La sociedad de la información. Identidad y firma electrónica: régimen jurídico. El DNI electrónico. La Agenda Digital para España.

Tema desarrollado para el ejercicio único del Cuerpo de Técnicos Auxiliares de Informática de la Administración del Estado, convocatoria de 1.030 plazas de ingreso libre (Resolución de 18 de diciembre de 2025, BOE de 22 de diciembre de 2025, Anexo V). Es el tema 6 del bloque I «Organización del Estado y Administración electrónica», que en nuestra numeración interna es el tema 6 de 33. El articulado se ha comprobado contra los textos consolidados del BOE y contra la versión consolidada del Reglamento eIDAS en EUR-Lex, que incorpora la reforma de 2024.

Qué esperar de este tema en el examen. Aquí el bloque I deja de ser derecho puro y empieza a parecerse al resto del temario del TAI: se pregunta el régimen jurídico, sí, pero también el detalle técnico —qué hay en cada zona del chip del DNIe, qué protocolo usa el nodo eIDAS, qué formato de firma sirve para qué—. En 2023 cayeron el artículo 4 de la Ley 6/2020 y una pregunta sobre formatos de firma; en 2024, el sistema Cl@ve y el nodo eIDAS español; en 2026, la zona de seguridad del DNIe, el Anexo III de eIDAS, los pseudónimos de la Ley 6/2020, el artículo 8 de eIDAS y los ejes de la Agenda España Digital 2026. Cinco preguntas de este tema en una sola convocatoria: es, con diferencia, el tema mejor pagado del bloque.

Un aviso que vale por varias preguntas. Dos normas centrales de este tema han cambiado de nombre y de contenido, y los apuntes viejos siguen citando las versiones muertas. La Ley 59/2003, de firma electrónica, está DEROGADA desde la Ley 6/2020 —y el reglamento del DNI que la citaba, el Real Decreto 1553/2005, ha sido a su vez derogado por el Real Decreto 255/2025—. Y el Reglamento eIDAS fue reformado por el Reglamento (UE) 2024/1183, que creó la cartera europea de identidad digital. Si una opción habla de «certificado reconocido» o de «firma electrónica reconocida», está usando el vocabulario de la ley derogada: hoy se dice cualificado.

Índice

1. La sociedad de la información: concepto y marco normativo
2. La Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico
   • Objeto, ámbito y prestadores
   • Obligaciones de información y responsabilidad de los intermediarios
   • Comunicaciones comerciales, spam y cookies
   • La contratación por vía electrónica
   • Régimen sancionador
   • El nuevo marco europeo: DSA, DMA y datos
3. Identidad y firma electrónica: el Reglamento eIDAS
   • Definiciones y estructura
   • Identificación electrónica: niveles y reconocimiento mutuo
   • La cartera europea de identidad digital (eIDAS 2)
   • Los servicios de confianza y su catálogo
   • Firma, sello, sello de tiempo, entrega certificada y sitios web
4. La Ley 6/2020, de servicios electrónicos de confianza
5. Identificación y firma en el procedimiento administrativo: Cl@ve
6. Formatos de firma electrónica: XAdES, CAdES, PAdES y ASiC
7. El DNI electrónico
   • Régimen jurídico: el Real Decreto 255/2025
   • El chip por dentro: las tres zonas
   • Del DNIe 2.0 al DNIe 4.0
8. La Agenda Digital para España y España Digital 2026
9. Errores típicos que cuestan preguntas
10. Cuadros de cifras y plazos
11. Lo que ya ha preguntado el tribunal

1. La sociedad de la información: concepto y marco normativo

La expresión «sociedad de la información» no es una etiqueta periodística: tiene una definición jurídica con consecuencias. Procede de la Directiva (UE) 2015/1535 —antes, de la 98/34/CE— y llega a nuestro Derecho a través del anexo de la Ley 34/2002, que define servicio de la sociedad de la información como todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. Los cuatro adjetivos son acumulativos y cada uno excluye algo:

• A título oneroso: pero el concepto «comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador». Por eso un buscador o una red social gratuitos sí son servicios de la sociedad de la información: los paga la publicidad.
• A distancia: las partes no están simultáneamente presentes.
• Por vía electrónica: enviado y recibido mediante equipos de tratamiento y almacenamiento de datos, y transmitido por cable, radio o medios ópticos o electromagnéticos.
• A petición individual: por eso la radiodifusión televisiva y sonora quedan FUERA: se emiten a todos a la vez, no a petición de cada uno. Es un dato que se pregunta.

El anexo enumera además, a título de ejemplo, servicios que sí lo son: la contratación de bienes o servicios por vía electrónica, la organización y gestión de subastas por medios electrónicos, la gestión de compras en la red por grupos de personas, el envío de comunicaciones comerciales, el suministro de información por vía telemática y el alojamiento de información, el enlace a contenidos y la provisión de motores de búsqueda.

El marco tiene tres pisos. En Europa, la Directiva 2000/31/CE de comercio electrónico, que la Ley 34/2002 transpone, y sobre ella el Reglamento (UE) 2022/2065 de Servicios Digitales (DSA) y el Reglamento (UE) 2022/1925 de Mercados Digitales (DMA). En España, la Ley 34/2002 y la Ley 11/2022 General de Telecomunicaciones. Y en el ámbito de la identidad, el Reglamento eIDAS y la Ley 6/2020.

2. La Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico

2.1. Objeto, ámbito y prestadores

El artículo 1 fija cinco materias: el régimen jurídico de los servicios de la sociedad de la información y de la contratación por vía electrónica; las obligaciones de los prestadores, incluidos los que actúan como intermediarios; las comunicaciones comerciales por vía electrónica; la información previa y posterior a la celebración de contratos electrónicos y las condiciones de su validez y eficacia; y el régimen sancionador.

El artículo 2 resuelve el ámbito territorial con el criterio del establecimiento: la ley se aplica a los prestadores establecidos en España, entendiendo por tal que su residencia o domicilio social esté en territorio español siempre que coincida con el lugar en que esté efectivamente centralizada la gestión administrativa y la dirección de sus negocios; si no coinciden, manda el lugar de la gestión. Dos precisiones que caen: se presume el establecimiento en España si el prestador o una sucursal está inscrito en el Registro Mercantil u otro registro público español; y la utilización de medios tecnológicos situados en España no basta por sí sola para considerarlo establecido aquí.

El artículo 3 extiende la ley a prestadores establecidos en otro Estado de la Unión o del Espacio Económico Europeo cuando el destinatario radique en España y el servicio afecte a seis materias tasadas: propiedad intelectual o industrial, publicidad de instituciones de inversión colectiva, seguro directo, obligaciones de contratos con consumidores, elección de la ley aplicable y licitud de las comunicaciones comerciales no solicitadas.

Y el artículo 8 habilita a los órganos competentes a ordenar la interrupción del servicio o la retirada de datos cuando se atente contra cinco principios: orden público, investigación penal, seguridad pública y defensa nacional; salud pública y protección de consumidores; dignidad de la persona y no discriminación; protección de la juventud y de la infancia; y propiedad intelectual. Garantía capital: para identificar al responsable, requerir la cesión de datos exige previa autorización judicial (art. 122 bis de la Ley de la Jurisdicción Contencioso-administrativa), y el secuestro de páginas de internet que afecte a la libertad de expresión e información solo lo pueden decidir los órganos jurisdiccionales.

2.2. Obligaciones de información y responsabilidad de los intermediarios

El artículo 10 impone al prestador poner a disposición del público, «por medios electrónicos, de forma permanente, fácil, directa y gratuita», siete bloques de información: nombre o denominación social y domicilio, correo electrónico y cualquier otro dato para una comunicación directa y efectiva; datos de inscripción registral; datos de la autorización administrativa si la actividad está sujeta a ella; si ejerce profesión regulada, colegio, número de colegiado, título, Estado que lo expidió y normas profesionales aplicables; el NIF; información clara sobre precios, indicando si incluyen impuestos y gastos de envío; y los códigos de conducta a los que esté adherido. Los cuatro adverbios del encabezado —permanente, fácil, directa y gratuita— se preguntan literalmente.

La parte más citada de la ley es el régimen de responsabilidad de los prestadores de servicios de intermediación (arts. 13 a 17), que consagra el principio de exención condicionada: el intermediario no responde si se mantiene neutral.

