MiCA tras el plazo: qué dice una autorización a quien invierte, y qué no

MiCA se aplica a los proveedores de servicios de criptoactivos desde el 30 de diciembre de 2024, pero dio tiempo de adaptación a las empresas que ya operaban con arreglo a normas nacionales. Según el artículo 143, apartado 3, podían seguir haciéndolo 'hasta el 1 de julio de 2026 o hasta la fecha en que se les conceda o deniegue una autorización en virtud del artículo 63 si esta fuera anterior'.

Los Estados miembros podían acortar ese periodo o no aplicarlo, y muchos lo hicieron. La lista de ESMA con las decisiones nacionales va desde seis meses —Países Bajos, Polonia, Hungría, Letonia, Eslovenia y Finlandia— pasando por nueve en Suecia y doce en Alemania, Irlanda, Austria, Lituania, Eslovaquia y Noruega, hasta los dieciocho completos en el resto, entre ellos Luxemburgo, Malta, Francia, España e Italia. El 1 de julio de 2026 no fue, por tanto, el plazo, sino el último de ellos. ESMA advirtió en diciembre de 2024 de que este mosaico podía dejar a un proveedor autorizado en un Estado miembro sin la autorización necesaria, durante un tiempo, para atender a clientes en otro.

Desde el 1 de julio la situación es sencilla. El artículo 59 dispone que 'no se prestarán servicios de criptoactivos en la Unión' a menos que quien los preste haya sido autorizado como proveedor de servicios de criptoactivos o sea un banco, una empresa de servicios de inversión, un gestor de fondos u otra entidad regulada habilitada para prestarlos en virtud del artículo 60. La redacción de la norma transitoria zanja además un punto que se interpretó mal con frecuencia: el derecho a continuar terminó el 1 de julio, estuviera o no pendiente de resolución una solicitud.

ESMA publica las autorizaciones que le comunican las autoridades nacionales en un registro provisional, un conjunto de ficheros que actualiza cada semana. En su actualización del 30 de septiembre de 2026, el fichero de proveedores autorizados contenía 364 entradas de 27 Estados del EEE.

Destacan tres rasgos. El mercado está concentrado: solo Alemania suma 99 entradas, y Alemania, Francia, Países Bajos, Chipre y Malta juntos, cerca de seis de cada diez. El plazo generó una cola: hay más autorizaciones fechadas en junio de 2026 que en ningún otro mes —76, frente a 44 en el siguiente—. Y las autorizaciones continuaron después del plazo, con más de sesenta entradas fechadas tras el 1 de julio. Cuando se trataba de empresas que venían operando al amparo del régimen transitorio, la fecha importa: entre el 1 de julio y su autorización no tenían base para atender a clientes en la Unión.

De las 364 entradas, 227 incluyen la custodia y administración de criptoactivos por cuenta de clientes, y 22 la gestión de una plataforma de negociación. Son muchas más las empresas que custodian activos de clientes que las que gestionan mercados.

El registro es un índice, no un certificado. ESMA advierte de que la información comunicada por las autoridades nacionales no se muestra de inmediato; el fichero contiene unas pocas entradas con fechas de autorización posteriores a su propia actualización, una de ellas en 2028, y tres Estados miembros no tienen ninguna entrada. La lista paralela de ESMA de entidades que prestan servicios sin autorización está dominada por un solo país —164 de sus 173 entradas son italianas—, de modo que no figurar en ella dice poco de una empresa. El registro de la autoridad nacional sigue siendo la referencia que hay que comprobar.

Para un inversor, el valor de MiCA no está en la palabra 'autorizado'. Está en un conjunto de obligaciones concretas que cambian lo que ocurre con los activos de los clientes si algo sale mal, y varias de ellas atacan directamente el problema de que una misma entidad actúe a la vez como mercado, bróker y custodio.

La autorización es un umbral, no una evaluación. No dice que un proveedor esté bien capitalizado en relación con sus exposiciones, que esté bien gestionado ni que tenga el tamaño adecuado para un cliente institucional. Dos proveedores autorizados pueden diferir tanto como dos bancos autorizados.

Las protecciones tienen además límites, y están escritos en el texto. La responsabilidad del custodio 'estará limitada al valor de mercado del criptoactivo perdido en el momento en que se produjo la pérdida', y excluye los incidentes que el proveedor demuestre ajenos a su servicio, 'como, por ejemplo, un problema inherente al funcionamiento del registro distribuido ajeno al control del proveedor de servicios de criptoactivos'. La separación jurídica se exige 'de conformidad con el Derecho aplicable', de modo que su solidez en una insolvencia sigue dependiendo del Derecho nacional y de los tribunales del lugar donde esté el proveedor.

El ámbito también importa. MiCA no se aplica a los criptoactivos que se consideren instrumentos financieros, depósitos o fondos, ni a los que sean únicos y no fungibles (artículo 2, apartados 3 y 4). La prohibición de negociar por cuenta propia afecta a la plataforma que gestiona el proveedor, no a todas las entidades de su grupo. Y una empresa de fuera de la Unión solo puede atender sin autorización a un cliente en la Unión cuando este actuó 'por iniciativa exclusiva de dicho cliente', una base que el artículo 61 delimita de forma estricta: cualquier captación en la Unión la anula, 'no obstante cualquier cláusula contractual o declaración de exención de responsabilidad en la que se afirme otra cosa'.

Nada de esto sustituye a la diligencia debida operativa. Le da preguntas más precisas. Para cada mercado, bróker y custodio del que dependa un gestor: