Regulación de criptoactivos y tokenización en España

En España, una empresa que quiere emitir un activo digital o prestar servicios sobre él debe situar su proyecto dentro de un marco europeo y nacional. El Reglamento europeo sobre los mercados de criptoactivos, conocido como MiCA, establece reglas comunes para los activos y servicios comprendidos en su ámbito. Por su parte, los tokens que tienen la consideración de instrumentos financieros se encuadran en la normativa de los mercados de valores.

Esta distinción determina qué requisitos hay que estudiar. Una emisión de bonos representados mediante tokens, una plataforma de intercambio de criptoactivos y un servicio de pagos pueden necesitar vías regulatorias diferentes. Para entender el marco español conviene comenzar por dos preguntas: qué derecho recibe el titular del activo y qué actividades va a realizar cada empresa que participa en el proyecto. A partir de ahí pueden identificarse las autoridades, las autorizaciones y las obligaciones aplicables.

Qué normativa se aplica según el activo y la actividad

MiCA, Reglamento (UE) 2023/1114, es una norma de la Unión Europea que se aplica en España. Regula, dentro de su ámbito, las ofertas de criptoactivos, su admisión a negociación y los servicios prestados a clientes. Por eso, al estudiar un proyecto, hay que separar la posición de quien emite u ofrece el activo de la de quien lo custodia, lo intercambia o presta asesoramiento sobre él.

La primera comprobación es si el token tiene la condición de instrumento financiero. Por ejemplo, si representa una acción o un bono que reúne esa condición, su tratamiento corresponde al marco europeo de mercados de instrumentos financieros, conocido como MiFID II, y a la legislación española de mercados de valores. El artículo 2 de MiCA excluye estos instrumentos de su ámbito. Su representación digital no cambia por sí sola esa clasificación.

Dentro de MiCA también existen categorías con reglas distintas. Las fichas de dinero electrónico, o EMT por sus siglas en inglés, buscan mantener un valor estable referido a una moneda oficial. Las fichas referenciadas a activos, o ART, persiguen esa estabilidad mediante otras referencias, incluidos conjuntos de activos o derechos, y no son EMT. El reglamento diferencia ambas categorías de los restantes criptoactivos que cubre. Estas definiciones legales importan más que la denominación comercial de «stablecoin».

En la práctica, esta clasificación debe quedar reflejada en las funciones de cada empresa. Por ejemplo, desarrollar el contrato inteligente de una emisión no equivale por sí solo a custodiar activos de clientes. Si el proveedor conserva claves que le permiten controlar esos activos o ejecuta órdenes por cuenta del cliente, hay que examinar los servicios que realmente presta. El contrato, los permisos técnicos y la operativa deben describir el mismo reparto de responsabilidades.

Qué supervisan la CNMV y el Banco de España

Una vez identificado el marco aplicable, hay que determinar la autoridad competente. En España, el reparto depende del activo y de la actividad. La Comisión Nacional del Mercado de Valores, o CNMV, interviene tanto en el ámbito de los mercados de valores como en la autorización y supervisión de los proveedores de servicios de criptoactivos que le corresponden. La existencia de un mismo supervisor no convierte ambas vías en una autorización única.

El Banco de España tiene competencias sobre los emisores de ART y EMT, sin perjuicio de las atribuidas a las autoridades europeas. También interviene en el ámbito de los servicios de pago. Esta segunda función resulta relevante cuando un modelo utiliza fichas de dinero electrónico para realizar pagos, porque puede exigir analizar conjuntamente MiCA y la normativa de pagos.

La prevención del blanqueo de capitales y de la financiación del terrorismo tiene su propio ámbito de supervisión. El SEPBLAC es la unidad de inteligencia financiera española y autoridad supervisora en esta materia. Su intervención debe distinguirse de la autorización de servicios por la CNMV o el Banco de España; obtener esa autorización no sustituye las obligaciones de prevención que correspondan a la entidad.

Al seleccionar un intermediario, conviene comprobar la entidad jurídica que firmará el contrato y los servicios para los que está habilitada. La licencia de otra sociedad del grupo o la notoriedad de la marca no bastan para acreditar la habilitación de esa entidad. La consulta de los registros permite relacionar el permiso con la función que desempeñará en el proyecto.

Qué requisitos necesita cumplir un proyecto para operar

Para prestar profesionalmente servicios de criptoactivos comprendidos en MiCA, la figura habitual es el proveedor de servicios de criptoactivos, conocido como CASP por sus siglas en inglés. El artículo 59 establece la exigencia de habilitación; la autorización se concede conforme al artículo 63 y especifica los servicios permitidos. Custodia, canje, ejecución de órdenes, asesoramiento y gestión de carteras son actividades distintas. Una plataforma debe comprobar que su permiso cubre cada una de las que realiza.

