La EUDI Wallet, o cartera europea de identidad digital, es la aplicación con la que personas y empresas podrán identificarse, compartir solo los datos que elijan y firmar ante servicios de toda la UE. El Reglamento (UE) 2024/1183 (eIDAS 2) obliga a cada Estado miembro a ofrecerla en los 24 meses siguientes a la entrada en vigor de los actos de ejecución, lo que sitúa el plazo en el 24 de diciembre de 2026. Las empresas privadas obligadas por ley o por contrato a usar autenticación reforzada en línea, salvo micro y pequeñas, deberán aceptarla a petición del usuario en 36 meses, es decir, a más tardar el 24 de diciembre de 2027, tras registrarse como parte usuaria.
eIDAS 2 modifica el Reglamento (UE) 910/2014, que ya regulaba la identificación electrónica y los servicios de confianza. Para una empresa añade tres cosas: una cartera que sus clientes llevarán en el móvil, la obligación de aceptarla en ciertos sectores y un régimen para emitir credenciales con efectos jurídicos.
Estado a 31 de octubre de 2026
- Reglamento en vigor. El 2024/1183 se publicó el 30 de abril de 2024 y entró en vigor a los veinte días.
- Primera tanda de actos de ejecución. Cinco reglamentos de 28 de noviembre de 2024 (2024/2977, 2024/2979, 2024/2980, 2024/2981 y 2024/2982), en vigor desde el 24 de diciembre de 2024. De esa fecha se cuentan los plazos de 24 y 36 meses.
- Segunda tanda, de 6 de mayo de 2025: 2025/846, 2025/847, 2025/848 (registro de partes usuarias, aplicable desde el 24 de diciembre de 2026) y 2025/849. El 2025/1569, de 29 de julio de 2025, regula las declaraciones cualificadas de atributos.
- Actualización de julio de 2026. Los reglamentos 2026/1730, 2026/1731 y 2026/1735, de 15 de julio, alinean los anteriores con la versión actual del marco de arquitectura y referencia (ARF). El 2026/1731, en vigor desde el 11 de agosto de 2026, fija los formatos y protocolos.
- España. El Ministerio para la Transformación Digital y de la Función Pública sometió a audiencia pública, del 2 al 13 de octubre de 2026, el proyecto de real decreto que regula el ecosistema de la cartera europea en España, con tramitación urgente acordada por el Consejo de Ministros el 29 de septiembre. Lo lleva la Agencia Estatal de Administración Digital. Es la última actuación oficial verificada: hasta que se apruebe y se publique en el BOE, es un proyecto.
Qué es la cartera europea de identidad digital y qué datos lleva
El Reglamento la define como un medio de identificación electrónica que permite al usuario «almacenar, gestionar y validar de forma segura» datos de identificación y declaraciones de atributos para presentarlos a las partes usuarias (art. 3.42). Puede proporcionarla el propio Estado, una entidad con su mandato o un tercero reconocido por él (art. 5 bis.2). Según el artículo 5 bis.4, permitirá al usuario:
- compartir datos de forma selectiva, en línea y, cuando proceda, sin conexión;
- generar seudónimos guardados cifrados en la propia cartera;
- firmar con firma electrónica cualificada o sellar con sello cualificado;
- ver con qué partes usuarias ha compartido datos, pedirles que los supriman y denunciarlas ante la autoridad de protección de datos.
Para las personas físicas es gratuita (art. 5 bis.13) y su uso es voluntario: no usarla no puede restringir el acceso a ningún servicio (art. 5 bis.15).
Datos de identificación de la persona (PID)
Es el núcleo de la cartera. El Reglamento de Ejecución 2024/2977 fija cinco atributos obligatorios para la persona física: apellidos, nombre, fecha de nacimiento, lugar de nacimiento y nacionalidad. El domicilio y otros datos son opcionales. El retrato solo podrá ser obligatorio a partir del 11 de agosto de 2028 (2026/1731).
Declaraciones electrónicas de atributos (EAA)
Todo lo demás viaja como declaración electrónica de atributos, definida de forma genérica como «declaración en formato electrónico que permite la autenticación de atributos» (art. 3.44). La Comisión cita como ejemplos los permisos de conducir en el móvil y las credenciales educativas.
