En diciembre de 2025, en el EUDI Wallet Launchpad celebrado en Bruselas, algo quedó claro: España no llega tarde al despliegue de la cartera europea de identidad digital. Llega entre los cinco primeros. Junto a Francia, Italia, Dinamarca y Grecia, España presentó la Cartera IDUE (la denominación nacional de la EUDI Wallet) como el proyecto piloto con mayor avance en términos de arquitectura técnica, casos de uso funcionales y base de usuarios potenciales. EADTrust estuvo presente en ese evento como parte del ecosistema. Lo que sigue es una descripción de qué hay y qué falta, sin adornos.

Conceptos para la Cartera IDUE

Cartera IDUE

Denominación española de la EUDI Wallet. Su nombre es el acrónimo invertido de Identidad Digital de la UE. Presentada en el Launchpad europeo de diciembre de 2025 como parte de los pilotos en los que España es uno de los cinco países líderes.

Cl@ve

Sistema de identificación digital de la administración española con 24 millones de usuarios registrados. Actúa como infraestructura de base para la adopción de la Cartera IDUE, proporcionando una base de usuarios ya familiar con la identificación electrónica ante la administración.

ARF (Architecture Reference Framework)

Marco de arquitectura de referencia definido por la Comisión Europea como base técnica para todas las implementaciones nacionales de la EUDI Wallet. Garantiza la interoperabilidad transfronteriza entre las distintas implementaciones nacionales.

OpenID4VP (OpenID for Verifiable Presentations)

Protocolo de comunicación utilizado para la presentación de credenciales de la wallet en modo en línea. Permite que el ciudadano presente sus atributos a un verificador a través de internet de forma segura y verificable.

ISO/IEC 18013-5

Estándar internacional para la presentación de credenciales en modo proximidad, sin conexión a internet, cara a cara. El mismo estándar que usa la licencia de conducir digital. Permite la verificación de identidad en modo fuera de línea.

SD-JWT VC (Selective Disclosure JWT Verifiable Credentials)

Formato de credencial verificable que permite la divulgación selectiva de atributos. Uno de los dos formatos estándar definidos en los actos de ejecución europeos para la EUDI Wallet, junto al formato mdoc/mDL de ISO/IEC 18013-5.

EUDI Wallet Launchpad

Evento celebrado en Bruselas en diciembre de 2025 donde los países piloto de la EUDI Wallet presentaron el estado de sus implementaciones nacionales ante la Comisión Europea y el ecosistema de actores del proyecto.

Qué es la Cartera IDUE

La Cartera IDUE es la implementación española de la EUDI Wallet regulada por el Reglamento (UE) 2024/1183. El nombre es el acrónimo invertido de Identidad Digital de la UE, una elección de denominación que mantiene la conexión explícita con el estándar europeo del que forma parte. No es un proyecto nacional paralelo: es la instancia española de un sistema que funcionará de forma interoperable en los 27 Estados miembros.

La Cartera IDUE tiene un punto de partida inusualmente fuerte respecto a la mayoría de los países europeos: 24 millones de usuarios tienen ya cuenta activa en Cl@ve, el sistema de identificación digital de la administración española que actúa como infraestructura de base. Esa base de usuarios existente es una ventaja real en el proceso de adopción: no se parte de cero.

La FNMT (Fábrica Nacional de Moneda y Timbre) actúa como emisora del PID (Person Identification Data) en el entorno piloto. Es el organismo que certifica que el dato de identidad que contiene la wallet corresponde a una persona real verificada por el Estado español.

Lo que ya funciona: los casos de uso operativos en el piloto

El piloto español no es una demo estática. Hay casos de uso que ya funcionan en producción, con ciudadanos reales, en entornos controlados. Los dos más avanzados son:

Identificación con PID

El ciudadano puede identificarse ante servicios usando únicamente su PID en la wallet, sin necesidad de presentar el DNI físico ni usar el certificado digital tradicional. El proceso funciona en modo en línea y, en determinados contextos, en modo sin conexión mediante el protocolo ISO/IEC 18013-5, el mismo estándar que usa la licencia de conducir digital. La identidad se transmite de forma verificable entre el dispositivo del ciudadano y el sistema del verificador sin que EADTrust ni ningún otro intermediario tenga acceso al contenido.

