eIDAS 2.0 explicado: qué significa para su empresa

Para finales de 2026, los estados miembros de la UE deberán ofrecer a ciudadanos y empresas acceso a un wallet de identidad digital. Las organizaciones que emiten o verifican documentos relacionados con la identidad (desde cámaras de comercio hasta bancos, aseguradoras y plataformas de contratación) trabajarán cada vez más con credenciales verificables en lugar de PDFs y correos electrónicos.

Quienes adopten esto pronto obtienen una ventaja estructural: incorporación más rápida, menor riesgo de fraude, comprobaciones de cumplimiento automatizadas y preparación para las normativas obligatorias antes de que entren en vigor. Las organizaciones que esperen se enfrentarán a un plazo de transición comprimido, con mayores costes y disrupción.

El primer reglamento eIDAS, Regulation (EU) No 910/2014, hizo dos cosas. Consiguió que los esquemas nacionales de identidad electrónica fueran reconocibles más allá de las fronteras, de modo que un acceso emitido en un Estado miembro podía abrir un servicio público en otro. También dio a los servicios de confianza, como las firmas electrónicas, los sellos y los sellos de tiempo, una base jurídica válida en toda la Unión.

En la práctica, la primera mitad nunca llegó a cuajar. Notificar un esquema nacional era voluntario, así que a principios de la década de 2020 una gran parte de los europeos no tenía ninguna identidad electrónica notificada, y los esquemas existentes rara vez funcionaban fuera de su propio país. Tampoco había nada que obligara a las organizaciones privadas a aceptarlos, lo que llevó a bancos, operadores de telecomunicaciones y plataformas a construir sus propias comprobaciones de identidad.

eIDAS 2.0, Regulation (EU) 2024/1183, mantiene los servicios de confianza y reconstruye la mitad de identidad en torno al titular. Ahora cada Estado miembro debe ofrecer una wallet, y no solo tener la opción de notificar un esquema, un grupo definido de organizaciones privadas debe aceptarla, y los hechos verificados sobre una persona o una empresa pasan a ser un servicio de confianza por derecho propio. El titular decide qué se comparte en cada transacción, y ese cambio es el que hace funcionar todo lo demás.

Para una empresa, la diferencia práctica está en la dirección del cambio. Con el marco anterior usted elegía si apoyar la identidad electrónica y, por lo general, concluía que no compensaba el esfuerzo. Con el nuevo, la infraestructura llega igualmente, sus contrapartes la reciben gratis, y la pregunta pasa a ser con qué rapidez sabrá aprovecharla.

eIDAS 2.0 se aplica en dos niveles. Los estados miembros deben construir y operar la infraestructura del European Digital Identity Wallet y ponerla a disposición de ciudadanos y empresas. Las organizaciones que emiten o verifican documentos relacionados con la identidad, incluidas cámaras de comercio, bancos, aseguradoras, organismos públicos y plataformas de contratación, deben poder emitir credenciales hacia ese wallet o aceptar credenciales presentadas desde él.

El despliegue sigue un calendario fijo. Para finales de 2026, todos los estados miembros de la UE deben ofrecer a ciudadanos y empresas acceso a un wallet de identidad digital. Antes de esa fecha, se espera que las organizaciones que emiten o verifican credenciales cuenten con la capacidad técnica para trabajar con credenciales basadas en wallet, ya que la demanda de los titulares del wallet llega en el momento en que el propio wallet está disponible.

En la práctica, prepararse implica tres cosas: alinear los formatos de credenciales con los estándares sobre los que se construye la cartera (W3C Verifiable Credentials, mdoc, OpenID4VC), conectarse a un registro de confianza para que las credenciales emitidas puedan verificarse sin contactar directamente con el emisor, y adoptar una arquitectura de privacidad por diseño que mantenga las credenciales en la propia cartera del titular y no en un registro compartido, y que comparta solo los atributos que necesita un verificador. Las organizaciones que empiezan pronto evitan el plazo de transición comprimido, los mayores costes y la disrupción que conlleva esperar hasta que la fecha límite esté cerca.

