Identidad digital, Cartera IDUE, Firma electrónica, Archivo digital, blockchain, Medios de pago, eBanca, administración de justicia. administración pública, Seguridad Jurídica Preventiva Digital
En el PID se incluye un campo de nombre y otro de apellido, pero no se contempla un tratamiento de nombres compuestos españoles y de dos apellidos, que pueden ser tambien compuestos (los 2 apellidos).
Y es que hay que reconocer que la costumbre anglosajona de usar un único campo de apellido no encaja con la costumbre española, y nuestra preferencia «rasca» con la forma en que se regula el PID. Así que propongo en este artículo una forma de codificar y decodificar la estructura del nombre y los dos apellidos sin romper la interoperabilidad, y sugiero una propuesta de cómo debería evolucionar la descripción del PID en el «Rule Book» para que la cartera europea sea directamente usable en España.
Para la solución provisional me baso en la solución adoptada para las menciones científicas de autores hispanos en publicaciones internacionales,
El problema de fondo
El modelo de datos de identificación de persona —el PID (Person Identification Data)— hereda, como casi todos los esquemas de identidad de origen anglosajón, una simplificación de partida: un campo para el nombre y un campo para el apellido. En concreto, el PID ofrece given_name (obligatorio, con los nombres intermedios incluidos), family_name (obligatorio), y opcionalmente given_name_birth y family_name_birth. Todos son cadenas de texto libre, sin subestructura.
Ese diseño encaja mal con la costumbre española, que descansa sobre dos rasgos que el campo único no sabe representar.
Primero, los dos apellidos. Un ciudadano español tiene primer y segundo apellido, y desde las reformas del Registro Civil su orden ya no es necesariamente el paterno-primero: los progenitores lo eligen y la persona adulta puede invertirlo. Por tanto, cualquier convención que hable de «apellido paterno» y «apellido materno» nace equivocada; lo correcto es hablar de primer y segundo apellido como posiciones, no como linaje.
Segundo, los componentes compuestos. Tanto el nombre de pila (José María, María del Carmen, Juan Carlos) como cada apellido pueden ser internamente compuestos: con partículas (García de la Torre, Fernández de Córdoba, del Río), con la conjunción copulativa (Ramón y Cajal, Martí i Franquès) o con guion (Sánchez-Cano).
La consecuencia es que, cuando toda esa riqueza se aplasta en family_name = "García de la Torre Martín", la cadena deja de ser decodificable sin ambigüedad: ¿es «García de la Torre» + «Martín», o «García» + «de la Torre Martín»? El espacio, que es el separador natural del texto, no distingue el hueco entre los dos apellidos del hueco interno de un apellido compuesto. Es exactamente el mismo fenómeno que llevó a la comunidad científica a normalizar la firma para que las bases de datos no descompusieran «García Pérez» en «Pérez, G.».
Dónde se regula el PID: actos de ejecución y ARF
Antes de proseguir con la propuesta conviene situar las piezas normativas, porque el PID no se regula en un solo texto. En el plano de los actos de ejecución del Reglamento eIDAS 2, el que define los atributos del PID —obligatorios y opcionales— y su ciclo de vida es el Reglamento de Ejecución (UE) 2024/2977, de 28 de noviembre de 2024, sobre datos de identificación de la persona y declaraciones electrónicas de atributos. Lo acompañan, en la misma tanda, el 2024/2979 (integridad y funcionalidades esenciales de la cartera), el 2024/2980 (notificaciones al ecosistema), el 2024/2981 (certificación de las carteras) y el 2024/2982 (protocolos e interfaces, es decir, el catálogo de estándares con los que el PID se emite y se presenta). La segunda serie, de 2025, lo roza de forma indirecta pero muy pertinente para este asunto —el 2025/846 regula el cross-border identity matching, el cotejo transfronterizo en el que la estructura del nombre es justamente lo que se compara—, y en 2026 se han publicado enmiendas (que ya he mencionado en el blog) que tocan los actos nucleares, incluido el 2024/2977, por lo que conviene trabajar siempre sobre el texto consolidado.
En el plano técnico, el Architecture and Reference Framework (ARF, cuya ultima versión en este momento es la 3.0) desarrolla lo anterior en varias piezas: el documento principal; el Annex 1 (Definiciones); el Annex 2 (High-Level Requirements), con requisitos técnicos, algunos específicos del PID; y, sobre todo, el Annex 3.01 – PID Rulebook, que es donde se define el esquema de atributos y sus dos codificaciones, mdoc (ISO/IEC 18013-5) y SD-JWT VC. Como referencia paralela está el Annex 3.02 (mDL Rulebook), y para el ciclo completo, el Annex 4 (emisión y presentación) y el Annex 6 (certificación). Cuando en este artículo se habla de «evolucionar la descripción del PID», el objeto concreto es el Annex 3.01 y el anexo del Reglamento 2024/2977.
Esta es la relación de actos de ejecución, con indicación de cuáles inciden en el PID (los números enlazan al texto en EUR-Lex):
Enmienda a 2024/2977, 2024/2979, 2024/2980 y 2024/2982 (estándares y especificaciones)
Modifica el 2024/2977
Qué exige el Reglamento sobre estos campos
El Reglamento 2024/2977 define family_name y given_name como texto libre destinado a mostrar y cotejar la identidad; es decir, como el valor legible que una parte usuaria (relying party) enseñará a un operador o comparará con otro documento. Esto impone una restricción de diseño ineludible: el valor de presentación debe seguir siendo la forma natural del nombre. No podemos contaminarlo con marcadores estructurales, porque una parte usuaria de otro Estado miembro que no conozca nuestra convención mostraría un artefacto con símbolos a un funcionario.
De aquí se deriva el principio rector de toda esta propuesta: separar el valor de presentación del valor estructurado. La estructura interna del nombre no debe viajar dentro del campo obligatorio de display, sino en un canal que degrade con elegancia: los campos opcionales o —mejor— un subcampo estructurado en el propio Rulebook.
Qué le pedimos a una solución provisional
Mientras el esquema del PID no incorpore subcampos de nombre, necesitamos una convención que preserve la estructura dentro de los campos que hoy existen. Para que sea sólida, esa convención debe cumplir cinco requisitos:
Reversibilidad.codificar(decodificar(x)) == x. La estructura recuperada debe volver a producir exactamente la misma cadena, sin pérdida.
Seguridad de presentación (degradación elegante). Si un sistema ignora la convención, lo que muestre debe seguir siendo un nombre legible, no un artefacto.
Seguridad de codificación. El PID se serializa en CBOR/COSE (formato mdoc, ISO/IEC 18013-5) o en JSON (SD-JWT VC). El marcador elegido no debe crear peligros de escape ni de doble escape al atravesar esas capas, ni al pasar por LDAP, expresiones regulares o URLs.
No colisión con caracteres legítimos del nombre. El marcador no puede ser un carácter que aparezca de forma natural en nombres españoles (ni el espacio, ni el guion, ni el punto, ni la conjunción «y/i»).
Neutralidad respecto al orden. La convención codifica posición (primer/segundo apellido), nunca linaje.
La solución provisional: la barra inclinada
El carácter que satisface esos cinco requisitos es la barra inclinada (/). Es legal sin escape dentro de una cadena JSON y es un byte ordinario en CBOR, de modo que sobrevive intacta a ambas serializaciones y a su conversión mutua. No aparece nunca en nombres españoles, así que no colisiona con ningún componente legítimo. Y, si un sistema que desconoce la convención la muestra tal cual, produce «García de la Torre / Martín», que cualquier persona interpreta sin dificultad: degrada de forma legible en lugar de romperse.
La propuesta es, por tanto, un modelo de dos capas. La capa de presentación usa los campos obligatorios tal cual los concibe el Reglamento, con la forma natural y sin ningún marcador. La capa estructurada transporta la descomposición reversible: mientras el Rulebook no ofrezca subcampos, se codifica en banda —por ejemplo en family_name_birth o en un atributo nacional— con la barra separando solo el primer y el segundo apellido, y preservando cada componente con sus propios espacios, partículas y guiones.
El algoritmo es trivial y auditable. Estas son las reglas, con la normalización Unicode a NFC incluida y el escape por porcentaje para la —rarísima— barra literal dentro de un componente:
Apellido único (extranjeros nacionalizados, o españoles con un solo apellido): ausencia de barra. "Smith" se codifica como "Smith" y la decodificación devuelve segundo apellido vacío. El round-trip se mantiene.
Conjunción copulativa.Ramón y Cajal o Martí i Franquès pueden ser un único apellido compuesto. La barra es la única frontera autoritativa; el «y»/«i» nunca lo es. Así, "Ramón y Cajal / Ferrer" se decodifica sin ambigüedad como primer apellido «Ramón y Cajal» y segundo «Ferrer».
Barra literal en un nombre (excepcional): se codifica por porcentaje (%2F), de modo que el separador nunca se confunde con un carácter del propio nombre.
Normalización Unicode. Todo componente se normaliza a NFC y se conserva el uso registral de mayúsculas y minúsculas (partículas «de», «de la», «del» en minúscula cuando no encabezan). Sin esto, el cotejo posterior falla por diferencias de composición de las tildes.
En este contexto NFC es Normalization Form C (Forma de Normalización C, o «composición canónica»).
Todas estas reglas están verificadas con round-trip automático sobre los cuatro casos —compuesto con partículas, apellido único, conjunción copulativa y barra literal— antes de escribir una sola línea del ejemplo que sigue.
Ejemplo completo
Tomemos una persona por su estructura: nombre de pila compuesto, primer apellido con partículas y segundo apellido simple.
Elemento
Valor
Nombre de pila
José María
Primer apellido
García de la Torre
Segundo apellido
Martín
family_name (presentación)
García de la Torre Martín
Forma estructurada (barra)
García de la Torre / Martín
Un detalle que conviene tener presente en cualquier codificación binaria: «García de la Torre Martín» ocupa 27 bytes en UTF-8 pero solo 25 caracteres, porque cada «í» son dos bytes (0xC3 0xAD). Las longitudes que aparecen en el CBOR de abajo son de bytes, no de caracteres.
(A) Formato mdoc — ISO/IEC 18013-5 (CBOR)
En el namespaceeu.europa.ec.eudi.pid.1, los atributos del PID se serializan como un mapa CBOR. Esta es la representación del ejemplo en notación diagnóstica:
{
"given_name": "José María",
"family_name": "García de la Torre Martín",
"birth_date": 1004("1978-05-14"), / tag full-date /
"birth_place": "ES",
"nationality": ["ES"],
"family_name_birth": "García de la Torre Martín",
"issuing_country": "ES",
"issuing_authority": "Ministerio del Interior"
}
Y su codificación real, byte a byte (hex), 230 bytes en total:
a8 # map(8)
6a 676976656e5f6e616d65 # "given_name"
6c 4a6f73c3a9204d6172c3ad61 # "José María"
6b 66616d696c795f6e616d65 # "family_name"
78 1b 47617263c3ad61206465206c6120 # text(27) "García de la
77 4d696e6973746572696f2064656c20496e... # "Ministerio del Interior"
Cada atributo se firma, en realidad, dentro de un IssuerSignedItem envuelto en un byte string marcado con la etiqueta CBOR 24 (encoded-cbor). Para family_name:
78 1b 47617263c3ad61...546f727265204d617274c3ad6e # "García de la Torre Martín"
La forma estructurada en mdoc. El atributo family_name mantiene la forma natural; la descomposición viaja aparte, en un elemento propuesto family_name_unit, como submapa CBOR —limpio, sin marcadores en banda y con divulgación selectiva independiente:
(B) Formato SD-JWT VC (JSON con divulgación selectiva)
En SD-JWT VC cada atributo divulgable se materializa en una disclosure —base64url([salt, nombre, valor])— cuyo digest SHA-256 se referencia en el array _sd del payload. Las disclosures del ejemplo (incluida la estructurada) son:
La ventaja del submapa family_name_unit como disclosure propia es doble: la parte usuaria española que necesite el primer apellido para un cotejo registral puede pedirlo sin forzar la revelación del segundo, y la parte usuaria genérica sigue recibiendo family_name tal cual, sin enterarse de la estructura. Divulgación selectiva y degradación elegante en el mismo mecanismo.
(C) Formato W3C Verifiable Credentials (JSON-LD), como referencia
Donde se use el perfil W3C VC, la misma idea se expresa con un objeto anidado en credentialSubject, conservando el literal de presentación junto a la estructura:
"credentialSubject": {
"given_name": "José María",
"family_name": "García de la Torre Martín",
"family_name_unit": { "first": "García de la Torre", "second": "Martín" }
}
Por qué la solución robusta no está en el separador
Es una humilde propuesta para resolver el problema, pero no es la panacea. Igual que en la firma de publicaciones científicas la normalización tipográfica acabó siendo un paliativo y la respuesta estructural fue el identificador persistente (ORCID), aquí el separador en banda es una solución de compromiso para cuando no hay más remedio. La respuesta arquitectónicamente correcta es que la estructura del nombre la conoce el registro emisor —el PID Provider parte del Registro Civil, que sí distingue primer y segundo apellido— y que esa estructura se transporte en subcampos explícitos, no incrustada en una cadena de texto que otros sistemas cotejarán a ciegas. La barra nos salva mientras tanto; el subcampo nos salva para siempre.
Cómo debería evolucionar la descripción del PID
El caso español no es una excepción folclórica: Portugal encadena hasta cuatro apellidos, los países árabes construyen cadenas patronímicas, Islandia usa patronímicos en lugar de apellido de familia. Un modelo de nombre que solo contempla «nombre + apellido» es, en realidad, un problema paneuropeo que España evidencia con especial claridad. Estas son las evoluciones que, a mi juicio, deberían incorporar el Annex 3.01 (PID Rulebook) y el anexo del Reglamento 2024/2977:
Un atributo de nombre estructurado, opcional y normalizado. Añadir al esquema PID un family_name_unit (submapa first/second, ampliable a third/fourth para Portugal) y un given_name_unit con el nombre habitual marcado. Opcional, para no romper a nadie; estructurado, para no perder información.
Posición, no linaje. Nombrar los componentes por orden (first, second) y nunca por origen (paterno/materno), en coherencia con la libre elección y la inversión del orden que permite la ley española.
Divulgación selectiva por componente. Que cada subcomponente sea una claim divulgable de forma independiente, de modo que una parte usuaria pueda solicitar solo el primer apellido cuando es lo que necesita para un cotejo, minimizando datos.
Reglas de normalización explícitas en el propio Rulebook. Fijar NFC obligatorio, tratamiento de mayúsculas/minúsculas de partículas y —para el escenario provisional en banda— la barra como separador con escape por porcentaje. Escrito en la norma, no dejado al criterio de cada emisor.
