Obligaciones del proveedor de servicios

Conducta

Infracciones de los artículos 59, 60 y 64 y de los artículos 65 a 83, que incluyen la gobernanza y continuidad del artículo 68, la externalización del artículo 73 y la custodia del artículo 75, cometidas por una persona jurídica

Importe

Multas administrativas máximas de al menos 5 000 000 EUR o del 5 % del volumen de negocios total anual de la persona jurídica de acuerdo con los últimos estados financieros disponibles aprobados por el órgano de dirección

Art. 111.1.d) · art. 111.3.a) y 111.3.c)

Obligaciones del emisor de fichas

Conducta

Infracciones de los artículos 27 a 41, que incluyen los deberes TIC del artículo 34, y de los artículos 46 y 47, cometidas por una persona jurídica

Importe

Multas administrativas máximas de al menos 5 000 000 EUR o del 12,5 % del volumen de negocios total anual de la persona jurídica de acuerdo con los últimos estados financieros disponibles aprobados por el órgano de dirección

Art. 111.1.b) · art. 111.3.a) y 111.3.d)

Abuso de mercado · techo del Reglamento

Conducta

Infracciones de las prohibiciones de abuso de mercado de los artículos 89 a 92, que incluyen el deber de prevenir, detectar y notificar, cometidas por una persona jurídica

Importe

Multas administrativas máximas de al menos 15 000 000 EUR o del 15 % del volumen de negocios total anual de la persona jurídica de acuerdo con los últimos estados financieros disponibles aprobados por el órgano de dirección

Art. 111.1.e) · art. 111.5.j)

Persona física

Conducta

Cualquiera de las infracciones anteriores cometida por una persona física

Importe

Multas administrativas máximas de al menos 700 000 EUR, y de al menos 5 000 000 EUR para las infracciones de los artículos 89 a 92

Art. 111.2.d) · art. 111.5.i)

El error de lectura que hay que evitar es buscar aquí la notificación de incidentes TIC. Un ciberataque contra un proveedor de servicios de criptoactivos se notifica por el artículo 19 del Reglamento (UE) 2022/2554, con sus plazos y su destinatario, no por este artículo. Este canal solo se activa si el hecho encaja en abuso de mercado. La frontera no es tan nítida como parece: la vigilancia que exige el artículo 92 cubre expresamente el funcionamiento de la tecnología de registro distribuido y su mecanismo de consenso, de modo que un ataque a la red subyacente que permita manipular el mercado sí produce una notificación por esta vía, además de la que corresponda por DORA. Hay una tercera obligación que se confunde con un aviso de incidente y no lo es: cuando el proveedor use un registro distribuido accesible sin permisos y ese registro se interrumpa, la norma técnica de continuidad le obliga a comunicar a sus clientes y a la autoridad las causas, los efectos, el momento previsto de reanudación y los riesgos sobre los fondos y criptoactivos que mantiene por cuenta de ellos.

Sospecha razonable de abuso de mercado en una orden, una operación o en el funcionamiento del registro distribuido

Plazo

Sin demora

Desde cuándo corre

Que existan circunstancias que indiquen que se ha cometido, se está cometiendo o es probable que se cometa abuso de mercado. La norma técnica precisa que la notificación se presenta sin demora una vez formada la sospecha razonable, con la plantilla STOR y con los documentos justificativos

Art. 92.1 · RD (UE) 2025/885, arts. 5 y 6

Abuso de mercado o intento detectado en los sistemas de una plataforma de negociación

Plazo

No fija plazo

Desde cuándo corre

Que el gestor de la plataforma detecte casos de abuso de mercado o intentos de ello que se produzcan en sus sistemas o a través de ellos

Art. 76.8

Interrupción de un registro distribuido accesible sin permisos utilizado en la prestación del servicio

Plazo

Comunicación oportuna

Desde cuándo corre

Que se produzca la interrupción. La comunicación incluye el momento previsto de reanudación, las causas y efectos, los riesgos sobre los fondos y criptoactivos de clientes y las medidas previstas; si el proveedor no dispone fácilmente de esa información, debe ir facilitando actualizaciones

RD (UE) 2025/299, art. 4.2.e) y 4.3

Autoridad competente del Estado miembro de registro, de sede principal o de la sucursal

Cuándo

Sospecha de abuso de mercado y detección en los sistemas de la plataforma

En España

La Comisión Nacional del Mercado de Valores. España la designó autoridad competente para MiCA en la Ley 6/2023, de 17 de marzo, de los Mercados de Valores y de los Servicios de Inversión, que se aprobó antes de que el Reglamento se publicara y ya previó el reparto de competencias y el régimen de infracciones. La notificación se presenta por los medios electrónicos que la autoridad especifique en su sitio web.

