La Comisión Europea ha publicado cuatro nuevos reglamentos de ejecución en el Diario Oficial de la Unión Europea del 17 de diciembre. Ya son varias rondas de actos de ejecución, que comenzaron en diciembre de 2024, y se alcanza la publicación de 26 actos de ejecución.
Los reglamentos de ejecución publicados hoy son los siguientes:
La plataforma de lanzamiento para la adopción a gran escala de las carteras Carteras IDUE
EUDI Wallets Launchpad 2025 es el primer evento de pruebas de varios días organizado por la Comisión Europea y está teniendo lugar los días 10, 11 y 12 de diciembre de 2025 en Bruselas, Bélgica.
Se trata de un evento específico diseñado para establecer la Comunidad de Implementadores de Carteras IDUE y acelerar la adopción de las carteras y sus casos de uso en todos los Estados miembros de la UE.
Alinear los equipos técnicos, los objetivos políticos y la experiencia de los usuarios en toda Europa requerirá coordinación y confianza. El «Launchpad «es donde se comienza a construir esa confianza, probando, aprendiendo y fijando juntos los próximos pasos.
Qué es y objetivos
El Launchpad 2025 es un encuentro presencial que está teniendo lugar los días 10‑12 de diciembre de 2025 en el espacio SPARKS (Bruselas), dirigido a implementadores de wallets, Estados miembros, proveedores de servicios, expertos UX y comunicación. Su objetivo central es consolidar la comunidad de implementadores EUDI y verificar en la práctica la interoperabilidad, la conformidad con las especificaciones y la preparación para el uso transfronterizo de los monederos digitales europeos.
Formato y actividades principales
El programa combina pruebas técnicas rotatorias entre wallets, emisores y verificadores, con dos modos de test diseñados para validar corrección e interoperabilidad de las implementaciones. En paralelo se desarrollan charlas técnicas sobre estándares núcleo, pseudónimos, pruebas de conocimiento cero, APIs de credenciales digitales y librerías de referencia, junto con demos en vivo de casos de uso y wallets nacionales.
Participantes y ecosistema
Participan equipos nacionales de implementación (product owners, arquitectos, desarrolladores y testers), proveedores de PID, QEAA y Pub‑EAA, así como administraciones públicas, grandes pilotos y proveedores tecnológicos del ecosistema EUDI. El evento reúne a representantes de numerosos Estados miembros (por ejemplo Alemania, Italia, Bélgica, Francia, España, Grecia, Polonia o Portugal) que presentan sus aproximaciones nacionales mediante demostraciones públicas.
Resultados esperados e importancia
Durante los tres días se realizan centenares de pruebas entre decenas de testers de múltiples países, acompañadas de talleres específicos de experiencia de usuario y de comunicación para preparar el despliegue masivo en 2026. El Launchpad se concibe como punto de partida para una comunidad EUDI más cohesionada, en la que la confianza se construye probando conjuntamente, compartiendo lecciones aprendidas y alineando equipos técnicos, objetivos políticos y diseño centrado en el usuario.
España
La intervención de Angel MartínBautista, de la Agencia Estatal de Administración Digitaltuvo lugar el jueves 11 de diciembre de 2025. Ángel Martín Bautista es Subdirector Adjunto en la Agencia Estatal de Administración Digital. En relación con la tecnología blockchain, ha representado a España en el European Blockchain Partnership (EBP) para crear la red EBSI desde 2019, y en la actualidad representa a España en el consorcio EUROPEUM.
En muchas convocatorias de juntas de accionistas se incluyen párrafos en la convocatoria o en un documento adjunto posiblemente titulado «Normas de funcionamiento para la representación y votación a través de medios de comunicación a distancia previos a la junta» parecidos a este:
(…) A tal efecto, los accionistas deberán acreditar su identidad, en la aplicación informática de participación en la Junta, mediante:
(i) el Documento Nacional de Identidad Electrónico,
(ii) un certificado electrónico de usuario reconocido, válido y vigente, de conformidad con lo previsto en la Ley XXX y emitido por la Autoridad Pública de Certificación Española (CERES), dependiente de la Fábrica Nacional de Moneda y Timbre (FNMT), (…)
El ejemplo se incluye para detectar los términos «reconocido» (los certificados, en la actualidad se denominan cualificados tras la publicación del Reglamento UE 910/2014) y la mención expresa a la FNMT es excesivamente restrictiva (en la actualidad son válidos todos los certificados emitidos por PSC -Prestadores de Servicios de Confianza- cualificados) mencionados en la TSL española y en la TSL europea. TSL significa Trusted Service List.