Un anexo nacional (perfil español del PID). El mecanismo por el que el ARF admite perfiles y rulebooks de atributos debería acoger un anexo español que registre formalmente esta convención, del mismo modo que ya existen rulebooks para otros dominios de atributos.
Coherencia con el cotejo transfronterizo. El acto de ejecución 2025/846 sobre identity matching se apoya precisamente en el nombre y los apellidos; un PID con nombre estructurado hace ese cotejo fiable y evita repetir en la cartera los apaños ad hoc que cada nodo nacional viene arrastrando desde el conjunto mínimo de datos de eIDAS SAML.
Conclusión
El PID no fue diseñado pensando en los dos apellidos ni en los compuestos con partículas, y el campo único de texto libre es, para el caso español, estructuralmente insuficiente. La vía sensata no es maltratar el campo obligatorio de presentación —que debe seguir mostrando el nombre natural—, sino separar presentación de estructura, adoptar mientras tanto un separador que sobreviva a CBOR, JSON, LDAP y a las expresiones regulares —la barra inclinada, con sus reglas de frontera reversibles—, y, sobre todo, promover que el Annex 3.01 y el Reglamento 2024/2977 incorporen la estructura del nombre como subcampo explícito. Mientras Europa no lo haga, cada emisor español lo resolverá a su manera; y la interoperabilidad, que es justo lo que la EUDI Wallet viene a traer, se resentirá precisamente en el dato más elemental de todos: cómo nos llamamos.
Formatos. ISO/IEC 18013-5 (mdoc) para la codificación CBOR/COSE; SD-JWT VC (IETF) para la codificación JSON con divulgación selectiva.
Te ayudamos
En EADTrust (European Agency of Digital Trust) acompañamos a las entidades obligadas a aceptar la Cartera Europea de Identidad Digital en su adaptación técnica y jurídica. El artículo 5 septies del Reglamento (UE) n.º 910/2014, modificado por el Reglamento (UE) 2024/1183 (eIDAS 2), impone esa aceptación a las administraciones públicas y a las partes usuarias privadas de sectores como el transporte, la energía, la banca y los servicios financieros, la seguridad social, la salud, el agua potable, los servicios postales, la infraestructura digital y las telecomunicaciones, además de a las plataformas en línea de muy gran tamaño (VLOP). Si su organización está entre ellas, podemos ayudarle a preparar la integración de la cartera con garantías de interoperabilidad y valor probatorio. Contacte en www.eadtrust.eu, info@eadtrust.com o en los teléfonos 902 365 612 y 91 716 05 55.
El 14 de septiembre viajo a Tallinn para una semana intensa de trabajo en torno a la identidad digital europea, los servicios de confianza y la certificación de la EUDI Wallet.
Estonia es un escenario natural para esto. Pocos países han llevado tan lejos el e-gobierno, la identidad electrónica y la confianza digital. Esta semana se concentran allí varias citas que, juntas, cubren casi todo el ecosistema: estándares, autoridades de certificación, firmas en la nube, implementación de eIDAS 2 y el trabajo experto sobre la certificación de la Wallet.
Después de haber estado la semana pasada (1, 2 y 3 de septiembre) en el «Global Digital Collaboration Conference 2026» seguimos profundizando en los aspectos relacionados con las carteras, la firma electrónica remota y la identidad digital.
Sesión abierta del comité técnico ESI (Electronic Signatures and Trust Infrastructures) de ETSI, centrada en las autoridades de certificación y en los retos del ecosistema EUDI.
Reúne a expertos, prestadores de servicios de confianza y profesionales que trabajan en la estandarización e implementación del marco eIDAS 2. El foco está en cómo se emitirán, validarán y usarán certificados e identidades digitales en los próximos años.
Kultuurikatel es la antigua central eléctrica de Tallinn. En sus instalaciones se rodó parte de Stalker de Tarkovsky, de ahí el nombre de la sala.
Lunes 14 por la noche — 10.º aniversario del Cloud Signature Consortium
18:00–22:00 · F-Hoone, Telliskivi 60a/5
El CSC celebra diez años con el lema “10 Years of Building Digital Trust — Together, Worldwide”.
Nació en 2016, coincidiendo con eIDAS, para definir un estándar abierto de firmas electrónicas remotas en la nube. Su API permite que las aplicaciones de firma y los QTSP se integren de forma interoperable. Hoy tiene más de 80 miembros en más de 40 países y su especificación está referenciada en los actos de ejecución relacionados con la EUDI Wallet.
F-Hoone está en Telliskivi Loomelinnak, otro espacio industrial reconvertido y uno de los centros creativos más vivos de la ciudad.
Martes 15 y miércoles 16 — Trust Services and eID Forum y CA Day (ENISA)
El martes 15 se celebra la 12.ª edición del Trust Services and eID Forum, organizado por ENISA junto con la Comisión Europea. Es la cita anual de referencia para responsables políticos, prestadores de servicios de confianza, organismos de evaluación de la conformidad, supervisores e instituciones europeas y nacionales.En la agenda:
Estado de implantación de las EUDI Wallets en los Estados miembros
European Business Wallet
Relación del marco de identidad digital con el Cyber Resilience Act (CRA)
Situación de los servicios de confianza
Evolución de la estandarización
Efectos potenciales de la criptografía post-cuántica en la identidad digital
El miércoles 16 sigue el 18.º CA Day, organizado por D-Trust y TÜV NORD Cert, en el mismo recinto. Es la continuación natural: del debate de política y ecosistema al trabajo más específico de autoridades de certificación.
Jueves 17 y viernes 18 — AHWG de ENISA sobre la EUDI Wallet
Los días 17 y 18 participo en la reunión del Ad Hoc Working Group (AHWG) de ENISA sobre la certificación de las European Digital Identity Wallets.
Este grupo de expertos trabaja en el esquema candidato de certificación de ciberseguridad de las wallets y en los requisitos de seguridad de los prestadores de servicios relacionados. No es un congreso abierto, sino el trabajo técnico que después se traduce en el esquema europeo y en las evaluaciones que tendrán que pasar las wallets nacionales.
Por eso no podré asistir al PQC Migration Workshop del jueves 17 por la mañana en el mismo Kultuurikatel pqcsa.eu. El taller, organizado en el marco del proyecto PQCSA, aborda la migración a criptografía post-cuántica en firmas, autenticación y servicios de confianza. El tema está muy relacionado con lo que se discute esta semana (de hecho el propio Forum de ENISA incluye una sesión sobre PQC), pero coincide con el grupo de trabajo de la Wallet.
Por qué esta semana importa
En cuatro días se encadenan:
estándares y autoridades de certificación (ETSI ESI),
interoperabilidad de firmas en la nube (CSC),
el foro europeo de eIDAS y servicios de confianza (ENISA + CA Day),
el trabajo experto de certificación de la EUDI Wallet (AHWG).
Es una fotografía bastante completa del momento en que está Europa: de la estandarización a la certificación, de las firmas remotas a las wallets, y con la amenaza post-cuántica ya encima de la mesa.
Recorrido legislativo y encaje en eIDAS2. Estado del expediente a septiembre de 2026.
La European Business Wallet avanza en el procedimiento legislativo ordinario y estos meses concentran sus pasos decisivos. Antes de entrar en el detalle, conviene situar dónde está hoy el expediente.
Estado a septiembre de 2026: el Consejo fijó su posición negociadora (orientación general) el 9 de junio de 2026; el Comité de las Regiones adoptó su dictamen el 1 de julio de 2026; y la comisión ITRE del Parlamento Europeo tiene previsto votar su informe el 10 de septiembre de 2026, el paso que abrirá la puerta a los trílogos. A la fecha de esta entrada, la votación de ITRE es inminente pero aún no se ha celebrado, y no hay todavía posición del Pleno ni negociaciones interinstitucionales en marcha.
Qué es la European Business Wallet
La European Business Wallet (EBW) es una cartera digital pensada para toda empresa de la UE (con especial atención a las pymes) con la que identificarse digitalmente, firmar (sellar) electrónicamente y relacionarse con plena eficacia jurídica tanto con las administraciones públicas (B2G) como con otras empresas (B2B) a través de las fronteras. Entre sus funciones nucleares: identificación y autenticación con un identificador único y persistente de empresa; firmas y sellos electrónicos y sellado de tiempo; emisión, custodia e intercambio de documentos electrónicos verificados y credenciales de atributos de empresa (licencias, certificados, permisos, extractos); gestión de mandatos y poderes de representación (quién puede actuar por la sociedad); y entrega electrónica certificada y comunicación segura, habilitando además la facturación electrónica y la reutilización de datos bajo el principio de «solo una vez» (OOTS).
La Comisión la presentó como pieza de la agenda de simplificación (el «Digital Omnibus»), con una estimación de ahorro de al menos 150 000 millones de euros anuales para las empresas europeas.
Encaje en eIDAS2
La EBW se construye sobre la misma arquitectura de confianza que la cartera de identidad digital europea (EUDI Wallet) del Reglamento (UE) 910/2014 (eIDAS2), al que la propuesta modifica de forma limitada para alinear ambos instrumentos. La distinción esencial es el sujeto: la EUDI Wallet se orienta a las personas físicas, mientras que la EBW se orienta a las personas jurídicas / empresas, añadiendo la identidad organizativa, los mandatos y poderes de representación y las certificaciones asociadas a las actividades de negocio. En la práctica, la EBW reutiliza el andamiaje de servicios de confianza de eIDAS2 (firma y sello electrónicos, sellos de tiempo, entrega electrónica certificada, listas de confianza) y lo proyecta al mundo de la empresa.
Recorrido legislativo
La propuesta sigue el procedimiento legislativo ordinario (procedimiento 2025/0358(COD)). Estos son los hitos con fecha:
Fecha
Órgano
Hito
19 nov 2025
Comisión Europea
Adopción de la propuesta de Reglamento — COM(2025) 838 final.
19 ene 2026
Parlamento Europeo
Remisión anunciada en el Pleno; ITRE como comisión competente, ponente Eero Heinäluoma (S&D, FI).
20 ene 2026
SEPD (EDPS)
Dictamen 5/2026 sobre la propuesta.
18 mar 2026
CESE
Dictamen INT/1110 (ponente Philip Von Brockdorff).
~1 abr 2026
Parlamento Europeo
Proyecto de informe de ITRE (PE785.244).
23 abr 2026
Parlamento Europeo
Plazo de enmiendas en comisión.
4 jun 2026
Parlamento Europeo
Opinión de la comisión IMCO.
8 jun 2026
Parlamento Europeo
Opinión de la comisión JURI (ponente Axel Voss).
9 jun 2026
Consejo de la UE
Orientación general (posición negociadora), Consejo TTE, Presidencia chipriota.
1 jul 2026
Comité de las Regiones
Dictamen adoptado (ponente Branislav Zacharides): integración con el Portal Digital Único / OOTS y apoyo a las pymes. (Nuevo)
10 sep 2026 (previsto)
Parlamento Europeo
Votación del informe en la comisión ITRE — inminente; abre la vía a los trílogos. (Nuevo)
Pendiente
PE / Consejo
Posición del Pleno del PE y trílogos (no iniciados).
El expediente en el observatorio legislativo del Parlamento (OEIL) figura todavía como «a la espera de la decisión de la comisión».
El acuerdo general del Consejo (9 de junio de 2026)
El Consejo introdujo varios cambios de calado sobre la propuesta de la Comisión: que las EBW complementen, y no sustituyan, los sistemas nacionales B2B/B2G existentes (énfasis en la interoperabilidad); un listón más alto de ciberseguridad y de autorización para los proveedores de cartera; una ampliación del plazo de evaluación de las solicitudes de proveedor por los organismos de supervisión de 30 a hasta 60 días; y mayor remisión del detalle a actos de ejecución de la Comisión. El objetivo político reiterado es alcanzar un acuerdo para finales de 2026.
Puntos de debate
Voluntariedad frente a obligatoriedad. De momento la EBW es voluntaria para las empresas (no impone obligaciones directas de negocio), pero la cláusula de revisión podría endurecer esto más adelante.
Ámbito y solapamiento. Debe complementar los sistemas nacionales y el OOTS, no duplicarlos (insistencia del Consejo y del Comité de las Regiones).
Pymes y coste. CESE y Comité de las Regiones piden incentivos, financiación y sencillez para que la carga no recaiga en las pequeñas empresas.
Protección de datos y soberanía de nube europea. Dictamen del SEPD 5/2026; en el Parlamento se defiende que los datos de la cartera se alojen en proveedores de nube europeos y se almacenen en la UE.
Ciberseguridad y autorización de proveedores. El Consejo elevó el umbral y amplió los plazos de evaluación.
Calendario de aplicación previsible
Sujeto al resultado de la negociación, el esquema que se maneja es: entrada en vigor tras la adopción (previsiblemente a principios de 2027, con la publicación en el DOUE); a los 24 meses, obligación de todas las administraciones públicas de aceptar las funciones nucleares de la EBW (sin poder rechazar una actuación válida por el mero hecho de ser digital); y a los 3 años, revisión de la Comisión, incluida la valoración de si conviene ampliar el ámbito o hacer obligatorio su uso.
Qué aspectos requerirán nuestra atención
El siguiente hito determinante es la votación de ITRE del 10 de septiembre de 2026: fijará la posición negociadora del Parlamento y, con el mandato del Consejo ya listo desde junio, permitirá abrir los trílogos con vistas al acuerdo político de finales de 2026.
Servicios Profesionales de EADTrust
La recopilación y el análisis de esta información se enmarcan en los Servicios Profesionales de EADTrust (European Agency of Digital Trust). Si tu organización (administración pública o empresa) está valorando proyectos de adaptación a las carteras de identidad y de empresa (EUDI Wallet y European Business Wallet) o de desarrollo del ecosistema eIDAS2, en EADTrust podemos acompañarte en el análisis normativo, el diseño y la implantación.
Contacta con nosotros por correo electrónico en info@eadtrust.com o por teléfono en el 902 365 612 o en el 91 7160555. Más información en eadtrust.com.
En un mundo cada vez más digitalizado, la Unión Europea ha dado pasos decisivos hacia la estandarización de la identificación electrónica con la introducción de la Cartera de Identidad Digital Europea (EUDI Wallet).
Esta herramienta, regulada por el Reglamento eIDAS 2.0 (Reglamento (UE) 2024/1183), que modifica el Reglamento UE 910/2014, permite a los ciudadanos y empresas almacenar y gestionar de forma segura sus identidades digitales, incluyendo atributos como permisos de conducción, diplomas o declaraciones de atributos relativas a cuentas bancarias. También permite realizar firmas electrónicas cualificadas y sellos electrónicos cualificados. El objetivo es otorgar a los usuarios un control total sobre sus datos, facilitando el acceso a servicios en línea con una cesión mínima de información, solo la imprescindible para la gestión a realizar.
