridades nacionales o europeas.
Gobernanza
Responsabilidad de la alta dirección; auditorías regulares y pruebas de vulnerabilidades.
Sanciones
Multas elevadas (hasta 2% de ingresos globales) y medidas correctivas; obligatorias para entidades en cada ámbito.
Complementariedad
Se solapan (e.g., entidades CER deben cumplir NIS2); alineadas con ISO 27001 para ~80% de medidas.
Estas similitudes significan que una empresa en sectores críticos (como finanzas o energía) podría tener que cumplir varias a la vez.
Desde el punto de vista del consultor, una aportación muy valorada es la realización conjunta con la entidad de un «gap analysis» unificado, lo que ahorra tiempo y recursos!Diferencias: Lo que las Distingue (y por qué Necesita Asesoría Personalizada)Las variaciones radican en alcance sectorial, enfoque y plazos, lo que complica el cumplimiento si no se mapea correctamente. Por ejemplo, un fabricante de IoT cae en CRA, pero un banco en DORA + NIS2 + CER.
Amplio para servicios digitales; ~80% overlap con ISO 27001.
Mercado: productos no conformes no se venden en UE.
Físico-digital: cubre riesgos no cibernéticos.
Financiero: fines hasta €5M para proveedores ICT.
Como se puede apreciar, NIS2 y CER son «hermanas» en infraestructuras (CER es más amplia en riesgos), mientras CRA está «centrada en producto» y DORA tiene clara orientación «financiera».
Hay diferencias en plazos (e.g., NIS2 ya obliga hoy, aunque no esté aprobado el anteproyecto de ley) por lo que es conveniente realizar una evaluación de impacto lo antes posible, teniendo en cuenta las diferentes normas y las peculiaridades de cada empresa.
Planificar la preparación de la empresa a todos estos cambios regulatorios de forma agrupada ayuda a optimizar esfuerzos y a dar un tratamiento unificado, sobre todo al asignar recursos humanos para su gestión, lo que supone ahorro de costes.
Puede contactar con EADtrust si necesita valorar el impacto de la normativa en su empresa y en su industria. Nuestra división de Servicios Profesionales es especialista en Ciberseguridad y ha contribuido a que la propia EADTrust esté certificada en la exigente normativa EIDAS y en diferentes normativas de seguridad certificables : ENS, ISO 27001, ISO 20000-1,…
Es posible ahorrar un 30-50% en costes al integrar el compliance (con un roadmap que cubra NIS2 + DORA en 6 meses). Recuerde que aunque DORA se orienta a entidades financieras, afecta a todos su proveedores.
Si su empresa pertenece a sectores regulados —ya sea fabricando dispositivos, operando infraestructuras o gestionando finanzas— conviene no esperar para pasar a la acción.
iContáctennos llamando al 917160555 para tener un primer diagnóstico del posible impacto regulatorio! Nuestros especialistas pueden ayudarle a transformar obligaciones en oportunidades de innovación segura.
Cambios de algoritmos criptográficos y tamaños de clave exigidos por el Organismo Supervisor de los Prestadores Cualificados de Servicios de Confianza requerirán la adaptación de las administraciones públicas en un plazo muy corto para admitir los nuevos certificados en sus sedes electrónicas, lo que hace recomendable considerar la inversión requerida en los presupuestos de las entidades y organismos para el próximo año.
En la nota lacónicamente titulada Nota Migración RSA se establece lo siguiente:
Este órgano de supervisión establece que los prestadores de servicios de confianza, cualificados y no cualificados, que emplean algoritmos RSA para la prestación de servicios de confianza, deben cumplir con lo establecido por el Centro Criptológico Nacional, en el Anexo 1- Prestadores de Servicios de Confianza que acompaña a la Guía de Seguridad de las TIC CCN STIC 807 Criptología de Empleo en el Esquema Nacional de Seguridad.
(…) este órgano supervisor determina que el impacto en la migración del algoritmo RSA con longitud de claves inferiores a 3000 bits es significativo, requiriéndose por tanto que (…)
los prestadores de servicios de confianzacualificados que hayan desplegado jerarquías de certificación con claves RSA con longitud de claves inferiores a 3000 bits, generen nuevas jerarquías de certificación con tamaños de clave mayor. Y deberán
(…) aportar como mínimo la evidencia del hito de celebración de la ceremonia de generación de claves criptográficas.
Hay ciertas referencias a plazos en relación con los Informes de Evaluación de Conformidad, de los prestadores que realicen estos cambios de tamaño de claves RSA en su infraestructura, pero son plazos muy cortos. Por otro lado, el citado Anexo 1 del CCN también detalla plazos en los que deberán dejar de usarse claves RSA con longitud de claves inferiores a 3000 bits y establece que
(…) A partir del 1 de enero de 2027, si aún se emiten certificados basados en RSA, se deberán emitir con módulos de al menos 3000 bits.
