Ayer comenté la publicación de 6 nuevos actos de ejecución en el Diario Oficial de la Unión Europea (DOUE) —anteriormente Diario Oficial de las Comunidades Europeas (DOCE)—
Con lo que la lista completa queda con 22 actos de ejecución publicados:
En inglés:
CIR 2024/2977 PID (Personal Identification Data) and EAA (Electronic Attestations of Attributes)
Recordemos que quedan borradores de actos de ejecución cuyos plazos para enviar comentarios acabaron el 2 de octubre, salvo el de archivo con orden cronológico que acaba el 3 de octubre.
En el DOCE del 30 de septiembre se han publicado 6 reglamentos de ejecución que conocíamos en estado de borrador. Son los siguientes:
Español
CIR-2025-1929-ES Reglamento de Ejecución (UE) 2025/1929 de la Comisión, de 29 de septiembre de 2025, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a la vinculación de la fecha y la hora con los datos y al establecimiento de la exactitud de las fuentes de información temporal para el suministro de sellos cualificados de tiempo electrónicos
CIR-2025-1942-ES Reglamento de Ejecución (UE) 2025/1942 de la Comisión, de 29 de septiembre de 2025, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a los servicios cualificados de validación de firmas electrónicas cualificadas y los servicios cualificados de validación de sellos electrónicos cualificados
CIR-2025-1943-ES Reglamento de Ejecución (UE) 2025/1943 de la Comisión, de 29 de septiembre de 2025, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a las normas de referencia para los certificados cualificados de firma electrónica y los certificados cualificados de sello electrónico
CIR-2025-1944-ES Reglamento de Ejecución (UE) 2025/1944 de la Comisión, de 29 de septiembre de 2025, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a las normas de referencia de los procesos de envío y recepción de datos en los servicios cualificados de entrega electrónica certificada y en lo que respecta a la interoperabilidad de tales servicios
CIR-2025-1945-ES Reglamento de Ejecución (UE) 2025/1945 de la Comisión, de 29 de septiembre de 2025, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a la validación de las firmas electrónicas cualificadas y de los sellos electrónicos cualificados y a la validación de las firmas electrónicas avanzadas basadas en certificados cualificados y de los sellos electrónicos avanzados basados en certificados cualificados
CIR-2025-1946-ES Reglamento de Ejecución (UE) 2025/1946 de la Comisión, de 29 de septiembre de 2025, por el que se establecen disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a los servicios cualificados de conservación de firmas electrónicas cualificadas y de sellos electrónicos cualificados
English
CIR-2025-1929-EN Commission Implementing Regulation (EU) 2025/1929 of 29 September 2025 laying down rules for the application of Regulation (EU) No 910/2014 of the European Parliament and of the Council as regards the binding of date and time to data and establishing the accuracy of the time sources for the provision of qualified electronic time stamps
CIR-2025-1942-EN Commission Implementing Regulation (EU) 2025/1942 of 29 September 2025 laying down rules for the application of Regulation (EU) No 910/2014 of the European Parliament and of the Council as regards qualified validation services for qualified electronic signatures and qualified validation services for qualified electronic seals
CIR-2025-1943-EN Commission Implementing Regulation (EU) 2025/1943 of 29 September 2025 laying down rules for the application of Regulation (EU) No 910/2014 of the European Parliament and of the Council as regards reference standards for qualified certificates for electronic signatures and qualified certificates for electronic seals
CIR-2025-1944-EN Commission Implementing Regulation (EU) 2025/1944 of 29 September 2025 laying down rules for the application of Regulation (EU) No 910/2014 of the European Parliament and of the Council as regards reference standards for processes for sending and receiving data in qualified electronic registered delivery services and as regards interoperability of those services
CIR-2025-1945-EN Commission Implementing Regulation (EU) 2025/1945 of 29 September 2025 laying down rules for the application of Regulation (EU) No 910/2014 of the European Parliament and of the Council as regards the validation of qualified electronic signatures and of qualified electronic seals and the validation of advanced electronic signatures based on qualified certificates and of advanced electronic seals based on qualified certificates
CIR-2025-1946-EN Commission Implementing Regulation (EU) 2025/1946 of 29 September 2025 laying down rules for the application of Regulation (EU) No 910/2014 of the European Parliament and of the Council as regards qualified preservation services for qualified electronic signatures and for qualified electronic seals
Continúa la publicación de estándares de ETSI para apoyar el desarrollo de EIDAS y EIDAS2. Algunos de ellos forman parte de los actos de ejecución de EIDAS2.
Uno de los aspectos desarrollados es el que tiene que ver con los certificados cualificados de autenticación de sitios web (en inglés QWAC Qualified Website Authentication Certificates), con dos enfoque técnicos diferentes (1-QWAC y 2-QWAC).
Con la publicación del Reglamento 2024/1183 la redacción de los artículos 45 y 45 bis quedó así:
Artículo 45 – Requisitos aplicables a los certificados cualificados de autenticación de sitios web
Los certificados cualificados de autenticación de sitios web cumplirán los requisitos establecidos en el anexo IV. La evaluación del cumplimiento de dichos requisitos se llevará a cabo de conformidad con las normas, especificaciones y procedimientos a que se refiere el apartado 2 del presente artículo.
1 bis. Los proveedores de navegadores web reconocerán los certificados cualificados de autenticación de sitios web expedidos de conformidad con el apartado 1 del presente artículo. Los proveedores de navegadores web garantizarán que los datos de identificación de la persona declarados en el certificado y los atributos declarados adicionales se muestren al usuario de un modo fácil de consultar. Los proveedores de navegadores web garantizarán la compatibilidad e interoperabilidad con los certificados cualificados de autenticación de sitios web a que se refiere el apartado 1 del presente artículo, con la excepción de las microempresas y pequeñas empresas según se definen en el artículo 2 del anexo de la Recomendación 2003/361/CE durante sus primeros cinco años de actividad como prestadores de servicios de navegación web.
1 ter. Los certificados cualificados de autenticación de sitios web no estarán sometidos a ningún requisito obligatorio que no sean los requisitos establecidos en el apartado 1.
A más tardar el 21 de mayo de 2025, la Comisión establecerá, mediante actos de ejecución, una lista de normas de referencia y, en su caso, las especificaciones y los procedimientos aplicables a los certificados cualificados de autenticación de sitios web a que se refiere el apartado 1 del presente artículo. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 48, apartado 2.».
Artículo 45 bis – Medidas cautelares en materia de ciberseguridad
Los proveedores de navegadores web no adoptarán ninguna medida contraria a sus obligaciones establecidas en el artículo 45, en particular los requisitos de reconocer los certificados cualificados de autenticación de sitios web y de mostrar los datos de identificación de la persona proporcionados de un modo que sea fácil de consultar.
No obstante lo dispuesto en el apartado 1 y solo en caso de preocupaciones justificadas relacionadas con violaciones de la seguridad o la pérdida de integridad de un certificado o conjunto de certificados identificados, los proveedores de navegadores web podrán adoptar medidas cautelares en relación con dicho certificado o conjunto de certificados.
Cuando se adopten medidas, los proveedores de navegadores web notificarán, en virtud del apartado 2, sus preocupaciones por escrito, sin demora indebida, junto con una descripción de las medidas adoptadas para mitigarlas, a la Comisión, al organismo de supervisión competente, a la entidad a la que se haya expedido el certificado y al prestador cualificado de servicios de confianza que haya expedido dicho certificado o conjunto de certificados. Tras la recepción de dicha notificación, el organismo de supervisión competente expedirá un acuse de recibo al proveedor del navegador web en cuestión.
El organismo de supervisión competente investigará las cuestiones planteadas en la notificación, de conformidad con el artículo 46 ter, apartado 4, letra k). Cuando el resultado de la investigación no implique la retirada de la cualificación del certificado, el organismo de supervisión informará de ello al proveedor del navegador web y solicitará que ese proveedor ponga fin a las medidas cautelares a que se refiere el apartado 2 del presente artículo.».
Para aterrizar este articulado, se ha publicado recientemente la norma técnica de ETSI ETSI TS 119 411-5 V2.1.1 que orienta a los navegadores en la implementación de los certificados QWAC.
Y hace pocos días el acto de ejecución correspondiente, que todavía está en forma de borrador con plazo de comentarios hasta el 2 de octubre de 2025.
En resumen, existen dos opciones para la integración de certificados web cualificados en los servidores, denominadas «one quack and two quacks» (haciendo broma con la onomatopeya de un graznido y dos graznidos).
