A quién obliga

Por prestar un servicio de confianza o usar la cartera

Prestadores de confianza
Ecosistema de la cartera
Roles que reparte

Notificación
de incidentes

A quién se notifica
Autoridad
CSIRT
Afectados
Público
Cadena

Régimen sancionador

Calendario ciber

Calendario ciber · fecha derivada

20/05/2024

Entra en vigor la reforma eIDAS2. Ese día nacen el artículo 19 bis y las letras f bis) y f ter) del artículo 24.2: el régimen de seguridad y notificación que hoy es exigible

Reglamento (UE) 2024/1183, art. 2

Calendario ciber

18/10/2024

Se suprime el artículo 19 de eIDAS. Desde esta fecha, el régimen de seguridad y notificación exigible es el del artículo 19 bis y las letras f bis) y f ter) del artículo 24.2

Directiva (UE) 2022/2555, art. 42

Calendario ciber · fecha derivada

24/12/2024

Entran en vigor los cinco Reglamentos de Ejecución de la cartera, publicados el 4 de diciembre de 2024. Es el día en que arrancan los relojes de 24 y 36 meses del marco de identidad digital

Rgtos. (UE) 2024/2977, 2979, 2980, 2981 y 2982

Calendario ciber · fecha derivada

27/05/2025

Entra en vigor el Reglamento de Ejecución (UE) 2025/847, que convierte el «sin dilación indebida» de la cartera en un plazo duro de 24 horas desde la suspensión

Rgto. (UE) 2025/847, art. 11

Calendario ciber · fecha derivada

17/11/2025

Entra en vigor el Reglamento de Ejecución (UE) 2025/2160: la gestión de riesgos del prestador no cualificado pasa a exigir aprobación del riesgo residual por el órgano de dirección y revisión al menos anual

Rgto. (UE) 2025/2160, art. 5

Calendario ciber · fecha derivada

06/01/2026

Entra en vigor el Reglamento de Ejecución (UE) 2025/2530, con los requisitos y las normas de referencia de los prestadores cualificados

Rgto. (UE) 2025/2530, art. 5

Calendario ciber · fecha derivada

28/04/2026

Entra en vigor el Reglamento de Ejecución (UE) 2026/798, con las normas y especificaciones de referencia para incorporar usuarios a la cartera a distancia mediante un medio de identificación electrónica de nivel sustancial combinado con procedimientos adicionales, cuando la combinación alcance el nivel de seguridad alto

Rgto. (UE) 2026/798, art. 2 · art. 5 bis.24 · fuente oficial ↗

Calendario ciber

07/05/2026

La información sobre violaciones de seguridad de las carteras pasa a viajar por el sistema CIRAS gestionado por ENISA

Rgto. (UE) 2025/847, arts. 10 y 11

Calendario ciber · fecha derivada

11/08/2026

Entran en vigor las modificaciones de los cuatro Reglamentos de Ejecución de la cartera de 2024: actualizan las normas y especificaciones de integridad, funcionalidades básicas, notificaciones y protocolos, y añaden la protección del retrato: la cartera advierte al usuario de que se le solicita un dato biométrico y exige confirmación explícita de su divulgación selectiva, y la parte usuaria no lo conserva salvo que el tratamiento sea necesario para identificar o autenticar conforme al Derecho de la Unión

Rgto. (UE) 2026/1731, art. 5 · modifica los Rgtos. (UE) 2024/2977, 2979, 2980 y 2982 · fuente oficial ↗

Calendario ciber · fecha derivada

11/08/2026

Entra en vigor el Reglamento de Ejecución (UE) 2026/1735, que modifica el Reglamento de Ejecución (UE) 2025/1569: tasa los supuestos en que hay que revocar una declaración electrónica de atributos cualificada, o expedida por un organismo del sector público responsable de una fuente auténtica, cuando se expide con validez superior a veinticuatro horas (a petición del titular o del sujeto, cuando el prestador tenga conocimiento de que se ha puesto en peligro su seguridad o su fiabilidad, y cuando lo exija el Derecho de la Unión o nacional), y exige que las técnicas de revocación protejan la privacidad y dificulten la vinculación y la trazabilidad. Las modificaciones del mecanismo de verificación del atributo contra la fuente auténtica, que pasa a cumplir un anexo de especificaciones y a firmarse o sellarse, se aplican desde el 1 de enero de 2027

Rgto. (UE) 2026/1735, art. 2 · modifica el Rgto. (UE) 2025/1569 · fuente oficial ↗

Calendario ciber · fecha derivada

24/12/2026

Cada Estado miembro proporciona al menos una cartera europea de identidad digital, a los veinticuatro meses de la entrada en vigor de los actos de ejecución

Art. 5 bis.1

Calendario ciber

24/12/2026

Es aplicable el Reglamento de Ejecución (UE) 2025/848: la parte usuaria que quiera apoyarse en la cartera tiene que estar inscrita en un registro nacional y contar con certificados de acceso, para autenticarse ante la cartera, y de registro, que declaran qué datos puede solicitar y para qué uso previsto

Rgto. (UE) 2025/848, art. 11, modificado por el Rgto. (UE) 2026/1730 · art. 5 ter.11 · fuente oficial ↗

Calendario ciber

19/08/2027

Son aplicables las normas y especificaciones de referencia de la verificación de la identidad y el cotejo de atributos de la persona a la que se expide un certificado cualificado o una declaración cualificada de atributos: incluyen valores objetivo de falsa aceptación en la verificación biométrica sostenidos por análisis de riesgos e inteligencia sobre amenazas, y prueba de las medidas de validación del documento de identidad por un laboratorio acreditado o una autoridad nacional competente, repetida cada dos años

Rgto. (UE) 2025/1566, art. 2 · art. 24.1 quater · fuente oficial ↗

Calendario ciber

19/08/2027

Son aplicables las normas y especificaciones de referencia de la gestión de dispositivos cualificados de creación de firma y de sello electrónicos a distancia, prestada como servicio de confianza cualificado: es el régimen del prestador que custodia y opera el dispositivo de creación por cuenta del firmante

Rgto. (UE) 2025/1567, art. 2 · art. 29 bis.2 y art. 39 bis · fuente oficial ↗

Calendario ciber

11/08/2028

Es aplicable el apartado 4 del artículo 3 del Reglamento de Ejecución (UE) 2024/2982 en la redacción que le da el Reglamento de Ejecución (UE) 2026/1731: las unidades de cartera autentican y validan el certificado de registro de la parte usuaria, el que declara qué datos puede solicitar y para qué uso previsto. Es el único plazo que el Reglamento 2026/1731 difiere; el resto de sus modificaciones se aplican desde su entrada en vigor

Rgto. (UE) 2024/2982, arts. 3.4 y 8, en la redacción del Rgto. (UE) 2026/1731 · fuente oficial ↗

Qué implantar

Seguridad del prestador
Notificación de incidentes
Cualificación y supervisión
Confianza en los certificados
Cartera europea de identidad digital

Mapa NIST CSF

GOBERNAR NIST CSF 2.0 IDENTIFICAR Identificar · 2 medidas PROTEGER Proteger · 8 medidas DETECTAR Detectar · 0 medidas RESPONDER Responder · 2 medidas RECUPERAR Recuperar · 0 medidas
17 medidas sobre NIST CSF 2.0 Elige una función en la rueda o en la lista para ver sus categorías y medidas.

