Resumen ejecutivo

•    El Reglamento eIDAS no cualifica redes, sino servicios de confianza. Lo que puede ser cualificado es el servicio de registro de datos en un libro mayor electrónico, y quien obtiene la cualificación es la entidad que gestiona la red, que pasa a ser prestador cualificado de servicios de confianza (QTSP).

•    El libro mayor debe cumplir cuatro requisitos (art. 45 terdecies): estar creado y gestionado por uno o varios prestadores cualificados, establecer el origen de los registros, garantizar su orden cronológico secuencial único y hacer detectable de inmediato cualquier modificación posterior.

•    Esos requisitos se concretan en el Reglamento de Ejecución (UE) 2025/2531, que remite a la norma ETSI EN 319 401 y, para redes distribuidas, a las normas ISO 23257 e ISO/TS 23635. Cumplirlo genera presunción de conformidad.

•    El prestador debe cumplir además las obligaciones generales de todo QTSP (art. 24.2 eIDAS y Ley 6/2020): personal cualificado, seguro de 1.500.000 euros, plan de cese, conservación de la información durante 15 años y notificación de incidentes, entre otras.

•    La cualificación la concede el Ministerio para la Transformación Digital y de la Función Pública, previa auditoría de un organismo de evaluación de la conformidad acreditado, y se mantiene con auditorías cada 24 meses.

•    En una red pública permisionada hay dos puntos críticos sin respuesta expresa en la norma: quién asume la condición de prestador cuando los nodos pertenecen a varias entidades, y cómo se acredita el origen de los registros, porque el reglamento de ejecución exige firmas o sellos basados en certificados cualificados que las transacciones de una blockchain no incorporan de forma nativa.

1. Introducción: conceptos básicos

1.1. El Reglamento eIDAS y los servicios de confianza

El Reglamento (UE) n.º 910/2014 (eIDAS) es la norma europea sobre identificación electrónica y servicios de confianza. Al ser un reglamento, se aplica directamente en todos los Estados miembros. En 2024 fue reformado por el Reglamento (UE) 2024/1183, conocido como eIDAS 2, que no lo sustituye: modifica y añade artículos al texto de 2014.

Un servicio de confianza es un servicio electrónico destinado a dar seguridad jurídica a las transacciones digitales. Los más conocidos son la firma electrónica, el sello electrónico y el sello de tiempo. eIDAS 2 incorporó nuevos servicios, entre ellos el registro de datos electrónicos en un libro mayor electrónico.

1.2. Servicio cualificado y no cualificado

Todo servicio de confianza puede prestarse en dos niveles. La diferencia esencial es probatoria: el nivel cualificado invierte la carga de la prueba a favor de quien utiliza el servicio.

La cualificación recae sobre el binomio prestador y servicio concreto. Una entidad no es cualificada con carácter general, sino para cada servicio inscrito en la lista de confianza.

1.3. El libro mayor electrónico

eIDAS lo define como una secuencia de registros de datos electrónicos que garantiza la integridad de dichos registros y la exactitud de su orden cronológico (art. 3.52). Es un concepto tecnológicamente neutro: la norma no menciona la tecnología blockchain, que es solo una de las formas de construir un libro mayor.

El Reglamento de Ejecución (UE) 2025/2531 sí define el libro mayor electrónico distribuido: el que se comparte entre un conjunto de nodos y se sincroniza entre ellos mediante un mecanismo de consenso. Una blockchain encaja en esta categoría.

Los efectos jurídicos se regulan en el art. 45 duodecies:

•    A cualquier libro mayor electrónico no se le pueden negar efectos jurídicos ni admisibilidad como prueba por el mero hecho de estar en formato electrónico o de no ser cualificado.

•    El libro mayor cualificado goza de la presunción del orden cronológico secuencial único y exacto de sus registros y de su integridad.

1.4. Qué es una red pública permisionada

No es un término legal, sino técnico. Las redes blockchain se clasifican cruzando dos criterios: quién puede usar la red (pública o privada) y quién puede operar los nodos que validan las transacciones (permisionada o no permisionada).

En una red pública permisionada los validadores son una lista cerrada de entidades conocidas, sujetas a unas reglas de gobernanza. El consenso suele basarse en mecanismos de prueba de autoridad, que ofrecen carácter definitivo inmediato: una vez aprobado un bloque, no puede revertirse.

