Cumplimiento de MiCA para los CASP en 2026

Le contamos lo que necesita saber sobre el cumplimiento de MiCA este año.

El Reglamento relativo a los mercados de criptoactivos (MiCA) está en vigor desde el 30 de diciembre de 2024. El Reglamento sobre la resiliencia operativa digital (DORA) se aplica a los proveedores de servicios de criptoactivos desde el 17 de enero de 2025. Las normas de conocimiento y competencia de ESMA en virtud del artículo 81, apartado 7, de MiCA se aplican desde el 28 de julio de 2026. A finales de 2026, todos los proveedores de servicios de criptoactivos autorizados (CASP) en la Unión Europea habrán sido evaluados conforme a tres pilares de cumplimiento operativo: un conjunto completo de políticas específicas de MiCA, pruebas de que el personal ha sido formado según el estándar requerido y un canal de denuncias operativo que cumpla tres regímenes europeos superpuestos. Esto es lo que significa en la práctica.

Trusty ofrece un canal ético conforme a la Ley 2/2023 para empresas con 50 o más empleados, operativo en minutos.

Por qué el cumplimiento operativo es ahora el cuello de botella

La mayor parte del debate público sobre MiCA se ha centrado en la autorización: quién ha obtenido licencia, dónde y con qué rapidez. El debate más discreto, y el más importante para el próximo año, gira en torno a lo que viene después de la licencia. Los expedientes de autorización incluyen el marco organizativo de la empresa, pero ese marco se pone a prueba cada día por los clientes, las contrapartes y los supervisores. Las autoridades nacionales competentes han comenzado revisiones temáticas. ESMA ha publicado sus primeras directrices, preguntas y respuestas y declaraciones. Las primeras señales de aplicación apuntan en una dirección: las empresas que construyeron desde el primer día un marco de cumplimiento de MiCA ordenado, documentado y multilingüe conservarán su licencia; las empresas que adaptaron políticas de una plantilla MiFID se encontrarán en proceso de subsanación.

Tres pilares operativos definen ahora cómo es un CASP creíble:

1. Un conjunto completo de políticas específicas de MiCA que cubran cada artículo aplicable.
2. Formación del personal que cumpla el estándar de conocimiento y competencia de ESMA, con pruebas documentadas para cada persona.
3. Un canal de denuncias que satisfaga simultáneamente la Directiva europea de protección del denunciante, el artículo 116 de MiCA y el marco normativo de PBC.

El resto de este artículo es una guía práctica sobre los tres.

Pilar uno: el conjunto de políticas de cumplimiento de MiCA que todo CASP necesita

La columna vertebral de gobernanza

El artículo 68 de MiCA es la columna vertebral del marco de cumplimiento. Todo CASP autorizado debe contar con mecanismos de gobernanza sólidos con líneas de responsabilidad claras, coherentes y bien documentadas, procedimientos eficaces para la identificación, gestión, seguimiento y notificación de riesgos, mecanismos adecuados de control interno y un sistema sólido de conservación de registros. El artículo 68, apartado 8, exige explícitamente un plan de cese ordenado de actividades. El artículo 68, apartado 9, exige la conservación de registros en un soporte duradero durante al menos cinco años, ampliable a siete a petición de la autoridad competente. Las normas técnicas de regulación de ESMA adoptadas en virtud del artículo 68, apartado 10, desarrollan el resto.

Los elementos clave, artículo por artículo

En torno al artículo 68, MiCA prescribe un conjunto de áreas de política específicas:

