El Reglamento eIDAS2

La Unión Europea sigue avanzando en la digitalización de la economía y la sociedad. El Reglamento eIDAS 2 es un paso importante en este proceso porque introduce la Cartera de Identidad Digital Europea y amplía el marco de confianza para las transacciones electrónicas.

Su objetivo es mejorar la interoperabilidad y la seguridad en la gestión de identidades digitales, facilitando el acceso a servicios públicos y privados en toda la Unión Europea. También busca que las personas puedan compartir únicamente los datos necesarios en cada trámite, manteniendo un mayor control sobre su información personal.

eIDAS significa Electronic Identification, Authentication and Trust Services. Es el marco legal europeo que regula la identificación electrónica y los servicios de confianza. La actualización conocida como eIDAS 2 se aprobó mediante el Reglamento (UE) 2024/1183, que modifica el Reglamento (UE) 910/2014.

En esta guía explicamos qué es el Reglamento eIDAS 2, cuáles son sus principales cambios, cómo funciona la Cartera de Identidad Digital Europea, qué deben tener en cuenta las empresas y cuándo se espera que las carteras estén disponibles.

Qué es el Reglamento eIDAS 2

El Reglamento eIDAS 2 es la actualización del marco legal europeo sobre identificación electrónica y servicios de confianza. Su base jurídica es el Reglamento (UE) 2024/1183 sobre el Marco Europeo de Identidad Digital, que modifica el Reglamento eIDAS original.

La reforma amplía las posibilidades de identificación digital y establece el marco para que los Estados miembros ofrezcan una Cartera de Identidad Digital Europea a sus ciudadanos, residentes y empresas.

La cartera permitirá identificarse, autenticarse y compartir credenciales digitales con servicios públicos y privados. No se trata de crear una base de datos europea única que concentre toda la información personal. Cada usuario mantendrá el control sobre los datos que almacena y decide compartir desde su cartera.

Una de las principales novedades es la posibilidad de utilizar atributos digitales verificables, como títulos académicos, permisos de conducir, acreditaciones profesionales, datos de representación empresarial o determinados certificados oficiales.

La Comisión Europea explica que el nuevo marco permitirá que las personas puedan solicitar, almacenar, seleccionar, combinar, compartir y eliminar datos relacionados con su identidad de forma segura y bajo su propio control.

Diferencias entre eIDAS y eIDAS 2

El eIDAS original estableció un marco común para el reconocimiento transfronterizo de sistemas nacionales de identificación electrónica y para servicios como la firma electrónica, los sellos electrónicos, los sellos de tiempo, la entrega electrónica certificada y la autenticación de sitios web.

eIDAS 2 mantiene esas bases y añade una infraestructura europea más amplia para la identidad digital. En la práctica, los servicios de confianza existentes, como el Buromail, siguen siendo relevantes para acreditar comunicaciones electrónicas, mientras que la nueva regulación incorpora herramientas adicionales para identificarse, compartir atributos y gestionar credenciales digitales.

El marco deja de centrarse principalmente en la identificación ante administraciones públicas. La Cartera de Identidad Digital Europea también podrá utilizarse en servicios privados, como banca, seguros, telecomunicaciones, educación, salud, movilidad, contratación y plataformas digitales.

Cada Estado miembro debe proporcionar al menos una cartera digital que pueda utilizarse en otros países de la Unión Europea. Esto facilita que una persona pueda identificarse o presentar una credencial digital sin tener que crear una cuenta distinta para cada país.

El usuario podrá decidir qué datos comparte y con qué entidad. Por ejemplo, puede demostrar que es mayor de edad sin revelar necesariamente su fecha de nacimiento completa, siempre que el servicio y la credencial utilizada permitan esa modalidad de divulgación selectiva.

La cartera podrá almacenar y presentar documentos digitales y atributos verificables, como cualificaciones educativas, licencias profesionales o acreditaciones de representación.

eIDAS 2 amplía el ecosistema de servicios de confianza e incorpora nuevas categorías relacionadas con la gestión remota de firmas y sellos, el archivo electrónico y los registros electrónicos.

Qué es la Cartera de Identidad Digital Europea

La Cartera de Identidad Digital Europea será una aplicación o solución digital que permitirá a los usuarios identificarse y presentar credenciales desde un dispositivo compatible.

