Todo lo que deberías saber sobre el EUDI Wallet y eIDAS 2.0: qué cambia para las empresas

20 de julio de 2026

Si llevas tiempo leyendo este blog, ya te sonarán las palabras mágicas: wallet, credenciales verificables, identidad soberana… Hemos hablado de cómo el EUDI Wallet va a acabar con el 'Día de la Marmota' digital, de cómo las empresas tendrán su propia European Business Wallet y de cómo montar modelos de negocio sostenibles alrededor de todo esto.

Hoy toca poner los pies en el suelo y explicarlo desde la base, sin dar nada por sabido. Porque detrás de cada revolución tecnológica hay siempre una ley que la empuja y un calendario que no perdona. Y en identidad digital, esa ley se llama eIDAS 2.0.

Así que ponte cómodo o cómoda, que te cuento qué es, quién está obligado, para cuándo, y por qué esto te importa, aunque tu empresa no se dedique (todavía) a la identidad.

Primero, lo básico: ¿qué es eIDAS 2.0?

Empecemos por el nombre, que asusta más de lo que debería. eIDAS son las siglas de electronic IDentification, Authentication and trust Services. La versión original es de 2014 (el Reglamento (UE) 910/2014) y fue el primer intento de Europa de poner orden en la identificación electrónica y los servicios de confianza (firmas, sellos, certificados) entre países.

El problema es que aquel eIDAS de 2014 no llegó a permear tanto como se esperaba y la interoperabilidad se volvió muy compleja. Sobre el papel, tu DNI electrónico español debía servir para abrir un negocio en Alemania o matricularte en una universidad de Francia. En la práctica, era un encaje de bolillos legal y técnico que casi nadie usaba.

eIDAS 2.0, también conocido oficialmente como el Reglamento (UE) 2024/1183, viene a arreglar eso. Entró en vigor el 20 de mayo de 2024 y su gran novedad tiene nombre propio: el EUDI Wallet (European Digital Identity Wallet). Ya no es solo un marco que "permite" la identidad digital; es un reglamento que la impone. Y cuidado con esa palabra, "reglamento": a diferencia de una directiva, un reglamento europeo es de aplicación directa en los 27 Estados Miembro. No hay que trasponerlo a la ley española; ya es ley aquí.

eIDAS de 2014 permitía la identidad digital europea; eIDAS 2.0 la obliga. Ese es todo el cambio de paradigma resumido en una palabra.

El EUDI Wallet: tu identidad europea en el bolsillo

El corazón de eIDAS 2.0 es el EUDI Wallet, una app oficial en tu móvil donde vivirá tu identidad digital europea, emitida o certificada por tu Estado.

Piénsalo como la cartera física que llevas en el bolsillo, pero en versión digital y a prueba de manipulaciones. Igual que en tu cartera de cuero guardas el DNI, el carné de conducir, la tarjeta sanitaria y el carné del gimnasio, en el EUDI Wallet guardarás tus credenciales verificables: desde tu identidad de base hasta, con el tiempo, tu carné de conducir, tus diplomas o tu tarjeta sanitaria.

Y aquí conviene ser rigurosos, porque hay dos matices técnicos que se confunden mucho:

El EUDI Wallet no es una app de login ni un doble factor de autenticación. Es un contenedor de identidad protegido criptográficamente, capaz de presentar atributos verificados a quien tú decidas, online o presencialmente, y siempre con tu consentimiento explícito. No obstante, uno de los casos de uso que podemos implementar es la autenticación a través de las credenciales.
La joya que va dentro se llama PID (Person Identification Data, o Datos de identificación de la persona). Es el conjunto de datos de identidad de base como, por ejemplo, tu nombre, apellidos, fecha de nacimiento, que el Estado verifica y mete en tu wallet. Es, digamos, el 'documento raíz' sobre el que se construye todo lo demás.

■ Sobre ese PID se apoyan luego las EAA (Electronic Attestations of Attributes o Atestaciones Electrónicas de Atributos), que son atestaciones de atributos concretos: 'soy mayor de edad', 'tengo el carné de conducir en vigor', 'cumplo el umbral de renta para el bono social'. Cada Estado Miembro tiene que ofrecer al menos un EUDI Wallet gratuito a todos sus ciudadanos y residentes antes de que termine 2026 (la fecha límite formal es el 24 de diciembre de 2026).