Corresponden a las etiquetas 1-QWAC y 2-QWAC.
1-QWAC consiste en añadir información a los certificados TLS existentes. Con este enfoque, los QWAC son certificados TLS (Publicly Trusted Certificates) que cumplen las normas actuales, como los Requisitos básicos (Baseline Requirements) de CA/Browser Forum. También tendrían que cumplir cualquier requisito adicional impuesto por los programas de aceptación de certificados raíz de los navegadores web.
2-QWAC es una solución más alambicada. Equivale a mantener separados los ecosistemas TLS de CABForum y los QWAC del Reglamento EIDAS. Para ello se expiden dos certificados simultáneamente: uno TLS (PTC) estándar (que puede ser emitido por una CA diferente, incluida en los programas de Root-CA de los navegadores) y otro QWAC (derivado de la norma TS 119 411-2) con un enlace para conectarlos protegido criptográficamente. La información sobre el enlace debe enviarse a través de una cabecera HTTP Link, pero el enlace en sí es un archivo JSON firmado con la clave privada para la que se emite el certificado QWAC. Un enlace puede respaldar varios certificados TLS, lo que es una ventaja para quienes deseen admitir varios certificados al mismo tiempo.
El enfoque 2-QWAC supone poner deberes a los navegadores, ya que tienen que gestionar una nueva cabecera HTTP, añadir código para obtener el enlace e implementar una nueva firma (utilizando JSON Advanced Electronic Signatures – JAdES) y verificación del enlace. Y supondría también más trabajo para los administradores de sitios Web, si no fuera porque ya va a ser imprescindible adoptar herramientas de automatización como «ACME». ACME (Automated Certificate Management Environment) es un protocolo estandarizado que permite la automatización de la emisión, renovación y revocación de certificados TLS/SSL.
El enfoque 2-QWAC es el que se adoptaría por los Prestadores Cualificados de Servicios de Confianza europeos que no quisieran pasar por el procedimiento de aprobación de Bugzilla, CCADB, Baseline Requirements y Extended Validation Guidelines.
De esta manera, no se cambian los procedimientos de CAB Forum y de los programas de CA-Raíz convencionales de los navegadores, pero se establece un marco técnico para que se puedan aceptar certificados cualificados de web «puros» en la Unión Europea (apoyados, no obstante, en certificados emitidos por jerarquías PKI incluidas en dichos programas de Root-CA de los navegadores).
El acto de ejecución mencionado (en estado «borrador» incorpora el siguiente anexo:
El 28 de agosto de 2025, el NIST presentó el borrador de la norma FN-DSA (FIPS 206) para su aprobación. FN-DSA es el nombre oficial del NIST para el esquema de firma digital basado en FALCON, seleccionado junto con ML-DSA y SLH-DSA para la estandarización de la criptografía poscuántica (PQC) o resistente a la computación cuántica (QRC).
A diferencia de los otros dos esquemas ya publicados, FN-DSA ha tardado más en llegar a este punto. La complejidad matemática de FALCON y la investigación en curso para perfeccionar sus componentes han alargado el plazo, pero la expectación entre los interesados en la criptografía postcuántica no ha hecho más que crecer.
Este borrador se publicará como borrador público inicial (IPD) para que pueda ser revisado de forma abierta.
Aunque aún no se ha confirmado la fecha exacta, el lanzamiento podría coincidir con la Conferencia de Normalización PQC del NIST a finales de septiembre de 2025.
Contando con la experiencia de plazos de las publicaciones anteriores del NIST, la revisión pública podría dura aproximadamente un año, por lo que la norma definitiva podría estar lista a finales de 2026 o principios de 2027.
La identidad es la base de la personalidad jurídica con la que ejercer derechos y obligaciones, y su gestión nace con la inscripción del neonato en el registro civil.
Y el registro civil se fundamenta en sus orígenes en los registros parroquiales que, en el mundo hispano, que abarcaría España, América Latina y Filipinas universalizó esta infraestructura hasta extenderla en todo el orbe.
Y los registros parroquiales nacieron con el Concilio de Trento (1545-1563) que definió los Quinque Libri. Estos libros se convirtieron en la única fuente oficial de identidad personal durante siglos, especialmente en zonas donde el Estado no tenía presencia directa.
Este artículo repasa algunos hitos históricos hasta llegar al DNI electrónico y la Identidad Digital que en la actualidad podemos considerar una forma de cumplir uno de los Objetivos de Desarrollo Sostenible (ODS), el 16.9 y los artículos 7 y 8 de la Convención de los Derechos del Niño.
El Concilio de Trento y los Quinque Libri: La formalización de los registros parroquiales
El Concilio de Trento, convocado entre 1545 y 1563 bajo los papados de Pablo III, Julio III y Pío IV, para responder a la Reforma Protestante, estandarizó las prácticas eclesiásticas, incluyendo los Quinque Libri o «cinco libros». Estos registros, formalizados en 1563, documentaban inicialmente bautismos, confirmaciones, matrimonios, defunciones y el status animarum (censo parroquial). Y acabaron siendo:
Libro de bautismos
Libro de matrimonios
Libro de defunciones
Libro de cumplimiento pascual
Libro de cuentas parroquiales
El libro de bautismos era clave para registrar la identidad, incluyendo el nombre del bautizado, sus padres, padrinos, y la fecha y lugar del bautismo. Este sistema vinculaba a los individuos con la comunidad religiosa y proporcionaba una base para la gestión administrativa, como herencias y tributación, en el mundo hispano.
En los territorios coloniales, como el Virreinato del Perú, los registros parroquiales fueron introducidos por misioneros y sacerdotes desde el siglo XVI.
Fueron esenciales para:
Conocer la población indígena
Registrar nacimientos, matrimonios y defunciones
Establecer filiaciones y linajes
En muchos casos, estos registros fueron más completos y sistemáticos que los primeros registros civiles del siglo XIX.
Todavía hoy, los registros parroquiales son una fuente invaluable para la genealogía, la historia social y la reconstrucción de identidades perdidas.
En contextos donde el registro civil es incompleto, como en comunidades indígenas o rurales, estos documentos siguen siendo utilizados como prueba legal en procesos de regularización de identidad.
El mandato del Concilio fue recogido en el Catecismo del Concilio de Trento y se convirtió en norma en los territorios católicos. En España, por ejemplo, se oficializó mediante la Real Cédula de 1564, que ordenó a todas las parroquias llevar libros sacramentales.
La Real Cédula de 1564: Implementación en el mundo hispano
La Real Cédula de 1564, emitida por Felipe II, extendió las disposiciones del Concilio de Trento a España, América Latina y Filipinas, ordenando el mantenimiento de los Quinque Libri. En las colonias, donde las estructuras estatales eran incipientes, las parroquias se convirtieron en centros administrativos. Los registros permitían clasificar a las poblaciones según casta o estatus, facilitando la recaudación de tributos y la administración colonial. En Filipinas, los misioneros asignaron nombres y apellidos cristianos, integrando a las comunidades locales en el sistema colonial.
Evolución en la gestión de los apellidos.
En sus orígenes los apellidos en el mundo hispano eran flexibles, no eran fijos ni hereditarios. Eran más bien descripciones circunstanciales:
Toponímicos: “Juan del Río” (lugar de origen)
Patronímicos: “Pedro Fernández” (hijo de Fernando)
Ocupacionales: “Martín Herrero”
Físicos o personales: “Luis el Rojo”
Fue a partir de la Edad Media, especialmente entre los siglos XI y XIV, cuando los apellidos comenzaron a heredarse de forma estable, primero entre nobles y luego entre clases populares.
Los Quinque Libri impulsaron una mayor claridad en la identificación, y en los siglos XVI y XVII, el uso de dos apellidos (paterno y materno) comenzó a consolidarse en España. En América Latina, se impusieron apellidos hispanos a poblaciones indígenas y a personas de procedencia africana, mientras que en Filipinas, el Catálogo alfabético de apellidos de 1849 estandarizó los apellidos para la administración colonial. Este proceso culminó en el siglo XIX con la fijación de los apellidos como identificadores únicos.
El registro civil en España: Del intento de 1841 al establecimiento de 1870
La secularización del siglo XIX llevó a la creación del registro civil, independiente de la Iglesia, para documentar los eventos vitales.