El documento del CCN a su vez hace referencia al documento de ENISA: ECCG Agreed Cryptographic Mechanisms – version 2 que también recomienda dejar de usar claves RSA de tamaños menores a 3000 bits. Concluye el CCN con esta recomendación:
No obstante, en virtud del principio de mejora continua de la ciberseguridad y de las recomendaciones técnicas emitidas por organismos internacionales y del propio Centro Criptológico Nacional, se insta a los organismos responsables a proceder a la implementación de mecanismos más robustos para mecanismos de clave asimétrica (RSA de mayor longitud y algoritmos postcuánticos) a la mayor brevedad posible.
Entre las entidades afectadas está la FNMT que ya ha generado una nueva jerarquía de certificación con tamaños RSA mayores de 3000 bits (lo que se ha actualizado en la TSL) y está avisando a las todos los organismos públicos de los cambios que se avecinan. Los certificados que ha estado emitiendo hasta ahora eran de 2048 bits.
A EADTrust no le ha afectado esta circular del Organismo Supervisor porque desde el primer momento ha estado gestionando PKIs de diferentes algoritmos y tamaños de clave: RSA 4096, RSA 8192, ECC 256 y ECC 384 (con la posibilidad de emitir certificados RSA 2048 por compatibilidad en proyectos críticos).
Sin embargo, el reto que tienen por delante las administraciones públicas, es el de adaptar sus portales, sus sedes electrónicas y sus sistemas de firma electrónica para que admitan los nuevos certificados, con diferentes algoritmos y tamaños de clave. Y capaces de validar la TSL europea. Y ya casi no queda tiempo. Conviene que reserven una partida para ello en los presupuestos de 2026.
Para que puedan valorar el reto, EADTrust ofrece sin coste a las entidades públicas juegos de certificados de prueba de todo tipo de perfiles y con los algoritmos y tamaños de clave siguientes: RSA 4096, RSA 8192, ECC 256 y ECC 384.
Por ejemplo, estos son los perfiles:
Servicio de expedición de certificados electrónicos cualificados de firma electrónica Expedición de Certificado de Persona física
Servicio de expedición de certificados electrónicos cualificados de firma electrónica — Certificados electrónicos cualificados de Empleado Público Expedición de Certificado de Persona física para AAPP
Servicio de expedición de certificados electrónicos cualificados de sello electrónico — Expedición de certificado de persona jurídica
Servicio de expedición de certificados electrónicos cualificados de sello electrónico — Certificados cualificados de sello electrónico PSD2 Expedición de certificado de persona jurídica PSD2
Servicio de expedición de certificados electrónicos cualificados de sello electrónico — Certificados cualificados de Sello electrónico de la Administración Pública Expedición de certificado de persona jurídica para AAPP
Servicio de expedición de certificados electrónicos cualificados de autenticación de sitios web Expedición de certificados electrónicos cualificados de autenticación de sitios web Expedición de certificados electrónicos cualificados de autenticación de sitios web PSD2
Servicio de expedición de certificados electrónicos cualificados de autenticación de sitios web — Certificados cualificados de Sede electrónica de la Administración Pública Certificado cualificado de sitio web para sede electrónica
Los certificados de EADTrust son «oficiales»: se han testado en la plataforma de @firmaaFirma_Anexo_PSC y en Valide, lo que los hace idóneos para las pruebas.
Para solicitar el «paquete» de certificados de prueba, pueden contactar con info (at) eadtrust.com o llamar al teléfono 917160555 (añadiendo el prefijo 34 si llaman desde fuera de España)
La Directiva NIS2 (Directiva de Seguridad de las Redes y de la Información 2, Directiva (UE) 2022/2555) y el Reglamento DORA (Reglamento de Resiliencia Operativa Digital, Reglamento (UE) 2022/2554) son dos marcos regulatorios clave de la Unión Europea diseñados para fortalecer la ciberseguridad y la resiliencia digital en sectores críticos.
Aunque difieren en alcance (NIS2 es general para infraestructuras esenciales, y DORA es específico para el sector financiero), comparten varios elementos fundamentales derivados de la estrategia de ciberresiliencia de la UE.
A continuación, se detallan sus principales similitudes
CONCEPTO
Similitud en NIS2 y DORA
Objetivo principal
Ambas buscan mejorar la resiliencia digital y la ciberseguridad para proteger la economía y la sociedad contra amenazas cibernéticas, como ciberataques y disrupciones.
Gestión de riesgos
Requieren evaluaciones regulares de riesgos, incluyendo la identificación, mitigación y monitoreo continuo de amenazas TIC (Tecnologías de la Información y Comunicación).
Responsabilidad de la dirección
La alta dirección es directamente responsable de la implementación, supervisión y cumplimiento, fomentando una cultura de accountability. Sanciones previstas para la dirección
Pruebas y ejercicios
Ambas exigen pruebas periódicas de sistemas (ej. simulacros de incidentes) para verificar la resiliencia operativa y la capacidad de recuperación.