Art. 92.1 · art. 76.8

Clientes y autoridad competente

Cuándo

Interrupción de un registro distribuido accesible sin permisos

RD (UE) 2025/299, art. 4.3

Proveedor de servicios de criptoactivos

Quien presta profesionalmente alguno de los servicios tasados y está autorizado para ello, con su órgano de dirección

Custodia y administración

Quien guarda o controla criptoactivos de clientes o los medios de acceso a ellos, en su caso claves criptográficas privadas

Plataforma de negociación

Quien explota una plataforma de negociación de criptoactivos, con requisitos propios sobre sus sistemas de negociación

Emisor de ficha referenciada a activos

Quien emite una ficha que busca valor estable referenciado a activos, moneda o derechos

Emisor de ficha de dinero electrónico

Entidad de crédito o de dinero electrónico que emite una ficha referenciada a una moneda oficial

Emisor de ficha significativa

El emisor que supera los umbrales de significatividad, supervisado por la ABE y con obligaciones adicionales

Tercero de una función externalizada

El tercero que ejecuta funciones operativas del proveedor, que sigue siendo plenamente responsable de ellas

Quien tramita o ejecuta operaciones

Cualquiera que tramite o ejecute operaciones con criptoactivos, con deber de detectar y de notificar la sospecha

Autoridad competente

La autoridad designada por cada Estado miembro, que autoriza, supervisa y sanciona

Exclusiones

Reglamento (UE) 2023/1114 del Parlamento Europeo y del Consejo, de 31 de mayo de 2023, relativo a los mercados de criptoactivos y por el que se modifican los Reglamentos (UE) n.o 1093/2010 y (UE) n.o 1095/2010 y las Directivas 2013/36/UE y (UE) 2019/1937

Identificador

CELEX 32023R1114

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

Conviene decirlo sin rodeos: el núcleo del riesgo TIC de esta norma no está en esta norma. En cuatro puntos del articulado (los apartados 10 y 11 del artículo 34 para los emisores de fichas referenciadas a activos, y los apartados 7 y 8 del artículo 68 para los proveedores de servicios) MiCA no describe requisitos propios de seguridad: remite a DORA y se apoya en él. Quien busque aquí gestión del riesgo TIC, notificación de incidentes graves o pruebas de penetración no va a encontrarlas. Lo que sí es propio, y es bastante, se concentra en dos sitios. El primero es la custodia: el proveedor que guarda criptoactivos de clientes debe establecer una política de custodia que minimice el riesgo de pérdida por fraude, amenazas cibernéticas o negligencia, describir sus sistemas de seguridad en el contrato con el cliente, segregar los activos también en el registro distribuido, y responde ante el cliente de la pérdida causada por un incidente que le sea atribuible, con el límite del valor de mercado. El segundo es la continuidad, donde el Reglamento Delegado (UE) 2025/299 convirtió una frase del artículo 68 en un régimen completo: estrategia aprobada por el órgano de dirección y revisada al menos una vez al año, planes con objetivos de punto y de tiempo de recuperación, emplazamiento de reserva, copias de los datos esenciales, comunicación a clientes durante la interrupción y pruebas anuales alimentadas por inteligencia sobre amenazas. Alrededor, la plataforma de negociación debe tener sistemas resilientes, probados y con continuidad, y quien tramita o ejecuta operaciones debe vigilar de forma continua para detectar el abuso de mercado. Lo que impide subir de nivel es la remisión: sin DORA, esta norma no sostiene un programa de seguridad.

Valoración del curador · nivel 3 de 5

Política de custodia contra fraude, ciberamenazas y negligencia Ciber

El proveedor que custodia establece una política de custodia con normas y procedimientos internos para garantizar la guarda o el control de los criptoactivos o de los medios de acceso a ellos. El segundo párrafo es el que convierte esto en una obligación de seguridad: esa política debe minimizar el riesgo de pérdida por fraude, amenazas cibernéticas o negligencia. El Reglamento no dice cómo (no nombra almacenamiento en frío, ni firma múltiple, ni segregación de claves), pero fija el objetivo de la política y el catálogo de causas que tiene que cubrir, y obliga a entregar un resumen de ella en formato electrónico a los clientes que lo pidan.

Literal de la norma La política de custodia a que se refiere el párrafo primero minimizará el riesgo de pérdida de criptoactivos de los clientes o los derechos relacionados con esos criptoactivos o los medios de acceso a los criptoactivos debido a fraudes, amenazas cibernéticas o negligencias.

Art. 75.3

Responsabilidad por la pérdida derivada de un incidente atribuible Ciber

La consecuencia que cambia el cálculo de riesgo de cualquier custodio. Responde ante sus clientes de la pérdida de criptoactivos o de los medios de acceso causada por un incidente que pueda atribuírsele, con la responsabilidad limitada al valor de mercado del criptoactivo perdido en el momento de la pérdida. La salida es estrecha y la carga de probarla es suya: solo se considera no atribuible el acontecimiento que el proveedor demuestre que se produjo con independencia de la prestación del servicio o de sus operaciones, y el ejemplo que da la propia norma es un problema inherente al funcionamiento del registro distribuido ajeno a su control. Un compromiso de sus sistemas o de sus claves no encaja en esa excepción.

Literal de la norma Los proveedores de servicios de criptoactivos que presten servicios de custodia y administración de criptoactivos por cuenta de clientes serán considerados responsables ante sus clientes de la pérdida de criptoactivos o de los medios de acceso a los criptoactivos como consecuencia de un incidente que pueda atribuírseles. La responsabilidad del proveedor de servicios de criptoactivos estará limitada al valor de mercado del criptoactivo perdido en el momento en que se produjo la pérdida.

Art. 75.8

Contrato con el cliente: autenticación y sistemas de seguridad Ciber parcial

El proveedor celebra con cada cliente un acuerdo que especifica obligaciones y responsabilidades y que debe incluir, como mínimo, la identidad de las partes, la naturaleza y descripción del servicio, la política de custodia, los medios de comunicación con el cliente incluido su sistema de autenticación, una descripción de los sistemas de seguridad utilizados, las comisiones y el Derecho aplicable. Para el servicio de transferencia, el contrato incluye igualmente la descripción de los sistemas de seguridad.

Art. 75.1 · art. 82.1

Segregación de los activos del cliente, también en el registro distribuido Ciber parcial

El proveedor separa las participaciones de criptoactivos por cuenta de clientes de las suyas propias, identifica claramente los medios de acceso de los clientes y mantiene separados en el registro distribuido los criptoactivos de clientes. Además de esa separación técnica hay dos capas jurídicas: los criptoactivos custodiados quedan separados del patrimonio del proveedor de modo que sus acreedores no puedan hacer valer derechos sobre ellos, en particular en caso de insolvencia, y el proveedor debe garantizar también su separación funcional.

Literal de la norma Los proveedores de servicios de criptoactivos que presten servicios de custodia y administración de criptoactivos por cuenta de clientes separarán las participaciones de criptoactivos por cuenta de sus clientes de sus propias participaciones y garantizarán que los medios de acceso a los criptoactivos de sus clientes se identifiquen claramente como tales. Dichos proveedores velarán por que, en el registro distribuido, los criptoactivos de sus clientes se mantengan separados de sus propios criptoactivos.

Art. 75.7

Registro de posiciones y reflejo inmediato de cada movimiento Ciber parcial

El proveedor lleva un registro de las posiciones abiertas a nombre de cada cliente correspondientes a sus derechos sobre los criptoactivos, y consigna en él lo antes posible todo movimiento realizado siguiendo instrucciones del cliente. Todo hecho que pueda crear o modificar los derechos del cliente se consigna inmediatamente. Al menos una vez cada tres meses, y cuando el cliente lo pida, se le entrega en formato electrónico un estado de posición con los criptoactivos, su saldo, su valor y las transferencias del período.

Art. 75.2 y 75.4

Subcustodia solo en proveedores autorizados Ciber parcial

Cuando el custodio recurre a otros proveedores para prestar el servicio, solo puede recurrir a proveedores autorizados conforme al artículo 59, y debe informar de ello a sus clientes. Además, con independencia de a quién recurra, debe garantizar que dispone de los procedimientos necesarios para devolver a los clientes los criptoactivos mantenidos por su cuenta, o los medios de acceso, lo antes posible.

