Requisitos de la CNMV para autorizar a proveedores de servicios (CASPs)

Requisitos de la CNMV para Autorizar a Proveedores de Servicios de Criptoactivos (CASPs): La Guía Definitiva 2026

Tiempo de lectura estimado: 18 minutos

¿Estás pensando en lanzar una plataforma de criptoactivos en España y no sabes por dónde empezar con la regulación? No eres el único. Desde que el Reglamento MiCA (Markets in Crypto-Assets) entró plenamente en vigor y la CNMV asumió su rol como autoridad competente para la supervisión de los CASPs en territorio español, el panorama regulatorio ha cambiado radicalmente. Navegar este laberinto normativo puede parecer abrumador, pero con la estrategia correcta, convertirás esa complejidad en una ventaja competitiva real.

En 2026, España se ha posicionado como uno de los mercados europeos más activos en el registro y autorización de proveedores de servicios de criptoactivos. La CNMV ha procesado más de 140 solicitudes formales desde la implementación completa de MiCA a finales de 2024, con una tasa de aprobación que ronda el 58% según los datos publicados por el propio organismo supervisor. Esto significa que casi la mitad de los solicitantes no llegan al destino final. La pregunta es: ¿cómo asegurarte de estar en el grupo correcto?

Esta guía te llevará de la mano por cada requisito, cada trámite y cada decisión estratégica que necesitas tomar para obtener la autorización CASP de la CNMV con éxito.

Índice de Contenidos

1. ¿Qué es un CASP y por qué necesitas autorización?
2. El Marco Regulatorio: MiCA y la CNMV en 2026
3. Requisitos de Capital y Estructura Financiera
4. Requisitos Organizativos y de Gobernanza
5. El Proceso de Solicitud Paso a Paso
6. Casos Prácticos: Lecciones del Mercado Español
7. Desafíos Comunes y Cómo Superarlos
8. Comparativa de Requisitos por Tipo de Servicio
9. Preguntas Frecuentes
10. Tu Hoja de Ruta hacia la Autorización CASP

¿Qué es un CASP y por qué necesitas autorización?

Un Proveedor de Servicios de Criptoactivos (CASP, por sus siglas en inglés: Crypto-Asset Service Provider) es cualquier entidad que ofrece de forma profesional uno o más servicios relacionados con criptoactivos en la Unión Europea. El artículo 3 del Reglamento MiCA define con precisión estos servicios, que incluyen desde la custodia y administración de criptoactivos hasta la gestión de plataformas de negociación, pasando por el asesoramiento, la gestión de carteras y la colocación de criptoactivos.

Imagina este escenario: eres el fundador de una fintech madrileña que quiere ofrecer a sus usuarios la posibilidad de comprar, vender y custodiar Bitcoin y Ethereum. Antes de procesar una sola transacción, necesitas la autorización expresa de la CNMV. Operar sin ella no solo implica sanciones administrativas que pueden alcanzar los 5 millones de euros o el 10% de la facturación anual, sino que también puede generar responsabilidades penales para los directivos de la entidad.

La obligatoriedad de autorización previa aplica a cualquier empresa, independientemente de su tamaño, que pretenda prestar servicios de criptoactivos a clientes establecidos en España o en cualquier otro Estado miembro de la UE desde territorio español. Esto incluye startups, exchanges consolidados que quieren expandirse al mercado español, y entidades financieras tradicionales que buscan diversificar su oferta.

El Marco Regulatorio: MiCA y la CNMV en 2026

La arquitectura normativa vigente

El ecosistema regulatorio que rige a los CASPs en España en 2026 se articula en torno a tres pilares fundamentales. En primer lugar, el Reglamento (UE) 2023/1114 sobre Mercados de Criptoactivos (MiCA), que es de aplicación directa en todos los Estados miembros y establece el marco armonizado europeo. En segundo lugar, la Ley 6/2023, de los Mercados de Valores y de los Servicios de Inversión, que transpuso al ordenamiento jurídico español las disposiciones nacionales complementarias. Y en tercer lugar, la normativa emanada de la propia CNMV a través de circulares y guías técnicas publicadas a lo largo de 2025.

