Con o sin Gobierno: el calendario regulatorio de 2027 para el sector financiero

El Real Decreto 806/2026, publicado en el BOE el 6 de octubre, disolvió las Cortes y convocó elecciones generales para el 29 de noviembre; las nuevas Cámaras no se constituirán hasta el 23 de diciembre. Con la disolución decayó todo lo que estaba en tramitación parlamentaria, y lo que aún no había salido del Consejo de Ministros —la ley de crédito al consumo, la nueva ley integral de prevención del blanqueo, la de ciberseguridad— queda a expensas del próximo Gobierno, que necesitará meses para recomponer la agenda legislativa.

Para los equipos de regulación financiera y compliance de bancos, entidades de pago, CASP o gestoras, la tentación es leer el parón legislativo como un año de respiro. Sería un error de planificación. Buena parte de lo que llega en 2027 no necesita ninguna ley española para aplicarse, y lo que sí la necesita no deja de producir efectos por el hecho de que la ley no exista.

La clave está en el artículo 288 del TFUE. El reglamento es obligatorio en todos sus elementos y directamente aplicable desde la fecha que él mismo fija; la directiva obliga en cuanto al resultado y necesita una norma nacional que la incorpore. Ordenado con ese criterio, el calendario de 2027 tiene tres bloques muy distintos, y cada tipo de entidad los vive de una forma diferente.

(Imagen: Comisión Europea)

Suscríbete a nuestra
NEWSLETTER

⚠ Por favor, introduce un correo válido.

Lo que llegará en fecha cierta

El 10 de julio de 2027 empieza a aplicarse el Reglamento (UE) 2024/1624 (AMLR). Es el cambio de mayor alcance del año. El núcleo de las obligaciones de prevención del blanqueo —diligencia debida, titularidad real, políticas y procedimientos internos, conservación de documentos— deja de estar en la Ley 10/2010 y pasa a un texto europeo de aplicación directa, igual para todos los sujetos obligados de la Unión. Incorpora además un límite europeo de 10.000 euros a los pagos en efectivo por parte de comerciantes, compatible con el límite español, más estricto, que puede mantenerse. El cambio de fuente no es una cuestión formal: lo que hoy se interpreta a la luz de la ley española y de las orientaciones del SEPBLAC pasará a interpretarse a la luz de un reglamento europeo y de las normas técnicas y directrices de la nueva autoridad europea.

Esa autoridad, la Autoridad de Lucha contra el Blanqueo de Capitales y la Financiación del Terrorismo (AMLA), hará en 2027 su primera selección de hasta 40 entidades financieras que operen en al menos seis Estados miembros y presenten un perfil de riesgo elevado, que pasarán a su supervisión directa en 2028. La fase preparatoria ya está en marcha: la AMLA preveía cerrar a finales de septiembre la lista provisional de entidades elegibles, y los supervisores nacionales recabarán sus datos a comienzos de 2027. Para quien figure en esa lista, la calidad de los datos que reporte en los próximos meses será, literalmente, la primera impresión ante su futuro supervisor.

El 2 de diciembre de 2027 empiezan a aplicarse las obligaciones de los sistemas de inteligencia artificial de alto riesgo del anexo III del Reglamento (UE) 2024/1689, que el llamado ómnibus digital —Reglamento (UE) 2026/1744— aplazó desde agosto de 2026. Entre ellos figuran dos usos característicos del sector: la evaluación de la solvencia o la calificación crediticia de personas físicas, con la salvedad de los sistemas destinados a detectar fraude financiero, y la evaluación de riesgos y fijación de precios en los seguros de vida y salud. Documentación técnica, gestión de riesgos, gobernanza de datos, registro de eventos y supervisión humana tendrán que estar operativas ese día, lo que exige empezar el inventario de modelos bastante antes.

En los mercados de valores, la fecha cierta es el 11 de octubre de 2027, cuando la liquidación de las operaciones sobre valores en la Unión pasa del segundo día hábil al siguiente a la negociación (T+1), conforme al Reglamento (UE) 2025/2075, que modificó el reglamento de depositarios centrales. El cambio tiene una antesala inmediata: desde el 7 de diciembre de 2026, las empresas de servicios de inversión y sus clientes deben cumplir nuevas exigencias de asignación y confirmación de operaciones, con plazos referidos ya al propio día de negociación.

