eIDAS 2.0: las obligaciones de las empresas frente a la Cartera Europea de aquí a 2027

En resumen: el reglamento eIDAS 2.0 (Reglamento (UE) 2024/1183) crea una cartera de identidad digital europea, la EUDI Wallet. Cada Estado miembro debe ofrecer al menos una a sus ciudadanos antes del 24 de diciembre de 2026.

‍

Después, a partir del 24 de diciembre de 2027, un gran número de empresas reguladas estarán obligadas a aceptar esta cartera cuando un usuario desee utilizarla para probar su identidad. Esta obligación no es opcional, no se limita a un solo canal, y no se cumple aceptando otra identidad digital en su lugar.

‍

Esto es lo que significa concretamente para su empresa, y cómo prepararse sin reconstruirlo todo.

‍

Lo que dice eIDAS 2.0

‍

eIDAS 2.0 es el nombre habitual del Reglamento (UE) 2024/1183, que revisa el marco europeo sobre la identificación electrónica y los servicios de confianza. Su aportación central: la cartera europea de identidad digital (European Digital Identity Wallet, o EUDI Wallet).

‍

La idea es sencilla de enunciar. Cada ciudadano, residente y empresa de la Unión podrá disponer de una cartera digital, gratuita e interoperable en toda la UE, para almacenar y presentar pruebas de identidad y atributos verificados (nombre, fecha de nacimiento, título, permiso, mandato profesional, etc.). El usuario mantiene el control: es él quien decide qué información comparte, con quién y con qué finalidad.

‍

Para entender bien el funcionamiento de la propia cartera, sus casos de uso y su arquitectura, puede consultar nuestro artículo pilar: eIDAS 2.0: la cartera de identidad digital europea, lo que hay que saber.

‍

El punto que interesa directamente a las empresas está en otro lugar: el reglamento no se limita a crear una herramienta, sino que impone a ciertos actores aceptarla.

‍

Quién está afectado (y desde cuándo)

‍

Esta es la pregunta que surge con más frecuencia: ¿mi empresa debe aceptar la cartera europea, y cuándo?

‍

Los sectores regulados afectados directamente

‍

La obligación de aceptación afecta en primer lugar a los actores de sectores considerados esenciales, donde probar la identidad de forma fiable es un reto cotidiano. Están afectados:

‍

• la banca y los servicios financieros;
• la sanidad;
• las telecomunicaciones;
• la energía;
• el transporte;
• la educación.

‍

A esta lista se añaden las plataformas en línea de muy gran tamaño, es decir, las que cuentan con más de 45 millones de usuarios en la Unión.

‍

Los actores sujetos a una autenticación reforzada

‍

El perímetro no se detiene en los sectores enumerados. Todo actor privado obligado a una autenticación reforzada del cliente (SCA), ya sea por una obligación legal o por una obligación contractual, entra igualmente en el ámbito de la aceptación obligatoria. Dicho de otro modo, si su actividad ya impone una verificación robusta de la identidad de sus clientes, debe plantearse la cuestión desde hoy mismo.

‍

La fecha que cuenta: el 24 de diciembre de 2027

‍

El calendario se basa en dos hitos. En primer lugar, cada Estado miembro debe ofrecer al menos una cartera interoperable a sus ciudadanos antes del 24 de diciembre de 2026. Es la fase de puesta a disposición de la herramienta.

‍

Después, la aceptación pasa a ser obligatoria para los actores regulados antes del 24 de diciembre de 2027, es decir, 36 meses después de la entrada en vigor de los actos de ejecución. En este plazo la empresa afectada debe ser capaz de recibir y verificar una cartera presentada por un usuario.

Tres precisiones importantes, porque son los malentendidos más frecuentes:

‍

• la obligación no es opcional;
• no se limita a los canales de clientes (puede afectar a recorridos distintos del simple recorrido de compra);
• no se cumple aceptando otra identidad digital en su lugar. Ofrecer su propia solución de identificación no le exime de aceptar la cartera europea cuando el usuario elige utilizarla.

‍

Lo que significa concretamente «aceptar la cartera»

‍

Aceptar la cartera no es marcar una casilla. Es convertirse en lo que el reglamento llama relying party (parte usuaria) e integrar un nuevo componente en sus recorridos. Estos son los cuatro apartados a anticipar.

‍

1. Convertirse en relying party

‍

Su empresa debe poder solicitar una prueba de identidad o un atributo a través de la cartera, y recibir la respuesta del usuario. Técnicamente, esto supone integrar los protocolos de intercambio previstos por el marco europeo en sus recorridos de onboarding, de conexión o de firma.

