Preguntas frecuentes

eIDAS 2.0 (Reglamento (UE) 2024/1183) es la revisión completa del marco europeo de 2014 sobre identificación electrónica y servicios de confianza. A diferencia del eIDAS original, que se apoyaba en el reconocimiento mutuo voluntario de los sistemas nacionales de identificación electrónica, eIDAS 2.0 obliga a cada Estado miembro a facilitar a todos sus ciudadanos y residentes una cartera europea de identidad digital (EUDIW). Además amplía los servicios de confianza cualificados con la declaración electrónica de atributos, el archivo electrónico y los registros electrónicos, e impone nuevas obligaciones de aceptación a las partes usuarias públicas y privadas.

eIDAS 2.0 se publicó en el Diario Oficial de la UE el 30 de abril de 2024 y entró en vigor el 20 de mayo de 2024. Los Estados miembros deben ofrecer al menos una cartera europea de identidad digital antes del 24 de diciembre de 2026. Esa fecha no es un intervalo: el artículo 5 bis, apartado 1, les concede 24 meses desde la entrada en vigor de los primeros actos de ejecución, y los Reglamentos de Ejecución (UE) 2024/2977 a 2024/2982 entraron en vigor el 24 de diciembre de 2024. La aceptación obligatoria por las partes usuarias de sectores regulados llega después, entre 2026 y 2027.

eIDAS 2.0 afecta a un abanico amplio de actores en la UE. Los Estados miembros deben desplegar carteras certificadas y actualizar su infraestructura nacional de identificación electrónica. Las plataformas en línea de muy gran tamaño, las entidades financieras, los prestadores sanitarios y las administraciones públicas tienen la obligación de aceptar la EUDIW. Los prestadores de servicios de confianza deben adaptarse a las categorías ampliadas de servicios cualificados, y cualquier organización que verifique la identidad o los atributos de sus clientes, desde bancos hasta empleadores, tendrá que prepararse para los flujos de verificación con cartera.

La ciudadanía de la UE recibirá una cartera de identidad digital gratuita y respaldada por el Estado, con la que podrá acreditar su identidad, firmar documentos y compartir atributos verificados (como la edad, titulaciones o los datos del permiso de conducción) en otros países con plena eficacia jurídica. La cartera da a las personas el control de sus datos mediante la divulgación selectiva, es decir, la posibilidad de compartir solo la información mínima necesaria. Eso elimina la necesidad de llevar varios documentos físicos y simplifica la relación con los servicios públicos y con las empresas.

Los servicios de confianza cualificados de eIDAS 2.0, entre ellos las firmas electrónicas cualificadas, los sellos electrónicos cualificados, los sellos de tiempo electrónicos cualificados y las declaraciones electrónicas cualificadas de atributos, tienen automáticamente eficacia jurídica transfronteriza en todos los Estados miembros. Una firma electrónica cualificada equivale jurídicamente a una firma manuscrita, y las declaraciones electrónicas cualificadas de atributos gozan de presunción legal de exactitud. No hacen falta acuerdos bilaterales adicionales ni procedimientos nacionales de reconocimiento para su validez transfronteriza.

eIDAS 2.0 forma parte de la agenda digital más amplia de la UE y se cruza directamente con varios otros reglamentos. Las plataformas en línea de muy gran tamaño que define el Reglamento de Servicios Digitales (DSA) deben aceptar la EUDIW para autenticar a los usuarios. El reglamento de prevención del blanqueo se conecta con eIDAS 2.0 a través de la obligación de aceptar la cartera en la diligencia debida. La PSD2 y la futura PSD3 enlazan mediante la autenticación reforzada de clientes. Juntas, estas normas forman un marco interconectado para la transformación digital europea.

La Comisión Europea financia cuatro Large-Scale Pilots (LSP), que son EWC, POTENTIAL, NOBID y DC4EU, para probar la EUDIW en escenarios transfronterizos reales antes del despliegue completo. Estos pilotos validan las especificaciones técnicas del Architecture Reference Framework, recogen información sobre la experiencia de uso, detectan obstáculos jurídicos y organizativos e incorporan a partes usuarias y proveedores de atributos a la integración práctica. Sus conclusiones alimentan directamente el afinado de los actos de ejecución, de los requisitos de certificación y de las especificaciones finales de la cartera.