Si está preparando una junta de accionistas, contacte con EADTrust en el 902 365 612 o 917160555 para asegurarse (sin coste) de que redacta de forma adecuada la Convocatoria y los documentos complementarios. Y le podemos explicar los servicios societarios que ofrecemos.
Y no olvide que EADTrust pertenece al reconocido despacho Garrigues
Hace no muchos años, la vida de una sociedad mercantil tenía una banda sonora inconfundible: el paso de páginas del BOE, el crujido de los periódicos de gran tirada buscando convocatorias y el sello húmedo sobre el papel notarial. Hoy, esa liturgia física está dando paso a un entorno puramente digital. Pero no nos confundamos: digitalizar el gobierno corporativo no es simplemente hacer reuniones por Zoom o Teams.
Bajo el epígrafe de «Servicios Societarios Electrónicos» se está consolidando una nueva industria de servicios de confianza (Trust Services) diseñada para garantizar que la voluntad de la empresa —desde cómo se reúne hasta cómo toma decisiones— tenga la misma (o mayor) solidez jurídica que en la era del papel.
Ya no se trata solo de tecnología, se trata de gobernanza digital y seguridad jurídica preventiva. Repasemos qué piezas componen este nuevo puzle.
1. La Convocatoria y la Sede Electrónica: El Desafío del Artículo 518 LSC
Uno de los cambios más trascendentales en el gobierno corporativo es el método de convocatoria. La Ley de Sociedades de Capital (LSC) ha permitido sustituir la costosa y lenta publicación en prensa por la difusión en la Página Web Corporativa de la sociedad. Sin embargo, este cambio acarrea una responsabilidad de prueba crítica que se detalla en el Artículo 518 de la LSC.
Este artículo no se limita a autorizar la publicación digital; exige que la sociedad garantice la validez del acto de convocatoria, lo que nos obliga a resolver tres retos técnicos y jurídicos fundamentales:
A. Disponibilidad y Continuidad (La Prueba de Permanencia)
El Artículo 518 exige que la publicación debe permanecer en la web «desde la fecha de la convocatoria hasta la celebración de la junta». La sociedad debe ser capaz de demostrar judicialmente que el anuncio estuvo accesible sin interrupciones significativas durante todo el periodo legal. Esto se logra mediante servicios de monitorización externa que actúan como un tercero de confianza.
B. Integridad del Contenido (El Hashing y el Sellado de Tiempo)
Es crucial demostrar que el contenido de la convocatoria no fue modificado tras su publicación inicial. Un cambio sutil en una fecha o en el orden del día podría anular la Junta. El servicio de confianza resuelve esto mediante:
La aplicación de funciones hash al documento (huella digital criptográfica).
El sellado de tiempo cualificado sobre el hash en el momento de la publicación. Esto ofrece una evidencia irrefutable sobre la inmutabilidad de la convocatoria.
C. Accesibilidad y Usabilidad (Descargable e Imprimible)
La ley requiere que el documento de la convocatoria sea «descargable e imprimible» por cualquier socio. El servicio debe certificar que el archivo (generalmente un PDF) cumple las condiciones técnicas mínimas de usabilidad y que no está cifrado, dañado o protegido de forma que impida su correcta impresión. Este es un requisito técnico que tiene consecuencias jurídicas directas.
En resumen: la sede electrónica corporativa se convierte en un medio de prueba. La inversión en un servicio fehaciente de certificación de la publicación es, en realidad, una póliza de seguro contra la impugnación de acuerdos societarios.
2. El Foro Electrónico de Accionistas
Antes de la reunión, la interacción es clave. Especialmente en las sociedades cotizadas (y recomendable en grandes empresas no cotizadas), el Foro Electrónico de Accionistas se ha convertido en el ágora digital.
Este servicio no es un simple chat. Es un entorno securizado, con control de acceso riguroso, que permite a los accionistas:
Publicar propuestas complementarias al orden del día.
Lanzar iniciativas para alcanzar el porcentaje necesario para ejercer derechos minoritarios.
Presentar ofertas de adhesión o representación.
El reto técnico aquí es la identificación fehaciente de los participantes para evitar suplantaciones que podrían manipular el clima previo a la Junta.