Gobernar GV

GV.OC Contexto organizativo
GV.RM Estrategia de gestión de riesgos
GV.RR Funciones, responsabilidades y autoridades
GV.PO Política
GV.OV Supervisión
GV.SC Gestión de riesgos de la cadena de suministro de seguridad cibernética

Identificar ID

ID.RA Evaluación de riesgos

Proteger PR

PR.AA Gestión de identidades, autenticación y control de acceso
PR.AT Concienciación y capacitación
PR.DS Seguridad de los datos
PR.PS Seguridad de la plataforma
PR.IR Resiliencia de la infraestructura tecnológica

Responder RS

RS.CO Notificación y comunicación de la respuesta al incidente
RS.MI Mitigación de incidentes
Sanción

Prestador persona física · mínimo que España debe respetar

Conducta
Prestador de servicios de confianza, cualificado o no cualificado, que incumple el Reglamento, cuando sea persona física
Importe
5 000 000 EUR

Art. 16.2.a)

Sanción

Prestador persona jurídica · mínimo que España debe respetar

Conducta
Prestador de servicios de confianza, cualificado o no cualificado, que incumple el Reglamento, cuando sea persona jurídica
Importe
5 000 000 EUR o el 1 % del volumen de negocios anual total a nivel mundial de la empresa a la que perteneciera el prestador, el que sea mayor

Art. 16.2.b)

Régimen sancionador · todo el detalle

Escalones

Prestador persona física · mínimo que España debe respetar

Prestador de servicios de confianza, cualificado o no cualificado, que incumple el Reglamento, cuando sea persona física

5 000 000 EUR

Art. 16.2.a)
Prestador persona jurídica · mínimo que España debe respetar

Prestador de servicios de confianza, cualificado o no cualificado, que incumple el Reglamento, cuando sea persona jurídica

5 000 000 EUR o el 1 % del volumen de negocios anual total a nivel mundial de la empresa a la que perteneciera el prestador, el que sea mayor

Art. 16.2.b)

Matices

  • Estas cifras no son el importe aplicable, son un suelo. El texto dice «de un máximo de, al menos», que es armonización mínima: obliga al Estado a fijar un techo que no sea inferior a cinco millones. La multa concreta la impone la ley nacional.
  • El régimen sancionador de eIDAS es nuevo: lo introdujo la reforma de 2024. El texto de 2014 dejaba las sanciones enteramente en manos de cada Estado, sin cuantías europeas.
  • El suelo de cinco millones solo alcanza a los prestadores de servicios de confianza. Los proveedores de la cartera y las partes usuarias no tienen mínimo europeo de multa: su consecuencia es supervisora (orden de suspender o cesar la provisión de la cartera, o cancelación del registro de la parte usuaria por uso ilegal o fraudulento), no económica.
  • Para un prestador cualificado, la medida que de verdad duele no es la multa sino la retirada de la cualificación: le saca de la lista de confianza y le impide seguir prestando el servicio como cualificado. No es una sanción sino una medida de supervisión, y por eso no figura entre los importes. Se puede activar además por causas ajenas a eIDAS: basta con que la autoridad de NIS2 comunique un incumplimiento del artículo 21 de esa Directiva, o la autoridad de protección de datos un incumplimiento del RGPD.

En España

En España el techo está muy por debajo del suelo europeo, y esa distancia no se ha corregido. La Ley 6/2020 sigue fijando multas de 150.001 a 300.000 euros para las infracciones muy graves, de 50.001 a 150.000 para las graves y de hasta 50.000 para las leves, frente a los 5 000 000 EUR que exige el artículo 16.2. Sanciona la persona titular del Ministerio en las muy graves y la de la Secretaría de Estado de Digitalización e Inteligencia Artificial en las graves y leves; cabe apercibimiento en lugar de sanción para leves y graves. Hay además un desajuste que conviene conocer: dos de los tipos infractores de la Ley (no adoptar medidas de seguridad y no notificar incidentes) remiten al artículo 19 del Reglamento, que está derogado desde el 18 de octubre de 2024. La obligación europea sigue existiendo, pero se ha mudado a los artículos 19 bis y 24.2.f ter).

Aviso

Un prestador de servicios de confianza tiene hoy tres relojes de 24 horas a la vez, con disparadores y destinatarios distintos: el suyo de eIDAS, y el de NIS2 hacia el CSIRT. No es un plazo repetido, son obligaciones que se cumplen por separado. Y la asimetría va al revés de lo que uno esperaría: al prestador cualificado (el supervisado y auditado) el reloj le corre desde que se PRODUCE el incidente, no desde que lo detecta, así que si tarda treinta horas en descubrir una intrusión llega tarde por definición; al no cualificado le corre desde que tiene conocimiento, que es el criterio normal del resto del acervo. Ojo también con el origen de la cita: el artículo 19, que es donde casi toda la documentación de mercado sitúa estas obligaciones, está derogado desde el 18 de octubre de 2024.

Notificación de incidentes

Violación de seguridad o interrupción con impacto significativo · prestador cualificado

Plazo
24 horas
Desde cuándo corre
Desde que se produce el incidente, no desde que se detecta ni desde que se tiene conocimiento

Art. 24.2.f ter)

Notificación de incidentes

Violación de seguridad o interrupción con impacto significativo · prestador no cualificado

Plazo
24 horas
Desde cuándo corre
Desde que se tiene conocimiento de la violación de la seguridad o interrupción

Art. 19 bis.1.b)

Notificación de incidentes

Incidente significativo de un prestador de servicios de confianza, por la vía de NIS2

Plazo
24 horas
Desde cuándo corre
Desde que se tiene constancia del incidente significativo. Es un reloj distinto, con otro destinatario, y sustituye al artículo 19 que NIS2 suprimió

Directiva (UE) 2022/2555, art. 23.4

Notificación de incidentes

Violación o compromiso de la seguridad de la cartera europea de identidad digital: primero se suspende, después se informa

Plazo
Suspensión sin dilación indebida, y 24 horas para las medidas correctoras y para informar
Desde cuándo corre
Las 24 horas cuentan desde la suspensión de la provisión y el uso de la cartera, no desde la violación

Art. 5 sexies.1 · Rgto. de Ejecución (UE) 2025/847, arts. 4.3 y 5.1

Notificación de incidentes

La violación de la cartera no se subsana: retirada y revocación de validez

Plazo
3 meses
Desde cuándo corre
Desde la suspensión. Vencido el plazo, el Estado retira las carteras y revoca su validez, e informa de nuevo

Art. 5 sexies.2

Notificación de incidentes

Medidas cautelares de un navegador web sobre un certificado cualificado de sitio web

Plazo
Sin demora indebida
Desde cuándo corre
Desde que el proveedor del navegador adopta la medida. La notificación va por escrito y con descripción de las medidas

Art. 45 bis.3

A quién se notifica

El organismo de supervisión

Cuándo
Toda violación de seguridad o interrupción con impacto significativo, la preste quien la preste
En España
El ministerio competente en transformación digital. La Ley 6/2020 lo designa órgano de supervisión con su denominación de 2020 («Ministerio de Asuntos Económicos y Transformación Digital»), que ya no existe: hoy la función está en la Dirección General de Digitalización e Inteligencia Artificial del Ministerio para la Transformación Digital y de la Función Pública (RD 210/2024, art. 3.1.n). Las dos denominaciones conviven en documentos oficiales vivos: la lista de confianza de la Unión nombra al operador español «MINISTERIO DE TRANSFORMACION DIGITAL» y la lista española todavía dice la antigua. Ojo a una obligación española añadida: hay que ampliar la información de la notificación inicial en el plazo máximo de un mes (Ley 6/2020, art. 13.3).

Art. 24.2.f ter) · art. 19 bis.1.b)

A quién se notifica

Las personas afectadas identificables

Cuándo
Siempre que la violación tenga impacto significativo en el servicio o en sus datos personales

Art. 24.2.f ter) · art. 19 bis.1.b)

A quién se notifica

El público

Cuándo
Si es de interés público. El prestador no cualificado informa por su cuenta; el cualificado, solo a solicitud del organismo de supervisión

Art. 19 bis.1.b) · art. 24.2.f ter)

A quién se notifica

Otros organismos o autoridades competentes pertinentes

Cuándo
Cuando proceda. Es la vía por la que el aviso llega a la autoridad de protección de datos si hay datos personales implicados
En España
La Ley 6/2020 lo dice expresamente: la notificación al ministerio se entiende sin perjuicio de la que corresponda a la Agencia Española de Protección de Datos, a otros organismos relevantes o a las personas afectadas (art. 13.1).

Art. 24.2.f ter) · art. 19 bis.1.b)

A quién se notifica

El CSIRT o, en su caso, la autoridad competente de NIS2

Cuándo
Incidentes significativos que afecten a la prestación de los servicios de confianza. Es una obligación de NIS2, no de eIDAS, y por eso se cumple aparte
En España
NIS2 sigue sin transponer en España, así que el esquema vigente es el del Real Decreto-ley 12/2018: INCIBE-CERT es el CSIRT de referencia para el sector privado, y CCN-CERT para el sector público.