Notificación de incidentes
Obligan a reportar incidentes significativos a las autoridades competentes en plazos estrictos (generalmente 24-72 horas), para una respuesta coordinada.
Gestión de terceros
Enfatizan la seguridad en la cadena de suministro y el riesgo de proveedores externos (terceros críticos), con requisitos de auditorías y contratos seguros.
Supervisión regulatoria
Establecen mecanismos de oversight por autoridades nacionales, con inspecciones y enforcement para garantizar el cumplimiento uniforme en la UE.
Sanciones
Ambas imponen multas disuasorias basadas en el volumen de negocio global (hasta 2% del facturación anual mundial), similares al RGPD.
Armonización en la UE
Promueven prácticas estandarizadas de ciberseguridad a nivel europeo, facilitando el reconocimiento mutuo y la interoperabilidad entre sectores.
Estas similitudes permiten tratar ambos marcos regulatorios de forma armonizada en las entidades con el objetivo de elevar el nivel de protección cibernética, donde el cumplimiento de una puede facilitar el de la otra en casos de solapamiento (aunque DORA prevalece en el sector financiero, imponiendo criterios de ciberresiliencia a sus proveedores).
Si tuna organización opera en sectores mixtos, tiene sentidos considerar una adecuación y una auditoría integradas.
Anteproyecto de Ley
En España, el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (aprobado por el Consejo de Ministros el 14 de enero de 2025, en tramitación urgente) transpondrá la directiva NIS2 cuando se apruebe, incorporando elementos nacionales como el Esquema Nacional de Seguridad (ENS) y una nueva estructura institucional.
Aunque el anteproyecto es fiel a la NIS2 en sus principios, introduce adaptaciones para integrarse con el marco español existente (como el Real Decreto-ley 12/2018 de NIS1 y el ENS).Las diferencias radican principalmente en la especificidad nacional, instituciones y medios de cumplimiento, ya que la NIS2 deja flexibilidad a los Estados miembros para la implementación. A continuación, se resumen las principales diferencias a partir del texto de la directiva y el del anteproyecto
CONCEPTO
NIS2 (Directiva Europea)
Anteproyecto Español (Ley de Coordinación y Gobernanza de la Ciberseguridad)
Estructura Institucional
Establece autoridades competentes nacionales genéricas (CSIRT y reguladores sectoriales), sin crear órganos específicos. Enfatiza cooperación UE (ej. red EU-CyCLONe).
Crea el Centro Nacional de Ciberseguridad (CNCS) como órgano único de coordinación, adscrito al Ministerio del Interior, que actúa como punto de contacto UE, gestiona crisis y supervisa el registro de entidades. Integra INCIBE y CCN-CERT, pero centraliza en CNCS (no existía en NIS2).
Medios de Cumplimiento y Certificación
Requiere medidas de gestión de riesgos (art. 21), con certificación obligatoria para entidades esenciales (basada en estándares UE como EN-ISO/IEC 27001). Deja a los Estados definir equivalentes.
Integra el Esquema Nacional de Seguridad (ENS) como equivalente nacional para demostrar cumplimiento (CCN-STIC 892), permitiendo certificación voluntaria del «Perfil de Cumplimiento Específico del ENS» para entidades esenciales. Añade flexibilidad con normas internacionales, pero prioriza el ENS para alinear con el marco español preexistente.
Alcance y Categorización de Entidades
Clasifica en «esenciales» e «importantes» (Anexos I y II), con obligaciones escaladas por tamaño (>50 empleados o >10M€ facturación). Incluye sectores como energía, salud, digital y manufactura.
Mantiene la clasificación, pero amplía explícitamente al sector público español (ej. administraciones locales y autonómicas no cubiertas en NIS1), estimando >12.000 entidades afectadas (vs. ~400 en NIS1). Introduce registro obligatorio en CNCS con plazos de 3 meses para notificación de datos técnicos (IPs, contactos). Exime microempresas con «cláusula de salvaguarda» si demuestran bajo impacto.
Gobernanza y Estrategia Nacional
Promueve estrategias nacionales de ciberseguridad y planes de crisis, pero sin detalles operativos.
Establece la Estrategia Nacional de Ciberseguridad como marco vinculante, con énfasis en cooperación transfronteriza y equipos de respuesta (monitoreo de amenazas, alertas tempranas). Crea una «Plataforma Nacional de Notificación de Incidentes» basada en LUCIA (herramienta existente), más integrada que en NIS2.
Responsabilidades de la Dirección
Responsabilidad personal de la gerencia por cumplimiento, con sanciones por negligencia.
Refuerza con la figura obligatoria del Responsable de Seguridad de la Información (RSI) como contacto directo con autoridades, permitiendo externalización pero manteniendo accountability. Mayor énfasis en auditorías y pruebas periódicas alineadas con ENS.