Entre sus posibles funciones se encuentran:

• Almacenar medios de identificación electrónica.
• Acceder a servicios públicos y privados.
• Compartir atributos personales verificables.
• Guardar documentos digitales.
• Firmar documentos electrónicos.
• Utilizar pseudónimos elegidos por el usuario para determinados servicios.
• Autorizar operaciones en línea.
• Gestionar qué información se comparte y con quién.

La cartera no debe entenderse como un sustituto automático de todos los documentos físicos ni como una obligación de utilizar una única aplicación europea. Los Estados miembros pueden proporcionar sus propias soluciones, siempre que cumplan los requisitos comunes de seguridad, certificación e interoperabilidad.

La regulación también establece que las personas que no quieran utilizar la cartera deben seguir teniendo acceso a alternativas adecuadas. El objetivo es ampliar las opciones de identificación digital, no excluir a quienes no utilicen este sistema.

Cuándo estarán disponibles las carteras digitales

El Reglamento (UE) 2024/1183 ya ha sido aprobado y forma parte del marco jurídico europeo. La aplicación práctica se está desarrollando mediante actos de ejecución, normas técnicas, procedimientos de certificación y proyectos piloto.

La Comisión Europea ha indicado que los Estados miembros deben ofrecer al menos una Cartera de Identidad Digital Europea a sus ciudadanos, residentes y empresas antes del final de 2026, conforme al calendario de aplicación del marco y de sus normas técnicas.

En noviembre de 2024, la Comisión adoptó reglas técnicas para las funcionalidades esenciales y la certificación de las carteras. Estas normas buscan que las soluciones nacionales puedan interoperar entre sí y que las credenciales sean aceptadas en distintos países de la Unión.

La fecha concreta en la que una persona podrá utilizar todas las funciones dependerá de la implementación nacional, de la disponibilidad de la cartera correspondiente y de la incorporación de cada servicio público o privado al ecosistema.

Nuevos servicios de confianza de eIDAS 2

eIDAS 2 no solo regula la cartera. También amplía los servicios de confianza disponibles para transacciones electrónicas.

Gestión remota de firmas y sellos

Las empresas podrán utilizar servicios remotos para gestionar certificados y operaciones de firma o sello electrónico, siempre que se cumplan los requisitos de seguridad y control aplicables.

Archivo electrónico

El archivo electrónico permite conservar documentos y evidencias digitales de forma que se pueda proteger su integridad, origen y disponibilidad durante el periodo necesario.

Esto puede ser relevante para contratos, facturas, expedientes, registros de consentimiento y documentación que deba conservarse durante varios años.

Registros electrónicos

Los registros electrónicos pueden utilizarse para preservar una secuencia verificable de datos y operaciones. Su valor dependerá del tipo de servicio, de las garantías técnicas y del cumplimiento de los requisitos previstos en el reglamento.

Atestaciones electrónicas de atributos

Las atestaciones permiten demostrar determinados atributos sin tener que compartir más información de la necesaria. Por ejemplo, una persona podría acreditar una cualificación profesional o una autorización concreta sin entregar todos los datos de su documento de identidad.

Entrega electrónica certificada

eIDAS 2 mantiene la importancia de las comunicaciones electrónicas trazables. Los servicios de entrega electrónica certificada permiten conservar información sobre el remitente, destinatario, integridad, fecha y hora de una comunicación.

Las empresas que necesiten conservar evidencias de entrega, contenido y trazabilidad pueden complementar este marco con una estrategia de notificaciones certificadas.

Seguridad y privacidad en eIDAS 2

eIDAS 2 establece requisitos de seguridad reforzados para proteger la identidad digital y los datos personales. La seguridad debe aplicarse al diseño de la cartera, a los dispositivos, a los proveedores, a las credenciales y a las entidades que solicitan información.

Entre las medidas previstas se encuentran:

• Protección de las claves y del material criptográfico.
• Certificación de la cartera por organismos acreditados.
• Cifrado y almacenamiento seguro.
• Prevención del uso no autorizado.
• Mecanismos de autenticación adecuados al nivel de riesgo.
• Registro de operaciones relevantes.
• Control del acceso a atributos y credenciales.
• Protección frente al robo de identidad y otros ataques.

La autenticación multifactor puede formar parte de determinados procesos, pero no todos los servicios funcionan exactamente de la misma manera. El nivel de autenticación debe corresponder al riesgo, al tipo de dato y a la operación realizada.