Estas características la convierten en la candidata natural a la cualificación, porque eIDAS necesita un responsable identificable al que auditar y supervisar, y una red no permisionada carece de él.

1.5. Quién interviene en la cualificación

2. Marco normativo aplicable

3. Requisitos del libro mayor electrónico cualificado

El art. 45 terdecies, apartado 1, establece cuatro requisitos. El primero se refiere a quién gestiona el libro; los otros tres, a cómo funciona el registro.

Conforme a los apartados 2 y 3 del mismo artículo, se presume el cumplimiento de estos requisitos cuando el libro mayor se ajusta a las normas y especificaciones fijadas por la Comisión mediante acto de ejecución. Ese acto es el Reglamento de Ejecución (UE) 2025/2531, que se analiza en el apartado 5.

4. Requisitos del prestador

Además de los requisitos del libro mayor, la entidad gestora debe cumplir las obligaciones comunes a todo prestador cualificado.

4.1. Obligaciones del art. 24.2 del Reglamento eIDAS

El tratamiento de datos personales por el prestador se rige directamente por el RGPD (art. 8 de la Ley 6/2020). La reforma de 2024 suprimió la letra del art. 24.2 que lo mencionaba expresamente, sin que ello altere la obligación.

4.2. Concreciones de la Ley 6/2020

•    Seguro (art. 9.3.b): responsabilidad civil por importe mínimo de 1.500.000 euros, más 500.000 euros por cada tipo de servicio cualificado adicional. Puede sustituirse total o parcialmente por aval bancario o seguro de caución. No se exige a los prestadores del sector público.

•    Conservación (art. 9.3.a): 15 años desde la finalización del servicio prestado.

•    Cese (art. 9.3.c): comunicación a los clientes y al supervisor con al menos dos meses de antelación. El art. 24.2.a) eIDAS exige tres meses frente al supervisor, por lo que debe atenderse al plazo más largo.

•    Informe anual (art. 17.3): remisión al Ministerio, antes del 1 de febrero, de los datos de actividad del año anterior.

•    Responsabilidad por delegación (art. 10): el prestador asume toda la responsabilidad frente a terceros por la actuación de las personas u otros prestadores en los que delegue funciones. Es la regla determinante para el tratamiento de los operadores de nodos.

5. Requisitos técnicos: el Reglamento de Ejecución (UE) 2025/2531

El reglamento consta de dos artículos y un anexo. Si el prestador cumple el anexo, el supervisor debe presumir el cumplimiento de los requisitos de eIDAS. El prestador puede acreditar el cumplimiento por otras vías, pero en ese caso no se beneficia de la presunción y debe justificarlo ante el auditor y el supervisor.

5.1. Requisitos comunes a todos los prestadores

La base es la norma ETSI EN 319 401 v3.1.1, sobre requisitos generales para prestadores de servicios de confianza, con las siguientes adaptaciones:

5.2. Requisitos adicionales para redes distribuidas

Los prestadores que utilicen tecnologías de libro mayor distribuido deben cumplir además:

•    ISO 23257:2022, cláusula 9: descripción completa del sistema, de la red y de los nodos.

•    ISO/TS 23635:2022: políticas y prácticas de gobernanza del servicio, por escrito y accesibles al público.

6. Procedimiento de cualificación

6.1. Fase previa

1.     Determinar la entidad jurídica que solicitará la cualificación y asumirá la responsabilidad del servicio.

2.     Realizar un análisis de brechas frente al anexo del Reglamento de Ejecución 2025/2531 y al art. 24.2 eIDAS.

3.     Adaptar la red: mecanismo de acreditación del origen, custodia de claves, medidas de seguridad.

4.     Elaborar la documentación: declaración de prácticas, análisis de riesgos, descripción de la arquitectura, normas de gobernanza, plan de cese y condiciones para usuarios.

5.     Organizar los medios: funciones de confianza, formación, seguro y contratos con los operadores de nodos.

6.2. Procedimiento formal (art. 21 eIDAS)

1.     Auditoría. Un organismo de evaluación de la conformidad acreditado examina al prestador y al servicio y emite el informe de evaluación de la conformidad.

2.     Notificación. El prestador notifica al Ministerio su intención de prestar el servicio cualificado, acompañando el informe. Se presenta por registro electrónico, conforme a la guía de notificación y el formulario publicados por el Ministerio.