3. La Junta Híbrida y el Voto Electrónico
El momento de la verdad es la celebración de la Junta General. La pandemia normalizó las juntas telemáticas o híbridas, pero para que sean válidas legalmente requieren mucho más que una videollamada. Y además en la actualidad para poderlas llevar a acabo deben estar expresamente recogidas en los estatutos.
Los servicios societarios modernos ofrecen plataformas que integran:
Gestión de Quórum en tiempo real: Calculando el capital presente y representado al instante.
Voto Electrónico anticipado a distancia: Emitido antes de la reunión de forma cifrada.
Voto y delegación durante la sesión: Permitiendo a quien asiste remotamente emitir su voto con la misma validez que quien levanta la mano en la sala.
Aquí los servicios cualificados de confianza digital impulsados por el Reglamento eIDAS ayudan a crear servicios confiables para garantizar la identidad de los votantes, la prueba de posesión de títulos de la sociedad y el sentido de voto, disociando el voto del votante.
4. La Trastienda: Administración Societaria y Legalización
Esta sección es fundamental para el secretario del Consejo y el compliance legal:
Firma de Actas y Certificaciones: El uso de certificados cualificados (de persona física o de representante) para cerrar los acuerdos del Consejo o de la Junta, garantizando la autoría y la inalterabilidad.
Legalización Telemática de Libros: El envío digital al Registro Mercantil de los libros de actas y el libro registro de socios, sustituyendo la presentación física.
Notificaciones Fehacientes: Comunicación de acuerdos o eventos críticos mediante servicios de entrega electrónica certificada, aportando prueba del envío y recepción con plenas garantías.
5. Identidad Digital: La llave maestra y la Visión de Futuro
Nada de lo anterior se sostiene sin una Identidad Digital robusta. Ya sea para acceder al Foro, para descargar la convocatoria certificada o para votar, necesitamos certeza sobre «quién es quién».
Estamos transitando del uso de certificados digitales tradicionales hacia modelos más ágiles pero igualmente seguros, alineados con el reglamento eIDAS2. En el futuro inmediato, veremos cómo los accionistas se identifican en las Juntas utilizando su Cartera de Identidad Digital de la UE (EUDI Wallet), simplificando el acceso transfronterizo para inversores internacionales. La integración con los Prestadores de Servicios de Confianza Cualificados (QTSP) será el nexo para dar validez legal a cada interacción.
Conclusión
Los Servicios Societarios Electrónicos han dejado de ser una «innovación» para convertirse en una necesidad de compliance. La digitalización de la sociedad mercantil no consiste solo en ahorrar papel; consiste en blindar los procesos corporativos.
Desde certificar que un PDF era descargable en la web bajo el escrutinio del Art. 518 LSC, hasta garantizar que un voto electrónico no ha sido alterado, la tecnología se ha convertido en el nuevo notario de la vida societaria. Y en este escenario, contar con servicios de confianza cualificados no es un lujo, es la única póliza de seguro real contra la impugnación.
Contacte con EADTrust en el 917160555 (o por email info (at) eadtrust.com) para entender mejor nuestros servicios y valorar su adopción. Mejoran la seguridad jurídica de la empresa en la organización de Juntas con un coste contenido.
El próximo jueves 4 de diciembre de 2025 EADTrust desarrollará en LinkedIn un webinar sobre firma electrónica que servirá de presentación de nuestra plataforma «Signature Manager» y que permite gestionar documentos y firmas electrónicas de forma sencilla.
Anímate y reserva tu «slot» a partir de las 12:30 hora española (la de Europa central)
El Reglamento (UE) 2024/1183, conocido como eIDAS 2.0, fue publicado el 30 de abril de 2024 en el Diario Oficial de la Unión Europea y entró en vigor el 20 de mayo de 2024.
Este marco normativo modifica el Reglamento original eIDAS de 2014 (UE 910/2014) para fortalecer la identidad digital europea, introduciendo elementos clave como las Carteras de Identidad Digital Europea (EUDI Wallets o IDUE en español), que son aplicaciones móviles o servicios en la nube que permiten a los ciudadanos y empresas gestionar de forma segura y privada sus identidades digitales, atributos personales (como diplomas o carnets de conducir) y transacciones transfronterizas. El objetivo es garantizar interoperabilidad, control de sus datos por parte del usuario y aceptación obligatoria por parte de sectores privados clave (banca, telecomunicaciones, etc.) a partir de finales de 2027.