También existe una vía para determinadas entidades financieras ya reguladas. El artículo 60 les permite prestar los servicios que correspondan a su categoría, cumpliendo las condiciones y la notificación exigidas. Por tanto, el expediente de un nuevo proveedor y el de una entidad financiera existente pueden seguir procedimientos diferentes. La autorización CASP tampoco resuelve por sí sola los requisitos de emitir un activo ni los de prestar servicios de inversión sobre instrumentos financieros.

Quien ofrece un criptoactivo al público tiene obligaciones distintas. Para los criptoactivos que no son ART ni EMT, el artículo 4 contempla, como regla general, elaborar, notificar y publicar un libro blanco, además de cumplir las reglas de comercialización y conducta. Existen excepciones que dependen de la oferta. El libro blanco describe el proyecto, los derechos y los riesgos; su notificación no equivale a una aprobación previa del supervisor, conforme al artículo 8.3.

Para ART y EMT cambian los requisitos del emisor. El artículo 16 prevé para los ART una autorización específica o la vía aplicable a entidades de crédito, con excepciones delimitadas. Para los EMT, el artículo 48 exige, como regla general, que el emisor esté autorizado como entidad de crédito o de dinero electrónico, además de notificar y publicar el libro blanco. Una autorización CASP de custodia o intercambio no habilita por sí sola para emitir estas fichas.

El cambio respecto del antiguo sistema español es relevante para quien compare proveedores o documentación histórica. Según la CNMV, desde el 1 de julio de 2026 ha terminado el periodo transitorio. La antigua inscripción del Banco de España ya no permite continuar por sí sola la prestación de servicios. La operativa en otros Estados miembros requiere, además, el procedimiento transfronterizo del artículo 65 de MiCA, dentro del alcance de la habilitación. La CNMV ha publicado un manual para la solicitud de autorización y un modelo de notificación para entidades financieras, que conviene revisar antes de preparar el expediente.

Los pagos con EMT requieren una comprobación adicional. PSD2 es la segunda Directiva europea de servicios de pago. El Banco de España recuerda que los proveedores afectados necesitan examinar también esa autorización. Su comunicación de marzo de 2026 remite a los dictámenes de la Autoridad Bancaria Europea de junio de 2025 y febrero de 2026. El plazo del 2 de marzo correspondía a solicitudes de quienes ya prestaban esos servicios; las condiciones para continuar deben comprobarse según el supuesto, sin presumir una dispensa permanente.

Cómo se articula la tokenización de valores en España

Cuando el proyecto consiste en representar valores negociables mediante tokens, la cuestión central es cómo se crean, registran y transmiten los derechos del inversor. Los artículos 5 a 8 de la Ley 6/2023 de los Mercados de Valores y de los Servicios de Inversión contemplan su representación mediante tecnología de registros distribuidos, denominada TRD en español y DLT en inglés. La emisión debe contar con documentación que determine las características de los valores y el funcionamiento de su registro.

Por ejemplo, en una emisión de bonos tokenizados hay que definir el emisor, la obligación de devolver el principal, los intereses y las restricciones de transmisión. La empresa emisora no se convierte por ese solo hecho en una empresa de servicios de inversión; deben analizarse aparte la colocación, el asesoramiento o la negociación que realicen los intermediarios. Si el proyecto está vinculado a un inmueble, el token puede representar un crédito u otro derecho contractual sin atribuir automáticamente su propiedad. El análisis de MiFID II y tokenización desarrolla esta distinción.

La entidad responsable de la inscripción y del registro, o ERIR, administra el registro de valores y la identificación de sus titulares. Para valores no negociados en infraestructuras DLT, las preguntas y respuestas de la CNMV exigen una entidad habilitada para la custodia de valores. Conforme a la Ley 6/2023, puede asumir esa función una entidad de crédito, una sociedad de valores o una agencia de valores autorizada para la custodia del artículo 126.a), con la inscripción correspondiente en el registro de ERIR del Real Decreto 815/2023. ERIR designa una función, no una categoría autónoma de entidad financiera ni una aprobación económica de la emisión. Nuestra guía sobre la ERIR en España explica ese papel y su relación con el emisor.

Si el proyecto incluye una infraestructura de negociación o liquidación, debe analizarse asimismo el Régimen Piloto DLT europeo, que prevé permisos y posibles exenciones para determinadas infraestructuras. España ya cuenta con un sistema de negociación y liquidación autorizado por la CNMV bajo ese régimen, de modo que existe una vía de mercado secundario; en los valores admitidos en esas infraestructuras, la responsabilidad de las funciones de la ERIR recae en la propia infraestructura autorizada, no en una entidad separada. El sandbox español de la Ley 7/2020 cumple otra función: permite pruebas delimitadas bajo un protocolo. Su artículo 4.2 establece que acceder a ese espacio de pruebas no autoriza a iniciar la actividad o prestar servicios indefinidamente.

Qué obligaciones continúan después de la autorización

El cumplimiento debe incorporarse a la operativa cotidiana. Según el servicio, será necesario organizar la custodia, atender reclamaciones, gestionar conflictos de interés y mantener la continuidad del negocio. Para diseñar el producto, esto exige asignar responsabilidades entre las entidades que intervienen y reflejarlas en contratos y procedimientos. Externalizar una función tecnológica o contratar un custodio requiere comprobar qué obligaciones conserva cada parte.