3.     Verificación. El supervisor comprueba el cumplimiento del Reglamento eIDAS y, a través de la autoridad competente en ciberseguridad, que debe informar en dos meses, el de las obligaciones del art. 21 de la Directiva NIS2. El reglamento fija un plazo de referencia de tres meses; la Ley 6/2020 (art. 16.2) establece un plazo máximo de seis meses para resolver, transcurrido el cual la solicitud puede entenderse desestimada.

4.     Concesión e inscripción. Si la verificación es favorable, el supervisor concede la cualificación e inscribe al prestador y al servicio en la lista de confianza (art. 22).

5.     Inicio. El servicio solo puede prestarse como cualificado una vez inscrito en la lista de confianza. Desde ese momento puede utilizarse la etiqueta de confianza de la UE (art. 23).

6.3. Mantenimiento de la cualificación

•    Auditoría por un organismo de evaluación de la conformidad al menos cada 24 meses, con remisión del informe al supervisor en los tres días hábiles siguientes a su recepción (art. 20.1). Las auditorías previstas deben comunicarse al supervisor con al menos un mes de antelación (art. 20.1 bis). No remitir el informe conlleva la retirada de la cualificación (art. 9.3.d Ley 6/2020).

•    Auditorías o inspecciones extraordinarias a iniciativa del supervisor.

•    Notificación previa de modificaciones y del cese; notificación de incidentes de seguridad.

•    Si el prestador no subsana un incumplimiento en el plazo fijado, el supervisor retira la cualificación cuando lo justifiquen el alcance, la duración y las consecuencias del incumplimiento, y se actualiza la lista de confianza (art. 20.3). La retirada es independiente del régimen sancionador (art. 16.3 Ley 6/2020).

7. Responsabilidad y sanciones

•    Responsabilidad civil (art. 13 eIDAS). Los prestadores responden de los daños causados de forma deliberada o por negligencia por el incumplimiento del reglamento. Tratándose de un prestador cualificado, la intencionalidad o la negligencia se presumen, salvo que el prestador pruebe lo contrario. Puede limitarse la responsabilidad informando previamente a los usuarios de las limitaciones de uso del servicio.

•    Valor probatorio en juicio (art. 326.4 LEC). Se presume que el documento reúne la característica cuestionada y que el servicio se prestó correctamente si este figuraba en la lista de confianza en el momento relevante. Quien impugna soporta la carga y los costes de la comprobación.

•    Sanciones nacionales (arts. 18 y 19 Ley 6/2020). Multas de hasta 50.000 euros por infracciones leves, de 50.001 a 150.000 euros por graves y de 150.001 a 300.000 euros por muy graves. Es infracción grave ofrecer servicios como cualificados sin haber obtenido la cualificación, o prestarlos sin el seguro obligatorio.

•    Umbral europeo (art. 16 eIDAS). Tras la reforma, los Estados miembros deben prever multas cuyo máximo sea, como mínimo, de 5.000.000 de euros o, para personas jurídicas, el 1 % del volumen de negocios anual mundial si es superior. La Ley 6/2020, cuya última modificación es de 2023, no recoge todavía esas cuantías, por lo que es previsible su adaptación.

8. Cuestiones específicas de una red pública permisionada

8.1. Quién asume la condición de prestador

La norma exige un responsable identificable, mientras que los nodos de la red pertenecen a varias entidades. Caben tres modelos:

El modelo de prestador único parece el más natural para un consorcio. Requiere que los contratos con los operadores de nodos otorguen al prestador facultades reales de auditoría, instrucción y exclusión, y que prevean la repetición de responsabilidades.

8.2. Acreditación del origen de los registros

Es el principal desajuste técnico. Las transacciones de una blockchain se firman con una clave asociada a una dirección seudónima, sin certificado cualificado y en un formato distinto de CAdES, XAdES o JAdES. Alternativas:

•    Firma envolvente: el usuario firma el dato con su certificado cualificado y la firma se registra junto al dato o referenciada en él.

•    Vinculación de identidad: asociar cada dirección de la red a un certificado cualificado en un registro verificable.

•    Pasarela: el prestador verifica la firma cualificada del usuario antes de remitir la transacción a la red.

•    Vía alternativa: acreditar el origen por otros medios, renunciando a la presunción de conformidad del anexo.

8.3. Alcance del carácter público

Si el registro cualificado exige un certificado cualificado, la escritura queda limitada a usuarios identificados. La red sigue siendo pública en la lectura y la verificación. Es previsible que convivan en la misma red registros cualificados y no cualificados, que deberán poder distinguirse.