A ese bloque se suma lo que ya rige: el Reglamento DORA, aplicable desde el 17 de enero de 2025, y el Reglamento MiCA, plenamente exigible en España desde el 1 de julio de 2026, cuando terminó el periodo transitorio y quedaron habilitados para operar solo los proveedores autorizados por la CNMV o pasaportados desde otro Estado miembro. Y lo que se prepara: el nuevo Reglamento de servicios de pago (PSR), cuyo texto de compromiso final se hizo público el 23 de abril de 2026 y cuya publicación en el Diario Oficial se espera para finales de año. Se aplicará veintiún meses después de su entrada en vigor —veintisiete para la verificación del beneficiario—, lo que, si se cumple esa previsión, lo sitúa en la segunda mitad de 2028. Sus normas sobre fraude, autenticación reforzada y acceso a cuentas no dependerán de ninguna ley nacional, y 2027 es el año de adaptar sistemas, contratos y procedimientos de reclamación.

(Imagen: E&J)

Lo que depende de una ley española

El segundo bloque es el de las directivas y el de las piezas que el propio Derecho de la Unión deja en manos de los Estados. Es más largo de lo que parece.

Crédito al consumo. La nueva directiva de créditos al consumo, la Directiva (UE) 2023/2225, se aplica desde el 20 de noviembre de 2026 sin ley española que la incorpore. Amplía el perímetro a los créditos de hasta 100.000 euros, a los de menos de 200 euros y al pago aplazado ofrecido por terceros, y endurece la evaluación de solvencia. El anteproyecto, aprobado en primera vuelta el 7 de enero, no llegó a las Cortes, y la Comisión envió a España un dictamen motivado en su paquete de infracciones del 30 de septiembre, con dos meses para responder: el plazo vence justo después de las elecciones. El siguiente paso puede ser el recurso ante el Tribunal de Justicia, con petición de multa ya en la primera sentencia por falta de comunicación de medidas de transposición (artículo 260.3 del TFUE).

Prevención del blanqueo. La Directiva (UE) 2024/1640 (AMLD6) debe transponerse con carácter general antes del 10 de julio de 2027, el mismo día en que se aplica el reglamento. El vehículo previsto es el anteproyecto de ley de medidas integrales aprobado en primera vuelta el 28 de julio, que sustituiría a la Ley 10/2010, crearía la Autoridad Nacional de Integridad Financiera (ANIFI) y trasladaría al Banco de España y a la CNMV las funciones de resolución ejecutiva del FROB; su audiencia pública terminó el 30 de septiembre.

Si en julio de 2027 no hay ley, el AMLR se aplicará igualmente y, en virtud del principio de primacía, desplazará los preceptos de la Ley 10/2010 que se le opongan, sin necesidad de derogación expresa. El problema estará en el régimen sancionador. Las infracciones de la Ley 10/2010 están tipificadas por referencia a sus propios artículos, y la doctrina constitucional sobre las normas en blanco, formulada para el Derecho penal desde la STC 127/1990 y proyectada sobre el Derecho administrativo sancionador, exige que la ley contenga el núcleo de la conducta prohibida y que la remisión sea expresa. Sancionar el incumplimiento de una obligación que ha pasado a regular un reglamento europeo, con tipos redactados para otra norma, planteará dudas de tipicidad a la luz del artículo 25 de la Constitución. Pero un problema de tipicidad no es una exención: la obligación existe, el supervisor inspecciona, los requerimientos se emiten y la AMLA evalúa la eficacia de la supervisión nacional.

Inteligencia artificial. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, publicado en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026, decayó con la disolución. Era la norma que atribuía al Banco de España, a la CNMV y a la Dirección General de Seguros y Fondos de Pensiones la vigilancia de los sistemas de solvencia y de seguros de vida y salud, y la que fijaba el régimen sancionador. Las obligaciones europeas llegarán el 2 de diciembre de 2027; quién las supervisará en el sector financiero, y con qué sanciones, está por decidir.

(Imagen: E&J)

Seguros. La revisión de Solvencia II, aprobada por la Directiva (UE) 2025/2, debe estar transpuesta el 29 de enero de 2027. Afecta a la proporcionalidad, la información a supervisores, las garantías a largo plazo, los instrumentos macroprudenciales y los riesgos de sostenibilidad. El anteproyecto que modifica la Ley 20/2015 —sometido a audiencia pública en diciembre de 2025 y dictaminado por el Consejo Económico y Social en mayo— no llegó a aprobarse antes de la disolución, y el real decreto que lo acompaña preveía su entrada en vigor general el 30 de enero de 2027.

Fiscalidad de los criptoactivos. La Directiva (UE) 2023/2226 (DAC8) obliga a los proveedores de servicios de criptoactivos a recopilar desde el 1 de enero de 2026 los datos de sus clientes y prevé el primer intercambio entre administraciones, con los datos de ese año, como muy tarde el 30 de septiembre de 2027. El proyecto de ley que la incorporaba, mediante la modificación de la Ley General Tributaria, llegó al Congreso en junio de 2025 y seguía en comisión cuando se disolvieron las Cortes.

Protección del cliente financiero. El proyecto de ley que crea la Autoridad de Defensa del Cliente Financiero, aprobado por el Consejo de Ministros en febrero de 2024, decae por segunda vez: ya había caducado en 2023 con la anterior disolución. Bancos, aseguradoras y entidades de pago seguirán resolviendo reclamaciones con el sistema actual de servicios de atención al cliente y servicios de reclamaciones de los supervisores.

Servicios de pago y ciberseguridad. La PSD3 exigirá transponer el nuevo régimen de autorización —con la integración de las entidades de pago y de dinero electrónico— en los mismos veintiún meses del PSR, aunque las entidades ya autorizadas dispondrán de hasta veintisiete para acreditar que cumplen. Y el precedente de lo que cuesta llegar tarde está a la vista: la directiva NIS2, cuyo anteproyecto de transposición se aprobó en enero de 2025 y nunca llegó a las Cortes, le valió a España una demanda de la Comisión ante el Tribunal de Justicia el 8 de julio de 2026.

(Imagen: E&J)

Lo que el Gobierno puede seguir haciendo

El tercer bloque es el más fácil de pasar por alto. La disolución impide legislar en Cortes, pero no reglamentar. El Real Decreto 813/2026, fechado el 7 de octubre, con las Cortes ya disueltas, modificó el Reglamento de la Ley 10/2010 para reforzar la diligencia debida y la identificación, generalizar la obligación de designar representante ante el SEPBLAC e introducir un nuevo régimen de control interno con políticas específicas de sanciones financieras internacionales, y transpuso de paso una parte de la AMLD6. Entró en vigor el 28 de octubre, con regímenes transitorios para determinadas obligaciones. Para muchos sujetos obligados, la primera adaptación de este ciclo no viene de Bruselas, sino de este real decreto, y conviene no confundir sus plazos transitorios con los del reglamento europeo.

Tampoco desaparece el real decreto-ley: la Diputación Permanente del Congreso convalidó el 16 de octubre el Real Decreto-ley 25/2026. Tras las elecciones, el Gobierno en funciones deberá limitarse al despacho ordinario de los asuntos públicos y no podrá presentar proyectos de ley (artículo 21 de la Ley 50/1997), pero conserva la posibilidad de dictar decretos-leyes en casos de extraordinaria y urgente necesidad. España ya ha recurrido otras veces a decretos-leyes ómnibus para cerrar transposiciones atrasadas —los Reales Decretos-leyes 7/2021, 24/2021 y 5/2023 son ejemplos—. Si la presión de los procedimientos de infracción lo aconseja, no cabe descartar que el crédito al consumo, el blanqueo o Solvencia II sigan ese camino, con plazos de adaptación mucho más cortos que los de una ley ordinaria. El propio anteproyecto de crédito al consumo preveía su entrada en vigor a los veinte días de su publicación, con obligaciones escalonadas entre tres y doce meses.

El calendario, fecha a fecha

Qué cambia para cada sector

Las mismas fechas no pesan igual en todos los sectores. Para cualquier equipo de cumplimiento normativo en entidades reguladas, el ejercicio útil es leer el calendario por tipo de entidad.

Entidades de crédito. Concentran casi todos los hitos: AMLR y posible selección por la AMLA, crédito al consumo, PSR, IA en la calificación crediticia y DORA. El riesgo principal es de coordinación: cinco proyectos con responsables distintos que comparten datos, modelos y sistemas de clientes.

