Errores frecuentes en las solicitudes CASP y cómo evitarlos

IMPORTANTE: Este artículo fue redactado conforme al marco normativo y supervisor vigente al momento de su publicación, en especial el Reglamento (UE) 2023/1114 —MiCA— y los criterios aplicables a los proveedores de servicios de criptoactivos ante la CNMV. Dado que los requisitos de autorización CASP, los manuales de solicitud, los criterios técnicos, las exigencias de gobernanza, AML/CFT, ciberseguridad y revisión documental pueden actualizarse por la CNMV, ESMA u otras autoridades competentes, cada expediente debe revisarse conforme a la normativa vigente y al modelo de negocio real del solicitante.

La entrada en vigor de MiCA ha abierto una etapa completamente nueva para los proveedores de servicios de criptoactivos (CASP) en la Unión Europea. En España, la CNMV se ha convertido en la puerta de entrada obligatoria para cualquier proyecto que quiera operar con seguridad jurídica, captar inversión institucional o escalar sus operaciones sin incertidumbre regulatoria.

El problema que observamos en algunso proyectos que nos presentan es que ese incremento de solicitudes no va acompañado del mismo nivel de calidad en los expedientes. En la práctica vemos un patrón muy claro: la mayoría de rechazos y requerimientos de subsanación derivan de errores completamente evitables.

Este artículo es una guía práctica —sin tecnicismos innecesarios— para entender dónde vemos que fallan los expedientes CASP, cómo evitarlos y qué espera realmente la CNMV de cada proyecto.

IN DIEM Abogados aporta el enfoque jurídico-regulatorio y Cryptoveritas 360 el expertise técnico, de ciberseguridad y auditoría blockchain.

¿Por qué es tan fácil cometer errores en las solicitudes CASP?

Quien se acerca por primera vez a MiCA suele pensar que se trata de una regulación orientada únicamente a la parte jurídica. Pero en realidad es un modelo jurídico + técnico + operativo.

Los documentos deben encajar como un puzle: manuales AML, gobernanza, arquitecturas tecnológicas, flujos operativos, políticas de custodia, etc. Cualquier incoherencia es detectada rápidamente por la CNMV.

Muchos proyectos provienen del entorno startup, donde la rapidez prevalece sobre la documentación. Esto choca de lleno con el nivel de detalle que exige MiCA.

Requisitos MiCA España: el punto cero donde empiezan muchos errores

Solvencia y capital

MiCA exige solvencia real, no declarativa. Un servicio de custodia con millones bajo gestión no puede justificar un capital reducido sin análisis de riesgos sólido.Uno de los errores más graves: manuales genéricos o copiados. La CNMV los detecta al momento porque carecen de la especificidad necesaria. Un manual AML debe estar vivo, reflejando los riesgos reales de tu modelo de negocio, tus clientes y las blockchains con las que operas.

Manuales AML/CFT

Uno de los errores más graves: manuales genéricos o copiados. La CNMV los detecta al momento porque carecen de la especificidad necesaria. Un manual AML debe estar vivo, reflejando los riesgos reales de tu modelo de negocio, tus clientes y las blockchains con las que operas.

Gobernanza

Roles claros, trazabilidad y procesos definidos. Muchos proyectos fallan por organigramas “bonitos pero vacíos”, donde no se asignan responsabilidades concretas ni se demuestra una cadena de mando efectiva para la toma de decisiones críticas.

Sistemas tecnológicos

Uno de los requisitos más exigentes. La parte técnica a menudo se describe de forma superficial, generando dudas relevantes sobre la seguridad, resiliencia y capacidad real de la infraestructura. La CNMV necesita entender no solo qué haces, sino cómo lo haces de forma segura.

IN DIEM + Cryptoveritas 360 contrastan cada documento con el resto para evitar incoherencias, el error más frecuente.