8.4. Algoritmos criptográficos

Muchas redes permisionadas se basan en tecnología Ethereum, que emplea la función hash Keccak-256 y la curva elíptica secp256k1. Keccak-256 no es idéntica a la función SHA3-256 normalizada, y conviene comprobar si secp256k1 figura entre los mecanismos criptográficos acordados que publica ENISA (versión 2.0 adoptada en 2025; una versión 3 estuvo en consulta pública hasta julio de 2026). Si no encajan, el encadenamiento nativo de la red no cumpliría literalmente el anexo y habría que apoyarse en una capa adicional o en la vía alternativa. Punto a contrastar con el equipo técnico según la tecnología concreta de la red.

8.5. Cambios en la red

Toda modificación del servicio debe notificarse al supervisor con un mes de antelación. En una red con altas y bajas de validadores y actualizaciones frecuentes, la declaración de prácticas debería delimitar qué cambios constituyen modificación del servicio y cuáles son operación ordinaria.

8.6. Protección de datos

•    Supresión y rectificación: un registro diseñado para no alterarse entra en tensión con estos derechos. La pauta general es no anotar datos personales en la cadena, sino huellas o referencias, teniendo presente que una huella también puede ser dato personal.

•    Roles: debe determinarse quién es responsable y quién encargado del tratamiento entre prestador, operadores de nodos y usuarios.

•    Ubicación de los nodos: la existencia de copias fuera del Espacio Económico Europeo plantea la cuestión de las transferencias internacionales.

8.7. Cese y continuidad

Si el prestador pierde la cualificación o cesa, la red puede seguir funcionando técnicamente. El plan de cese debe prever qué ocurre con los registros existentes, quién conserva las evidencias durante el plazo legal y si otro prestador cualificado puede asumir el servicio.

9. Lista de comprobación

10. Conclusiones

1.     Una red pública permisionada puede operar como libro mayor electrónico cualificado, pero la cualificación se predica del servicio y de su prestador, no de la tecnología.

2.     El marco normativo está completo desde enero de 2026: requisitos legales en el art. 45 terdecies eIDAS, concreción técnica en el Reglamento de Ejecución 2025/2531 y obligaciones del prestador en el art. 24.2 eIDAS y la Ley 6/2020.

3.     Buena parte de los requisitos técnicos (encadenamiento, detectabilidad de cambios, carácter definitivo, gobernanza) se ajustan al diseño habitual de una red permisionada. El esfuerzo principal está en la organización, la documentación y la auditoría.

4.     Las dos decisiones que condicionan el proyecto son la determinación de la entidad que asumirá la condición de prestador y la solución técnica para acreditar el origen de los registros con certificados cualificados.

5.     Al tratarse de un servicio sin práctica consolidada, es aconsejable contrastar el planteamiento con el organismo de supervisión y con un organismo de evaluación de la conformidad antes de acometer la adaptación.

Fuentes

•    Reglamento (UE) n.º 910/2014, de 23 de julio de 2014 (eIDAS), en su versión modificada por el Reglamento (UE) 2024/1183, de 11 de abril de 2024.

•    Reglamento de Ejecución (UE) 2025/2531 de la Comisión, de 16 de diciembre de 2025 (DOUE L de 17.12.2025). ELI: http://data.europa.eu/eli/reg_impl/2025/2531/oj

•    Reglamento de Ejecución (UE) 2025/2530 de la Comisión, de 16 de diciembre de 2025.

•    Reglamento de Ejecución (UE) 2025/2162 de la Comisión, de 27 de octubre de 2025.

•    Reglamento de Ejecución (UE) 2025/1572 de la Comisión, de 29 de julio de 2025.

•    Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza (texto consolidado, BOE-A-2020-14046).

•    Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil, art. 326.

•    Ministerio para la Transformación Digital y de la Función Pública: «Notificación de servicios electrónicos de confianza cualificados» y guía de notificación (digital.gob.es).

•    Comité Europeo de Protección de Datos: Directrices 02/2025 sobre el tratamiento de datos personales a través de tecnologías de cadena de bloques.

•    Alamillo Domingo, I.: «La red BlockchainFUE como servicio de confianza de libro mayor electrónico conforme al Reglamento eIDAS 2», Revista de Derecho del Mercado de Valores, n.º 38, 2026.

Fernando Sanz García 

Alumno en prácticas

fernandosanzgarcia@databitlaw.tech