Directiva (UE) 2022/2555, art. 23.4

A quién se notifica

Los usuarios de la cartera afectados y las partes usuarias registradas

Cuándo
Tras suspender o retirar una cartera comprometida, y de nuevo al restablecerla

Art. 5 bis.6 · art. 5 sexies.1 a 3

A quién se notifica

Los puntos de contacto únicos y la Comisión Europea

Cuándo
Suspensión, retirada y restablecimiento de una cartera. Desde el 7 de mayo de 2026 la información viaja por el sistema CIRAS gestionado por ENISA

Art. 5 sexies.1 a 3 · art. 46 quater · Rgto. de Ejecución (UE) 2025/847, art. 10

Notificación de incidentes · todo el detalle

Qué es notificable

Cualquier violación de la seguridad o interrupción en la prestación del servicio, o en la aplicación de las medidas de gestión de riesgos, que tenga un impacto significativo en el servicio de confianza prestado o en los datos personales mantenidos en él.

Literal de la norma que tenga un impacto significativo en el servicio de confianza prestado o en los datos personales mantenidos en él

Un prestador de servicios de confianza tiene hoy tres relojes de 24 horas a la vez, con disparadores y destinatarios distintos: el suyo de eIDAS, y el de NIS2 hacia el CSIRT. No es un plazo repetido, son obligaciones que se cumplen por separado. Y la asimetría va al revés de lo que uno esperaría: al prestador cualificado (el supervisado y auditado) el reloj le corre desde que se PRODUCE el incidente, no desde que lo detecta, así que si tarda treinta horas en descubrir una intrusión llega tarde por definición; al no cualificado le corre desde que tiene conocimiento, que es el criterio normal del resto del acervo. Ojo también con el origen de la cita: el artículo 19, que es donde casi toda la documentación de mercado sitúa estas obligaciones, está derogado desde el 18 de octubre de 2024.

Supuestos y plazos

Violación de seguridad o interrupción con impacto significativo · prestador cualificado

24 horas

Desde que se produce el incidente, no desde que se detecta ni desde que se tiene conocimiento

Art. 24.2.f ter)
Violación de seguridad o interrupción con impacto significativo · prestador no cualificado

24 horas

Desde que se tiene conocimiento de la violación de la seguridad o interrupción

Art. 19 bis.1.b)
Incidente significativo de un prestador de servicios de confianza, por la vía de NIS2

24 horas

Desde que se tiene constancia del incidente significativo. Es un reloj distinto, con otro destinatario, y sustituye al artículo 19 que NIS2 suprimió

Directiva (UE) 2022/2555, art. 23.4
Violación o compromiso de la seguridad de la cartera europea de identidad digital: primero se suspende, después se informa

Suspensión sin dilación indebida, y 24 horas para las medidas correctoras y para informar

Las 24 horas cuentan desde la suspensión de la provisión y el uso de la cartera, no desde la violación

Art. 5 sexies.1 · Rgto. de Ejecución (UE) 2025/847, arts. 4.3 y 5.1
La violación de la cartera no se subsana: retirada y revocación de validez

3 meses

Desde la suspensión. Vencido el plazo, el Estado retira las carteras y revoca su validez, e informa de nuevo

Art. 5 sexies.2
Medidas cautelares de un navegador web sobre un certificado cualificado de sitio web

Sin demora indebida

Desde que el proveedor del navegador adopta la medida. La notificación va por escrito y con descripción de las medidas

Art. 45 bis.3

A quién se notifica

El organismo de supervisión

Toda violación de seguridad o interrupción con impacto significativo, la preste quien la preste

Art. 24.2.f ter) · art. 19 bis.1.b)
Las personas afectadas identificables

Siempre que la violación tenga impacto significativo en el servicio o en sus datos personales

Art. 24.2.f ter) · art. 19 bis.1.b)
El público

Si es de interés público. El prestador no cualificado informa por su cuenta; el cualificado, solo a solicitud del organismo de supervisión

Art. 19 bis.1.b) · art. 24.2.f ter)
Otros organismos o autoridades competentes pertinentes

Cuando proceda. Es la vía por la que el aviso llega a la autoridad de protección de datos si hay datos personales implicados

Art. 24.2.f ter) · art. 19 bis.1.b)
El CSIRT o, en su caso, la autoridad competente de NIS2

Incidentes significativos que afecten a la prestación de los servicios de confianza. Es una obligación de NIS2, no de eIDAS, y por eso se cumple aparte

Directiva (UE) 2022/2555, art. 23.4
Los usuarios de la cartera afectados y las partes usuarias registradas

Tras suspender o retirar una cartera comprometida, y de nuevo al restablecerla

Art. 5 bis.6 · art. 5 sexies.1 a 3
Los puntos de contacto únicos y la Comisión Europea

Suspensión, retirada y restablecimiento de una cartera. Desde el 7 de mayo de 2026 la información viaja por el sistema CIRAS gestionado por ENISA

Art. 5 sexies.1 a 3 · art. 46 quater · Rgto. de Ejecución (UE) 2025/847, art. 10
A quién obliga

Servicios de confianza no cualificados

Prestadores no cualificados de servicios de confianza establecidos en la Unión. Es el grupo más numeroso y el menos consciente de estarlo: no hay verificación previa ni lista pública, pero desde el 20 de mayo de 2024 les aplican medidas de gestión de riesgos y la notificación en 24 horas (art. 2.1 y art. 19 bis)

Ejemplo Una empresa que vende firma electrónica en la nube o sellado de tiempo sin haber pedido la cualificación: no necesita permiso de nadie para operar, pero desde 2024 le aplican la gestión de riesgos y el aviso de 24 horas.
Roles que emanan
A quién obliga

Servicios de confianza cualificados

Prestadores cualificados de servicios de confianza: los que han pasado verificación previa y figuran en la lista de confianza. Auditoría cada 24 meses a su costa y el régimen más exigente de la norma (art. 20, art. 21 y art. 24)

Ejemplo La entidad pública que emite el certificado con el que se firma la declaración de la renta, o cualquiera de los 71 prestadores que hoy figuran en la lista de confianza española.
Roles que emanan
A quién obliga

Proveedores de la cartera europea

Proveedores de carteras europeas de identidad digital, sea el propio Estado, una entidad con mandato estatal o una entidad independiente reconocida por el Estado (art. 5 bis.2 y art. 5 quater)

Ejemplo El organismo que cada Estado designe para proporcionar su cartera: puede ser la propia Administración, una entidad con mandato público o una privada reconocida por el Estado.
Roles que emanan
A quién obliga

Partes usuarias de la cartera

Partes usuarias de la cartera: cualquiera que quiera apoyarse en ella para prestar un servicio público o privado. Registro previo obligatorio en su Estado, con declaración de qué datos va a solicitar (art. 5 ter)

Ejemplo Un banco, una eléctrica o una aseguradora que decida aceptar la cartera para identificar a sus clientes: tiene que registrarse antes en su Estado y declarar por adelantado qué datos va a pedir, y no puede pedir otros.
Roles que emanan
A quién obliga

Proveedores de navegadores web

Proveedores de navegadores web, cuando adoptan medidas cautelares frente a un certificado cualificado de autenticación de sitio web: solo por preocupaciones justificadas de seguridad, y con notificación escrita (art. 45 bis)

Ejemplo El fabricante de un navegador que deja de confiar en un certificado cualificado de sitio web: solo puede hacerlo por motivos de seguridad y tiene que avisar por escrito a cuatro destinatarios.
Roles que emanan
A quién obliga

Exclusiones

Los servicios de confianza utilizados exclusivamente dentro de sistemas cerrados resultantes del Derecho nacional o de acuerdos entre un conjunto definido de participantes. Es la puerta por la que salen los esquemas internos de firma de un grupo empresarial o de un colectivo cerrado.

Art. 2.2

Los prestadores no establecidos en la Unión. El Reglamento se aplica a los prestadores «establecidos en la Unión»; los de terceros países solo entran por reconocimiento mediante acto de ejecución o acuerdo internacional.

Art. 2.1 y art. 14

Un servicio equivalente que no se preste habitualmente a cambio de una remuneración: la definición de servicio de confianza lo exige, así que queda fuera por definición.

Art. 3.16
A quién obliga · todo el detalle

Obliga por lo que haces, no por el sector en el que estás ni por tu tamaño: basta con prestar uno de los catorce servicios de confianza que enumera el artículo 3.16, proveer la cartera europea de identidad digital o apoyarse en ella. Y el anclaje territorial es el establecimiento, no la prestación: alcanza a los prestadores establecidos en la Unión, al revés que NIS2, que alcanza a quien presta servicios aquí aunque esté fuera. Quien no está establecido en la Unión entra por otra puerta, la del reconocimiento del artículo 14.