Art. 75.9 · art. 75.6

Continuidad de la actividad y sistemas TIC resilientes y seguros Ciber

El proveedor adopta todas las medidas razonables para garantizar la continuidad y la regularidad de la prestación, empleando recursos y procedimientos adecuados y proporcionados, incluidos sistemas de TIC resilientes y seguros, conforme a DORA. Y establece una estrategia de continuidad de la actividad que incluye planes de continuidad y los planes de respuesta y de recuperación en el ámbito de las TIC de los artículos 11 y 12 de DORA, para preservar los datos y funciones esenciales y mantener los servicios en caso de interrupción de sus sistemas y procedimientos de TIC o, si no es posible, recuperarlos y reanudarlos oportunamente. La remisión es doble y conviene no perderla: la resiliencia del sistema se mide con el listón de DORA, y los planes TIC son literalmente los de DORA.

Literal de la norma Los proveedores de servicios de criptoactivos adoptarán todas las medidas razonables para garantizar la continuidad y la regularidad de la prestación de los servicios de criptoactivos. A tal fin, los proveedores de servicios de criptoactivos emplearán recursos y procedimientos adecuados y proporcionados, incluidos sistemas de TIC resilientes y seguros, conforme a lo dispuesto en el Reglamento (UE) 2022/2554.

Art. 68.7

Disponibilidad, autenticidad, integridad y confidencialidad de los datos Ciber

Una sola frase, y es la que fija las propiedades de seguridad exigibles al proveedor. Debe disponer de sistemas y procedimientos para salvaguardar la disponibilidad, la autenticidad, la integridad y la confidencialidad de los datos, en virtud de DORA. El contenido técnico no está aquí: quien lo define es DORA y sus normas técnicas, y esta frase es la que hace que ese contenido sea exigible al proveedor por la vía de MiCA y sancionable por su artículo 111.

Literal de la norma Los proveedores de servicios de criptoactivos dispondrán de sistemas y procedimientos para salvaguardar la disponibilidad, autenticidad, integridad y confidencialidad de los datos en virtud del Reglamento (UE) 2022/2554.

Art. 68.8, párr. 2.º

Conservación de registros de servicios, órdenes y operaciones Ciber parcial

El proveedor lleva registro de todos los servicios, actividades, órdenes y operaciones que realice, suficientes para que la autoridad pueda supervisar y ejecutar, y en particular para determinar si ha cumplido sus obligaciones con clientes y con la integridad del mercado. Los registros se ponen a disposición de los clientes que los soliciten y se conservan cinco años, o hasta siete si la autoridad lo pide antes de que venzan los cinco. La norma técnica añade el detalle: registros de todas las políticas y procedimientos escritos, de la revisión de eficacia hecha por el órgano de dirección, de los documentos que fijan derechos y obligaciones con el cliente, y registros que permitan distinguir en cualquier momento y sin demora los criptoactivos y fondos de cada cliente de los de los demás y de los propios.

Art. 68.9 · RD (UE) 2025/1140

Política de externalización con contingencia y salida Ciber parcial

Quien externaliza funciones operativas sigue siendo plenamente responsable de todas sus obligaciones. La externalización no puede delegar responsabilidad, alterar la relación con el cliente ni modificar las condiciones de la autorización; el tercero debe cooperar con la autoridad competente y no impedir el acceso in situ; el proveedor debe conservar competencias y recursos para evaluar y supervisar el servicio, tener acceso directo a la información pertinente y asegurarse de que el tercero cumple las normas de protección de datos de la Unión, recogiéndolas en el acuerdo escrito. La política de externalización incluye planes de contingencia y estrategias de salida, y el acuerdo escrito otorga al proveedor el derecho a ponerle fin.

Art. 73

Revisión de la eficacia por el órgano de dirección Ciber parcial

El proveedor adopta políticas y procedimientos suficientemente eficaces para garantizar el cumplimiento del Reglamento, y su órgano de dirección evalúa y revisa periódicamente la eficacia de las medidas y procedimientos establecidos, adoptando las medidas adecuadas para subsanar cualquier deficiencia. Emplea además personal con los conocimientos, competencias y experiencia necesarios, teniendo en cuenta la dimensión, la naturaleza y la gama de servicios prestados.

