Saltar al contenido principal
Borrador de trabajoVersión no oficial en revisión, con limitaciones conocidas.
AMETIC · Observatorio QT · Iniciocon el soporte de Garrigues
Ética y regulación cuántica
← Mapa normativo

Ficha · reglamento · Identidad digital y servicios de confianza

eIDAS2

Fecha de ficha 27-07-2026 · revisión jurídica del comité editorial pendiente

Reglamento (UE) 2024/1183 — Marco europeo de identidad digital

Estado
Norma en vigor y aplicable en sus condiciones
Fecha de ficha
27-07-2026
Contraste documental
03-10-2026
Criterios
3 criterios clasificados (1 O)

§4.5, §2.4

Relevancia cuántica

La amenaza cuántica puede afectar a verificabilidad futura y preservación probatoria de firmas, sellos y evidencias. Una obsolescencia criptográfica futura no determina por sí sola invalidez retroactiva de una firma válida al crearse. La respuesta debe distinguir requisitos del QTSP/servicio, conservación cualificada y medidas PQC interpretativas; QKD no aparece como categoría autónoma en la definición de servicio de confianza. En el cruce sectorial sanitario, 2026/2099 conecta atributos e identificación con EUDI/MiSalud@UE en su ámbito y fechas propios; no modifica automáticamente la cualificación de servicios, impone PQC general ni extiende sus obligaciones a todos los operadores eIDAS.

Criterios de aplicación (3)

  • Los prestadores cualificados de servicios de confianza deben gestionar los riesgos aplicables, incluido el riesgo criptográfico, y mantener los requisitos de seguridad y cualificación correspondientes a los servicios que prestan. El artículo 20 eIDAS exige auditoría a su propio coste al menos cada 24 meses por un organismo de evaluación de la conformidad. Además, el artículo 6.11 de 2025/2162 exige que los sistemas de evaluación prevean al menos una evaluación de vigilancia anual por servicio cualificado evaluado. La acreditación corresponde al organismo evaluador, conforme al artículo 2; no debe confundirse con la cualificación del prestador. El prestador remite el informe al organismo de supervisión en tres días laborables tras recibirlo (artículo 20.1); la gestión de riesgos se ancla en el artículo 24.2.f bis y en los requisitos del servicio. Los cambios criptográficos significativos y los planes de cese se rigen por el Reglamento de Ejecución (UE) 2025/2530, en su ámbito propio.

    Roles QTSP

  • La conservación, resellado y migración criptográfica deben presentarse como medidas para preservar la verificabilidad a largo plazo de firmas, sellos y evidencias, sin afirmar invalidez retroactiva de una firma válida ni imponer un algoritmo PQC único e inmediato. El Reglamento de Ejecución (UE) 2025/1946 confirma que los servicios cualificados de conservación de firmas electrónicas cualificadas y sellos electrónicos cualificados garantizan a largo plazo integridad, autenticidad, prueba de existencia y accesibilidad de las pruebas de conservación, dentro de ese ámbito específico. La medida concreta se selecciona según riesgo, periodo de retención, perfil y conformidad del servicio, en el ámbito de los artículos 34 y 40 eIDAS. La conservación preserva la fiabilidad existente y no crea cualificación retroactiva.

    Roles QTSP, partes que confían

  • La cripto-agilidad y la preparación poscuántica de la Cartera Europea de Identidad Digital deben conservarse como interpretación prudente de seguridad por diseño, protección de datos y resiliencia, según el riesgo y las normas y especificaciones aplicables. No implica una obligación inmediata de implementar un algoritmo poscuántico único. La eventual obligación relativa a declaraciones electrónicas de atributos se analiza separadamente para su propio servicio y destinatario. El Reglamento de Ejecución (UE) 2026/1735 se analiza en el ámbito de los emisores de declaraciones de atributos y fuentes auténticas que regula; su artículo 2 difiere únicamente el artículo 1.3 al 1 de enero de 2027 y no difiere automáticamente todo el anexo I. El Reglamento de Ejecución (UE) 2026/2099 establece identificación y autenticación para intercambio transfronterizo a través de MiSalud@UE. Publicado 22.09.2026, vigor 12.10.2026 y aplicación general 26.03.2027; art. 3.2 exige notificar conjuntos nacionales de atributos a más tardar el 26.03.2028 y arts. 3.3/5.2 aplican 26.03.2029 para emisión a petición y aceptación de atributos mediante cartera EUDI, tanto en solicitudes presenciales como en línea. Art. 4.2 exige nivel al menos sustancial en solicitudes en línea y alto desde 26.03.2030; art. 6.3 exige al menos sustancial para profesionales y alto desde 26.03.2032. No impone PQC universal, una nueva categoría de servicio cualificado ni una fecha general de migración EUDI.

    Roles emisores y proveedores de la cartera

Ver leyenda O/I/S/R/P
  • O — Obligación normativa expresa
  • I — Interpretación jurídica basada en riesgo
  • S — Estándar técnico
  • R — Recomendación no vinculante
  • P — Propuesta de política o buena práctica

Aplicación práctica — QT-QMS

Controles propuestos del modelo QT-QMS. Salvo indicación expresa, son propuestas operativas (P) que deben adaptarse al rol, al ámbito y al riesgo de cada organización.