Artículo	Actividad	Exención y su condición
14	Mera transmisión (mere conduit): operadores de red y proveedores de acceso	No responden por la información transmitida salvo que hayan originado la transmisión, modificado los datos o seleccionado estos o a sus destinatarios. No es «modificación» la manipulación estrictamente técnica durante la transmisión.
15	Copia temporal (caching): almacenamiento automático, provisional y temporal para hacer más eficaz la transmisión	No responden si no modifican la información, respetan las condiciones de acceso y las normas del sector sobre actualización, no interfieren en la tecnología de medición y retiran la información en cuanto tengan conocimiento efectivo de que fue retirada del origen, de que se impidió su acceso o de que un tribunal u órgano administrativo ordenó retirarla.
16	Alojamiento (hosting)	No responden si no tienen conocimiento efectivo de la ilicitud o, si lo tienen, actúan con diligencia para retirar los datos o impedir el acceso.
17	Enlaces y buscadores	Misma regla que el alojamiento: conocimiento efectivo y diligencia. España fue de los pocos Estados que reguló expresamente esta figura, que la Directiva no contemplaba.

El concepto de conocimiento efectivo es el eje de todo el sistema: la ley lo entiende producido cuando un órgano competente ha declarado la ilicitud y ordenado la retirada, o cuando se conoce por otros medios de constatación. Y el artículo 16.2 excluye la exención cuando el destinatario del servicio actúe bajo la dirección, autoridad o control del prestador.

Cierra el capítulo el artículo 18, códigos de conducta, que conviene leer con lupa porque el tribunal juega con los verbos. Los códigos son voluntarios: los elaboran y aplican las corporaciones, asociaciones u organizaciones comerciales, profesionales y de consumidores, y las Administraciones públicas los impulsan «a través de la coordinación y el asesoramiento» —no los aprueban, no los registran y no obligan a nadie a adherirse—. La Administración General del Estado fomenta en especial los de ámbito comunitario o internacional, y los que afecten a consumidores quedan sujetos además a la Ley 3/1991 de competencia desleal. Pueden tratar, en particular, tres materias: la detección y retirada de contenidos ilícitos, la protección frente a las comunicaciones comerciales no solicitadas y los procedimientos extrajudiciales de resolución de conflictos. En su elaboración debe garantizarse la participación de las asociaciones de consumidores y de las organizaciones representativas de personas con discapacidad cuando afecten a sus intereses; tendrán especialmente en cuenta la protección de los menores y de la dignidad humana; y deben ser accesibles por vía electrónica, fomentándose su traducción a otras lenguas oficiales. Recuerda que la adhesión a un código es uno de los datos que el prestador debe publicar (art. 10) y un criterio para graduar la multa (art. 40).

2.3. Comunicaciones comerciales, spam y cookies

Tres artículos que se preguntan con frecuencia:

• Artículo 20: las comunicaciones comerciales por vía electrónica deberán ser claramente identificables como tales, y también deberá serlo la persona en cuyo nombre se realizan (apartado 1). El apartado 2 añade un plus para las ofertas promocionales —«como las que incluyan descuentos, premios y regalos»— y para los concursos o juegos promocionales, estos últimos «previa la correspondiente autorización»: además de cumplir el apartado 1 y las normas de ordenación del comercio, deben quedar claramente identificados como tales, y sus condiciones de acceso y, en su caso, de participación han de ser fácilmente accesibles y expresarse de forma clara e inequívoca. Nada de notario, registro autonómico ni autorización de consumo para un simple descuento. El apartado 3 deja a salvo la normativa de las Comunidades Autónomas con competencia exclusiva en consumo, y el 4 prohíbe enviar comunicaciones que disimulen u oculten la identidad del remitente o que inciten a visitar páginas que contravengan este artículo.
• Artículo 21: prohibición del spam. Queda prohibido enviar comunicaciones publicitarias o promocionales por correo electrónico que no hubieran sido previamente solicitadas o expresamente autorizadas. Es el sistema de opt-in. Con una excepción muy preguntada: cuando exista una relación contractual previa, siempre que los datos se hayan obtenido lícitamente y se usen para productos o servicios de la propia empresa que sean similares a los inicialmente contratados. Aun así, hay que ofrecer la oposición «mediante un procedimiento sencillo y gratuito» y, si el envío es por correo electrónico, incluir necesariamente una dirección electrónica válida donde ejercer el derecho.
• Artículo 22: revocación del consentimiento «en cualquier momento» con la simple notificación, y —apartado 2— el régimen de las cookies: los prestadores pueden usar dispositivos de almacenamiento y recuperación de datos en los equipos terminales «a condición de que los destinatarios hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización». Quedan al margen el almacenamiento de índole técnica para efectuar la transmisión y el estrictamente necesario para prestar un servicio expresamente solicitado por el destinatario. Esas dos son las únicas cookies exentas de consentimiento.

2.4. La contratación por vía electrónica

El artículo 23 proclama la validez plena del contrato electrónico y añade tres reglas que caen: no es necesario el previo acuerdo de las partes sobre el uso de medios electrónicos; si la ley exige forma escrita, el requisito «se entenderá satisfecho si el contrato o la información se contiene en un soporte electrónico»; y quedan excluidos los contratos de Derecho de familia y sucesiones, así como los que exijan forma documental pública o la intervención de órganos jurisdiccionales, notarios, registradores o autoridades públicas.

El artículo 27 impone la información previa, «de forma permanente, fácil y gratuita», sobre cuatro extremos: los trámites que deben seguirse; si el prestador archivará el documento y si será accesible; los medios técnicos para identificar y corregir errores en la introducción de datos; y la lengua o lenguas en que podrá formalizarse. No hay obligación de facilitarla cuando ambos contratantes lo acuerden y ninguno sea consumidor, o cuando el contrato se celebre exclusivamente por intercambio de correo electrónico.

El artículo 28 regula la información posterior: el oferente debe confirmar la recepción de la aceptación mediante acuse de recibo por correo electrónico en el plazo de las veinticuatro horas siguientes, o mediante confirmación por un medio equivalente tan pronto como el aceptante haya completado el procedimiento. Las veinticuatro horas son el dato memorizable.

2.5. Régimen sancionador

Las infracciones se clasifican en muy graves, graves y leves (art. 38). Muy grave es, por ejemplo, incumplir la orden administrativa de suspender la transmisión o el alojamiento (art. 11) o el envío masivo o insistente de comunicaciones comerciales no solicitadas. Las cuantías del artículo 39:

Calificación	Multa (art. 39)	Prescribe la infracción (art. 45)	Prescribe la sanción (art. 45)
Leves	Hasta 30.000 €	6 meses	1 año
Graves	De 30.001 a 150.000 €	2 años	2 años
Muy graves	De 150.001 a 600.000 €	3 años	3 años

Es la única de las leyes del temario en que los plazos de prescripción de la infracción y de la sanción casi coinciden: solo se separan en las leves, que como infracción prescriben a los seis meses y como sanción al año. Además, la reiteración de dos o más infracciones muy graves sancionadas con carácter firme en el plazo de tres años puede dar lugar a la prohibición de actuación en España durante un plazo máximo de dos años.

La competencia sancionadora (art. 43) se reparte por gravedad, y esta es la parte que casi nadie repasa:

• Infracciones muy graves: la persona titular del Ministerio competente en materia de transformación digital.
• Infracciones graves y leves: la persona titular de la Secretaría de Estado de Digitalización e Inteligencia Artificial.
• Cuando lo incumplido es una resolución dictada por otro órgano competente por razón de la materia, sanciona el órgano que dictó la resolución incumplida.
• Y corresponde a la Agencia Española de Protección de Datos sancionar los tipos relativos a comunicaciones comerciales y cookies.

El procedimiento se rige por la Ley 39/2015 y tiene una duración máxima de nueve meses desde el acuerdo de iniciación; tres meses si se tramita por el procedimiento simplificado. Para graduar la multa, el artículo 40 enumera ocho criterios, entre ellos el volumen de facturación afectado, la adhesión a un código de conducta o a un sistema de autorregulación publicitaria y la adopción de medidas para mitigar o reparar el daño.

2.6. El nuevo marco europeo: DSA, DMA y datos

La Ley 34/2002 ya no está sola. Desde el 17 de febrero de 2024 se aplica plenamente el Reglamento (UE) 2022/2065 de Servicios Digitales (DSA), que sustituye buena parte del régimen de responsabilidad de la Directiva 2000/31/CE con un enfoque escalonado por tamaño: servicios intermediarios, servicios de alojamiento, plataformas en línea y plataformas y motores de búsqueda de muy gran tamaño (VLOP y VLOSE), definidos por superar los 45 millones de destinatarios activos mensuales en la Unión —el 10 % de la población—. Cada Estado designa un Coordinador de Servicios Digitales; en España es la Comisión Nacional de los Mercados y la Competencia.

