Datos clave
| Normativa | Corrección de errores de la Decisión (PESC) 2026/1713 del Consejo, que modifica la Decisión (PESC) 2019/797 |
|---|---|
| Publicación | 30 de julio de 2026 |
| Entrada en vigor | 13 de julio de 2026 (fecha de la Decisión original corregida) |
| Afectados | Entidades obligadas al cumplimiento de sanciones UE y personas o entidades sancionadas por ciberataques |
| Categoría | Normativa Europea — Política Exterior y de Seguridad Común (PESC) |
| Ejercicio | 2026 |
| Norma de origen | Decisión (PESC) 2019/797 — régimen sancionador UE frente a ciberataques, vigente desde 2019 |
Las empresas con programas de cumplimiento de sanciones internacionales tienen una tarea concreta tras la publicación de esta corrección: confirmar que la versión de la Decisión (PESC) 2026/1713 que manejan internamente es la corregida, publicada el 30 de julio de 2026 en el Diario Oficial de la UE. La corrección no introduce nuevos sancionados ni modifica las medidas restrictivas de fondo, pero sí subsana errores formales en el texto de la norma que modificaba el régimen sancionador europeo frente a ciberataques establecido originalmente en 2019.
El marco sancionador de la UE contra ciberataques, vigente desde la Decisión (PESC) 2019/797, permite al Consejo imponer prohibiciones de viaje y congelación de activos a personas físicas y entidades jurídicas responsables de ciberataques significativos contra la UE o sus Estados miembros. La Decisión (PESC) 2026/1713, de 13 de julio de 2026, modificó ese régimen; esta corrección de errores subsana defectos técnicos de esa modificación sin alterar su contenido.
¿Qué establece esta normativa?
La corrección de errores publicada el 30 de julio de 2026 rectifica la Decisión (PESC) 2026/1713 del Consejo, adoptada el 13 de julio de 2026. Esa Decisión, a su vez, modificaba el régimen sancionador europeo frente a ciberataques recogido en la Decisión (PESC) 2019/797.
Para entender el alcance real, conviene distinguir los tres niveles normativos:
- Decisión (PESC) 2019/797: norma base que establece el régimen de medidas restrictivas de la UE contra ciberataques significativos. Define qué es un ciberataque sancionable, qué medidas se pueden aplicar (prohibición de viaje y congelación de activos) y a quién.
- Decisión (PESC) 2026/1713 (13 julio 2026): modificación de la norma base, adoptada por el Consejo. Introduce cambios en el régimen sancionador vigente.
- Corrección de errores (30 julio 2026): subsana errores técnico-formales detectados en la Decisión 2026/1713. No altera el contenido sustantivo ni el alcance de las sanciones.
| Aspecto | Situación tras la corrección |
|---|---|
| Tipo de cambio | Técnico-formal. Sin modificación sustantiva |
| Medidas restrictivas vigentes | Prohibición de viaje y congelación de activos (sin cambios) |
| Destinatarios de las sanciones | Personas y entidades responsables de ciberataques significativos contra la UE o sus Estados miembros (sin cambios) |
| Norma base afectada | Decisión (PESC) 2019/797 (sin cambios de fondo) |
| Nuevos sancionados | Ninguno introducido por esta corrección |
Impacto económico y operativo
El impacto económico directo de esta corrección es nulo: no se crean nuevas obligaciones económicas, no se amplían listas de sancionados y no se modifican las medidas restrictivas existentes.
El impacto operativo es bajo pero real para las entidades con programas de cumplimiento de sanciones internacionales. Estas organizaciones deben:
- Actualizar la referencia normativa interna a la versión corregida de la Decisión (PESC) 2026/1713.
- Confirmar que sus herramientas de screening de contrapartes utilizan la versión vigente y corregida de las listas de sancionados de la UE.
- Documentar en su expediente de cumplimiento que han revisado la corrección y que no implica cambios operativos.
Indirectamente, esta corrección refuerza la señal política de que la UE mantiene activo y en constante revisión su marco sancionador en materia de ciberseguridad, lo que es relevante para empresas que operan en sectores de infraestructuras críticas o que gestionan relaciones con contrapartes en jurisdicciones de riesgo elevado.
