eIDAS 2.0
Cartera Europea de Identidad Digital: qué deben preparar ya las entidades bajo eIDAS 2.0
Por Redacción CyberComplianceAI21 min lectura
Ultima revision
9 de julio de 2026
Imagen generada por IAUltima revision
9 de julio de 2026
Imagen generada por IALa pregunta no es si la Cartera Europea de Identidad Digital va a afectar a tu entidad. La pregunta útil es otra: cuando un cliente llegue con una wallet emitida bajo eIDAS 2.0 y quiera identificarse, firmar, acreditar un atributo o abrir un servicio, ¿tu organización sabrá aceptarla sin romper KYC, privacidad, antifraude y experiencia de usuario al mismo tiempo?
Ese es el verdadero cambio. La EUDI Wallet no es solo un proyecto de identidad digital patrocinado por Bruselas. Es un mecanismo regulatorio para que personas y empresas puedan usar credenciales electrónicas, atributos cualificados y firmas en toda la UE con una lógica de interoperabilidad que, si se ejecuta bien, desplaza una parte del poder de verificación desde las plataformas privadas hacia esquemas públicos y supervisados. Y eso tiene consecuencias muy concretas para banca, seguros, pagos, telecomunicaciones, salud, administraciones y cualquier servicio que hoy vive de pedir documentos, hacer onboarding o recircular datos que el usuario ya aportó diez veces.
La base jurídica está en el Reglamento (UE) 2024/1183, que modifica eIDAS y coloca en el centro el nuevo art. 5a sobre la European Digital Identity Wallet, junto con disposiciones relacionadas sobre expedición, uso, confianza, aceptación y atributos electrónicos. La Comisión Europea, además, ha ido desplegando el andamiaje técnico y operativo a través del Architecture and Reference Framework, actos de ejecución y los grandes pilotos de wallet. Dicho en castellano llano: la ley ya está, la arquitectura está madurando y las entidades reguladas no deberían esperar a que el cliente aparezca en ventanilla digital para descubrir que su stack de identidad sigue anclado en 2019.
Esta guía no resume la web de la Comisión. La parte interesante empieza donde termina el folleto institucional: qué obligaciones se dibujan de verdad, qué sectores tendrán que aceptar la wallet, qué piezas técnicas y de gobierno conviene preparar en 2026 y dónde están las fricciones reales entre eIDAS 2.0, GDPR, AML/KYC, autenticación reforzada y resiliencia operativa.
La novedad jurídica de eIDAS 2.0 no consiste simplemente en “digitalizar la identidad”. Eso ya existía. El viejo eIDAS de 2014 regulaba medios de identificación electrónica notificados y servicios de confianza. El problema es que su adopción práctica en el mercado fue desigual, a menudo torpe y demasiado dependiente de integraciones nacionales. La wallet intenta resolver tres fallos a la vez.
Primero, la fragmentación. Cada Estado miembro ha desarrollado piezas útiles, pero con una interoperabilidad demasiado artesanal. Segundo, la dependencia de modelos de identidad dominados por plataformas privadas, donde iniciar sesión con un gigante tecnológico era, en la práctica, más fácil que usar un esquema público transfronterizo. Tercero, la sobreexposición de datos: para demostrar un atributo concreto, muchas organizaciones siguen pidiendo el documento entero. Una wallet bien implementada permite acreditar “es mayor de edad”, “tiene permiso profesional”, “reside en tal Estado miembro” o “es titular autorizado” sin vaciar el cajón completo de datos personales.
Ese último punto merece atención porque no es cosmética de privacidad. Conecta de forma directa con el principio de minimización del GDPR art. 5.1.c y con la protección de datos desde el diseño del art. 25. Si tu proceso de onboarding sigue pidiendo más datos de los necesarios porque no tiene otra forma de verificar atributos, la wallet te ofrece una salida. También te quita excusas.
El reglamento revisado busca que cada Estado miembro ofrezca al menos una wallet a personas físicas y jurídicas, que pueda usarse para autenticarse, almacenar, presentar datos de identificación y atributos electrónicos, y crear firmas y sellos electrónicos cualificados o avanzados según los servicios asociados. No hablamos de una simple credencial PDF con mejor marketing. Hablamos de un contenedor interoperable para interacciones reguladas.
El núcleo legal está en el art. 5a del Reglamento modificado. Ahí se perfila la wallet como medio para que el usuario solicite, obtenga, almacene, seleccione, combine, comparta y presente datos de identificación personal y attestations electrónicas de atributos. También se prevé su uso para autenticación y para crear firmas y sellos electrónicos. La clave no está en memorizar la redacción, sino en entender que la wallet une funciones que muchas entidades hoy gestionan en silos: IAM, KYC, firma electrónica, gestión documental y consentimiento.
Después vienen las piezas que compliance suele descubrir tarde si nadie las pone encima de la mesa a tiempo:
Una, aceptación. eIDAS 2.0 no se limita a autorizar la wallet; construye supuestos en los que determinadas organizaciones deberán aceptarla. La lógica regulatoria apunta especialmente a servicios públicos y a determinados servicios privados obligados por ley o por el peso de su función económica. Si tu actividad depende de identificar formalmente a usuarios o de aceptar credenciales autenticadas, la discusión no es filosófica: es de readiness.
Dos, atributos electrónicos. La wallet no solo porta identidad base. Permite el uso de attestations de atributos emitidas por prestadores cualificados o autorizados. Eso toca procesos enteros de verificación de edad, titulación, representación legal, licencia profesional o cuenta bancaria. Muchas organizaciones aún no tienen inventariado qué atributos verifican, con qué evidencia, durante cuánto tiempo y con qué fundamento jurídico. Error clásico. Cuando llegue la integración de wallet, ese desorden se convierte en un cuello de botella inmediato.
Tres, confianza cualificada. El ecosistema enlaza con prestadores cualificados de servicios de confianza y con supervisión nacional. A diferencia de los sistemas puramente comerciales, aquí hay una capa regulada de confianza. Eso no elimina el fraude, claro; simplemente sube el listón probatorio y redistribuye responsabilidades entre emisor, wallet, relying party y prestadores de servicios de confianza.
Cuatro, protección de datos y no rastreo. La arquitectura política del proyecto presume —con razón— de dar más control al usuario. Pero no confundamos el eslogan con la implementación. Si la entidad receptora registra innecesariamente transacciones de presentación de atributos, correlaciona identificadores o guarda más de lo preciso, el problema de privacidad resucita en casa. Y el supervisor de protección de datos no se impresionará porque todo ocurra “dentro de una wallet europea”.
Aquí es donde se acaban las generalidades. El mercado oye “wallet” y algunos piensan en un canal opcional, como quien añade un botón social de login. No va por ahí.
La revisión de eIDAS introduce obligaciones de aceptación para ciertas categorías de servicios. La formulación exacta depende de la combinación entre el reglamento, los actos de ejecución y el encaje sectorial, pero el mensaje para entidades reguladas es claro: si prestas un servicio que exige autenticación fuerte, identificación fiable o reconocimiento de atributos con efectos jurídicos, hay una probabilidad alta de que la wallet pase de “nice to have” a “deberías poder gestionarla sin improvisar”.
Los casos más evidentes son administraciones públicas y procedimientos de acceso a servicios públicos. Pero la onda expansiva llega al sector privado cuando este opera en sectores donde la identificación del usuario no es anecdótica sino una obligación legal o de interés general. Banca, pagos, seguros, telecomunicaciones, utilities, plataformas con requisitos de edad, salud digital y prestadores de servicios de confianza están en el radio inmediato.
Para un banco, por ejemplo, aceptar la wallet no significa abdicar de sus obligaciones AML/CFT. Significa evaluar cuándo una credencial o un atributo presentado a través de la wallet satisface parte de la verificación de identidad, cuándo requiere comprobaciones adicionales y cómo se conserva la evidencia del proceso para auditoría, fraude y supervisor. Si tu equipo de onboarding cree que la wallet sustituye automáticamente el modelo KYC, se va a llevar un disgusto. Si cree que no aporta nada porque “ya hacemos videoidentificación”, también.
La wallet cambia el punto de partida probatorio. No elimina la diligencia debida. La hace potencialmente más eficiente y, en ciertos casos, más robusta.
