Las tres preguntas que deciden la respuesta, y por qué la autorización no es un trámite sino la condición de que haya alguien a quien demandar.
El 1 de julio de 2026 terminó el régimen transitorio en España. Hasta esa fecha, quien figuraba el 30 de diciembre de 2024 en el registro de proveedores de servicios de cambio de moneda virtual del Banco de España podía seguir prestando sus servicios mientras tramitaba la autorización. Desde entonces, en palabras de la propia CNMV, solo pueden operar en España proveedores autorizados por la CNMV u otras autoridades europeas. La pregunta ha dejado de ser prospectiva.
Y sigue mal formulada. Quien pregunta si necesita una licencia CASP suele estar describiendo su empresa —«somos una plataforma», «solo damos infraestructura», «no tocamos el dinero del cliente»— cuando el Reglamento (UE) 2023/1114 no pregunta qué eres, sino qué haces. Hay diez servicios tasados, y basta uno.
Lo que la norma enumera
El artículo 3.1.16) define como servicios de criptoactivos la custodia y administración de criptoactivos por cuenta de clientes; la gestión de una plataforma de negociación; el intercambio de criptoactivos por fondos; el intercambio de criptoactivos por otros criptoactivos; la ejecución de órdenes por cuenta de clientes; la colocación de criptoactivos; la recepción y transmisión de órdenes por cuenta de clientes; el asesoramiento sobre criptoactivos; la gestión de carteras de criptoactivos; y la prestación de servicios de transferencia de criptoactivos por cuenta de clientes.
Conviene leer esa lista dos veces, porque tres de sus entradas atrapan a quien creía estar fuera. Transferencia por cuenta de clientes alcanza a quien mueve activos ajenos aunque no los custodie en sentido contable. Recepción y transmisión de órdenes alcanza a quien solo enruta. Y asesoramiento no exige contrato de asesoría: alcanza a quien recomienda un criptoactivo concreto a un cliente concreto, por mucho que la pantalla diga que no es consejo de inversión.
Primera pregunta: ¿presto uno de los diez servicios a terceros?
Si la respuesta es sí, el artículo 59.1 cierra el paso: nadie puede prestar servicios de criptoactivos en la Unión salvo que sea una persona jurídica autorizada conforme al artículo 63 o una de las entidades financieras del artículo 60. No hay tercera vía, y el 59.2 añade dos exigencias que suelen sorprender: el domicilio social ha de estar en un Estado miembro en el que se preste al menos parte de los servicios, la dirección efectiva ha de radicar en la Unión y al menos un administrador debe residir en ella.
La única salida genuina es la del considerando 22: cuando los servicios se prestan de forma totalmente descentralizada y sin intermediario alguno, quedan fuera del Reglamento. Pero «totalmente» significa totalmente. Si hay una sociedad que cobra comisiones, una interfaz que alguien mantiene, unas claves de administración que alguien conserva o un equipo que puede detener el protocolo, hay intermediario. La descentralización es una cuestión de hecho, no de narrativa.
Segunda pregunta: ¿soy ya una entidad financiera regulada?
Si lo es, el artículo 60 sustituye la autorización por una notificación. Las entidades de crédito pueden prestar servicios de criptoactivos; los depositarios centrales de valores, custodia y administración; las empresas de servicios de inversión, los servicios equivalentes a aquellos para los que estén habilitadas; las entidades de dinero electrónico, custodia y transferencia pero únicamente respecto de las fichas de dinero electrónico que ellas mismas emitan; las gestoras de OICVM y los GFIA, lo equivalente a gestión de carteras y servicios accesorios; y los organismos rectores del mercado, la gestión de una plataforma de negociación.
La notificación no es un formalismo. Debe presentarse al menos cuarenta días hábiles antes de la primera prestación y acompañarse de programa de actividades, controles internos de prevención del blanqueo, marco de evaluación de riesgos, plan de continuidad, documentación técnica de los sistemas, descripción de la segregación de activos y fondos de clientes y, según el servicio, política de custodia, reglas de funcionamiento de la plataforma, política comercial y de precios, política de ejecución o acreditación de la competencia del personal.
Tercera pregunta: ¿soy una empresa de tercer país que confía en la iniciativa del cliente?