Quién está obligado a aceptarla y desde cuándo
La obligación recae en quien presta el servicio, no en el usuario: la cartera se acepta como una opción más y «únicamente a petición voluntaria del usuario» (art. 5 septies.2).
| Quién | Qué debe hacer | Plazo | Base |
|---|---|---|---|
| Estados miembros | Ofrecer al menos una cartera | 24 meses desde el 24-12-2024: 24 de diciembre de 2026 | Art. 5 bis.1 |
| Organismos públicos que exigen identificación electrónica en un servicio en línea | Aceptar también la cartera | El artículo no fija un plazo propio | Art. 5 septies.1 |
| Empresas privadas obligadas por ley o contrato a usar autenticación reforzada para identificar en línea, en particular en transporte, energía, banca, servicios financieros, seguridad social, sanidad, agua potable, servicios postales, infraestructura digital, educación o telecomunicaciones | Aceptar la cartera si el usuario lo pide | 36 meses desde el 24-12-2024: 24 de diciembre de 2027 | Art. 5 septies.2 |
| Microempresas y pequeñas empresas | Exentas de la obligación anterior; pueden aceptarla de forma voluntaria | — | Art. 5 septies.2 |
| Plataformas en línea de muy gran tamaño que exigen autenticación | Aceptar y facilitar la cartera, con los datos mínimos necesarios | El artículo no fija un plazo propio | Art. 5 septies.3 |
| Toda parte usuaria que quiera usar la cartera | Registrarse en el Estado donde está establecida | Registros nacionales aplicables desde el 24 de diciembre de 2026 (2025/848) | Art. 5 ter |
| Prestadores de declaraciones cualificadas de atributos | Ofrecer una interfaz con las carteras | — | Art. 45 octies.2 |
Dos matices. La lista de sectores es abierta («en particular»): lo que decide es si tu servicio exige hoy autenticación reforzada por ley o por contrato. Y las fechas de 2026 y 2027 resultan de sumar los meses del Reglamento a la entrada en vigor de los actos de ejecución; el texto no da días concretos.
Cómo se integra una empresa como parte usuaria
1. Registro en tu Estado
Antes de pedir un solo dato, la parte usuaria se registra en el Estado donde está establecida (art. 5 ter.1). Declara, como mínimo, su nombre y número en un registro oficial, sus datos de contacto y el uso previsto, con la lista de datos que pedirá (art. 5 ter.2). Después no puede pedir otros (art. 5 ter.3). Cada Estado publica su registro en formato legible por personas y por máquinas, con una API común (2025/848, art. 3). Los intermediarios que actúan por cuenta de una parte usuaria también lo son y no pueden almacenar el contenido de la transacción (art. 5 ter.10).
2. Certificados de acceso y de registro
Con el registro, la empresa obtiene un certificado de acceso de parte usuaria, que solo se expide a partes registradas (2025/848, art. 7) y con el que se identifica ante la cartera. Además, cada Estado debe autorizar al menos a una autoridad que expida certificados de registro, de forma automatizada tras el registro, que detallan cada uso previsto (2025/848, art. 8, en la redacción del 2026/1730, en vigor desde el 11 de agosto de 2026). Las carteras deberán autenticarlos y validarlos a partir del 11 de agosto de 2028 (2024/2982, en la redacción del 2026/1731).
3. Formatos y protocolos
- Formatos: SD-JWT VC e ISO/IEC mdoc. Los datos de identificación se expiden conforme a las cláusulas 5 (SD-JWT VC) y 6 (ISO/IEC-mdoc) del anexo II del Reglamento de Ejecución 2024/2979. El modelo W3C VCDM, habitual en educación, se admitirá cuando existan sus nuevos perfiles.
- Presentación: dos perfiles. ISO/IEC-mdoc (ISO/IEC 18013-5 sin mediación de API y anexo C de ISO/IEC 18013-7 con ella) y OpenID4VC-HAIP, que perfila OpenID4VP, para redirecciones y para la transmisión con mediación de API.
- Identificación del verificador. En OpenID4VP, la parte usuaria se identifica con su certificado de acceso (ETSI TS 119 475), y el certificado de registro viaja en el parámetro verifier_info.
- Emisión. El anexo I del 2024/2982 remite a la especificación ETSI TS 119 472-3, que se basa en OpenID4VC-HAIP, un perfil de OpenID for Verifiable Credential Issuance 1.0 (OID4VCI); la declaración de instancia de cartera sigue además el apéndice E de OID4VCI.
