La custodia de criptoactivos para bancos en la UE no requiere una licencia separada, porque un banco puede ofrecerla a sus propios clientes mediante notificación. Con arreglo al artículo 60 de MiCA (MiCA es el Reglamento de la UE sobre los mercados de criptoactivos), una entidad de crédito notifica a su regulador de origen al menos 40 días hábiles antes de iniciar la actividad, y el regulador comprueba si el expediente está completo. No concede ninguna licencia.
Las decisiones difíciles están en otro lugar: si construir la infraestructura de claves o alquilarla, cuánto capital inmoviliza la cripto y cuánto tarda realmente el lanzamiento. A continuación, cada una se responde a partir del texto del reglamento, del registro de ESMA y de lo que BNY, BBVA y Deutsche Bank han hecho hasta ahora.
Momentos clave
En resumen
- Un banco ofrece custodia de criptoactivos mediante notificación, no autorización: 40 días hábiles antes del lanzamiento, con una comprobación de integridad de 20 días hábiles (MiCA, art. 60).
- Las normas de custodia son las mismas que para cualquier proveedor: contrato con el cliente, registro de posiciones, un extracto al menos cada tres meses, tres niveles de segregación y responsabilidad por los activos perdidos (MiCA, art. 75).
- La pesada carga de capital, una ponderación de riesgo del 1.250 % y un límite del 1 % del capital Tier 1, se aplica a los criptoactivos que el banco posee por cuenta propia (CRR, art. 501d). El tratamiento de los activos segregados de clientes es una cuestión para su supervisor.
- Al menos 128 entidades del registro de ESMA están etiquetadas como «Artículo 60» a fecha de la actualización del 20 de octubre de 2026, la mayoría alemanas; 27 indican custodia, y unas 19 de ellas son bancos.
¿Necesitan los bancos una licencia de proveedor de servicios de criptoactivos (CASP) para ofrecer custodia de criptoactivos?#
No. Un CASP es un proveedor de servicios de criptoactivos autorizado en virtud de MiCA, y los bancos quedan exentos de esa vía. El artículo 60, apartado 1, de MiCA establece que una entidad de crédito «puede prestar servicios de criptoactivos si notifica la información a que se refiere el apartado 7 a la autoridad competente de su Estado miembro de origen al menos 40 días hábiles antes de prestar esos servicios por primera vez» (Reglamento (UE) 2023/1114).
El regulador dispone entonces de 20 días hábiles para comprobar si está toda la información requerida (art. 60, apartado 8). Si falta algo, la pide y fija un plazo de hasta 20 días hábiles. El cómputo se detiene hasta que venza ese plazo. No se puede empezar mientras el expediente esté incompleto. El artículo 60 no contiene ninguna facultad expresa para aprobar o denegar. El artículo 60, apartado 10, además excluye para los bancos varios artículos aplicables a los CASP: solicitudes, denegación, retirada, participaciones cualificadas y capital. La normativa bancaria ya cubre esos aspectos.
La Q&A 2088 de ESMA, de 29 de enero de 2024, confirma el alcance: «Una entidad de crédito puede prestar cualquier servicio de criptoactivos sobre la base de una notificación del artículo 60». Añade dos advertencias. Un banco sin licencia para un tipo de servicio puede tener dificultades para aportar la información correspondiente. Y la notificación debe ajustarse a las normas bancarias nacionales, que difieren según el país.
Así que la notificación es rápida sobre el papel. El trabajo está en el expediente.
¿Qué incluye una notificación del artículo 60?#
El artículo 60, apartado 7, enumera la información. El Reglamento Delegado (UE) 2025/303 detalla su contenido. El Reglamento de Ejecución (UE) 2025/304 fija los formularios. Ambos se publicaron en el Diario Oficial el 20 de febrero de 2025. El programa de operaciones debe cubrir la estructura del negocio, los clientes objetivo, los canales de comercialización y la capacidad durante tres años.
| Elemento del artículo 60, apartado 7 | Lo que exige el regulador | ¿Necesario para la custodia? |
|---|---|---|
| (a) Programa de operaciones | Qué servicios, dónde y cómo se comercializan | Sí |
| (b) Controles AML/CFT | Controles internos, evaluación del riesgo de BC/FT y plan de continuidad de negocio | Sí |
| (c) Documentación TIC | Descripción técnica de los sistemas y de la seguridad, además de un resumen no técnico | Sí |
| (d) Procedimiento de segregación | Cómo se separan los criptoactivos y los fondos de los clientes | Sí |
| (e) Política de custodia y administración | Cómo se mantienen las claves y los activos | Sí |
| (j) Tipo de criptoactivos | Si los servicios se refieren a fichas de dinero electrónico, fichas referenciadas a activos u otros criptoactivos | Sí |
| (k) Servicios de transferencia | Cómo se ejecutan las transferencias para los clientes | Si ofrece transferencias |
Los puntos f) a i) solo se aplican a plataformas de negociación, intercambio, ejecución y asesoramiento. Un banco que solo presta custodia queda fuera de ellos. Los puntos c) y e) son los que concentran la mayor parte del trabajo, porque describen la infraestructura que se ha construido o se ha alquilado.