• El artículo 7 y el artículo 66 regulan las comunicaciones comerciales y las comunicaciones con los clientes: imparciales, claras y no engañosas, identificables como comerciales, con advertencias de riesgo prescritas.
• El artículo 70 regula la custodia de los criptoactivos de los clientes y los fondos de los clientes, incluida la segregación, los acuerdos de subcustodia y la información a los clientes.
• El artículo 71 establece el régimen de tramitación de reclamaciones, complementado por las RTS de ESMA adoptadas en virtud del artículo 71, apartado 5.
• El artículo 72 regula los conflictos de intereses, con una revisión anual obligatoria, publicación en el sitio web y atención explícita a las decisiones de admisión de tókenes y la negociación por cuenta propia en plataformas operadas.
• El artículo 73 establece las normas para la externalización, complementadas por las Directrices de la ABE sobre externalización aplicadas por analogía y, para los servicios TIC, por los artículos 28 a 30 de DORA.
• El título VI (artículos 86 a 92) incorpora un régimen de abuso de mercado para criptoactivos y obliga a las empresas a detectar y notificar órdenes y transacciones sospechosas (STOR) en virtud del artículo 92.
• El artículo 66, apartado 5, exige la divulgación en el sitio web de los principales impactos ambientales adversos del mecanismo de consenso de cada criptoactivo para el que el CASP presta servicios, con metodología definida por las RTS adoptadas en virtud del artículo 6, apartado 11.

Los marcos horizontales superpuestos

Además de las obligaciones específicas de MiCA, todo CASP es también:

• Una entidad obligada en virtud del marco de lucha contra el blanqueo de capitales de la UE: Reglamento (UE) 2024/1624 (AMLR), Directiva (UE) 2024/1640 (AMLD6) y Reglamento (UE) 2024/1620 por el que se establece AMLA.
• Sujeto al Reglamento (UE) 2023/1113 (la regla de viaje), en vigor desde el 30 de diciembre de 2024, con normas de verificación para direcciones autocustodiadas superiores a 1.000 EUR.
• Una entidad financiera en virtud de DORA, con obligaciones completas de gestión del riesgo TIC, notificación de incidentes relacionados con las TIC, pruebas de resiliencia operativa digital y riesgo de terceros TIC en virtud de los artículos 28 a 30.

Un conjunto de políticas de MiCA sólido

Un conjunto de políticas CASP creíble cubre, como mínimo: custodia, gobernanza y control interno, abuso de mercado y STOR, gestión del riesgo TIC de DORA y resiliencia operativa, comunicaciones comerciales, cese ordenado de actividades, conflictos de intereses, tramitación de reclamaciones, PBC/FT y regla de viaje, externalización, continuidad del negocio, conservación y retención de registros, divulgación de sostenibilidad en virtud del artículo 66, apartado 5, y un pequeño grupo de políticas de «segunda ola» que las ANC buscan cada vez más, incluida la incorporación de clientes y clasificación de riesgos, operaciones en cuentas personales y admisión de tókenes.

Se aplican dos reglas operativas generales. En primer lugar, redacta las políticas conforme a MiCA, no conforme a una plantilla genérica de servicios financieros: las referencias a artículos y las obligaciones específicas de cada artículo importan y los supervisores las buscan. En segundo lugar, tradúcelas a los idiomas de los Estados miembros a los que prestas servicios, porque el artículo 66 exige comunicaciones imparciales, claras y no engañosas en un idioma que el cliente comprenda.

Pilar dos: formación y la fecha límite del 28 de julio de 2026

Lo que realmente exige el artículo 81, apartado 7, de MiCA

La formación ya no es algo secundario en materia de cumplimiento. El artículo 81, apartado 7, de MiCA, complementado por el Informe Final de ESMA sobre las Directrices sobre determinados aspectos de los requisitos de idoneidad y el formato del estado periódico para las actividades de gestión de carteras en virtud de MiCA (publicado el 22 de mayo de 2025, aplicable desde el 28 de julio de 2026), exige que los CASP que presten asesoramiento sobre criptoactivos o gestión de carteras garanticen, y puedan demostrar a la autoridad competente previa solicitud, que las personas físicas que presten asesoramiento sobre criptoactivos o servicios de criptoactivos, o que proporcionen información al respecto, posean los conocimientos y la competencia necesarios.

