Inmediatamente después del cierre completo del período de transición de MiCA, la ESMA lanzó una acción de auditoría conjunta dirigida a los proveedores de servicios de custodia de criptoactivos, una señal concreta de que la regulación de criptoactivos en Europa está pasando de la fase de licencias a la fase de auditoría real.

Esta Acción de Auditoría Conjunta fue anunciada el 8 de julio y se llevará a cabo desde el segundo semestre de 2026 hasta el primer semestre de 2027, con el informe final que recopilará los hallazgos para ser presentado al Consejo de Supervisores de la ESMA en el segundo semestre de 2027. Este es un proceso realmente extenso, no una instantánea, sino una revisión que abarca meses.

La auditoría no será realizada por la propia ESMA, sino por la autoridad reguladora nacional de cada estado miembro, como BaFin en Alemania, AMF en Francia y CNMV en España. Cada autoridad nacional seleccionará una muestra basada en el riesgo de las empresas autorizadas dentro de su región para realizar la auditoría; es decir, no todas las empresas serán examinadas, sino que se priorizarán aquellas con el mayor volumen, operaciones transfronterizas o los mayores activos de clientes.

Las áreas cubiertas por la revisión son bastante técnicas y profundas, centrándose principalmente en la generación y gestión de claves privadas, controles de autorización de transacciones, procesos de detección y respuesta ante incidentes, riesgos de contratos inteligentes y la dependencia de proveedores de tecnología externos. Este último punto es particularmente importante porque muchos proveedores de servicios de custodia dependen de socios tecnológicos externos para su infraestructura central, creando una debilidad que de otro modo quedaría fuera del alcance de la revisión regulatoria. La ESMA busca cerrar esta brecha incluyéndolo directamente.

El momento no es coincidencia; el período de transición de MiCA cerró oficialmente el 1 de julio, y el número de proveedores registrados aumentó de 243 a 280, impulsado en gran medida por nuevos titulares de licencias como Standard Chartered, FalconX y Sygnum Europe. Chipre fue también el país con más licencias, con seis nuevas aprobaciones. Solo dos días antes de esta auditoría, Ripple también recibió la autorización completa de CASP por parte de la CSSF de Luxemburgo, lo que permite a la empresa operar en todo el Espacio Económico Europeo de treinta países. La CNMV de España ha declarado inequívocamente que no se concederán prórrogas para las plataformas no autorizadas.

El verdadero significado de esta supervisión radica en que tener una licencia ahora se considera un piso, no un techo. La ESMA quiere probar si las empresas realmente poseen resiliencia operativa, no solo parecer cumplir en papel. Gran parte de la infraestructura de custodia de criptoactivos en Europa se construye sobre un número limitado de proveedores de infraestructura: infraestructura en la nube, módulos de seguridad de hardware o empresas de gestión de claves privadas. Si los reguladores nacionales encuentran problemático al mismo proveedor externo en múltiples empresas, esto podría llevar a una costosa migración de infraestructura en todo el mercado, un riesgo sistémico precisamente que la ley paralela de resiliencia operativa digital de Europa, DORA, busca prevenir.

Para aquellos que siguen los servicios de custodia de criptoactivos o las plataformas con licencia MiCA en Europa a través de Gate, el punto crucial es que los resultados de esta auditoría proporcionarán un indicador tangible de la seguridad de los activos de los usuarios, y la rigurosidad con que las autoridades nacionales apliquen esta auditoría determinará cuán diferentes serán los estándares de auditoría para una empresa autorizada en un estado miembro en comparación con otro. Esta será la primera prueba concreta de si MiCA puede realmente crear un estándar de auditoría unificado.