Prestadores de confianza

Servicios de confianza no cualificados

Prestadores no cualificados de servicios de confianza establecidos en la Unión. Es el grupo más numeroso y el menos consciente de estarlo: no hay verificación previa ni lista pública, pero desde el 20 de mayo de 2024 les aplican medidas de gestión de riesgos y la notificación en 24 horas (art. 2.1 y art. 19 bis)

Servicios de confianza cualificados

Prestadores cualificados de servicios de confianza: los que han pasado verificación previa y figuran en la lista de confianza. Auditoría cada 24 meses a su costa y el régimen más exigente de la norma (art. 20, art. 21 y art. 24)

Ecosistema de la cartera

Proveedores de la cartera europea

Proveedores de carteras europeas de identidad digital, sea el propio Estado, una entidad con mandato estatal o una entidad independiente reconocida por el Estado (art. 5 bis.2 y art. 5 quater)

Partes usuarias de la cartera

Partes usuarias de la cartera: cualquiera que quiera apoyarse en ella para prestar un servicio público o privado. Registro previo obligatorio en su Estado, con declaración de qué datos va a solicitar (art. 5 ter)

Proveedores de navegadores web

Proveedores de navegadores web, cuando adoptan medidas cautelares frente a un certificado cualificado de autenticación de sitio web: solo por preocupaciones justificadas de seguridad, y con notificación escrita (art. 45 bis)

Exclusiones

Los servicios de confianza utilizados exclusivamente dentro de sistemas cerrados resultantes del Derecho nacional o de acuerdos entre un conjunto definido de participantes. Es la puerta por la que salen los esquemas internos de firma de un grupo empresarial o de un colectivo cerrado.

Art. 2.2

Los prestadores no establecidos en la Unión. El Reglamento se aplica a los prestadores «establecidos en la Unión»; los de terceros países solo entran por reconocimiento mediante acto de ejecución o acuerdo internacional.

Art. 2.1 y art. 14

Un servicio equivalente que no se preste habitualmente a cambio de una remuneración: la definición de servicio de confianza lo exige, así que queda fuera por definición.

Art. 3.16
Unión Europea · Reglamento UE

Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE

Identificador
CELEX 32014R0910
Fuente
EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea
Ficha técnica

Ciberseguridad

Los servicios de confianza son servicios de seguridad por naturaleza (firma, sello, certificados) y el art. 19 les impone gestión de riesgos y notificación de violaciones en 24 horas. Pero la norma también regula identificación electrónica y efectos jurídicos, que no son seguridad de la información.

Valoración del curador · nivel 3 de 5

Qué implantar · Seguridad del prestador

Gestión de riesgos del prestador no cualificado Ciber

Si prestas servicios de confianza sin ser cualificado, necesitas políticas de gestión de riesgos escritas y aplicadas. Como mínimo tienen que cubrir el alta de clientes, los controles administrativos y de procedimiento, y la gestión e implantación del servicio. Se exige aunque ya se apliquen las medidas del artículo 21 de NIS2: es un añadido, no una alternativa.

Literal de la norma contarán con políticas adecuadas y adoptarán las medidas que procedan para gestionar los riesgos jurídicos, empresariales, operativos y otros riesgos directos o indirectos para la prestación del servicio de confianza no cualificado
Recae sobre
Alimenta estas medidas

Art. 19 bis.1.a)

Qué implantar · Seguridad del prestador

Gestión de riesgos del prestador cualificado Ciber

El mismo mínimo de tres bloques que para el no cualificado. La diferencia entre unos y otros no está en la medida de seguridad, está en el aparato que la controla: verificación previa, auditoría periódica y posibilidad de retirar la cualificación.

Recae sobre
Alimenta estas medidas

Art. 24.2.f bis)

Qué implantar · Seguridad del prestador

Personal y subcontratistas competentes y formados Ciber

Conocimientos, fiabilidad, experiencia y cualificaciones necesarios, con formación en seguridad y en protección de datos personales, y procedimientos conformes a normas europeas o internacionales. Cubre expresamente a los subcontratistas.

Recae sobre
Alimenta estas medidas

Art. 24.2.b)

Qué implantar · Seguridad del prestador

Sistemas y productos fiables Ciber

Protegidos contra toda alteración y garantizando la seguridad y fiabilidad técnicas de los procesos, en particular con técnicas criptográficas adecuadas.

Recae sobre
Alimenta estas medidas

Art. 24.2.e)

Qué implantar · Seguridad del prestador

Medidas contra falsificación, robo y manipulación de datos Ciber

Contra la falsificación, el robo o la apropiación indebida de datos, y contra su eliminación, alteración o bloqueo sin derecho.

Recae sobre
Alimenta estas medidas

Art. 24.2.g)

Qué implantar · Seguridad del prestador

Conservación de la información y plan de cese Ciber

Registro accesible de los datos expedidos y recibidos durante el tiempo necesario incluso después de cesar la actividad, y un plan de cese actualizado que el organismo de supervisión verifica.

Recae sobre
Alimenta estas medidas

Art. 24.2.h) e i)

Qué implantar · Notificación de incidentes

Notificación en 24 horas desde que se conoce Ciber

Avisar en 24 horas desde que tienes conocimiento de una violación de seguridad o interrupción con impacto significativo. Al supervisor, a las personas afectadas identificables, al público si hay interés público y a otras autoridades cuando proceda.

Literal de la norma sin dilación indebida y, en cualquier caso, a más tardar a las veinticuatro horas de haber tenido conocimiento de cualquier violación de la seguridad o interrupción
Recae sobre
Alimenta estas medidas

Art. 19 bis.1.b)

Qué implantar · Notificación de incidentes

Notificación en 24 horas desde que ocurre Ciber

Si eres prestador cualificado, avisar en 24 horas contadas desde que se produce el incidente, no desde que lo detectas. Al público solo si te lo pide el supervisor.

Literal de la norma sin dilación indebida y, en cualquier caso, a más tardar veinticuatro horas después de haberse producido el incidente
Recae sobre
Alimenta estas medidas

Art. 24.2.f ter)

Qué implantar · Notificación de incidentes

Traslado a la autoridad de NIS2

Los dos organismos de supervisión (el de servicios de confianza y el de la cartera) tienen que trasladar a la autoridad de NIS2 toda violación significativa de seguridad o pérdida de integridad que conozcan, y avisar a los puntos de contacto únicos si afecta a otros Estados.

Recae sobre

Art. 46 ter.4.a) y 46 bis.4.c)

Qué implantar · Cualificación y supervisión

Verificación previa antes de operar como cualificado

Para empezar a prestar un servicio cualificado hay que notificar la intención al supervisor con un informe de evaluación de la conformidad, y esperar: no se puede operar hasta figurar en la lista de confianza.

Recae sobre

Art. 21.1

Qué implantar · Cualificación y supervisión

Auditoría de conformidad cada 24 meses Ciber

Someterse a auditoría de conformidad al menos cada veinticuatro meses, pagándola, y contra dos normas a la vez: este Reglamento y el artículo 21 de NIS2. El informe llega al supervisor en tres días hábiles.

Recae sobre
Alimenta estas medidas

Art. 20.1

Qué implantar · Cualificación y supervisión

Preaviso de auditoría Ciber

Hay que avisar al supervisor un mes antes de cada auditoría prevista y dejarle asistir como observador.

Recae sobre
Alimenta estas medidas

Art. 20.1 bis

Qué implantar · Cualificación y supervisión

Preaviso de cambios y de cese

Informar al supervisor de cualquier cambio en la prestación al menos un mes antes, y con tres meses de antelación si se va a cesar la actividad.

Recae sobre

Art. 24.2.a)

Qué implantar · Cualificación y supervisión

Retirada de la cualificación

Si no subsanas un incumplimiento en el plazo que te fije el supervisor, te retira la cualificación a ti o al servicio. Y la retirada también puede venir por vía ajena: si la autoridad de NIS2 o la de protección de datos comunican un incumplimiento suyo.

Recae sobre

Art. 20.3

Qué implantar · Confianza en los certificados

Publicación de la revocación en 24 horas Ciber

Publicar el estado de revocación de un certificado en 24 horas desde que se recibe la solicitud. Es un cuarto reloj de 24 horas, y no tiene nada que ver con los incidentes.