Aquí está la trampa más repetida. El artículo 61.1 exime de autorización cuando el cliente establecido en la Unión inicia por su exclusiva iniciativa la prestación del servicio. Pero el segundo párrafo precisa que si la empresa capta clientes o clientes potenciales en la Unión —por cualquier medio de comunicación, a efectos de captación, promoción o publicidad— el servicio no se considera prestado por iniciativa exclusiva del cliente. Y el tercer párrafo remata: eso se aplica con independencia de cualquier cláusula contractual o exención de responsabilidad que declare lo contrario.
Es decir: la cláusula que todo el mundo incluye no sirve. Ninguna redacción convierte en iniciativa del cliente lo que fue captación. El 61.2 añade que la iniciativa del cliente tampoco habilita a comercializarle después nuevos tipos de criptoactivos o servicios.
Lo que cuesta, si la respuesta es que sí
El artículo 67 exige salvaguardias prudenciales permanentes por el importe mayor de dos: el capital mínimo del anexo IV o una cuarta parte de los gastos fijos generales del ejercicio anterior. El anexo IV fija tres clases: 50.000 euros para ejecución de órdenes, colocación, transferencia, recepción y transmisión de órdenes y asesoramiento o gestión de carteras; 125.000 euros si además hay custodia e intercambio; y 150.000 euros si se gestiona una plataforma de negociación. Pueden cubrirse con fondos propios de nivel 1 ordinario, con un seguro o garantía comparable, o con una combinación.
Los plazos del artículo 63 son veinticinco días hábiles para el examen de integridad y cuarenta días hábiles desde la solicitud completa para la evaluación, con suspensión de hasta veinte días hábiles si se requiere información. Súmese el tiempo real de preparar el expediente y la cifra honesta no es la del Reglamento.
Por qué esto no es un asunto de cumplimiento
Desde donde nosotros lo miramos, la autorización no es una etiqueta regulatoria: es la condición de que exista alguien a quien demandar.
Un laudo que ordena la entrega o la restitución de criptoactivos necesita, antes que nada, un deudor identificado y localizable. Eso es lo que da la autorización. El artículo 59.2 exige domicilio social en un Estado miembro en el que se preste al menos parte de los servicios, dirección efectiva en la Unión y al menos un administrador residente en ella: es decir, un lugar donde emplazar y donde ejecutar. El artículo 67 añade recursos propios mínimos permanentes, que es lo que distingue a un deudor solvente de una sociedad vacía.
Conviene precisar aquí lo que el Reglamento no dice, porque se confunde a menudo. MiCA no establece un régimen general de responsabilidad de cualquier proveedor autorizado por el incumplimiento de un laudo. El artículo 75 regula únicamente uno de los diez servicios —la custodia y administración de criptoactivos por cuenta de clientes— y su apartado 8 hace responder al custodio frente a sus clientes por la pérdida de los criptoactivos o de los medios de acceso cuando el incidente le sea atribuible, con el límite del valor de mercado del criptoactivo al tiempo de la pérdida y con exclusión de los incidentes ajenos a su actividad. Es un régimen de custodia, no una garantía de ejecución. Frente a un proveedor autorizado que no custodia, el acreedor del laudo tiene enfrente a una persona jurídica supervisada y localizable, no una acción específica de responsabilidad.
Lo cual no rebaja la importancia de la autorización: la coloca en su sitio. Lo que aporta no es la garantía del cobro, sino la condición previa de cualquier cobro, que es saber contra quién y dónde. Frente a un proveedor no autorizado, el laudo es correcto y la ejecución se convierte en un ejercicio de localización.
La autorización, por tanto, importa en dos direcciones. Importa a quien la necesita, porque operar sin ella es ilícito. Y debería importar a quien contrata el servicio, porque es lo que determina si, el día en que algo salga mal, tendrá delante una persona jurídica supervisada o una dirección de correo.
Y una última observación, de oficio. «No necesito licencia» rara vez es una conclusión jurídica. Casi siempre es la descripción de un modelo de negocio que todavía no se ha cambiado.
Nota de interés institucional: BACS (Blockchain Arbitration & Commerce Society) es una institución arbitral sin ánimo de lucro inscrita en el Registro de Transparencia de la Unión Europea con el número 9106897105368-14. Este análisis no constituye asesoramiento jurídico sobre un caso concreto.
Fuentes: Reglamento (UE) 2023/1114, artículos 3.1.16), 59, 60, 61, 63, 67 y 75.8, anexo IV y considerando 22; CNMV, «Nueva regulación de criptoactivos — Reglamento MiCA» y preguntas y respuestas de 15 de diciembre de 2025.