La técnica del DSA es la de obligaciones acumulativas por capas: cada nivel soporta las de los anteriores más las suyas. Merece la pena tener el esquema, porque es la forma en que se pregunta:

Capa	Quién	Obligaciones que añade
1. Servicios intermediarios	Todos: mera transmisión, memoria caché y alojamiento	Punto único de contacto, representante legal si están fuera de la Unión, condiciones generales claras e informe anual de transparencia.
2. Servicios de alojamiento	Los que almacenan información del destinatario	Mecanismo de notificación y acción sobre contenidos ilícitos, declaración de motivos a quien sufre una retirada y notificación de sospechas de delito a las autoridades.
3. Plataformas en línea	Alojamiento que además difunde al público	Sistema interno de reclamaciones, resolución extrajudicial de litigios, alertadores fiables, medidas contra el uso indebido, transparencia de la publicidad y de los sistemas de recomendación, y prohibición de patrones oscuros. Las microempresas y pequeñas empresas quedan exentas de esta capa.
4. VLOP y VLOSE	Plataformas y buscadores con ≥ 45 millones de destinatarios activos mensuales en la Unión	Evaluación anual de riesgos sistémicos y medidas de mitigación, auditoría independiente anual, repositorio público de anuncios, acceso a datos para investigadores, responsable de cumplimiento y tasa de supervisión. Los supervisa directamente la Comisión Europea.

Dos principios del DSA que conviene retener porque contradicen intuiciones frecuentes: se mantiene la ausencia de obligación general de supervisión —ninguna plataforma está obligada a vigilar de oficio todo lo que alojan sus usuarios— y se introduce la cláusula del buen samaritano: investigar voluntariamente contenidos ilícitos no hace perder la exención de responsabilidad. Antes, paradójicamente, moderar podía volverse en contra del prestador.

Junto al DSA, el Reglamento (UE) 2022/1925 de Mercados Digitales (DMA) disciplina a los guardianes de acceso o gatekeepers —designados por la Comisión en función de su cifra de negocios, número de usuarios y posición afianzada— con obligaciones de interoperabilidad y prohibiciones de autopreferencia. El Reglamento (UE) 2022/868 de Gobernanza de Datos (DGA) y el Reglamento (UE) 2023/2854 de Datos (Data Act) ordenan el mercado del dato: el primero crea la figura de los servicios de intermediación de datos y las organizaciones de gestión de datos con fines altruistas —cuya infracción, por cierto, ya está tipificada en el artículo 38 de nuestra Ley 34/2002—; el segundo regula el acceso a los datos generados por productos conectados y el cambio de proveedor de servicios en la nube. Y el Reglamento (UE) 2024/1689 de Inteligencia Artificial, con su clasificación por niveles de riesgo —inaceptable, alto, limitado y mínimo—, cierra el paquete. No hay que sabérselos al detalle, pero sí reconocer sus siglas, su objeto y sus fechas: el tribunal ya ha empezado a preguntarlos en el bloque técnico.

3. Identidad y firma electrónica: el Reglamento eIDAS

La norma es el Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE. El tribunal lo escribe entero en el enunciado, así que conviene reconocerlo por sus tres señas: 910/2014, 23 de julio de 2014 y deroga la Directiva 1999/93/CE.

Es un reglamento, no una directiva: se aplica directamente en todos los Estados miembros sin necesidad de transposición. Por eso la Ley 6/2020 española no lo transpone —no hay nada que transponer—, sino que lo complementa en lo que el propio Reglamento deja al Derecho nacional. Y por eso derogó la Ley 59/2003 de firma electrónica: aquella sí era transposición de la Directiva de 1999.

El dato más importante y más nuevo: eIDAS fue profundamente reformado por el Reglamento (UE) 2024/1183, de 11 de abril de 2024, conocido como eIDAS 2, que crea el marco europeo de identidad digital y la cartera europea de identidad digital. Cualquier apunte que describa eIDAS sin mencionar la cartera está describiendo la versión de 2014.

3.1. Definiciones y estructura

El artículo 3 contiene el diccionario del tema. Las cinco primeras definiciones hay que tenerlas separadas porque el tribunal las intercambia:

N.º	Concepto	Definición
1	Identificación electrónica	Proceso consistente en utilizar los datos de identificación de la persona en formato electrónico que representan de manera única a una persona.
2	Medios de identificación electrónica	Unidad material y/o inmaterial que contiene los datos de identificación y se utiliza para la autenticación.
3	Datos de identificación de la persona	Conjunto de datos emitido conforme al Derecho de la Unión o nacional que permite establecer la identidad.
4	Sistema de identificación electrónica	Régimen en virtud del cual se expiden medios de identificación electrónica.
5	Autenticación	Proceso electrónico que permite confirmar la identificación electrónica de una persona o confirmar el origen y la integridad de datos en formato electrónico.

La estructura mental es esta: proceso (identificación) → unidad (medio) → datos → régimen (sistema) → comprobación (autenticación). Nótese que la autenticación tiene dos objetos posibles: la identidad de una persona o el origen e integridad de unos datos.

Otras dos definiciones que caen: firma electrónica es «los datos en formato electrónico anejos a otros datos electrónicos o asociados de manera lógica con ellos que utiliza el firmante para firmar»; y documento electrónico, «todo contenido almacenado en formato electrónico, en particular, texto o registro sonoro, visual o audiovisual». Y una distinción capital: el firmante es siempre una persona física, mientras que el creador de un sello es una persona jurídica. Firma la persona; sella la organización.

3.2. Identificación electrónica: niveles y reconocimiento mutuo

El artículo 8 —preguntado en 2026— establece que un sistema de identificación electrónica notificado deberá especificar tres niveles de seguridad: bajo, sustancial y alto. No son cuatro ni llevan otros nombres:

• Bajo: grado limitado de confianza en la identidad pretendida o declarada; su objetivo es reducir el riesgo de uso indebido o alteración de la identidad.
• Sustancial: grado sustancial de confianza; su objetivo es reducir sustancialmente ese riesgo.
• Alto: grado elevado de confianza; su objetivo es impedir el uso indebido o la alteración de la identidad.

La progresión de los verbos —reducir / reducir sustancialmente / impedir— es lo que distingue los tres niveles en el texto. El desarrollo técnico está en el Reglamento de Ejecución (UE) 2015/1502.

El artículo 6 impone el reconocimiento mutuo: cuando para acceder a un servicio en línea de un organismo del sector público se exija identificación electrónica, el medio expedido en otro Estado miembro debe reconocerse, siempre que el sistema esté en la lista publicada por la Comisión y su nivel de seguridad sea igual o superior al exigido —y siempre que ese nivel sea sustancial o alto—. El reconocimiento del nivel bajo es potestativo.

La pieza técnica que hace esto posible en España es el nodo eIDAS español, gestionado por la Secretaría General de Administración Digital. Tres datos que el tribunal preguntó en 2024: intercambia mensajes conforme al estándar SAML 2.0; permite el reconocimiento de identidades electrónicas —no de documentos en soporte físico— emitidas por otros Estados; y el alcance es la Unión Europea y el Espacio Económico Europeo, no la OCDE. La integración de las Administraciones con el nodo se hace a través de Cl@ve, no de @firma.

3.3. La cartera europea de identidad digital (eIDAS 2)

El artículo 5 bis, introducido por el Reglamento (UE) 2024/1183, obliga a cada Estado miembro a proporcionar al menos una cartera europea de identidad digital (EUDI Wallet) en los veinticuatro meses siguientes a la entrada en vigor de los actos de ejecución correspondientes. Sus notas esenciales:

• Permite al usuario almacenar, gestionar y presentar datos de identificación de la persona y atestaciones electrónicas de atributos —el título universitario, el permiso de conducir, la edad— manteniendo «el pleno control sobre sus datos».
• Permite firmar mediante firmas electrónicas cualificadas, y su uso es gratuito para las personas físicas.
• Se expide con nivel de seguridad alto y su uso es voluntario para el ciudadano: no se puede obligar a nadie a tenerla.
• Las partes usuarias —incluidas las plataformas privadas de gran tamaño— deben aceptarla cuando la normativa les exija autenticación fuerte del usuario.

La misma reforma incorporó al catálogo de servicios de confianza cuatro figuras nuevas: la atestación electrónica de atributos, el archivo electrónico, los libros registro electrónicos y la gestión de dispositivos de creación de firma y sello a distancia.