Recae sobre
Alimenta estas medidas

Art. 24.3

Qué implantar · Confianza en los certificados

Información de estado del certificado, siempre disponible Ciber

Ofrecer información de validez o revocación por certificado, en cualquier momento y también después de expirar, de forma automatizada, fiable, gratuita y eficiente.

Recae sobre
Alimenta estas medidas

Art. 24.4

Qué implantar · Confianza en los certificados

Medidas cautelares del navegador, solo por seguridad Ciber

Un navegador solo puede tomar medidas cautelares contra un certificado cualificado de sitio web si hay preocupaciones justificadas de seguridad, y tiene que notificarlo por escrito a la Comisión, al supervisor, al titular del certificado y al prestador que lo expidió.

Recae sobre

Art. 45 bis.2 y 45 bis.3

Qué implantar · Cartera europea de identidad digital

Cartera: nivel de seguridad alto y seguridad desde el diseño Ciber

La cartera se proporciona dentro de un sistema de identificación electrónica de nivel alto y respeta el principio de seguridad desde el diseño.

Recae sobre
Alimenta estas medidas

Art. 5 bis.11 y 5 bis.12

Qué implantar · Cartera europea de identidad digital

Cartera: certificación y evaluación de vulnerabilidad bienal Ciber

Certificación por organismos designados, con la parte de ciberseguridad conforme a los esquemas del Reglamento (UE) 2019/881. Validez máxima de cinco años y solo si hay evaluación de vulnerabilidad cada dos; vulnerabilidad detectada y no subsanada a tiempo cancela la certificación.

Recae sobre
Alimenta estas medidas

Art. 5 quater

Qué implantar · Cartera europea de identidad digital

Cartera: separación lógica y no trazabilidad Ciber

Datos de la cartera separados lógicamente del resto de los del proveedor, sin recopilar información de uso innecesaria ni combinarla con otros servicios. Y el marco técnico no puede permitir rastrear, vincular ni correlacionar transacciones o comportamiento del usuario salvo autorización explícita.

Recae sobre
Alimenta estas medidas

Art. 5 bis.14 y 5 bis.16

Qué implantar · Cartera europea de identidad digital

Cartera: código fuente abierto

El código de los componentes de software de la cartera tiene licencia de código abierto, con excepciones justificadas para componentes no instalados en el dispositivo del usuario.

Recae sobre

Art. 5 bis.3

Qué implantar · Cartera europea de identidad digital

Aviso al usuario de la cartera comprometida Ciber

El Estado que proporciona la cartera informa sin demora a los usuarios de cualquier violación de seguridad que haya podido comprometer su cartera o su contenido.

Recae sobre
Alimenta estas medidas

Art. 5 bis.6

Qué implantar · Cartera europea de identidad digital

Suspender la cartera antes de notificar Ciber

Ante una violación que afecte a la fiabilidad de la cartera, lo primero es suspender su provisión y su uso, no notificar. Si la gravedad lo justifica, retirarla. Informar viene después.

Literal de la norma el Estado miembro que haya proporcionado las carteras europeas de identidad digital suspenderá, sin dilación indebida, la provisión y el uso de dichas carteras
Recae sobre
Alimenta estas medidas

Art. 5 sexies.1

Qué implantar · Cartera europea de identidad digital

Retirada de la cartera si no se subsana en tres meses Ciber

Si la violación no se subsana en tres meses desde la suspensión, hay que retirar las carteras y revocar su validez, e informar otra vez a usuarios, partes usuarias, puntos de contacto y Comisión.

Recae sobre
Alimenta estas medidas

Art. 5 sexies.2

Qué implantar · Cartera europea de identidad digital

Registro previo de la parte usuaria

Quien quiera aceptar la cartera tiene que registrarse antes en su Estado, aportando su identificación y sus datos de contacto, y declarar qué datos va a pedir. Y no puede pedir ninguno distinto de los declarados.

Recae sobre

Art. 5 ter.1 a 5 ter.3

Medida

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

Cómo se despliega Una estructura de gobierno dimensionada al tamaño de la organización (comité de seguridad, funciones delegadas) con presupuesto propio y un canal estable entre quien opera la seguridad y quien responde de ella.
Qué exige esta norma
  • Aprobación de las medidas de gestión de riesgos por el órgano de dirección
Matiz de esta norma Llega por el reglamento de ejecución y recae sobre el prestador no cualificado, el que no pidió permiso a nadie: su órgano de dirección aprueba el riesgo residual que queda tras aplicar el plan de tratamiento.
Categoría CSF 2.0 GV.RR · Funciones, responsabilidades y autoridadesGV.OV · Supervisión

Cae en GV.RR por el reparto de responsabilidades y en GV.OV por la supervisión de resultados.

Emana de

Art. 19 bis.1.a) · Rgto. de Ejecución (UE) 2025/2160 · categorización del curador, no de la norma

Medida

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Cómo se despliega Un cuerpo normativo por capas (política, normativas, procedimientos) gestionado como exige un sistema de gestión tipo ISO 27001 o ENS: versionado, con dueño, publicado donde la plantilla lo encuentre, y con revisión programada y tras los cambios relevantes.
Qué exige esta norma
  • Política de seguridad de los sistemas de información aprobada por la dirección
Matiz de esta norma Las políticas tienen contenido tasado, no genérico: alta e incorporación del cliente al servicio, controles administrativos y de procedimiento, y gestión e implantación del propio servicio de confianza.
Categoría CSF 2.0 GV.PO · Política
Emana de

Art. 19 bis.1.a) · art. 24.2.f bis) · categorización del curador, no de la norma

Medida

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Cómo se despliega Un proceso con dueño y calendario propio, apoyado en una metodología reconocida y al día (ISO/IEC 27005:2022, MAGERIT, EBIOS RM) y alimentado por el inventario de activos, con apetito de riesgo declarado; el resultado ordena el plan de seguridad del año.
Qué exige esta norma
  • Análisis de riesgos con metodología, criterios y resultados documentados
  • Revisión de la evaluación de riesgos al menos anual y ante cambios o incidentes significativos
Matiz de esta norma Se exige aunque ya se apliquen las medidas del artículo 21 de NIS2: es un añadido sectorial, no una alternativa. Y desde noviembre de 2025 el prestador no cualificado revisa la evaluación al menos una vez al año y ante cambios o incidentes significativos.
Categoría CSF 2.0 ID.RA · Evaluación de riesgosGV.RM · Estrategia de gestión de riesgos

El análisis y la evaluación son ID.RA; el apetito de riesgo declarado y la estrategia que fija la tolerancia y los objetivos medibles son GV.RM. Van juntos porque en el corpus los exige la misma obligación.

Emana de

Art. 19 bis.1.a) · art. 24.2.f bis) · categorización del curador, no de la norma

Medida

Programa de concienciación y formación Compartida

Un programa de concienciación y formación con contenido, calendario y evaluación de resultados, que incorpore a la plantilla a la defensa en lugar de dejarla como el vector de entrada más accesible.

Cómo se despliega Una plataforma o servicio de formación gestionado como programa, con contenido mantenido, calendario anual y medición del resultado, no una compra puntual de contenidos.
Qué exige esta norma
  • Formación regular y equivalente para la plantilla
Matiz de esta norma La formación cubre seguridad y protección de datos personales a la vez, y alcanza a los subcontratistas igual que a la plantilla propia.
Categoría CSF 2.0 PR.AT · Concienciación y capacitación
Emana de

Art. 24.2.b) · categorización del curador, no de la norma

Medida

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

Cómo se despliega Reglas pactadas con recursos humanos y escritas en los contratos, aplicadas igual al personal propio y al ajeno, con la entrada y la salida como momentos con procedimiento.
Qué exige esta norma
  • Seguridad de los recursos humanos
Matiz de esta norma Lo que hay que poder acreditar de cada persona son conocimientos, fiabilidad, experiencia y cualificaciones, con procedimientos conformes a normas europeas o internacionales.
Categoría CSF 2.0 GV.RR · Funciones, responsabilidades y autoridades

CSF 2.0 sitúa las prácticas de personal en GV.RR; la concienciación va aparte, en PR.AT.