Los 10 errores más frecuentes en las solicitudes CASP

1. Modelos de negocio vagos o incoherentes.

• El Error: Describir el servicio de forma genérica («somos un exchange») sin detallar los flujos de trabajo específicos, los clientes objetivo, las fuentes de ingresos o una evaluación realista de los riesgos operativos.
• Ejemplo CNMV: Un proyecto se presenta como un marketplace de NFTs, pero su documentación AML no diferencia los riesgos entre un artista que mintea una obra y un coleccionista que comercia con volúmenes altos. La CNMV percibe una falta de comprensión de su propio negocio.
• La Solución: El modelo de negocio debe ser una narrativa operativa completa. Incluye diagramas de flujo de usuario (onboarding, trading, retiradas), define tus clientes tipo (buyer personas) y presenta un análisis DAFO que justifique tus decisiones estratégicas y de riesgo.

2. Planes AML/CFT genéricos copiados de terceros.

• El Error: Utilizar plantillas de internet o documentos de otras empresas sin adaptarlos a la realidad tecnológica y operativa del proyecto. La CNMV busca el «corta y pega» y lo penaliza.
• Ejemplo CNMV: El manual AML menciona la supervisión de «transacciones en efectivo» o riesgos geográficos de jurisdicciones en las que no operas, cuando tu plataforma es 100% digital y opera en la UE. Esto delata la falta de personalización.
• La Solución: Personalización absoluta. Tu manual AML debe reflejar tu evaluación real de riesgos, mencionar las herramientas de KYT específicas que usas (como Chainalysis o Elliptic), los protocolos blockchain que soportas y los umbrales de alerta definidos según tu actividad.

3. Gobernanza mal definida o sin responsables claros.

• El Error: Organigramas «de adorno» donde no queda claro quién tiene la autoridad última para tomar decisiones en áreas críticas como AML, tecnología o gestión de riesgos.
• Ejemplo CNMV: La figura del «Responsable de Cumplimiento» aparece en el organigrama, pero sus funciones descritas en otro documento son ambiguas y no se le otorga poder de veto sobre el lanzamiento de nuevos productos de alto riesgo. Se percibe como un puesto testimonial.
• La Solución: Asignar nombres y apellidos a cada rol exigido por MiCA. Crear matrices de responsabilidad (RACI) y adjuntar actas de las primeras reuniones del comité de riesgos para demostrar que la gobernanza es activa y no solo teórica.

4. Desalineación entre documentos técnicos y jurídicos.

• El Error: La descripción técnica de los sistemas (p. ej., ratio entre carteras frías y calientes) no coincide con los plazos de ejecución o las políticas de recuperación de desastres descritas en los manuales operativos y jurídicos.
• Ejemplo CNMV: El documento jurídico promete una disponibilidad del servicio (SLA) del 99,99%, pero la arquitectura técnica describe ventanas de mantenimiento sin procedimientos de comunicación al cliente o redundancia real. La incoherencia es flagrante.
• La Solución: Revisión cruzada y constante. Un abogado debe entender los fundamentos de la tecnología descrita, y un técnico debe comprender los requisitos legales que debe cumplir la arquitectura. Cada afirmación en un documento debe tener su reflejo coherente en todos los demás.

5. Falta de justificación de requisitos tecnológicos.

• El Error: Afirmar que se cumple con los estándares de ciberseguridad sin detallar cómo. Frases vagas como «usamos encriptación» o «contamos con un SOC» son insuficientes y generan requerimientos inmediatos.
• Ejemplo CNMV: «Contamos con un SOC (Security Operations Center)». La CNMV preguntará: ¿Es interno o externalizado? ¿Qué certificaciones tiene el equipo? ¿Cuáles son los SLAs de respuesta? ¿Qué eventos se monitorizan específicamente?
• La Solución: Especificidad técnica. En lugar de «encriptación», detallar «usamos AES-256 para datos en reposo y TLS 1.3 para datos en tránsito». Adjuntar certificaciones del equipo, diagramas de arquitectura detallados y políticas de seguridad documentadas (parcheo, acceso, etc.).

6. Subestimar KYC y trazabilidad.

• El Error: Implementar un proceso KYC básico que no escala o no permite una trazabilidad completa de las transacciones de un cliente a lo largo del tiempo, incumpliendo el principio de «conozca a su cliente» de forma continuada.
• Ejemplo CNMV: El sistema permite el onboarding de un cliente, pero no puede rastrear y agrupar de forma automática todas sus carteras asociadas o detectar patrones de comportamiento sospechoso basados en el historial transaccional.
• La Solución: Integrar herramientas de análisis on-chain y KYT desde el diseño. Demostrar a la CNMV que tu sistema puede seguir el rastro de los fondos más allá de una simple transacción, vinculando direcciones y detectando comportamientos anómalos.