El intento de registro civil provisional de 1841
En 1841, durante el gobierno progresista de Baldomero Espartero, impulsado por el ministro Manuel Cortina, un decreto intentó establecer un registro civil provisional en España, en poblaciones medianas y grandes. Este esfuerzo buscaba modernizar la administración y reducir la influencia eclesiástica, ordenando a los ayuntamientos registrar nacimientos, matrimonios y defunciones. Sin embargo, la falta de infraestructura, la resistencia de la Iglesia y la inestabilidad política limitaron su éxito.
En muchas zonas, los registros parroquiales siguieron siendo la norma, y el sistema de 1841 no logró consolidarse.
El registro civil de 1870: Características y principios
La Ley Provisional del Registro Civil de 17 de junio de 1870, promulgada durante el Sexenio Democrático, presentada por Eugenio Montero Ríos, ministro de Gracia y Justicia, estableció un sistema permanente, universal y obligatorio. Sus características incluyeron:
Secularización: Los registros pasaron a manos de juzgados y ayuntamientos, independientes de la Iglesia. Aunque los libros parroquiales siguieron existiendo, dejaron de tener valor legal como prueba principal.
Universalidad/Obligatoriedad: Todos los nacimientos, matrimonios y defunciones debían registrarse, sin distinción de religión.
Estandarización: Se usaron formatos uniformes, incluyendo nombre, apellidos, fecha, lugar y datos de los padres o cónyuges, consolidando el uso de dos apellidos. Se organizaron tres libros principales: nacimientos, matrimonios y defunciones.
Publicidad legal/Accesibilidad: Los registros eran públicos para fines legales. Los actos inscritos tenían efectos jurídicos frente a terceros. La inscripción era gratuita.
Organización territorial: Se crearon registros municipales y un Registro Civil Central en Madrid.
A pesar de retos iniciales, como la resistencia eclesiástica, el registro civil de 1870 marcó un hito en la gestión de la identidad.
La evolución hacia el DNI y la identidad digital
El registro civil de 1870 sentó las bases para el Documento Nacional de Identidad (DNI), introducido en España en 1944, que integró datos como el nombre completo (con ambos apellidos) y un número único. Este modelo influyó en las cédulas de identidad de América Latina y el Philippine Identification System (PhilSys). En la era digital, el DNI electrónico (DNIe) de 2006 incorporó certificados digitales, mientras que sistemas como PhilSys en Filipinas utilizan biometría, reflejando la transición hacia la identidad digital.
En España se han producido varias versiones de DNI, incluyendo 3 versiones electrónicas y una App:
La ventaja hispana en la gestión de identidad frente al ODS 16.9 y los artículos 7 y 8 de la la Convención de los Derechos del Niño
La herencia hispana en los sistemas de registro, desde los Quinque Libri hasta el registro civil, posiciona a España, América Latina y Filipinas en una situación de ventaja para cumplir con el ODS 16.9 de la Agenda 2030 de las Naciones Unidas, que busca «proporcionar una identidad legal para todos, incluido el registro de nacimientos, para 2030». Asimismo, esta tradición apoya el cumplimiento de los artículos 7 y 8 de la Convención de los Derechos del Niño (1989), que garantizan el derecho de los niños a un nombre, una nacionalidad y a preservar su identidad.
La influencia hispana como ventaja estratégica
La tradición de los registros parroquiales, iniciada con el Concilio de Trento y la Real Cédula de 1564, estableció una cultura de documentación sistemática en el mundo hispano mucho antes que en otras regiones. Los Quinque Libri proporcionaron un modelo temprano de registro universal, que evolucionó hacia el registro civil en el siglo XIX. En España, el intento de 1841 y la consolidación de 1870 reflejaron un compromiso con la identificación universal, mientras que en América Latina y Filipinas, la influencia colonial aseguró que los sistemas de registro se implementaran incluso en contextos multiculturales.
Esta tradición ha dado lugar a sistemas robustos de registro civil en la mayoría de los países hispanohablantes. Por ejemplo, España cuenta con un Registro Civil Central bien organizado, mientras que países como México, Argentina y Chile tienen sistemas consolidados que cubren a la mayoría de su población. En Filipinas, el PhilSys representa un esfuerzo moderno para universalizar la identidad, apoyándose en la base histórica de los registros parroquiales. Esta infraestructura preexistente contrasta con regiones donde los sistemas de registro son más recientes o fragmentados, como partes de África subsahariana o Asia meridional, donde menos del 50% de los nacimientos están registrados en algunos países.
Un ODS para la identidad ODS 16.9
El ODS 16.9 busca garantizar que todas las personas tengan una identidad legal, especialmente a través del registro de nacimientos. En el mundo hispano, la alta cobertura de los registros civiles —en países como España (casi 100%), México (95%) o Argentina (98%)— posiciona a estas naciones para cumplir este objetivo con mayor facilidad. La estandarización de los apellidos y la obligatoriedad del registro desde el siglo XIX han facilitado la trazabilidad de las identidades, reduciendo el número de personas «invisibles» ante el Estado. En Filipinas, el PhilSys, lanzado en 2018, busca registrar a toda la población, incluyendo comunidades remotas, aprovechando la experiencia histórica de los registros coloniales.
Artículos 7 y 8 de la Convención de los Derechos del Niño
El artículo 7 de la Convención de los Derechos del Niño establece que todo niño tiene derecho a un nombre, a ser registrado al nacer y a adquirir una nacionalidad. El artículo 8 protege el derecho del niño a preservar su identidad, incluyendo su nombre, nacionalidad y relaciones familiares. La tradición hispana de registrar nacimientos desde los Quinque Libri y el registro civil de 1870 ha asegurado que la mayoría de los niños en España, América Latina y Filipinas sean registrados al nacer, cumpliendo con el artículo 7. Por ejemplo, en España, el registro de nacimientos es prácticamente universal, y en América Latina, países como Chile y Uruguay tienen tasas cercanas al 99%. En Filipinas, aunque las zonas rurales enfrentan retos, el PhilSys está abordando estas brechas.
El artículo 8 se beneficia de la práctica hispana de usar dos apellidos, que preserva tanto el linaje paterno como el materno, reforzando la identidad familiar. Esta tradición, consolidada en los registros civiles, ayuda a los niños a mantener un vínculo claro con su herencia, incluso en contextos de migración o adopción.
Desafíos y oportunidades
A pesar de esta ventaja histórica, persisten desafíos. En algunas regiones de América Latina, como áreas rurales remotas de Guatemala o Bolivia, y en comunidades indígenas, las tasas de registro de nacimientos son menores debido a barreras geográficas, lingüísticas o económicas. En Filipinas, las zonas remotas y los conflictos internos dificultan la cobertura total. Sin embargo, la infraestructura heredada de los sistemas hispanos, combinada con tecnologías como la biometría y los registros digitales, ofrece oportunidades para cerrar estas brechas. Por ejemplo, iniciativas como el PhilSys o los programas móviles de registro en América Latina están aprovechando esta base histórica para avanzar hacia el cumplimiento del ODS 16.9.
Ideas para el futuro
La influencia hispana en los sistemas de registro, desde los Quinque Libri ha creado un legado de documentación sistemática que posiciona a España, América Latina y Filipinas en una situación de ventaja para cumplir con el ODS 16.9 y los artículos 7 y 8 de la Convención de los Derechos del Niño. La estandarización de los apellidos, la secularización del registro civil y la transición hacia la identidad digital reflejan una evolución continua en la gestión de la identidad. En un mundo donde la identidad legal es crucial para acceder a derechos como la educación, la salud y la participación ciudadana, este legado histórico no solo es un testimonio de organización administrativa, sino también una herramienta poderosa para construir sociedades más inclusivas y equitativas.
Herramientas como ID4Dy MOSIP son valiosas en todo el mundo pero no deben olvidar la importancia de los registros parroquiales cuando existen, aunque generalicen el uso de la biometría. La experiencia hispana merece ser tenida en cuenta.
La Modular Open-Source Identity Platform (MOSIP), una plataforma de código abierto para sistemas de identidad nacional, que emerge como una potente herramienta para países en desarrollo y emergentes.
En este artículo veremos qué es MOSIP, cómo se conecta con el nuevo marco regulatorio europeo eIDAS 2 y la Cartera de Identidad Digital de la Unión Europea (IDUE, o European Digital Identity Wallet en inglés), y por qué esta integración podría revolucionar la identidad digital global. Además, se incluyen referencias técnicas a los repositorios de código fuente de MOSIP y de la implementación de la Cartera por Scytale Digital, destacando su naturaleza open-source y modular.
¿Qué es MOSIP?
MOSIP es una plataforma modular y de código abierto diseñada para ayudar a los estados a construir y gestionar sistemas de identidad nacional escalables, seguros y privados.