Ojo si leíste los actos de 2024: la versión original del 2024/2977 pedía el PID en ISO/IEC 18013-5 y en el modelo de credenciales verificables 1.1 del W3C. Julio de 2026 lo cambió por SD-JWT VC y mdoc, así que un verificador diseñado con la primera lectura necesita revisión.
4. Validar y minimizar
Autenticar y validar lo que recibe es responsabilidad de la parte usuaria, que tampoco puede rechazar seudónimos cuando la ley no exige identificar al usuario (art. 5 ter.9). Y el usuario verá qué datos te dio y podrá pedirte que los suprimas (art. 5 bis.4).
Lo que revisamos en una integración
- Qué servicios exigen hoy autenticación reforzada, para que tus asesores confirmen si entran en el plazo de 2027.
- Qué atributos necesitas para cada uso: es lo que declararás en el registro.
- El verificador: OpenID4VC-HAIP en remoto, mdoc en proximidad y comprobación de certificados, listas de confianza y revocación.
- El encaje con tu alta de clientes (KYC, firma) y con el RGPD.
Emitir credenciales propias: declaraciones de atributos y blockchain
Una empresa también puede expedir declaraciones de atributos para que clientes, empleados o proveedores las guarden en la cartera. La expedición de declaraciones electrónicas de atributos figura entre los servicios de confianza que define el Reglamento (art. 3.16): quien la presta como prestador no cualificado debe gestionar sus riesgos y notificar al organismo de supervisión los incidentes de seguridad con impacto significativo, a más tardar 24 horas después de conocerlos (art. 19 bis). Debe permitir solicitarlas y gestionarlas sea cual sea el Estado de la cartera (art. 45 octies.1), y no puede combinar esos datos con los de sus otros servicios (art. 45 nonies).
| Tipo | Quién la expide | Efecto jurídico |
|---|---|---|
| Declaración electrónica de atributos (EAA) | Un prestador no cualificado | No se le pueden negar efectos ni valor como prueba por ser electrónica o no cualificada (art. 45 ter.1) |
| Declaración cualificada (QEAA) | Un prestador cualificado de servicios de confianza que cumple el anexo V (art. 45 quinquies) | Los mismos efectos que una declaración expedida lícitamente en papel (art. 45 ter.2) |
| Declaración de un organismo público responsable de una fuente auténtica | Ese organismo o alguien en su nombre | Los del papel, y reconocimiento en todos los Estados (art. 45 ter.2 y 3) |
Las normas de las cualificadas y de las públicas están en el Reglamento de Ejecución 2025/1569, actualizado por el 2026/1735.
Ninguna norma exige blockchain
Un considerando del Reglamento (el 68) pide «neutralidad tecnológica» para el servicio de confianza de libros mayores electrónicos: no favorecer ni discriminar ninguna tecnología usada para implantarlo. La confianza en la cartera descansa en certificados y en las listas de proveedores que notifican los Estados y publica la Comisión, no en una cadena de bloques. El libro mayor electrónico se define como una «secuencia de registros electrónicos de datos que garantiza la integridad de dichos registros y la exactitud de su orden cronológico» (art. 3.52); si es cualificado, sus registros gozan de presunción de integridad y de exactitud del orden cronológico (art. 45 duodecies), con normas de referencia en el Reglamento de Ejecución 2025/2531.
Dónde aporta blockchain y dónde no
- Aporta en el registro de emisores de confianza: quién está acreditado para emitir qué, con un historial que nadie puede reescribir. EBSI tiene su «Issuers Registry» e ISBE un Trusted Issuer Registry (TIR) para «publicar acreditaciones y cadenas de confianza».
- Aporta en la identidad de organizaciones: un identificador descentralizado del emisor, anclado a un certificado cualificado.
- Aporta como evidencia: el hash de una emisión registrado en la cadena demuestra que no cambió después. No garantiza que el dato sea verdadero, solo que no se alteró tras registrarse.
- No aporta para guardar datos personales: la cartera se diseña para que el usuario controle lo que comparte (art. 5 bis.14). En la cadena caben, como mucho, identificadores de organizaciones, claves públicas y hashes.
- No sustituye a la cualificación: una credencial no es cualificada por estar en blockchain, sino por expedirla un prestador cualificado.