Qué exige MiCA a un banco que custodia criptoactivos de sus clientes#
Una vez en funcionamiento, un banco notificado sigue las mismas reglas de custodia que un proveedor de servicios de criptoactivos (CASP) autorizado. Estas reglas figuran en el artículo 75 de MiCA y resultan familiares para cualquiera que venga de la custodia de valores, con una diferencia: lo que se protege es una clave privada, el secreto que mueve el activo en la blockchain.
El contrato con el cliente (art. 75, apartado 1) debe indicar como mínimo las partes, el servicio, la política de custodia, la forma en que se comunica y autentica al cliente, los sistemas de seguridad, las comisiones y gastos, y la legislación aplicable.
Después vienen los registros (art. 75, apartados 2, 3 y 5): un registro de posiciones a nombre de cada cliente y un estado de posiciones «al menos una vez cada tres meses y a petición del cliente». La política de custodia debe minimizar el riesgo de pérdida «por fraude, ciberamenazas o negligencia», y los clientes pueden pedir un resumen de ella.
La segregación (art. 75, apartado 7) tiene tres niveles. Los activos de los clientes se mantienen separados de los del banco, se mantienen por separado en la propia blockchain y quedan segregados jurídicamente, de modo que los acreedores del banco no tienen derecho a reclamarlos. A ello se suma la segregación operativa. El artículo 70 añade un deber general de proteger los derechos de propiedad de los clientes en caso de insolvencia y prohíbe utilizar los criptoactivos de los clientes por cuenta propia del banco.
En cuanto a la responsabilidad (art. 75, apartado 8), el banco responde de la pérdida de criptoactivos, o de los medios de acceso a ellos, causada por un incidente que le sea imputable. La responsabilidad está «limitada al valor de mercado del criptoactivo perdido en el momento en que se produjo la pérdida». Quedan excluidos los problemas inherentes a una blockchain que el banco no controla.
Los supervisores ya están sometiendo estos controles a prueba en los CASP autorizados. En julio de 2026 la ESMA puso en marcha una acción común de supervisión sobre la custodia: «La CSA evaluará la madurez de los marcos de resiliencia operativa digital de los CASP en relación con las actividades de custodia». Abarca las claves y el almacenamiento, los controles de transacciones, la respuesta a incidentes y la dependencia de terceros. El trabajo se extiende desde finales de 2026 hasta 2027, con un informe en el segundo semestre de 2027. La acción no nombra a bancos, pero cabe esperar las mismas preguntas.
¿Cuánto capital cuesta la custodia de criptoactivos a un banco?#
Probablemente menos de lo que temen la mayoría de consejos de administración, siempre que el banco mantenga criptoactivos solo por cuenta de sus clientes. La norma europea de capital para los criptoactivos es el artículo 501d del Reglamento sobre requisitos de capital, y se refiere a las tenencias propias del banco. Las fichas referenciadas a activos que cumplen MiCA y están respaldadas por activos tradicionales tienen una ponderación de riesgo del 250 %. Al resto de criptoactivos se les aplica una ponderación del 1.250 %, y la exposición total a ellos se limita al 1 % del capital de nivel 1. Los activos tradicionales tokenizados se tratan como el activo que representan.
Los activos de clientes custodiados en virtud del artículo 75, apartado 7, están segregados jurídicamente del patrimonio del banco. La lectura habitual es que no constituyen una exposición propia del banco en criptoactivos, pero el artículo 501d no los excluye de forma expresa. Sí conllevan riesgo operativo. El estándar de criptoactivos del Comité de Basilea (SCO60, en vigor desde el 1 de enero de 2026) aplica sus secciones de riesgo operativo a «los servicios de custodia que implican la conservación o administración de criptoactivos de clientes de forma segregada». Ese riesgo pasa por el enfoque estándar de riesgo operativo. Los textos de la UE no detallan una carga de custodia independiente. Conviene preguntar al supervisor cómo lo interpreta antes de dimensionar el caso de negocio.