Verificación de edad

Este es el caso de uso que mejor ilustra la potencia de la divulgación selectiva. Un ciudadano puede acreditar que es mayor de dieciocho años sin revelar su nombre, su fecha de nacimiento ni ningún otro dato. El sistema recibe únicamente la confirmación booleana «mayor de 18: sí». Nada más. Para plataformas de venta de alcohol, tabaco, juegos de azar o contenido para adultos, este mecanismo cumple la obligación legal de verificación de edad con el mínimo impacto posible sobre la privacidad del usuario.

Más allá de estos dos casos de uso centrales, el piloto español está trabajando en la integración de credenciales de diplomas académicos verificables con universidades y de atributos profesionales con colegios profesionales. Esos casos de uso son los más complejos desde el punto de vista de emisión y los más transformadores desde el punto de vista de valor para el ciudadano.

La arquitectura de la Cartera IDUE: cuatro actores, una cadena

La Cartera IDUE se articula sobre cuatro actores que interactúan dentro de un ecosistema de confianza regulado. Entender cómo se relacionan es fundamental para cualquier organización que quiera participar en él.

El ciudadano y su cartera

La persona física que tiene instalada la app de la Cartera IDUE en su dispositivo móvil. Almacena sus credenciales, decide qué comparte con quién y cuándo, y tiene control completo sobre el historial de transacciones. La wallet es su propiedad: nadie puede acceder a ella sin su consentimiento explícito.

Los emisores de credenciales

Las organizaciones que emiten las credenciales que el ciudadano almacena en la cartera. Hay dos tipos: las autoridades públicas (el Estado, los registros, las administraciones), que emiten el PID y las PubEAA; y los QTSP (como EADTrust), que emiten las QEAA (declaraciones cualificadas de atributos). Solo los QTSP pueden emitir QEAA con pleno valor legal bajo eIDAS 2.

Los verificadores

Las organizaciones (públicas o privadas) que reciben las credenciales presentadas por el ciudadano para verificar su identidad o sus atributos. Un banco que quiere verificar la identidad de un nuevo cliente, un hospital que quiere confirmar la colegiación de un médico, una empresa que quiere verificar los poderes de representación de su interlocutor. Para ser verificador, hay que estar registrado como parte usuaria en el sistema nacional y disponer del certificado de acceso correspondiente.

El directorio y el registro

La infraestructura de confianza que certifica quién puede hacer qué en el ecosistema: qué organizaciones están autorizadas para emitir credenciales, cuáles para verificarlas, y bajo qué condiciones. En España, EADTrust construye el Directorio de Partes Informadas e Informantes (visible en usercentric.id), que es la capa de orientación y conexión para organizaciones que quieren entrar en el ecosistema como emisoras o verificadoras.

El estándar técnico que lo sustenta: ARF y OpenID4VC

La Cartera IDUE no es una aplicación con arquitectura propia: sigue el Architecture Reference Framework (ARF) definido por la Comisión Europea como base técnica de referencia para todas las implementaciones de la EUDI Wallet. Eso garantiza la interoperabilidad: la Cartera IDUE funciona con verificadores en Francia, Alemania o Estonia de la misma forma que con verificadores en España.

Los protocolos de comunicación entre la wallet y los verificadores se basan en OpenID4VP (OpenID for Verifiable Presentations) para la presentación de credenciales en línea, y en ISO/IEC 18013-5 para la presentación en modo proximidad, cara a cara, sin conexión a internet. Esos son los mismos protocolos que se usan en la licencia de conducir digital en EEUU y en múltiples proyectos de identidad digital avanzada en el mundo. España los ha adoptado desde el inicio del piloto.

Las credenciales se emiten en formato SD-JWT VC (Selective Disclosure JWT Verifiable Credentials) e ISO/IEC 18013-5 mdoc/mDL. Son los formatos definidos en los actos de ejecución europeos como estándares obligatorios para la interoperabilidad transfronteriza.