Sí. Cualquier organización que preste servicios a ciudadanos de la UE o trate sus datos de identidad puede verse afectada por eIDAS 2.0. Las organizaciones de terceros países que operan en el mercado de la Unión, en especial plataformas en línea de muy gran tamaño, prestadores de servicios financieros y empresas sanitarias, pueden tener que aceptar la EUDIW como mecanismo válido de verificación de identidad. El reglamento contempla además acuerdos de reconocimiento mutuo con terceros países, con lo que la aceptación de la cartera podría extenderse más allá de las fronteras de la UE. Las organizaciones de cualquier parte del mundo deberían seguir la evolución de eIDAS 2.0 como parte de su estrategia de cumplimiento internacional.

La EUDIW es una aplicación móvil que cada Estado miembro debe facilitar a sus ciudadanos y residentes, gratuita para las personas físicas. Guarda los datos de identificación de la persona (PID) y las declaraciones electrónicas de atributos (EAA) como credenciales digitales firmadas criptográficamente. La persona puede presentarlas a las partes usuarias, en línea y fuera de línea, para acreditar su identidad o atributos concretos. La cartera usa protocolos normalizados (OpenID4VC) y formatos de credencial (SD-JWT y mdoc) para garantizar la interoperabilidad transfronteriza entre todas las implementaciones nacionales.

eIDAS 2.0 establece obligaciones de aceptación para varias categorías de organizaciones. Las plataformas en línea de muy gran tamaño, según las define el Reglamento de Servicios Digitales, deben aceptar la cartera para autenticar a los usuarios. Las entidades financieras sujetas a la diligencia debida por la normativa de prevención del blanqueo deben aceptarla para verificar la identidad. Las administraciones públicas deben aceptarla para el acceso a los servicios públicos digitales. Los prestadores sanitarios deben aceptarla cuando el derecho de la Unión o nacional exija verificar la identidad del paciente. Los actos de ejecución podrán designar sectores adicionales.

La EUDIW puede guardar los datos de identificación de la persona (PID), es decir, la identidad básica que expide el Estado, y un abanico amplio de declaraciones electrónicas de atributos (EAA). Entre ellas: permisos de conducción digitales, títulos académicos y cualificaciones profesionales, credenciales sanitarias como los certificados de vacunación, datos de inscripción societaria y poderes de representación, pruebas de edad, documentos de viaje y confirmaciones de titularidad de una cuenta bancaria. La cartera puede contener declaraciones cualificadas (QEAA) y no cualificadas, con presunciones legales más fuertes para las cualificadas.

La EUDIW incorpora varias medidas de privacidad desde el diseño que exige eIDAS 2.0. La divulgación selectiva permite compartir solo los atributos que la parte usuaria realmente necesita: por ejemplo, acreditar ser mayor de 18 años sin revelar la fecha de nacimiento. Las partes usuarias deben registrarse y declarar qué atributos van a solicitar y con qué finalidad. La cartera muestra a la persona una pantalla de consentimiento clara, con el detalle exacto de qué datos se piden y quién los pide. La arquitectura incluye además medidas contra la colusión entre partes usuarias y contra el seguimiento de los usuarios entre servicios distintos.

Sí. eIDAS 2.0 exige que la EUDIW permita crear firmas electrónicas cualificadas (QES), que equivalen jurídicamente a una firma manuscrita en todos los Estados miembros. Se logra mediante la integración con servicios de firma a distancia que operan prestadores cualificados de servicios de confianza (QTSP): la cartera aporta la garantía de identidad y la autorización de la persona, mientras la infraestructura en la nube del QTSP ejecuta la firma criptográfica. Al menos un servicio de QES debe estar disponible de forma gratuita para los titulares de cartera en usos no profesionales.

Sí. La EUDIW está diseñada para admitir verificaciones tanto en línea (a distancia) como fuera de línea (por proximidad). En persona, la cartera puede presentar credenciales por NFC o Bluetooth en el formato mdoc (ISO 18013-5), pensado para entornos con conectividad limitada. Eso habilita casos como mostrar un permiso de conducción digital en un control de tráfico, verificar la edad en una caja física o hacer controles de identidad en frontera, en todos los casos sin necesidad de conexión a internet en el momento de la presentación.