Art. 68.4 y 68.6

Estrategia de continuidad aprobada y revisada por la dirección Ciber

La estrategia consta de planes, procedimientos y medidas, y se almacena en un soporte duradero. La establece y la aprueba el órgano de dirección, que responde de su aplicación y revisa su eficacia al menos una vez al año, y toda modificación se transmite al personal interno pertinente por canales de comunicación eficaces. Su contenido está tasado: alcance con sus limitaciones y exclusiones, criterios de activación de los planes con el escalado hasta el órgano de dirección, gobernanza y reparto de funciones con recursos suficientes, y coherencia con los planes de continuidad y de respuesta y recuperación TIC de los artículos 24 y 26 del Reglamento Delegado (UE) 2024/1774, que es el desarrollo de DORA.

RD (UE) 2025/299, arts. 2 y 3

Planes de continuidad con objetivos de recuperación Ciber

Los planes disponen los procedimientos para proteger y, si hace falta, restablecer la confidencialidad, integridad y disponibilidad de los datos de clientes y la disponibilidad de las funciones empresariales, los procesos de apoyo y los activos de información. Deben contener escenarios adversos (indisponibilidad de funciones, personal, espacio de trabajo, proveedores externos o centros de datos, y pérdida o alteración de datos y documentos esenciales), las medidas y plazos para recuperar las funciones esenciales o importantes, los objetivos de punto de recuperación y el plazo máximo para reanudar servicios, la reubicación en un emplazamiento de reserva, copias de seguridad de los datos empresariales esenciales con los contactos actualizados, y procedimientos de comunicación oportuna con clientes, autoridades y demás partes interesadas. Y procedimientos específicos para las interrupciones de funciones externalizadas.

RD (UE) 2025/299, art. 4

Prueba anual de los planes con inteligencia sobre amenazas Ciber

Los planes se prueban sobre escenarios realistas, verificando la capacidad real de recuperarse y de reanudar los servicios dentro de los plazos y objetivos fijados. La prueba es anual y debe tener en cuenta los resultados anteriores, la inteligencia sobre amenazas más reciente, el aprendizaje de hechos anteriores, los cambios en los objetivos de recuperación y las variaciones en las funciones empresariales. Los resultados se documentan por escrito y se presentan al órgano de dirección y a las unidades operativas implicadas, y la prueba no puede alterar la prestación normal del servicio.

Literal de la norma Los proveedores de servicios de criptoactivos someterán a prueba el funcionamiento de los planes de continuidad de la actividad a que se refiere el artículo 4 basándose en escenarios realistas. Dichas pruebas verificarán la capacidad del proveedor de servicios de criptoactivos para recuperarse tras las interrupciones y reanudar los servicios de conformidad con el artículo 4, apartado 2, letra b).

RD (UE) 2025/299, art. 5

Autoevaluación anual de dimensión, naturaleza y complejidad Ciber parcial

Al establecer la estrategia, el proveedor tiene en cuenta lo que añade complejidad o riesgo: el tipo y gama de servicios, en qué medida se apoya en un registro distribuido accesible sin permisos y el efecto que una interrupción tendría en la continuidad y disponibilidad de sus servicios. Para eso se autoevalúa anualmente sobre la dimensión, naturaleza y gama de sus servicios, con los criterios del anexo y cualesquiera otros que considere pertinentes, utilizando la media diaria de un año como período de referencia.

RD (UE) 2025/299, art. 6 y anexo

Requisitos de los sistemas de negociación Ciber

El gestor de la plataforma establece sistemas, procedimientos y mecanismos eficaces que garanticen que sus sistemas de negociación son resilientes, tienen capacidad para los volúmenes de máxima actividad, aseguran una negociación ordenada bajo fuerte tensión de mercado, rechazan órdenes fuera de los umbrales predeterminados o manifiestamente erróneas, se someten a pruebas completas, están sujetos a mecanismos eficaces de continuidad ante fallo del sistema, son capaces de prevenir o detectar el abuso de mercado y son lo bastante sólidos para prevenir su uso indebido para blanqueo o financiación del terrorismo. Es la lista más parecida a un requisito técnico de seguridad de todo el Reglamento.