3.4. Los servicios de confianza y su catálogo

Un servicio de confianza es un servicio electrónico prestado habitualmente a cambio de una remuneración. El Reglamento distingue dos categorías con consecuencias jurídicas muy distintas:

	No cualificado	Cualificado
Acceso al mercado	Libre; basta la notificación al órgano de supervisión	Requiere concesión de la cualificación por el órgano de supervisión, previo informe de evaluación de la conformidad emitido por un organismo acreditado
Publicidad	No figura como cualificado	Se inscribe en la lista de confianza nacional (art. 22) y puede usar la etiqueta de confianza «UE» (art. 23)
Supervisión	A posteriori, reactiva	Ex ante y continuada: auditoría de conformidad al menos cada 24 meses
Efectos	No se le pueden denegar efectos jurídicos por ser electrónico	Disfruta de presunciones legales (equivalencia a la firma manuscrita, presunción de exactitud e integridad…)

Sobre la responsabilidad (art. 13), la regla se invierte según la categoría: el prestador no cualificado responde de los daños causados intencionadamente o por negligencia, pero la carga de probar la intención o negligencia recae en quien alega el daño; en el prestador cualificado, en cambio, la intención o negligencia se presumen salvo prueba en contrario. Es una inversión de la carga de la prueba que se pregunta.

3.5. Firma, sello, sello de tiempo, entrega certificada y sitios web

Firma electrónica. Tres grados, y hay que tener claro qué exige cada uno:

1. Simple: los datos anejos o asociados lógicamente que el firmante utiliza para firmar. Sin más requisitos.
2. Avanzada (art. 26): cumple cuatro requisitos acumulativos —estar vinculada al firmante de manera única; permitir la identificación del firmante; haber sido creada con datos que el firmante puede utilizar, con un alto nivel de confianza, bajo su control exclusivo; y estar vinculada a los datos firmados de modo que cualquier modificación ulterior sea detectable.
3. Cualificada (art. 3.12): firma avanzada creada por un dispositivo cualificado de creación de firma y basada en un certificado cualificado de firma electrónica. Los tres elementos son necesarios.

Los efectos jurídicos están en el artículo 25, y su apartado 1 es el principio de no discriminación: «no se denegarán efectos jurídicos ni admisibilidad como prueba en procedimientos judiciales a una firma electrónica por el mero hecho de ser una firma electrónica o porque no cumpla los requisitos de la firma electrónica cualificada». Es decir: una firma simple es prueba válida; lo que cambia es su fuerza. Y el apartado 2 es la regla estrella: «Una firma electrónica cualificada tendrá un efecto jurídico equivalente al de una firma manuscrita». Solo la cualificada equivale a la manuscrita.

Sello electrónico (arts. 35 a 40). Es el equivalente de la firma para las personas jurídicas y garantiza el origen y la integridad de los datos, no la voluntad. El sello electrónico cualificado disfruta de la presunción de integridad de los datos y de corrección del origen. Sus requisitos avanzados (art. 36) son los mismos cuatro de la firma, referidos al creador del sello. Y el Anexo III —preguntado en 2026— exige que los certificados cualificados de sello contengan, entre otros elementos, «al menos, el nombre del creador del sello y, cuando proceda, el número de registro, tal como se recojan en los registros oficiales».

Sello de tiempo electrónico (arts. 41 y 42). Vincula unos datos con un instante temporal. El cualificado disfruta de «una presunción de exactitud de la fecha y hora que indican y de la integridad de los datos a los que la fecha y hora estén vinculadas». Sus requisitos: vincular fecha y hora a los datos de modo que se excluya razonablemente la modificación indetectable, basarse en una fuente de información temporal vinculada al Tiempo Universal Coordinado (UTC) y estar firmado o sellado electrónicamente por el prestador cualificado.

Entrega electrónica certificada (arts. 43 y 44). El servicio cualificado genera una presunción cuádruple: integridad de los datos, envío por el remitente identificado, recepción por el destinatario identificado y exactitud de la fecha y hora de envío y recepción. Es la base jurídica de las notificaciones electrónicas fehacientes.

Autenticación de sitios web (art. 45). Los certificados cualificados de autenticación de sitios web cumplen el Anexo IV, y eIDAS 2 añadió una obligación polémica: los proveedores de navegadores web deben reconocerlos y mostrar los datos de identidad de forma fácil de usar.

Un cuadro que resuelve la mitad de las preguntas de este epígrafe:

Anexo	Contiene los requisitos de…
I	Certificados cualificados de firma electrónica
II	Dispositivos cualificados de creación de firma electrónica
III	Certificados cualificados de sello electrónico
IV	Certificados cualificados de autenticación de sitios web

4. La Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza

Su artículo 1 declara su naturaleza: regular determinados aspectos de los servicios electrónicos de confianza «como complemento del Reglamento (UE) n.º 910/2014». Derogó la Ley 59/2003 de firma electrónica.

Los preceptos que ya han caído o están a punto:

• Artículo 3 · valor probatorio. Los documentos electrónicos públicos, administrativos y privados tienen el valor y la eficacia que corresponda a su naturaleza. La prueba del documento privado en el que se usó un servicio no cualificado se rige por el artículo 326.3 de la Ley de Enjuiciamiento Civil; si el servicio fue cualificado, por el 326.4. Ese reenvío numerado es muy preguntable.
• Artículo 4 · vigencia. «El período de vigencia de los certificados cualificados no será superior a cinco años». Cayó en los dos ejercicios de 2023. Los certificados se extinguen por caducidad al expirar ese período o por revocación.
• Artículo 7 · identificación del solicitante. Exige la personación ante los encargados de verificarla, acreditándose mediante DNI, pasaporte u otros medios admitidos en Derecho. Se puede prescindir de la personación si la firma en la solicitud fue legitimada en presencia notarial, y se admiten métodos a distancia —videoconferencia o vídeo-identificación— que aporten «una seguridad equivalente en términos de fiabilidad a la presencia física», certificada por un organismo de evaluación de la conformidad. También cabe no exigirla si ya existía una relación previa con identificación por esos medios y han pasado menos de cinco años.
• Artículo 8 · pseudónimos. Cayó en 2026, en los dos modelos. Quien consigne un pseudónimo en un certificado deberá constatar la verdadera identidad del titular y conservar la documentación que la acredite; y estará obligado a revelar esa identidad cuando lo soliciten los órganos judiciales y otras autoridades públicas en el ejercicio de funciones legalmente atribuidas. No es una facultad: es una obligación.
• Artículo 9 · obligaciones. Tres cifras que se preguntan: los prestadores cualificados conservan la información relativa a los servicios prestados durante 15 años desde la extinción del certificado; constituyen un seguro de responsabilidad civil de 1.500.000 € como mínimo —salvo si pertenecen al sector público—, con 500.000 € adicionales por cada tipo de servicio cualificado añadido; y quien vaya a cesar debe comunicarlo a sus clientes y al órgano de supervisión con una antelación mínima de dos meses.
• Artículo 10 · responsabilidad por delegación. El prestador asume toda la responsabilidad frente a terceros por la actuación de las personas o prestadores en quienes delegue, «incluyendo las actuaciones de comprobación de identidad previas a la expedición de un certificado cualificado».

La supervisión corresponde al Ministerio competente en materia de transformación digital, con potestad de inspección. Y el régimen sancionador clasifica las infracciones en muy graves (multa de 150.001 a 300.000 €), graves (de 50.001 a 150.000 €) y leves (hasta 50.000 €).

4.1. Supervisión, lista de confianza y prestadores en España

El sistema europeo de confianza descansa en una arquitectura de tres piezas que conviene tener ordenada, porque el tribunal pregunta quién hace qué:

Pieza	Quién es en España	Qué hace
Órgano de supervisión	El Ministerio competente en materia de transformación digital, a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial	Concede y retira la cualificación, mantiene la lista de confianza, inspecciona y sanciona. Elabora un informe anual que remite a la Comisión Europea y a ENISA.
Organismo de evaluación de la conformidad	Entidades privadas acreditadas por ENAC	Audita al prestador y emite el informe de evaluación de la conformidad, que es el requisito previo a la cualificación y ha de renovarse cada 24 meses.
Lista de confianza (TSL)	La publica el órgano de supervisión en formato legible por máquina	Es la fuente de verdad sobre qué prestadores y qué servicios son cualificados. La Comisión mantiene la lista de listas europea, que agrega las de los veintisiete.

La etiqueta de confianza «UE» del artículo 23 de eIDAS solo pueden usarla los prestadores cualificados y únicamente para los servicios cualificados que presten: usarla sin serlo es infracción. Y una regla que se pregunta: la cualificación no es del prestador en abstracto, sino de cada servicio; un mismo prestador puede ser cualificado para expedir certificados de firma y no serlo para el sellado de tiempo.