Desarrollada en 2018 por el International Institute of Information Technology Bangalore (IIIT-B) en India, inspirada en el exitoso sistema Aadhaar, MOSIP se ha convertido en un bien público digital global.
Su enfoque API-first permite la gestión del ciclo de vida de la identidad: emisión, verificación y administración.
Repositorios de Código Fuente de MOSIP
El código fuente de MOSIP está disponible en la organización de GitHub de MOSIP (https://github.com/mosip), bajo la licencia Mozilla Public License 2.0. Esta organización alberga más de 100 repositorios que cubren todos los módulos clave. Algunos de los principales incluyen:
mosip/mosip(https://github.com/mosip/mosip): Repositorio principal que proporciona una visión general de la estructura y enlaces a otros repos. Incluye documentación de releases, como la versión 1.2.0.1 LTS lanzada en marzo de 2024, con mejoras en servicios de autenticación y procesamiento.
mosip/registration(https://github.com/mosip/registration): Maneja el cliente de registro (desktop y Android) para capturar datos demográficos y biométricos. Soporta workflows personalizables y integración con ABIS (Automated Biometric Identification System).
mosip/registration-processor(https://github.com/mosip/registration-processor): Procesa paquetes de registro, realiza deduplicación y genera UIN (Unique Identification Number). Utiliza Apache Camel para flujos de trabajo y Vert.x para etapas escalables.
mosip/id-repository(https://github.com/mosip/id-repository): Almacena y gestiona identidades y credenciales, con soporte para encriptación y privacidad por diseño.
mosip/inji(https://github.com/mosip/inji): Aplicación móvil open-source para wallets de identidad, compatible con credenciales verificables (VCs) y presentaciones (VPs), facilitando la interoperabilidad con sistemas como la IDUE.
Estos repositorios permiten a los desarrolladores derivar ampliaciones o particularizaciones, contribuir y personalizar el código. La documentación detallada está en https://github.com/mosip/documentation, con guías para setup y contribuciones.
Principales Características de MOSIP
Modularidad: Permite a los países personalizar flujos de trabajo con microservicios independientes, evitando dependencias de proveedores específicos (vendor-neutral).
Seguridad y Privacidad: Implementa «Security by Design» y «Privacy by Intent», con encriptación criptográfica, arquitectura de conocimiento cero (zero-knowledge) y acceso solo vía APIs. No almacena datos sensibles en el sistema central.
Interoperabilidad: Cumple con estándares abiertos como IEEE, facilitando la integración con ecosistemas globales.
Escalabilidad: Soporta grandes poblaciones (hasta cientos de millones de usuarios) y se ha implementado en países como Filipinas, Marruecos, Sri Lanka y Etiopía, emitiendo más de 48 millones de IDs hasta 2022.
Código Abierto: Licenciado bajo Mozilla Public License 2.0, fomenta contribuciones comunitarias vía GitHub y reduce costos para gobiernos.
MOSIP no es solo una tecnología; es un ecosistema que incluye módulos como pre-registro en línea, captura biométrica, deduplicación (demográfica y biométrica) y autenticación. Su neutralidad de proveedores permite elegir integradores locales, promoviendo la llamada «soberanía digital».
Característica
Beneficio para Gobiernos
Ejemplo de Uso
Repositorio Relacionado
Modularidad
Personalización sin vendor lock-in
Integración con sistemas existentes como registros civiles.
mosip/registration-processor
Seguridad
Encriptación en tránsito y reposo
Prevención de fugas de datos en biometría (huellas, iris).
mosip/commons
Interoperabilidad
Estándares abiertos
Conexión con apps móviles como Inji para wallets.
mosip/inji
Escalabilidad
Soporte para >1B usuarios
Implementación en India-inspired pilots.
mosip/id-repository
eIDAS 2: El Marco Europeo para Identidad Digital
eIDAS (electronic IDentification, Authentication and trust Services) es el Reglamento (UE) 910/2014 que desde 2016 regula la identificación electrónica y servicios de confianza en la UE, como firmas electrónicas y sellos.
Su versión 2.0, aprobada en abril de 2024 como Reglamento (UE) 2024/1183, entró en vigor el 20 de mayo de 2024 y amplió el alcance del Reglamento anterior para abordar limitaciones como la baja adopción (solo un 59% de ciudadanos europeos con acceso seguro a un sistema de gestión digital de identidad) y la falta de interoperabilidad transfronteriza.
Novedades de eIDAS 2
Expansión de Servicios de Confianza: Incluye firmas remotas cualificadas, archivado electrónico y sellos de transacciones, equivalentes a firmas manuscritas.
Interoperabilidad Obligatoria: Los IDs electrónicos notificados en un Estado miembro deben reconocerse en todos los demás.
Énfasis en la Privacidad: Alineado con GDPR, enfatiza control del usuario sobre datos compartidos y minimización de datos.
Acceso Universal: Obliga a proveedores de servicios (públicos y privados en sectores como banca y salud) a aceptar IDs digitales para 2027.
eIDAS 2 busca un Mercado Único Digital inclusivo, con énfasis en ciberseguridad (cumpliendo, por ejemplo, la Directiva NIS 2) y accesibilidad para el 100% de la población europea para 2030.
La Cartera de Identidad Digital Europea (IDUE): El Corazón de eIDAS 2
La Cartera IDUE, o European Digital Identity Wallet (EUDI Wallet), es la innovación estrella de eIDAS 2: una App móvil gratuita y voluntaria para almacenar, gestionar y compartir credenciales digitales de forma segura.
Cada Estado miembro debe ofrecer al menos una versión interoperable para las navidades de 2026, compatible con Android/iOS y funcionalidades offline/online.
Repositorios de Código Fuente de la IDUE por Scytale
Scytale Digital, como parte de los Grandes Proyectos Piloto (Large Scale Pilots – LSP) de la Comisión Europea, contribuye activamente al desarrollo open-source de la EUDI Wallet.
Su código está disponible en GitHub bajo la licencia EUPL 1.2, enfocándose en implementaciones para iOS y alineadas con el «Architecture and Reference Framework (ARF)» arquitectura a la que hemos dedicado varios artículos en este blog.
Repositorios clave incluyen:
scytales-com/eudi-app-ios-wallet-ui-new(https://github.com/scytales-com/eudi-app-ios-wallet-ui-new): Prototipo de la app iOS para la IDUE. Permite obtener, almacenar y presentar Person Identification Data (PID) y mobile Driving License (mDL). Soporta flujos como escaneo de QR para emisión de credenciales, verificación remota vía OpenID4VP (draft 24), y presentaciones en proximidad. Incluye integración con Wallet Kit para orquestar componentes como encriptación y autenticación biométrica.
Contribuciones a la organización oficial eu-digital-identity-wallet(https://github.com/eu-digital-identity-wallet), como eudi-lib-ios-wallet-kit (https://github.com/eu-digital-identity-wallet/eudi-lib-ios-wallet-kit): Biblioteca para iOS que coordina funcionalidades de wallet, incluyendo emisión de documentos (e.g., euPidDocType con SD-JWT y mso_mdoc), resolución de ofertas de credenciales (OID4VCI) y presentaciones con zero-knowledge proofs. Proporciona APIs simplificadas para apps, con soporte para Secure Enclave y políticas de credenciales de un solo uso.
Estos repositorios forman parte de la «Reference Implementation» oficial, disponible en https://github.com/eu-digital-identity-wallet, y se actualizan regularmente para cumplir con especificaciones como Presentation Exchange v2.0 y DCQL.
Scytale enfatiza pruebas con BrowserStack y contribuciones comunitarias vía CONTRIBUTING.md, recomendando no usar en entornos de producción sin validación adicional.
Funcionalidades Clave de la Cartera IDUE (EUDI Wallet)
Almacenamiento Selectivo: Guarda IDs nacionales, diplomas, licencias de conducir, certificados médicos o IBAN, compartiendo solo atributos necesarios (e.g., edad sin revelar nombre completo).
Autenticación Segura: Usa biometría, PIN o claves criptográficas; soporta firmas cualificadas gratuitas para uso no profesional.
Interoperabilidad: Basada en el ARF, permite uso transfronterizo sin revelar datos excesivos.
Control por el Usuario: Rastrea la información que se comparte y permite retirar el consentimiento para usar la información que se cedió en el pasado, en línea con e GDPR y la LOPD-GDD.