7. No justificar la experiencia del equipo directivo.

• El Error: Presentar CVs genéricos sin demostrar cómo la experiencia específica de cada directivo es relevante y adecuada para los riesgos y la complejidad de un CASP.
• Ejemplo CNMV: El Director de Tecnología tiene una amplia experiencia en TI tradicional, pero su CV no muestra conocimiento específico en ciberseguridad blockchain, gestión de claves privadas o arquitecturas descentralizadas.
• La Solución: Los CVs deben ser argumentativos. No solo listar experiencias, sino explicar cómo cada puesto anterior ha preparado al directivo para gestionar los riesgos específicos de MiCA. Formación específica en blockchain y regulación es un plus clave.

8. Procedimientos de continuidad inexistentes o vagos.

• El Error: No tener un plan de continuidad del negocio (BCP) o tener uno que es una mera declaración de intenciones, sin pasos concretos, roles asignados y planes de comunicación para incidentes graves.
• Ejemplo CNMV: El plan BCP menciona «recuperación en un sitio secundario» pero no especifica los RTO (Objetivo de Tiempo de Recuperación) y RPO (Objetivo de Punto de Recuperación), ni detalla cómo se garantiza la consistencia de los datos en un escenario de crisis.
• La Solución: Desarrollar un BCP detallado y realista. Incluir escenarios de prueba, planes de comunicación para clientes y reguladores, y procedimientos técnicos específicos para la recuperación de sistemas y datos.

9. Políticas de custodia superficiales o poco creíbles.

• El Error: Describir un sistema de custodia sin proporcionar evidencia técnica de su implementación, como los esquemas de firmas multiparte, la segregación de activos o los protocolos de recuperación de claves.
• Ejemplo CNMV: Una empresa afirma usar «carteras frías en un 98%» pero no describe el procedimiento físico y lógico para acceder a ellas, ni cómo se mitiga el riesgo de un punto único de fallo en ese proceso.
• La Solución: Aportar documentación técnica profunda sobre la custodia. Diagramas de la arquitectura de claves, descripción de los Hardware Security Modules (HSMs), y procedimientos auditados para la generación, almacenamiento y uso de claves privadas.

10. Incoherencias entre anexos presentados a la CNMV.

• El Error: Los datos, cifras o descripciones en un anexo no coinciden con los de otro. Por ejemplo, el capital social en un documento difiere del declarado en otro, o la lista de protocolos soportados en el manual técnico no coincide con la del comercial.
• Ejemplo CNMV: El anexo financiero presenta un capital de 150.000€, mientras que la memoria descriptiva habla de 125.000€. O el manual de marketing promociona el soporte para una blockchain que no aparece en la evaluación de riesgos tecnológicos.
• La Solución: Realizar una «lectura horizontal» final de todo el expediente. Revisar que cada dato, nombre, cifra y descripción sea consistente en los más de 20 documentos que suele incluir una solicitud. Esta es una de las tareas más críticas antes de la presentación.

¿Cómo evitar errores antes de presentar tu solicitud?

La mejor estrategia es realizar una pre-auditoría legal y técnica que revise todo el expediente con el mismo enfoque que lo haría la CNMV, pero con una mentalidad constructiva y de mejora.

Checklist básico

• Modelo de negocio operativo y comprensible, con flujos detallados.
• Riesgos identificados, evaluados y justificados cuantitativamente.
• Manual AML 100% adaptado a tu servicio, tecnología y clientes.
• Tecnología descrita con precisión, sin vaguedades.
• Medidas reales de ciberseguridad, documentadas y justificadas.
• Gobernanza coherente, con responsables y procesos definidos.
• Equipo directivo idóneo y solvente, con experiencia relevante acreditada.
• Todos los anexos alineados y sin contradicciones internas.

La importancia del alineamiento legal–técnico: el factor decisivo

Si la parte jurídica dice una cosa y la técnica describe otra, la CNMV lo detectará en cuestión de minutos. Esta desconexión es la principal causa de requerimientos de subsanación y retrasos. La regulación MiCA es, por su naturaleza, un marco interdisciplinar que exige una respuesta igualmente integrada.