Emana de

Art. 24.2.b) · categorización del curador, no de la norma

Medida

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Cómo se despliega Un proceso con dueño, integrado en compras y en jurídico: la seguridad participa antes de firmar y durante la vida del contrato, con una intensidad proporcional a la criticidad del servicio prestado.
Qué exige esta norma
  • Criterios de seguridad para seleccionar proveedores
Matiz de esta norma No hay régimen de terceros completo: lo que hay es la extensión literal del requisito de personal a los subcontratistas, que en la práctica se monta como criterio de idoneidad para seleccionarlos.
Categoría CSF 2.0 GV.SC · Gestión de riesgos de la cadena de suministro de seguridad cibernética

GV.SC entero, de la diligencia previa a la salida. Las dos exigencias documentales del CRA (comprobar papeles al incorporar o revender, y saber a quién se suministró) viven aquí porque son deberes de cadena, aunque quien las cumple mire al mercado y no a un contrato de servicio.

Emana de

Art. 24.2.b) · categorización del curador, no de la norma

Medida

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

Cómo se despliega La seguridad integrada en el flujo de construir y de comprar, con un criterio de aceptación explícito y un responsable de sostenerlo: su incumplimiento impide el paso a producción o la firma del contrato.
Qué exige esta norma
  • Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas
Matiz de esta norma El criterio de compra y de construcción es la fiabilidad frente a la alteración: sistemas y productos protegidos, con la seguridad técnica de los procesos dentro.
Categoría CSF 2.0 PR.PS · Seguridad de la plataforma
Emana de

Art. 24.2.e) · categorización del curador, no de la norma

Medida

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Cómo se despliega Una norma técnica que fije qué se cifra, dónde y con qué algoritmos aprobados, aplicada con lo que las plataformas ya traen, y escrita para poder cambiar de algoritmo sin rehacer el sistema: el inventario de usos criptográficos es la base de la transición poscuántica, y el dato de vida larga cifrado hoy está expuesto a su captura y descifrado futuro.
Qué exige esta norma
  • Políticas y procedimientos de uso de la criptografía y el cifrado
Matiz de esta norma La criptografía aparece nombrada como la técnica esperada para sostener esa fiabilidad, no como una opción entre varias.
Categoría CSF 2.0 PR.DS · Seguridad de los datos
Emana de

Art. 24.2.e) · categorización del curador, no de la norma

Medida

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Cómo se despliega Apoyado en lo que las plataformas ya traen antes que en desarrollo propio, con el esfuerzo concentrado donde el dato tiene valor probatorio y no en todo por igual.
Qué exige esta norma
  • Mecanismos que permitan detectar y demostrar la alteración del dato
  • Medidas contra la falsificación, el robo y la apropiación indebida de datos
  • Controles contra la eliminación o el bloqueo del dato sin derecho
Categoría CSF 2.0 PR.DS · Seguridad de los datos
Emana de

Art. 24.2.g) · categorización del curador, no de la norma

Medida

Gestión de vulnerabilidades Compartida

Tratar las vulnerabilidades como un proceso continuo con responsable y plazos, no como reacciones aisladas: las vulnerabilidades conocidas se gestionan en lugar de acumularse.

Cómo se despliega Un proceso con dueño, apoyado en herramienta y en fuentes de aviso (boletines, el CERT de referencia), con métricas de lo que queda abierto y de cuánto tarda en cerrarse.
Qué exige esta norma
  • Identificación, priorización por riesgo y corrección de vulnerabilidades en plazo
Matiz de esta norma Sobre la cartera la evaluación es periódica y con consecuencia: cada dos años, y una vulnerabilidad detectada que no se subsane en plazo cancela la certificación.
Categoría CSF 2.0 ID.RA · Evaluación de riesgos

La identificación y priorización es ID.RA; el parcheo operativo resultante cae en PR.PS.

Emana de

Art. 5 quater · categorización del curador, no de la norma

Medida

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Cómo se despliega Un procedimiento con responsables designados y suplentes, el asesor jurídico y comunicación dentro del circuito, y ensayos que comprueben si el procedimiento funciona bajo presión. Cada reloj arranca en un hecho distinto (conocer el incidente, clasificarlo o que ocurra), así que alguien declara ese momento y queda anotado; y un mismo incidente suele exigir varias notificaciones simultáneas, que deben ser coherentes entre sí.
Qué exige esta norma
  • Notificación de incidentes a la autoridad o al CSIRT en los plazos de la norma
  • Aviso a los destinatarios o afectados cuando el incidente pueda tocarles
Matiz de esta norma Dos relojes de 24 horas con disparadores distintos, y el más duro recae sobre el más supervisado: al prestador cualificado le corre desde que se produce el incidente, al no cualificado desde que lo conoce. Hay un tercero por la vía de NIS2, hacia el CSIRT.
Categoría CSF 2.0 RS.CO · Notificación y comunicación de la respuesta al incidente
Emana de

Art. 19 bis.1.b) · art. 24.2.f ter) · categorización del curador, no de la norma

Medida

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Cómo se despliega Un repositorio de evidencias al día, una relación estable con quien evalúa desde fuera y el calendario de la acreditación gestionado como un compromiso más del negocio. El dueño lo fija cada norma: el sistema de gestión de la organización, o quien responde del producto.
Qué exige esta norma
  • Auditoría o evaluación de la conformidad por un tercero independiente, con la periodicidad de la norma
  • Certificación o distintivo en un esquema reconocido, con validez temporal y renovación
Matiz de esta norma La auditoría del prestador cualificado es bienal, a su costa y contra dos normas a la vez, este Reglamento y el artículo 21 de NIS2, con preaviso de un mes al supervisor y derecho de este a asistir como observador. La cartera va por certificación: organismo designado, parte ciber conforme a los esquemas del Reglamento (UE) 2019/881 y validez máxima de cinco años.
Categoría CSF 2.0 GV.OC · Contexto organizativo

GV.OC recoge los requisitos legales y reglamentarios comprendidos y gestionados; la acreditación externa es su prueba oponible. La mejora que sale de esa auditoría no se queda aquí: va a evaluación de la eficacia (ID.IM). Aquí se demuestra; allí se corrige.

Emana de

Art. 20.1 · art. 20.1 bis · art. 5 quater · categorización del curador, no de la norma

Medida

Estado del certificado publicado y consultable siempre

El servicio de estado del certificado se dimensiona como infraestructura crítica del prestador: la revocación se registra y se publica dentro de las 24 horas siguientes a recibir la solicitud, y la consulta de validez responde en cualquier momento, de forma automatizada y gratuita, también para certificados ya expirados. Es un cuarto reloj de 24 horas y no tiene nada que ver con los incidentes.

Qué exige esta norma
  • Registro y publicación del estado de revocación en 24 horas desde la solicitud
  • Consulta de validez o revocación por certificado disponible en todo momento, también tras expirar
  • Respuesta automatizada, fiable, gratuita y eficiente
Categoría CSF 2.0 PR.AA · Gestión de identidades, autenticación y control de accesoPR.IR · Resiliencia de la infraestructura tecnológica
Emana de

Art. 24.3 · art. 24.4 · categorización del curador, no de la norma

Medida

Conservación de registros y plan de cese

Diseñar la retención dando por hecho que el servicio puede morir: los registros de lo expedido y lo recibido siguen accesibles y sirviendo de prueba después de cerrar la actividad, y el plan de cese, que dice quién custodia la información y cómo se avisa a los usuarios, se mantiene actualizado y lo verifica el organismo de supervisión.

Qué exige esta norma
  • Registro accesible de los datos expedidos y recibidos, con retención definida
  • Información que sobrevive al cese de la actividad y sirve de prueba
  • Plan de cese actualizado y verificable por el organismo de supervisión
Categoría CSF 2.0 PR.DS · Seguridad de los datos
Emana de

Art. 24.2.h) e i) · categorización del curador, no de la norma

Medida

Cartera dentro de un esquema de nivel alto y con seguridad desde el diseño

La cartera no se despliega suelta: va dentro de un sistema de identificación electrónica de nivel de seguridad alto, con la acreditación y verificación de identidad y la autenticación que ese nivel impone, y las decisiones de arquitectura se toman con la seguridad delante en vez de añadirla al final.