El caso de ISBE
ISBE (Infraestructura de Servicios Blockchain de España) permite a cada organización registrar su propio identificador descentralizado (DID), did:isbe, vinculado a un certificado eIDAS cualificado tras una verificación KYB. Sobre esa base se emite la credencial LEAR, una credencial verificable W3C «equivalente a un poder de representación legal digital» que ISBE presenta como compatible con el marco de referencia de la cartera europea. Su wallet exige a los emisores OID4VCI 1.0 y a los verificadores peticiones OID4VP con DCQL. La interoperabilidad con EBSI está prevista, no terminada.
ISBE encaja cuando necesitas un registro público-permisionado de emisores, identidad verificada de organizaciones o evidencias de integridad. Para aceptar la cartera europea no hace falta. Más en desarrollo sobre ISBE y en ISBE, Alastria y EBSI.
Cómo lo abordamos en Unknown Gravity
En Unknown Gravity diseñamos la integración como parte usuaria (inventario de flujos, registro, verificador y pruebas) y la emisión de credenciales propias, con blockchain solo donde aporta. Unknown Gravity es socia de Alastria; no es prestador de servicios de confianza, así que la parte cualificada la pone un prestador cualificado. Lo tienes en nuestro servicio de gestión de identidades digitales con blockchain y en la consultoría blockchain.
Preguntas frecuentes
¿Es obligatorio para los ciudadanos usar la EUDI Wallet?
No. Es voluntaria y no usarla no puede restringir el acceso a servicios públicos o privados (art. 5 bis.15). Para las personas físicas, su expedición, uso y revocación son gratuitos (art. 5 bis.13).
¿Mi pyme tiene que aceptarla?
Las microempresas y pequeñas empresas, según la Recomendación 2003/361/CE, quedan fuera de la obligación. Una mediana o grande que exija autenticación reforzada en línea por ley o contrato deberá aceptarla a petición del usuario a más tardar el 24 de diciembre de 2027. Cualquiera puede aceptarla de forma voluntaria registrándose como parte usuaria.
¿Cuándo tendrá España su cartera?
El plazo europeo termina el 24 de diciembre de 2026. A 31 de octubre de 2026, la última actuación oficial es la audiencia pública del proyecto de real decreto (2 al 13 de octubre). No la confundas con el DNI en el móvil: el Real Decreto 255/2025 regula esa versión digital del DNI, pero no la presenta como la cartera europea.
¿Necesito blockchain para emitir credenciales a la cartera?
No. Los formatos (SD-JWT VC y mdoc) y el protocolo de emisión (OID4VCI) no dependen de una cadena de bloques. Blockchain puede aportar en el registro de emisores, la identidad de organizaciones o como evidencia, pero ninguna norma la exige.
¿Qué pasa si pido más datos de los que registré?
El artículo 5 ter.3 lo prohíbe. El usuario puede denunciar la petición desde la propia cartera (art. 5 bis.4), y el Reglamento de Ejecución 2025/848 regula la suspensión y la cancelación del registro de la parte usuaria.
Fuentes
- Reglamento (UE) 2024/1183 (eIDAS 2)
- Reglamento de Ejecución (UE) 2024/2977
- Reglamento de Ejecución (UE) 2024/2979
- Reglamento de Ejecución (UE) 2024/2982
- Reglamento de Ejecución (UE) 2025/848: registro de partes usuarias
- Reglamento de Ejecución (UE) 2025/1569: declaraciones cualificadas de atributos
- Reglamento de Ejecución (UE) 2026/1731: normas y especificaciones
- Reglamento de Ejecución (UE) 2025/2531: libros mayores cualificados
- Comisión Europea: actos de ejecución del Reglamento
- Comisión Europea: European Digital Identity Wallet
- MTDFP: audiencia pública del proyecto de real decreto
- Real Decreto 255/2025 (DNI)
- ISBE: identidad, did:isbe y TIR
- ISBE: wallet, OID4VCI y OID4VP
- ISBE: credencial LEAR (27-8-2026)
- ISBE: preguntas frecuentes (EBSI)
- EBSI: documentación para desarrolladores
Estado verificado a 31 de octubre de 2026. Este artículo es informativo y no sustituye al asesoramiento jurídico. Si tu empresa está obligada y desde cuándo depende de tu sector, de tu tamaño y de la norma española; consulta siempre los textos oficiales en EUR-Lex.
¿Tienes que aceptar la EUDI Wallet o quieres emitir credenciales a la cartera? Empieza por nuestro servicio de gestión de identidades digitales o por la consultoría blockchain.