Algunos ejemplos de uso: Abrir una cuenta bancaria en otro país UE sin documentos físicos; firmar contratos remotos; acceder a servicios de salud transfronterizos.
Para las navidades de 2027, las empresas de varios sectores económicos deben aceptarla para acreditar la identidad, así como las plataformas con >45M usuarios (e.g., redes sociales).
Beneficio
Para Ciudadanos
Para Empresas
Facilidad
Acceso unificado a servicios EU.
Reducción de fraudes en KYC/AML.
Privacidad
Compartir mínimo viable.
Cumplimiento GDPR/eIDAS.
Eficiencia
Menos burocracia.
Costos bajos en verificación.
Eventos Relevantes sobre MOSIP y la Cartera IDUE
La intersección entre MOSIP y la IDUE ha sido tema de discusión en varios eventos internacionales, fomentando la interoperabilidad entre sistemas de identidad globales y europeos. Estos foros destacan colaboraciones entre expertos, gobiernos y desarrolladores para alinear estándares abiertos y wallets digitales. A continuación, algunos ejemplos:
Seminario internacional de RENIEC en Perú (2023 y 2025): Organizado por el Registro Nacional de Identificación y Estado Civil (RENIEC) de Perú, este taller sobre identidad digital incluyó discusiones sobre la adopción de MOSIP para sistemas nacionales y su potencial integración con marcos europeos como eIDAS 2 y la IDUE. Participaron Julián Inza, experto en identidad digital, y Nagarajan Santhanam, de MOSIP, quienes compartieron experiencias en implementación de plataformas modulares y wallets interoperables. El evento enfatizó la soberanía digital en América Latina y oportunidades para conectar con la IDUE en contextos migratorios y comerciales.
MOSIP CONNECT 2024 (Addis Abeba, Etiopía): Celebrado en noviembre de 2024, este foro anual de MOSIP reunió a líderes globales para explorar interoperabilidad con ecosistemas europeos. Se abordó explícitamente la alineación de MOSIP con la IDUE, incluyendo sesiones sobre zero-knowledge proofs y credenciales verificables compatibles con OpenID4VP. Nagarajan Santhanam presentó avances en el módulo Inji de MOSIP, destacando su rol como puente hacia wallets como la IDUE para países en desarrollo.
Large Scale Pilots (LSP) Workshops de eIDAS 2 (2024-2025): Bajo la iniciativa de la Comisión Europea, estos talleres piloto (e.g., en Bruselas y virtuales) han incluido paneles sobre integración global de wallets. En sesiones de 2024, se mencionó MOSIP como modelo para identidades fundacionales en el Sur Global, con discusiones sobre cómo mapear credenciales MOSIP a la IDUE para reconocimiento transfronterizo. Contribuyentes como Scytale Digital compartieron código open-source para pruebas de interoperabilidad.
Estos eventos subrayan la creciente colaboración, con énfasis en estándares compartidos para un ecosistema inclusivo.
Conexión entre la Identidad Digital de MOSIP y la Cartera IDUE de EIDAS2:
Aunque MOSIP es global y eIDAS 2 se centra en la Unión Europea, su conexión radica en la interoperabilidad y estándares abiertos, esenciales para un mundo interconectado.
MOSIP, con su enfoque en la creación de identidades, puede servir como base para integrar Carteras de identidad, especialmente para países extracomunitarios que interactúan con Europa (e.g., comercio, migración).
Técnicamente, el módulo Inji de MOSIP (https://github.com/mosip/inji) soporta declaraciones electrónicas de atributos compatibles con OpenID4VP y SD-JWT, alineándose con las bibliotecas de Scytale para la EUDI Wallet como eudi-lib-ios-wallet-kit.
Eventos como MOSIP CONNECT 2024 han acelerado estas discusiones, promoviendo pilotos conjuntos.
Algunas posibles interacciones se planean en aspectos como
Interoperabilidad Técnica: MOSIP soporta estándares como OpenID Connect y protocolos biométricos que alinean con el ARF de eIDAS 2. Países que usan MOSIP (e.g., en África, Asia) podrían mapear sus IDs a la Cartera de Identidad Digital Europea para reconocimiento mutuo, facilitando flujos migratorios o comerciales. Por ejemplo, un inmigrante con ID MOSIP podría vincularse a una IDUE para servicios en Europa, usando repos como mosip/id-authentication para verificación.
Privacidad y Seguridad Compartidas: Ambas enfatizan zero-knowledge proofs y consentimiento; la encriptación biométrica de MOSIP complementa la biometría de la IDUE en repos como scytales-com/eudi-app-ios-wallet-ui-new.
Oportunidades para Países en Desarrollo: MOSIP reduce costos (cero licencia) y permite escalabilidad; integrarlo con eIDAS 2 abriría mercados en Europa. En el MOSIP CONNECT 2024 (Addis Abeba), se discutió interoperabilidad con ecosistemas de la UE, reconociendo que sistemas globales como MOSIP deben alinearse con ls Carteras IDUE para encarar convergencias futuras. Similarmente, el evento de RENIEC en Perú exploró aplicaciones regionales.
Desafíos: Diferencias regulatorias (eIDAS es vinculante en para los países europeos; MOSIP es voluntario) requieren puentes estandarizados. Pilotos como los Large Scale Pilots de eIDAS que se están iniciando en 2025, como We Build podrían probar integraciones con MOSIP, contribuyendo código a repositorios compartidos.
En resumen, MOSIP proporciona una infraestructura robusta para identidades nacionales de nuevo cuño (vía su GitHub), mientras eIDAS 2 y la Cartera (con contribuciones de Scytale) aseguran interoperabilidad a nivel europeo.
Juntas, podrían promover un ecosistema global inclusivo, donde un ID MOSIP en Etiopía podría validar transacciones en Alemania, impulsado por colaboraciones en eventos internacionales.
Ideas finales
MOSIP representa la un enfoque orientado a facilitar la adopción de la identidad digital en países con escasa infraestructura, por ejemplo en Asia o África, mientras eIDAS 2 y la Cartera IDUE marcan la soberanía digital en Europa en lo relativo a la identidad digital. Su conexión potencial podría facilitar el comercio y la movilidad, y fomentar principios universales de privacidad y accesibilidad.
Para gobiernos y empresas, adoptar MOSIP con un horizonte labrado por eIDAS 2 significa invertir en un futuro interoperable, según puede intuirse a la vista de sus repositorios open-source para integraciones personalizadas.
Servicios de EADTrust
Contacte con EADTrust en el +34 917160555 o info (at) eadtrust.eu si necesita entender el funcionamiento de las Carteras de Identidad. Nuestros consultores y desarrolladores también están disponibles para proyectos de gobiernos, organismos públicos y entidades multilaterales.
La Comisión Europea anuncia el lanzamiento de una nueva consulta pública (Have Your Say platform for public feedback) para la revisión de actos de ejecución correspondientes a un nuevo lote (el quinto) de los previstos en el Reglamento EIDAS2, respecto a los que se podrán enviar comentarios hasta el 2 de octubre de 2025.
Se trata de la versión consolidada del Reglamento (UE) nº 910/2014, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza en las transacciones electrónicas en el mercado interior, tras la modificación del Reglamento (UE) 2024/1183 del Parlamento Europeo y del Consejo, de 11 de abril de 2024, en lo que respecta al establecimiento del marco europeo de identidad digital (Reglamento eIDAS 2).
En este nuevo lote, el primero de los borradores de actos de ejecución recoge los requisitos que tienen que cumplir los Prestadores de Servicios Cualificados de Confianza según el apartado 2 del artículo 24.
El tercero se refiere a los artículos 27 (firmas electrónicas en los servicios públicos) y 37 (sellos electrónicos en los servicios públicos) y establece sus formatos:
El cuarto se refiere a los certificados cualificados de autenticación de sitio web (Qualified Web Authentication Certificates) que trata el artículo 45
Y el quinto a los sistemas de archivo con garantía de orden cronológico del Artículo 45 terdecies (Requisitos aplicables a los libros mayores electrónicos cualificados):
Todavía faltan la publicación de algunos borradores más:
Artículo 19 bis. Requisitos aplicables a los prestadores no cualificados de servicios de confianza.
Requisitos de evaluación del artículo 20:
a) la acreditación de los organismos de evaluación de la conformidad y el informe de evaluación de la conformidad a que se refiere el apartado 1;
b) los requisitos de auditoría con arreglo a los cuales los organismos de evaluación de la conformidad realizarán la evaluación de la conformidad, incluida la evaluación compuesta, de los prestadores cualificados de servicios de confianza a que se refiere el apartado 1;
c) los sistemas de evaluación de la conformidad que utilizarán los organismos de evaluación de la conformidad para evaluar la conformidad de los prestadores cualificados de servicios de confianza y para proporcionar el informe a que se refiere el apartado 1.