La obligación principal es la wallet en sí. Antes del 24 de diciembre de 2026 cada Estado miembro debe ofrecer al menos una European Digital Identity Wallet, gratuita para las personas físicas, y asegurarse de que funciona para ciudadanos, residentes y empresas. Las administraciones públicas deben aceptarla desde esa misma fecha, en su propio país y para titulares de cualquier otro Estado miembro.

Detrás de la wallet hay una maquinaria que importa igual a una empresa y que recibe mucha menos atención. Los Estados miembros deben garantizar que los datos de identificación personal puedan emitirse a la wallet y que las fuentes auténticas, como los registros mercantiles, los registros educativos y los colegios profesionales, puedan facilitar sus datos por vía electrónica. También deben certificar las soluciones de wallet y publicar cuáles están aprobadas.

Dos de estas entregas son de las que depende a diario una parte usuaria. Debe existir una forma de comprobar, de manera gratuita, que una wallet que presenta una credencial es auténtica y sigue siendo válida. Y debe existir un registro nacional de partes usuarias, donde su propia organización se inscribe antes de poder pedir nada a una wallet.

El avance es desigual, así que mire a su propio Estado miembro y no a la media europea. La fecha es la misma en todas partes, pero qué autoridad gestiona el registro de partes usuarias, cuánto tarda la inscripción y qué fuentes auténticas se conectan primero son decisiones nacionales. Son esas decisiones las que determinan cuándo podrá empezar de verdad.

Los servicios de confianza son la parte de eIDAS que la mayoría de las empresas ya utiliza sin llamarla así. Son los que hacen que un documento o un mensaje electrónico tenga peso jurídico: firmar, sellar, sellar el tiempo, la entrega certificada y, ahora, atestiguar hechos sobre una persona o una organización.

La palabra que importa es cualificado. Un servicio cualificado procede de un prestador supervisado y publicado en una lista nacional de confianza, y goza de una presunción legal en todos los Estados miembros. Un tribunal parte de que la firma, el sello o el sello de tiempo es lo que dice ser, y quien lo discuta soporta la carga de la prueba. Un servicio no cualificado puede seguir siendo una prueba perfectamente válida, pero tendrá que demostrarlo usted.

Los servicios de confianza y la wallet son dos mitades del mismo cuadro. La wallet determina cómo llega una credencial a la otra parte y qué decide revelar su titular, mientras que los servicios de confianza son los que hacen que el contenido se sostenga después. La mayoría de las organizaciones acaba usando varios a la vez: un sello en lo que emite, una atestación para los hechos por los que puede responder, y una firma allí donde una persona debe comprometerse.

Desde el 24 de diciembre de 2027, aceptar la European Digital Identity Wallet deja de ser opcional para buena parte del sector privado. La obligación sigue al requisito de autenticación fuerte de usuario, así que lo que decide es cómo identifica a las personas, no la etiqueta de su sector.

La regla se entiende mejor con ejemplos. Un banco ya realiza una comprobación reforzada cuando alguien abre una cuenta o confirma un pago, así que la wallet debe convertirse en una de las vías para satisfacer esa comprobación. Un operador de telecomunicaciones que verifica una identidad antes de activar una línea, una comercializadora de energía que cambia un contrato y una aseguradora de salud que da de alta a un nuevo miembro están en la misma situación.

Lo mismo vale mucho más allá de los sectores regulados más evidentes. Una universidad que matricula estudiantes, un operador de transporte que emite una tarjeta de personal, un organismo de seguridad social que paga prestaciones y una plataforma en línea de muy gran tamaño que conecta a sus usuarios quedan todos dentro de la obligación en cuanto autentican a alguien. Si ya somete a sus usuarios a una comprobación formal de identidad en línea, dé por hecho que está dentro del ámbito y trabaje a partir de ahí.

Conviene tener presentes dos límites. La obligación la activa el usuario, que pide usar su wallet en lugar de que se le imponga, y cubre el paso de identificación, no toda la relación. Tampoco es una licencia para pedir más: solo puede solicitar los datos que cubra su inscripción como parte usuaria, que en la mayoría de los casos son menos de los que le habría dado un documento escaneado.