Para las entidades financieras, esta innovación no es opcional: representa una obligación legal que transforma los procesos de identificación y verificación de clientes.
La Obligatoriedad de Aceptar la EUDI Wallet
El Reglamento eIDAS 2.0 establece (artículo 5 septies) que los proveedores de servicios que estén legalmente obligados a identificar inequívocamente a sus clientes deben aceptar la EUDI Wallet como método de autenticación.
En el sector financiero, esto afecta directamente a bancos, instituciones de crédito y otras entidades reguladas, especialmente en procesos como el Know Your Customer (KYC) y procesos de Debida Diligencia para la prevención del blanqueo de capitales.
El citado artículo 5 septies del Reglamento obliga a estas entidades a integrar la cartera como una opción válida para la identificación electrónica, lo que reduce barreras transfronterizas y mejora la eficiencia en transacciones digitales.
Esta obligación se extiende a sectores como la banca, los servicios financieros y cualquier entidad sujeta a requisitos de identificación estrictos. No se trata solo de cumplimiento normativo, sino de una oportunidad para optimizar operaciones, ya que la EUDI Wallet proporciona datos verificados e inalterables directamente de fuentes auténticas, minimizando riesgos de fraude y agilizando el «onboarding» de clientes.
La adaptación requiere una integración técnica y operativa en los sistemas existentes, por un lado para el proceso de apertura de cuenta (en el que el uso de sistemas cualificados simplifica la documentación que tiene que recabar la entidad financiera) y después para añadir una opción en la pantalla web en la que se ofrece a los clientes acceder a la información y servicios asociados a su cuenta, ya que al clickar en esa opción se desencadena la funcionalidad de identificación y autenticación de la cartera.
Las entidades financieras deben:
Actualizar sus plataformas de identificación para el acceso a la banca electrónica: Incorporar APIs y SDK compatibles con la EUDI Wallet para permitir la autenticación segura. Esto implica adoptar los protocolos estandarizados que se recogen en el ARF y en los actos de ejecución para asegurar la interoperabilidad con las diferentes carteras emitidas por los Estados miembros.
Revisar sus procesos de KYC y onboarding: La cartera permite solicitar al cliente que aporte atributos (como los que figuran en la credencial inicial DIP, «Datos de Información Personal») y otros atributos exigibles según los principios de debida diligencia (quizá la presentación de una nómina o una declaración electrónica de atributos semejante, como ingresos anuales o cualificaciones profesionales), lo que simplifica la «due diligence». Las interfaces bancarias con la cartera se configuran para solicitar declaraciones de atributos y para solicitar la firma electrónica de documentos (la cartera permite realizar «QES» «qualified electronic signature» y «qualified electronic seal»). Se deberán conservar las evidencias electrónicas de la contratación (posiblemente preservadas mediante sellos de tiempo cualificados). Será preciso registrar a la entidad en el registro de «Relying Parties» o «Partes Usuarias» («Partes informadas», en mi traducción del ARF) y obtener el certificado que establece el tipo de información que puede solicitar a la cartera
Las entidades deben revisar sus contratos y «términos y condiciones» para acoger las nuevas circunstancias de apertura de cuentas y acceso a la banca electrónica y dar formación a su personal para que entiendan las nuevas circunstancias de contratación y autenticación y puedan dar soporte a los clientes.
Garantizar la seguridad y privacidad: Cumplir con el RGPD (y la LOPD/GDD) y las directrices de eIDAS 2.0, asegurando que los usuarios tengan control sobre sus datos (en ciertas condiciones, mediante divulgación selectiva y «pruebas de conocimiento cero»).
Colaborar con proveedores de confianza: Asociarse con prestadores cualificados de servicios electrónicos para implementar soluciones compatibles, como firmas electrónicas cualificadas o sellos de tiempo, que complementen la integración de la cartera.
Esta adaptación no solo permite cumplir con las exigencias regulatorias, sino que posiciona a las entidades que se anticipen, como líderes en innovación digital, mejorando la experiencia del usuario y reduciendo costes operativos.
Plazos para la Implementación
Los Estados miembros de la UE, incluyendo España, tienen la obligación de proporcionar al menos una versión de la EUDI Wallet a sus ciudadanos antes de finales de 2026 (24 meses tras la entrada en vigor del primer lote de actos de ejecución). Antes de fin de 2027 (36 meses tras la entrada en vigor de los citados actos de ejecución), la aceptación de la cartera será obligatoria para las organizaciones del sector privado reguladas, como las entidades financieras, y otras que se citan en el artículo 5 septies.
Si no se demora la decisión de acometer los cambios, queda margen para pruebas piloto y ajustes, pero empieza a ser urgente que las entidades inicien su preparación cuanto antes para evitar sanciones y aprovechar las ventajas competitivas.
Conexión con PSD3 y el Reglamento de Servicios de Pago (PSR)
La adaptación a la EUDI Wallet no puede analizarse de forma aislada en el sector financiero, sino en el contexto más amplio de la revisión del marco europeo de servicios de pago. La Comisión Europea ha propuesto sustituir la actual PSD2 por una nueva Directiva de Servicios de Pago (PSD3) y, paralelamente, aprobar un Reglamento de Servicios de Pago (PSR) de aplicación directa en todos los Estados miembros. Ambos instrumentos refuerzan los requisitos de autenticación reforzada del cliente (SCA) y abren la puerta a que la identidad digital verificada —precisamente la que proporciona la EUDI Wallet— pueda usarse como mecanismo de autenticación en el acceso a cuentas de pago y en la iniciación de operaciones.
En la práctica, esto significa que las entidades financieras que integren la cartera para sus procesos de KYC y onboarding estarán también construyendo una infraestructura compatible con las exigencias de autenticación que se avecinan con PSD3/PSR, evitando duplicidades tecnológicas. La EUDI Wallet puede actuar como un vector común de identidad verificada tanto para el cumplimiento AML como para la autenticación en el acceso a servicios de pago, lo que convierte su integración en una inversión con retorno regulatorio múltiple y no en un mero coste de cumplimiento puntual.
Consideraciones sobre la Ley 10/2010 y el Reglamento (UE) 2024/1624
La Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, impone a las entidades financieras obligaciones estrictas de identificación y verificación de clientes (artículos 3 a 10). Los servicios cualificados a los que se refiere esta ley en su artículo 12, inspirados en el Reglamento eIDAS, incluyen mecanismos electrónicos de confianza como firmas cualificadas, sellos electrónicos y sistemas de identificación remota. Es preceptivo conservar las evidencias electrónicas que acreditan el cumplimiento de lo señalado en este artículo.
La adaptación a la EUDI Wallet, aunque establecida en un Reglamento Europeo, tiene encaje con lo dispuesto en estos requisitos, ya que la cartera actúa como un medio de identificación electrónica cualificado, reconocido en toda la UE.
El Reglamento (UE) 2024/1624 es una de las piezas centrales del nuevo paquete legislativo europeo contra el blanqueo de capitales y la financiación del terrorismo (AML/CFT). Se aprobó el 31 de mayo de 2024 y se publicó en el DOUE el 19 de junio de 2024. Su objetivo es sustituir la fragmentación normativa existente y establecer normas directamente aplicables en todos los Estados miembros para reforzar la integridad del sistema financiero europeo.
El Reglamento (UE)2024/1620 crea la Autoridad de Lucha contra el Blanqueo de Capitales (en inglés Anti-Money Laundering Authority – AMLA) y la Financiación del Terrorismo y se modifican los Reglamentos (UE) n.º 1093/2010, 1094/2010 y 1095/2010. Recientemente AMLA ha abierto una consulta pública (9 febrero – 8 mayo 2026) sobre los Regulatory Technical Standards (RTS) previstos en el artículo 28(1) del Reglamento (UE) 2024/1624, que desarrollan en detalle cómo deben aplicar los sujetos obligados la diligencia debida con el cliente.
Estos RTS son esenciales porque convierten los principios del Reglamento AML en instrucciones operativas concretas y uniformes en toda Europa, qué información recoger, cómo verificarla, qué hacer en casos de riesgo. El «draft» señala (pág. 29) que el cumplimiento de la sección 9 se logra con el cumplimiento del Reglamento de Ejecución (UE) 2024/2977 de la Comisión, de 28 de noviembre de 2024, que establece las normas técnicas y procedimentales para la aplicación del Reglamento eIDAS 2 en lo relativo a:
Datos de identificación de la persona (PID)
Declaraciones electrónicas de atributos (EAA / QEAA)
Su expedición a las Carteras de Identidad Digital de la Unión Europea (EUDI Wallets)
La complejidad regulatoria da otra vuelta de tuerca porque, como comenté recientemente hay nuevos borradores de actos de ejecución en relación con #EIDAS2 y la EUDI Wallet y uno de ellos, precisamente, modifica el Reglamento de Ejecución (UE) 2024/2977.
El papel de la EBA y sus Directrices sobre onboarding remoto
La Autoridad Bancaria Europea (EBA) publicó el 22 de noviembre de 2022 sus Directrices sobre el uso de soluciones de incorporación remota de clientes (EBA/GL/2022/15), aplicables desde el 2 de octubre de 2023 a todas las entidades de crédito e instituciones financieras en el ámbito de la Directiva AML. Estas directrices establecen estándares comunes europeos para los procesos de diligencia debida inicial en el contexto del onboarding digital, y resultan directamente relevantes para la integración de la EUDI Wallet: la EBA reconoce expresamente en su texto que las entidades que utilicen soluciones basadas en esquemas de identificación electrónica notificados bajo eIDAS, o en servicios de confianza cualificados, pueden asumir que tales soluciones cumplen los requisitos de verificación de identidad establecidos en la Directiva, sin necesidad de duplicar las evaluaciones de gobernanza ya realizadas en el marco del propio Reglamento eIDAS. En la práctica, esto significa que una entidad financiera que integre correctamente la EUDI Wallet como mecanismo de identificación del cliente estará, de forma simultánea, cumpliendo con las exigencias de las Directrices EBA/GL/2022/15.
Las directrices deben leerse en conjunción con otras guías de la EBA, en particular las Directrices sobre Factores de Riesgo ML/TF (EBA/GL/2021/02) y las relativas a la gestión de riesgos TIC y de seguridad (EBA/GL/2019/04), lo que refuerza la necesidad de un enfoque integral en la adaptación. Cabe señalar que la propia EBA, al publicar sus directrices de 2022, ya advertía que era consciente de que la reforma del Reglamento eIDAS y la introducción de la Cartera IDUE ayudarían a superar la fragmentación existente en materia de identificación remota, pero que hasta que dicha reforma entrase en vigor, debía basar su análisis en el marco normativo entonces vigente. Ese momento ha llegado: la EUDI Wallet ya es una realidad regulatoria, y las entidades financieras tienen ahora la oportunidad de alinear su cumplimiento AML con el nuevo ecosistema de identidad digital europeo, construyendo una infraestructura de onboarding que satisfaga simultáneamente las EBA/GL/2022/15 y los requisitos del Reglamento eIDAS 2.0.
Implicaciones del Reglamento DORA en la integración de la Cartera IDUE
Las entidades financieras que acometan la integración de la EUDI Wallet no pueden ignorar que dicha integración constituye, desde la perspectiva del Reglamento (UE) 2022/2554 (DORA), plenamente aplicable desde el 17 de enero de 2025, la incorporación de una nueva función crítica soportada por TIC, con todo lo que ello implica. DORA exige que cualquier nuevo sistema o proveedor externo que dé soporte a funciones esenciales quede incorporado al marco de gestión del riesgo TIC de la entidad: los proveedores de servicios de identificación y los prestadores cualificados de servicios de confianza que participen en el ecosistema de la cartera deberán ser objeto de la diligencia debida contractual prevista en los artículos 28 y siguientes del Reglamento, incluyendo cláusulas de auditoría, acceso, localización de datos y continuidad del servicio. La clasificación de la funcionalidad de autenticación con cartera como «función importante» —lo que es previsible dado su papel central en el acceso a la banca electrónica— activaría además la obligación de realizar pruebas de resiliencia operativa periódicas sobre esos sistemas.
Desde una perspectiva de planificación, esto significa que el proyecto de integración de la EUDI Wallet debe diseñarse desde el inicio con la arquitectura documental y contractual que DORA exige, evitando tener que remediar a posteriori las carencias de un despliegue tecnológico que no tuvo en cuenta el marco de riesgo de terceros. La buena noticia es que las exigencias de DORA y las de eIDAS 2.0 son en gran medida complementarias: ambas apuntan hacia proveedores robustos, auditables y resilientes. Una entidad que seleccione proveedores de servicios de identidad digital que sean Prestadores Cualificados de Servicios de Confianza (QTSP) registrados bajo eIDAS estará, al mismo tiempo, incorporando actores que ya han superado auditorías de conformidad rigurosas, lo que facilita considerablemente la evaluación del riesgo TIC de terceros exigida por DORA.
EADTrust
EADTrust ofrece sus servicios de adecuación a la Cartera IDUE a las entidades financieras para facilitar la integración, sumándose al equipo técnico y legal que acometa la adaptación.
EADTrust puede proporcionar Declaraciones Electrónicas de Atributos de prueba, y las APIs de los protocolos a utilizar. También aporta jefes de proyecto, programadores y juristas para acometer las diferentes facetas de la adaptación. En particular para dar seguimiento al cada vez más complejo marco regulatorio.
Presta servicios cualificados complementarios como los sellos de tiempo, y el archivo electrónico de preservación que ayudan a custodiar las evidencias digitales del proceso. Con los servicios de EAD Factory la entidad financiera cuenta con todos los servicios de un PSC (Prestador de Servicios de Certificación) cualificado como si fuera parte de su propia infraestructura.
Además EADTrust ayuda a integrarse a otras entidades que forman parte de la infraestructura y del ecosistema de la Cartera IDUE: fuentes auténticas, entidades del sector público, entidades privadas que entreguen declaraciones de atributos a sus clientes o a sus empleados,…
Aunque la interoperabilidad con la «EUDI Wallet» se vea ahora como un requisito regulatorio para las entidades señaladas en el Artículo 5 septies del Reglamento UE 910 / 2014 reformado, va a ser esencial para las entidades Fintech, y para todo el sector financiero y un motor de innovación para crear nuevos servicios.
Será la evolución natural de los servicios cualificados, promoviendo una identificación más segura y eficiente en el marco normativo europeo.