El lugar donde más se va a notar la madurez —o la falta de ella— no será la autenticación básica. Será el onboarding regulado.
Una identidad emitida o respaldada en un esquema interoperable europeo es atractiva para procesos KYC porque reduce fricción y puede elevar la calidad de la evidencia. Pero los equipos de AML saben que la identidad legal es solo una parte del expediente. Falta propósito y naturaleza de la relación, origen de fondos cuando aplique, detección de suplantación, screening de sanciones y PEP, comportamiento transaccional y señales de muleo o abuso. La wallet puede ayudarte a verificar “quién eres” o determinados atributos. No decide “qué riesgo representas”.
Aquí surge una tentación regulatoria y operativa: sobredimensionar el valor del atributo porque llega envuelto en una arquitectura oficial. Mala idea. Un atributo correcto no inmuniza contra fraude sintético, coacción, apropiación del dispositivo o ingeniería social. Tampoco te libra de revisar representación y poderes cuando actúa una persona en nombre de una sociedad. De hecho, la wallet probablemente hará más visibles esas fronteras: qué acredita la persona, qué acredita la empresa, qué acredita el poder de representación y qué fecha de validez tiene cada cosa.
¿Tu entidad tiene claro hoy la diferencia entre identidad, autenticación, autorización y representación? Si la respuesta es “más o menos”, ya tienes trabajo. La wallet obligará a modelarlo con más disciplina. Y eso es una buena noticia, aunque a medio comité le parezca un fastidio.
Desde la óptica antifraude, la prioridad no es solo aceptar la wallet, sino aceptar con controles compensatorios sensatos. Algunos ejemplos operativos:
En otras palabras: la wallet reduce fricción, pero no sustituye el cerebro del control.
La EUDI Wallet se ha vendido, correctamente, como una herramienta para dar más control al usuario y compartir solo los datos necesarios. Ese principio encaja casi de manual con GDPR art. 5 y art. 25. También con el diseño de credenciales verificables y presentación selectiva de atributos. Ahora bien, una arquitectura privacy-friendly puede arruinarse en la última milla por decisiones de integración bastante mundanas.
El primer riesgo es la retención excesiva. Si para verificar que alguien es mayor de edad tu organización almacena el identificador completo, la fecha de nacimiento exacta y el histórico de transacciones de presentación, estás convirtiendo una verificación puntual en un activo de datos innecesario. El segundo es la correlación. Si reutilizas identificadores o metadatos para enlazar actividades del usuario entre servicios, reproduces uno de los problemas que el modelo pretende evitar. El tercero es el logging indiscriminado. Los equipos de seguridad adoran registrar todo; los equipos de privacidad recuerdan —con razón— que “todo” rara vez supera un test de necesidad y proporcionalidad.
Añade un matiz jurídico delicado: en muchos casos la base legal del tratamiento no será el consentimiento, sino la ejecución de un contrato, una obligación legal o un interés público. Eso importa porque algunas organizaciones intentarán resolver cualquier duda con una casilla de consentimiento decorativa. Mala costumbre. Si usas la wallet para KYC exigido por ley, el fundamento no es “acepto”. El fundamento es la obligación regulatoria aplicable, y la información al usuario debe explicarlo con precisión.
También conviene revisar si el despliegue activa una evaluación de impacto de protección de datos bajo GDPR art. 35. No siempre será automática, pero cuando combines identificación formal, atributos sensibles o de alto valor, decisiones automatizadas, trazabilidad transfronteriza y nuevos flujos de autenticación, una DPIA deja de ser burocracia y pasa a ser autoprotección básica.
Uno de los aspectos menos glamurosos y más decisivos de la wallet es la capacidad de gestionar no solo identidad de personas físicas, sino también atributos y poderes vinculados a personas jurídicas. Parece un detalle técnico. No lo es. En banca corporativa, seguros colectivos, contratación pública, firma de pólizas, alta de proveedores o acceso a portales empresariales, el verdadero lío nunca fue solo saber quién es Ana. Era saber si Ana puede actuar en nombre de la sociedad, con qué alcance, hasta cuándo y con qué evidencia.