Los Actos de Ejecución (Implementing Acts) son regulaciones complementarias adoptadas por la Comisión Europea para detallar las especificaciones técnicas, certificaciones y procedimientos. Estos actos son cruciales para la implementación práctica de eIDAS 2.0. Hasta noviembre de 2025, se han adoptado varios lotes:
Primer lote (publicado el 4 de diciembre 21 de 2024): Cinco actos clave que establecen especificaciones técnicas para las Carteras IDUE, como requisitos para certificados cualificados, incorporación de usuarios y formatos de listas de confianza (Trusted Lists). Esta publicación marca el inicio de cómputo de varios plazos importantes, por su entrada en vigor el 24 de diciembre,
Lotes posteriores (2025): Incluyen el segundo lote (publicado en 2 partes: el 7 de mayo y el 30 de julio) el tercer lote (publicado en 2 partes: el 30 de julio y el 5 de septiembre) y el cuarto lote (publicado el 28 de octubre) con 25 actos acumulados hasta ese momento), enfocados en servicios de confianza (firmas electrónicas, sellos, notificaciones) y declaraciones electrónicas de atributos (Electronic Attestations of Attributes o EAA). Estos actos incorporan referencias explícitas a estándares de ETSI para garantizar conformidad.
Los Estados miembros deben ofrecer al menos una Cartera IDUE gratuita a todos los ciudadanos y residentes para finales de 2026 (24 meses tras la entrada en vigor de los actos del primer lote).
Rol de ETSI en la Evolución de Estándares
El Instituto Europeo de Normas de Telecomunicaciones (ETSI), y el CEN (Comité Europeo de Normalización), son los organismos principales encargados de desarrollar y actualizar los estándares técnicos que soportan eIDAS 2.0. Estos estándares aseguran interoperabilidad, seguridad y privacidad de las Carteras IDUE y de los servicios de confianza.
Tras la publicación de eIDAS 2.0, ETSI ha acelerado su trabajo para alinear las normas con los nuevos requisitos, incorporando tecnologías como credenciales verificables (basadas en W3C y OpenID) y resistencia post-cuántica. La evolución de los estándares ETSI no es un «reinicio», sino una extensión y actualización de los existentes (serie TS 119 para eIDAS 1.0), adaptados a las Carteras IDUE y los actos de ejecución.
El proceso incluye:
Desarrollo paralelo: Mientras se negociaba en los Trílogos el texto del reglamento eIDAS 2.0 (2021-2024), ETSI elaboró borradores basados en el documento de Arquitectura y Marco de Referencia (ARF, la última versión a noviembre 2025 es la 2.7.3).
Incorporación en actos de ejecución: Los actos referencian explícitamente «listas de estándares de referencia» de ETSI, como se establece en el Artículo 5a del Reglamento
Talleres y consultas: Eventos como el Taller ETSI/CEN de septiembre 2024 presentaron avances y demostraciones de pilotos, con consultas abiertas para influir en los borradores.
ETSI ha publicado borradores y versiones finales en 2024-2025, enfocados en interfaces, perfiles de seguridad y certificación para la Cartera IDUE y el resto de Servicios de Confianza.
A continuación, se incluyen las principales actualizaciones (o normas nuevas) publicadas por ETSI en 2025:
ETSI TS 119 602 V1.1.1 (2025-11) – Electronic Signatures and Trust Infrastructures (ESI); Lists of trusted entities; Data model. Listas de entidades de confianza; Modelo de datos
ETSI EN 319 401 V3.2.1 (2025-11)– – Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers. Requisitos generales de Política para Prestadores de Servicios de Confianza. Se está preparando una actualización.
ETSI TS 119 542 V1.1.1 (2025-10) – Electronic Signatures and Trust Infrastructures (ESI); Use of EU Digital Identity Wallets and electronic signatures for identification with Smart Contracts. Uso de Carteras de Identidad Digital de la UE y firmas electrónicas para la identificación con contratos inteligentes.
ETSI TS 119 541 V1.1.1 (2025-10) – Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for Smart Contracts using Electronic Ledgers. Requisitos normativos y de seguridad para los contratos inteligentes que utilizan archivos electrónicos con orden cronológico.