Notificación de Incidentes y Sanciones
Plazos uniformes: 24h inicial, 72h detallada, 1 mes final. Multas hasta 10M€ o 2% facturación global.
Adopta plazos idénticos, pero prioriza notificación a CNCS e INCIBE-CCN-CERT vía plataforma nacional. Mantiene sanciones, pero aumenta poderes de inspección de autoridades (ej. CNCS con acceso a datos en tiempo real), con régimen más estricto para entidades públicas.
Integración con Otras Normas
Modifica eIDAS y Código Europeo de Comunicaciones, pero es autónoma.
Integra NIS2 con ENS y normativa nacional (ej. Ley Orgánica de Protección de Datos), y transpone simultáneamente la Directiva CER (Resiliencia de Entidades Críticas). Añade foco en sector salud y manufactura con requisitos específicos.
Conviene que las entidades inicien las valoraciones de su grado de adecuación lo antes posible para estimar el impacto de esta adecuación y considerarlo ya en los Presupuestos del año próximo.
EADTrust aporta el profundo conocimiento de su división EAD Servicios Profesionales respecto a NIS2, DORA y otras regulaciones para ayudar a las empresas a preparase. Y aporta un sistema de gestión de evidencias digitales de los procesos internos que permiten demostrar la «debida diligencia» de la entidad en la gestión de los retos de ciberseguridad.
Se incluye al final del artículo la traducción al español del documento Arquitectura y Marco de Referencia (ARF) V2.6 de la Cartera de Identidad Digital Europea.
La última versión del documento Arquitectura y Marco de Referencia (ARF) para la Cartera de Identidad Digital de la Unión Europea (Cartera IDUE, o EUDI Wallet en inglés) es la 2.6 , publicada el 13 de octubre de 2026.
Este documento se actualiza regularmente en el repositorio de GitHub de la Comisión Europea y se alinea con el Reglamento eIDAS 2.0 (Reglamento (UE) 2024/1183). Desde la versión 1.10 incorpora retroalimentación de los 4 pilotos a gran escala y ajustes para interoperabilidad.
El objetivo principal del ARF es proporcionar un conjunto de especificaciones técnicas, estándares comunes y mejores prácticas para desarrollar una solución interoperable, segura y basada en normas para la Cartera IDUE.
Esto incluye definiciones de arquitectura del ecosistema (emisoras, carteras, proveedores de servicios), protocolos de intercambio de información, requisitos de seguridad y privacidad (como divulgación selectiva de datos y políticas de control de atributos), y guías para la implementación en Estados miembros.
Facilita la integración con el Reglamento eIDAS 2, asegurando que las carteras funcionen de manera transfronteriza sin comprometer la soberanía de datos del usuario.
La Cartera Digital (EUDI Wallet) representa un avance clave en la identidad digital europea, permitiendo a los ciudadanos y residentes de la UE controlar de forma segura y autónoma su identidad digital, almacenando y compartiendo credenciales (declaraciones de atributos) selectivamente sin revelar datos innecesarios. Entre sus beneficios principales:
Acceso simplificado a servicios: Identificación con un solo clic para trámites públicos (impuestos, sanidad) y privados (bancos, educación, viajes), eliminando la necesidad de múltiples contraseñas y documentos físicos.
Privacidad y control: Los usuarios deciden qué atributos compartir (ej. edad sin nombre completo), con registro de transacciones para rastreo y cumplimiento del RGPD. Incluso se podrá retirar el consentimiento de cesión de datos personales con posterioridad de forma muy sencilla.
Interoperabilidad transfronteriza: Válida en toda la UE, facilita movilidad laboral, educativa, turística y de negocios.
Seguridad reforzada: Usa cifrado avanzado, biometría y firmas electrónicas cualificadas, y se espera que reduzca fraudes y costes administrativos.
En resumen, transforma la interacción digital en algo más eficiente, sencillo y centrado en el usuario, con expectativas de adopción del 80% de la población para 2030.
Obligatoriedad de adopción de protocolos técnicos para aceptar la interacción con las carteras de identidad para ciertas empresas y sectores
La aceptación de la Cartera IDUE por ciertas empresas será obligatoria a partir de las navidades de 2027, coincidiendo con la disponibilidad plena de las carteras en todos los Estados miembros (cada país debe ofrecer al menos una versión gratuita) que deberán ofrecerla en las navidades de 2026.
Sin embargo, el uso por ciudadanos es voluntario.
Las empresas obligadas no pueden rechazarla como medio de identificación electrónica si el servicio lo requiere, ya que implicaría el incumplimiento del Reglamento eIDAS y lo que llevaría aparejada la aplicación de sanciones.
Los sectores obligados incluyen tanto el sector público (todas las administraciones) como el privado en áreas esenciales donde la verificación de identidad es clave. A continuación, una tabla con los principales:
Sector
Ejemplos de aplicación obligatoria
Razón de obligatoriedad
Transporte
Permisos de conducir móviles, billetes de tren/avión
Verificación de identidad para movilidad segura.