Literal de la norma Los proveedores de servicios de criptoactivos que gestionen una plataforma de negociación de criptoactivos establecerán sistemas, procedimientos y mecanismos eficaces que garanticen que sus sistemas de negociación: a) sean resilientes; b) tengan capacidad suficiente para tramitar los volúmenes de órdenes y mensajes correspondientes a los momentos de máxima actividad; c) puedan garantizar una negociación ordenada en condiciones de fuerte tensión en el mercado; d) puedan rechazar órdenes que superen los umbrales predeterminados de volumen y precio o que sean manifiestamente erróneas; e) se sometan a pruebas completas para garantizar que se cumplen las condiciones establecidas en las letras a) a d); f) estén sujetos a mecanismos eficaces de continuidad de la actividad para garantizar la continuidad de sus servicios en caso de fallo del sistema de negociación; g) sean capaces de prevenir o detectar el abuso de mercado; h) sean lo suficientemente sólidos para prevenir su uso indebido para fines de blanqueo de capitales o financiación del terrorismo.

Art. 76.7

Libro de órdenes y copias para informar a la autoridad Ciber parcial

El gestor mantiene a disposición de la autoridad, durante al menos cinco años, los datos pertinentes de todas las órdenes anunciadas a través de sus sistemas, o le da acceso al libro de órdenes para que pueda supervisar la actividad de negociación. Mantiene además recursos y copias de seguridad que le permitan informar a su autoridad competente en todo momento. El contenido y el formato de esos registros los fija el Reglamento Delegado (UE) 2025/416.

Art. 76.13 y 76.14 · RD (UE) 2025/416

Sistemas de prevención y detección del abuso de mercado Ciber parcial

Quien tramite o ejecute operaciones dispone de mecanismos, sistemas y procedimientos eficaces para prevenir y detectar el abuso de mercado, e informa sin demora a la autoridad competente de toda sospecha razonable. La norma técnica añade el armazón: los mecanismos se evalúan al menos mediante una auditoría y una revisión internas anuales y se actualizan cuando hace falta, se documentan por escrito con sus modificaciones y esa documentación se conserva cinco años, se puede externalizar el análisis por acuerdo escrito conservando acceso directo a toda la información pertinente, se conserva la información que documenta el análisis realizado, se forma al personal implicado y se mantiene la confidencialidad de la notificación frente a la persona sobre la que se presenta. El gestor de una plataforma informa además a su autoridad cuando detecte abuso o intentos en sus sistemas.

Art. 92.1 · art. 76.8 · RD (UE) 2025/885, arts. 2 a 5

Control interno y gestión del riesgo TIC del emisor Ciber

El emisor dispone de mecanismos de control interno y procedimientos eficaces para la gestión del riesgo, incluidos mecanismos eficaces de control y protección para la gestión de los sistemas de TIC, conforme a DORA. Los procedimientos deben prever una evaluación exhaustiva de la dependencia de las entidades terceras con las que el emisor tiene acuerdos sobre la reserva de activos, su inversión, su custodia y la distribución de la ficha, y el emisor hace seguimiento y valoración periódicos de la idoneidad y eficacia de esos mecanismos. Es la obligación cuyo incumplimiento tipifica el punto 37 del anexo V.

Literal de la norma Los emisores de fichas referenciadas a activos dispondrán de mecanismos de control interno y procedimientos eficaces para la gestión del riesgo, incluidos mecanismos eficaces de control y protección para la gestión de los sistemas de TIC, conforme a lo dispuesto en el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo […]

Art. 34.10

Protección de los datos del emisor y registro de la actividad Ciber

El emisor cuenta con sistemas y procedimientos adecuados para proteger la disponibilidad, la autenticidad, la integridad y la confidencialidad de los datos, conforme a DORA y en consonancia con el Reglamento (UE) 2016/679. La segunda frase añade algo que el equivalente del proveedor no dice: esos sistemas deben registrar y proteger los datos y la información pertinentes recabados y generados en el transcurso de las actividades del emisor. Su incumplimiento es el punto 38 del anexo V.

Literal de la norma Los emisores de fichas referenciadas a activos contarán con sistemas y procedimientos adecuados para proteger la disponibilidad, autenticidad, integridad y confidencialidad de los datos conforme a lo dispuesto en el Reglamento (UE) 2022/2554 y en consonancia con el Reglamento (UE) 2016/679. Dichos sistemas registrarán y protegerán los datos y la información pertinentes que se recaben y generen en el transcurso de las actividades de los emisores.