La interoperabilidad la garantiza el Architecture Reference Framework (ARF), que impone formatos de credencial comunes (SD-JWT y mdoc), protocolos de presentación normalizados (OpenID4VC), mecanismos de confianza compartidos (listas de confianza y declaraciones de la cartera) y requisitos coherentes de certificación de seguridad. Todas las implementaciones nacionales deben ajustarse a esas especificaciones y superar la evaluación de conformidad. Los Large-Scale Pilots están probando específicamente escenarios transfronterizos, y los actos de ejecución formalizarán los requisitos técnicos exactos que deberá cumplir cada cartera.

Las empresas deberían empezar por valorar si entran en alguna categoría con obligación de aceptación: plataformas en línea de muy gran tamaño, entidades financieras, prestadores sanitarios o prestadores de servicios públicos. Después conviene mapear los procesos actuales de verificación de identidad y de firma de documentos para localizar dónde será relevante la EUDIW. Los equipos técnicos deberían familiarizarse con el Architecture Reference Framework, con los protocolos OpenID4VC y con los formatos SD-JWT y mdoc. Es muy recomendable colaborar con un Large-Scale Pilot o con un QTSP para hacer pruebas de integración tempranas, porque acelera mucho la preparación.

eIDAS 2.0 deja la ejecución en manos de los organismos de supervisión nacionales, que pueden imponer sanciones conforme al derecho interno. El reglamento no fija importes armonizados, a diferencia del RGPD, pero obliga a los Estados miembros a establecer sanciones efectivas, proporcionadas y disuasorias. Las organizaciones que se nieguen a aceptar la EUDIW cuando la ley lo exija, o que no cumplan sus obligaciones como prestadores de servicios de confianza, se exponen a medidas que pueden incluir multas, la suspensión del servicio o la retirada del estatus de cualificado. Conviene tener en cuenta también el riesgo reputacional.

El coste depende de la infraestructura existente y de la complejidad de los casos de uso. Las organizaciones con sistemas de identidad modernos basados en OpenID Connect encontrarán el paso a OpenID4VC bastante llevadero, con plazos de desarrollo de semanas más que de meses. Las partidas principales son: adaptar los flujos de autenticación a las presentaciones desde la cartera, integrar las bibliotecas de verificación de SD-JWT y mdoc, implantar el registro como parte usuaria y actualizar las interfaces para los flujos de consentimiento. Las implementaciones de referencia de código abierto de los LSP reducen mucho el coste de desarrollo.

Sí. Conforme a eIDAS 2.0, las partes usuarias que quieran acceder a datos de la cartera deben registrarse ante el organismo de supervisión del Estado miembro en que estén establecidas. El registro exige declarar qué atributos pretende solicitar la organización y con qué finalidad. Esa obligación es una garantía de privacidad central: permite a la supervisión observar los patrones de acceso a datos y evita la recogida no autorizada. El procedimiento y los requisitos exactos se detallarán en los actos de ejecución, cuya evolución conviene seguir para estar listos a tiempo.

La EUDIW está pensada para agilizar y, en muchos casos, sustituir de forma notable los procesos actuales de KYC y verificación de identidad. Para las entidades financieras, recibir directamente de la cartera datos de identificación verificados por el Estado ofrece un nivel de seguridad más alto que muchos procedimientos actuales basados en documentos o en verificación por vídeo. Aun así, las organizaciones deben actualizar sus marcos de prevención del blanqueo para acoger la verificación con cartera y seguir conservando los registros adecuados. Durante la transición, la mayoría tendrá que sostener a la vez los canales tradicionales y los basados en la cartera.

Las organizaciones que expiden credenciales, como universidades, colegios profesionales, organismos públicos y autoridades de certificación, deberían valorar convertirse en proveedores de atributos conforme a eIDAS 2.0. Los organismos del sector público están expresamente obligados a poner los atributos de sus fuentes auténticas a disposición para la declaración electrónica. Eso significa desarrollar la capacidad de expedir EAA o QEAA en formatos normalizados (SD-JWT, mdoc) compatibles con la EUDIW. Se puede expedir directamente o trabajar con un QTSP que emita declaraciones electrónicas cualificadas de atributos en su nombre.

eIDAS 2.0 impone requisitos estrictos de minimización de datos. Las organizaciones solo pueden solicitar los atributos estrictamente necesarios para el servicio que prestan, y deben declarar la finalidad de cada solicitud al registrarse. La interfaz de la cartera muestra a la persona un panorama claro de qué atributos se piden y quién los pide, lo que hace posible un consentimiento informado. Quien solicite datos excesivos se expone al escrutinio de los organismos de supervisión y a posibles medidas. Estas obligaciones complementan y refuerzan los principios de minimización que ya establece el RGPD.

