• Emisores de tokens utility (ICOs, Launchpads…etc)
• Emisores de stablecoins
• Emisores de E-money tokens
• Prestadores de servicios de criptoactivos, entre los cuales se ecuentran:
  • La custodia y administración de criptoactivos por cuenta de clientes
  • La gestión de una plataforma de negociación de criptoactivos
  • EL canje de criptoactivos por fondos
  • El canje de criptoactivos por otros criptoactivos
  • La ejecución de órdenes relacionadas con criptoactivos por cuenta de clientes
  • La colocación de criptoactivos
  • La recepción y transmisión de órdenes relacionadas con criptoactivos por cuenta de clientes
  • La gestión de carteras de criptoactivos
  • La prestación de servicios de transferencia de criptoactivos por cuenta de clientes.

MiCA entró en vigor el 29 de junio de 2023, pero su contenido no es exigible desde entonces. Al contrario, los distintos títulos serán exigibles en fechas distintas en función del tipo de sujeto obligado al que afecta.

Para los emisores de Stablecoins (asset backed tokens) y los E-Money tokens (fichas de dinero electrónico), la fecha de aplicación efectiva es el 30 de junio de 2024.

Para el resto, es necesario tener presente lo siguiente:

• Existe un periodo de transición o “grandfathering”: en virtud del artículo 143(3) se concede a las autoridades responsables de la aplicación y supervisión de MiCA, en este caso la CNMV, el uso de un periodo de transición de hasta 18 meses. Dicho periodo, de ser usado, permitiría a las empresas proveedoras de servicios de criptoactivos (CASPs) seguir prestando servicios, sin la autorización del Reglamento, hasta junio de 2026. España ha decidido hacer uso de 12 meses, por lo que será exigible la normativa en diciembre de 2025.
• Posibilidad de aplicación de “procedimientos simplificados” para Proveedores de Servicios de Criptoactivos: está recogido en el artículo 143(6) del Reglamento MiCA, y permite a los Estados Miembros aplicar un procedimiento simplificado a los proveedores de servicios criptoactivos que, antes del 30 de diciembre de 2024, estuvieran autorizados conforme al régimen nacional. No obstante, lo que se exige es que ese régimen nacional sea equiparable en obligaciones, al que tiene MiCA. Es decir, no es aceptable el que tienen actualmente casi todos los países de la UE basado en un sistema de registros, a efectos de blanqueo de capitales.

Las obligaciones que deberán cumplir los distintos sujetos para que su solicitud de autorización para operar en los mercados europeos sea aprobada son distintas y variadas, sobre todo en virtud del modelo de negocio que operen. Entre ellas, se encuentran:

• Obligaciones de actuación imparcial, honesta y profesional.
• Requisitos prudenciales de fondos propios
• Requisitos de Gobernanza, honorabilidad, conocimientos y competencias demostrables del órgano de dirección
• Obligación de información a autoridades
• Obligación de guardia y custodia
• Obligación de tramitación de reclamaciones
• Obligación de gestión de conflictos de interés
• Obligación de establecimiento de planes de liquidación ordenada y limitaciones a la externalización del servicio

Este es el flujo de trabajo que ha aprobado provisionalmente la EBA y ESMA para llevar a cabo el test estandarizado sobre la calificación de un token dentro del mercado europeo.

En concreto, el Reglamento DORA es de aplicación a las siguientes entidades:

Entidades de crédito. Entidades de pago. Proveedores de servicios de información sobre cuentas. Entidades de dinero electrónico. Empresas de servicios de inversión. Proveedores de servicios de criptoactivos (autorizados en el marco del Reglamento MiCA). Depositarios centrales de valores.

Entidades de contrapartida central. Centros de negociación. Registros de operaciones. Gestores de fondos de inversión alternativos. Sociedades de gestión. Proveedores de servicios de suministro de datos. Empresas de seguros y de reaseguros. Intermediarios de seguros, reaseguros y seguros complementarios. Fondos de pensiones de empleo. Agencias de calificación crediticia. Administradores de índices de referencia cruciales. Proveedores de servicios de financiación participativa. Registros de titulizaciones. Proveedores terceros de servicios de tecnologías de la información y la comunicación.

Ya está en vigor – tenemos hasta el 17 de enero de 2025 para adaptarnos, porque a partir de esa fecha será aplicable.

La finalidad de DORA es crear unos requisitos que permitan a los sujetos obligados de la misma, construir, asegurar y revisar su integridad y fiabilidad operativa asegurando, directa o indirectamente, mediante el uso de servicios prestados por proveedores terceros de servicios de tecnologías de la información, toda la gama de capacidades relacionadas con las TIC necesarias para preservar la seguridad de las redes y los sistemas de información.

Para ello, se deberá entre otros requisitos:

• disponer de un marco interno de gobernanza y control que garantice una gestión efectiva y prudente del riesgo relacionado con las TIC y
• establecer un régimen de notificaciones de incidentes graves relacionados con las TIC a las autoridades competentes.

A pesar de que en algunos puntos se tratan de unas directrices algo amplias, van dirigidas en especial a los Crypto-asset services providers (CASPs) y a aquellos servicios que conlleven transacciones desde o hacia direcciones autogestionadas o plataformas descentralizadas.

En los próximos meses estas nuevas directrices serán traducidas a los distintos idiomas de la Unión Europea y se dará un plazo para la revisión por parte de las autoridades de cada país miembro. Se espera que estas directrices entren en vigor el 30 de diciembre de 2024.

Sistema de riesgos en función de:

Productos, servicios y transacciones:

• Productos o servicios que ofrezcan un mayor grado de anonimato.
• Que se permitan transacciones hacia o desde direcciones autogestionadas o que hayan pasado por mixers o tumblrs.
• Aquellos servicios donde no se establezca ningún límite respecto al volumen total o el valor de las operaciones.

Todo análisis de riesgos debe partir de una política de riesgos interna adaptada a las particularidades del negocio.

En función del cliente:

Todo análisis de riesgos debe tener en cuenta dos factores principales: la naturaleza del cliente (si es persona física o jurídica, si es de reciente creación, su volumen de negocio, etc.) y el comportamiento del cliente, donde se requiere un análisis por parte del sujeto obligado para determinar el riesgo de sus operaciones. Comportamientos que incrementan el riesgo:

• Que el cliente utilice una gran variedad de métodos de pago para sus operaciones con criptoactivos.
• Que haya una falta de consistencia entre los medios de pagos utilizados y el tipo de actividad que desarrolla.
• Que utilice cajeros de criptoactivos situados en diferentes localizaciones.

En función de criterios geográficos o internacionales.

Principalmente se deben tener en cuenta el origen y/o destino de las operaciones, así como de los clientes, en especial a si proceden de territorios que tengan asignado un riesgo alto en materia de prevención del blanqueo de capitales y de financiación del terrorismo o que se trate de países o territorios que figuren en las listas negras/grises internacionales.

Todo esto no es una lista extensiva ya que se contemplan diversos casos que siempre deberán estar adecuados a la actividad del sujeto obligado. Asimismo, siempre se recomienda que los factores de riesgo no solo se limiten a estas directrices sino que el sujeto obligado tenga su propia política de riesgos.