ETSI TS 119 441 V1.3.1 (2025-10) -Electronic Signatures and Trust Infrastructures (ESI); Policy requirements for TSP providing signature validation services. Requisitos sw Política para los PSC que prestan servicios de validación de firmas.
ETSI TR 119 540 V1.1.1 (2025-10) – Electronic Signatures and Trust Infrastructures (ESI); Standardization requirements for Smart Contracts based on Electronic Ledgers. Requisitos de estandarización para los contratos inteligentes basados en archivos electrónicos con orden cronológico.
ETSI TS 119 475 V1.1.1 (2025-10) – Electronic Signatures and Trust Infrastructures (ESI); Relying party attributes supporting EUDI Wallet user’s authorization decisions. Atributos de las partes usuarias (informadas) que respaldan las decisiones de autorización de los usuarios de Cartera IDUE.
ETSI TS 119 511 V1.2.1 (2025-10)– Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for trust service providers providing long-term preservation of digital signatures or general data using digital signature techniques. Requisitos de Política y seguridad para los Prestadores de Servicios de Confianza que ofrecen la conservación a largo plazo de firmas digitales o datos generales mediante técnicas de firma digital.
ETSI TS 119 411-8 V1.1.1 (2025-10) – Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 8: Access Certificate Policy for EUDI Wallet Relying Parties. Requisitos de Política y seguridad para los Prestadores de Servicios de Confianzaque emiten certificados; Parte 8: Política de certificados de acceso para las partes usuarias (o informadas) de la Cartera IDUE.
ETSI TR 119 411-4 V1.3.1 (2025-09) – Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 4: Checklist supporting audit of TSP against ETSI EN 319 411-1 or ETSI EN 319 411-2. Requisitos de Política y seguridad para los Prestadores de Servicios de Confianzaque emiten certificados; Parte 4: Lista de verificación para la auditoría de los Prestadores de Servicios de Confianza (TSP) con arreglo a las normas ETSI EN 319 411-1 o ETSI EN 319 411-2. Se está preparando una actualización.
ETSI TS 119 412-6 V1.1.1 (2025-09)– Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 6: Certificate profile requirements for PID, Wallet, EAA, QEAA, and PSBEAA (Public Sector Based Electronic Attestation of Attributes) providers. Perfiles de certificados; Parte 6: Requisitos de Perfil de Certificado para Prestadores de Servicios de DIP, Cartera, DEA, DECA y DEASP (Declaración electrónica de atributos basada en el sector público).
ETSI TR 119 476-1 V1.3.1 (2025-08)– Electronic Signatures and Trust Infrastructures (ESI); Selective disclosure and zero-knowledge proofs applied to Electronic Attestation of Attributes; Part 1: Feasibility study. Divulgación selectiva y pruebas de conocimiento cero aplicadas a la Declaración Electrónica de Atributos; Parte 1: Estudio de viabilidad.
ETSI TR 119 479-2 V1.1.1 (2025-07) – Electronic Signatures and Trust Infrastructures (ESI);Technological Solutions for the EU Digital Identity Framework; Part 2: EAA Extended Validation Services Framework and Application. Soluciones tecnológicas para el marco de identidad digital de la UE; Parte 2: Marco y aplicación de los servicios de validación ampliada de las DEA
ETSI EN 319 421 V1.3.1 (2025-07)– Electronic Signatures and Trust Infrastructures (ESI); Policy and Security Requirements for Trust Service Providers issuing Time-Stamps. Requisitos de política y seguridad para los Prestadores de Servicios de Confianza que emiten sellos de tiempo. Se está preparando una actualización.
ETSI EN 319 142-2 V1.2.1 (2025-07)– Electronic Signatures and Trust Infrastructures (ESI); PAdES digital signatures; Part 2: Additional PAdES signatures profiles. Firmas digitales PAdES; Parte 2: Perfiles de firmas PAdES adicionales.
ETSI EN 319 412-4 V1.4.1 (2025-06)– Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 4: Certificate profile for web site certificates. Perfiles de certificados; Parte 4: Perfil de certificado para certificados de sitios web,
ETSI EN 319 412-2 V2.4.1 (2025-06) . Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 2: Certificate profile for certificates issued to natural persons. Perfiles de certificados; Parte 2: Perfil de certificados para certificados expedidos a personas físicas.
ETSI EN 319 412-5 V2.5.1 (2025-06)– Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 5: QCStatements. Perfiles de certificados; Parte 5: campos QCStatements de los certificados. Se está preparando una actualización.