EADTrust, como Prestador Cualificado de Servicios de Confianza Electrónica registrado en el Ministerio de Asuntos Económicos y Transformación Digital, es un aliado clave en esta transición. Su equipo de Servicios Profesionales, liderado por expertos en identidad digital y eIDAS, y con experiencia en proyectos en entidades financieras y administraciones públicas ofrece soporte integral para la adaptación a la EUDI Wallet, incluyendo:
Consultoría y auditorías técnicas y legales: Evaluación de sistemas actuales y planes de implementación para garantizar interoperabilidad y cumplimiento normativo. Seguimiento de la normativa aplicable, cada vez más compleja.
Implementación de soluciones EUDI: Desarrollo de integraciones para la cartera, junto con servicios de archivo electrónico cualificado y digitalización de documentos.
Formación y soporte: Capacitación para equipos en el uso de la cartera y alineación con la Ley 10/2010 y los nuevos RTS.
Además, EADTrust ya ofrece una amplia gama de servicios cualificados eIDAS, como:
Certificados electrónicos cualificados para firmas y sellos electrónicos.
Sellado de tiempo electrónico cualificado.
Notificaciones electrónicas certificadas.
Validación y preservación de documentos electrónicos.
Servicios de identidad digital y custodia electrónica.
Con precios muy atractivos y un enfoque en criptoagilidad (para resistir los retos de la computación cuántica hacia las técnicas criptográficas tradicionales), EADTrust transforma el complejo marco de cumplimiento en una ventaja competitiva, ayudando a las entidades financieras a navegar el ecosistema digital con confianza.
Para más información, contacta con el equipo de EADTrust llamando al 917160555 (o al 902 365 612) y prepárate para el futuro digital
En un mundo cada vez más digitalizado, en el que los datos son el activo más valioso de las empresas, la llegada de la computación cuántica representa tanto una oportunidad revolucionaria como una amenaza inminente. Como consultor en confianza digital y fundador de EADTrust, he seguido de cerca los avances en este campo, y recientemente hemos lanzado un nuevo servicio de consultoría especializado en el análisis de riesgos cuánticos en criptografía para empresas.
Este servicio no solo evalúa las vulnerabilidades actuales, sino que también proporciona un «roadmap» claro para transitar hacia la adopción de una criptografía post-cuántica (PQC), asegurando la resiliencia de los sistemas en un futuro próximo.
Este tipo de iniciativas de consultoría y evaluación, sin duda será impulsado de forma similar por las grandes consultoras, pero una de las diferencias es que EADTrust puede proporcionar «bloque constructivos» para incorporar a las infraestructuras de las empresas, por su rol de Prestador Cualificado de Servicios de Confianza.
Ya el año 2025 ha sido bautizado como el «año de la cuántica»: la Asamblea General de las Naciones Unidas lo proclamó oficialmente como el Año Internacional de la Ciencia y la Tecnología Cuánticas (IYQ, por sus siglas en inglés). Han sido 100 años desde la publicación del artículo con el que Werner Heisenberg alumbró una nueva mecánica para el mundo atómico. Fue el primero de una serie de trabajos, escritos por él y otros autores —entre los que se encuentran, por ejemplo, Erwin Schrödinger, Max Born, Pascual Jordan, Paul A. Dirac y Wolfgang Pauli— con los que erigieron de forma coral la mecánica cuántica.
Esta «celebración» reconoce que la ciencia cuántica ha ido influyendo en nuestra vida cotidiana de formas invisibles pero esenciales. Dio lugar a los semiconductores y a los láseres, por citar unos pocos de los cambios que han impulsado.
En el terreno de la Computación Cuántica, 2025 significó un marco de anuncios relevantes: Procesadores cuánticos más estables, con miles de qubits coherentes, permitieron simulaciones que superan en algunas tareas a los superordenadores clásicos, corrigiendo errores (ruido cuántico) que antes limitaban su utilidad.
Empresas como IBM, Google y startups especializadas demostraron aplicaciones reales en optimización logística. Eventos globales, conferencias y campañas de divulgación, como las organizadas por la UNESCO, destacaron el potencial de la cuántica para abordar desafíos como la ciberseguridad, convirtiendo 2025 en un catalizador para la «segunda revolución cuántica».
Sin embargo, este entusiasmo no oculta algunas sombras: la posibilidad de descifrar claves utilizadas en la criptografía actual.
Desde ese punto de vista, la computación cuántica no es una amenaza hipotética; es una realidad en evolución que pone en jaque los sistemas criptográficos que protegen datos sensibles en empresas de todo el mundo. Los algoritmos tradicionales, como RSA y ECC (Elliptic Curve Cryptography), se basan en problemas matemáticos difíciles para computadoras clásicas, como factorizar (encontrar los números primos que multiplicados dan la cifra) números grandes. Sin embargo, el algoritmo de Shor, propuesto en 1994, permite a una computadora cuántica resolver estos problemas mucho más rápido, rompiendo el cifrado en dias en lugar de millones de años.
Entre los riesgos más críticos destacan:
«Harvest Now, Decrypt Later» (Recolecta ahora, descifra después): Sistemas de inteligencia militar de otros países o ciberdelincuentes ya están recolectando datos cifrados hoy, esperando el momento en que las computadoras cuánticas escalables estén disponibles para descifrarlos. Según estimaciones de diferentes analistas del mercado, la criptografía asimétrica podría volverse vulnerable hacia 2030 y poco útil para 2035. Esto afecta a datos que requieren disponibilidad a largo plazo, como registros médicos, financieros o secretos industriales.
Vulnerabilidades en Infraestructuras Críticas: Sectores como banca, salud y cloud computing dependen de protocolos como TLS, para el cifrado de las comunicaciones que dejarían de ser útiles si nos se cambia el tipo de criptografía. Estimaciones recientes señalan que a lo sumo el 3% de las organizaciones ha implementado medidas de resistencia cuántica, dejando expuestas a la mayoría. En España, normativas como el Esquema Nacional de Seguridad (ENS) y el RGPD exigen protección de datos, pero muchas empresas subestiman el riesgo, con solo el 4% de líderes viéndolo como inminente en los próximos tres años.
Impacto Económico y Regulatorio: La transición tardía podría suponer ingentes pérdidas económicas por las nuevas brechas de seguridad.
En el lado positivo, ya existen estándares como los definidos por el NIST (National Institute of Standards and Technology) de Estados Unidos (con amplio consenso internacional) que describen en detalle los algoritmos PQC como CRYSTALS-Kyber y CRYSTALS-Dilithium, Sphincs+ y Falcon urgiendo a las empresas a adoptarlos para cumplir con regulaciones futuras.
Recientes avances en computación cuántica, como qubits más estables, aceleraron las expectativas de evolución del hardware haciendo imperativa una acción inmediata.
Metodología de EADTrust
En EADTrust, nuestra consultoría de análisis de riesgo cuántico se diseña para ser práctica y escalable, alineada con normativas europeas y españolas como el ENS, ENI y RGPD.
Se estructura en fases que transforman la criptografía desde un «enigma técnico» a un activo estratégico.
Evaluación Inicial y Descubrimiento Criptográfico: Comenzamos con un diagnóstico exhaustivo del ecosistema digital de la empresa. Usando herramientas avanzadas, identificamos todos los activos criptográficos (claves, certificados, protocolos) en sistemas, clouds y aplicaciones. Esto incluye la creación de un Cryptographic Bill of Materials (CBOM), un inventario detallado que mapea vulnerabilidades cuánticas, priorizando datos sensibles por su valor y duración de protección necesaria.
Análisis de Riesgos y Viabilidad: Evaluamos el impacto potencial mediante escenarios como «harvest now, decrypt later». Realizamos pruebas de viabilidad con algoritmos PQC estandarizados por NIST, cuantificando riesgos basados en activos (e.g., ¿qué pasaría si se rompe el cifrado de una base de datos de clientes?). Incorporamos principios de «cripto-agilidad» para permitir actualizaciones sin interrupciones operativas.
Roadmap de Transformación e Implementación: Desarrollamos un plan personalizado para la transición a PQC. Esto incluye integración con marcos como Zero Trust, donde se aplican verificaciones continuas y mínimo privilegio. Recomendamos soluciones híbridas (clásica + post-cuántica) para una migración gradual, junto con formación para equipos. Finalmente, ofrecemos auditorías de cumplimiento para asegurar alineación con regulaciones.
Monitorización Continus y Adaptación: La consultoría no termina en la implementación; incluimos revisiones periódicas para adaptarse a evoluciones en amenazas cuánticas, garantizando resiliencia a largo plazo.
Esta metodología no solo mitiga riesgos, sino que posiciona a las empresas como líderes en innovación, convirtiendo la amenaza cuántica en una oportunidad.
Nuestra propuesta añade un énfasis en el cumplimiento de la normativa europea y española, facilitando una comprensión accesible del mundo cuántico para decisores no técnicos.
2025 nos recordó que la fisca cuántica no es ciencia ficción, sino una fuerza transformadora también en el campo de la computación que exige preparación inmediata. Si tu empresa maneja datos críticos, contacta con EADTrust para un análisis inicial. La transición a la post-cuántica no es opcional; es esencial para sobrevivir en la era digital que se avecina. Llámanos al +34 91 716 0555 (desde España, también al 902 365 612).
EADTrust, conocida formalmente como European Agency of Digital Trust S.L., es un Prestador Cualificado de Servicios de Confianza Electrónica regulado por el Reglamento (UE) Nº 910/2014 (eIDAS). La empresa se posiciona como líder en proporcionar infraestructura legal digital para procesos de innovación y transformación digital, ofreciendo soluciones que garantizan seguridad jurídica, cumplimiento normativo y confianza en transacciones electrónicas. Muy interesante para Startups y Scaleups de entornos Fintech, Regtech, Insurtech y Legatech.
Desde su integración en el Grupo Garrigues —que adquirió una participación mayoritaria del 51% en 2023—, EADTrust ha fortalecido su capacidad innovadora mediante la colaboración estrecha con g-digital, la división de negocios digitales de Garrigues. Esta alianza estratégica combina la «expertise» legal de uno de los despachos de abogados más prestigiosos de Europa con la especialización técnica de EADTrust en servicios de confianza cualificados, impulsando el desarrollo conjunto de soluciones tecnolegales avanzadas.
Con más de 15 años de experiencia, EADTrust combina conocimiento técnico y jurídico para resolver todo tipo de desafíos de digitalización. Como entidad supervisada por el Ministerio de Asuntos Económicos y Transformación Digital de España (y habilitada para la videoidentificación en la expedición de certificados cualificados), está incluida en la lista de confianza de la Unión Europea, actuando en todo el territorio comunitario.
Su integración con Garrigues a través de g-digital permite ofrecer productos innovadores como GoCertius y plataformas reguladas (rPaaS), diseñadas por g-digital y operadas por EADTrust, que aseguran certeza legal preventiva en un entorno regulatorio en evolución.
La empresa preside la Comisión de Blockchain de AMETIC, participa en Global LegalTech Hub (GLTH), y en LNET (entidad procedente de LACNet y LACChain) y colabora con socios estratégicos como CANON y Procesia para desarrollar productos a la vanguardia de la identidad digital europea, de los servicios de confianza digital y de los procesos de transformación digital.
Su lema refleja su esencia: proporcionar certeza legal preventiva en un entorno regulatorio en constante cambio. EADTrust destaca por soluciones fáciles de implementar, precios transparentes y un equipo experto liderado por especialistas reconocidos en servicios de confianza regulados.
Servicios Cualificados bajo eIDAS
EADTrust ofrece un amplio rango de servicios cualificados conforme al Reglamento eIDAS, diseñados para proporcionar el más alto nivel de confianza digital y cobertura regulatoria, con robustez criptográfica superior al restos de prestadores: RSA de 4096 y 8192 bits y ECC de 256 y 384 bits, lo que le lleva a ostentar la primera posición en «criptoagilidad«. Servicios como:
Certificados Digitales Cualificados — Emisión de certificados para personas físicas y jurídicas, incluyendo certificados PSD2 (QWAC y QSeal) para servicios de pago en entornos de banca abierta. Estos permiten identificación segura y firmas y sellos electrónicos cualificados
Sellos de Tiempo Cualificados — Garantizan la fecha y hora exacta de documentos electrónicos.
Notificaciones Electrónicas Certificadas — Servicios de entrega registrada electrónica con valor probatorio, con nombre propio Noticeman.
Además, integra estos servicios en plataformas como EAD Factory, que actúa como un Prestador de Servicios de Confianza Cualificado (QTSP) «como servicio» integrable en organizaciones, permitiendo un «QTSP in-house» con integración segura y escalable.
Cabe destacar productos como EAD Enterprise Suite,GoCertiuso Innovoto(solución de voto electrónico y participación a distancia de accionistas de sociedades de capital, socios de asociaciones, sindicatos, sociedades deportivas y Colegios Profesionales), que facilitan el cumplimiento y la seguridad en procesos empresariales.
Servicios Profesionales de Consultoría y Verificación de cumplimiento (auditoría técnica)
Más allá de los servicios cualificados directos, EADTrust ofrece servicios profesionales especializados para ayudar a empresas a alinearse con normativas y estándares internacionales:
Asesoría en Confianza Digital → Ayuda a prestadores de servicios electrónicos a cumplir con eIDAS y estándares como los de ETSI o WebTrust (CABForum), optimizando sistemas de gestión para obtener reconocimiento como Prestador Cualificado. También ayuda a empresas de sectores regulados, como la banca a cumplir la normativa EIDAS2, entre otras. Con la adopción de certificados de web de corta duración, asesora en la implantación del protocolo ACME.
Cumplimiento Regulatorio → Diagnóstico, asesoría y consultoría para alineación con el Esquema Nacional de Seguridad (ENS), Esquema Nacional de Interoperabilidad (ENI) y Esquema Judicial de Interoperabilidad y Seguridad (EJIS) en España.
Verificación de Firmas Electrónicas → Auditoría de soluciones de firma electrónica avanzada, firma manuscrita digitalizada avanzada (FMDA) y firma biométrica por voz, asegurando calidad, seguridad y validez legal.
Digitalización Certificada → Verificación de software de digitalización de documentos y facturas, garantizando cumplimiento normativo y confianza para usuarios, en cuatro contextos normativos: AEAT, ENI/NTI, EJIS/CTEAJE y EIDAS2 (Digitalización Cualificada).
Cumplimiento Técnico y legal en normativas conexas de Ciberseguridad como RGPD (GDPR en inglés) → Consultoría especializada en protección de datos personales, aprovechando la experiencia como prestador de servicios de confianza. También se incluye NIS2 (Network and Information Systems 2), DORA (Digital Operational Resilience Act), CRA (Cyber Resilience Act), CER (Critical Entities Resilience) y ENS (Esquema Nacional de Seguridad). Y otras de ámbito europeo como EU’s AI Act, DMA (Digital Markets Act), o DSA (Digital Services Act). Una de las primeras entidades en ofrecer servicios de responsable de la seguridad de la información como persona u órgano designado por las entidades encargado de las funciones de punto de contacto y de coordinación técnica que requerirá la futura Ley de Coordinación y Gobernanza de la Ciberseguridad.