Cómo lo solucionan IN DIEM + Cryptoveritas 360

• Auditoría de smart contracts (si aplica) y revisión de arquitectura blockchain.
• Evaluación de ciberseguridad integral de la infraestructura.
• Análisis de riesgos tecnológicos alineado con los requisitos de capital.
• Revisión cruzada de todos los manuales (AML, Gobernanza, Tecnología) para garantizar coherencia.
• Alineamiento total entre el modelo de negocio, la tecnología subyacente y las políticas AML/CFT.

Ten en cuenta que…

La mayoría de errores en las solicitudes CASP son evitables. No dependen del tamaño del proyecto, sino de la calidad del expediente y del alineamiento entre lo jurídico, lo técnico y lo operativo.

¿Cómo puede ayudar IN DIEM Abogados en este proceso?

En IN DIEM Abogados y Cryptoveritas 360 trabajamos juntos para que cada solicitud llegue a la CNMV coherente, sólida y lista para aprobarse sin retrasos.

Nuestro despacho ofrece asesoramiento completo en todas las áreas relacionadas con criptoactivos y blockchain, incluyendo:

• Derecho y Criptomonedas: asesoramos en Bitcoin, Altcoins, ICOs, NFTs y proyectos basados en blockchain, proporcionando seguridad legal desde la creación hasta la operativa de cualquier criptoactivo.
• Fiscal y Tributario Cripto: ofrecemos orientación experta sobre tributación de inversiones en criptomonedas, operaciones de compraventa, staking, DeFi y airdrops, asegurando el cumplimiento de la normativa vigente.
• Registro y Cumplimiento ante el Banco de España: guiamos a plataformas de intercambio y custodia de criptomonedas en su inscripción y cumplimiento regulatorio, garantizando la operativa segura y legal.
• Adaptación al Reglamento MiCA: ayudamos a empresas cripto a cumplir con la nueva regulación europea, cubriendo desde la obtención de licencias hasta la implementación de políticas de prevención de blanqueo de capitales (AML), protección al consumidor y auditoría de cumplimiento.
• Estafas en Plataformas Web con Criptomonedas. Penal: ofrecemos defensa jurídica y estrategias de recuperación frente a fraudes o estafas en exchanges, wallets o cualquier plataforma de inversión digital.

En un entorno regulatorio cada vez más complejo y competitivo, contar con un despacho que entienda tanto la tecnología como la ley es clave para minimizar riesgos y aprovechar oportunidades. In Diem Abogados, en colaboración con su partner tecnológico Cryptoveritas 360, no solo asesora: acompaña, implementa y garantiza que tu empresa cripto cumpla con la normativa, integre soluciones tecnológicas seguras y prospere en el ecosistema digital.

IN DIEM Abogados, expertos en criptomonedas a tu disposición

En IN DIEM Abogados, contamos con los mejores expertos en diferentes ramas del Derecho —Penal, Civil, Administrativo, Mercantil y Social—, garantizando en todo momento el asesoramiento y la defensa de los intereses de nuestros clientes. Además, nuestro despacho está especializado en la dirección y coordinación de procedimientos penales y civiles con grupos de afectados, lo que nos permite ofrecer una estrategia conjunta eficaz, optimizar recursos y fortalecer la posición de cada cliente dentro del proceso.

Contacte con IN DIEM Abogados las 24 horas, cualquier día de la semana, sin compromiso.

Garantizamos el mejor resultado posible, sea cual sea su caso.

•  Atención personalizada y profesional
• Asesoramiento en Tributación y Cumplimiento Normativo
•  Asistencia en procedimientos tributarios, judiciales u otros
•  Contacto 24 h. con su abogado experto
•  Absoluta confidencialidad

¿Algo más sobre Abogados IN DIEM? Te dejamos este breve video de presentación…

Para algunos reconocimientos te dejamos este enlace.

Nos encontrará en Sevilla, Madrid, Las Palmas de Gran Canaria, Málaga, Tomares, Coria del Rio, Dos Hermanas, Mairena del Alcor, Estepona, Marbella, y Mairena del Aljarafe. Será un placer atenderle.