La pregunta del millón: ¿quién está obligado y a qué?

Aquí es donde me gustaría que prestes toda la atención, porque es la parte que más se malinterpreta y la que probablemente te ha traído hasta este artículo.

eIDAS 2.0 reparte los papeles en un ecosistema de tres actores, ese 'triángulo de confianza' del que ya hablamos:

El Emisor (Issuer): la entidad de confianza que certifica algo sobre ti (el Estado emitiendo el PID, una universidad emitiendo un título…).
El Titular (Holder): tú, que guardas la credencial en tu wallet y decides qué compartir.
La Parte Usuaria (Relying Party): la entidad que necesita comprobar tu identidad o alguno de tus atributos y se fía de la credencial que le presentas sin tener que llamar al emisor. Sí, sin decírselo, completamente descentralizado.

Tres actores forman un 'triángulo de confianza'

Y ahora la clave: la obligación legal recae, sobre todo, en las Relying Parties del sector privado.

■ El artículo 5f del reglamento lo dice sin rodeos. Cuando una entidad privada esté obligada, por ley europea, por ley nacional o por obligación contractual, a usar autenticación fuerte de usuario (Strong Customer Authentication, la famosa SCA que ya conoces de PSD2 en los pagos), también tendrá que aceptar el EUDI Wallet como método válido.

La elección no es 'si' aceptas el wallet, sino 'cómo' lo integras.

¿Y de quién hablamos en la práctica? De los sospechosos habituales de la identidad robusta: bancos, entidades de pago, aseguradoras, comercializadoras de energía, telecos y las grandes plataformas online (las que superan los 45 millones de usuarios en la UE). Si tu empresa exige hoy una verificación de identidad seria para dar de alta a un cliente, lo más probable es que en 2027 seas una Relying Party, lo hayas planificado o no.

Convertirse en Relying Party no es opcional para las entidades cubiertas. No basta con seguir aceptando otros métodos de identidad digital: hay que aceptar, específicamente, el EUDI Wallet.

El calendario que no perdona: diciembre de 2027

Vamos con las fechas, que son las que de verdad quitan el sueño en los comités de dirección. El despliegue de eIDAS 2.0 es escalonado:

Mayo de 2024: el reglamento entra en vigor.
Diciembre de 2026: cada Estado Miembro debe tener disponible al menos un EUDI Wallet para sus ciudadanos.
Diciembre de 2027: entra en vigor la obligación de aceptación para las Relying Parties privadas afectadas. En concreto, tienen 36 meses desde la entrada en vigor de los actos de ejecución para aceptar credenciales del EUDI Wallet cuando se les solicite. Esa cuenta atrás vence en diciembre de 2027.

Traducido: si eres un banco, una aseguradora, una energética o una teleco, tienes hasta finales de 2027 para estar listo para consumir el PID que los ciudadanos te presenten desde su wallet. Y no es una recomendación con la boca pequeña: es Derecho de la UE directamente aplicable, con sanciones que pueden alcanzar los 5 millones de euros o el 1% de la facturación global en caso de incumplimiento.

—Me gusta comparar esto con la instalación de un ascensor obligatorio en un edificio antiguo. Puedes verlo como un gasto que te imponen y hacer lo mínimo para pasar la inspección… o puedes aprovechar la obra para revalorizar todo el inmueble. Spoiler: la segunda opción es la interesante, y ahora te explico por qué.

De 'obligación que cumplir' a 'ventaja competitiva'

Aquí está el mensaje que quiero que se quede grabado. Si tu empresa solo ve el EUDI Wallet como una casilla más que marcar para no llevarte una multa, cumplirás con la ley… pero te dejarás sobre la mesa casi todo el valor de negocio.