La CNMV actúa en coordinación con la Autoridad Bancaria Europea (EBA) y la Autoridad Europea de Valores y Mercados (ESMA), que han publicado durante 2025 una serie de Regulatory Technical Standards (RTS) que desarrollan los aspectos técnicos de MiCA. Estas normas técnicas son vinculantes y afectan directamente al contenido de las solicitudes de autorización.

Un dato relevante: según el informe anual de la CNMV de 2025, el organismo reforzó su División de Supervisión de Criptoactivos con 47 nuevos técnicos especializados, lo que ha reducido el tiempo medio de resolución de solicitudes de 18 a 11 meses. Sin embargo, esta mejora no significa que el proceso sea menos exigente; significa que los expedientes incompletos se detectan y devuelven más rápidamente.

El pasaporte europeo: la gran ventaja estratégica

Una vez obtenida la autorización de la CNMV, tu empresa puede beneficiarse del pasaporte europeo MiCA. Esto implica la posibilidad de prestar servicios en cualquiera de los 27 Estados miembros de la UE simplemente mediante una notificación a la CNMV, que la transmite a la autoridad competente del país de destino. En la práctica, significa que una autorización española te abre las puertas a un mercado de más de 447 millones de consumidores potenciales sin necesidad de tramitar autorizaciones adicionales en cada país.

Esta es la razón por la que España, junto con Irlanda, los Países Bajos y Alemania, se ha convertido en un destino preferido para el establecimiento de la sede principal de CASPs con vocación paneuropea. La combinación de un ecosistema fintech maduro, costes operativos competitivos y una autoridad supervisora reconocida por su expertise técnico hace de España una elección estratégica de primer orden.

Requisitos de Capital y Estructura Financiera

Seamos directos: los requisitos de capital son, con frecuencia, el primer obstáculo que frena a muchos solicitantes. MiCA establece tres niveles de capital mínimo en función de los servicios ofrecidos, y la CNMV verifica su cumplimiento tanto en el momento de la solicitud como de forma continua durante la actividad.

El Nivel 1 aplica a los CASPs que prestan servicios de asesoramiento sobre criptoactivos, recepción y transmisión de órdenes, y colocación de criptoactivos sin firma en firme. El capital mínimo exigido es de 50.000 euros. El Nivel 2, con un mínimo de 125.000 euros, aplica a quienes operan plataformas de negociación o prestan servicios de canje de criptoactivos por fondos o por otros criptoactivos. El Nivel 3, con 150.000 euros de capital mínimo, es el más exigente y aplica a quienes prestan servicios de custodia y administración de criptoactivos por cuenta de clientes.

Más allá del capital mínimo inicial, la CNMV exige que la entidad mantenga en todo momento fondos propios equivalentes al mayor de los siguientes importes: el capital mínimo regulatorio o el 25% de los gastos fijos generales del año anterior. En entidades de mayor tamaño, este segundo criterio puede resultar considerablemente más elevado que el mínimo legal.

Adicionalmente, los CASPs que custodian activos de clientes deben contratar una póliza de seguro de responsabilidad civil profesional o disponer de fondos propios adicionales que cubran los riesgos operacionales. La CNMV ha publicado en 2025 una guía específica sobre los criterios mínimos que deben reunir estas pólizas, estableciendo coberturas mínimas que varían según el volumen de activos bajo custodia.

Requisitos Organizativos y de Gobernanza

Estructura de gobierno corporativo

La CNMV no solo evalúa los números; evalúa las personas y los procesos. El artículo 68 de MiCA establece que los órganos de administración de los CASPs deben cumplir con rigurosos requisitos de honorabilidad, conocimientos y experiencia. En términos prácticos, esto se traduce en lo siguiente:

Cada miembro del consejo de administración debe acreditar, ante la CNMV, al menos cinco años de experiencia profesional relevante en servicios financieros, tecnología o gestión empresarial. La evaluación de la idoneidad se realiza mediante el análisis de currículos, referencias profesionales y, en algunos casos, entrevistas directas con técnicos del organismo supervisor. Aquellos administradores con antecedentes de procedimientos sancionadores en el sector financiero o que hayan estado vinculados a entidades intervenidas serán objeto de un escrutinio especialmente intenso.

