¿Mi empresa está obligada a aceptar la Cartera Digital Europea?

Las tres condiciones

El reglamento europeo eIDAS 2 (Reglamento (UE) 2024/1183, artículo 5 septies) obliga a aceptar la cartera a las empresas privadas que cumplen a la vez estas condiciones:

• Por ley o por contrato, tienen que usar autenticación reforzada para identificar a sus clientes en línea. Autenticación reforzada quiere decir al menos dos factores: contraseña más un código, una huella, un certificado…
• No son microempresas ni pequeñas empresas (menos de 50 personas y hasta 10 M€ de facturación o de balance). Estas quedan exentas, aunque pueden aceptarla si quieren.
• El cliente quiere usarla. La obligación es aceptarla cuando el cliente la elige, no exigirla a todos.

Qué sectores

La norma pone como ejemplos el transporte, la energía, la banca y los servicios financieros, la seguridad social, la salud, el agua potable, los servicios postales, la infraestructura digital, la educación y las telecomunicaciones. No es una lista cerrada: lo que decide es la obligación de autenticación reforzada.

También tendrán que aceptarla las plataformas en línea de muy gran tamaño (las que la Comisión designa como tales) cuando pidan a sus usuarios que se autentiquen.

Desde cuándo

Cada país de la UE debe ofrecer al menos una cartera antes del 24 de diciembre de 2026. Las empresas obligadas tienen 36 meses desde los actos de ejecución de diciembre de 2024: la fecha que se maneja es el 24 de diciembre de 2027.

En España, el real decreto que organiza la cartera estuvo en audiencia pública del 2 al 13 de octubre de 2026 por la vía urgente y sigue en tramitación. El proyecto encarga a la Agencia Estatal de Administración Digital (AEAD) la cartera del Estado y el registro de partes usuarias.

Qué hay que preparar

• Decidir qué datos necesitáis de verdad. La cartera entrega solo lo que se pide: a veces basta con «mayor de 18», otras hacen falta nombre, apellidos y número de documento.
• Daros de alta como «parte usuaria» en el registro español cuando abra (las reglas europeas de registro están en el Reglamento de Ejecución (UE) 2025/848), o trabajar con un intermediario que lo haga por vosotros.
• Elegir un verificador compatible con el estándar europeo (OpenID4VP) y probarlo con la cartera de referencia de la UE antes de que llegue la española.
• Si sois entidad obligada por la normativa antiblanqueo, revisar también el calendario del reglamento europeo AMLR (julio de 2027).