Art. 34.11

Continuidad, acceso seguro y riesgo operativo del emisor Ciber

Tres apartados que se leen juntos. El emisor emplea sistemas, recursos y procedimientos adecuados y proporcionados para garantizar la continuidad y regularidad de sus servicios y, a tal efecto, mantiene todos sus sistemas y protocolos de acceso seguro en conformidad con los niveles de exigencia pertinentes de la Unión. Determina las fuentes de riesgo operativo y las reduce al mínimo mediante sistemas, controles y procedimientos adecuados. Y establece estrategias y planes de continuidad para preservar los datos y funciones esenciales y mantener sus actividades en caso de interrupción de sus sistemas y procedimientos de TIC o, si no es posible, recuperarlos y reanudarlas oportunamente. El deber de continuidad decae si se ha iniciado el plan de reembolso.

Art. 34.6, 34.8 y 34.9

Auditoría periódica por auditores independientes Ciber parcial

El emisor garantiza su auditoría periódica por auditores independientes. Los resultados se comunican a su órgano de dirección y se ponen a disposición de la autoridad competente.

Art. 34.12

Planes de recuperación y de reembolso Ciber parcial

El emisor elabora y mantiene un plan de recuperación con las medidas para restablecer el cumplimiento de los requisitos de la reserva de activos, con condiciones y procedimientos que aseguren su aplicación oportuna y una gama amplia de opciones. Lo notifica a la autoridad competente en el plazo de seis meses desde la autorización o desde la aprobación del libro blanco, y la autoridad puede exigir modificaciones. Elabora también un plan de reembolso para el reembolso ordenado de la ficha. Los emisores de fichas de dinero electrónico están sujetos a los mismos planes por remisión del artículo 55.

Arts. 46 y 47 · art. 55

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Art. 68.7 · RD (UE) 2025/299, arts. 2 a 6 · art. 34.9 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

RD (UE) 2025/299, art. 4.2.b), c) y d) y art. 5 · art. 76.14 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 3.1, punto 17 · art. 75.3 · RD (UE) 2025/299, anexo, letra c) · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 75.1.d) y e) · art. 82.1.c) · art. 34.6 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 73 · art. 75.9 · art. 34.10 · RD (UE) 2025/299, art. 4.4 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 92.1 · art. 68.9 · art. 76.13 · RD (UE) 2025/885, arts. 2 y 3 · RD (UE) 2025/1140 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 92.1 · art. 76.8 · RD (UE) 2025/885, arts. 5 y 6 · categorización del curador, no de la norma

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

RD (UE) 2025/299, arts. 2.2 y 5.3 · art. 68.6 · RD (UE) 2025/1140, art. 3.2 · categorización del curador, no de la norma

Programa de pruebas de seguridad y resiliencia Compartida

Identificar las debilidades propias antes de que lo haga un atacante: un programa de pruebas de seguridad con dueño y presupuesto sobre los sistemas que sustentan el negocio.

Art. 76.7.e) · RD (UE) 2025/299, art. 5 · categorización del curador, no de la norma

Programa de concienciación y formación Compartida

Un programa de concienciación y formación con contenido, calendario y evaluación de resultados, que incorpore a la plantilla a la defensa en lugar de dejarla como el vector de entrada más accesible.

RD (UE) 2025/885, art. 4 · RD (UE) 2025/299, art. 2.3 · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 68.8 · art. 34.11 · art. 75.2 · RD (UE) 2025/299, art. 4.1 · categorización del curador, no de la norma

Proveedor de servicios de criptoactivos

El sujeto central del Reglamento. Persona jurídica o empresa cuyo negocio es prestar de forma profesional uno o varios de los servicios de criptoactivos tasados, y que está autorizada para ello. La autorización es constitutiva: sin ella no se puede prestar el servicio, y con ella llega el bloque entero de obligaciones de gobernanza, continuidad, externalización y conservación de registros.

Literal de la norma «proveedor de servicios de criptoactivos»: una persona jurídica u otra empresa cuya actividad o negocio consiste en la prestación profesional de uno o varios servicios de criptoactivos a clientes y que está autorizada a prestar servicios de criptoactivos de conformidad con el artículo 59.

