Legislación fintech en España: sandbox, MiCA y DORA en un mapa
El mapa regulatorio que faltaba
La regulación fintech en España se ha movido más en los últimos 18 meses que en la década anterior. Tres piezas legislativas convergen al mismo tiempo: el sandbox regulatorio reformado, MiCA (Markets in Crypto-Assets) plenamente aplicable desde diciembre de 2024, y DORA (Digital Operational Resilience Act) exigible desde enero de 2025. Para una empresa fintech operando en España, entender cómo encajan estas tres piezas no es opcional.
Lo que sigue es un mapa práctico. No un análisis jurídico exhaustivo (para eso, un bufete), sino la visión de ingeniería y cumplimiento que necesita un CTO o un equipo de producto para planificar.
El sandbox regulatorio español
La Ley 7/2020 creó el sandbox regulatorio español, uno de los primeros en Europa. Su propósito: permitir a empresas innovadoras probar productos financieros en un entorno controlado, con supervisión de los reguladores (CNMV, Banco de España, DGSFP) pero sin necesidad de licencia completa.
Desde su lanzamiento, el sandbox ha procesado cuatro convocatorias. Los números son modestos: aproximadamente 70 proyectos admitidos en total, de los cuales unos 18 han completado la fase de pruebas satisfactoriamente. No es un volumen espectacular, pero las empresas que pasan por el sandbox obtienen algo valioso: un diálogo directo con el regulador y una vía acelerada (al menos en teoría) hacia la licencia.
Las reformas de 2024 introdujeron cambios relevantes:
- Ampliación de plazos: La fase de pruebas puede extenderse hasta 24 meses (antes 12).
- Régimen transitorio MiCA: Las empresas que operaban con criptoactivos antes de la entrada en vigor de MiCA pueden usar el sandbox como puente hacia la autorización completa.
- Interoperabilidad europea: Mecanismos para que los resultados del sandbox español sean reconocidos por reguladores de otros estados miembros.
Para una fintech que esté considerando el sandbox: funciona mejor para productos genuinamente innovadores donde el marco regulatorio existente no encaja. Si tu producto encaja claramente en una categoría regulada (pagos, préstamos, inversión), la ruta directa a licencia es más eficiente.
MiCA: la regulación de criptoactivos
MiCA (Reglamento UE 2023/1114) es el primer marco regulatorio comprehensivo para criptoactivos en la Unión Europea. Entró en vigor parcialmente en junio de 2024 (stablecoins) y plenamente en diciembre de 2024. A efectos prácticos, cualquier empresa que emita, ofrezca o preste servicios relacionados con criptoactivos en la UE opera bajo MiCA desde enero de 2025.
Qué cubre MiCA
MiCA establece requisitos para tres categorías principales:
Emisores de tokens referenciados a activos (ART): Stablecoins respaldados por cestas de activos. Requieren autorización del regulador nacional (en España, el Banco de España o la CNMV según el caso), un white paper detallado, requisitos de capital, y reservas de activos custodiadas por terceros independientes.
Emisores de tokens de dinero electrónico (EMT): Stablecoins referenciados a una moneda fiat. Requieren licencia de entidad de dinero electrónico. Los emisores de EMT significativos (más de 5 millones de titulares o más de 5.000 millones EUR en circulación) quedan bajo supervisión directa de la EBA.
Proveedores de servicios de criptoactivos (CASP): Exchanges, custodios, asesores, operadores de plataformas. Necesitan autorización de la autoridad nacional competente. Los requisitos incluyen capital mínimo (entre 50.000 y 150.000 EUR según el servicio), gobierno corporativo, sistemas de gestión de riesgos, y protección del cliente.
Lo que cambia en la práctica
Para empresas ya operando en España bajo el registro del Banco de España (el antiguo registro de proveedores de servicios de cambio de moneda virtual), MiCA implica una transición sustancial. El régimen transitorio permite operar hasta julio de 2026 bajo las condiciones anteriores, pero la autorización MiCA completa debe solicitarse antes de esa fecha.
Los requisitos técnicos de MiCA que afectan directamente a los equipos de ingeniería:
- Segregación de activos de clientes: Los criptoactivos de los clientes deben estar segregados de los del operador, con mecanismos técnicos verificables.
- Ciberseguridad: MiCA referencia explícitamente a DORA para los requisitos de resiliencia digital.
- Transparencia: White papers publicados, información de precios en tiempo real, registro de operaciones con trazabilidad completa.
- Prevención de abuso de mercado: Sistemas de detección de insider trading y manipulación de mercado aplicados a criptoactivos.
Plazos críticos
| Hito | Fecha |
|---|---|
| MiCA plenamente aplicable | Diciembre 2024 |
| Fin del régimen transitorio (registro BdE) | Julio 2026 |
| Estándares técnicos de la EBA/ESMA | En publicación progresiva durante 2025 |
DORA: resiliencia operativa digital
DORA (Reglamento UE 2022/2554) establece requisitos uniformes de resiliencia operativa digital para entidades financieras y sus proveedores tecnológicos críticos. Es aplicable desde el 17 de enero de 2025.