Porque una vez que has montado la infraestructura para consumir el PID, esa capa técnica que traduce la criptografía del wallet a tus sistemas internos, tienes en la mano una plataforma que puedes exprimir mucho más allá del mínimo legal. De hecho, el reglamento define solo los casos de uso mínimos obligatorios; a partir de ahí, la Comisión Europea habla del wallet como un "catalizador" para que lo uses en todo lo demás. Veámoslo con ejemplos concretos:

Onboarding en segundos, no en minutos

Hoy, dar de alta a un cliente significa pedirle la foto del DNI por las dos caras, un selfie moviendo la cabeza como si intentara hipnotizar al móvil, y cruzar los dedos para que el OCR no falle. Una parte enorme de los usuarios abandona justo ahí.

Con el EUDI Wallet, ese cliente comparte su PID ya verificado con una autorización biométrica y listo. El alta pasa de tomar cinco minutos a resolverse en cinco segundos. La tasa de abandono se desploma y recibes datos firmados criptográficamente y perfectos, sin OCR ni revisión manual de documentos falsos.

KYC reutilizable y emisión de tus propias credenciales

Un banco que ya ha hecho el costoso trabajo de verificar a un cliente puede, además de consumir el PID, emitir sus propias credenciales: una atestación de "cliente verificado", de "titular de esta cuenta" o de "ingresos por encima de tal umbral". El cliente la guarda en su wallet y la reutiliza donde quiera. Pasas de ser solo consumidor de identidad a ser también emisor de confianza, que es donde está buena parte del negocio futuro.

Menos datos, menos riesgo, más cumplimiento

Y aquí entra uno de los principios técnicos más elegantes de todo esto: la divulgación selectiva (selective disclosure), que puede estar apoyada en las pruebas de conocimiento cero (Zero-Knowledge Proofs).

Volvamos al portero de la discoteca. Cuando le enseñas el DNI físico para demostrar que eres mayor de edad, le regalas de propina tu nombre completo, tu dirección y esa foto horrible de hace cinco años. Es una sobreexposición de datos brutal. Con el wallet, tu app puede demostrar matemáticamente que "esta persona es mayor de edad" o que "se llama X" sin revelar el dato de fecha de nacimiento salvo que la Relying Party tenga una base documentada para recibirlo.

Para tu empresa esto es oro puro en clave de cumplimiento: el wallet es conforme con el RGPD por diseño, porque solo puedes pedir los atributos estrictamente necesarios para cada transacción. Pedir de más no solo es feo: te expone a una sanción tanto por RGPD como por eIDAS 2.0.

Cumplir con eIDAS 2.0 será obligatorio. Convertir esa obligación en menos fricción, menos coste de compliance y más conversión será la verdadera oportunidad.

Una advertencia de producto: no llegues tarde

Termino con la parte menos glamurosa pero más importante. Integrar el EUDI Wallet no es enchufar un plugin un viernes por la tarde. Los sistemas heredados de un banco o una teleco están pensados para un mundo centralizado, y el wallet vive en un modelo descentralizado. Encajar ambos requiere una "capa de traducción" que convierta la criptografía del wallet en algo que tus sistemas internos entiendan sin tener que reescribir el core.

Las estimaciones que se manejan hablan de proyectos de entre 6 y 18 meses según el tamaño y la complejidad de la entidad. Haz la cuenta: si la obligación vence en diciembre de 2027 y la integración te lleva más de un año, el momento de empezar a planificar el presupuesto y el roadmap es ahora, no en 2027. Quien llegue tarde se enfrentará a plazos comprimidos, más riesgo técnico y, de propina, una desventaja competitiva frente a quien ya ofrezca alta en segundos.

En resumen

eIDAS 2.0 es el reglamento europeo que pone el EUDI Wallet en el centro de nuestra identidad digital. Los Estados tienen que repartir wallets a los ciudadanos para finales de 2026, y las entidades privadas que hacen identificación robusta bancos, aseguradoras, energéticas, telecos, grandes plataformas, están obligadas a aceptarlo y a consumir el PID para finales de 2027.

La pregunta, por tanto, ya no es si tu empresa va a convertirse en Relying Party. Es cómo va a hacerlo: si como un trámite para esquivar una multa, o como la palanca para transformar su onboarding, su KYC y su relación de confianza con el cliente. Nosotros lo tenemos claro: el ascensor hay que ponerlo igualmente, así que mejor que revalorice todo el edificio.