En el marco de los Servicios de EADTrust de preparación de infraestructuras para afrontar los retos de la Computación Cuántica en relación con la Criptografía y la Preservación de documentos, uno de los primeros pasos es ayudar a entender bien como la física cuántica nos lleva a la Computación Cuántica, como podemos hacer algunos programas simples con qubits y, tras entenderlos, como la superposición y el entrelazamiento cuánticos dan lugar al algoritmo de Shor que permitirá descifrar claves privadas de algoritmos como RSA y ECC.
Después ayudaremos a nuestros clientes a diagnosticar sus infraestructuras identificando en qué puntos se usa cifrado y otras técnicas criptográficas y explicando qué alternativas van apareciendo entre los algoritmos postcuánticos para reforzar los puntos débiles.
Y cuando estén listos les proporcionaremos los servicios criptográficos actualizados con los últimos algoritmos resistentes a la computación cuántica estandarizados como FIPS-203, FIPS-204, FIPS-205 y FIPS-206.
En esta fase presentamos el curso “Introducción a la Computación Cuántica y a la Criptografía Postcuántica» en Madrid, dirigido a entidades que emplean cifrado y técnicas criptográficas, con ponentes expertos y temario adaptado a la emergencia de la computación cuántica y sus riesgos para la seguridad digital.
Objetivo y Público
El curso está orientado a empleados y directivos de entidades financieras, bancarias, aseguradoras, administraciones públicas, organismos de defensa y seguridad, empresas tecnológicas, telecomunicaciones y proveedores considerados infraestructuras críticas, así como a responsables de innovación, ciberseguridad y estrategia tecnológica.
Fechas, Lugar y Participación
Fechas: 12 y 13 de noviembre de 2025, de 10 a 17 horas.
Lugar: Hotel Zenith Conde Orgaz, Madrid (presencial).
Participación: Incluye material didáctico, ejercicios prácticos con el IQC Kit, comidas y café.
Realización y Ponentes
Jorge Christen, experto en computación cuántica y profesor universitario.
Julián Inza, especialista en criptografía y consultor en ciberseguridad encargado de iniciativas internacionales de estandarización post-cuántica.
Temario
Día 1: Nivel introductorio
Historia de la física cuántica.
Conceptos básicos (qubits, superposición, esferas de Bloch, puertas cuánticas).
Impacto de la computación cuántica en criptografía.
Revisión de algoritmos post-cuánticos y roadmap NIST, ETSI, UE, ENISA y CCN.
Contexto y Relevancia
2025 es el Año Internacional de la Ciencia y la Tecnología Cuánticas, con importantes avances como la primera computadora cuántica comercial de Microsoft (24 cúbits lógicos), incremento de inversión tecnológica global y esfuerzos coordinados por la UE, NIST y otros organismos para la adopción de criptografía post-cuántica ante el riesgo del “criptocalipsis”.
Roadmap Europeo
La hoja de ruta comunitaria prevé:
Concienciación y evaluación de riesgos (2023-2024).
Desarrollo de capacidades y planificación (2024-2025).
Implementación y pruebas (2025-2027).
Adopción completa y monitoreo (desde 2027). Prioriza sectores críticos, seguridad de la cadena de suministro, cumplimiento normativo, interoperabilidad, capacitación y campañas de sensibilización.
Precios y Descuentos
Precio general: 900 € + IVA.
Descuento del 25% (675 €) para clientes de EADTrust o referenciados. Fecha límite para descuento: 1 de noviembre de 2025.
Certificado e Inscripción
Se entrega certificado acreditativo de la formación.
Inscripción mediante formulario en la web o por correo electrónico, con protección de datos conforme a RGPD y LOPDGDD.
Requisitos y Contacto
No se requieren conocimientos previos de física, computación cuántica ni criptografía.
Información y consultas en info@eadtrust.eu o teléfono 917160555
Recientemente, el Organismo Supervisor de Prestadores Cualificados de Confianza eIDAS en España ha comunicado a los prestadores de servicios de confianza la recomendación de abandonar el uso de claves RSA de hasta 2048 bits, indicando que la fuente de la recomendación es el CCN (Centro Criptógico Nacional) a través del documento CCN-STIC 221 – Guía de Mecanismos Criptográficos autorizados por el CCN.
Sin embargo, ese documento no entra en detalles de tamaños de clave recomendados aunque indica en su página 104
Los resultados del ataque ROCA obligó a varios gobiernos europeos a revocar todos los certificados digitales de millones de tarjetas de identificación de sus ciudadanos, ya que tenían claves de 1024 bits y se podía suplantar la identidad de sus ciudadanos. En España se optó por la misma medida de prevención, aunque los DNIe españoles no corrían el mismo peligro que los documentos de identidad utilizados en otros países, ya que el DNIe español utiliza claves de 2048 bits.
dando a entender que un tamaño de 2048 bits en RSA es apropiado.
En realidad, las claves de los dispositivos cualificados de casi todos los países (no solo España) eran en aquel momento de 2048 bits, pero la vulnerabilidad ROCA afectaba al algoritmo de generación de claves adoptado por Infineon (que lo limitó al uso de la variante «Fast Prime») con lo que hubiera sido sencillo sustituir las claves generadas por aquellos chips con generadores externos al propio chip.
En muchos lugares (incluida España) se optó por generar claves RSA de 1952-bits en el propio chip. A tal efecto se modificó el software de los «cajeros automáticos del DNI» para actualizar los certificados (y su clave privada asociada) cuando acudieran los ciudadanos a la renovación de certificados. Para siguientes emisiones de DNIe se usaron dispositivos diferentes.
Los mecanismos criptográficos autorizados indicados en los siguientes apartados se han clasificado en dos (2) categorías (CAT) de acuerdo con su fortaleza estimada a corto y largo plazo:
a) Recomendados (R): mecanismos que ofrecen un nivel adecuado de seguridad a largo plazo. Se considera que representan el estado del arte actual en seguridad criptográfica y que, a día de hoy, no presentan ningún riesgo de seguridad significativo. Se pueden utilizar de forma segura a largo plazo, incluso teniendo en cuenta el aumento en potencia de computación esperado en un futuro próximo. Cualquier riesgo residual, solo podrá proceder del desarrollo de ataques muy innovadores.
b) Heredado o Legacy (L): mecanismos con una implementación muy extendida a día de hoy, pero que ofrecen un nivel de seguridad aceptable solo a corto plazo. Únicamente deben utilizarse en escenarios en los que la amenaza sea baja/media y el nivel de seguridad requerido por el sistema bajo/medio (como veremos en el apartado 5) y deben ser reemplazados tan pronto como sea posible, ya que se consideran obsoletos respecto al estado del arte actual en seguridad criptográfica, y su garantía de seguridad es limitada respecto a la que ofrecen los mecanismos recomendados. Como consecuencia de ello, para estos mecanismos se define el periodo de validez hasta 2025 (31 de diciembre), salvo indicación expresa de otro periodo.
En la Tabla 3-2. Tamaño de las primitivas RSA acordadas se considera (L)egacy la criptografía RSA de hasta 2024 bits.
En la Tabla 3-4. Curvas elípticas acordadas se consideran (R)ecomendada la criptografía ECC de todos los tamaños habituales entre los que se encuentran NIST P-256 o secp256r11 y NIST P-384 o secp384r1
En la Tabla 3-8. Esquemas de Firma electrónica autorizados se consideran L los tamaños de clave RSA hasta 2024 y R los tamaños de clave RSA de más de 3072 bits. Y en las variantes ECC las de tamaños a partir de 256 bits.
En la página 50 se entra en detalle sobre la firma electrónica [MP.INFO.3] tal como se encuentra definida en el Reglamento eIDAS y según la forma en la que se debe aplicar en las Administraciones Públicas en el contexto del Esquema Nacional de Seguridad.
Para los niveles bajo y medio del ENS se admiten claves RSA (del firmante) de, al menos, 2048 bits, claves de 224-255 bits si se emplean curvas elípticas y Funciones hash SHA-256 o superior.
Sin embargo, tal como se ha visto esa posibilidad entra en la consideración de «Legacy» y se tiene que dejar de usar desde el 1 de enero de 2026.