Entidades de pago y de dinero electrónico. Para ellas, 2027 es el año de preparar el PSR y la reautorización que exigirá la PSD3, de revisar si sus productos de pago aplazado entran en el nuevo perímetro del crédito al consumo y de adaptar su manual de PBC al reglamento europeo. Las que operan en varios Estados mediante pasaporte deben comprobar, además, si alcanzan los umbrales de elegibilidad de la AMLA.

Proveedores de servicios de criptoactivos. Superado el 1 de julio de 2026, quien no tenga licencia CASP ni pasaporte no puede seguir prestando servicios en España. Para los autorizados, el foco de 2027 está en tres frentes: el AMLR, que los incluye entre las entidades financieras; la regla de viaje en las transferencias de criptoactivos, ya exigible; y la DAC8. En este último punto la situación es asimétrica: los proveedores de otros Estados miembros ya recopilan desde enero los datos de sus clientes residentes en España, mientras que a los españoles la obligación no les alcanzará hasta que se apruebe la ley que decayó. Preparar los sistemas ahora es la forma de que ese retraso no se convierta en un plazo imposible cuando llegue.

Empresas de servicios de inversión, EAF y gestoras. El T+1 obliga a revisar procesos de back office, gestión de divisas y préstamo de valores, y la antesala de diciembre de 2026 adelanta parte del trabajo. A ello se suman el AMLR y la consolidación de DORA, que en 2027 ya no se juzgará por las políticas aprobadas, sino por los incidentes notificados y los registros de proveedores TIC remitidos.

Aseguradoras y mediadores. La revisión de Solvencia II marca el primer plazo del año, el 29 de enero, y la IA aplicada a la tarificación de vida y salud, el último. Entre ambos, la directiva de crédito al consumo condiciona la venta de seguros vinculados a préstamos, un terreno en el que la ausencia de ley no impedirá que los jueces apliquen el estándar europeo por vía interpretativa.

Inmobiliarias y demás sujetos obligados no financieros. Su calendario empieza ya: el RD 813/2026 obliga a revisar el sistema de prevención del blanqueo de capitales —representante ante el SEPBLAC, control interno, sanciones financieras— antes de que el AMLR vuelva a cambiar el marco en julio. Hacer dos adaptaciones en ocho meses solo es razonable si la primera se diseña pensando en la segunda.

(Imagen: E&J)

Cómo planificar un año sin calendario nacional

De este mapa se desprenden cuatro consecuencias prácticas.

La primera es presupuestar por instrumento, no por titular de prensa. Lo que es reglamento —AMLR, IA de alto riesgo, T+1, PSR— tiene fecha cierta y debe tener ya un plan de proyecto, se forme Gobierno cuando se forme.

La segunda es adaptarse al estándar europeo aunque falte la ley. En crédito al consumo, la directiva es de armonización plena salvo donde ella misma abre opciones, y los jueces deberán interpretar la legislación vigente a su luz; en blanqueo, el contenido de la futura ley está condicionado en gran parte por el reglamento. Esperar al BOE solo acorta el tiempo de adaptación cuando la norma llegue, quizá por decreto-ley y con plazos de semanas.

La tercera es pensar en transversal. Un grupo fintech que ofrece pago aplazado a través de comercios, puntúa a sus clientes con un modelo propio y custodia criptoactivos para terceros tocará en 2027 al menos cinco regímenes distintos, con supervisores y fechas diferentes. Lo que funciona en ese escenario es un cumplimiento normativo operativo, no meramente documental: cada obligación con un responsable, un plazo y una evidencia verificable, venga de Bruselas o de Madrid.

La cuarta es documentar las decisiones interpretativas. Donde falta la ley, la entidad tendrá que decidir por sí misma cómo aplica el estándar europeo: qué productos entiende incluidos en el nuevo perímetro del crédito al consumo, cómo encaja su manual de PBC con el AMLR, qué modelos considera de alto riesgo. Esas decisiones serán discutibles; lo que no puede faltar es el razonamiento escrito que las sostiene, porque será lo primero que pida el supervisor o el juez cuando la ley llegue y se mire hacia atrás.

España pasará buena parte de 2027 formando Gobierno y reconstruyendo una agenda legislativa que se ha quedado a medias. El calendario europeo no esperará. Para las entidades reguladas y para quienes las asesoran en compliance financiero, la incertidumbre no está en qué obligaciones llegarán, sino en cuáles llegarán con ley española y cuáles sin ella; y esa diferencia, bien gestionada, es la que separa un año de adaptación ordenada de un año de urgencias.