ETSI EN 319 412-1 V1.6.1 (2025-06)– Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 1: Overview and common data structures. Perfiles de certificados; Parte 1: Descripción general y estructuras de datos comunes.Se está preparando una actualización.
ETSI EN 319 411-2 V2.6.1 (2025-06)– Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 2: Requirements for trust service providers issuing EU qualified certificates. Requisitos de Política y seguridad para los Prestadores de Servicios de Confianza que expiden certificados; Parte 2: Requisitos para los Prestadores de Servicios de Confianza que expiden certificados cualificados de la UE. Se está preparando una actualización.
ETSI TS 119 471 V1.1.1 (2025-05)– Electronic Signatures and Trust Infrastructures (ESI); Policy and Security requirements for Providers of Electronic Attestation of Attributes Services. Requisitos de Política y seguridad para los Prestadores de Servicios de Declaración Electrónica de Atributos.
ETSI TS 119 411-5 V2.1.1 (2025-02)– Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 5: Implementation of qualified certificates for website authentication as in amended regulation 910/2014. Requisitos de Política y seguridad para los Prestadores de Servicios de Confianza que emiten certificados; Parte 5: Implementación de certificados cualificados para la autenticación de sitios web según el Reglamento 910/2014 modificado.
ETSI TS 119 461 V2.1.1 (2025-02) – Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for trust service components providing identity proofing of trust service subjects. Requisitos de política y seguridad para los componentes de servicios de confianza que proporcionan verificación de identidad de los sujetos de servicios de confianza.
ETSI EN 319 411-1 V1.5.1 (2025-04)– Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 1: General requirements. Requisitos de Política y seguridad para los Prestadores de Servicios de Confianza que emiten certificados; Parte 1: Requisitos generales. Se está preparando una actualización.
Todavía se siguen desarrollando los estándares de ETSI, y hay varios en estado Draft (Borrador) que se espera que se publiquen pronto.
La Cartera IDUE (Cartera de Identidad Digital de la Unión Europea, por sus siglas en español, o European Digital Identity Wallet en inglés, conocida como EUDI Wallet) es una solución digital desarrollada en el marco del Reglamento eIDAS 2.0 de la Unión Europea. Su objetivo principal es permitir a los ciudadanos europeos gestionar de forma segura y privada sus credenciales asociadas a la identidad digital (declaraciones de atributos), como documentos electrónicos (DNI digital, pasaportes, diplomas o certificados), en un dispositivo móvil o similar. Esto facilita transacciones transfronterizas, como abrir una cuenta bancaria en otro país o acceder a servicios públicos, sin necesidad de documentos físicos. La Cartera IDUE se basa en principios de identidad centrada en el usuario, que impulsan un enfoque en el que el usuario controla sus datos y decide qué compartir, garantizando privacidad y seguridad mediante estándares comunes.
El «Architecture and Reference Framework» (ARF), o Marco de Arquitectura y Referencia en español, es un documento técnico clave que define la estructura, componentes y especificaciones para el ecosistema de la Cartera IDUE.
Fue impulsado por la Recomendación de la Comisión Europea de junio de 2021 (COMMISSION RECOMMENDATION (EU) 2021/946), que insta a los Estados miembros a colaborar en una «caja de herramientas» común para la identidad digital europea.
El ARF actúa como guía para el desarrollo de implementaciones interoperables, asegurando que las Carteras IDUE funcionen de manera uniforme en toda la UE, independientemente del país.
El propósito principal del ARF es:
Explicar la arquitectura del ecosistema: Describe cómo interactúan los componentes de la Cartera IDUE para garantizar la seguridad, privacidad y usabilidad. Incluye diagramas, flujos de datos y requisitos de alto nivel.
Servir como referencia técnica: Proporciona estándares comunes, especificaciones técnicas y mejores prácticas para que los proveedores (como Estados miembros o entidades privadas) desarrollen soluciones compatibles. No es un reglamento vinculante, pero se usa para actualizar actos de ejecución del Reglamento eIDAS 2.0.
Apoyar el desarrollo y pruebas: Facilita la creación de una implementación de referencia (open-source en GitHub) y pilots nacionales/transfronterizos por parte de los Proveedores de Servicios de Cartera («Large Scale Pilots» o LSP).
El ARF detalla un ecosistema modular con los siguientes elementos principales:
Componente
Descripción
Rol en la Cartera IDUE
Cartera IDUE (Wallet)
Aplicación en el dispositivo del usuario (móvil o PC) para almacenar y gestionar declaraciones de atributos.