Si la EUDI Wallet madura bien en esta capa, puede recortar uno de los absurdos más caros del compliance europeo: seguir pidiendo escrituras, PDFs, certificados y correos cruzados para probar representaciones que deberían consultarse o acreditarse de forma estructurada. Si madura mal, tendremos el viejo caos de poderes, pero ahora con un QR elegante.
Para las entidades, esto exige rediseñar matrices de autorización. No basta con “autenticado = puede”. Hay que modelar al menos cuatro preguntas: quién es, a quién representa, qué acto pretende realizar y qué nivel de firma o aprobación requiere ese acto. La wallet puede aportar evidencia para las dos primeras. Las otras dos siguen siendo responsabilidad de tu gobierno interno.
La Comisión Europea ha impulsado un marco técnico de referencia precisamente para evitar 27 wallets incompatibles, que sería una broma cara. El Architecture and Reference Framework y los trabajos de estandarización buscan que la presentación y verificación de credenciales sea interoperable, segura y usable. Aun así, cualquier CISO o responsable de arquitectura sabe que “interoperable” sobre el papel y “funciona a escala con sistemas heredados” son dos planetas distintos.
Los puntos de fricción previsibles en 2026 son bastante concretos.
El primero es la integración con IAM y CIAM. Muchas organizaciones tienen autenticación moderna para acceso, pero no una capa preparada para consumir atributos verificables externos con garantías, versionado, revocación y trazabilidad. El segundo es la conexión con motores de onboarding y firma. Si la wallet acredita identidad y además permite firmas o sellos vinculados a servicios de confianza, los flujos de negocio deben orquestar ambos momentos sin duplicar fricción ni romper evidencia.
El tercero es la revocación y vigencia. Un atributo no vale para siempre por el mero hecho de haber sido expedido correctamente. Habrá que diseñar cómo se consulta estado, cómo se revalida y qué pasa si un proceso queda a medio camino cuando cambia el estatus de la credencial. El cuarto es la experiencia de usuario transfronteriza. Aquí aparecen los clásicos: idiomas, fallos de sesión, soporte a dispositivos, dependencia de cámaras o biometría, y diferencias entre emisiones nacionales.
El quinto, y muy serio, es la seguridad del dispositivo y del ecosistema móvil. Aunque la wallet tenga un diseño sólido, seguirá ejecutándose en entornos que pueden sufrir compromiso, malware, phishing, superposición de interfaces o robo de sesión. El modelo de amenazas no desaparece por usar credenciales oficiales; simplemente cambia de forma. La autenticidad del atributo no basta si el canal de presentación está manipulado.
Por eso los CISOs deberían tratar la EUDI Wallet como un proyecto de identidad de alto impacto, no como una integración de front-end. Exige revisión de amenazas, telemetría, hardening móvil, gestión de sesiones, protección antifraude y coordinación con legal. Vamos, todo aquello que suele llegar tarde cuando el proyecto nace en un comité de “innovación y experiencia”.
La EUDI Wallet se analiza mal cuando se aísla. En 2026, cualquier entidad financiera europea la tiene que leer junto a otras piezas regulatorias.
Con DORA, el ángulo evidente es la resiliencia operativa de los servicios que consumen o dependen de la wallet. Si una entidad integra nuevos proveedores, componentes de verificación, servicios de confianza o SDKs móviles, entra en juego todo el gobierno de terceros ICT del DORA art. 28 y siguientes. No basta con que el proveedor diga “somos compatibles con eIDAS 2.0”. Habrá que revisar dependencia, continuidad, pruebas, incidentes y derechos contractuales. Si la wallet se convierte en vía de acceso crítica para clientes o empleados, tu análisis de impacto de negocio y tus escenarios de prueba tendrán que reflejarlo.
Con NIS2, el punto es aún más incómodo: identidad digital y autenticación pasan a ser superficie crítica para entidades esenciales e importantes. El NIS2 art. 21 exige medidas técnicas, operativas y organizativas apropiadas, incluyendo gestión de incidentes, seguridad de la cadena de suministro, autenticación multifactor y políticas de control de acceso. Una mala integración de wallet puede convertirse no solo en un fallo UX, sino en una incidencia reportable o en una no conformidad estructural.