Votación Electrónica y Servicios Corporativos (servicios electrónicos societarios)→ Plataformas para votación electrónica en juntas de accionistas, foros electrónicos de accionistas y supervisión autenticada de publicaciones web (verificación de publicación sin interrupción, o «publicación fehaciente»), con emisión de actas certificadas que incluyen listas de asistentes, quórum y resultados. También se auditan plataformas de participación a distancia, se graban testimonios electrónicos del video de la junta con certificación del momento en que tuvo lugar y se prestan servicios complementarios para reforzar la seguridad jurídica incluso en Juntas celebras exclusivamente de forma telemática.
Estos servicios se adaptan a las necesidades del cliente, con metodologías versátiles que evidencian la calidad ante terceros y refuerzan la confianza regulatoria.
Compromiso con la Excelencia
Los servicios de EADTrust no solo cumplen con requisitos legales, sino que van más allá al proporcionar certeza y seguridad jurídica preventiva. Al elegir EADTrust, las organizaciones obtienen:
Reducción de incertidumbre en el uso de tecnologías digitales.
Mayor autonomía en gestión de procesos electrónicos.
Responsabilidad asumida por EADTrust en aspectos críticos, como actas certificadas en votaciones, o publicaciones de documentos en página web durante el tiempo prescrito por la ley.
Integración fluida en sistemas existentes mediante herramientas como Notice Manager para notificaciones y el uso de «Hashes encadenados» para garantizar la integridad de colecciones de datos..
La empresa cuenta con certificaciones ISO 9001, ISO 20000-1, ISO 27001, ENS alto y EIDAS demostrando su compromiso con la calidad, la seguridad de la información y la gestión de servicios TI.
Como parte de un ecosistema innovador, EADTrust colabora en el desarrollo de soluciones blockchain (LNET) y participa activamente en foros sobre eIDAS 2, posicionándose a la vanguardia de la identidad digital europea.
EADTrust se consolida como la entidad de expertos en confianza digital, ofreciendo una combinación única de servicios cualificados eIDAS y consultoría profesional que impulsa la transformación digital segura y con certeza de cumplimiento. Ya sea emitiendo certificados cualificados, verificando soluciones de firma o asesorando en cumplimiento normativo, EADTrust proporciona las herramientas necesarias para operar con plena confianza en un mundo digital.
Para más información sobre cómo EADTrust puede apoyar sus procesos de innovación, visite www.eadtrust.eu o contacte con su equipo de expertos en el 91 716 0555.
La plataforma de lanzamiento para la adopción a gran escala de las carteras Carteras IDUE
EUDI Wallets Launchpad 2025 es el primer evento de pruebas de varios días organizado por la Comisión Europea y está teniendo lugar los días 10, 11 y 12 de diciembre de 2025 en Bruselas, Bélgica.
Se trata de un evento específico diseñado para establecer la Comunidad de Implementadores de Carteras IDUE y acelerar la adopción de las carteras y sus casos de uso en todos los Estados miembros de la UE.
Alinear los equipos técnicos, los objetivos políticos y la experiencia de los usuarios en toda Europa requerirá coordinación y confianza. El «Launchpad «es donde se comienza a construir esa confianza, probando, aprendiendo y fijando juntos los próximos pasos.
Qué es y objetivos
El Launchpad 2025 es un encuentro presencial que está teniendo lugar los días 10‑12 de diciembre de 2025 en el espacio SPARKS (Bruselas), dirigido a implementadores de wallets, Estados miembros, proveedores de servicios, expertos UX y comunicación. Su objetivo central es consolidar la comunidad de implementadores EUDI y verificar en la práctica la interoperabilidad, la conformidad con las especificaciones y la preparación para el uso transfronterizo de los monederos digitales europeos.
Formato y actividades principales
El programa combina pruebas técnicas rotatorias entre wallets, emisores y verificadores, con dos modos de test diseñados para validar corrección e interoperabilidad de las implementaciones. En paralelo se desarrollan charlas técnicas sobre estándares núcleo, pseudónimos, pruebas de conocimiento cero, APIs de credenciales digitales y librerías de referencia, junto con demos en vivo de casos de uso y wallets nacionales.
Participantes y ecosistema
Participan equipos nacionales de implementación (product owners, arquitectos, desarrolladores y testers), proveedores de PID, QEAA y Pub‑EAA, así como administraciones públicas, grandes pilotos y proveedores tecnológicos del ecosistema EUDI. El evento reúne a representantes de numerosos Estados miembros (por ejemplo Alemania, Italia, Bélgica, Francia, España, Grecia, Polonia o Portugal) que presentan sus aproximaciones nacionales mediante demostraciones públicas.
Resultados esperados e importancia
Durante los tres días se realizan centenares de pruebas entre decenas de testers de múltiples países, acompañadas de talleres específicos de experiencia de usuario y de comunicación para preparar el despliegue masivo en 2026. El Launchpad se concibe como punto de partida para una comunidad EUDI más cohesionada, en la que la confianza se construye probando conjuntamente, compartiendo lecciones aprendidas y alineando equipos técnicos, objetivos políticos y diseño centrado en el usuario.
España
La intervención de Angel MartínBautista, de la Agencia Estatal de Administración Digital tuvo lugar el jueves 11 de diciembre de 2025. Estuvo acompañado por Sancho Canela, de NTT-Data.
Ángel Martín Bautista es Subdirector Adjunto en la Agencia Estatal de Administración Digital. En relación con la tecnología blockchain, ha representado a España en el European Blockchain Partnership (EBP) para crear la red EBSI desde 2019, y en la actualidad representa a España en el consorcio EUROPEUM. Representante español en el grupo de cooperación de identidad digital europea. Se encarga de la parte estratégica, contexto normativo y visión general.
Sancho Canela es Jefe del equipo de desarrollo (head of the developers team). Lidera la demo técnica y explica los aspectos prácticos de implementación.
Actualización. Se publicó el video de su intervencón el 16 de febrero de 2026.
Estructura de la ponencia
Introducción y contexto (inicio ≈ 0:00–7:00) Ángel Martín presenta España como un país descentralizado (17 comunidades autónomas + entidades locales), con 49 millones de habitantes. Explica la estrategia España Digital y cómo la Cartera Digital se alinea con eIDAS2 (Reglamento (UE) 2024/1183). Destaca infraestructuras existentes que facilitan la adopción:
DNI electrónico (tarjeta física + app, con alto nivel de aseguramiento — high assurance — notificado en eIDAS).
Cl@ve (puerta de acceso unificada: >24 millones de usuarios, >13.000 entidades, >1.100 millones de autenticaciones al año).
Carpeta Ciudadana (espacio personal para documentos oficiales). Estos elementos dan cobertura universal, certeza legal y seguridad, y sirven de base para proporcinar declaraciones de atributos a la wallet de identidad.
Implementación de la Cartera Digital Española (≈4:00–7:00)
Construida desde cero siguiendo el ARF (Architectural Reference Framework) y los Implementing Acts de eIDAS2.
Reutiliza el DNI como fuente principal de identidad de alto nivel.
Enfoque inicial: Verificación de edad preservando privacidad (para proteger menores, revelando solo lo necesario: sí/no >18).
Interoperable con la solución europea de verificación de edad de la Comisión.
Emisión de credenciales: remota (NFC + PIN del DNI) o presencial (>1.000 oficinas en España).
Demostración técnica en vivo (≈7:00–21:00) — a cargo de Sancho Canela Muestra una versión operativa pero no productiva (con VPN para pruebas internas):
App desarrollada en Flutter (multiplataforma) con componentes nativos y bibliotecas de referencia europea.
Activación: Aceptar términos (en español; planean multilingüe), biometría, verificación de autenticidad de la app (attestation de Apple/Google), email único (revocable), reutilizar teléfono.
Obtención del PID (Person Identification Data): Vía NFC/PIN del DNI o presencial. Verifica firma, emisor (Fábrica Nacional de Moneda y Timbre — FNMT, QTSP relevante en España).
Declaración de atributos de mayoría de edad: Basada en fecha de nacimiento del PID. Emite batch de 30 credenciales de un solo (claves diferentes) para evitar trazabilidad.
Presentación: Protocolo OpenID for Verifiable Presentations (OVP) v1.0. Escanea QR, consentimiento explícito, verifica en sitio de prueba de la Comisión (confirma emisor, validez y edad >18).
Seguridad: Trust lists, firmas, consentimiento siempre requerido. UX intuitiva con filtros, historia y opciones de idioma.
Conclusiones y próximos pasos (≈21:00–fin)
España apuesta por un ecosistema seguro, simple y centrado en el usuario, reutilizando lo existente para una transición eficiente y sostenible.
Alineación total con eIDAS2 para interoperabilidad transfronteriza.
Lanzamiento previsto: Durante 2026
Obligación para el sector privado (relying parties) a finales de 2027.
Casos de uso previstos: Títulos universitarios, licencias de conducir, tarjeta sanitaria europea, prueba de residencia, ausencia de delitos sexuales, etc.
El entorno Cl@ve se integrará progresivamente con la wallet.
Este memorando explicativo acompaña la propuesta de Reglamento sobre la creación de las carteras europeas de empresas. El instrumento legal tiene como objetivo proporcionar un marco digital armonizado, de confianza y fácil de usar para que los operadores económicos y los organismos públicos puedan identificar, autenticar e intercambiar datos de forma segura con pleno efecto legal a través de las fronteras de la UE.
Los recientes desarrollos tecnológicos y sociales requieren un nuevo enfoque armonizado y digital para las interacciones entre empresas y administraciones públicas (B2G) y de empresa a empresa (B2B). La IA, la computación en la nube y la identidad digital segura avanzan a un ritmo trepidante, afectando a la forma de hacer negocios en Europa: los procesos administrativos han pasado de estar basados en documentos a estar basados en datos en contextos de automatización. Por ejemplo, el 91% de las scaleups (empresas de crecimiento rápido) consideran que las tecnologías digitales son fundamentales para su crecimiento. Estos desarrollos, combinados con las prioridades estratégicas de la UE en cuanto a competitividad, soberanía digital, simplificación y servicios públicos digitales por defecto, crean la necesidad de soluciones ágiles que puedan apoyar transacciones comerciales transfronterizas de confianza a gran escala.
Los informes de Draghi y Letta han advertido que la persistencia de las cargas administrativas y la fragmentación del Mercado Único debilitan significativamente la competitividad de Europa, desincentivan a las empresas de la UE a escalar y aumentan la dependencia de proveedores de alto riesgo. En este contexto, la infraestructura digital disponible para los organismos públicos y los operadores económicos está fragmentada y las obligaciones de cumplimiento y de reporte son complejas: la mayoría de los interesados consultados destacaron la falta de interoperabilidad transfronteriza como una fuente importante de burocracia. En toda la Unión, las autoridades públicas siguen operando en entornos digitales heterogéneos que limitan la plena realización de los servicios públicos transfronterizos: el eGovernment Benchmark 2024 muestra que, mientras que el 88 % de los servicios públicos están disponibles en línea para los usuarios nacionales, los usuarios transfronterizos solo pueden acceder al 56 % de esos servicios de forma digital y las barreras de interoperabilidad siguen siendo los principales obstáculos para un gobierno electrónico eficiente. Para los operadores económicos activos en varios Estados miembros, garantizar transacciones fluidas, como las de índole fiscal, la obtención de licencias o las participación e licitaciones, es clave para seguir siendo competitivos.
Las consecuencias prácticas del «status quo» son inasumibles. Por ejemplo, los participantes en el estudio informaron que necesitaban dos empleados a tiempo completo exclusivamente para gestionar obligaciones de reporte de sostenibilidad, o incurriendo en costes superiores a 100.000 € para contratar consultorías especializadas en esta área. Además, los operadores económicos estiman que alrededor del 20% del tiempo del personal se absorbe en actividades relacionadas con el cumplimiento normativo. En contextos transfronterizos, esto suele requerir una verificación manual o en papel que retrasa las transacciones y multiplica los costes administrativos. Estos costes son desproporcionados, especialmente para las pymes, para las que las obligaciones de cumplimiento desvían recursos significativos de actividades estratégicas de alto valor: el Banco Europeo de Inversiones (European Investment Bank) estima que el cumplimiento regulatorio consume el 1,8% de la facturación de las empresas en general y el 2,5% de las empresas más pequeñas. Los procedimientos de «Know-Your-Customer» solo en el sector financiero pueden durar entre 30 y 50 días por cliente corporativo, y cada expediente requiere decenas de horas de procesamiento manual.
Para los organismos del sector público, las barreras estructurales impiden la transición completa hacia servicios modernos, digitales y accesibles, así como la creación de un espacio administrativo comunitario fluidos. Aunque la digitalización de los servicios públicos muestra signos de mayor madurez, al ritmo actual no alcanzará el objetivo establecido en el Informe europeo «Digital Decade Report» de tener el 100% de los servicios públicos online para 2030. Este escenario limita la escalabilidad, aumenta los costes administrativos y ralentiza la prestación de servicios. Digitalizar las interacciones implica procedimientos administrativos más eficientes, mejor prestación de servicios y oportunidades para la recualificación de recursos públicos hacia tareas más estratégicas. La evidencia muestra que la digitalización en el sector público puede hacer que las administraciones sean más efectivas, ya sea ampliando los servicios sin presupuestos adicionales o reasignando recursos humanos hacia actividades de mayor valor añadido.
La ausencia de un canal estandarizado y confiable para las interacciones entre empresas y administraciones públicas (B2G) y de empresa a empresa (B2B) que permita intercambiar información (atributos en términos de la normativa eIDAS2) socava la trazabilidad y la seguridad. Las credenciales (otro término para atributos) suelen compartirse por correo electrónico o portales propietarios, que ofrecen garantías limitadas de autenticidad, aumentando la exposición a prácticas fraudulentas, como las estafas de falsas facturas, que ya generan más de 26 millones de euros anuales en beneficios ilícitos, según Europol y EUIPO. Por tanto, aunque la privacidad y la divulgación mínima de datos personales son esenciales para las personas físicas, las empresas requieren transparencia y trazabilidad de los intercambios para apoyar la gestión de riesgos, el cumplimiento y la prevención del fraude. La UE ya ha alcanzado un hito importante en su agenda de simplificación con el Marco Europeo de Identidad Digital, un sistema de identificación digital de última generación, respetuoso con la privacidad e interoperable que permite a ciudadanos y entidades jurídicas compartir datos de forma segura a través de las fronteras. La propuesta de las Carteras Europeas de Empresas pretende complementar las Carteras de Identidad DigitalEuropeas introduciendo una herramienta digital orientada al mercado, diseñada para las necesidades específicas de las transacciones comerciales.