La entidad debe designar, como mínimo, a un Director de Cumplimiento Normativo (Compliance Officer) y a un Responsable de Riesgos, que deben operar con independencia funcional respecto a las unidades de negocio. Ambos roles deben estar cubiertos por personas con dedicación exclusiva en entidades que superen ciertos umbrales de actividad, aunque para CASPs de menor tamaño la CNMV acepta que estas funciones sean desempeñadas por la misma persona, siempre que se justifique adecuadamente la ausencia de conflictos de interés.

Políticas y procedimientos internos obligatorios

La solicitud de autorización debe ir acompañada de un programa de actividades detallado que incluya, como mínimo, los siguientes documentos:

• Política de gestión de conflictos de interés: Descripción de los mecanismos para identificar, prevenir y gestionar los conflictos que puedan surgir entre los intereses de la empresa y los de sus clientes.
• Manual de prevención del blanqueo de capitales y financiación del terrorismo (PBC/FT): Los CASPs son sujetos obligados bajo la normativa española de PBC/FT. La CNMV verifica que el manual esté actualizado a los estándares del GAFI 2024 y a las directrices de la recién creada Autoridad de Lucha contra el Blanqueo de Capitales (AMLA), que comenzó a operar plenamente en 2026.
• Política de salvaguarda de activos de clientes: Descripción del sistema de segregación de activos, incluyendo los mecanismos técnicos y contractuales utilizados para garantizar que los activos de los clientes no se mezclan con los de la propia entidad.
• Plan de continuidad del negocio (BCP): Descripción de los procedimientos para garantizar la continuidad de los servicios críticos ante eventos disruptivos, con un objetivo de tiempo de recuperación (RTO) que no supere las cuatro horas para los servicios de custodia.
• Política de ciberseguridad: Marco de gestión de riesgos tecnológicos alineado con las directrices técnicas de ENISA y compatible con los requisitos del Reglamento DORA (Digital Operational Resilience Act), plenamente aplicable en 2025.
• Política de gestión de reclamaciones: Procedimiento para la recepción, tramitación y resolución de quejas de clientes, incluyendo plazos máximos de respuesta y canales de escalada.

Un aspecto que frecuentemente subestiman los solicitantes es la calidad y profundidad de estos documentos. La CNMV no acepta manuales genéricos o plantillas estándar. Cada política debe estar adaptada a la realidad operativa específica de la entidad y debe evidenciar que ha sido efectivamente implementada, no solo redactada.

El Proceso de Solicitud Paso a Paso

El proceso de autorización ante la CNMV sigue una secuencia bien definida que conviene conocer con antelación para optimizar los tiempos y recursos invertidos.

Fase 1 – Pre-notificación (1-3 meses antes de la solicitud formal): La CNMV habilitó en 2025 un servicio de consulta previa que permite a los futuros solicitantes mantener reuniones informales con técnicos del organismo para resolver dudas sobre la documentación requerida. Este servicio, conocido como Innovation Hub, es especialmente valioso para modelos de negocio innovadores o poco convencionales. Aprovechar esta fase puede ahorrar meses de trabajo posterior.

Fase 2 – Presentación de la solicitud formal: La solicitud se presenta exclusivamente a través de la sede electrónica de la CNMV. El expediente debe incluir el formulario oficial de solicitud, el programa de actividades completo, la documentación acreditativa de los requisitos de capital, los curricula vitae y declaraciones de idoneidad de todos los miembros del órgano de administración, y la escritura de constitución de la sociedad.

Fase 3 – Verificación de completitud (hasta 25 días hábiles): La CNMV dispone de 25 días hábiles para verificar que la solicitud está completa. Si falta algún documento o la información es insuficiente, el organismo requerirá su subsanación. Este requerimiento interrumpe el cómputo del plazo de resolución, por lo que la completitud inicial del expediente es crucial para no dilatar el proceso.

Fase 4 – Evaluación técnica (hasta 3 meses desde la completitud): Una vez declarada completa la solicitud, la CNMV inicia la evaluación sustantiva. Durante esta fase, los técnicos del organismo pueden solicitar información adicional, aclaraciones o reuniones con los responsables de la entidad. El plazo máximo de resolución es de tres meses, aunque en la práctica la media en 2025 se situó en torno a los dos meses y medio.