Las reglas aún podrían cambiar. El 20 de mayo de 2026 el Comité de Basilea afirmó que «ha acelerado una revisión de elementos concretos de su estándar prudencial para las exposiciones de los bancos a criptoactivos». No hemos encontrado ningún resultado publicado a finales de octubre de 2026.
¿Construir o alquilar? Qué modelo encaja en la custodia de criptoactivos para bancos#
Hay tres vías, y los bancos que ya están operativos utilizan las tres.
Construir una plataforma de claves propia#
El banco gestiona sus propias claves, monederos y controles. BBVA afirmó en marzo de 2025 que su servicio español de criptoactivos utiliza «su propia plataforma de custodia de claves criptográficas». BNY gestiona su propia plataforma Digital Asset Custody, lanzada en 2022 y extendida a algunas entidades seleccionadas de la UE en octubre de 2026. Este modelo ofrece el mayor control y el camino más largo. El banco es responsable del diseño de seguridad, de las auditorías y del personal.
Licenciar la tecnología y mantener la condición de custodio#
El banco sigue siendo el custodio en derecho y en el registro, pero su infraestructura de claves procede de un proveedor tecnológico. En este modelo el proveedor aporta el software, y el banco redacta las políticas y asume la responsabilidad. Deutsche Bank mantiene desde hace tiempo una alianza tecnológica con Taurus y, según Bloomberg en julio de 2025, planeaba lanzar la custodia en 2026, al parecer con Bitpanda.
Delegar la custodia en un CASP autorizado#
El artículo 75, apartado 9, permite que un proveedor de custodia recurra a otro proveedor, pero «solo podrá recurrir a proveedores de servicios de criptoactivos autorizados de conformidad con el artículo 59», y el cliente debe ser informado. Un banco también puede ofrecer custodia a través de un proveedor autorizado que actúa como custodio, mientras conserva la relación con el cliente y la aplicación bancaria. Si el banco necesita su propia notificación en ese esquema, por ejemplo para transmitir órdenes de clientes, es una cuestión para consultar con asesores jurídicos.
| Modelo | Quién custodia las claves | Qué construye el banco | Tiempo hasta el lanzamiento (estimación del proveedor) | Veredicto para un banco de tamaño medio (nuestra opinión) |
|---|---|---|---|---|
| Construir plataforma propia | El banco | Gestión de claves, monederos, seguridad, auditorías, equipo de operaciones | 12 a 24 meses | Depende |
| Licenciar tecnología | El banco, sobre software del proveedor | Políticas, integración, operaciones; el proveedor aporta la pila tecnológica | 2 a 6 meses en marca blanca | Funciona |
| Delegar en un CASP autorizado | El proveedor autorizado | Canal de clientes, alta (onboarding), extractos | 1 a 3 meses | Funciona |
Los rangos de tiempo proceden de Liminal, un proveedor de custodia, en un artículo de julio de 2026 (su categoría «outsourced» se asigna aquí a delegación); también sitúa los costes de implantación en marca blanca entre 500.000 y 2 millones de USD, según el alcance. Deben tomarse como la estimación de un solo proveedor, no como referencia. No hemos encontrado ningún estudio independiente sobre los costes de construcción de custodia bancaria.
¿Cuánto cuesta operar un servicio de custodia de criptoactivos?#
No hemos encontrado una lista de precios pública de ningún proveedor de custodia que atienda a bancos, y ningún banco ha revelado cuánto le costó construir su servicio de custodia. Pregunte, en cambio, por los factores de coste que determinan su cifra:
- licencia o tarifa de plataforma para la infraestructura de claves, y cómo escala con los activos y los monederos;
- módulos de seguridad de hardware o configuración de cálculo multipartito, y quién los gestiona;
- auditorías de seguridad independientes e informes de aseguramiento, cada año;
- seguro frente a la pérdida o el robo de claves, si alguna aseguradora cubre su configuración;
- personal para operaciones, monitorización y respuesta a incidentes, en todo momento;
- conectividad con blockchain y mensajería Travel Rule para las transferencias.
¿Qué bancos ya ofrecen custodia de criptoactivos en Europa?#
Decenas, la mayoría en Alemania. En el registro provisional de MiCA de la ESMA (expediente del proveedor de servicios de criptoactivos (CASP); última actualización del registro: 20 de octubre de 2026), al menos 128 entidades llevan la etiqueta «Artículo 60 - Notificación», y 109 de sus 131 filas de servicios están en Alemania. Incluyen empresas de servicios de inversión, brókers y entidades de dinero electrónico, además de bancos. Veintisiete incluyen la custodia, y unos 19 de ellos son bancos. Es una cifra mínima: el campo de base jurídica está vacío en muchas filas de Francia, Chipre, Malta, Luxemburgo e Irlanda.