Las administraciones públicas van primero. En cuanto las carteras estén disponibles, lo que debe ocurrir antes del 24 de diciembre de 2026, deben aceptarlas allí donde ya exigen identificación electrónica, en su propio país y para ciudadanos de otros Estados miembros.

Las microempresas y las pequeñas empresas están exentas de la obligación de aceptación. Las plataformas en línea de muy gran tamaño designadas conforme al Digital Services Act sí quedan dentro siempre que autentiquen a usuarios, aunque el reglamento no les fija una fecha propia.

Si su organización no aparece en ninguna de las dos listas, la pregunta práctica no cambia. Cada comprobación de identidad que hace hoy puede convertirse en una credencial presentada desde una cartera en segundos, con menos fraude, sin gestión de documentos y sin datos que usted tenga que guardar y proteger.

El European Digital Identity Wallet está construido en torno a una persona. Ese es el formato adecuado para demostrar quién está delante de usted, y el equivocado para la mayoría de los procesos entre empresas, que giran en torno a la organización: con qué entidad jurídica trata, quién puede actuar por ella y hasta dónde llega esa facultad.

eIDAS 2.0 ya permite que una organización tenga credenciales y reciba atestaciones sobre sí misma, de modo que los datos de empresa pueden circular hoy por una wallet. Lo que no resuelve es la capa administrativa que hay alrededor: poderes, facultades de representación, presentaciones y el intercambio de documentos entre empresas y organismos públicos, que sigue funcionando con portales y correo electrónico.

El 19 de noviembre de 2025 la Comisión Europea propuso un reglamento independiente para el European Business Wallet que cubre precisamente esa capa. Todavía está recorriendo el proceso legislativo, así que aún no hay una fecha con la que planificar, y nadie debería esperar a tenerla para actuar.

La preparación útil no es técnica. Decida ya quién es responsable en su organización de las credenciales de empresa y quién puede obligar a la sociedad, porque eso es lo que cualquier wallet tendrá que expresar. Ponerse de acuerdo internamente suele llevar más tiempo que construir la integración.

eIDAS 2.0 está supervisado, no se autodeclara. Cada Estado miembro designa un organismo que vigila a los prestadores cualificados de servicios de confianza y puede retirar la condición de cualificado, y otro que supervisa a los proveedores de wallet que operan en su territorio. Las autoridades de protección de datos conservan su propio papel siempre que haya datos personales de por medio, que en esta materia es casi siempre.

La inscripción como parte usuaria es lo que afecta de forma más directa a las empresas corrientes. Como su inscripción establece qué puede pedir a una wallet, pedir de más resulta visible, denunciable y algo sobre lo que un organismo supervisor puede actuar. Los Estados miembros deben establecer sanciones por incumplir el reglamento y hacerlas efectivas, proporcionadas y disuasorias, y los importes se fijan a nivel nacional.

Para la mayoría de las organizaciones, sin embargo, el primer coste de llegar tarde no es una multa. Es un cliente que puede demostrar algo en segundos al que se le pide que suba un escaneo, un competidor que lo incorpora esa misma tarde, y una pregunta en un proceso de compras que usted no sabe responder bien.

El segundo coste es el del calendario. Todo lo que aparece en la lista de comprobación siguiente tiene un plazo de preparación de meses y no de semanas, y además debe ocurrir en la misma ventana que para todos los demás. Empezar pronto consiste sobre todo en no competir después por una atención escasa.

El Business Wallet de Credenco está diseñado desde cero para cumplir los requisitos de eIDAS 2.0. Implementa W3C Verifiable Credentials, OpenID4VC para la emisión y presentación de credenciales, y valida la confianza de los emisores frente a las listas de confianza eIDAS de la UE, garantizando que cada credencial emitida a través de Credenco lleva la confianza basada en estándares que exige el reglamento.

Las credenciales se guardan en la propia cartera de cada organización, no en un registro compartido, y los titulares revelan solo los atributos que necesita un verificador. Esta arquitectura de privacidad por diseño no es un añadido posterior: es un principio de diseño fundamental que se alinea directamente tanto con el RGPD como con los requisitos del wallet de eIDAS 2.0.