El ARF obliga a admitir dos formatos: SD-JWT (Selective Disclosure JSON Web Token) y mdoc (ISO 18013-5). SD-JWT amplía los JWT habituales con divulgación selectiva mediante hashes con sal, lo que lo hace idóneo para interacciones por web y por API. mdoc usa codificación CBOR para una representación binaria compacta, eficiente en escenarios fuera de línea y de proximidad por NFC o Bluetooth. Ambos admiten divulgación selectiva y son opciones de formato dentro de la familia de protocolos OpenID4VC.

La EUDIW usa la familia de protocolos OpenID for Verifiable Credentials (OpenID4VC). OpenID4VCI (Verifiable Credential Issuance) define cómo la cartera recibe credenciales de los emisores, y OpenID4VP (Verifiable Presentations) define cómo la cartera las presenta a los verificadores. SIOPv2 (Self-Issued OpenID Provider v2) permite que la cartera actúe como proveedor de identidad. Estos protocolos se apoyan en el marco OpenID Connect, muy extendido, lo que baja la barrera de entrada para quien ya tiene infraestructura OIDC.

La declaración de la cartera es un mecanismo criptográfico que permite a partes usuarias y emisores comprobar que una aplicación de cartera es auténtica, está certificada y se ejecuta en un entorno seguro. El proveedor de la cartera, normalmente el Estado miembro, expide una declaración firmada y vinculada a las claves criptográficas de la cartera y a las características de seguridad del dispositivo. Al verificar una presentación, la parte usuaria comprueba esa declaración para confirmar que la cartera no ha sido manipulada. Eso evita que carteras clonadas o modificadas presenten credenciales fraudulentas y ofrece una vía de revocación si se descubren vulnerabilidades.

Las implementaciones de la EUDIW deben alcanzar el nivel de seguridad alto y superar la evaluación de conformidad y la certificación conforme al marco Common Criteria o a un esquema equivalente. Entre los requisitos principales están: almacenar las claves criptográficas en un elemento seguro o en un entorno de ejecución de confianza; protegerse frente al compromiso del dispositivo y la clonación de la cartera; canales de comunicación seguros para el intercambio de credenciales; medidas contra el seguimiento por parte de las partes usuarias y contra la correlación de transacciones; y mecanismos robustos de autenticación para acceder a la cartera. La cartera debe además implantar copias de seguridad y recuperación que no comprometan la integridad de las credenciales.

Las partes usuarias deberían aplicar una verificación en varios pasos: primero, comprobar la declaración de la cartera para confirmar que la aplicación es auténtica; segundo, verificar la firma criptográfica de las credenciales presentadas con la clave pública del emisor; tercero, comprobar el estatus de cualificado del emisor en las listas de confianza; cuarto, verificar que la credencial no ha caducado ni ha sido revocada; quinto, confirmar mediante la vinculación de claves que la credencial está asociada a la cartera que la presenta. El flujo de presentación lo gestiona el protocolo OpenID4VP, y hay bibliotecas de verificación de SD-JWT y mdoc en varios lenguajes de programación.

Sí, en buena medida. La familia de protocolos OpenID4VC está concebida como una extensión de OpenID Connect, así que quien ya tiene infraestructura OIDC parte con ventaja. Las configuraciones existentes de proveedores de identidad, las bibliotecas de cliente y las prácticas de seguridad sirven de base para los flujos con cartera. Hacen falta, eso sí, algunas adiciones: gestión de la solicitud y la respuesta de presentación verificable (OpenID4VP), lectura y verificación de los formatos de credencial (SD-JWT y mdoc), integración de las listas de confianza para validar emisores, y verificación de la declaración de la cartera. Muchas bibliotecas OIDC se están ampliando precisamente para eso.