‍

2. Recibir y verificar los atributos

‍

Recibir una información no basta: hay que verificar su autenticidad y su validez. La cartera presenta atributos firmados criptográficamente por emisores de confianza. Su sistema debe ser capaz de controlar esas firmas, de asegurarse de que el atributo no ha sido revocado, y de rechazar una presentación inválida. Es la prolongación natural de un enfoque de verificación de identidad ya implantado en muchas empresas: consulte nuestra guía completa del KYC.

‍

3. Gestionar el consentimiento

‍

La cartera sitúa al usuario en el centro. Cada intercambio de un atributo se basa en su consentimiento explícito. Su recorrido debe, por tanto, mostrar claramente qué datos solicita y por qué, recabar el acuerdo de la persona, y conservar el rastro de ese consentimiento de forma auditable.

‍

4. Registrarse en su Estado miembro

‍

Las relying parties privadas deben registrarse en su Estado miembro de establecimiento. Este registro supone declarar la finalidad perseguida y los datos solicitados. Es una etapa administrativa que no hay que subestimar, ya que condiciona el derecho a consultar la cartera.

‍

A ello se añade un principio transversal: la minimización. Solo debe solicitar los atributos estrictamente necesarios para su finalidad. Si una prueba de mayoría de edad es suficiente, no hay que exigir la fecha de nacimiento completa. Este principio protege al usuario y reduce su propia exposición en caso de incidente.

‍

El calendario a recordar

‍

Dos fechas estructuran su hoja de ruta.

‍

2026: la puesta a disposición

‍

Antes del 24 de diciembre de 2026, cada Estado miembro pone a disposición al menos una cartera interoperable. Es la ventana durante la cual debe encuadrar su proyecto, identificar los recorridos afectados y lanzar sus trabajos de integración.

‍

2027: la aceptación obligatoria

‍

Antes del 24 de diciembre de 2027, la aceptación pasa a ser obligatoria para los actores regulados. En esa fecha, su empresa debe estar operativa: capaz de recibir, verificar y tratar una presentación de cartera, con un registro en regla y una gestión del consentimiento conforme.

‍

Entre ambas, no queda por tanto más que una ventana de unos doce meses para pasar de la puesta a disposición de la herramienta a una integración realmente en producción. Es poco tiempo para una empresa cuyos ciclos de proyecto se cuentan en trimestres.

‍

Cómo prepararse sin romperlo todo

‍

La buena noticia: aceptar la cartera europea no implica desechar sus dispositivos existentes. Consiste en añadir un canal de identidad de confianza junto a lo que ya hace. Esta es una trayectoria pragmática.

‍

• Cartografiar sus recorridos. Identifique dónde verifica hoy una identidad: onboarding de cliente, apertura de cuenta, conexión, firma, operaciones sensibles. Son sus puntos de integración prioritarios.
• Confirmar su estatus. Determine si pertenece a un sector regulado afectado o a una obligación de autenticación reforzada. En caso de duda, trate el tema como si estuviera afectado.
• Preparar el registro. Anticipe la declaración de sus finalidades y de los datos solicitados ante su Estado miembro, aplicando desde ahora el principio de minimización.
• Reforzar su base de verificación. La cartera aporta atributos de confianza, pero no sustituye el análisis del riesgo de fraude, el control de las empresas y de sus beneficiarios efectivos, ni la evaluación de la solvencia.

‍

Es precisamente ahí donde la cartera y una plataforma como Meelo se complementan. La cartera prueba quién es la persona; la detección de fraude y el KYB evalúan el riesgo asociado a la transacción y a su contexto. Meelo se apoya en más de 400 señales, el análisis del comportamiento y el análisis del dispositivo para producir una decisión en 2 a 5 segundos, documentada y auditable: descubra nuestro enfoque de la puntuación de fraude y la verificación de identidad.

Para una hoja de ruta detallada paso a paso, consulte también nuestro artículo eIDAS 2.0: cómo prepararse.

‍

En conclusión

‍

eIDAS 2.0 no es una reforma lejana. La cartera europea llega a finales de 2026, y su aceptación pasa a ser obligatoria para numerosos actores regulados ya desde el 24 de diciembre de 2027.

La obligación es clara: no es opcional, ni está limitada a un canal, ni se puede eludir ofreciendo otra identidad digital. Las empresas afectadas tienen todo el interés en actuar ahora: cartografiar sus recorridos, confirmar su estatus, preparar su registro y reforzar su base de verificación.

‍

Aceptar la cartera no es reconstruirlo todo, es añadir un canal de identidad de confianza y completarlo con un análisis de riesgo sólido. Quienes se pongan a ello pronto transformarán una obligación normativa en ventaja operativa.

‍

Fuentes: Reglamento (UE) 2024/1183 (eIDAS 2.0); Comisión Europea, European Digital Identity Wallet.

‍