Energía
Contratos de suministro, medidores inteligentes
Acceso a servicios básicos con control de datos.
Banca y finanzas
Apertura de cuentas, transacciones PSD2/3
Cumplimiento AML y seguridad financiera.
Seguridad social
Pensiones, subsidios
Acceso a prestaciones públicas.
Salud
Recetas electrónicas, historiales médicos
Intercambio seguro de datos sensibles (RGPD).
Agua y suministros
Contratos de abastecimiento
Servicios esenciales de infraestructura.
Servicios postales
Envíos certificados, notificaciones
Verificación para entregas seguras.
Educación
Inscripciones, diplomas digitales
Reconocimiento transfronterizo de credenciales.
Telecomunicaciones
Activación de SIM, contratos de telefonía
Registro de usuarios y prevención de fraudes.
Plataformas digitales grandes
Redes sociales (ej. Facebook, Instagram)
Autenticación para servicios de alto impacto.
Estos sectores deben integrar interfaces compatibles con el ARF para aceptar credenciales de la cartera. Otros sectores privados pueden adoptarla voluntariamente para mayor eficiencia.
Todavía no se ha detallado el régimen sancionador específico para España salvo los marcos generales de la Unión Europea, como el del Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo de 19 de octubre de 2022 relativo a un mercado único de servicios digitales y por el que se modifica la Directiva 2000/31/CE (Reglamento de Servicios Digitales).
Aquí os ofrezco el documento ARF de la Cartera IDUE en su Versión 2.6 traducida al español por mi (Julián Inza):
He procurado usar ciertos términos en español de forma consistente, evitando, por ejemplo utilizar las palabras «monedero» o billetera» ya que la palabra «cartera» se adapta mejor a la idea de recoger en ella documentos y declaraciones de atributos y tenerlos disponibles según los necesite su usuario, para presentarlos a las partes interesadas (partes informadas).
Y a continuación incluyo la versión 2.6 del ARF en inglés:
Como resumen gráfico de la Cartera IDEU (EUDI Wallet) y de su ecosistema se incluye este diagrama:
Ante las dudas que pueden surgir a las entidades obligadas, ofrecemos en EADTrust un servicio de resolución de dudas sobre eIDAS 2 y Cartera IDUE y otro de implementación de interfaces de «Fuentes Auténticas» y «Partes Interesadas».
La criptoagilidad (o agilidad criptográfica) es la capacidad de un sistema, software o infraestructura tecnológica para adaptarse rápidamente a nuevos algoritmos criptográficos o cambiar los existentes sin requerir modificaciones significativas en su arquitectura. Esto implica poder actualizar, reemplazar o ajustar los métodos de cifrado, firmas digitales o protocolos de seguridad de manera eficiente para responder a amenazas emergentes, como el avance en la computación cuántica, vulnerabilidades descubiertas o cambios en estándares regulatorios.
EADTrust es el Prestador de Servicios de Confianza Cualificados más activo de España en lo relativo a la adecuación frente a los retos de la computación cuántica analizando y adoptando las soluciones emergentes de la criptogrfía postcuántica. A nivel europeo, también Digicert, Entrust y Sectigo han mostrado actividad en estos aspectos
La criptoagilidad y la disponibilidad de infraestructuras con diferentes algoritmos permiten anticiparse al criptocalipsis. El criptocalipsis (o apocalipsis criptográfico) es un término que describe un escenario hipotético en el que los algoritmos criptográficos actuales, como RSA, ECC (curvas elípticas) o AES, se vuelven obsoletos o vulnerables debido a avances tecnológicos, particularmente la llegada de la computación cuántica
EADTrust fue la primera entidad de certificación que preparó jerarquías de certificación de tamaños de clave mejores que RSA de 2048 bits, y en la actualidad es la única con jerarquías de PKI para certificados cualificados de tamaños de clave RSA de 8196 bits, especialmente orientada a proyectos de alta seguridad, con resistencia a la computación cuántica.
También EADTrust fue la primera entidad de certificación que preparó jerarquías de certificación basadas en criptografía no-RSA. Cuenta con dos jerarquías de certificación basada en Criptografía de Curvas elípticas, ECC-255 y ECC-384.
La disponibilidad de jerarquías ECC por parte de EADTRUST fue esencial para que España pudiera desplegar los pasaportes COVID ágilmente, ya que EADTrust fue el Prestador que pudo emitir en tiempo récord los certificados adecuados basados en ECC-255 para todos los organismos sanitarios españoles con las especificaciones de la OMS y de la Unión Europea.
En estos momentos hemos anunciado un importante curso presencial de 2 dias: Formación sobre Computación Cuántica y Criptografía Postcuántica. Se enmarca entre los Servicios de EADTrust de preparación de infraestructuras para afrontar los retos de la Computación Cuántica en relación con la Criptografía y la Preservación de documentos.