Para el nivel alto del ENS se requiere una fortaleza mínima de 128 bits, que, según se ve en las tablas indicadas anteriormente debe ser en RSA de al menos, 3072 bits, y de más de 256 bits si se emplean curvas elípticas . Se entra en detalle en la Tabla 3-8.
En cuanto a los Sellos de Tiempo [MP.INFO.4] se consideran los requisitos para el ENS alto:
Se utilizarán productos certificados conforme a lo establecido en el ENS ([op.pl.5] Componentes Certificados).
Se emplearán «sellos cualificados de tiempo electrónicos» atendiendo a lo establecido en el Reglamento eIDAS.
Se utilizarán mecanismos de firma electrónica recomendados y fortaleza mínima 128 bits, es decir: # RSA de, al menos, 3072 bits (aunque se recomienda el uso de 4096 bits). # Curvas elípticas con claves de, al menos, 256 bits. # Funciones resumen de las incluidas en la serie SHA-2 o SHA-3 con una seguridad mayor o igual que SHA-256. – Para los esquemas enlazados, la seguridad recae en la función resumen empleada, por tanto, se empleará cualquiera de las funciones de la serie SHA-2 o SHA-3 con una seguridad mayor o igual que SHA-256.
Todos estos requisitos son muy difíciles de afrontar si se empiezan a considerar en el año 2025, pero EADTrust ya los tuvo en cuenta en la definición de sus jerarquías de certificación desde su creación.
Jerarquias de certificación de EADTrust.
Las jerarquías de certificación de EADTrust ya cumplen los requisitos establecidos por el CCN desde que se diseñaron y se llevó a cabo la ceremonia de generación de claves de CA en 2019, sin esperar a la fecha límite de diciembre de 2025. Se estructuran en tres niveles (Root CA, Sub-CA e Issuing CA) y combinan tecnologías RSA y ECC, posicionando a EADTrust como pionera en Europa por su uso dual. Esta estructura soporta la emisión de certificados cualificados para firma electrónica, sellos electrónicos y autenticación de sitios web, cumpliendo con los estándares de ETSI y CEN para eIDAS y garantizando alta seguridad y confianza en transacciones electrónicas. La adopción de ECC refuerza su preparación para desafíos criptográficos futuros y ha sido clave para su designación como la entidad emisora de los certificados utilizados por los organismos sanitarios españoles para emitir el pasaporte COVID-19 durante la pandemia.
Las variantes de certificados ofrecidos por EADTrust son las siguientes:
Autenticación y firma electrónica de personas físicas,
Autenticación y firma electrónica de personas físicas, con indicación de entidad en la que trabajan,
Autenticación y firma electrónica de representantes legales de personas jurídicas,
Autenticación y firma electrónica de empleados públicos,
Autenticación y firma electrónica de empleados públicos, en el contexto de la Administración de Justicia
Autenticación y sello electrónico de personas jurídicas,
Autenticación y sello electrónico de órganos de la administración pública,
Autenticación y sello electrónico de personas jurídicas sujetas a la normativa PSD2,
La creación de sellos de tiempo electrónicos cualificados,
La comprobación y validación de firmas electrónicas, sellos electrónicos, y de sellos de tiempo electrónicos,
La conservación de firmas electrónicas, sellos o certificados para estos servicios
Se contemplan algoritmos criptográficos de tipo RSA con tamaños de clave de 2048 bits, 4196 bits y 8192 bits y algoritmos criptográficos de tipo ECC (Criptografía de Curva Elíptica) con tamaños de clave de 256 bits y 384 bits.
Los diferentes niveles de robustez de criptografía permiten el cumplimiento de los niveles medios y altos del ENS (Esquema Nacional de Seguridad) de España, tal como se describen en el documento “Guía de Seguridad de las TIC – CCN-STIC 807 – Criptología de empleo en el Esquema Nacional de Seguridad” citado, según las necesidades de las Administraciones Públicas.
Los tamaños de clave para los certificados cualificados (a partir de los certificados de Autoridad de Certificación raíz) son:
RSA Root CA 2048-bit key size with SHA256 digest algorithm para certificados cualificados.
RSA Root CA 4096-bit key size with SHA256 digest algorithm para certificados cualificados.
RSA Root CA 8192-bit key size with SHA512 digest algorithm para certificados cualificados.
ECC Root CA P-256 with SHA256 digest algorithm para certificados cualificados.
ECC Root CA P-384 with SHA384 digest algorithm para certificados cualificados. Para certificados no cualificados
RSA Root CA 2048-bit key size with SHA256 digest algorithm para certificados no cualificados.
En la siguiente figura se muestra la jerarquía RSA de 4096 bits que es similar a la de 8192 bits.
En la siguiente figura se muestra la jerarquía ECC de 384 bits que es similar a la de 256 bits.
Desde principios de 2023 EADTrust ha difundido además los nuevos certificados para la provisión de servicios de sello de tiempo cualificado diferenciados por usar diferentes algoritmos criptográficos, tamaño de clave y uso o no de Dispositivo Cualificado de Creación de Sello o de Firma (DCCF, DCCS o QSCD) Algunos están especialmente diseñados para cumplir requisitos establecidos en el Esquema nacional de Seguridad (ENS) para el Nivel de Seguridad Alto.
Los campos “CommonName” de los nuevos certificados son:
Certificado
Criptografía
Tamaño Clave
QCSD
ENS
EADT QTSU 2023 RSA 2048
RSA
2048
NO
NO
EADT QTSU 2023 ENS alto RSA 3072
RSA
3072
NO
SI
EADT QTSU QSCD 2023 ENS alto RSA 4096
RSA
4096
SI
SI
EADT QTSU 2023 ENS alto ECC 256
ECC
256
NO
SI
EADT QTSU QSCD 2023 ENS alto ECC 384
ECC
384
SI
SI
Por compatibilidad se mantienen los sellos de tiempo basados en criptografía RSA de 2048 bits, destinados a entidades no sujetas al cumplimiento del la normativa ENS del Esquema nacional de Seguridad.
En un mundo cada vez más digital, los particulares, las empresas y las organizaciones necesitan herramientas que garanticen comunicaciones seguras, rápidas y con validez legal. Noticeman, el sistema de notificaciones electrónicas certificadas desarrollado por EADTrust, se presenta como una solución innovadora que combina tecnología avanzada con cumplimiento normativo.
A continuacón exploraremos las ventajas de Noticeman, su respaldo legal bajo el Reglamento eIDAS, casos de uso que demuestran su versatilidad y una comparación con el tradicional burofax para ayudarte a elegir la mejor opción para tus necesidades de comunicación fehaciente.
¿Qué es Noticeman?
Noticeman es una plataforma de correo electrónico certificado diseñada por EADTrust, un Prestador de Servicios de Confianza Digital cualificado según el Reglamento eIDAS. Este sistema permite enviar notificaciones electrónicas con garantías de integridad, autenticidad y trazabilidad, asegurando que tanto el emisor como el receptor puedan demostrar la entrega, recepción y contenido de la comunicación. A diferencia de métodos tradicionales como el burofax o el correo postal certificado, Noticeman ofrece una alternativa más rápida, eficiente y sostenible, manteniendo plena validez jurídica.
Ventajas de Noticeman
Noticeman se distingue por ofrecer una serie de ventajas clave que lo convierten en una herramienta esencial para empresas, administraciones públicas, particulares y profesionales:
Validez Legal y Cumplimiento Normativo: Noticeman opera bajo el marco del Reglamento eIDAS (Reglamento (UE) Nº 910/2014), que establece estándares para servicios de confianza digital en la Unión Europea. Esto garantiza que las notificaciones enviadas a través de la plataforma son admisibles como prueba en procedimientos judiciales o arbitrales, gracias a su capacidad de dejar constancia del momento de la notificación y de su contenido.
Seguridad y Trazabilidad: Utilizando criptografía de clave pública y sellos de tiempo cualificados, Noticeman asegura la identificación del emisor y del receptor, la integridad del contenido y registra los momentos exactos de envío, recepción, lectura y descarga. Además, las evidencias electrónicas generadas se custodian en la plataforma Cartulario, complementada con tecnología blockchain, lo que refuerza su autenticidad y fiabilidad.
Eficiencia y Ahorro de Costos: Al eliminar la necesidad de papel, envíos postales y procesos manuales, Noticeman reduce significativamente los costos asociados a las comunicaciones certificadas. Su interfaz sencilla permite enviar notificaciones en pocos pasos, agilizando procesos que antes podían tomar días.