Entre los prestadores cualificados españoles, dos merecen mención propia por su papel institucional. La Fábrica Nacional de Moneda y Timbre – Real Casa de la Moneda (FNMT-RCM) actúa como autoridad de certificación de la Administración General del Estado a través de su proyecto CERES, y expide el certificado de persona física, el de representante de persona jurídica y los de empleado público y sede. Y la Dirección General de la Policía es la autoridad de certificación del DNI electrónico. Junto a ellas operan autoridades autonómicas —como la Agencia de Tecnología y Certificación Electrónica de la Generalitat Valenciana— y prestadores privados.

Conviene además distinguir los tipos de certificado que usa la Administración, porque el tribunal los cruza: el de persona física, el de representante de persona jurídica o de entidad sin personalidad, el de empleado público —que identifica a la persona y al órgano en el que sirve—, el de sede electrónica —que identifica a la sede y garantiza una comunicación segura— y el de sello electrónico de órgano o Administración, que permite la actuación administrativa automatizada. Los tres últimos son certificados de la Administración, no del ciudadano, y están previstos en el artículo 43 de la Ley 40/2015.

Por último, una figura que la práctica hace omnipresente y que conviene nombrar bien: la firma electrónica en la nube o a distancia, en la que las claves del firmante no residen en una tarjeta suya sino en un dispositivo cualificado gestionado por el prestador bajo su control exclusivo. eIDAS 2 la reconoció expresamente al incorporar al catálogo la gestión de dispositivos cualificados de creación de firma y sello a distancia, y es la tecnología que hay detrás de la firma con Cl@ve.

5. Identificación y firma en el procedimiento administrativo: Cl@ve

La Ley 39/2015 distingue con nitidez dos cosas que el lenguaje corriente confunde: identificarse es decir quién eres; firmar es expresar tu voluntad. Su artículo 11 lo resuelve con una regla de oro: para cualquier actuación basta con identificarse, y solo se exige firma para cinco actos tasados: formular solicitudes; presentar declaraciones responsables o comunicaciones; interponer recursos; desistir de acciones; y renunciar a derechos. Memorizar esa lista de cinco vale por varias preguntas.

Los sistemas admitidos son paralelos en los artículos 9 (identificación) y 10 (firma), con tres letras cada uno: certificados cualificados de firma, certificados cualificados de sello, y cualquier otro sistema que las Administraciones consideren válido, con registro previo del usuario y comunicación a la Secretaría General de Administración Digital, acompañada de declaración responsable; la eficacia jurídica de estos últimos requiere que transcurran dos meses desde la comunicación. Dos reglas más: los recursos técnicos de esos sistemas de la letra c) deben estar en territorio de la Unión Europea —y en territorio español si tratan categorías especiales de datos—; y la Administración debe garantizar que las letras a) y b) sean posibles para todo procedimiento, aunque admita además la letra c).

El artículo 10.5 añade una regla práctica muy preguntada: cuando el interesado usa un sistema de firma, «su identidad se entenderá ya acreditada mediante el propio acto de la firma». Quien firma no necesita identificarse aparte.

Cl@ve es el sistema de identificación, autenticación y firma electrónica común para toda la Administración, regulado en cuanto a sus prescripciones técnicas por la Resolución de 14 de diciembre de 2015, de la Dirección de Tecnologías de la Información y las Comunicaciones —el tribunal la cita con esa fecha exacta—. Lo que preguntó en 2024:

• Sí: «permitirá también el acceso a servicios de firma electrónica, en particular, a servicios de firma de documentos electrónicos mediante certificados electrónicos centralizados» —la llamada firma en la nube—.
• No: que ofrezca «tres niveles de garantía de registro». El registro tiene dos niveles, básico —por internet, con datos contrastados— y avanzado —presencial en una oficina de registro o con certificado electrónico—, y solo el avanzado da acceso a todos los servicios.
• No: que proporcione «tres modalidades de identificación basadas en claves concertadas». Son dos: Cl@ve PIN, de validez muy limitada en el tiempo, para usos esporádicos; y Cl@ve Permanente, con contraseña de validez duradera y refuerzo opcional mediante clave de un solo uso enviada al móvil.
• No: que esté «dirigido a los ciudadanos que cumplan con los requisitos indicados en las Prescripciones Técnicas». Cl@ve está dirigido a los ciudadanos, sin más.

Junto a Cl@ve, los otros servicios comunes de este ámbito: @firma, la plataforma de validación de firmas y certificados de la Administración; TS@, la autoridad de sellado de tiempo; VALIDe, el servicio de validación en línea para el ciudadano; y AutoFirma, la aplicación de escritorio de firma.

5.1. Identificarse y firmar no es lo mismo (arts. 9, 10 y 11)

Es la distinción que más preguntas da del epígrafe, y la Ley 39/2015 la construye en tres artículos encadenados.

Identificarse (art. 9) es acreditar quién eres. La Administración está obligada a verificar la identidad comprobando el nombre y apellidos, o la denominación o razón social, que consten en el DNI o documento equivalente. Electrónicamente valen tres familias de sistemas: los basados en certificados cualificados de firma electrónica, los basados en certificados cualificados de sello electrónico —ambos de prestadores incluidos en la lista de confianza— y cualquier otro sistema que la Administración considere válido, siempre que exija registro previo del usuario y se comunique a la Secretaría General de Administración Digital. 🚨 Ese tercer sistema no surte efecto de inmediato: han de transcurrir dos meses desde la comunicación.

Firmar (art. 10) es expresar voluntad y consentimiento. Vale cualquier medio que acredite autenticidad de esa expresión e integridad e inalterabilidad del documento; y por vía electrónica se consideran válidos los sistemas de firma cualificada y avanzada basados en certificado cualificado de firma, los de sello cualificado y avanzado basados en certificado cualificado de sello, y el mismo cajón de «cualquier otro sistema» con registro previo y comunicación.

🚨 Fíjese en la asimetría, que es justo lo que se pregunta: para identificar basta el certificado cualificado; para firmar se admiten la firma cualificada y la avanzada basadas en certificado cualificado. Y el sello aparece en las dos listas, porque sirve tanto para identificar como para firmar.

5.2. Cuándo se exige firma y cuándo no (art. 11)

Aquí la regla es sencilla y contraintuitiva: con carácter general basta identificarse. La Administración solo puede exigir firma para cinco actuaciones tasadas:

1. Formular solicitudes.
2. Presentar declaraciones responsables o comunicaciones.
3. Interponer recursos.
4. Desistir de acciones.
5. Renunciar a derechos.

Son las cinco en las que el ciudadano dispone de su posición jurídica. Consultar el estado de un expediente, aportar un documento que le han requerido o recibir una notificación no exigen firma: basta con estar identificado. El distractor típico del examen añade a la lista «consultar el expediente» o «aportar documentación», y las dos son falsas.

6. Formatos de firma electrónica: XAdES, CAdES, PAdES y ASiC

Este epígrafe cayó en los dos ejercicios de 2023 y es puro conocimiento técnico. Los cuatro formatos AdES (Advanced Electronic Signatures) están normalizados por ETSI y la Decisión de Ejecución (UE) 2015/1506 los declara admisibles por los organismos del sector público:

Formato	Qué significa	Sobre qué se aplica
XAdES	XML Advanced Electronic Signature	Documentos XML. El resultado de firmar es un fichero de texto XML.
CAdES	CMS Advanced Electronic Signature	Cualquier tipo de documento, mediante estructuras binarias CMS/PKCS#7. Eficiente con ficheros grandes.
PAdES	PDF Advanced Electronic Signature	Documentos PDF: la firma se incrusta en el propio PDF y es visible al abrirlo.
ASiC	Associated Signature Containers	Contenedor que agrupa documentos y sus firmas (XAdES o CAdES) en un único paquete.

La trampa exacta del examen de 2023: la opción falsa decía que «el formato PAdES (Propietario Avanzado) es el formato propio utilizado por Microsoft Office». Dos falsedades en una frase: PAdES no es «propietario avanzado» sino PDF Advanced Electronic Signature, y no tiene nada que ver con Microsoft Office sino con el PDF de Adobe, hoy norma ISO 32000.

Y las tres afirmaciones verdaderas de esa misma pregunta, que conviene retener:

• Co-firma: firma múltiple en la que todos los firmantes están al mismo nivel y no importa el orden. Frente a ella, la contrafirma es jerárquica: cada firmante firma la firma anterior, y el orden sí importa.
• Firmar en XAdES produce un fichero de texto XML.
• En XAdES se distinguen tres colocaciones: despegada (detached, la firma va en fichero aparte), envolvente (enveloping, la firma contiene al documento) y envuelta (enveloped, la firma va dentro del documento).