Los dos niveles que ESMA espera que apliques

Las directrices de ESMA dividen al personal en dos niveles:

• El nivel de Información cubre al personal que proporciona a los clientes información sobre criptoactivos, servicios de criptoactivos, costes o riesgos, pero que no proporciona recomendaciones personalizadas. Esto incluye equipos de incorporación, atención al cliente, ventas, gestión de cuentas, revisores de textos comerciales, revisores de KYC, gestores de reclamaciones y soporte de negociación.
• El nivel de Asesoramiento cubre al personal que proporciona recomendaciones personalizadas o que gestiona carteras. El nivel de conocimiento y competencia es más alto y los requisitos de documentación más estrictos.

Para ambos niveles, la empresa debe demostrar que cada persona dentro del ámbito de aplicación posee los conocimientos y la competencia requeridos. En la práctica, esto significa una evaluación inicial en el momento de la contratación, un módulo de formación completado, una evaluación documentada con una nota de aprobado, formación de actualización al menos anual, supervisión continua en los primeros meses de un nuevo puesto y registros a nivel individual que cubran todo el proceso. A partir del 28 de julio de 2026, los supervisores esperarán ver esos registros a petición.

Formación más allá del artículo 81, apartado 7

La misma disciplina de formación respalda el marco más amplio de MiCA:

• Los mecanismos de gobernanza del artículo 68 exigen que el personal tenga conocimientos suficientes de la empresa.
• El título VI sobre abuso de mercado exige que el personal en funciones de negociación, vigilancia y productos reconozca señales de alerta y las comunique para su posible notificación como STOR.
• El artículo 13, apartado 6, de DORA exige programas de sensibilización sobre seguridad TIC y formación en resiliencia operativa digital para todo el personal.
• El artículo 12 de AMLR y el marco normativo de PBC exigen formación en PBC/FT adaptada a cada función, incluidas las normas operativas de la regla de viaje: información del ordenante y del beneficiario, el umbral de 1.000 EUR y la verificación de direcciones autocustodiadas.

Un catálogo de formación CASP práctico

Un catálogo de formación CASP práctico incluye, por tanto, al menos: fundamentos de MiCA como base para todo el personal; el Conocimiento y Competencia de ESMA (nivel de Información), y el nivel de Asesoramiento para las empresas que asesoran o gestionan carteras; un módulo de abuso de mercado de criptoactivos y STOR; DORA y resiliencia operativa TIC; custodia de criptoactivos de clientes; y formación en PBC, sanciones y regla de viaje.

Pilar tres: denuncia en virtud de tres regímenes a la vez

Por qué un solo canal ya no es suficiente

Es en el canal de denuncias donde muchos CASP subestiman la exigencia regulatoria. Un solo canal debe satisfacer tres regímenes europeos superpuestos.

El primero es la Directiva (UE) 2019/1937, la Directiva europea de protección del denunciante, transpuesta por cada Estado miembro. Se aplica horizontalmente a las entidades jurídicas del sector privado con 50 o más trabajadores, con un umbral inferior para las entidades de servicios financieros. Exige un canal interno de denuncias que permita denuncias confidenciales (y, en muchas transposiciones, denuncias anónimas), acuse de recibo en un plazo de siete días, proporcione información en un plazo de tres meses, proteja a los denunciantes de represalias y ofrezca un canal externo a través de la autoridad competente. Los CASP están claramente dentro del ámbito de aplicación.

El segundo es el artículo 116 de MiCA («Notificación de infracciones y protección de las personas que notifican infracciones»). Exige que los Estados miembros garanticen que las autoridades competentes establezcan mecanismos eficaces para permitir y fomentar la notificación de infracciones reales o potenciales de MiCA, y exige que los CASP autorizados y otras entidades jurídicas afectadas dispongan de procedimientos internos adecuados para que sus empleados y personas en situación comparable notifiquen infracciones a través de un canal específico, independiente y autónomo. Las protecciones incluyen estricta confidencialidad de la identidad, protección contra la discriminación o el trato injusto y prohibición de cláusulas contractuales que impidan la notificación.

El tercero es el marco normativo de PBC. En virtud de AMLD6 (Directiva (UE) 2024/1640), las entidades obligadas deben establecer procedimientos internos para la notificación de infracciones de las obligaciones de PBC/FT a través de un canal específico, independiente y anónimo. AMLA, establecida por el Reglamento (UE) 2024/1620, coordinará cada vez más estos canales de notificación a nivel europeo.