El actual impulso de simplificación y digitalización está firmemente asumido en la agenda política de la Unión Europea. La Agenda Estratégica 2024–2029 de la UE, las conclusiones del Consejo Europeo y la Brújula de la Competitividad de la Comisión subrayan la urgencia de reducir las cargas administrativas, con objetivos explícitos de una reducción del 25% en la carga total y del 35% para las pymes. Los informes de Draghi y Letta identifican la fragmentación y la complejidad administrativa como grandes obstáculos para la competitividad de Europa, mientras que el Estado de la Unión 2025 de la presidenta von der Leyen dejó claro que las barreras internas siguen obstaculizando más a los operadores económicos que las barreras externas. En marzo y junio de 2025, el Consejo Europeo reafirmó la necesidad de la «simplicidad por diseño» y, a principios de 2025, la Comisión identificó explícitamente el establecimiento de las Carteras Europeas de Empresas como piedra angular de una Europa más sencilla y rápida.
En este contexto económico y político, la propuesta de las Carteras Empresariales Europeas cumple con la demanda de simplificación al alcanzar los siguientes objetivos específicos:
Reducir las cargas administrativas, agilizar los procesos de cumplimiento y mejorar la prestación de servicios
Garantizar que los operadores económicos y los organismos públicos tengan acceso a una identificación digital segura y de confianza transfronteriza, satisfaciendo las necesidades y demandas de los usuarios
• Coherencia con las disposiciones políticas existentes en el ámbito de política
La propuesta de Carteras Europeas de Empresas se basa y amplía el ecosistema establecido bajo el Marco de Identidad Digital Europeo (IDUE) – Reglamento (UE) nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior, tal como fue modificado por el Reglamento (UE) 2024/1183. Las «European Business Wallets» pretenden complementar el Marco IDUE ofreciendo funcionalidades adaptadas a las necesidades de los organismos públicos y de los operadores económicos, incluyendo la gestión digital de los poderes de representación y de los mandatos de representación, y un canal seguro para el intercambio de documentos oficiales y declaraciones de atributos apoyado por un directorio común. Se garantizará la interoperabilidad total con las Carteras de Identidad Digital de la Unión Europea (Carteras IDUE).
La propuesta es complementaria al acervo de derecho de sociedades de la UE y utiliza el Identificador Único Europeo existente que todas las sociedades de responsabilidad limitada y sociedades comerciales (así como las futuras sociedades del «régimen 28») tienen conforme a la legislación societaria de la UE. Además, la propuesta es compatible con el Sistema de Interconexión de Registros Mercantiles (Business Registers Interconnection System – BRIS), desarrollado de acuerdo con la Directiva de Derecho Mercantil, codificada (UE) 2017/1132. Por último, la propuesta también está en línea con el Sistema de Interconexión de Registros de Titulares Beneficiarios (Beneficial ownership registers interconnection system – BORIS), desarrollado de acuerdo con la Directiva contra el Blanqueo de Capitales (UE) 2015/849. Estas interconexiones utilizan el Identificador Único Europeo (EUID) para identificar de forma única empresas y otras entidades jurídicas, así como los vinculaciones legales en la UE, pero no cubren a todos los operadores económicos ni organismos públicos, como autónomos, cooperativas o instituciones públicas. Las «European Business Wallets» amplían este ecosistema ofreciendo un medio fiable e interoperable para todas estas entidades.
• Coherencia con otras políticas de la UniónEuropea
La nueva propuesta regulatoria de Carteras Europeas de Empresas está integrada en la agenda política más amplia de la Unión Europea para impulsar la competitividad, reducir las cargas administrativas y lograr un Mercado Único integrado digitalmente. Contribuye directamente a los objetivos establecidos en la Estrategia del Mercado Único de la Comisión, que aboga por una digitalización más eficaz en la UE para permitir el funcionamiento óptimo del Mercado Único, así como a la Agenda Estratégica de la UE 2024–2029, la Brújula de la Competitividad, la Estrategia de las PYMES para una Europa sostenible y digital, y el Programa de Política de la Década Digital. Todo ello pone de manifiesto la necesidad de simplificación, interoperabilidad y servicios públicos digitales por defecto. La propuesta de «European Business Wallets» cumple con estas prioridades estratégicas al ofrecer un instrumento concreto para hacer que el cumplimiento y las interacciones transfronterizas sean más simples, rápidas y fiables para los operadores económicos y los organismos públicos.
Además, la propuesta garantiza la complementariedad con las principales iniciativas legislativas de la siguiente manera:
La Pasarela Digital Única (ODS) y su Sistema Técnico Único (OOTS) implementan el principio de «solo una vez», exigiendo a las autoridades reutilizar datos ya poseídos en otro Estado miembro sin que las empresas presenten repetidamente. La propuesta de Carteras Empresariales Europeos complementará los ODS y la OOTS proporcionando identificación y autenticación fiables de operadores económicos y administraciones públicas, así como una capa de intercambio segura que permitirá a empresas y organismos públicos compartir y reutilizar datos verificados y atestados oficiales sin problemas a través de fronteras.
El Pasaporte de Producto Digital (DPP), central en la agenda de economía circular de la UE, depende del acceso fiable a los datos de conformidad y sostenibilidad. La propuesta de Business Wallets puede demostrar la identidad legal y cualquier derecho de acceso concedido, permitir la firma y sellación de declaraciones de conformidad, y garantizar que los datos del producto se intercambien de forma segura y verificable a través de las fronteras.
La Ley de Europa Interoperable (AIE) establece el marco para la interoperabilidad transfronteriza de los servicios públicos. La propuesta de Business Wallets complementará esto sirviendo como una infraestructura de confianza que las administraciones podrán integrar en la prestación digital de servicios por defecto, reforzando la eliminación de barreras técnicas y organizativas.
La próxima propuesta sobre el marco legal corporativo del Régimen del 28º proporcionará procedimientos sencillos, flexibles y rápidos para que las empresas puedan crear, operar y atraer inversión en la UE mediante soluciones digitales. Garantizará que herramientas digitales como el certificado de empresa de la UE y el Poder Notarial digital de la UE puedan utilizarse en los carteras empresariales europeos.
El paquete del IVA en la Era Digital (ViDA) moderniza la declaración del IVA, introduce la facturación electrónica obligatoria a través de las fronteras y refuerza la prevención del fraude. La propuesta de Business Wallets permitirá el almacenamiento seguro y el intercambio verificable de atestiguaciones de IVA y datos de transacciones, apoyando así la información en tiempo real y la facturación confiable.
2. BASE LEGAL, SUBSIDIARIEDAD Y PROPORCIONALIDAD
•Base jurídica
La base legal de la propuesta es el artículo 114 del Tratado sobre el Funcionamiento de la Unión Europea (TFUE), que prevé la adopción de medidas a nivel de la UE para garantizar el correcto funcionamiento del mercado interior. La identificación segura, los servicios de confianza y el intercambio fluido de declaraciones electrónicas de atributos son esenciales para que los operadores económicos y los organismos públicos participen eficazmente en el Mercado Único.
El funcionamiento del mercado interior se basa en normas uniformes y coherentes aplicadas en todos los organismos públicos relevantes que desempeñan funciones equivalentes o prestan servicios comparables. Las instituciones, agencias, oficinas y organismos de la Unión Europea (entidades de la Unión) suelen llevar a cabo actividades similares a las de los organismos públicos nacionales y desempeñan funciones clave de supervisión y regulación. Por tanto, su implicación en el apoyo al correcto funcionamiento del Mercado Único es necesaria. Excluirlos crearía brechas regulatorias, fragmentación y aplicación desigual de las normas, socavando así el objetivo de «Business Wallet» de salvaguardar la integridad, estabilidad y resiliencia del mercado interior. Además, la simplificación sigue siendo un motor clave del compromiso de la UE con la construcción de una Unión más audaz, sencilla y rápida. Un Mercado Único competitivo y bien funcional requiere la participación activa tanto de las autoridades nacionales como de las de la UE, siendo estas últimas la que lidera con el ejemplo. En consecuencia, las entidades de la Unión deberían adoptar y utilizar la Cartera Empresarial Europea, ampliando la simplificación y eficiencia de sus interacciones con los operadores económicos.
Las disparidades actuales en la forma en que los Estados miembros identifican a los operadores económicos, verifican poderes y mandatos e intercambian datos y documentación oficiales en formato digital pueden suponer riesgos de obstáculos a las libertades fundamentales o causar distorsiones significativas de la competencia. Al proporcionar una solución armonizada para la identificación empresarial segura y el intercambio de datos, la propuesta de «European Business Wallets» pretende eliminar barreras administrativas, prevenir nuevas divergencias y garantizar que todos los operadores económicos puedan competir en igualdad de condiciones dentro de la UE.
• Subsidiariedad (para competencia no exclusiva)
Los operadores económicos y los organismos públicos de toda la Unión deberían poder contar con soluciones de identidad digital altamente seguras y fiables, incluyendo la portabilidad de las declaraciones electrónicas de atributos que puedan utilizarse en todo el Mercado Único de manera fácil de usar y eficiente. Estas necesidades no pueden ser suficientemente atendidas por los Estados miembros actuando de forma individual, ya que las soluciones nacionales siguen fragmentadas en alcance, efecto y diseño técnico.
Por tanto, es necesario actuar a nivel de la UE para garantizar que todas las autoridades públicas, tanto nacionales como europeas, reconozcan y apliquen las mismas soluciones interoperables al interactuar con los operadores económicos. Esto garantiza un entorno regulatorio coherente y evita procedimientos paralelos o sistemas incompatibles que fueran contrarios a los objetivos de simplificación y funcionamiento óptimo del mercado interior. Surgen obstáculos para la libertad de establecimiento y la libertad de prestar servicios porque las credenciales emitidas digitalmente en un Estado miembro no siempre pueden reutilizarse o confiarse en otro.
Además, se producen distorsiones de la competencia cuando los operadores se enfrentan a condiciones desiguales que dependen únicamente de su lugar de establecimiento. En los Estados miembros donde los procedimientos están completamente digitalizados, las empresas pueden registrarse para liquidar el IVA o proporcionar declaraciones de atributos en cuestión de días a bajo coste, mientras que en entornos domésticos menos digitalizados, el mismo proceso puede requerir servicios de mensajería o comprobaciones manuales prolongadas, que duran semanas y desvían al personal de actividades productivas. El Referente de Gobierno Electrónico 2024 revela diferencias sustanciales entre Estados miembros en la disponibilidad digital y usabilidad de los servicios públicos clave: la puntuación media global de los 10 mejores resultados dentro de los 27 de la UE es de 87 puntos, frente a 64 puntos para los 10 con peor desempeño, una brecha que pone de manifiesto las persistentes disparidades en la digitalización de los servicios públicos de la UE. Estas disparidades se traducen en diferentes costes de cumplimiento de la digitalización que perjudican desproporcionadamente a las pymes y microempresas, debilitando su capacidad para competir en el Mercado Único y limitando su participación en oportunidades económicas como la contratación pública.
La intervención a nivel de la UE es la forma más eficiente de restablecer un campo de juego equitativo: un marco común y armonizado garantiza que todos los operadores económicos, independientemente de su tamaño o ubicación, puedan contar con una única herramienta para interactuar con las autoridades públicas y los socios de toda la Unión. Al eliminar barreras administrativas y crear condiciones uniformes, la propuesta de «European Business Wallets» fortalece la seguridad jurídica, la confianza y la competitividad.
En cuanto al valor añadido, las carteras europeas de empresas eliminarán duplicaciones y reducirán los costes de cumplimiento, mejorarán la calidad y transparencia de los datos, y proporcionarán a los organismos públicos información más fiable, mejorando así la prestación de servicios. Para los operadores económicos, especialmente las pymes, esto significa que el tiempo y los recursos ahorrados pueden redirigirse a la innovación, el crecimiento y la expansión internacional. Al mismo tiempo, la armonización a nivel de la UE evita la dependencia de proveedores de alto riesgo, refuerza la resiliencia de las infraestructuras críticas y consolida la soberanía digital de la Unión. Más allá del mercado interior, la iniciativa también puede reforzar el papel de la Unión como referente global de infraestructuras digitales de confianza, apoyando la competitividad europea en el comercio internacional.
•Proporcionalidad
Esta iniciativa es proporcional a los objetivos buscados, ya que limita las obligaciones a lo estrictamente necesario para garantizar un marco seguro, armonizado e interoperable para las interacciones digitales entre los operadores económicos y los organismos del sector público. Las carteras empresariales europeas no prescriben un único modelo de negocio rígido ni un diseño técnico, sino que establecen un marco que combina interoperabilidad con flexibilidad, fomentando la competencia y la innovación.
Además, las obligaciones de los organismos del sector público se equilibran mediante políticas transitorias: los periodos flexibles de implementación permiten a los organismos públicos tiempo suficiente para adaptar sus sistemas administrativos y de TI y prevenir interrupciones. La propuesta no crea nuevos procedimientos administrativos que deban ser realizados por los operadores económicos ni los organismos del sector público. En cambio, proporciona un canal común y de confianza para cumplir con obligaciones que ya existen bajo la legislación de la Unión. Al ser independiente del sector, la iniciativa no aborda el contenido de las obligaciones actuales y simplemente proporciona un medio para simplificar el cumplimiento de las normas europeas y nacionales existentes, al tiempo que ayuda a superar la fragmentación y las disparidades de tratamiento en todo el Mercado Único.
Los costes de adopción y mantenimiento serán soportados por los operadores económicos y los organismos del sector público. En particular, estos se refieren a la incorporación, la formación y la adaptación de las TIC. Sin embargo, estos costes se ven compensados por las mejoras de eficiencia derivadas de procesos simplificados, la reducción de duplicaciones y una mayor seguridad jurídica. Además, los costes de formación, que constituyen los costes puntuales más sustanciales, podrían ser parcialmente apoyados por iniciativas existentes de la Unión para la transformación digital y el fortalecimiento de capacidades, lo que puede ayudar a aliviar los costes de formación y adaptación.
La propuesta también es proporcional en cuanto al impacto esperado sobre los operadores económicos. También utiliza el Identificador Único Europeo (EUID) existente, que evita costes adicionales para 18 millones de empresas. Se espera que las pymes y microempresas, que sufren la mayor carga relativa de la complejidad administrativa tanto en términos de costes como de tiempo de personal, se beneficien más de la simplificación y las mejoras de eficiencia derivadas del uso de las carteras empresariales europeas. Esto es totalmente coherente con las prioridades políticas de la UE, incluyendo la Estrategia de Nuevas empresas (Startus) y empresas de alto crecimiento (Scaleups) de la UE, el próximo régimen número 28 y las recomendaciones del Informe Draghi, que enfatizan la necesidad de reducir la burocracia y las barreras administrativas como requisito previo para la competitividad y el crecimiento de las pymes.