Sobre los perfiles de longevidad, que ordenan la validez de la firma en el tiempo: -BES/-EPES (básico y con política de firma), -T (añade sello de tiempo), -C, -X, -XL (añaden referencias y valores de los datos de validación) y -A (archivado, con resellado periódico para resistir la obsolescencia criptográfica). La nomenclatura actual de ETSI los reagrupa en B-B, B-T, B-LT y B-LTA.

7. El DNI electrónico

7.1. Régimen jurídico: el Real Decreto 255/2025

🚨🚨 AVISO IMPRESCINDIBLE: el Real Decreto 1553/2005 está DEROGADO. Lo derogó de forma expresa la disposición derogatoria única del Real Decreto 255/2025, de 1 de abril, por el que se regula el Documento Nacional de Identidad, que entró en vigor el mismo día de su publicación en el Boletín Oficial del Estado, el 2 de abril de 2025. Prácticamente todos los manuales y todas las academias siguen explicando el reglamento de 2005, y no es solo una cuestión de citar bien: dos de sus cifras han cambiado, así que quien estudie por el texto viejo contestará mal.

Las dos que han cambiado, por delante de todo lo demás:

Dato	RD 1553/2005 (DEROGADO)	🚨 RD 255/2025 (VIGENTE)
Validez de los certificados electrónicos del DNI	Máximo cinco años (art. 12)	DOS AÑOS (art. 11.3)
Validez del DNI para los mayores de setenta años	Permanente (art. 6)	Más de diez años, consignando una fecha (art. 7.1.d)
DNI de mayores de treinta con gran invalidez	Validez permanente (art. 6.2)	La excepción desaparece: ya no figura en la norma

El nuevo reglamento se dicta en desarrollo de lo previsto en la Ley Orgánica 4/2015, de protección de la seguridad ciudadana, y responde a dos motores: el Reglamento (UE) 2019/1157, sobre el refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión, y el Reglamento (UE) 2024/1183, que modificó eIDAS para crear el marco europeo de identidad digital. Su objeto (art. 1) es la regulación de la expedición, gestión y desarrollo del Documento Nacional de Identidad en sus versiones física y digital: esa es la gran novedad del reglamento.

Naturaleza, fines, derechos y obligaciones

El artículo 2 define el DNI como un documento personal e intransferible emitido por el Ministerio del Interior, a través de la Dirección General de la Policía, que goza de la protección que a los documentos públicos y oficiales otorgan las leyes. Y añade que a cada documento se le asigna un número que tiene la consideración de identificador numérico personal.

El artículo 3 fija los fines, y su primera frase se pregunta casi literal: el DNI es el único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular; permite además la identificación electrónica y la firma electrónica de documentos. Su apartado 2 obliga a todas las personas, físicas o jurídicas y públicas o privadas, a reconocer su eficacia.

El artículo 4 distingue el derecho del deber, y es de los más preguntables:

• Todas las personas con nacionalidad española tienen derecho a que se les expida.
• 🚨 Su obtención es obligatoria para las personas mayores de CATORCE años residentes en España, y para las de igual edad que, residiendo en el extranjero, se trasladen a España por tiempo no inferior a SEIS MESES.
• Es personal e intransferible, y su titular debe mantenerlo en vigor, conservarlo y custodiarlo con la debida diligencia.
• «Ninguna persona con nacionalidad española podrá ser privada del Documento Nacional de Identidad, ni siquiera temporalmente», salvo en los casos y forma establecidos por las leyes, en los que habrá de ser sustituido por otro documento.
• Quien está obligado a obtenerlo lo está también a exhibirlo cuando lo requieran la autoridad, sus agentes y funcionarios, con independencia de su formato físico o digital.

La competencia (art. 5) es exclusiva del Ministerio del Interior para la dirección, organización, desarrollo, administración y gestión de todos los aspectos del documento, y se ejerce a través de la Dirección General de la Policía. Y la tramitación (art. 6) se rige por la Ley 39/2015.

🚨 Validez, renovación y duplicados

La tabla del artículo 7 es la más preguntada del reglamento. Va por tramos de edad al expedir o renovar:

Edad del titular al expedir o renovar	Validez del DNI
No ha cumplido 5 años	2 años
Cumplidos los 5 y sin alcanzar los 30	5 años
Cumplidos los 30 y sin alcanzar los 70	10 años
Cumplidos los 70	🚨 Más de diez años, consignando una fecha —ya NO es «permanente»—

Y de forma excepcional se otorga validez de un año en dos supuestos: cuando sea físicamente imposible, con carácter temporal, tomar las impresiones dactilares de cualquier dedo; y en el supuesto del artículo 6.2.e), una vez aportada y verificada la documentación necesaria, momento en que se ajusta la validez a la que corresponda por la edad.

Sobre la renovación (art. 8): caducado el documento se revocan las atribuciones y efectos que le reconoce el ordenamiento, y su titular está obligado a renovarlo. La renovación puede tramitarse dentro de los últimos 180 días de vigencia, con presencia física, abonando la tasa y aportando fotografía e impresiones dactilares. También hay que renovar cuando varíe alguno de los datos que constan en el documento.

Sobre los duplicados (art. 9): el extravío, la sustracción, la destrucción o el deterioro obligan a proveerse inmediatamente de un duplicado, con denuncia previa en los dos primeros casos. ⚠️ El duplicado conserva la validez que tenía el documento sustituido, salvo que este se halle dentro de sus últimos 90 días, en cuyo caso se expide con la validez que correspondería a una renovación. Y el documento sustituido pierde el carácter de DNI.

La entrega (art. 10) es siempre personal al titular; si es menor de catorce años o tiene una medida de apoyo, se entrega a quien ejerza la patria potestad, la tutela o la medida de apoyo.

🚨 La tarjeta, el chip y los CERTIFICADOS: dos años

El artículo 11 describe el soporte. El material, formato y diseño se determinan por orden del Ministerio del Interior conforme al Reglamento (UE) 2019/1157, y la tarjeta contiene un chip donde se integran de forma separada:

• Los certificados electrónicos cualificados, que funcionan con un dispositivo cualificado de creación de firma conforme al Reglamento eIDAS —en su redacción dada por el Reglamento (UE) 2024/1183— y a la Ley 6/2020. El órgano de supervisión del cumplimiento de las obligaciones de la Dirección General de la Policía es el Ministerio para la Transformación Digital y de la Función Pública.
• La fotografía, los datos personales y las dos impresiones dactilares en formatos digitales interoperables.

🚨 Y el apartado 3, que es la cifra que hay que cambiar en la cabeza: «el plazo de validez de los certificados electrónicos contenidos en el Documento Nacional de Identidad será de DOS AÑOS». Se acabaron los cinco. La consecuencia práctica sigue siendo la misma en su lógica y más aguda en su número: un DNI de una persona de cuarenta años dura diez años, pero sus certificados caducan a los DOS y hay que renovarlos —presencialmente, en un Punto de Actualización— conservando la misma tarjeta.

El apartado 4 obliga además a la Dirección General de la Policía a formular una Declaración de Prácticas y Políticas de Certificación, consultable públicamente en la web de la Policía Nacional y conforme a la legislación de accesibilidad universal.

Del contenido del documento (art. 12) conviene retener el reparto: en el anverso, número y carácter de verificación, apellidos y nombre, fecha de nacimiento, sexo, nacionalidad, emisión, validez, número de soporte, fotografía digitalizada y firma manuscrita digitalizada; en el reverso, domicilio, lugar de nacimiento, nombre de los progenitores, número de equipo de la unidad de documentación, el chip y las tres líneas MRZ de treinta caracteres OCR-B cada una.

🚨 La gran novedad: el DNI en versión digital

El artículo 13 es nuevo y no existía en el reglamento de 2005. Sus reglas:

• El responsable es el Ministerio del Interior a través de la Dirección General de la Policía, y se realiza mediante una infraestructura de identificación electrónica con un dispositivo móvil.
• Su obtención se articula como una actuación administrativa automatizada, y puede hacerse de manera electrónica, telemática o presencial.
• ⚠️ Solo se genera si la persona dispone de su documento físico VIGENTE: la versión digital no sustituye al plástico, lo virtualiza.
• Tiene los mismos plazos de validez que la versión física, los del artículo 7.
• Tiene la misma eficacia jurídica a efectos de identificación: sirve ante autoridades, agentes y funcionarios, y en las relaciones con las Administraciones y con el sector privado.