Además estamos haciendo seguimiento de los nuevos estándares de criptografía postcuántica como el FIPS-206 Falcon al que nos hemos referido recientemente en este blog y el prometedor HQC (Hamming Quasi-Cyclic).
El NIST seleccionó HQC (procedente de la ronda 4) como algoritmo adicional para estandarizar como KEM de respaldo a ML-KEM. El NIST anunció que creará un borrador (IPD) para HQC y lo publicará para comentarios — el cronograma indicado apunta a publicar el borrador aproximadamente en 1 año desde su anuncio y una versión final alrededor de 2027.
Ya tenemos servicios disponible para clientes que se desean valorar el impacto de su preparación (criptoagilidad) para los grandes cambios que se avecinan:
Adaptación de servidores web (en la conexión segura «https://») para incluir TLS1.3 (RFC 8446) y la configuración necesaria para que la gestión de claves del cifrado de las comunicaciones se realice con el algoritmo ML-KEM/Kyber que ya soportan servidores y navegadores web como primera aproximación de mecanismos híbridos. Ver IETF draft-ietf-tls-kem-tls-13
Adaptación de servidores web para soportar el protocolo ACME (Automatic Certificate Management Environment) basado en el RFC 8555, como paso hacia una infraestructura automatizada, segura y criptoágil. Además de poder configurar a EADTrust como Autoridad de Certificación generadora de certificados para TSL con ACME, en el Certbot se pueden configurar otras CAs. Aunque contamos con varios mecanismos de verificación de dominio damos preferencia a las variantes con información actualizada en el DNS. La duración máxima de los certificados TLS públicos se reducirá progresivamente a 47 días, según lo aprobado por el CA/Browser Forum en abril de 2025 mediante el Ballot SC-081v3, propuesto por Apple y respaldado por los principales navegadores (Apple, Google, Mozilla y Microsoft). Esta es otra buena razón para incorporar a automatización a la renovación de certificados de servidor web
Si tu empresa fabrica o importa productos que consumen energía en la UE, es probable que hayas oído hablar de EPREL y los certificados QSealC. Pero, ¿sabes realmente qué tipo de certificado necesitas y cómo obtenerlo? En este artículo, te explicamos todo lo que debes saber sobre los certificados QSeal para cumplir con los requisitos de la base de datos EPREL de manera sencilla y efectiva.
Un certificado QSealC es como un pasaporte digital para tu empresa. Sirve para demostrar que es quien dice ser cuando registras productos en EPREL, asegurando que los datos se han verificado y cumplen con las normativas de la UE.
Para registrar productos en la base de datos EPREL (European Product Database for Energy Labelling), necesitas un Certificado Cualificado de Sello Electrónico (QSealC) (es decir, de Persona Jurídica) emitido por un Prestador Cualificado de Servicios de Confianza (PCSC), conforme al Reglamento eIDAS (UE 910/2014).
Requisitos clave del certificado QSealC para EPREL:
Debe ser un certificado cualificado: Debe cumplir con los estándares del reglamento eIDAS y la norma ETSI EN 319 412, con identificación NTR (EUID). Se puede consultar en el portal europeo «European e-Justice Portal – Business registers»
Emitido a nombre de la persona jurídica: El certificado debe identificar a la empresa, no a una persona física. Hay casuística especial para Autónomos.
Emitido en un dispositivo cualificado (QSCD): Suele ser un token físico o una tarjeta chip.
Debe permitir sellar electrónicamente documentos PDF: Como la declaración de proveedor exigida por EPREL. Por ejemplo con Adobe Reader.
El certificado de persona jurídica de entidades españolas para EPREL de EADTrust por un año tiene un coste de 350 euros.
El certificado QSEAL para EPREL de EADTrust por un año para entidades de fuera de España tiene un coste de 700 euros. No se aplica IVA a las empresas con identificación VIES.
El Token SafeNet eToken 5110 CC (QSCD, Dispositivo Cualificado de Creación de Firma) tiene un coste de 110 euros.
Estos precios son los más competitivos en España y fuera de España
Continúa la publicación de estándares de ETSI para apoyar el desarrollo de EIDAS y EIDAS2. Algunos de ellos forman parte de los actos de ejecución de EIDAS2.
Uno de los aspectos desarrollados es el que tiene que ver con los certificados cualificados de autenticación de sitios web (en inglés QWAC Qualified Website Authentication Certificates), con dos enfoque técnicos diferentes (1-QWAC y 2-QWAC).
Con la publicación del Reglamento 2024/1183 la redacción de los artículos 45 y 45 bis quedó así:
Artículo 45 – Requisitos aplicables a los certificados cualificados de autenticación de sitios web
Los certificados cualificados de autenticación de sitios web cumplirán los requisitos establecidos en el anexo IV. La evaluación del cumplimiento de dichos requisitos se llevará a cabo de conformidad con las normas, especificaciones y procedimientos a que se refiere el apartado 2 del presente artículo.
