La ESMA revisará por primera vez cómo custodian tus monedas los exchanges autorizados
Los supervisores de todos los Estados miembros examinarán juntos cómo guardan sus claves los CASP, cómo gestionan incidentes y cómo tratan con proveedores externos. El ejercicio se prolonga hasta mediados de 2027 y afecta justo a la parte que menos ven los clientes.
Quien deja sus monedas en un exchange confía en algo que no puede comprobar: la forma en que esa empresa guarda sus claves. La ESMA va a mirarlo ahora de forma específica por primera vez.
Qué es una Common Supervisory Action
Una Common Supervisory Action no es una campaña sancionadora ni la inspección de una sola entidad. Es un examen coordinado en el que los supervisores nacionales, es decir AFM, FSMA, BaFin, AMF, CNMV, CMVM, CONSOB, KNF y Finanstilsynet, utilizan el mismo cuestionario y el mismo criterio. Así se ve si una autorización concedida en un país significa en la práctica lo mismo que en otro.
Es la primera vez que la ESMA aplica ese instrumento al ámbito cripto. El motivo es la combinación de MiCA y DORA, la norma europea sobre resiliencia operativa digital de las entidades financieras, aplicable desde el 17 de enero de 2025.
Qué se examina exactamente
La ESMA menciona siete temas: los riesgos inherentes a la DLT, la gobernanza, la gestión y el almacenamiento de claves, los controles sobre las transacciones, la detección de incidentes y la respuesta a ellos, los riesgos de los smart contracts y la dependencia de proveedores externos.
Este último punto es más silencioso de lo que parece. Muchos proveedores autorizados no custodian ellos mismos, sino que subcontratan la custodia a una empresa especializada. Si diez exchanges usan el mismo subcontratista, eso es un único punto de fallo para diez autorizaciones a la vez.
Una muestra, no una revisión completa
Detalle importante: los supervisores tomarán una muestra basada en el riesgo de los CASP autorizados, no todos. Que tu exchange preferido no esté en el examen no dice nada, por tanto, sobre la calidad de su custodia. Y al revés: que una entidad sí sea examinada no indica que haya algo mal.
El calendario
El examen se desarrolla desde la segunda mitad de 2026 hasta la primera mitad de 2027. El informe final llegará a la Junta de Supervisores de la ESMA en la segunda mitad de 2027 y recogerá las conclusiones, las buenas prácticas del sector, los puntos débiles y las recomendaciones.
En concreto: antes de 2028 cambiará poco visible para ti como cliente. Lo que sí ocurre ya es que los proveedores están poniendo en orden su documentación, porque saben que el cuestionario está de camino.
Qué te aporta esto
Dos cosas para recordar. Primera: una autorización MiCA dice que una entidad cumple las normas sobre el papel, y este examen es el primero en comprobar si eso también funciona en la sala de máquinas. Esa diferencia existe, y ahora está oficialmente reconocida.
Segunda: mientras ese informe no esté publicado, sigue valiendo la vieja regla. Lo que dejas en un exchange lo guarda otro. Lo que guardas tú, lo guardas tú, con todas las ventajas e inconvenientes que eso conlleva.
Fuentes: nota de prensa de la ESMA del 8 de julio de 2026 sobre la Common Supervisory Action relativa a la resiliencia operativa digital de los CASP en la custodia. Última comprobación: 5 de agosto de 2026.