Con GDPR, ya lo hemos visto: minimización, privacidad desde el diseño, base jurídica correcta, DPIA cuando proceda y disciplina de logging. Aquí hay una ironía estupenda: la wallet nace para reducir exposición de datos, pero mal implementada puede crear más huella, más copias y más trazas. Europa tiene una habilidad especial para convertir una buena idea en un diagrama con dieciocho repositorios. Conviene resistirse.
Con la normativa de pagos, el cruce más relevante está en la autenticación, el onboarding y la prueba de identidad. PSD2 y el régimen que la suceda o complemente a escala operativa no desaparecen porque exista una wallet. La cuestión práctica es cómo se articula la aceptación de credenciales y atributos de la wallet con los requisitos de autenticación reforzada, prevención de fraude y evidencias en caso de disputa. Para entidades de pago y banca digital, ese diseño será más importante que cualquier nota de prensa institucional sobre soberanía digital.
Si tu organización espera a la disponibilidad masiva para decidir qué hacer, llegará tarde. No porque la ley vaya a castigarte mañana por la mañana, sino porque identidad regulada, arquitectura y gobierno no se improvisan en un trimestre. Hay cinco frentes que merecen trabajo ahora mismo.
La mayoría de las entidades tiene controlado el acceso, pero no el mapa completo de verificaciones de atributos. Haz un inventario real: alta de clientes, recuperación de cuenta, firma de contratos, cambios de titularidad, representación, prueba de edad, licencias profesionales, acceso a áreas sensibles, vendor onboarding, empleados, administradores y terceros. Para cada caso, documenta qué atributo se pide, con qué base legal, qué evidencia guardas y cuánto tiempo la retienes. Sin ese mapa, integrar la wallet será pegar conectores sobre un proceso opaco.
No todos los atributos ni todos los servicios deben aceptarse igual. Necesitas una matriz de confianza: qué tipos de credenciales o attestations aceptas, para qué trámites, con qué validez, con qué comprobaciones adicionales y qué excepciones aplican. La discusión aquí no es técnica, es de riesgo y responsabilidad. Compliance, fraude, negocio y seguridad deben acordarla antes del desarrollo.
Si vas a depender de prestadores de verificación, servicios de confianza, software SDK, proveedores de onboarding o componentes móviles, prepara evaluación de terceros seria. DORA convierte este punto en una obligación operativa para el sector financiero cuando los servicios entren en la categoría de dependencia ICT relevante. Preguntas básicas: ¿qué evidencias de conformidad técnica aportan? ¿Dónde procesan datos? ¿Cómo gestionan vulnerabilidades? ¿Qué SLA ofrecen para revocación, indisponibilidad y soporte transfronterizo? ¿Qué derecho de auditoría tienes?
Si una alta, una firma o una autorización se apoya en la wallet, tendrás que poder demostrar después qué atributo se presentó, qué emisor lo respaldaba, en qué momento, con qué resultado de validación y qué decisión tomó el sistema o el operador. No se trata de guardarlo todo. Se trata de guardar lo necesario para probar la regularidad del proceso sin convertirlo en una mina de datos personales. Ese equilibrio hay que diseñarlo antes de producción, no cuando lo pida el auditor o el juez.
La interoperabilidad de laboratorio vale poco si luego el usuario abandona o el antifraude bloquea media captación. Pilota con escenarios reales: cliente minorista, pyme, apoderado, menor de edad excluido, residente transfronterizo, usuario con dispositivo antiguo, sesión interrumpida, atributo caducado, presentación incompleta. Y mete al equipo de fraude desde el principio. En identidad digital, el coste de invitarles tarde suele medirse en reclamaciones y retrocesos.
Para bancos, aseguradoras, establecimientos de pago, entidades de dinero electrónico y fintechs en España, la EUDI Wallet llega en un momento curioso: el sector ha avanzado bastante en onboarding digital, videoidentificación y firma electrónica, pero sigue arrastrando fragmentación entre canales, dependencia de proveedores concretos y un gobierno de atributos poco homogéneo.
Eso crea una mezcla de oportunidad y riesgo.