1 bis. Los proveedores de navegadores web reconocerán los certificados cualificados de autenticación de sitios web expedidos de conformidad con el apartado 1 del presente artículo. Los proveedores de navegadores web garantizarán que los datos de identificación de la persona declarados en el certificado y los atributos declarados adicionales se muestren al usuario de un modo fácil de consultar. Los proveedores de navegadores web garantizarán la compatibilidad e interoperabilidad con los certificados cualificados de autenticación de sitios web a que se refiere el apartado 1 del presente artículo, con la excepción de las microempresas y pequeñas empresas según se definen en el artículo 2 del anexo de la Recomendación 2003/361/CE durante sus primeros cinco años de actividad como prestadores de servicios de navegación web.
1 ter. Los certificados cualificados de autenticación de sitios web no estarán sometidos a ningún requisito obligatorio que no sean los requisitos establecidos en el apartado 1.
A más tardar el 21 de mayo de 2025, la Comisión establecerá, mediante actos de ejecución, una lista de normas de referencia y, en su caso, las especificaciones y los procedimientos aplicables a los certificados cualificados de autenticación de sitios web a que se refiere el apartado 1 del presente artículo. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».
Artículo 45 bis – Medidas cautelares en materia de ciberseguridad
Los proveedores de navegadores web no adoptarán ninguna medida contraria a sus obligaciones establecidas en el artículo 45, en particular los requisitos de reconocer los certificados cualificados de autenticación de sitios web y de mostrar los datos de identificación de la persona proporcionados de un modo que sea fácil de consultar.
No obstante lo dispuesto en el apartado 1 y solo en caso de preocupaciones justificadas relacionadas con violaciones de la seguridad o la pérdida de integridad de un certificado o conjunto de certificados identificados, los proveedores de navegadores web podrán adoptar medidas cautelares en relación con dicho certificado o conjunto de certificados.
Cuando se adopten medidas, los proveedores de navegadores web notificarán, en virtud del apartado 2, sus preocupaciones por escrito, sin demora indebida, junto con una descripción de las medidas adoptadas para mitigarlas, a la Comisión, al organismo de supervisión competente, a la entidad a la que se haya expedido el certificado y al prestador cualificado de servicios de confianza que haya expedido dicho certificado o conjunto de certificados. Tras la recepción de dicha notificación, el organismo de supervisión competente expedirá un acuse de recibo al proveedor del navegador web en cuestión.
El organismo de supervisión competente investigará las cuestiones planteadas en la notificación, de conformidad con el artículo 46 ter, apartado 4, letra k). Cuando el resultado de la investigación no implique la retirada de la cualificación del certificado, el organismo de supervisión informará de ello al proveedor del navegador web y solicitará que ese proveedor ponga fin a las medidas cautelares a que se refiere el apartado 2 del presente artículo.».
Para aterrizar este articulado, se ha publicado recientemente la norma técnica de ETSI ETSI TS 119 411-5 V2.1.1 que orienta a los navegadores en la implementación de los certificados QWAC.
Y hace pocos días el acto de ejecución correspondiente, que todavía está en forma de borrador con plazo de comentarios hasta el 2 de octubre de 2025.
En resumen, existen dos opciones para la integración de certificados web cualificados en los servidores, denominadas «one quack and two quacks» (haciendo broma con la onomatopeya de un graznido y dos graznidos).
Corresponden a las etiquetas 1-QWAC y 2-QWAC.
1-QWAC consiste en añadir información a los certificados TLS existentes. Con este enfoque, los QWAC son certificados TLS (Publicly Trusted Certificates) que cumplen las normas actuales, como los Requisitos básicos (Baseline Requirements) de CA/Browser Forum. También tendrían que cumplir cualquier requisito adicional impuesto por los programas de aceptación de certificados raíz de los navegadores web.
2-QWAC es una solución más alambicada. Equivale a mantener separados los ecosistemas TLS de CABForum y los QWAC del Reglamento EIDAS. Para ello se expiden dos certificados simultáneamente: uno TLS (PTC) estándar (que puede ser emitido por una CA diferente, incluida en los programas de Root-CA de los navegadores) y otro QWAC (derivado de la norma TS 119 411-2) con un enlace para conectarlos protegido criptográficamente. La información sobre el enlace debe enviarse a través de una cabecera HTTP Link, pero el enlace en sí es un archivo JSON firmado con la clave privada para la que se emite el certificado QWAC. Un enlace puede respaldar varios certificados TLS, lo que es una ventaja para quienes deseen admitir varios certificados al mismo tiempo.
