El sector financiero español afronta en 2025-2026 el período de mayor densidad regulatoria de las últimas dos décadas. La combinación de DORA, NIS2, la nueva arquitectura AML europea, MiCA para criptoactivos, los requisitos ESG bajo CSRD y la inminente PSD3 configura un paisaje de compliance sin precedentes en complejidad y alcance. Esta guía analiza los retos principales y sus implicaciones prácticas para entidades financieras, gestoras, proveedores de servicios de pago y empresas del sector.
DORA: La revolución de la resiliencia operativa digital
El Reglamento DORA (Digital Operational Resilience Act, Reglamento UE 2022/2554) entró en plena aplicación el 17 de enero de 2025. Su objetivo es garantizar que el sector financiero europeo pueda resistir, responder y recuperarse de cualquier perturbación operacional grave relacionada con las tecnologías de la información y comunicación (TIC).
El ámbito de aplicación es extraordinariamente amplio: entidades de crédito, empresas de servicios de inversión, gestoras de fondos, aseguradoras, plataformas de negociación, entidades de contrapartida central, proveedores de servicios de criptoactivos bajo MiCA y proveedores de servicios de pago. Los proveedores TIC terceros considerados críticos están sujetos a supervisión directa de las Autoridades Supervisoras Europeas (ESAs).
Los cinco pilares del marco DORA exigen: un marco de gobernanza del riesgo TIC con responsabilidad explícita del consejo de administración; un sistema de clasificación y notificación de incidentes TIC graves (4 horas para notificación inicial, 72 horas para informe intermedio, un mes para informe final); pruebas periódicas de resiliencia incluyendo pruebas de penetración avanzadas (TLPT) cada tres años; gestión rigurosa del riesgo de proveedores TIC terceros con cláusulas contractuales obligatorias; e intercambio de información sobre ciberamenazas entre entidades.
NIS2 e interacción con DORA
La Directiva NIS2 transpuesta en España establece requisitos de seguridad para entidades esenciales e importantes en sectores críticos. Para las entidades financieras, DORA actúa como lex specialis y sustituye a NIS2 en materia de seguridad de redes y sistemas. Sin embargo, las entidades deben verificar caso a caso que la cobertura de DORA es completa, ya que pueden existir lagunas según el tipo de actividad y la autoridad supervisora competente.
Las sanciones bajo NIS2 para entidades esenciales alcanzan hasta 10 millones de euros o el 2% del volumen de negocio global, mientras DORA prevé sanciones de hasta 1% del volumen de negocio diario promedio durante el año anterior por cada día de incumplimiento.
La nueva arquitectura AML europea: Sexta Directiva y AMLA
La arquitectura de prevención del blanqueo de capitales experimenta su reforma más profunda desde 2015. El paquete legislativo adoptado en mayo de 2024 —Directiva 2024/1640 (Sexta Directiva AML), Reglamento 2024/1624 (Reglamento AML) y Reglamento 2024/1620 (AMLA)— crea una nueva Autoridad Europea Anti-Blanqueo (AMLA) con sede en Frankfurt y poderes de supervisión directa sobre las entidades financieras de mayor riesgo en toda la UE.
Las implicaciones prácticas para las entidades financieras incluyen: actualización de las políticas de diligencia debida con el nuevo umbral de beneficiario real al 15%; extensión del perímetro de sujetos obligados a proveedores MiCA; requisitos armonizados de formación del personal expuesto; nuevos umbrales de sanciones mínimas armonizadas en toda la UE; y preparación para posible supervisión directa de AMLA para entidades de alto perfil de riesgo.
MiCA: El nuevo régimen para criptoactivos
El Reglamento MiCA, en plena aplicación desde diciembre de 2024, impone por primera vez un marco regulatorio armonizado para los mercados de criptoactivos en la UE. Los proveedores de servicios de criptoactivos (CASP) que operen en España deben obtener autorización de la CNMV o acreditar pasaporte europeo desde otro Estado miembro.
Las exigencias de capital mínimo (50.000-150.000 euros según tipo de servicio), las obligaciones de custodia de activos de clientes con segregación, los requisitos de libro blanco de criptoactivos y la sujeción como nuevos sujetos obligados AML constituyen las cargas más significativas para el sector cripto. Las empresas que operaban en el vacío regulatorio previo deben haber adaptado sus modelos de negocio o arriesgan cese de actividad.
ESG Reporting: la sostenibilidad como obligación regulatoria
La CSRD (Corporate Sustainability Reporting Directive) amplía progresivamente el universo de entidades obligadas a publicar información de sostenibilidad bajo los estándares ESRS. Las entidades financieras con más de 250 empleados están sujetas desde el ejercicio 2025.
Para el sector financiero, las obligaciones ESG tienen una doble dimensión: como entidades que deben reportar su propia sostenibilidad conforme a ESRS, y como actores que canalizan capital hacia actividades clasificadas según la Taxonomía Europea. El Reglamento SFDR añade obligaciones de divulgación sobre la integración de riesgos de sostenibilidad en los productos financieros gestionados.
El riesgo de greenwashing —presentación engañosa de las características de sostenibilidad de productos financieros— está siendo objeto de supervisión creciente por ESMA y los supervisores nacionales.
PSD3 y el futuro de los pagos
La propuesta de PSD3 y el nuevo Reglamento de Servicios de Pago (PSR) están en proceso legislativo con transposición prevista para 2027. Sus principales novedades incluyen el refuerzo de la autenticación reforzada de clientes, la regulación del fraude en pagos con responsabilidad compartida, el acceso directo a sistemas de pago para entidades no bancarias y la convergencia hacia un marco de open banking más potente.
Las entidades de pago autorizadas bajo PSD2 deben comenzar ahora el análisis de brechas respecto del nuevo marco para planificar las adaptaciones con suficiente anticipación.
Hoja de ruta para la función de compliance financiero
La respuesta eficiente a esta agenda regulatoria requiere una función de compliance con capacidad de gestionar múltiples marcos normativos simultáneamente. Las prioridades para 2025-2026 son: completar la implementación de DORA; revisar las políticas AML ante el nuevo Reglamento 2024/1624; obtener autorización MiCA si se opera en criptoactivos; preparar el primer informe CSRD si aplica; y monitorizar el avance legislativo de PSD3/PSR para anticipar adaptaciones.
La integración de los distintos marcos de compliance en una función unificada de gestión de riesgos —en lugar de silos separados por regulación— es la clave para la eficiencia y la capacidad de respuesta ante una supervisión creciente.