Permite al usuario autenticarse, firmar documentos y compartir datos (entre otros «zero-knowledge proofs»).
Emisores cualificados, no cualificados y estatales, de declaraciones de atributos a partir de «Fuentes auténticas»
Entidades que emiten documentos digitales (ej. gobiernos, bancos, universidades) en especial a través de Prestadores Cualificados que emiten Declaraciones de Atributos Cualificadas.
Generan declaraciones de atributos compatibles con estándares como ISO/IEC 18013-7 para carnets de conducir.
Prestadores de Servicios de Confianza
PSC que gestionan la confianza en el ecosistema (ej. firma cualificada remota, o certificados de participantes en el ecosistema).
Aseguran la interoperabilidad y cumplimiento normativo.
Partes usuarias (o informadas)
Plataformas que solicitan y reciben la información de las declaraciones de atributos (ej. bancos, administraciones).
Solicitan información para proporcionar algún servicio a petición del usuario de la Cartera sin acceder a datos innecesarios.
Datos de Identificación Personal (DIP/PID)
La identidad original del usuario con la que empieza a funcionar la cartera para permitir otros usos. La incorpora a la cartera un organismo del Estado miembro
Facilitan la autenticación del usuario y la obtención y presentación de declaraciones de atributos.
Algunos aspectos claves del ARF son:
El ARF se actualiza con frecuencia para adaptarse a avances tecnológicos y a las publicaciones de «Actos de Ejecución» que desarrollan el Reglamento (UE) 1183/2024 (eIDAS2).
Está disponible en el repositorio de GitHub del proyecto EUDI Wallet y en documentos traducidos al español, euskera, gallego y catalán en este blog.
Se integra con el citado Reglamento de Identidad Digital Europe (eIDAS2), que obliga a los Estados miembros a ofrecer al menos una Cartera IDUE gratuita para finales de 2026-2027 y a entidades privadas de varios sectores (transporte, energía, banca, servicios financieros, seguridad social, sanidad, agua potable, servicios postales, infraestructura digital, educación o telecomunicaciones) a aceptarlas a finales de 2027.
En resumen, el ARF es el documento técnico que detalla la estructura e interfaces de la Cartera y hace posible una identidad digital europea unificada, que promueve la innovación y enfatiza la protección de la privacidad del usuario.
Cambios de algoritmos criptográficos y tamaños de clave exigidos por el Organismo Supervisor de los Prestadores Cualificados de Servicios de Confianza requerirán la adaptación de las administraciones públicas en un plazo muy corto para admitir los nuevos certificados en sus sedes electrónicas, lo que hace recomendable considerar la inversión requerida en los presupuestos de las entidades y organismos para el próximo año.
En la nota lacónicamente titulada Nota Migración RSA se establece lo siguiente:
Este órgano de supervisión establece que los prestadores de servicios de confianza, cualificados y no cualificados, que emplean algoritmos RSA para la prestación de servicios de confianza, deben cumplir con lo establecido por el Centro Criptológico Nacional, en el Anexo 1- Prestadores de Servicios de Confianza que acompaña a la Guía de Seguridad de las TIC CCN STIC 807 Criptología de Empleo en el Esquema Nacional de Seguridad.
(…) este órgano supervisor determina que el impacto en la migración del algoritmo RSA con longitud de claves inferiores a 3000 bits es significativo, requiriéndose por tanto que (…)
los prestadores de servicios de confianzacualificados que hayan desplegado jerarquías de certificación con claves RSA con longitud de claves inferiores a 3000 bits, generen nuevas jerarquías de certificación con tamaños de clave mayor. Y deberán
(…) aportar como mínimo la evidencia del hito de celebración de la ceremonia de generación de claves criptográficas.
Hay ciertas referencias a plazos en relación con los Informes de Evaluación de Conformidad, de los prestadores que realicen estos cambios de tamaño de claves RSA en su infraestructura, pero son plazos muy cortos. Por otro lado, el citado Anexo 1 del CCN también detalla plazos en los que deberán dejar de usarse claves RSA con longitud de claves inferiores a 3000 bits y establece que
(…) A partir del 1 de enero de 2027, si aún se emiten certificados basados en RSA, se deberán emitir con módulos de al menos 3000 bits.