La regulación también promueve el principio de privacidad desde el diseño. Esto significa que las soluciones deben limitar la cantidad de información que se comparte y ofrecer al usuario una visión clara de los datos solicitados.

Grupo de Cooperación sobre la Identidad Digital Europea

Para facilitar la implementación coordinada del reglamento, se ha creado un Grupo de Cooperación sobre la Identidad Digital Europea.

Este grupo reúne a representantes de los Estados miembros y de la Comisión Europea. Su función incluye apoyar la interoperabilidad, coordinar criterios técnicos y contribuir a una aplicación coherente del marco en los distintos países.

La coordinación es importante porque las carteras serán desarrolladas o reconocidas a nivel nacional, pero deberán funcionar en un ecosistema europeo común.

Inclusión, accesibilidad y control de datos

eIDAS 2 no solo busca simplificar la gestión de identidades digitales. También introduce requisitos de seguridad para proteger la privacidad y reducir el riesgo de fraude o suplantación.

Las carteras deben diseñarse con medidas de seguridad avanzadas y someterse a procesos de certificación. Los proveedores de servicios también tendrán que proteger las comunicaciones y limitar el acceso a la información que soliciten.

El reglamento pone el foco en que la cartera sea accesible y utilizable por distintas personas, incluidas aquellas con discapacidades o con menor experiencia tecnológica.

La disponibilidad en los idiomas oficiales de la Unión Europea y el diseño de interfaces comprensibles serán elementos importantes para evitar que la identidad digital se convierta en una barrera.

La obligación de ofrecer alternativas a quienes no utilicen la cartera también ayuda a mantener un acceso inclusivo a los servicios públicos y privados.

La Cartera de Identidad Digital Europea permitirá compartir solo determinados atributos cuando el servicio no necesite conocer toda la identidad de una persona.

Este modelo puede reducir la exposición de datos. Por ejemplo, una empresa que solo necesite comprobar una edad mínima podría recibir una confirmación de cumplimiento en lugar de una copia completa del documento de identidad.

La entidad que solicita los datos deberá informar de qué información necesita y con qué finalidad. Esto facilita la transparencia y permite al usuario tomar una decisión más informada antes de compartir sus credenciales.

Qué implica eIDAS 2 para las empresas

Para las empresas, eIDAS 2 representa una oportunidad para mejorar la identificación, la contratación digital y la gestión documental, pero también exige revisar procesos y responsabilidades.

Las organizaciones que quieran utilizar la cartera como parte de sus servicios deberán analizar, entre otros aspectos:

• Qué datos necesitan solicitar.
• Por qué necesitan esos datos.
• Cómo se registrará la entidad que solicita la información.
• Cómo se verificará la autenticidad de las credenciales.
• Cómo se protegerán los datos recibidos.
• Qué evidencias se conservarán.
• Cómo se gestionarán los consentimientos y revocaciones.
• Qué alternativas existirán para las personas que no utilicen la cartera.

Una empresa que solicite información mediante la cartera deberá limitar la petición a los atributos necesarios para prestar el servicio. Pedir más datos de los imprescindibles puede entrar en conflicto con los principios de minimización y protección de datos.

Cuando una organización debe demostrar qué comunicó, a quién y cuándo, también conviene aplicar criterios de conservación similares a los explicados en esta guía sobre cómo demostrar el envío de un correo electrónico.

Casos de uso empresariales

La integración con la Cartera de Identidad Digital también puede facilitar procesos como:

• Alta y verificación de clientes.
• Contratación a distancia.
• Comprobación de cualificaciones profesionales.
• Verificación de representantes de empresas.
• Acceso a servicios financieros.
• Gestión de permisos y autorizaciones.
• Incorporación de empleados.
• Presentación de documentos ante administraciones.
• Firma de contratos y declaraciones.

Para avisos breves o comunicaciones urgentes, algunas organizaciones pueden valorar el SMS certificado como complemento de sus procesos de identidad, contratación y notificación digital.

Cómo prepararse para eIDAS 2

Las empresas pueden comenzar con una revisión de sus procesos de identidad y confianza digital.

No todas las operaciones tienen el mismo nivel de riesgo. Conviene diferenciar entre un registro básico, una contratación, una operación financiera, una firma, una autorización y el acceso a información sensible.