Art. 3.1, punto 15 · art. 59

Proveedor de custodia de criptoactivos

El proveedor que presta el servicio de custodia y administración por cuenta de clientes, que el Reglamento define como la guarda o el control de los criptoactivos o de los medios de acceso a ellos, en su caso claves criptográficas privadas. Es el papel con más carga de seguridad de toda la norma y el único que responde civilmente de la pérdida causada por un incidente atribuible.

Literal de la norma «custodia y administración de criptoactivos por cuenta de clientes»: la guarda o el control, por cuenta de clientes, de criptoactivos o de los medios de acceso a esos criptoactivos, en su caso en forma de claves criptográficas privadas.

Art. 3.1, punto 17 · art. 75

Gestor de plataforma de negociación

El proveedor que explota una plataforma de negociación de criptoactivos. Suma a las obligaciones comunes un régimen propio de sistemas: resiliencia, capacidad en momentos de máxima actividad, rechazo de órdenes fuera de umbral, pruebas completas, continuidad ante fallo del sistema de negociación y capacidad de prevenir o detectar el abuso de mercado.

Art. 3.1, punto 18 · art. 76

Emisor de ficha referenciada a activos

Quien emite un criptoactivo que pretende mantener un valor estable referenciado a otro valor o derecho, o a una combinación de ambos, incluidas una o varias monedas oficiales. Es el papel que recibe los deberes TIC más explícitos del articulado, en los apartados 10 y 11 del artículo 34, y el único cuyo incumplimiento de esos deberes figura nominalmente en la lista de infracciones del anexo V.

Literal de la norma «ficha referenciada a activos»: un tipo de criptoactivo que no es una ficha de dinero electrónico y que pretende mantener un valor estable referenciado a otro valor o derecho, o a una combinación de ambos, incluidas una o varias monedas oficiales.

Art. 3.1, punto 6 · arts. 16 y 34

Emisor de ficha de dinero electrónico

Quien emite un criptoactivo que se referencia al valor de una moneda oficial para mantener un valor estable. Solo puede serlo una entidad de crédito o una entidad de dinero electrónico, y por esa vía le llega el régimen de la Directiva de dinero electrónico además del de MiCA.

Literal de la norma «ficha de dinero electrónico»: un tipo de criptoactivo que, a fin de mantener un valor estable, se referencia al valor de una moneda oficial.

Art. 3.1, punto 7 · art. 48

Emisor de ficha significativa

El emisor cuya ficha alcanza los umbrales de significatividad o que se clasifica como tal voluntariamente. Suma obligaciones adicionales, entre ellas una política y unos procedimientos de gestión de la liquidez, y pasa a estar supervisado por la ABE en lugar de por la autoridad nacional.

Arts. 43, 44, 45, 56, 57 y 58 · art. 117

Tercero de una función externalizada

El tercero al que un proveedor encarga la ejecución de funciones operativas. No asume las obligaciones del proveedor (la externalización no delega responsabilidad), pero queda alcanzado por deberes propios de cooperación: debe cooperar con la autoridad competente, no puede impedir el acceso in situ y debe facilitar la información que permita evaluar la conformidad de lo externalizado.

Art. 73.1 y 73.4

Quien tramita o ejecuta operaciones

Sujeto del régimen de abuso de mercado, más ancho que el proveedor autorizado: alcanza a cualquiera que tramite o ejecute operaciones con criptoactivos. Debe disponer de mecanismos, sistemas y procedimientos eficaces para prevenir y detectar el abuso de mercado, y notificar sin demora toda sospecha razonable.

Art. 92.1

Órgano de dirección

El órgano habilitado para fijar la estrategia y supervisar la toma de decisiones de la entidad. No es decorativo en materia de continuidad: la norma técnica le atribuye establecer y aprobar la estrategia de continuidad, responder de su aplicación y revisar su eficacia al menos anualmente, y recibir por escrito los resultados de las pruebas.

Art. 3.1, punto 27 · art. 68.6 · RD (UE) 2025/299, arts. 2.2 y 5.3

Autoridad competente

La autoridad que cada Estado miembro designa para autorizar y supervisar. Recibe las notificaciones de sospecha de abuso de mercado, puede exigir la información que permita evaluar lo externalizado y dispone de un catálogo de medidas que llega hasta la revocación de la autorización. En España es la Comisión Nacional del Mercado de Valores.

Art. 93 · art. 94 · art. 111