Lo que debe hacer un canal preparado para CASP

Un solo canal CASP que cumpla los tres regímenes debe:

• Aceptar denuncias de infracciones de MiCA, infracciones de PBC/FT e infracciones legales generales.
• Permitir denuncias por escrito y oralmente, con la opción de anonimato.
• Dirigir las denuncias a una persona o función imparcial designada con autoridad para investigar.
• Acusar recibo en un plazo de siete días y proporcionar información al denunciante en un plazo de tres meses.
• Proteger la identidad del denunciante con controles de acceso estrictos y barreras de información.
• Prohibir represalias de cualquier forma y proporcionar una vía de escalada a la autoridad competente y, cuando proceda, a la unidad de inteligencia financiera.
• Conservar registros durante el período exigido por la legislación nacional aplicable.
• Estar gestionado por personal formado conforme a procedimientos documentados, porque el supervisor pedirá ver cómo se gestionó un caso específico.

La forma más sencilla de fracasar es mantener un canal ético genérico que se estableció en virtud de la Directiva europea de protección del denunciante en 2022 y nunca se reevaluó conforme al artículo 116 de MiCA o AMLD6. La próxima empresa en obtener la autorización será la que pueda demostrar, en una sola página, cómo su canal se corresponde con cada uno de los tres regímenes.

Una lista de verificación práctica de cumplimiento de MiCA para 2026

Antes del 28 de julio de 2026, un CASP creíble puede demostrar:

• Un conjunto de políticas completo y específico de MiCA que cubra al menos las trece áreas principales anteriores, más políticas de segunda ola relevantes para sus servicios, traducidas a los idiomas de los Estados miembros a los que presta servicios.
• Un programa de formación que cumpla el estándar de Conocimiento y Competencia de ESMA en el nivel de Información, y en el nivel de Asesoramiento cuando proceda, con registros individuales de evaluación, finalización y actualización.
• Formación para todo el personal sobre fundamentos de MiCA, abuso de mercado, DORA, custodia y la superposición de PBC/regla de viaje.
• Un canal de denuncias correspondiente a la Directiva europea de protección del denunciante, el artículo 116 de MiCA y AMLD6, con procedimientos documentados, gestores formados y registros de auditoría.
• Una pista de auditoría (acuses de recibo, finalizaciones, certificaciones, expedientes de casos, historial de versiones) que pueda presentarse a petición de la autoridad competente.

Ese es el mínimo, no el objetivo.

Cómo ayuda el MiCA Booster Pack de Trusty

Si prefieres no construir todo esto desde cero, el MiCA Booster Pack de Trusty está diseñado para hacer la mayor parte del trabajo por usted. Ofrece 17 políticas nativas de MiCA y 11 documentos de formación listos para usar, todos disponibles en seis idiomas (inglés, alemán, italiano, español, francés y portugués), redactados por expertos en cumplimiento normativo conforme a MiCA, la regla de viaje, AMLR, AMLD6, DORA y las directrices de la ESMA. Se ejecuta en la plataforma Trusty Compliance, con un registro de auditoría integrado de aceptación de políticas y finalización de formaciones, un flujo de trabajo de gestión de reclamaciones alineado con el artículo 71 y un canal de denuncias adaptado a la Directiva europea de protección del denunciante, el artículo 116 de MiCA y la AMLD6.

El precio es de 1.900 € al año, más del 40 % por debajo del precio de venta al público de los componentes. Los CASP que adoptan el paquete suelen estar listos para la autorización en días en lugar de meses.

Para ver cómo encajaría en su marco de cumplimiento, visite trusty.report o escribe a sales@trusty.report.

Descargo de responsabilidad: este artículo se publica con fines informativos generales y no constituye asesoramiento jurídico. Cuando MiCA, la regla de viaje, AMLR, AMLD6, DORA o las directrices de ESMA se apliquen a su situación específica, consulta a un asesor cualificado en los Estados miembros donde operes.