Qué exige esta norma
  • Provisión dentro de un sistema de identificación electrónica de nivel de seguridad alto
  • Seguridad desde el diseño en la arquitectura de la cartera
Categoría CSF 2.0 PR.AA · Gestión de identidades, autenticación y control de accesoPR.PS · Seguridad de la plataforma
Emana de

Art. 5 bis.11 y 5 bis.12 · categorización del curador, no de la norma

Medida

Cartera: separación lógica del dato y no trazabilidad

Aislar el almacén de la cartera del resto de los sistemas del proveedor, instrumentar solo lo imprescindible para operarla y no cruzar esos datos con otros servicios. Y diseñar el protocolo para que no se pueda rastrear, vincular ni correlacionar las transacciones del usuario, ni desde el proveedor ni desde las partes usuarias, salvo que él lo autorice expresamente.

Qué exige esta norma
  • Separación lógica de los datos de la cartera respecto de cualesquiera otros del proveedor
  • Ninguna recogida de información de uso innecesaria ni combinación con otros servicios
  • Marco técnico que impida rastrear, vincular o correlacionar transacciones sin autorización explícita
Categoría CSF 2.0 PR.DS · Seguridad de los datos
Emana de

Art. 5 bis.14 y 5 bis.16 · categorización del curador, no de la norma

Medida

Cartera comprometida: suspender primero, informar después

El runbook de la cartera invierte el orden habitual: ante una violación que afecte a su fiabilidad lo primero es apagar, suspender la provisión y el uso, y contar viene después. El interruptor tiene que existir y estar ensayado, porque desde la suspensión corren 24 horas para las medidas correctoras y otras 24 para informar. Y si a los tres meses no está subsanado, se retiran las carteras y se revoca su validez.

Qué exige esta norma
  • Suspensión de la provisión y el uso de la cartera, ejecutable sin dilación
  • Medidas correctoras en 24 horas desde la suspensión
  • Aviso a usuarios, partes usuarias, puntos de contacto únicos y Comisión en 24 horas desde la suspensión
  • Retirada y revocación de la validez si la violación no se subsana en tres meses
Categoría CSF 2.0 RS.MI · Mitigación de incidentesRS.CO · Notificación y comunicación de la respuesta al incidente
Emana de

Art. 5 sexies.1 y 5 sexies.2 · art. 5 bis.6 · categorización del curador, no de la norma

Mapa NIST CSF · todo el detalle

Las obligaciones ciber de la norma, traducidas a medidas y organizadas por las funciones y categorías de NIST CSF 2.0 (traducción oficial al español, NIST CSWP 29). La asignación de categoría es juicio del curador; cada medida cita las obligaciones de las que emana.

Gobernar · GV

Conformidad y certificación ◆

La auditoría del prestador cualificado es bienal, a su costa y contra dos normas a la vez, este Reglamento y el artículo 21 de NIS2, con preaviso de un mes al supervisor y derecho de este a asistir como observador. La cartera va por certificación: organismo designado, parte ciber conforme a los esquemas del Reglamento (UE) 2019/881 y validez máxima de cinco años.

GV.OC · Art. 20.1 · art. 20.1 bis · art. 5 quater
Gestión de riesgos de seguridad ◆

Se exige aunque ya se apliquen las medidas del artículo 21 de NIS2: es un añadido sectorial, no una alternativa. Y desde noviembre de 2025 el prestador no cualificado revisa la evaluación al menos una vez al año y ante cambios o incidentes significativos.

GV.RM · Art. 19 bis.1.a) · art. 24.2.f bis)
Gobierno de la ciberseguridad ◆

Llega por el reglamento de ejecución y recae sobre el prestador no cualificado, el que no pidió permiso a nadie: su órgano de dirección aprueba el riesgo residual que queda tras aplicar el plan de tratamiento.

GV.RR · Art. 19 bis.1.a) · Rgto. de Ejecución (UE) 2025/2160
Seguridad ligada al personal ◆

Lo que hay que poder acreditar de cada persona son conocimientos, fiabilidad, experiencia y cualificaciones, con procedimientos conformes a normas europeas o internacionales.

GV.RR · Art. 24.2.b)
Cuerpo normativo de seguridad ◆

Las políticas tienen contenido tasado, no genérico: alta e incorporación del cliente al servicio, controles administrativos y de procedimiento, y gestión e implantación del propio servicio de confianza.

GV.PO · Art. 19 bis.1.a) · art. 24.2.f bis)
Gobierno de la ciberseguridad ◆

Llega por el reglamento de ejecución y recae sobre el prestador no cualificado, el que no pidió permiso a nadie: su órgano de dirección aprueba el riesgo residual que queda tras aplicar el plan de tratamiento.

GV.OV · Art. 19 bis.1.a) · Rgto. de Ejecución (UE) 2025/2160
Gestión de riesgos de terceros (TPRM) ◆

No hay régimen de terceros completo: lo que hay es la extensión literal del requisito de personal a los subcontratistas, que en la práctica se monta como criterio de idoneidad para seleccionarlos.

GV.SC · Art. 24.2.b)

Identificar · ID

Gestión de riesgos de seguridad ◆

Se exige aunque ya se apliquen las medidas del artículo 21 de NIS2: es un añadido sectorial, no una alternativa. Y desde noviembre de 2025 el prestador no cualificado revisa la evaluación al menos una vez al año y ante cambios o incidentes significativos.

ID.RA · Art. 19 bis.1.a) · art. 24.2.f bis)
Gestión de vulnerabilidades ◆

Sobre la cartera la evaluación es periódica y con consecuencia: cada dos años, y una vulnerabilidad detectada que no se subsane en plazo cancela la certificación.

ID.RA · Art. 5 quater

Proteger · PR

Estado del certificado publicado y consultable siempre

El servicio de estado del certificado se dimensiona como infraestructura crítica del prestador: la revocación se registra y se publica dentro de las 24 horas siguientes a recibir la solicitud, y la consulta de validez responde en cualquier momento, de forma automatizada y gratuita, también para certificados ya expirados. Es un cuarto reloj de 24 horas y no tiene nada que ver con los incidentes.

PR.AA · Art. 24.3 · art. 24.4
Cartera dentro de un esquema de nivel alto y con seguridad desde el diseño

La cartera no se despliega suelta: va dentro de un sistema de identificación electrónica de nivel de seguridad alto, con la acreditación y verificación de identidad y la autenticación que ese nivel impone, y las decisiones de arquitectura se toman con la seguridad delante en vez de añadirla al final.

PR.AA · Art. 5 bis.11 y 5 bis.12
Programa de concienciación y formación ◆

La formación cubre seguridad y protección de datos personales a la vez, y alcanza a los subcontratistas igual que a la plantilla propia.

PR.AT · Art. 24.2.b)
Criptografía y protección del dato ◆

La criptografía aparece nombrada como la técnica esperada para sostener esa fiabilidad, no como una opción entre varias.

PR.DS · Art. 24.2.e)
Integridad del dato frente a manipulación ◆

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

PR.DS · Art. 24.2.g)
Conservación de registros y plan de cese

Diseñar la retención dando por hecho que el servicio puede morir: los registros de lo expedido y lo recibido siguen accesibles y sirviendo de prueba después de cerrar la actividad, y el plan de cese, que dice quién custodia la información y cómo se avisa a los usuarios, se mantiene actualizado y lo verifica el organismo de supervisión.

PR.DS · Art. 24.2.h) e i)
Cartera: separación lógica del dato y no trazabilidad

Aislar el almacén de la cartera del resto de los sistemas del proveedor, instrumentar solo lo imprescindible para operarla y no cruzar esos datos con otros servicios. Y diseñar el protocolo para que no se pueda rastrear, vincular ni correlacionar las transacciones del usuario, ni desde el proveedor ni desde las partes usuarias, salvo que él lo autorice expresamente.

PR.DS · Art. 5 bis.14 y 5 bis.16
Adquisición y desarrollo seguros ◆

El criterio de compra y de construcción es la fiabilidad frente a la alteración: sistemas y productos protegidos, con la seguridad técnica de los procesos dentro.

PR.PS · Art. 24.2.e)
Cartera dentro de un esquema de nivel alto y con seguridad desde el diseño

La cartera no se despliega suelta: va dentro de un sistema de identificación electrónica de nivel de seguridad alto, con la acreditación y verificación de identidad y la autenticación que ese nivel impone, y las decisiones de arquitectura se toman con la seguridad delante en vez de añadirla al final.