Fase 5 – Resolución e inscripción en el registro: La autorización se otorga mediante resolución motivada del Consejo de la CNMV. Una vez notificada la resolución favorable, la entidad queda inscrita en el Registro de CASPs de la CNMV, que es público y accesible en la web del organismo. La inscripción registral es condición indispensable para iniciar la actividad.

Casos Prácticos: Lecciones del Mercado Español

Caso 1: CryptoVault España – El valor de la preparación previa

CryptoVault España, una filial de un grupo fintech con sede en Dublín, inició su proceso de autorización ante la CNMV a principios de 2025 con el objetivo de ofrecer servicios de custodia institucional de criptoactivos en el mercado ibérico. La entidad tenía la ventaja de contar con una autorización previa concedida por el Banco Central de Irlanda bajo MiCA, lo que facilitó considerablemente el proceso de pasaporte europeo.

Sin embargo, la CNMV identificó durante la evaluación que el manual de PBC/FT de la entidad no había sido actualizado para incorporar las directrices específicas de la AMLA publicadas a finales de 2024. El organismo emitió un requerimiento de subsanación que retrasó el proceso en casi dos meses. La lección es clara: incluso para entidades ya autorizadas en otros países, la actualización continua de la documentación interna es indispensable para evitar demoras innecesarias. CryptoVault finalmente obtuvo su autorización en julio de 2025 y en 2026 gestiona más de 800 millones de euros en activos bajo custodia.

Caso 2: TradeBlock Iberia – Cuando el capital no es suficiente

TradeBlock Iberia es una startup española fundada por tres emprendedores con experiencia en trading de activos tradicionales que solicitó autorización para operar una plataforma de negociación de criptoactivos en 2024. A pesar de contar con el capital mínimo requerido (125.000 euros), la CNMV denegó inicialmente la solicitud por dos motivos: la insuficiente experiencia acreditable de uno de los tres administradores en el ámbito de los mercados de valores, y la ausencia de una política de gestión de conflictos de interés suficientemente desarrollada para una plataforma multilateral de negociación.

La empresa no se rindió. Incorporó al consejo a una profesional con diez años de experiencia en la regulación de mercados financieros, desarrolló una política de conflictos de interés de 47 páginas con protocolos específicos para market makers y usuarios institucionales, y volvió a presentar la solicitud a principios de 2025. Esta vez, la CNMV otorgó la autorización en un plazo de 9 semanas. En 2026, TradeBlock Iberia gestiona un volumen mensual de transacciones superior a los 200 millones de euros.

Desafíos Comunes y Cómo Superarlos

Desafío 1: La brecha de conocimiento regulatorio. Muchos equipos fundadores de CASPs provienen del mundo tecnológico y carecen de formación en regulación financiera. Esto se traduce en solicitudes que son técnicamente impecables desde el punto de vista del producto pero que fallan en los aspectos normativos. La solución es construir el equipo correcto desde el inicio, incorporando perfiles con experiencia en compliance financiero. No escatimes en este aspecto: el coste de un buen Compliance Officer es siempre inferior al coste de una denegación o de un procedimiento sancionador posterior.

Desafío 2: La gestión del tiempo y los recursos financieros. El proceso de autorización implica costes directos (tasas de solicitud, honorarios de asesores legales, costes de adaptación tecnológica) e indirectos (tiempo del equipo directivo, retraso en el inicio de la actividad generadora de ingresos). Muchas startups subestiman el burn rate durante el período de tramitación. La CNMV cobra tasas de supervisión que en 2026 oscilan entre 3.000 y 15.000 euros en función del tipo de servicios solicitados. A esto hay que añadir honorarios de asesoría legal especializada que típicamente se sitúan entre 30.000 y 80.000 euros para expedientes completos.

Desafío 3: La evolución continua del marco normativo. MiCA es un reglamento reciente y su desarrollo normativo de segundo nivel (RTS, ITS y guidelines de ESMA y EBA) continúa evolucionando en 2026. Las entidades en proceso de autorización deben monitorizar constantemente las publicaciones del regulador europeo y adaptar su documentación interna antes de la resolución final. Una política interna que era conforme cuando se presentó la solicitud puede haber quedado desactualizada si ESMA publica nuevas directrices durante el período de evaluación.