La Ley 10/2010 establece las obligaciones de prevención del blanqueo de capitales y de la financiación del terrorismo. Desde el 1 de octubre de 2026, la reforma del Real Decreto-ley 25/2026 sustituye la antigua letra z) del artículo 2, referida a los proveedores de cambio de moneda virtual y custodia de monederos, por los proveedores de servicios de criptoactivos, con la definición de su artículo 1.6, que excluye el servicio de asesoramiento.

Esa exclusión no descarta que una entidad quede sujeta por otras actividades. Como el artículo 2.4 considera entidades financieras a los sujetos de la letra z), esa calificación alcanza ahora a estos proveedores. La reforma ajusta además la corresponsalía del artículo 13 y el régimen sancionador. Debe comprobarse el encaje de cada empresa en el artículo 2 y, al tratarse de un real decreto-ley, seguir su convalidación parlamentaria.

Para una entidad sujeta, identificar al cliente es solo una parte del trabajo. Debe identificar también al titular real, conocer la finalidad de la relación, seguir las operaciones y aplicar controles internos adecuados al riesgo. Los artículos 17 y 18 regulan el examen especial y la comunicación al SEPBLAC cuando existan indicios. En una plataforma, esto exige asignar quién revisa las alertas, documenta las decisiones y realiza las comunicaciones; contratar una herramienta de verificación no resuelve por sí solo esas responsabilidades.

La identificación de clientes y el seguimiento de operaciones también deben contemplar los movimientos de activos. El Reglamento (UE) 2023/1113 exige que las transferencias comprendidas en su ámbito vayan acompañadas de información sobre el ordenante y el beneficiario. Esta obligación, conocida como Travel Rule, incluye condiciones específicas para las transferencias relacionadas con direcciones autoalojadas. Por eso el diseño del servicio debe prever qué información se obtiene y cómo se transmite.

Al cumplimiento financiero se sumará el tributario. La directiva europea de cooperación administrativa aplicable a los criptoactivos, conocida como DAC8, debía estar transpuesta antes del 31 de diciembre de 2025. En España, el proyecto de ley estatal que la incorporaba caducó el 6 de octubre de 2026 sin llegar a aprobarse, y solo Navarra la ha incorporado a su régimen foral. Conviene seguir su nueva tramitación, porque afectará al alta de clientes y a los sistemas de registro.

En el plano tecnológico, el Reglamento de resiliencia operativa digital, DORA, establece para las entidades sujetas requisitos de gestión del riesgo, notificación de incidentes y control de proveedores de tecnologías de la información y la comunicación. Una auditoría de contratos inteligentes puede formar parte del trabajo técnico, pero cubre solo una parte de estas obligaciones. Del mismo modo, una autorización no garantiza la recuperación del capital invertido ni la idoneidad del producto para cualquier cliente.

El Real Decreto 813/2026, publicado el 8 de octubre, modifica además el reglamento de prevención del blanqueo. Incluye la identificación y comprobación de identidad en todas las operaciones realizadas en criptocajeros, sin el umbral de importe que rige para otras operaciones ocasionales, y ajusta las condiciones de identificación no presencial. Su entrada en vigor general está fijada para el 28 de octubre de 2026; los cambios relativos al uso de medios de identificación electrónica se aplicarán dieciocho meses después de su publicación. La operativa afectada debe incorporar ambos plazos a su calendario de adaptación.

Qué conviene definir antes de iniciar un proyecto

Antes de solicitar asesoramiento, conviene preparar una descripción del derecho que incorporará el token, la entidad que lo emite y el público al que se ofrecerá. También debe quedar claro quién recibirá los fondos, quién controlará las claves y cómo se ejecutarán las transmisiones. Con esa información puede distinguirse qué obligaciones corresponden al emisor, cuáles a los intermediarios y qué funciones puede asumir el proveedor tecnológico. Si cambia alguna de esas decisiones, puede cambiar también el análisis regulatorio.

Esta guía orienta ese análisis inicial. La tributación de la operación, la documentación completa de una emisión y las condiciones particulares de cada autorización necesitan una evaluación específica. Las fuentes oficiales enlazadas permiten comprobar las reglas expuestas; el capítulo de España de Chambers 2026 aporta una lectura profesional complementaria. Conviene seguir también la revisión europea en curso: la Comisión presentó el 4 de diciembre de 2025 una propuesta de reglamento, COM(2025) 943, que reformaría el régimen piloto DLT y trasladaría a ESMA la autorización y supervisión de los proveedores de servicios de criptoactivos, salvo entidades de crédito y entidades del artículo 60. Es una propuesta en tramitación, no derecho vigente. El siguiente paso es contrastar el modelo concreto y sus contratos antes de abrir la operativa a clientes.

Para analizar cómo se aplica este marco a tu proyecto, consulta tu caso con nuestro equipo.