Identidad verificada de operadores económicos: la respuesta de ISBE al nuevo reglamento del registro central europeo

El 6 de agosto entró en vigor el Reglamento de Ejecución (UE) 2026/1778, la norma que desarrolla el registro central del Pasaporte Digital de Producto (DPP) previsto en el Reglamento de Ecodiseño para Productos Sostenibles (ESPR, Reglamento UE 2024/1781). ISBE ya explicó en un artículo anterior qué es el DPP y a qué sectores afecta primero; esta pieza se centra en un desarrollo posterior y más concreto, cómo debe verificarse la identidad de cada operador económico que registra o actualiza un pasaporte en la infraestructura que ISBE ya tiene construida para responder a ese requisito.

La Comisión Europea abrió el registro central del DPP el 20 de julio de 2026, junto con un entorno de pruebas para que fabricantes, proveedores, distribuidores y recicladores familiaricen sus sistemas con la infraestructura antes de que empiece a exigirse por categoría de producto. El Reglamento de Ejecución (UE) 2026/1778 es la norma que fija cómo funciona ese registro: qué datos se cargan, quién puede acceder a ellos y, sobre todo, cómo se verifica la identidad de quien los introduce o modifica.

La primera fecha de aplicación real ya está fijada: el 18 de febrero de 2027, para las baterías industriales y de vehículos eléctricos, la primera categoría de producto obligada a contar con pasaporte digital bajo el Reglamento de Baterías (UE) 2023/1542. Otras categorías de producto seguirán ese mismo calendario a medida que la Comisión adopte los actos delegados específicos del ESPR para cada sector. Para cualquier empresa que forme parte de esas cadenas de valor, el requisito de identidad verificada empieza a resolverse ahora, no cuando llegue el plazo de su categoría.

El marco normativo no impone una tecnología concreta, pero sí es preciso en dos exigencias. La primera es la interoperabilidad: el ESPR, en sus artículos 10 y 11, obliga a que los datos del pasaporte se desarrollen en un formato interoperable, transferible a través de una red de intercambio de datos abierta y sin dependencia de un proveedor, y plenamente interoperable con el resto de pasaportes digitales de producto. La segunda es la verificación de identidad: el Reglamento de Ejecución 2026/1778 exige que cada operador económico se identifique mediante firma electrónica cualificada, identificación electrónica de nivel alto o una atestación electrónica de atributos, en el caso de personas físicas, y mediante sello electrónico cualificado o atestación de atributos, en el caso de personas jurídicas, con una validez máxima de tres años antes de tener que revalidarse.

Conviene ser precisos en un punto que suele simplificarse en exceso: el reglamento no dice en ningún lugar que la arquitectura deba ser descentralizada o inmutable, ni exige blockchain como tecnología. Lo que sí confirma la propia Comisión Europea es que el registro central es un índice gestionado por ella, mientras que los datos del producto se almacenan de forma descentralizada, en los sistemas de cada operador de la cadena de valor. La combinación de datos descentralizados, un estándar de interoperabilidad obligatorio y una identidad de operador verificable es, precisamente, el terreno en el que una red blockchain permisionada tiene algo concreto que ofrecer, aunque el reglamento la trate como una opción posible, no como un mandato.

El reto de una identidad que no pertenece a un único actor

Un pasaporte digital de producto no es propiedad de una sola empresa. Fabricante, proveedores, distribuidor, reciclador y autoridad de vigilancia del mercado necesitan leer, y en algunos casos escribir, sobre el mismo historial, sin que ninguno de ellos sea una autoridad de confianza natural sobre los demás. Resolver esto con integraciones punto a punto entre bases de datos propietarias de cada actor es, en la práctica, un proyecto de años de negociaciones técnicas y contractuales.

A esto se suma una tensión conocida entre los registros pensados para no alterarse y el derecho al olvido del Reglamento General de Protección de Datos. Un registro que mezcla datos de producto con datos personales sin separarlos desde el diseño arrastra ese problema de forma directa. Verificar de forma fiable quién puede leer, escribir o modificar cada registro, y mantener los datos personales fuera de esa capa compartida, es tan relevante para el cumplimiento como el propio contenido del pasaporte.

Cómo funciona el Framework de Identidad Digital de ISBE

ISBE resuelve esta capa de identidad con un framework construido para personas jurídicas. Cada organización se incorpora a la red con una verificación KYB fuera de la cadena y un certificado eIDAS cualificado que la vincula a un identificador propio, did:isbe, registrado en la Bare Network de ISBE junto a un documento DID con doble clave criptográfica y una referencia cruzada a ese certificado.

Sobre esa base se emite una credencial LEAR: una credencial verificable bajo el estándar W3C, equivalente a un poder de representación legal digital, compatible con el marco de referencia de la Cartera Digital Europea (EUDI Wallet ARF). Desde esa credencial, la propia organización emite y revoca credenciales a su personal mediante una lista de estado revocable (Bitstring Status List), sin que los datos personales de esas personas lleguen a tocar la cadena en ningún momento.

El resultado es una identidad de operador económico verificada, revocable y con validez legal bajo eIDAS2 en los 27 Estados miembro, construida antes de que el Reglamento de Ejecución 2026/1778 la exigiera como requisito del registro del DPP.

¿Qué empresas están obligadas a verificar su identidad bajo el Reglamento (UE) 2026/1778?

Cualquier operador económico (fabricante, importador, distribuidor, representante autorizado o gestor de fin de vida) que deba registrar o consultar un Pasaporte Digital de Producto en el registro central de la Comisión Europea. La obligación se activa categoría de producto por categoría, a medida que el ESPR adopta los actos delegados específicos de cada sector; las baterías industriales y de vehículos eléctricos son la primera, con fecha límite el 18 de febrero de 2027.

¿Es obligatorio usar blockchain para cumplir con el Pasaporte Digital de Producto?

No. Ni el ESPR ni el Reglamento de Ejecución (UE) 2026/1778 exigen una tecnología concreta. Lo que sí exigen es que los datos sean interoperables y transferibles sin dependencia de un proveedor, y que cada operador económico verifique su identidad mediante mecanismos eIDAS. Una red blockchain permisionada es una forma de cumplir ambos requisitos a la vez, no la única posible.

¿Qué es un identificador did:isbe y para qué sirve?

Es el identificador digital descentralizado (DID) que ISBE emite a cada organización que se incorpora a su red, vinculado a un certificado eIDAS cualificado tras un proceso de verificación KYB. Sirve como base de identidad para emitir credenciales verificables, como la credencial LEAR, con validez legal bajo eIDAS2 en los 27 Estados miembro.

¿Qué diferencia hay entre el registro central del DPP y los datos del propio producto?

El registro que gestiona la Comisión Europea funciona como un índice: apunta a dónde está cada pasaporte y verifica quién puede acceder a él. Los datos del producto en sí, según ha confirmado la propia Comisión, se almacenan de forma descentralizada, en los sistemas de cada operador de la cadena de valor, no en un único repositorio central.

¿Cuándo debe empezar a prepararse una empresa de la cadena de valor de un producto sujeto al DPP?

Antes de que llegue el plazo de su categoría de producto. El registro central ya está operativo desde julio de 2026, con entorno de pruebas disponible, y la primera fecha de aplicación real (18 de febrero de 2027, para baterías) deja poco margen si la infraestructura de identidad y trazabilidad no está resuelta con antelación.