| Banco | Regulador | Fecha de registro | Configuración de custodia | Estado |
|---|---|---|---|---|
| BNY SA/NV | Banco Nacional de Bélgica | 20 jul 2026 | Plataforma propia; BTC, ETH, SOL, USDC | Activo; podría empezar el 27 jul 2026 |
| BBVA | CNMV (España) | 5 mar 2025 | Plataforma de claves propia; BTC y ETH | Pequeño grupo de clientes desde marzo de 2025; después, todos los clientes particulares |
| Deutsche Bank | BaFin | 12 oct 2026 (las fechas de registro no coinciden) | Tecnología del proveedor | Notificado; lanzamiento no anunciado |
| Commerzbank | BaFin | 7 abr 2025 | No revelada | Notificado |
| DekaBank | BaFin | 1 dic 2025 | No revelada | Notificado |
| DZ BANK | BaFin | 23 dic 2025 | No revelada | Notificado |
La fila de BNY muestra lo que ocurre tras la comprobación de integridad. El registro no indica cuándo presentó BNY la notificación, pero su comentario dice que el Banco Nacional de Bélgica confirmó la integridad del expediente el 20 de julio de 2026 y que BNY «podría empezar a ofrecer sus servicios de criptoactivos» a partir del 27 de julio. La responsable de Europa de BNY, Jennifer Barker, resumió el lanzamiento de octubre en una frase: «La adopción de los activos digitales se está acelerando en toda Europa.»
¿Quieren los clientes de los bancos la custodia de criptoactivos?#
Algunos sí, y preferirían usar su propio banco. El 21 de abril de 2026 se publicó un estudio sobre 6.000 inversores en Alemania, Italia, España y Francia. En él, el 35 % afirmó que podría imaginarse cambiando de banco para obtener mejores opciones de inversión en criptoactivos. El estudio lo realizó Boerse Stuttgart Digital, que vende custodia de criptoactivos a bancos, así que conviene leerlo como una señal, no como un tamaño de mercado. El mercado en general también es grande: según DeFiLlama, las stablecoins vinculadas al dólar estadounidense valían unos 302 mil millones de USD el 29 de octubre de 2026.
Dónde no ayuda la vía del artículo 60#
Dónde no ayuda la vía del artículo 60
- No cambia nada respecto al capital de los criptoactivos que el propio banco mantiene: siguen aplicándose una ponderación de riesgo del 1.250 % y un límite del 1 % de Tier 1.
- El banco responde por los activos perdidos hasta su valor de mercado en el momento de la pérdida, independientemente del proveedor que utilice.
- Siguen aplicándose las normas nacionales que transponen la Directiva de Requisitos de Capital, y difieren según el país.
- Un expediente incompleto detiene el cómputo de plazos; el servicio no puede empezar hasta que el regulador tenga toda la documentación.
- Si una notificación cubre servicios en otros países de la UE sin presentaciones adicionales es una cuestión jurídica que debe resolverse con su asesor legal y con su regulador.
Cómo lanzar la custodia de criptoactivos para bancos en seis pasos#
- Defina el alcance: solo custodia, o custodia más compra, venta y transferencias. Cada servicio adicional añade elementos a la notificación y al modelo operativo.
- Elija el modelo: desarrollarlo internamente, licenciar tecnología o delegar en un CASP autorizado. La elección decide quién redacta los apartados c) y e) del expediente.
- Revise el capital: confirme con su supervisor cómo se tratan la custodia de clientes y las tenencias propias de criptoactivos, y si el límite del 1 % de Tier 1 afecta a sus planes.
- Redacte el expediente conforme al artículo 60, apartado 7, al Reglamento Delegado 2025/303 y al formulario de su regulador. Prevea al menos 40 días hábiles desde la presentación.
- Prepare la parte de clientes: contrato, registro de posiciones, extractos trimestrales y el proceso para devolver los activos.
- Pruebe la respuesta a incidentes y la recuperación de claves antes del lanzamiento. La acción supervisora de la ESMA de 2026 revisa estos controles en los CASP autorizados, y es probable que los supervisores bancarios pidan lo mismo.
Los bancos que prefieran no operar la custodia pueden seguir añadiendo criptoactivos como un nuevo servicio para sus clientes. Con ItisPay, usted construye la experiencia del cliente sobre nuestra API con su propia marca. La custodia recae en nuestro socio con licencia de la UE, CASP y entidad de pago, que posee la autorización, realiza el KYC y asume las obligaciones regulatorias. Su banco mantiene la relación con el cliente; el socio custodia los activos.
Este artículo tiene fines meramente informativos y no constituye asesoramiento jurídico ni regulatorio.