Lo que todavía falta: los riesgos reales de la implementación española

La honestidad sobre el estado actual requiere nombrar también lo que no está resuelto. El piloto es sólido, el punto de partida es bueno y el compromiso político es claro. Pero hay elementos que todavía están pendientes y que condicionan el ritmo de preparación de las organizaciones que quieren integrarse.

La hoja de ruta nacional completa

A fecha de redacción de este artículo, España no tiene publicada una hoja de ruta detallada con los plazos específicos de extensión de la Cartera IDUE más allá de los pilotos. Eso genera incertidumbre para las organizaciones que necesitan planificar sus integraciones. La experiencia de los países que han publicado hojas de ruta (como Alemania y los Países Bajos) muestra que esa publicación acelera la adopción del ecosistema privado de forma significativa.

La proliferación de actores no cualificados

Uno de los riesgos identificados en el informe de contenidos estratégicos de EADTrust es la aparición de emisores de atributos que operan sin la cualificación requerida (colegios profesionales, registros y plataformas privadas que emiten credenciales sin supervisión), generando un ecosistema fragmentado donde no toda la credencial que circula tiene el mismo nivel de garantía. La distinción entre QEAA emitida por un QTSP y una EAA emitida por cualquier otro actor es fundamental para la confianza en el sistema.

La dependencia de los actos de ejecución pendientes

Algunos de los actos de ejecución técnicos de eIDAS 2 todavía están en desarrollo o en consulta pública. Eso crea zonas grises técnicas en las que las organizaciones no pueden terminar de definir su arquitectura de integración hasta que los estándares estén completamente cerrados.

La formación del ecosistema privado

Los verificadores no surgirán solos. Las empresas del sector privado regulado necesitan comprender qué significa integrarse como parte usuaria, qué certificados necesitan, cómo funciona el registro y qué flujos de usuario van a cambiar. Ese proceso de formación del ecosistema privado es el trabajo más intensivo de los próximos doce meses.

El rol de EADTrust en la implementación española

EADTrust no es un observador del proceso de despliegue de la Cartera IDUE. Es uno de sus constructores. Desde nuestra posición como QTSP registrado en España desde 2014, supervisado por el Ministerio de Asuntos Económicos y Transformación Digital e inscrito en la Trust Service List de la Comisión Europea, somos parte de la infraestructura de confianza que el ecosistema necesita para funcionar.

En el ecosistema de la Cartera IDUE, los QTSP tienen un papel que ningún otro actor puede cumplir: solo los QTSP pueden emitir QEAA, las declaraciones cualificadas de atributos con pleno valor legal en toda la Unión. Si una universidad quiere emitir diplomas verificables con valor legal europeo, necesita un QTSP detrás. Si un colegio de abogados quiere emitir la condición de colegiado como credencial verificable, necesita un QTSP detrás. Si una empresa quiere emitir poderes de representación verificables para sus empleados, necesita un QTSP detrás.

EADTrust puede ser ese QTSP. Y ya estamos construyendo las primeras QEAA en el marco de los pilotos españoles. Además, el Directorio de Partes Informadas e Informantes de usercentric.id es la plataforma que conecta a las organizaciones que quieren entrar en el ecosistema con la información técnica, jurídica y operativa que necesitan para hacerlo correctamente. No es un directorio pasivo: es un instrumento activo de formación del ecosistema privado en torno a la Cartera IDUE.

Preguntas frecuentes sobre Carte IDUE

El ecosistema privado alrededor de la Cartera IDUE todavía está por construir

La app de la Cartera IDUE será la parte más visible del sistema. Pero el valor real para ciudadanos y empresas depende del ecosistema que se construya alrededor: emisores de credenciales que emitan atributos con valor real, verificadores que los acepten con confianza, y estándares técnicos que garanticen que todo funciona correctamente en los 27 Estados miembros.

Ese ecosistema privado no se construye solo. Se construye con organizaciones que deciden estar dentro, con información suficiente para hacerlo correctamente y con el tiempo necesario para integrarse sin prisas.

EADTrust está construyendo ese ecosistema. El Directorio de usercentric.id es el primer paso. Los servicios de QTSP para la emisión de QEAA son el siguiente. Y el acompañamiento técnico y regulatorio para las organizaciones que quieren integrarse como verificadoras es lo que completa la oferta.

---

---

También te puede interesar…