Y una fecha que conviene tener presente: la disposición transitoria tercera dio a las entidades del sector público y privado un plazo de doce meses desde la entrada en vigor para adoptar las medidas necesarias para el buen funcionamiento de la versión digital.

Dos apuntes finales del reglamento que enlazan con otros temas. El artículo 14 remite el tratamiento de datos al Reglamento General de Protección de Datos y a la Ley Orgánica 3/2018 o, en su caso, a la Ley Orgánica 7/2021. Y la disposición final segunda modificó los artículos 27.1 y 28.1 del Reglamento del RD 203/2021 para incorporar el Número de Identificación Consular Central a la lista de atributos que deben llevar los certificados y los sistemas de clave concertada: un detalle pequeño que ya ha aparecido en otros exámenes.

7.2. El chip por dentro: las tres zonas

El chip del DNIe organiza la información en tres zonas con condiciones de acceso distintas. El tribunal preguntó en 2026, en los dos modelos, qué hay en la de seguridad; conviene tener las tres:

Zona	Quién y cómo accede	Qué contiene
Pública	Lectura libre, sin necesidad de PIN	El certificado de la CA intermedia emisora, las claves Diffie-Hellman y el certificado x509 de componente.
Privada	Lectura por el ciudadano mediante el PIN	El certificado de Firma (No Repudio) y el certificado de Autenticación (Digital Signature).
De seguridad	Lectura por el ciudadano en los Puntos de Actualización del DNIe (PAD)	Los datos de filiación del titular, la imagen de la fotografía y la imagen de la firma manuscrita.

La lógica es coherente: lo público es lo que cualquier lector necesita para dialogar con la tarjeta; lo privado es lo que solo el titular puede usar y por eso va tras el PIN; y lo de seguridad son los datos personales impresos, que el ciudadano solo puede consultar en una máquina oficial de la Policía. Nótese, porque es exactamente el distractor del examen, que los certificados NO están en la zona de seguridad: el de firma y el de autenticación están en la privada, y el de la CA emisora, en la pública.

Dos claves gobiernan el uso del documento: el PIN, que el titular puede cambiar en los Puntos de Actualización, y la Clave Personal de Acceso. Si se bloquea, la desactivación y reactivación se hacen también en un PAD. Y los dos certificados tienen finalidades separadas que el tribunal cruza: el de autenticación (Digital Signature) sirve para identificarse ante un servicio y no genera compromiso jurídico; el de firma (No Repudio) sirve para firmar y su uso equivale a la firma manuscrita.

7.3. Del DNIe 2.0 al DNIe 4.0

El documento ha tenido varias generaciones que conviene reconocer:

• DNIe (2006): primera versión con chip de contacto; requiere lector de tarjetas.
• DNIe 3.0 (2015): incorpora la interfaz sin contactos NFC, lo que permite usarlo con un teléfono móvil, y lo convierte además en documento de viaje electrónico conforme a las especificaciones OACI.
• DNIe 4.0 (2021): actualiza los mecanismos criptográficos y los protocolos de acceso —PACE para el canal seguro—, mejora la interoperabilidad europea y habilita la activación telemática de los certificados.

Un dato que ya está cayendo en el bloque técnico: el DNIe se apoya en criptografía asimétrica RSA y en el estándar de tarjetas ISO/IEC 7816 para el contacto y ISO/IEC 14443 para el NFC; las aplicaciones lo utilizan a través de la interfaz PKCS#11 en sistemas Unix y del CSP/minidriver en Windows.

8. La Agenda Digital para España y España Digital 2026

El enunciado oficial del tema dice «La Agenda Digital para España», que es el nombre de la estrategia aprobada por el Consejo de Ministros el 15 de febrero de 2013. Pero el tribunal pregunta por la vigente, y la vigente ya no se llama así. Hay que conocer las tres.

La Agenda Digital para España (2013). Fue la estrategia española para alcanzar los objetivos de la Agenda Digital para Europa. Se articuló en seis grandes objetivos:

1. Fomentar el despliegue de redes y servicios para garantizar la conectividad digital (redes ultrarrápidas).
2. Desarrollar la economía digital para el crecimiento, la competitividad y la internacionalización de la empresa española.
3. Mejorar la administración electrónica y los servicios públicos digitales.
4. Reforzar la confianza en el ámbito digital.
5. Impulsar el sistema de I+D+i en tecnologías de la información y las comunicaciones.
6. Promover la inclusión digital y la formación de nuevos profesionales TIC.

Esos seis objetivos se desplegaron en planes específicos —entre ellos el Plan de telecomunicaciones y redes ultrarrápidas, el Plan de TIC en pyme y comercio electrónico, el Plan de impulso de la economía digital y los contenidos digitales, el Plan de internacionalización de empresas tecnológicas, el Plan de confianza en el ámbito digital y el Plan de inclusión digital y empleabilidad—.

España Digital 2025 (julio de 2020). La sustituyó con un conjunto de medidas, reformas e inversiones articuladas en DIEZ ejes estratégicos. El número diez es lo que preguntó el tribunal en 2019 y hay que retenerlo.

España Digital 2026 (julio de 2022). Es la actualización de la anterior para alinearla con el Plan de Recuperación, Transformación y Resiliencia y con el horizonte 2026. Sus notas de examen:

• Mantiene los diez ejes estratégicos de la versión inicial y les añade dos ejes transversales nuevos: los PERTE —Proyectos Estratégicos para la Recuperación y Transformación Económica— y la iniciativa Retech, la red de proyectos estratégicos transformadores propuestos por las comunidades autónomas.
• Actúa en una TRIPLE dimensión: infraestructuras y tecnología, economía y personas. Es exactamente la trampa de 2026: el distractor decía «dos dimensiones fundamentales: infraestructuras y tecnología, y servicios públicos». Son tres, y la tercera es personas.
• Reúne cerca de cincuenta medidas.

Los diez ejes son:

1. Conectividad digital.
2. Impulso a la tecnología 5G.
3. Competencias digitales.
4. Transformación digital del tejido productivo.
5. Transformación digital del sector público.
6. Ciberseguridad.
7. Economía del dato e inteligencia artificial.
8. Derechos digitales.
9. España, hub audiovisual.
10. Transformación digital sectorial y sostenible.

La pregunta de 2026 pedía cuál NO es un eje, y la respuesta era «el eLearning y la Universidad Digital», frente a las competencias digitales, los derechos digitales y la ciberseguridad, que sí lo son. La estrategia se despliega además en planes sectoriales que conviene reconocer por su nombre: el Plan de Digitalización de las Administraciones Públicas, el Plan de Digitalización de Pymes —del que nace el Kit Digital—, la Estrategia Nacional de Inteligencia Artificial (ENIA), el Plan Nacional de Competencias Digitales y la Estrategia de Tecnologías Cuánticas de España, entre cuyas prioridades figura demostrar el impacto de la sensórica y metrología cuánticas —eso último es, literalmente, la respuesta correcta del ejercicio de reserva de 2026—.

Por encima de todo ello, el marco europeo: la Década Digital 2030, con la Decisión (UE) 2022/2481 que fija el programa estratégico y sus metas para 2030 en cuatro puntos cardinales —población con competencias digitales, infraestructuras sostenibles y seguras, transformación digital de las empresas y digitalización de los servicios públicos—, medida anualmente mediante el índice DESI integrado en el informe sobre el estado de la Década Digital.

🚨 Los tres distractores de esa misma pregunta también hay que reconocerlos, porque son nombres reales del mismo ecosistema y en 2026 el tribunal los usó los tres a la vez:

• Proyecto ALIA: la infraestructura pública de modelos de lenguaje e inteligencia artificial en español y en las lenguas cooficiales, impulsada por la Secretaría de Estado de Digitalización e Inteligencia Artificial. ⚠️ El enunciado atribuía su coordinación a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), y ahí está la trampa: la AESIA es el organismo supervisor del reglamento europeo de inteligencia artificial, con sede en A Coruña; supervisar y coordinar un proyecto de desarrollo son cosas distintas.
• Dirección General del Dato: el órgano de la Administración General del Estado que impulsa la gobernanza del dato. El distractor la presentaba como «entidad ejecutora» de las iniciativas del Plan de Impulso de los Espacios de Datos Sectoriales, mezclando dos piezas que no coinciden: los espacios de datos son entornos de compartición de datos por sectores —sanidad, movilidad, turismo, agroalimentación—, alineados con la estrategia europea del dato, y su ejecución se articula con las entidades y convocatorias de cada sector.
• Y la cuarta opción decía que la Agenda actúa en «dos dimensiones fundamentales: infraestructuras y tecnología, y servicios públicos». Es falsa por reducción: la estrategia se articula en los ejes que se acaban de enumerar, no en dos dimensiones. Cuando una opción resume en dos lo que la norma despliega en diez, casi siempre es el distractor.