La organización debe analizar si solicita copias completas de documentos cuando solo necesita comprobar un atributo concreto.

Es importante conocer qué proveedor gestiona la identificación, firma, sello de tiempo, entrega electrónica o custodia de documentos, y qué garantías ofrece cada servicio.

La llegada de nuevos medios de identificación no elimina las obligaciones del RGPD. Las empresas deben revisar sus bases jurídicas, información a los usuarios, controles de acceso, periodos de conservación y procedimientos de incidentes.

Los equipos técnicos deben valorar cómo se conectarán sus sistemas con las carteras y cómo se validarán las credenciales recibidas.

Legal, compliance, tecnología, recursos humanos, ventas y atención al cliente deben conocer qué puede acreditar cada mecanismo y cuáles son sus limitaciones.

Cómo encaja Legalpin en el nuevo marco eIDAS 2

La adopción de eIDAS 2 hará que las empresas gestionen más identificaciones, documentos, firmas y comunicaciones digitales. Para que estos procesos sean defendibles, no basta con completar una operación: también es importante conservar evidencia de lo que ocurrió.

Legalpin ayuda a estructurar comunicaciones y documentos relevantes mediante servicios como email certificado, firma electrónica y Buromail. Estas herramientas pueden utilizarse para conservar evidencia de la entrega de contratos, políticas, autorizaciones, avisos de cambios o documentación enviada a clientes y empleados.

Por ejemplo, una empresa puede remitir una actualización de condiciones junto con la referencia de la versión aplicable, conservar la fecha y el contenido entregado y solicitar posteriormente la aceptación mediante firma electrónica. En un proceso de incorporación de clientes, también puede mantener vinculados el documento contractual, la comunicación de entrega y el registro de aceptación.

La firma electrónica permite relacionar la acción del firmante con el documento concreto. El email certificado ayuda a demostrar qué se comunicó y cuándo. El Buromail puede utilizarse cuando la comunicación requiere un tratamiento más formal. La combinación dependerá del riesgo y de las obligaciones concretas del proceso.

Legalpin no es una Cartera de Identidad Digital Europea ni sustituye las obligaciones específicas de eIDAS 2, del RGPD o de la normativa sectorial. Su función es ayudar a conservar una evidencia ordenada de comunicaciones, documentos y acciones digitales que pueden necesitarse en una auditoría, una reclamación o una revisión interna.

Para conocer cómo proteger comunicaciones críticas y documentos electrónicos, también puedes consultar esta guía sobre cómo enviar un email certificado gratis.

Ventajas para ciudadanos y empresas

eIDAS 2 puede reducir la fragmentación de los sistemas nacionales de identificación y facilitar operaciones transfronterizas.

Ventajas para los ciudadanos

• Menos registros y contraseñas diferentes.
• Mayor control sobre los datos compartidos.
• Acceso más sencillo a servicios de otros países.
• Presentación digital de documentos y atributos.
• Más posibilidades de firmar y contratar a distancia.

Ventajas para las empresas

• Procesos de identificación más rápidos.
• Menores costes administrativos.
• Mejor interoperabilidad europea.
• Contratación digital más sencilla.
• Reducción de errores en la comprobación de documentos.
• Nuevas oportunidades para servicios digitales transfronterizos.

Estas ventajas dependerán de la calidad de la implementación, de la adopción por parte de los servicios privados y de la capacidad de integrar las carteras con los sistemas existentes.

Conclusión

El Reglamento eIDAS 2 amplía el marco europeo de identidad digital y servicios de confianza. Su principal novedad es la Cartera de Identidad Digital Europea, que permitirá identificarse, compartir atributos, presentar documentos y realizar determinadas operaciones digitales con mayor interoperabilidad entre los Estados miembros.

Para las empresas, el cambio implica revisar cómo identifican a clientes y empleados, qué datos solicitan, cómo gestionan los documentos y qué evidencias conservan. También será importante distinguir entre identificar a una persona, comprobar un atributo, obtener una firma y demostrar que una comunicación fue entregada.

Las organizaciones que empiecen a revisar estos procesos antes de la implantación general de las carteras estarán mejor preparadas para integrar nuevas credenciales y ofrecer servicios digitales más seguros. Si necesitas ordenar las comunicaciones y documentos que forman parte de estos procesos, puedes probar Legalpin gratis y valorar cómo encaja en tu operativa.

Preguntas frecuentes