Sostenibilidad: Al ser un sistema completamente digital, Noticeman contribuye a la reducción del consumo de papel, apoyando la sostenibilidad ambiental y ayudando a las empresas a cumplir con sus objetivos de responsabilidad social corporativa.
Integración y Escalabilidad:Noticeman ofrece integración mediante servicios web, ideal para empresas con altos volúmenes de notificaciones. Sus certificaciones ISO 9001, ISO 20000-1 e ISO 27001 aseguran un servicio robusto y adaptable a las necesidades de cualquier organización.
Legislación Relevante
Noticeman se alinea con el Reglamento eIDAS (Reglamento (UE) Nº 910/2014), que regula los servicios de identificación electrónica y confianza en la Unión Europea. Este marco legal establece que las notificaciones electrónicas certificadas tienen la misma validez que las comunicaciones tradicionales en papel, siempre que cumplan con requisitos como la identificación de las partes, la integridad del contenido y la certificación de los tiempos de envío y recepción. En España, además, la Ley 39/2015 del Procedimiento Administrativo Común fomenta el uso preferente de notificaciones electrónicas en las administraciones públicas, reforzando la relevancia de herramientas como Noticeman. Estas normativas garantizan que las comunicaciones enviadas a través de Noticeman sean seguras, confiables y legalmente vinculantes.
Casos de Uso de Noticeman
Noticeman es una solución versátil que se adapta a una amplia variedad de sectores y necesidades. A continuación, presentamos algunos ejemplos prácticos:
Sector Legal y Administrativo:
Notificaciones Judiciales y Administrativas: Noticeman permite a procuradores, y abogados enviar comunicaciones certificadas a sus clientes, dejando constancia de los pasos que dan en representación de sus intereses.
Perfeccionamiento de Contratos: Las empresas pueden cerrar contratos enviando una oferta y recibiendo la aceptación del destinatario, con evidencias electrónicas que certifican el consentimiento explícito.
Sector Financiero y de Seguros:
Noticeman es ideal para enviar notificaciones certificadas sobre movimientos bancarios, renovaciones de pólizas o informes periciales. Las instituciones financieras y aseguradoras, altamente reguladas, se benefician de la trazabilidad y la capacidad de prueba ante posibles disputas.
Telecomunicaciones y Servicios Públicos:
Las empresas de telecomunicaciones y proveedores de servicios esenciales (electricidad, agua, gas) pueden notificar a sus clientes cambios en el servicio, facturas electrónicas o cancelaciones, cumpliendo con las estrictas regulaciones del sector.
Gestión Empresarial (B2B, B2C y B2E):
Relaciones con Proveedores y Clientes: Noticeman facilita la comunicación certificada en acuerdos comerciales, recordatorios de pagos o gestión de contratos con proveedores y clientes.
Gestión de Recursos Humanos: Las empresas pueden enviar nóminas, circulares internas o comunicaciones laborales (como cambios de ubicación o despidos) con garantías de recepción y sin disputas legales.
Sector Educativo y Administraciones Públicas:
Universidades y organismos públicos utilizan Noticeman para notificar plazos, listas de admisión o resultados de procesos de selección, garantizando transparencia y cumplimiento normativo.
Particulares:
Particulares pueden notificar circunstancias relativas al cumplimiento de convenios reguladores, circunstancias que afectan a los contratos de arrendamientos, y otras situaciones de las que deseen dejar constancia. También para Reclamaciones y quejas y para convocatorias y citaciones
Autores: pueden dejar constancia de la existencia de un documento (por ejemplo, para alegar la autoría o precedencia) en un momento dado.
Comparación entre Noticeman y Burofax
Tanto Noticeman como el burofax son herramientas utilizadas para enviar comunicaciones certificadas con validez legal, pero cada una tiene características que la hacen más adecuada según el contexto. A continuación, analizamos las diferencias clave, los casos en los que cada sistema es preferible y una tabla comparativa de costos.
Diferencias Clave
Formato y Entrega: Noticeman es un sistema completamente digital que opera a través de correo electrónico certificado, permitiendo envíos instantáneos y accesibles desde cualquier dispositivo con conexión a internet. El burofax, por su parte, es un servicio postal físico que combina correo postal con acuse de recibo, lo que implica tiempos de entrega más largos y dependencia de servicios postales.
Trazabilidad: Noticeman ofrece una trazabilidad completa, registrando eventos como el envío, la recepción, la apertura y la descarga del mensaje, respaldados por sellos de tiempo cualificados y tecnología blockchain. El burofax proporciona un acuse de recibo físico, pero no registra eventos intermedios ni garantiza la integridad del contenido con el mismo nivel de detalle.
Costos y Escalabilidad: Noticeman es significativamente más económico, especialmente para envíos masivos, y permite integraciones automáticas para empresas. El burofax tiene costos más altos debido a la logística física y no es práctico para grandes volúmenes.
Sostenibilidad: Noticeman es una solución sin papel, alineada con prácticas sostenibles, mientras que el burofax genera residuos físicos (papel, sobres, transporte).
Alcance Internacional: Noticeman permite enviar notificaciones a cualquier parte del mundo de forma instantánea, siempre que el destinatario tenga acceso a correo electrónico. El burofax, al depender de servicios postales, puede ser más lento y costoso para envíos internacionales.
Cuándo Usar Noticeman
Noticeman es la opción preferida en los siguientes casos:
Digitalización y Automatización: Empresas que buscan integrar notificaciones certificadas en sus sistemas (CRM, ERP) o enviar grandes volúmenes de comunicaciones.
Urgencia: Cuando se necesita una entrega inmediata, ya que Noticeman envía notificaciones en segundos.
Destinatarios Digitales: Si el destinatario está acostumbrado a comunicaciones electrónicas o prefiere recibir notificaciones por correo electrónico.
Sostenibilidad: Organizaciones que priorizan la reducción de su huella de carbono.
Costos Reducidos: Para empresas o profesionales que necesitan una solución económica sin sacrificar validez legal.
Cuándo Usar Burofax
El burofax puede ser más adecuado en los siguientes casos:
Requisitos Legales Específicos: En algunos procedimientos legales o administrativos en España, ciertas normativas pueden requerir explícitamente el uso de burofax físico como medio de notificación, aunque esto es cada vez menos común gracias a la aceptación de notificaciones electrónicas bajo eIDAS.
Destinatarios sin Acceso Digital: En casos excepcionales donde el destinatario no utiliza correo electrónico o no tiene acceso a herramientas digitales, el burofax garantiza la entrega física.
Preferencia por Documentos Físicos: En situaciones donde el destinatario o el emisor prefieren un documento físico como prueba tangible, aunque esto es menos relevante dado el reconocimiento legal de las evidencias electrónicas.
Tabla Comparativa de Costos
Aspecto
Noticeman
Burofax
Costo por Notificación
Desde 5 € por notificación (1 € comprando 100). Fichero de hasta 5Mb
Desde 9,9 € por notificación (1 página) + 0,9 € por cada página adicional
Costos Adicionales
Sin costos adicionales. Custodia 60 meses. (integración API gratuita en planes avanzados)
Con custodia de 60 meses, Prueba de Entrega Electrónica (PEE) y copia certificada 18,52 € Costes adicionales en envíos internacionales
Envíos Masivos
Descuentos por volumen; integración automática para grandes cantidades
Costos proporcionales al número de envíos, sin descuentos significativos
Tiempo de Entrega
Instantáneo (segundos)
1-3 días laborables (nacional); más para internacional
Sostenibilidad
Sin papel, 100% digital
Consumo de papel y transporte físico
Nota: Los costes son sin IVA
Conclusión
Noticeman de EADTrust representa un avance significativo en la gestión de notificaciones electrónicas, combinando seguridad, eficiencia y sostenibilidad con un respaldo legal sólido bajo el Reglamento eIDAS y la legislación nacional. Su comparación con el burofax muestra que, en la mayoría de los casos, Noticeman es la opción más rápida, económica y adaptable, especialmente para empresas que buscan digitalizar sus procesos. Sin embargo, el burofax sigue siendo relevante en casos específicos donde se requiera una entrega en una dirección postal.
Sea cual sea tu necesidad, Noticeman ofrece una solución moderna y confiable para llevar tus comunicaciones al siguiente nivel.
¿Listo para optimizar tus comunicaciones certificadas? Regístrate hoy en Noticeman y descubre cómo puedes ahorrar tiempo, reducir costos y garantizar la validez legal de tus notificaciones. ¡Mira los precios! Y lee las preguntas frecuentes y sus respuestas.
Todo es electrónico 