9. Errores típicos que cuestan preguntas

1. Decir que PAdES es «Propietario Avanzado» o el formato de Microsoft Office. Es PDF Advanced Electronic Signature y se aplica a documentos PDF. Fue la respuesta a marcar en los dos ejercicios de 2023.
2. Hablar de «firma reconocida» o «certificado reconocido». Es el vocabulario de la Ley 59/2003, derogada. Hoy, con eIDAS y la Ley 6/2020, se dice cualificada y cualificado.
3. Creer que la firma avanzada equivale a la manuscrita. Solo la cualificada lo hace (art. 25.2 eIDAS). La avanzada no goza de esa equivalencia.
4. Negar valor probatorio a la firma simple. El artículo 25.1 prohíbe denegarle efectos jurídicos y admisibilidad como prueba «por el mero hecho de ser una firma electrónica».
5. Confundir los niveles de seguridad de eIDAS. Son bajo, sustancial y alto. No son cuatro, ni se llaman «básico, medio y avanzado».
6. Situar el certificado de firma en la zona de seguridad del DNIe. Los dos certificados del ciudadano están en la zona privada, tras el PIN. En la de seguridad están los datos de filiación, la fotografía y la firma manuscrita.
7. Dar diez años de vigencia a los certificados del DNIe. El documento puede durar diez años, pero los certificados del DNI caducan a los DOS (art. 11.3 del RD 255/2025). ⚠️ Los cinco años del art. 4 de la Ley 6/2020 son el tope de los certificados cualificados EN GENERAL, no los del DNI.
8. Fijar la obligatoriedad del DNI a los dieciocho años. Es a los catorce.
9. Decir que Cl@ve tiene tres modalidades o tres niveles de registro. Tiene dos modalidades —PIN y Permanente— y dos niveles de registro —básico y avanzado—. Los «tres» eran los distractores de 2024.
10. Integrar las Administraciones con el nodo eIDAS «a través de @firma». Se hace a través de Cl@ve; @firma es la plataforma de validación de firmas y certificados.
11. Creer que basta con notificar para prestar un servicio de confianza cualificado. La cualificación la concede el órgano de supervisión previo informe de evaluación de la conformidad; la mera notificación basta para los no cualificados.
12. Aplicar la excepción del spam a cualquier cliente. El artículo 21.2 exige relación contractual previa, datos obtenidos lícitamente y que los productos ofertados sean de la propia empresa y similares a los inicialmente contratados.
13. Pensar que todas las cookies necesitan consentimiento. Están exentas las de índole técnica para efectuar la transmisión y las estrictamente necesarias para prestar un servicio expresamente solicitado.
14. Incluir la radiodifusión televisiva entre los servicios de la sociedad de la información. Falla el requisito «a petición individual del destinatario».
15. Decir que España Digital 2026 actúa en dos dimensiones. Son tres: infraestructuras y tecnología, economía y personas.
16. Atribuir diez ejes a la Agenda Digital para España de 2013. Aquella tenía seis objetivos; los diez ejes son de España Digital 2025 y se mantienen en la de 2026, que añade dos transversales.

10. Cuadros de cifras y plazos

Cifra	A qué corresponde	Norma
5 años	Vigencia máxima de los certificados cualificados	Art. 4.2 Ley 6/2020
2 años	Vigencia de los certificados del DNI (🚨 eran cinco hasta 2025)	Art. 11.3 RD 255/2025
15 años	Conservación de la información por el prestador cualificado	Art. 9.3.a) Ley 6/2020
1.500.000 €	Seguro de responsabilidad civil mínimo del prestador cualificado (+500.000 € por servicio adicional)	Art. 9.3.b) Ley 6/2020
2 meses	Antelación mínima para comunicar el cese de la actividad	Art. 9.3.c) Ley 6/2020
2 meses	Plazo previo a la eficacia jurídica de un sistema de identificación o firma de la letra c)	Arts. 9.2.c) y 10.2.c) Ley 39/2015
24 meses	Periodicidad de la auditoría de conformidad del prestador cualificado	Art. 20.1 eIDAS
24 meses	Plazo para que cada Estado proporcione la cartera europea de identidad digital	Art. 5 bis eIDAS
24 horas	Plazo para el acuse de recibo de la aceptación en la contratación electrónica	Art. 28.1.a) Ley 34/2002
14 años	Edad a partir de la cual es obligatorio obtener el DNI	Art. 4.2 RD 255/2025
6 meses	Estancia mínima en España que obliga a obtener el DNI a los residentes en el extranjero	Art. 4.2 RD 255/2025
9 meses	Duración máxima del procedimiento sancionador (3 meses el simplificado)	Art. 43.2 Ley 34/2002 y art. 20.2 Ley 6/2020
600.000 €	Multa máxima por infracción muy grave de la LSSI	Art. 39.1.a) Ley 34/2002
300.000 €	Multa máxima por infracción muy grave de la Ley 6/2020	Art. 19.1.a) Ley 6/2020
10 ejes + 2 transversales	Estructura de España Digital 2026	Agenda España Digital 2026
6 objetivos	Estructura de la Agenda Digital para España de 2013	Acuerdo del Consejo de Ministros de 15-II-2013

10.1. Los tres niveles de seguridad de la identificación

El Reglamento eIDAS clasifica los sistemas de identificación electrónica en tres niveles, y el número y su orden se preguntan: bajo, sustancial y alto.

🚨 El nivel intermedio se llama SUSTANCIAL, no «medio»: es el distractor que se cuela, porque «bajo / medio / alto» es lo que uno espera y lo que usan otras normas. Cada nivel se define por la robustez con la que se comprueba la identidad al expedir el medio y por la resistencia del propio medio frente a la suplantación.

10.2. Firma, sello y sellado de tiempo

Tres cosas distintas que el examen mezcla: la firma es de una persona física, el sello es de una persona jurídica —garantiza origen e integridad, no voluntad— y el sello de tiempo acredita cuándo existía un dato. Un documento de la Administración va con sello; la solicitud del ciudadano, con firma.

11. Lo que ya ha preguntado el tribunal

Convocatoria	Materia	Respuesta del tribunal
2019	Ejes de la Agenda Digital «España Digital 2025»	10.
2023 (LI y PI)	Art. 4 Ley 6/2020: vigencia de los certificados cualificados	No será superior a 5 años.
2023 (LI y PI)	Firma electrónica: señale la INCORRECTA	La falsa era: «El formato PAdES (Propietario Avanzado) es el formato propio utilizado por Microsoft Office».
2024 (LI, A y B)	Sistema Cl@ve (Resolución de 14-XII-2015)	Permitirá también el acceso a servicios de firma electrónica, mediante certificados electrónicos centralizados.
2024 (LI, A y B)	Nodo eIDAS español	Utiliza un sistema de intercambio de mensajes conforme al estándar SAML 2.0.
2026 (LI, A y B)	Zona de seguridad del DNIe	La imagen de la fotografía.
2026 (LI, A y B)	Art. 8 Ley 6/2020: pseudónimos en certificados cualificados	El prestador está obligado a revelar la identidad real a solicitud de los órganos judiciales y otras autoridades públicas.
2026 (LI-A)	Anexo III eIDAS: certificados cualificados de sello electrónico	Al menos, el nombre del creador del sello y, cuando proceda, el número de registro.
2026 (extraordinario)	Art. 8 eIDAS: niveles de seguridad	Bajo, sustancial y alto.
2026 (extraordinario)	Ejes estratégicos de «España Digital 2026»: cuál NO lo es	El eLearning y la Universidad Digital.
2026 (reserva, A y B)	Agenda España Digital 2026	Una prioridad de la Estrategia de Tecnologías Cuánticas es demostrar el impacto de la sensórica y metrología cuánticas.

Cómo pregunta este tribunal en este tema. Tres patrones. Uno: mezcla derecho y técnica en la misma pregunta —cita la Resolución de Cl@ve por su fecha y luego pregunta cuántas modalidades tiene—, así que no basta con leerse el BOE. Dos: los distractores son casi ciertos: cambian «dos» por «tres», «PDF» por «Propietario», «Cl@ve» por «@firma». Hay que leer la opción entera antes de decidir. Y tres: la Agenda Digital cae casi siempre, y cae con el nombre de la versión vigente, no con el que figura en el enunciado oficial del temario; conviene repasar los diez ejes justo antes del examen porque son puro dato memorístico y se olvidan rápido.