Cabe destacar que la propuesta no impone ninguna obligación a los operadores económicos. Exige que los organismos públicos habiliten el uso de las Carteras Empresariales Europeas para funcionalidades específicas, asegurando que tanto los operadores económicos como las pequeñas y medianas empresas tengan la opción de adoptar las Carteras Empresariales y beneficiarse de procedimientos simplificados. Este enfoque se alinea con el principio de “Think Small First” («Pensar en pequeño primero») al evitar presiones regulatorias innecesarias sobre las pymes. Los autónomos también pueden confiar en sus European Digital Identity Wallets EUDI Wallets o Carteras IDUE) para acceder a los servicios de confianza que ofrecen los European Business Wallets, incluyendo el canal de comunicación seguro o las firmas electrónicas, sin necesidad de adquirir un Business Wallet completo. Esto garantiza un trato proporcionado a los operadores más pequeños al evitar la imposición de una carga excesiva.
Por último, la iniciativa también es proporcional en su diseño regulatorio, ya que se basa en la supervisión ex post por parte de los órganos de supervisión especificados y en un procedimiento de notificación en lugar de la autorización previa. Este enfoque garantiza una supervisión y rendición de cuentas efectivas de los proveedores sin introducir retrasos administrativos o costes innecesarios, manteniendo al tiempo un alto nivel de confianza y seguridad.
En conjunto, estos elementos demuestran que la propuesta respeta el principio de proporcionalidad. Al combinar un marco común claro con flexibilidad para la innovación, cumple de la manera más eficiente para responder a las necesidades urgentes tanto de los operadores económicos como de los organismos del sector público.
• Elección del instrumento
La elección de un Reglamento Europeo como instrumento legal se justifica por la necesidad de garantizar un marco uniforme de aplicación para la identificación segura, autenticación e intercambio de declaraciones de tributos por parte de los operadores económicos y organismos públicos en todo el Mercado Único. Solo las normas directamente aplicables pueden garantizar que las carteras empresariales europeas funcionen sin problemas en todo el Mercado Único y que sus efectos legales sean reconocidos y aplicados por igual en todos los Estados miembros, lo cual es esencial para salvaguardar las libertades fundamentales de establecimiento y de prestación de servicios, actualmente debilitadas por soluciones nacionales divergentes y procedimientos fragmentados.
La aplicabilidad directa de un Reglamento Europeo, de acuerdo con el artículo 288 TFUE, evitará una mayor fragmentación legal y garantizará que los operadores económicos y los organismos públicos puedan confiar en un instrumento común con la misma seguridad jurídica en toda la Unión.
Además, para garantizar la aplicación coherente de todos los instrumentos relacionados y teniendo en cuenta que el Marco EUDI (EIDAS + EIDAS2) está establecido por un Reglamento, la presente propuesta también debe adoptar la misma forma jurídica.
3. RESULTADOS DE EVALUACIONES EX-POST, CONSULTAS CON PARTES INTERESADAS Y EVALUACIONES DE IMPACTO
• Consultas con las partes interesadas
para la elaboración de la propuesta regulatoria se realizaron consultas específicas para las carteras empresariales europeas, reflejando su enfoque particular en las interacciones B2G y B2B. Una convocatoria de pruebas se celebró entre mayo y junio de 2025 y recibió casi cien contribuciones de empresas, asociaciones empresariales, registros, autoridades públicas y ciudadanos de 17 Estados miembros y varios terceros países. La Comisión también realizó encuestas, entrevistas en profundidad y una serie de talleres dedicados con Estados miembros, registros, pymes, representantes de la industria y proveedores de servicios de confianza. Los comentarios se complementaron con aportaciones de conferencias y diálogos «ad hoc» con las partes interesadas a lo largo de 2025.
La estrategia de consulta se centró en cuestiones específicas relevantes para los operadores económicos y organismos del sector público, incluyendo requisitos operativos, integraciones técnicas, optimizaciones de flujos de trabajo e integración de obligaciones de informe, adaptadas para captar las realidades técnicas y prácticas a las que se enfrentan los usuarios profesionales.
Los interesados destacaron que las herramientas y canales digitales existentes para las actividades administrativas están muy fragmentados, especialmente en los intercambios transfronterizos, lo que conduce a envíos repetitivos de datos y cargas administrativas. Varias actividades administrativas fueron descritas como excesivamente burocráticas, especialmente aquellas que implicaban el intercambio de documentos, el cumplimiento y la verificación entre Estados miembros. Estas actividades suelen ser lentas, repetitivas y propensas a errores humanos.
Los encuestados anticiparon que las carteras europeas de empresas podrían reducir significativamente el coste y la complejidad de las tareas administrativas. Los beneficios citados incluyeron servicios más rápidos, mayor precisión de los datos y operaciones transfronterizas mejoradas. Muchos actores implicados expresaron ser proclives a adoptar una solución basada en la nube como las «European Business Wallets», especialmente si agiliza procesos y reduce costes. Sin embargo, se expresaron preocupaciones sobre los desafíos de integración y la necesidad de una orientación y apoyo claros. Además, los interesados identificaron diversos casos de uso y oportunidades de ahorro de costes, incluyendo la automatización de la verificación de identidad, la simplificación de procesos de cumplimiento y la posibilitación de transacciones transfronterizas seguras. Los beneficios potenciales se cuantificaron en términos de tiempo ahorrado en tareas administrativas y reducción de procesos manuales.
Los resultados de la consulta pusieron de manifiesto la necesidad de un enfoque armonizado en la identidad empresarial, la representación (poderes) y el cumplimiento normativo. Las recomendaciones incluían la necesidad de neutralidad tecnológica, asegurando que las carteras sean tecnológicamente neutrales, flexibles y «a prueba de futuro», basándose en estándares y protocolos armonizados. La interoperabilidad es fundamental, ya que las carteras estarán integradas con marcos existentes, como la EU Digital Identity Wallet (Cartera IDUE), para garantizar operaciones transfronterizas sin interrupciones. Las carteras deberían basarse en modelos sostenibles y orientados al mercado, con directrices claras y apoyo a la adopción. Debe prestarse especial atención a las pymes, teniendo en cuenta sus desafíos en la adopción de herramientas digitales y la necesidad de casos de uso claros y accionables.
La estrategia de consulta con las partes interesadas proporcionó valiosos puntos de vista sobre las necesidades, desafíos y expectativas de los operadores económicos y organismos del sector público respecto a las carteras europeas de empresas. Las conclusiones favorecían el desarrollo de la nueva normativa, asegurando que responda a las necesidades específicas de los usuarios profesionales cumpliendo varias expectativas: ser tecnológicamente neutrales y a prueba de futuro; permitir la recuperación segura de datos de registros empresariales y otras fuentes auténticas, garantizando la interacción rastreable; permitiendo un modelo orientado al mercado y, finalmente, haciendo obligatoria la aceptación de las «Business Wallets» para los organismos públicos para garantizar una adopción coherente y eficaz en toda la UE.
La iniciativa también se basa en la amplia consulta pública realizada en 2021 en el contexto de la revisión del Reglamento eIDAS, que recopiló amplios comentarios sobre identidad digital y servicios de confianza. Los resultados de esa consulta siguen siendo válidos para comprender las expectativas de los usuarios en cuanto a interoperabilidad, seguridad jurídica, usabilidad transfronteriza y confianza. Por lo tanto, no se acometió ninguna consulta pública abierta en este sentido.
• Recogida y uso de experiencia
Para preparar esta iniciativa regulatoria, la Comisión recurrió a la experiencia externa. Más allá de los intercambios regulares con expertos de los Estados miembros, registros empresariales y representantes del sector, la Comisión contrató a consultoras especializadas para apoyar la recopilación y análisis de pruebas. Estas consultoras realizaron entrevistas y encuestas específicas con las partes interesadas, recopilaron retroalimentación cualitativa y cuantitativa, y realizaron un análisis coste/beneficio para el «Documento de Trabajo del Personal». Su trabajo se complementó con la experiencia interna de la Comisión.
• Documento de trabajo del personal
Para esta propuesta se concedió una eximente a la evaluación de impacto, ya que los «European Business Wallets» se basan directamente en la elección política ya evaluada en 2021 para el Marco Europeo de Identidad Digital y la adaptan al contexto y necesidades específicas de los operadores económicos y organismos del sector público. Por tanto, la propuesta sigue la opción preferida de 2021, es decir, el establecimiento de un marco de cartera armonizado con efecto legal a nivel de toda la Unión, personalizándolo a las interacciones profesionales. Sin embargo, se preparó un «Documento de Trabajo del Personal» que analizaba en detalle los costes y beneficios esperados de la propuesta. El documento proporciona la lógica de intervención (problemas, factores de impulso y objetivos), describe la opción política y cuantifica los impactos económicos tanto para organismos públicos como para operadores económicos basándose en investigaciones de métodos mixtos, incluyendo análisis cuantitativo y cualitativo de fuentes públicas, datos de encuestas y datos de entrevistas combinados con fuentes secundarias (los detalles completos sobre la metodología se proporcionan en el Documento de Trabajo del Personal).
Para cumplir los objetivos de simplificación, reducción de la carga administrativa e interacciones digitales transfronterizas seguras, la iniciativa exige que todos los organismos del sector público de la UE acepten las carteras europeas de empresas en su interacción con los operadores económicos para cumplir con las funcionalidades mínimas básicas (identificación/autenticación; firma/sellado; presentación y recepción de documentos y notificaciones oficiales). que tienen un efecto legal equivalente a los procesos basados en papel o presenciales en toda la UE. El instrumento es neutral tecnológicamente y está orientado al mercado: no prescribe un diseño único, deja espacio para características innovadoras más allá de la capa común y garantiza interoperabilidad con servicios de confianza eIDAS y fuentes auténticas.
Los impactos de la opción política se detallan en el Anexo 3 del Documento de Trabajo del Personal (¿A quien afecta y cómo?). El análisis de costes-beneficio indica que existen costes directos anuales tanto para los operadores económicos como para los organismos del sector público. Se dividen en costes puntuales de formación e incorporación, activación e implementación de TIC, costes de contratación/adquisición, y en costes recurrentes de licencias y mantenimiento. En general, cuando las carteras empresariales alcancen su máximo potencial y la tasa de adopción, tanto para organismos públicos como para operadores económicos, alcance el 100%, los costes y beneficios totales estimados podrían alcanzar las siguientes cifras:
Interesado
Num. en la UE
Año 1 (€ miles de millones)
Año 2 (€ miles de millones)
Beneficios
Costes
Beneficios netos
Beneficios
Costes
Beneficios netos
Organismos del sector público
95,825
19.13
7.32
11.81
19.13
1.15
17.98
Operadores económicos
32,721,957
205.82
60.67
145.15
205.82
27.23
178.59
Total
224.95
67.99
156.96
224.95
28.38
196.57
Entre las microempresas, los autónomos podrían utilizar sus carteras de identidad digital de la UE para acceder al canal de comunicación recién introducido e interactuar con el ecosistema de la cartera empresarial, sin necesidad de obtener una cartera empresarial completa. Según los precios actuales del mercado en toda la UE, el coste anual recurrente estimado de este servicio rondaría los 45 €, lo que sugiere que estos operadores podrían conectarse al ecosistema a un coste relativamente bajo.
• Encuadre regulatorio y simplificación
Esta propuesta define las Carteras Empresariales Europeas como una herramienta única y armonizada para que los operadores económicos identifiquen, firmen, almacenen, presenten y reciban documentos en sus interacciones con las autoridades públicas. Permitirá reemplazar procedimientos nacionales fragmentados con una solución segura e interoperable, eliminando así la complejidad administrativa y reduciendo los costes de cumplimiento.
Para los organismos del sector público, se agilizan los procesos de informes y verificación, permitiendo una supervisión y un constancia de trámites realizados más eficientes. Para los operadores económicos, en particular las pymes, elimina procedimientos repetitivos y cargas desproporcionadas. Estos últimos son los que más se benefician, ya que están desproporcionadamente afectados por procedimientos burocráticos fragmentados y duplicados. Los beneficios directos se estiman en 4.000 € anuales a nivel individual para las microempresas y 42.250 € al año para las grandes pymes, pero el impacto va más allá del ahorro de costes: los procedimientos transfronterizos simplificados permitirán un despliegue empresarial más rápido en el extranjero, un acceso más fácil a la financiación y una mayor participación en los mercados de contratación. Al garantizar la seguridad jurídica y la aplicación uniforme, la propuesta promueve la libre circulación de bienes y servicios, al mismo tiempo que fomenta la innovación, permitiendo que las características orientadas al mercado prosperen.
•Derechos fundamentales
Aunque esta propuesta legislativa se dirige principalmente a personas jurídicas, apoya indirectamente la protección de varios derechos fundamentales consagrados en la Carta de Derechos Fundamentales de la Unión Europea. Al proporcionar un instrumento armonizado y de confianza para las interacciones empresariales transfronterizas, la iniciativa refuerza la libertad para llevar a cabo un negocio (Artículo 16) al eliminar barreras innecesarias en el Mercado Único. También facilita el ejercicio de la libertad de elegir una ocupación y el derecho a trabajar (Artículo 15), ya que empresas y profesionales pueden expandir sus actividades más fácilmente y a menor coste.
En su papel de «guardianes» de los procedimientos administrativos dentro del Mercado Único, los organismos del sector público podrán ofrecer procedimientos más transparentes y eficientes, reforzando así indirectamente el derecho a una buena administración (artículo 41). Las carteras europeas empresariales también contribuyen a garantizar un alto nivel de protección de los datos personales (Artículo 8) conforme a las leyes vigentes de la UE, en particular el Reglamento (UE) 2016/67. Por ejemplo, la función de divulgación selectiva, inspirada en el Marco Europeo de Identidad Digital, también sirve como medida para la protección de datos personales, ya que los usuarios de las carteras empresariales europeas pueden limitar el tipo y la cantidad de datos comunicados a otros titulares de carteras empresariales europeas y a partes interesadas en una gestión de declaraciones de atributos (partes informadas). . Además, al preparar la implementación del Directorio Digital Europeo, deben considerarse los principios y obligaciones relevantes de protección de datos, como la minimización y la protección de datos tanto por diseño como por defecto.
Finalmente, al aumentar la precisión y fiabilidad de las credenciales empresariales, la propuesta refuerza indirectamente la protección del consumidor (Artículo 38) y contribuye a la confianza general en la dinámica del Mercado Único.