  • QKD no es servicio de confianza: anticipación voluntaria

    eIDAS2 no reconoce QKD como categoría autónoma de servicio de confianza. Puede ser componente técnico o medida de seguridad de un servicio, sin que su nombre otorgue cualificación eIDAS. Propuesta del manual: anticipación voluntaria mediante auditorías periódicas de infraestructura QKD y registro de eventos de seguridad, con evidencias y alcance definidos. Mantener esta propuesta separada de certificación EUCC, EUCS u otros esquemas que puedan resultar aplicables por su propio ámbito y estado; no presumir certificación ni equivalencia automática.

    Manual QT-QMS §1.2

    Fuente del contraste documental ↗ · arts. 3.16, 20, 24 y 34 del Reglamento 910/2014 modificado

  • Migración PQC de la identidad digital pública

    Para administraciones públicas, emisores y proveedores afectados, preparar la identidad digital pública para cripto-agilidad y migración criptográfica según riesgo, estándares y actos aplicables. La migración PQC de sedes electrónicas, DNIe y certificados se presenta como prioridad propuesta de preparación, sin obligación general eIDAS2 de algoritmo único o fecha inmediata a 03-10-2026. Preparar también criterios de auditoría para prestadores que incorporen mecanismos cuánticos en servicios de confianza, por ejemplo como componente técnico de sellado de tiempo, verificando la categoría legal, cualificación y requisitos del servicio. La preparación debe coordinarse con el marco EUDI sin crear un servicio de confianza autónomo por denominarlo cuántico. El Reglamento de Ejecución (UE) 2026/2099 establece identificación y autenticación para intercambio transfronterizo a través de MiSalud@UE. Publicado 22.09.2026, vigor 12.10.2026 y aplicación general 26.03.2027; art. 3.2 exige notificar conjuntos nacionales de atributos a más tardar el 26.03.2028 y arts. 3.3/5.2 aplican 26.03.2029 para emisión a petición y aceptación de atributos mediante cartera EUDI, tanto en solicitudes presenciales como en línea. Art. 4.2 exige nivel al menos sustancial en solicitudes en línea y alto desde 26.03.2030; art. 6.3 exige al menos sustancial para profesionales y alto desde 26.03.2032. No impone PQC universal, una nueva categoría de servicio cualificado ni una fecha general de migración EUDI.

    Manual QT-QMS §4.2

    Fuente del contraste documental ↗ · arts. 3.16, 20, 24 y 34 del Reglamento 910/2014 modificado

    Fuente del contraste documental ↗ · Arts. 1–9 y anexo; art. 3.2 notificación/3.3 emisión; arts. 4.2/5.2/6.3 y 9

  • Auditorías bienales si el QSP presta servicios de confianza

    Un proveedor de tecnología cuántica (QSP en el manual) que actúe como prestador cualificado de servicios de confianza (QTSP en su sentido eIDAS) queda sujeto al régimen aplicable a los QTSP y sus servicios cualificados. El artículo 20 exige auditoría a su propio coste al menos cada 24 meses por organismo de evaluación de la conformidad. Además, artículo 6.11 de 2025/2162 exige que los sistemas de evaluación prevean al menos una vigilancia anual por cada servicio cualificado evaluado. Mantener evidencias de control permanentes y cooperación con evaluador y supervisor; la acreditación del organismo evaluador corresponde al organismo nacional de acreditación, con condiciones y transición de artículos 2 y 9. Añadir actos específicos según servicio, como 2025/1946 para conservación cualificada de firmas/sellos o 2026/1735 para declaraciones electrónicas de atributos, sin extrapolarlos al resto.

    Manual QT-QMS §4.6 (terminología corregida)

    Fuente del contraste documental ↗ · arts. 3.16, 20, 24 y 34 del Reglamento 910/2014 modificado

    Fuente del contraste documental ↗ · arts. 2, 6.11 y 9

Puntos abiertos de actualización

Puntos abiertos de actualización

Aspectos de transposición, publicación oficial o desarrollo pendiente que requieren seguimiento; no contradicen la fecha de corte de la ficha.

  • Conformidad editorial de los bullets, sus ámbitos y servicios concretos. Los pinpoints de arts. 20, 24.2.f bis y 34/40 y de 2025/2162/1946/2530 están identificados.
  • No se ha auditado exhaustivamente todo acto de ejecución de EUDI Wallet/eIDAS ni la implementación de ningún prestador.
  • Cruce 2026/2099: comprobar si se participa en intercambio sanitario transfronterizo, actor y operación, calendario, atributos y medios disponibles. No ampliar a todos los servicios eIDAS ni inferir aplicación o PQC inmediata.

Fuentes

Ver fuente oficial ↗
https://eur-lex.europa.eu/eli/reg/2024/1183/oj
En el Informe (PDF): §4.5, §2.4

Fuentes verificadas

Blochy