Comparativa de Requisitos por Tipo de Servicio CASP

La siguiente tabla resume los principales requisitos en función del tipo de servicio de criptoactivos que la entidad pretende prestar:

Visualización: Tasa de Éxito en Solicitudes CASP por Sector de Origen (2025-2026)

El siguiente gráfico muestra la tasa de autorización favorable según el perfil del solicitante, basado en datos publicados por la CNMV en su Informe Anual 2025:

Preguntas Frecuentes sobre la Autorización CASP ante la CNMV

¿Puede una empresa extranjera no europea solicitar autorización CASP directamente ante la CNMV?

No directamente. Las empresas establecidas fuera del Espacio Económico Europeo no pueden solicitar autorización como CASP en España sin establecer previamente una entidad jurídica en territorio de la UE. MiCA exige que el solicitante esté constituido como persona jurídica en un Estado miembro. En la práctica, esto significa que una empresa de EE.UU., Reino Unido o cualquier otro tercer país debe crear una filial o sucursal en España (u otro Estado miembro) antes de iniciar el proceso de autorización ante la CNMV. Esta filial debe ser una entidad genuinamente operativa, no una sociedad instrumental vacía de contenido; la CNMV verifica que la sede social en España sea la sede de dirección efectiva del negocio europeo.

¿Qué ocurre si mi empresa presta servicios CASP sin autorización mientras está en proceso de solicitarla?

Esta es una de las preguntas más frecuentes y la respuesta es contundente: MiCA prohíbe expresamente la prestación de servicios de criptoactivos sin la correspondiente autorización, incluso durante el período de tramitación de la solicitud. No existe un régimen de “autorización provisional”. La CNMV puede imponer sanciones administrativas que, en 2026, oscilan entre 150.000 euros para las infracciones graves y hasta 5 millones de euros o el 10% de la facturación anual para las muy graves. Adicionalmente, la prestación no autorizada de servicios puede ser causa de denegación de la autorización posteriormente solicitada, ya que la CNMV valora la conducta regulatoria previa del solicitante. Si tu empresa estaba operando bajo el régimen transitorio del Banco de España previo a MiCA, verifica con un asesor especializado cuál es tu situación específica en 2026.

¿La autorización CASP de la CNMV cubre también la emisión de tokens o stablecoins?

No. Existe una distinción fundamental que muchos emprendedores confunden. La autorización CASP cubre la prestación de servicios relacionados con criptoactivos ya emitidos: su custodia, negociación, asesoramiento, etc. La emisión de criptoactivos, en cambio, está regulada por las disposiciones de MiCA sobre oferta pública (Título II) y emisión de tokens referenciados a activos o tokens de dinero electrónico (Títulos III y IV). Los emisores de tokens referenciados a activos y de tokens de dinero electrónico necesitan, respectivamente, una autorización específica de emisor concedida por la CNMV o autorización como entidad de dinero electrónico concedida por el Banco de España. Es perfectamente posible que una misma entidad necesite múltiples autorizaciones si combina la emisión con la prestación de servicios sobre los tokens emitidos.

Tu Hoja de Ruta hacia la Autorización CASP: Los Próximos Pasos Concretos

Llegados a este punto, tienes una visión clara y detallada de lo que implica obtener la autorización de la CNMV como proveedor de servicios de criptoactivos. El camino no es sencillo, pero es completamente transitable con la preparación adecuada. Aquí te dejamos tu plan de acción en cinco pasos:

1. Evalúa tu modelo de negocio con precisión (semanas 1-3): Identifica exactamente qué servicios CASP vas a prestar y en qué orden de prioridad. Esta decisión determina tus requisitos de capital, la complejidad de tu solicitud y el plazo estimado de resolución. Si tienes dudas sobre la clasificación de algún servicio, la CNMV ofrece consultas previas a través de su Innovation Hub.
2. Construye tu equipo de compliance (semanas 4-10): Incorpora o designa un Compliance Officer con experiencia probada en regulación financiera europea. Este es el paso más determinante para el éxito de tu solicitud. La tasa de denegación entre entidades con equipos de compliance sólidos es un 65% inferior a la media general.
3. Desarrolla tu documentación interna (semanas 8-20): Redacta o encarga la elaboración de todas las políticas y manuales requeridos. No uses plantillas genéricas. Cada documento debe reflejar la realidad operativa específica de tu empresa.
4. Constituye el capital y acredita su suficiencia (semanas 15-22):</strong