PR.PS · Art. 5 bis.11 y 5 bis.12
Estado del certificado publicado y consultable siempre

El servicio de estado del certificado se dimensiona como infraestructura crítica del prestador: la revocación se registra y se publica dentro de las 24 horas siguientes a recibir la solicitud, y la consulta de validez responde en cualquier momento, de forma automatizada y gratuita, también para certificados ya expirados. Es un cuarto reloj de 24 horas y no tiene nada que ver con los incidentes.

PR.IR · Art. 24.3 · art. 24.4

Responder · RS

Proceso de notificación regulatoria ◆

Dos relojes de 24 horas con disparadores distintos, y el más duro recae sobre el más supervisado: al prestador cualificado le corre desde que se produce el incidente, al no cualificado desde que lo conoce. Hay un tercero por la vía de NIS2, hacia el CSIRT.

RS.CO · Art. 19 bis.1.b) · art. 24.2.f ter)
Cartera comprometida: suspender primero, informar después

El runbook de la cartera invierte el orden habitual: ante una violación que afecte a su fiabilidad lo primero es apagar, suspender la provisión y el uso, y contar viene después. El interruptor tiene que existir y estar ensayado, porque desde la suspensión corren 24 horas para las medidas correctoras y otras 24 para informar. Y si a los tres meses no está subsanado, se retiran las carteras y se revoca su validez.

RS.CO · Art. 5 sexies.1 y 5 sexies.2 · art. 5 bis.6
Cartera comprometida: suspender primero, informar después

El runbook de la cartera invierte el orden habitual: ante una violación que afecte a su fiabilidad lo primero es apagar, suspender la provisión y el uso, y contar viene después. El interruptor tiene que existir y estar ensayado, porque desde la suspensión corren 24 horas para las medidas correctoras y otras 24 para informar. Y si a los tres meses no está subsanado, se retiran las carteras y se revoca su validez.

RS.MI · Art. 5 sexies.1 y 5 sexies.2 · art. 5 bis.6
Roles que reparte
Rol

Prestador de servicios de confianza

Quien presta habitualmente, y a cambio de una remuneración, alguno de los catorce servicios de confianza que enumera el artículo 3.16: expedición y validación de certificados, creación y validación de firmas y sellos, conservación, gestión de dispositivos a distancia, declaraciones de atributos, sellos de tiempo, entrega electrónica certificada, archivo electrónico y registro en libros mayores. El anclaje es el establecimiento en la Unión, no la prestación aquí. Es el término que engloba a los dos siguientes, el cualificado y el no cualificado: casi ninguna obligación de la norma recae sobre esta figura genérica, sino sobre una de sus dos formas.

Art. 3.16 · art. 2.1

Rol

Prestador cualificado

El prestador que ha pasado la verificación previa del organismo de supervisión y figura en la lista de confianza. No presta un servicio distinto: presta el mismo con un aparato de control encima, que incluye auditoría cada veinticuatro meses a su costa, plan de cese verificado y la posibilidad de que le retiren la cualificación. La medida de seguridad exigida es la misma que al no cualificado; lo que cambia es quién la comprueba. En España son 71, según la lista de confianza de julio de 2026.

Art. 21 · art. 24

Rol

Prestador no cualificado

El prestador que ofrece servicios de confianza sin haber pedido la cualificación. Es el grupo más numeroso y el menos consciente de estarlo: no hay autorización previa ni lista pública, y el supervisor solo actúa a posteriori, cuando le informan de un presunto incumplimiento. Desde el 20 de mayo de 2024 le aplican, por el artículo 19 bis, la gestión de riesgos y el aviso de 24 horas. En España la Ley 6/2020 le añade comunicar su actividad al ministerio en los tres meses siguientes a iniciarla.

Art. 19 bis

Rol

Proveedor de cartera

Quien proporciona una cartera europea de identidad digital: el propio Estado miembro, una entidad con mandato estatal o una entidad independiente reconocida por el Estado. Es una figura nueva de la reforma de 2024, con certificación previa obligatoria y un organismo de supervisión propio, distinto del de los servicios de confianza. Le aplican además, mutatis mutandis, las letras b) y d) a h) del artículo 24.2, que están escritas para los prestadores cualificados.

Art. 5 bis.2 · art. 5 bis.20

Rol

Parte usuaria

Cualquiera que quiera apoyarse en la cartera para prestar un servicio, público o privado. No presta servicios de confianza ni provee la cartera: la consume. Tiene que registrarse por adelantado en el Estado donde esté establecida y declarar qué datos va a pedir a los usuarios, y no puede pedir otros. Desde diciembre de 2027, once sectores privados obligados a autenticación reforzada, entre ellos banca, sanidad, energía y telecomunicaciones, tendrán que aceptar la cartera si el usuario lo pide.

Art. 5 ter · art. 5 septies.2

Rol

Proveedor de navegador web

El proveedor de un navegador web. El Reglamento no lo define ni le impone medidas de seguridad: aparece como destinatario directo de una sola obligación, la de notificar por escrito cuando adopta medidas cautelares contra un certificado cualificado de autenticación de sitio web. Es el grupo más excepcional de la norma y el más fácil de olvidar.

Art. 45 bis

Rol

Organismo de supervisión

El organismo que cada Estado designa para controlar el cumplimiento. La reforma de 2024 partió en dos lo que antes era una sola figura: el del artículo 46 ter vigila a los prestadores de servicios de confianza, previamente a los cualificados y solo a posteriori a los no cualificados, y el del artículo 46 bis, con exigencia expresa de independencia, vigila a los proveedores de cartera. Los dos reciben las notificaciones de violación de seguridad y los dos tienen que trasladarlas a la autoridad de NIS2. En España la función está en el ministerio competente en transformación digital.

Art. 46 bis · art. 46 ter

Rol

Estado miembro

El Estado, cuando la norma le habla directamente y no a través de un organismo. Dentro del corte de seguridad de esta ficha aparece en tres papeles: proporciona al menos una cartera europea de identidad digital, suspende o retira las carteras cuya seguridad se haya visto comprometida e informa de ello, y establece el régimen sancionador que hace cumplir el Reglamento respetando el suelo de multa del artículo 16.

Art. 5 bis.1 · art. 5 sexies · art. 16

Qué implantar

Obligaciones por rol

Prestador de servicios de confianzaPrestador cualificadoPrestador no cualificadoProveedor de carteraParte usuariaProveedor de navegador webOrganismo de supervisiónEstado miembro
Art. 19 bis.1.a) Ciber Gestión de riesgos del prestador no cualificado
Art. 24.2.f bis) Ciber Gestión de riesgos del prestador cualificado
Art. 24.2.b) Ciber Personal y subcontratistas competentes y formados
Art. 24.2.e) Ciber Sistemas y productos fiables
Art. 24.2.g) Ciber Medidas contra falsificación, robo y manipulación de datos
Art. 24.2.h) e i) Ciber Conservación de la información y plan de cese
Art. 19 bis.1.b) Ciber Notificación en 24 horas desde que se conoce
Art. 24.2.f ter) Ciber Notificación en 24 horas desde que ocurre
Art. 46 ter.4.a) y 46 bis.4.c) Traslado a la autoridad de NIS2
Art. 21.1 Verificación previa antes de operar como cualificado
Art. 20.1 Ciber Auditoría de conformidad cada 24 meses
Art. 20.1 bis Ciber Preaviso de auditoría
Art. 24.2.a) Preaviso de cambios y de cese
Art. 20.3 Retirada de la cualificación
Art. 24.3 Ciber Publicación de la revocación en 24 horas
Art. 24.4 Ciber Información de estado del certificado, siempre disponible
Art. 45 bis.2 y 45 bis.3 Ciber Medidas cautelares del navegador, solo por seguridad
Art. 5 bis.11 y 5 bis.12 Ciber Cartera: nivel de seguridad alto y seguridad desde el diseño
Art. 5 quater Ciber Cartera: certificación y evaluación de vulnerabilidad bienal
Art. 5 bis.14 y 5 bis.16 Ciber Cartera: separación lógica y no trazabilidad
Art. 5 bis.3 Cartera: código fuente abierto
Art. 5 bis.6 Ciber Aviso al usuario de la cartera comprometida
Art. 5 sexies.1 Ciber Suspender la cartera antes de notificar
Art. 5 sexies.2 Ciber Retirada de la cartera si no se subsana en tres meses
Art. 5 ter.1 a 5 ter.3 Registro previo de la parte usuaria