El enfoque 2-QWAC supone poner deberes a los navegadores, ya que tienen que gestionar una nueva cabecera HTTP, añadir código para obtener el enlace e implementar una nueva firma (utilizando JSON Advanced Electronic Signatures – JAdES) y verificación del enlace. Y supondría también más trabajo para los administradores de sitios Web, si no fuera porque ya va a ser imprescindible adoptar herramientas de automatización como «ACME». ACME (Automated Certificate Management Environment) es un protocolo estandarizado que permite la automatización de la emisión, renovación y revocación de certificados TLS/SSL.
El enfoque 2-QWAC es el que se adoptaría por los Prestadores Cualificados de Servicios de Confianza europeos que no quisieran pasar por el procedimiento de aprobación de Bugzilla, CCADB, Baseline Requirements y Extended Validation Guidelines.
De esta manera, no se cambian los procedimientos de CAB Forum y de los programas de CA-Raíz convencionales de los navegadores, pero se establece un marco técnico para que se puedan aceptar certificados cualificados de web «puros» en la Unión Europea (apoyados, no obstante, en certificados emitidos por jerarquías PKI incluidas en dichos programas de Root-CA de los navegadores).
El acto de ejecución mencionado (en estado «borrador» incorpora el siguiente anexo:
En el marco de los Servicios de EADTrust de preparación de infraestructuras para afrontar los retos de la Computación Cuántica en relación con la Criptografía y la Preservación de documentos, uno de los primeros pasos es ayudar a entender bien como la física cuántica nos lleva a la Computación Cuántica, como podemos hacer algunos programas simples con qubits y, tras entenderlos, como la superposición y el entrelazamiento cuánticos dan lugar al algoritmo de Shor que permitirá descifrar claves privadas de algoritmos como RSA y ECC.
Después ayudaremos a nuestros clientes a diagnosticar sus infraestructuras identificando en qué puntos se usa cifrado y otras técnicas criptográficas y explicando qué alternativas van apareciendo entre los algoritmos postcuánticos para reforzar los puntos débiles.
Y cuando estén listos les proporcionaremos los servicios criptográficos actualizados con los últimos algoritmos resistentes a la computación cuántica estandarizados como FIPS-203, FIPS-204, FIPS-205 y FIPS-206.
En esta fase presentamos el curso “Introducción a la Computación Cuántica y a la Criptografía Postcuántica» en Madrid, dirigido a entidades que emplean cifrado y técnicas criptográficas, con ponentes expertos y temario adaptado a la emergencia de la computación cuántica y sus riesgos para la seguridad digital.
Objetivo y Público
El curso está orientado a empleados y directivos de entidades financieras, bancarias, aseguradoras, administraciones públicas, organismos de defensa y seguridad, empresas tecnológicas, telecomunicaciones y proveedores considerados infraestructuras críticas, así como a responsables de innovación, ciberseguridad y estrategia tecnológica.
Fechas, Lugar y Participación
Fechas: 12 y 13 de noviembre de 2025, de 10 a 17 horas.
Lugar: Hotel Zenith Conde Orgaz, Madrid (presencial).
Participación: Incluye material didáctico, ejercicios prácticos con el IQC Kit, comidas y café.
Realización y Ponentes
Jorge Christen, experto en computación cuántica y profesor universitario.
Julián Inza, especialista en criptografía y consultor en ciberseguridad encargado de iniciativas internacionales de estandarización post-cuántica.
Temario
Día 1: Nivel introductorio
Historia de la física cuántica.
Conceptos básicos (qubits, superposición, esferas de Bloch, puertas cuánticas).
Impacto de la computación cuántica en criptografía.
Revisión de algoritmos post-cuánticos y roadmap NIST, ETSI, UE, ENISA y CCN.
Contexto y Relevancia
2025 es el Año Internacional de la Ciencia y la Tecnología Cuánticas, con importantes avances como la primera computadora cuántica comercial de Microsoft (24 cúbits lógicos), incremento de inversión tecnológica global y esfuerzos coordinados por la UE, NIST y otros organismos para la adopción de criptografía post-cuántica ante el riesgo del “criptocalipsis”.
Roadmap Europeo
La hoja de ruta comunitaria prevé:
Concienciación y evaluación de riesgos (2023-2024).
Desarrollo de capacidades y planificación (2024-2025).
Implementación y pruebas (2025-2027).
Adopción completa y monitoreo (desde 2027). Prioriza sectores críticos, seguridad de la cadena de suministro, cumplimiento normativo, interoperabilidad, capacitación y campañas de sensibilización.
Precios y Descuentos
Precio general: 900 € + IVA.
Descuento del 25% (675 €) para clientes de EADTrust o referenciados. Fecha límite para descuento: 1 de noviembre de 2025.
Certificado e Inscripción
Se entrega certificado acreditativo de la formación.
Inscripción mediante formulario en la web o por correo electrónico, con protección de datos conforme a RGPD y LOPDGDD.
Requisitos y Contacto
No se requieren conocimientos previos de física, computación cuántica ni criptografía.
Información y consultas en info@eadtrust.eu o teléfono 917160555
Todo es electrónico 