A diferencia de MiCA, DORA no es solo para fintechs. Afecta a bancos, aseguradoras, gestoras de fondos, entidades de pago, y también a los proveedores TIC críticos que les prestan servicio. Si tu empresa proporciona infraestructura cloud, procesamiento de pagos, o servicios de datos a una entidad financiera, DORA te afecta.
Los cinco pilares de DORA
1. Gestión de riesgos TIC: Un marco de gestión de riesgos tecnológicos comprehensivo, aprobado por el órgano de administración. Incluye identificación de activos, protección, detección, respuesta y recuperación. Suena similar a ISO 27001, y lo es en gran medida. La diferencia es que DORA lo hace legalmente obligatorio y específica requisitos más granulares.
2. Notificación de incidentes: Clasificación de incidentes TIC según criterios definidos (duración, alcance, impacto en datos, criticidad de servicios) y notificación al regulador. Tres fases: notificación inicial (dentro de las 4 horas para incidentes graves), informe intermedio (72 horas) e informe final (un mes).
3. Pruebas de resiliencia: Pruebas periódicas de los sistemas TIC, incluyendo análisis de vulnerabilidades, pruebas de penetración, y para entidades significativas, pruebas TLPT (Threat-Led Penetration Testing) cada tres años. Las TLPT son pruebas avanzadas basadas en inteligencia de amenazas reales, similares a los ejercicios TIBER-EU.
4. Gestión de riesgos de terceros TIC: Requisitos para la gestión de proveedores tecnológicos, incluyendo cláusulas contractuales obligatorias, derechos de auditoría, estrategias de salida, y concentración de riesgos. DORA introduce el concepto de “proveedor TIC crítico” que puede quedar bajo supervisión directa de las Autoridades Europeas de Supervisión.
5. Intercambio de información: Mecanismos voluntarios para compartir inteligencia sobre ciber amenazas entre entidades financieras.
Implicaciones para proveedores tecnológicos
Si tu empresa es un proveedor TIC de una entidad financiera, DORA impone requisitos contractuales específicos:
- Descripción clara de servicios, niveles de servicio, y ubicación del procesamiento de datos.
- Cooperación con los reguladores, incluyendo derechos de acceso y auditoría.
- Planes de salida que permitan a la entidad financiera migrar sin disrupción.
- Notificación de incidentes que afecten a los servicios prestados.
Si tu empresa es designada como “proveedor TIC crítico” (típicamente grandes proveedores cloud como AWS, Azure o GCP, pero potencialmente también proveedores especializados con alta concentración), queda bajo supervisión directa europea.
Cómo encajan las tres piezas
Aquí es donde el mapa cobra sentido. Para una fintech española típica:
Si ofreces servicios de criptoactivos: MiCA es tu regulación primaria. DORA aplica como complemento de resiliencia digital (MiCA lo referencia explícitamente). El sandbox puede ser tu puente si estás en transición desde el registro antiguo.
Si eres un proveedor tecnológico para banca/seguros: DORA es tu regulación primaria. Los requisitos contractuales de DORA determinan lo que tus clientes te van a exigir, quieras o no.
Si ofreces servicios de pago: La PSD2 (y la futura PSD3/PSR) sigue siendo tu marco principal, complementada por DORA para resiliencia operativa.
Si operas en múltiples verticales: Necesitas un sistema de gestión de cumplimiento que cubra los solapamientos. La buena noticia: DORA y MiCA comparten base con ISO 27001 y ENS en gestión de riesgos, gestión de incidentes y continuidad. La mala: los requisitos de notificación y los plazos son diferentes para cada norma.
Hoja de ruta práctica
Para un equipo de producto o ingeniería en una fintech española, las prioridades inmediatas:
- Clasificar tu actividad bajo MiCA si operas con criptoactivos. Determinar si eres CASP, emisor de ART/EMT, o si tu actividad queda fuera del alcance. Esto determina todo lo demás.
- Evaluar tu exposición a DORA: Bien como entidad financiera directa, bien como proveedor TIC. Los requisitos contractuales de DORA ya están en vigor.
- Construir el marco de gestión de riesgos TIC que exige DORA. Si ya tienes ISO 27001, tienes el 70% hecho. Si no, es el momento de implementarlo.
- Preparar la capacidad de notificación de incidentes. Cuatro horas para un informe inicial es poco tiempo. Necesitas procedimientos, plantillas y responsables definidos antes de que ocurra el incidente.
- Revisar contratos con proveedores TIC. DORA exige cláusulas específicas. Si eres el proveedor, prepara anexos contractuales que cumplan los requisitos. Si eres el cliente, exígelos.
El panorama regulatorio fintech en España es más claro ahora que hace dos años. MiCA, DORA y el sandbox reformado proporcionan un marco definido. Lo que falta, como siempre, es la ejecución. Para un análisis detallado del impacto de MiCA, consulta nuestro artículo sobre MiCA y la fintech española.