La oportunidad es evidente. España tiene una cultura relativamente madura de identidad electrónica y certificación, lo que puede facilitar adopción si las entidades conectan la wallet con procesos de alta, autenticación de operaciones de riesgo, representación de autónomos y pymes, o firma de documentación contractual. En segmentos donde la fricción del onboarding penaliza conversión, una integración bien hecha puede bajar abandono y mejorar calidad de evidencia.
El riesgo está en asumir que la infraestructura histórica basta. No necesariamente. Muchos procesos españoles se apoyan en combinaciones locales de firma, OCR documental, videoidentificación y consultas a bases de datos que funcionan, sí, pero no siempre están preparadas para consumir attestations estructuradas y reutilizables a escala europea. Si la entidad solo adapta la capa visual y no rediseña los motores de decisión, acabará usando una wallet paneuropea para reproducir el mismo proceso fragmentado de siempre. Sería un desperdicio caro.
Además, el supervisor financiero no va a perdonar por entusiasmo tecnológico lo que no perdona por otras vías: deficiencias de gobierno, dependencia mal gestionada de terceros, trazabilidad débil, controles antifraude insuficientes o tratamiento excesivo de datos. La wallet puede mejorar el cumplimiento, pero no concede indulgencias plenarias.
Hay una batería de preguntas que separa los proyectos serios de los proyectos decorativos.
¿Qué pasa si el usuario presenta un atributo válido pero insuficiente para el producto solicitado? ¿Cómo se informa sin llevarle a un callejón sin salida? ¿Qué ocurre si la wallet es aceptable para acceso, pero no para firma de un acto con mayor exigencia probatoria? ¿Cómo distingues entre autenticación del titular y acreditación de poder de representación? ¿Qué conservas exactamente como evidencia si el principio de minimización te impide archivar más de la cuenta? ¿Tienes un procedimiento de fallback cuando la verificación falla por indisponibilidad externa? ¿Quién decide cuándo el riesgo residual exige controles extra y quién asume el impacto comercial?
Si estas preguntas no tienen dueño, la entidad aún no está preparando la wallet: está acumulando diapositivas.
La lectura superficial de la EUDI Wallet es tecnológica: una app, unas credenciales, un lector, una API. La lectura correcta es institucional y operativa: un nuevo modelo de confianza digital en el que cambian el origen de la evidencia, la granularidad del dato, la expectativa del usuario y el reparto de responsabilidades.
Por eso el error más probable este año no será “no conocer eIDAS 2.0”. Será algo más cotidiano: encargar la integración a un equipo digital para añadirla como método alternativo de acceso, sin revisar KYC, antifraude, representación, privacidad, retención, terceros críticos ni evidencias. Es el típico proyecto que parece rápido hasta que se topa con legal, seguridad y operaciones. Y entonces todo el mundo descubre, con esa mezcla tan europea de sorpresa y burocracia, que identidad regulada nunca fue solo iniciar sesión.
La buena noticia es que las entidades que se muevan ahora tienen margen para hacerlo bien. El reglamento ya dibuja la dirección. La Comisión Europea está empujando la implementación. Los casos de uso están lo bastante claros como para dejar de debatir si “esto llegará” y empezar a decidir cómo encaja en tus flujos más sensibles.
Aquí está el quid: la EUDI Wallet no es un accesorio de compliance. Es una prueba de madurez. Quien la entienda como una herramienta para reducir datos, mejorar evidencia y simplificar confianza tendrá ventaja. Quien la vea como otro requisito europeo para tachar en una checklist descubrirá demasiado tarde que la identidad, cuando falla, nunca falla en pequeño.
Resumen semanal gratis
Suscríbete al resumen semanal y te avisamos de cada cambio en eIDAS 2.0: wallets de identidad digital, servicios de confianza y privacidad por diseno.
¿Necesitas priorizar acciones ya? Empieza un GAP Assessment eIDAS 2.0.
eIDAS 2.0 introduce el marco europeo de identidad digital y la European Digital Identity Wallet, reforzando identificacion electronica, atributos electronicos y servicios de confianza.
A Estados miembros, proveedores de wallets, prestadores de servicios de confianza y organizaciones publicas o privadas que actuan como relying parties en servicios digitales.