Resumen

  • El objetivo de finales de 2026 mide la disponibilidad de las carteras; la confianza también depende de que las pruebas y la supervisión puedan trasladarse si cambia el certificador o el régimen.
  • El borrador de ENISA ya prevé transferir evidencias y mantener una supervisión nacional temporal cuando se retira un organismo. La cuestión ejecutiva es cómo se demuestra al usuario que el relevo conservó el alcance de la certificación.

Lanzar el producto no cierra el expediente de confianza

La Comisión Europea indica que los Estados miembros pondrán carteras de identidad digital a disposición de ciudadanos, residentes y empresas antes de que termine 2026. ENISA sitúa junto a esa fecha otra obligación: al menos una cartera certificada por país. Son indicadores importantes de implantación. No explican, por sí solos, quién responderá por las evidencias cuando el organismo que certificó una solución deje de operar o cuando un régimen nacional se conecte con uno europeo.

Una certificación útil debe sobrevivir a su emisor. El usuario no necesita que el mismo organismo conserve para siempre el poder de certificar; necesita saber qué acredita la cartera, si el certificado sigue vigente y quién continúa su vigilancia. Si se confunden la continuidad del servicio y la permanencia del certificador, se protege la institución en lugar de la confianza que la institución debía sostener.

El borrador contempla la salida de un certificador

El candidato EUDIW v0.4.614 de ENISA, publicado para consulta pública, describe qué ocurre cuando un organismo notificado termina sus actividades relacionadas con la cartera. Debe avisar a la autoridad nacional de certificación, presentar un calendario, preparar un plan que incluya el traslado de las actividades a otro organismo acreditado y ayudar a los titulares durante el cambio. La autoridad revisa y coordina el plan, identifica los documentos y evidencias asociados con certificados todavía vigentes y los entrega al organismo sucesor. Si aún no hay sucesor, la propia autoridad supervisa temporalmente los certificados afectados.

Es una respuesta concreta a la pérdida de archivos o de vigilancia. Pero el documento sigue siendo un borrador candidato: su página de ENISA lo identifica como versión 0.4.614, actualizada por última vez el 7 de abril de 2026, y la consulta terminó el 30 de abril. No conviene atribuirle fuerza de norma definitiva. Tampoco el plan escrito acredita que el nuevo certificador haya aceptado las pruebas o que la transferencia sea visible para quien abre una cartera.

La regulación europea prevé que los proveedores permitan a los usuarios consultar información para verificar el estado de certificación de la solución, mediante URL proporcionadas por la Comisión. Esa ruta es el puente entre el expediente técnico y la decisión cotidiana de usar una cartera. Un relevo debería dejar claro qué organismo respalda ahora el certificado, qué documentos se transfirieron y quién vigila la solución mientras tanto. La documentación pública revisada no muestra un único comprobante de transición que reúna esos elementos; plantearlo como prueba de gestión no equivale a afirmar que exista un incumplimiento.

La confianza de quien recibe los datos tiene otra fecha

El negocio o la administración que solicita información también necesita un registro. El Reglamento de Ejecución (UE) 2026/1730 exige que cada Estado autorice al menos una autoridad para emitir certificados de registro de partes usuarias. La emisión debe ser automática y sin demora indebida una vez registrada la parte. El certificado define el uso previsto y una política de acceso armonizada; la cartera avisa si la petición excede ese alcance.

El Reglamento (UE) 2026/1731 aplaza hasta el 11 de agosto de 2028 un requisito específico: la unidad de cartera deberá autenticar y validar los certificados de registro de esas partes. No es una suspensión general de la certificación ni de las demás protecciones. Sí obliga a tratar como calendarios distintos el despliegue certificado de 2026 y la validación posterior de los certificados de quienes reciben datos.

Probar el cambio antes de que sea urgente

La Nota 70 de Lu Heng ofrece un criterio institucional útil: la continuidad de una función necesaria no demuestra que deba perpetuarse la autoridad de quien la presta hoy. Aplicado a las carteras, el objetivo es que el estado y la evidencia de certificación puedan trasladarse sin convertir a un organismo concreto en punto único de confianza.

Las autoridades y los patrocinadores deberían hacer un ejercicio con un certificado aún válido: transferir el informe y las evidencias, identificar al responsable de supervisión durante el relevo y comprobar que la URL visible para los usuarios refleja el nuevo estado. Para los cambios entre regímenes nacionales y europeos, hace falta un ensayo separado. ENISA presta apoyo tanto a la certificación nacional como a la alineación con el régimen europeo; el avance de una vía no demuestra automáticamente la continuidad de la otra.

La fecha de lanzamiento seguirá siendo una medida necesaria. La pregunta que la completa es más exigente: ¿puede un ciudadano, un proveedor y un servicio que confía en la cartera comprobar la garantía cuando cambia su custodio? Una respuesta verificable protege la función sin exigir que permanezca intacta la institución que la inició.

Fuentes