4. IMPLICACIONES PRESUPUESTARIAS
La inclusión de entidades de la Unión Europea tendrá implicaciones financieras, que estarán predominantemente cubiertas por el presupuesto de la UE bajo el Marco Financiero Multianual (FMF) 2028-2034. Estos costes están principalmente asociados a la implementación y uso de las carteras europeas de empresas por parte de las entidades de la Unión y al establecimiento y mantenimiento del Directorio Digital Europeo dentro de la Comisión.
En el ‘estado financiero’ vinculado a esta propuesta se ofrece una visión detallada de los costes implicados.
5. OTROS ELEMENTOS
• Planes de implementación e implementación de supervisión, evaluación e informes
El impacto del Reglamento propuesto será supervisado y evaluado conforme a las Better Regulation Guidelines (Directrices de mejor Regulación), que cubren su implementación y aplicación. El sistema de supervisión constituye una parte importante de la propuesta. La Comisión supervisará su implementación con el fin de generar la información necesaria y relevante que alimente una evaluación futura y proporcione pruebas sólidas para la formulación de políticas. En particular, se evaluarán y supervisarán los siguientes aspectos: 1) reducción de la carga administrativa del cumplimiento normativo y los requisitos de reporte para las empresas mediante beneficios económicos demostrables; 2) mejora en la prestación de servicios públicos y 3) mejora de la competitividad gracias a la introducción de «Business Wallets».
Dado el alcance horizontal de esta regulación y considerando los amplios usos que las «Business Wallets» podrían favorecer en diversos sectores económicos, será importante garantizar una coordinación eficiente y colaborativa de su implementación. Para ello, se establecerá un «cross-Commission interservice group» (grupo interservicios de la Comisión) presidido por DG CONNECT.
Sobre la aplicación del instrumento propuesto, la Comisión Europea y las Autoridades Competentes Nacionales evaluarán también: 1) el desarrollo de un mercado para la identificación digital segura y los servicios de confianza entre operadores económicos y organismos del sector público; 3) fiabilidad y seguridad de las soluciones disponibles y su cumplimiento de todos los requisitos para proporcionar carteras empresariales europeas y 3) adopción de carteras empresariales entre diferentes sectores.
Cuatro años después de la adopción del Reglamento, la Comisión realizará una evaluación para medir la eficacia con la que las carteras empresariales europeas han cumplido sus objetivos. La evaluación se centrará en particular en la usabilidad de las funcionalidades mínimas de las carteras, el nivel de cumplimiento de los proveedores de carteras, el funcionamiento de la supervisión nacional y las sanciones, el rendimiento de los servicios electrónicos de notificaciones certificadas cualificados y el uso de carteras empresariales. Los Estados miembros proporcionarán a la Comisión los datos y evidencias necesarios para esta evaluación (para un análisis en profundidad del aspecto de seguimiento y evaluación, véase el Capítulo 9 de la versión no simplificada del Documento de Trabajo del Personal).
• Explicación detallada de las disposiciones específicas de la propuesta
El Capítulo I establece el tema y el alcance de la propuesta que se aplica a la provisión y aceptación de las carteras empresariales europeas. También establece las definiciones utilizadas a lo largo del instrumento regulatorio. La definición de las carteras empresariales europeas es deliberadamente amplia y tecnológicamente neutral para permitir flexibilidad para diversas soluciones impulsadas por el mercado y futuros desarrollos tecnológicos, una cartera digital que permite a los propietarios almacenar, gestionar y compartir datos de identificación verificados y declaraciones electrónicas de atributos, así como emitir y delegar mandatos y poderes de manera legalmente reconocida.
El Capítulo II establece los componentes clave del marco de las Carteras Empresariales Europeas. Establece el principio de equivalencia jurídica, sirviendo como una disposición que equipara las acciones realizadas a través de una cartera empresarial europea con las realizadas en persona, en papel o por cualquier otro medio o proceso: un elemento esencial para eliminar fricciones administrativas en los intercambios correspondientes. El principio de equivalencia también se aplica al uso del servicio electrónico de notificación certificada cualificada (entrega registrada) por autónomos. En el mismo capítulo, se define un conjunto mínimo e interoperable de funcionalidades centrales, junto con un servicio electrónico de notificaciones cualificado como servicio independiente para los usuarios de Carteras de Identidad Digital Europeas, junto con los requisitos técnicos, ampliados en el Anexo y que se prevé que se complementen mediante actos de implementación. Las disposiciones de este capítulo también abordan quién puede proporcionar carteras europeas de empresas, los requisitos relevantes que deben cumplir dichas personas jurídicas y el proceso que debe seguir una entidad elegible a nivel nacional para ser incluida en la lista de proveedores de confianza. Para garantizar un reconocimiento transfronterizo consistente, la propuesta se basa en los datos de identificación de los propietarios de «European Business Wallets» emitidos como declaraciones electrónicas de atributos por proveedores cualificados de servicios de confianza, organismos públicos nacionales o por la Comisión para las entidades de la Unión Europea. El uso de estas certificaciones garantiza que cada propietario de «Business Wallet» pueda ser identificado de forma fiable a partir de información oficial y verificable. Además, se atribuye un identificador único a cada propietario de «Business Wallet». Cuando se asigna un Identificador Único Europeo conforme a la Directiva de Derecho de Sociedades (UE) 2017/1132 o la Directiva contra el Blanqueo de Capitales, las carteras comerciales utilizarán el Identificador Único Europeo como identificador único. En otros casos, los Estados miembros designan los registros nacionales existentes y los números de registro correspondientes como la fuente auténtica para generar un identificador equivalente. La estructura y las especificaciones técnicas de este identificador, que garantizarán la unicidad e interoperabilidad a nivel de la Unión, se definirán mediante actos de implementación.
Para permitir una comunicación sencilla a través de las carteras empresariales, la propuesta también establece un Directorio Digital Europeo, que será creado y mantenido por la Comisión y permitirá contactar fácilmente a operadores económicos y organismos del sector público, al tiempo que implementará medidas adecuadas para la protección de los datos personales. En este sentido, la Comisión establecerá normas, especificaciones técnicas y las categorías de información que deberán comunicarse a la Comisión del Directorio mediante actos de ejecución.
El Capítulo II también establece el mecanismo de gobernanza y supervisión. Para minimizar la fragmentación y aprovechar la experiencia existente, la propuesta nombra a los órganos supervisores eIDAS existentes como autoridades supervisoras en cada Estado Miembro para los proveedores de «Business Wallets» establecidos en los respectivos territorios. Estas autoridades también ayudan a los proveedores de carteras empresariales a acceder a la información necesaria para la emisión de datos de identificación de propietarios por parte de los emisores basados en la información disponible de fuentes auténticas, cooperan estrechamente con las autoridades competentes para proveedores de servicios de confianza cualificados y notifican a la Comisión sobre los registros nacionales que poseen datos sobre operadores económicos y organismos del sector público. En este sentido, el Reglamento contempla el rol y las funciones de dichas autoridades. Dado el equilibrio institucional de los Tratados, las instituciones, organismos y agencias de la UE (entidad de la Unión) no están sujetos a la supervisión de los Estados miembros. La propuesta prevé, en cambio, un sistema de supervisión a nivel de la Unión Europea sometido a la Comisión.
En el Capítulo III se establecen las obligaciones impuestas a los organismos del sector público. Estas disposiciones garantizan que los organismos del sector público permitan a los operadores económicos utilizar las carteras europeas de empresas para identificar, autenticar, firmar o sellar, presentar documentos y enviar o recibir notificaciones en procedimientos administrativos o de reporte. Para el intercambio de documentos y notificaciones, los organismos públicos deben poseer ellos mismos una cartera europea de negocios y utilizar el canal de comunicación seguro. Las obligaciones deben cumplirse en plazos establecidos. Los organismos del sector público también pueden reconocer el uso de las carteras europeas de empresas y el canal de comunicación (para autónomos) como el único medio para presentar documentos electrónicos y declaraciones de atributos cuando sea necesario por la legislación de la Unión. La Comisión revisará estas obligaciones y su alcance a lo largo del tiempo.
El Capítulo IV establece la dimensión internacional del marco europeo de la cartera empresarial, estableciendo la posibilidad de reconocer sistemas desarrollados en terceros países que ofrezcan funcionalidades equivalentes a la propuesta cuando las condiciones relevantes garantizan un nivel comparable de confianza, seguridad e interoperabilidad. Este enfoque permite a la UE facilitar intercambios globales de confianza con socios no comunitarios, manteniendo al mismo tiempo los altos estándares de la Unión en materia de identidad digital, autenticación e integridad de los datos.
El capítulo V contiene las disposiciones horizontales y de cierre. Establece la evaluación y revisión de la propuesta de regulación para valorar la eficacia de su implementación y el funcionamiento del marco de supervisión.
Las empresas enfrentan riesgos de ciberseguridad, que se complementan con un marco regulatorio que obliga a tomar medidas frente a ellos.
Una de las dimensiones de la actividad de las empresas es ahora, por tanto, el cumplimiento normativo del marco regulatorio de la Unión Europea, que exige conocimientos especializados que es difícil tener en nómina y que hace recomendable tener localizados a especialistas que colaboren con la empresa como consultores externos.
Uno de los primeros pasos es navegar por el laberinto regulatorio, en base a normas ya publicadas y en vigor, otras publicadas que entrarán en vigor más adelante, y otras normas anunciadas, pero cuyos principios ya son conocidos.
En un mundo en el que los ciberataques cuestan miles de millones al año, regulaciones como NIS2, CRA, CER y DORA no son solo «buenas prácticas», sino obligaciones que pueden evitar multas de hasta el 2% de la facturación global.
En este artículo se comentan someramente sus similitudes y diferencias para poder entender el panorama completo.
Resumen de las normas citadas:
NIS2 (Directiva (UE) 2022/2555 de Ciberseguridad): Impulsa la ciberseguridad en infraestructuras críticas y servicios digitales esenciales. Aplica a entidades «esenciales» e «importantes» en sectores como energía, transporte, salud e ICT, con énfasis en gestión de riesgos y respuesta a incidentes. Implementación obligatoria desde octubre de 2024. En España existe un Anteproyecto de Ley, ya que la Directiva se tiene que transponer al ordenamiento legal español
CRA (Reglamento (UE) 2024/2847 de Ciberresiliencia): Asegura que productos digitales (software, IoT, hardware conectado) sean seguros «por diseño» durante todo su ciclo de vida. Dirigida a fabricantes, importadores y distribuidores; excluye sectores regulados como dispositivos médicos. Plena aplicación en diciembre de 2027.
CER (Directiva (UE) 2022/2557 de Resiliencia de Entidades Críticas): Protege infraestructuras críticas contra disrupciones amplias (ciber, físicas, operativas). Cubre 11 sectores clave como energía, banca, salud y transporte; las entidades designadas deben cumplir también con NIS2. Identificación de entidades críticas hasta julio de 2026.
DORA (Reglamento (UE) 2022/2554 de Resiliencia Operativa Digital): Enfocada en el sector financiero (bancos, aseguradoras, fintech) y proveedores ICT críticos, para resistir interrupciones digitales. Incluye pruebas de resiliencia y gestión de terceros. Cumplimiento desde enero de 2025. Implica la adecuación de las entidades proveedoras de banca que serán auditadas por las propias entidades financieras.
Estas regulaciones forman un ecosistema complementario, pero su solapamiento puede generar confusión si no se abordan de forma integrada. Todas buscan elevar la resiliencia digital de la UE frente a amenazas crecientes, promoviendo una armonización transfronteriza. Aquí un resumen:
Aspecto
Descripción Común
Objetivo Principal
Mejorar la ciberseguridad y resiliencia operativa contra riesgos digitales y disrupciones.
Enfoque en Riesgos
Obligan a evaluaciones de riesgos, gestión de cadena de suministro/terceros y controles técnicos/organizativos.
Reporte de Incidentes
Requerimiento de notificación rápida (e.g., 24-72 horas) a autoridades nacionales o europeas.
Gobernanza
Responsabilidad de la alta dirección; auditorías regulares y pruebas de vulnerabilidades.
Sanciones
Multas elevadas (hasta 2% de ingresos globales) y medidas correctivas; obligatorias para entidades en cada ámbito.
Complementariedad
Se solapan (e.g., entidades CER deben cumplir NIS2); alineadas con ISO 27001 para ~80% de medidas.
Estas similitudes significan que una empresa en sectores críticos (como finanzas o energía) podría tener que cumplir varias a la vez.
Desde el punto de vista del consultor, una aportación muy valorada es la realización conjunta con la entidad de un «gap analysis» unificado, lo que ahorra tiempo y recursos!Diferencias: Lo que las Distingue (y por qué Necesita Asesoría Personalizada)Las variaciones radican en alcance sectorial, enfoque y plazos, lo que complica el cumplimiento si no se mapea correctamente. Por ejemplo, un fabricante de IoT cae en CRA, pero un banco en DORA + NIS2 + CER.
Amplio para servicios digitales; ~80% overlap con ISO 27001.
Mercado: productos no conformes no se venden en UE.
Físico-digital: cubre riesgos no cibernéticos.
Financiero: fines hasta €5M para proveedores ICT.
Como se puede apreciar, NIS2 y CER son «hermanas» en infraestructuras (CER es más amplia en riesgos), mientras CRA está «centrada en producto» y DORA tiene clara orientación «financiera».
Hay diferencias en plazos (e.g., NIS2 ya obliga hoy, aunque no esté aprobado el anteproyecto de ley) por lo que es conveniente realizar una evaluación de impacto lo antes posible, teniendo en cuenta las diferentes normas y las peculiaridades de cada empresa.
Planificar la preparación de la empresa a todos estos cambios regulatorios de forma agrupada ayuda a optimizar esfuerzos y a dar un tratamiento unificado, sobre todo al asignar recursos humanos para su gestión, lo que supone ahorro de costes.
Puede contactar con EADtrust si necesita valorar el impacto de la normativa en su empresa y en su industria. Nuestra división de Servicios Profesionales es especialista en Ciberseguridad y ha contribuido a que la propia EADTrust esté certificada en la exigente normativa EIDAS y en diferentes normativas de seguridad certificables : ENS, ISO 27001, ISO 20000-1,…
Es posible ahorrar un 30-50% en costes al integrar el compliance (con un roadmap que cubra NIS2 + DORA en 6 meses). Recuerde que aunque DORA se orienta a entidades financieras, afecta a todos su proveedores.
Si su empresa pertenece a sectores regulados —ya sea fabricando dispositivos, operando infraestructuras o gestionando finanzas— conviene no esperar para pasar a la acción.
iContáctennos llamando al 917160555 para tener un primer diagnóstico del posible impacto regulatorio! Nuestros especialistas pueden ayudarle a transformar obligaciones en oportunidades de innovación segura.
Todo es electrónico 