El documento del CCN a su vez hace referencia al documento de ENISA: ECCG Agreed Cryptographic Mechanisms – version 2 que también recomienda dejar de usar claves RSA de tamaños menores a 3000 bits. Concluye el CCN con esta recomendación:
No obstante, en virtud del principio de mejora continua de la ciberseguridad y de las recomendaciones técnicas emitidas por organismos internacionales y del propio Centro Criptológico Nacional, se insta a los organismos responsables a proceder a la implementación de mecanismos más robustos para mecanismos de clave asimétrica (RSA de mayor longitud y algoritmos postcuánticos) a la mayor brevedad posible.
Entre las entidades afectadas está la FNMT que ya ha generado una nueva jerarquía de certificación con tamaños RSA mayores de 3000 bits (lo que se ha actualizado en la TSL) y está avisando a las todos los organismos públicos de los cambios que se avecinan. Los certificados que ha estado emitiendo hasta ahora eran de 2048 bits.
A EADTrust no le ha afectado esta circular del Organismo Supervisor porque desde el primer momento ha estado gestionando PKIs de diferentes algoritmos y tamaños de clave: RSA 4096, RSA 8192, ECC 256 y ECC 384 (con la posibilidad de emitir certificados RSA 2048 por compatibilidad en proyectos críticos).
Sin embargo, el reto que tienen por delante las administraciones públicas, es el de adaptar sus portales, sus sedes electrónicas y sus sistemas de firma electrónica para que admitan los nuevos certificados, con diferentes algoritmos y tamaños de clave. Y capaces de validar la TSL europea. Y ya casi no queda tiempo. Conviene que reserven una partida para ello en los presupuestos de 2026.
Para que puedan valorar el reto, EADTrust ofrece sin coste a las entidades públicas juegos de certificados de prueba de todo tipo de perfiles y con los algoritmos y tamaños de clave siguientes: RSA 4096, RSA 8192, ECC 256 y ECC 384.
Por ejemplo, estos son los perfiles:
Servicio de expedición de certificados electrónicos cualificados de firma electrónica Expedición de Certificado de Persona física
Servicio de expedición de certificados electrónicos cualificados de firma electrónica — Certificados electrónicos cualificados de Empleado Público Expedición de Certificado de Persona física para AAPP
Servicio de expedición de certificados electrónicos cualificados de sello electrónico — Expedición de certificado de persona jurídica
Servicio de expedición de certificados electrónicos cualificados de sello electrónico — Certificados cualificados de sello electrónico PSD2 Expedición de certificado de persona jurídica PSD2
Servicio de expedición de certificados electrónicos cualificados de sello electrónico — Certificados cualificados de Sello electrónico de la Administración Pública Expedición de certificado de persona jurídica para AAPP
Servicio de expedición de certificados electrónicos cualificados de autenticación de sitios web Expedición de certificados electrónicos cualificados de autenticación de sitios web Expedición de certificados electrónicos cualificados de autenticación de sitios web PSD2
Servicio de expedición de certificados electrónicos cualificados de autenticación de sitios web — Certificados cualificados de Sede electrónica de la Administración Pública Certificado cualificado de sitio web para sede electrónica
Los certificados de EADTrust son «oficiales»: se han testado en la plataforma de @firmaaFirma_Anexo_PSC y en Valide, lo que los hace idóneos para las pruebas.
Para solicitar el «paquete» de certificados de prueba, pueden contactar con info (at) eadtrust.com o llamar al teléfono 917160555 (añadiendo el prefijo 34 si llaman desde fuera de España)
Ayer comenté la publicación de 3 nuevos actos de ejecución en el Diario Oficial de la Unión Europea (DOUE) y ahora recojo la lista completa con 25 actos de ejecución publicados en desarrollo del Reglamento eIDAS2.
Ayer comenté la publicación de 6 nuevos actos de ejecución en el Diario Oficial de la Unión Europea (DOUE) —anteriormente Diario Oficial de las Comunidades Europeas (DOCE)—
Con lo que la lista completa queda con 22 actos de ejecución publicados:
En inglés:
CIR 2024/2977 PID (Personal Identification Data) and EAA (Electronic Attestations of Attributes)
Recordemos que quedan borradores de actos de ejecución cuyos plazos para enviar comentarios acabaron el 2 de octubre, salvo el de archivo con orden cronológico que acaba el 3 de octubre.
Todo es electrónico 