¿A quién afecta?
- Entidades financieras (bancos, aseguradoras, gestoras de fondos) con obligaciones de cumplimiento de sanciones internacionales y screening de contrapartes.
- Empresas de cualquier sector que mantengan relaciones comerciales con contrapartes internacionales y estén obligadas a verificar listas de sancionados de la UE.
- Departamentos de compliance y legal de grupos empresariales con exposición a normativa de sanciones europeas.
- Organismos públicos que gestionen contratos o relaciones con entidades sujetas al régimen sancionador de la UE.
- Personas físicas y entidades jurídicas ya incluidas en las listas de sancionados por ciberataques bajo la Decisión (PESC) 2019/797, que deben conocer el texto corregido que les afecta.
- Asesores legales y consultores de cumplimiento normativo que asesoren a clientes en materia de sanciones internacionales.
Ejemplo práctico
Un banco mediano español con un programa de cumplimiento de sanciones internacionales realiza controles periódicos de sus contrapartes contra las listas de sancionados de la UE. Su equipo de compliance recibe la alerta sobre la publicación de la corrección de errores de la Decisión (PESC) 2026/1713 el 30 de julio de 2026.
El proceso que debe seguir es el siguiente:
- Accede al texto corregido en el Diario Oficial de la UE y confirma que la corrección es técnico-formal, sin nuevos sancionados.
- Verifica que su proveedor de listas de sanciones (o su herramienta interna) ya refleja la versión corregida de la norma.
- Documenta en el expediente de cumplimiento la revisión realizada, la fecha y la conclusión: sin impacto operativo adicional.
- No es necesario relanzar un proceso de screening extraordinario, ya que no hay nuevas personas o entidades sancionadas.
Este proceso, aunque sencillo, es obligatorio para mantener la trazabilidad del programa de cumplimiento y evitar observaciones en auditorías internas o externas.
¿Qué deben hacer las empresas ahora?
- Revisar la corrección publicada el 30 de julio de 2026 en el Diario Oficial de la UE para confirmar que es de naturaleza técnico-formal y no introduce cambios sustantivos en las sanciones vigentes.
- Actualizar la referencia normativa interna: sustituir cualquier referencia a la Decisión (PESC) 2026/1713 por la versión corregida en los manuales de cumplimiento, procedimientos internos y expedientes.
- Verificar con el proveedor de listas de sanciones que la herramienta de screening utiliza la versión vigente y corregida. Si se gestionan listas internamente, asegurarse de que están actualizadas.
- Documentar la revisión en el expediente de cumplimiento, con fecha y conclusión, para dejar trazabilidad ante posibles auditorías.
- No es necesaria ninguna acción urgente adicional: al no haber cambios sustantivos, no se requiere relanzar procesos de due diligence ni notificar a contrapartes.
Preguntas frecuentes
¿La corrección de errores de la Decisión PESC 2026/1713 añade nuevos sancionados?
No. La corrección publicada el 30 de julio de 2026 es de carácter técnico-formal y no introduce nuevas personas físicas ni entidades jurídicas en las listas de sancionados. Tampoco modifica las medidas restrictivas vigentes (prohibición de viaje y congelación de activos) establecidas bajo la Decisión (PESC) 2019/797.
¿Qué medidas restrictivas contempla el régimen sancionador de la UE contra ciberataques?
El régimen establecido por la Decisión (PESC) 2019/797, y mantenido sin cambios sustantivos tras esta corrección, contempla dos tipos de medidas: prohibición de viaje (los sancionados no pueden entrar ni transitar por el territorio de la UE) y congelación de activos (inmovilización de fondos y recursos económicos de los sancionados en la UE). Se aplican a personas y entidades responsables de ciberataques significativos contra la UE o sus Estados miembros.
¿Qué empresas están obligadas a verificar las listas de sancionados por ciberataques de la UE?
Principalmente las entidades con programas de cumplimiento de sanciones internacionales: entidades financieras (bancos, aseguradoras, gestoras), empresas con relaciones comerciales internacionales y organismos públicos que contraten con terceros. La obligación de verificar listas de sancionados de la UE deriva del propio régimen de sanciones europeo, que prohíbe poner fondos o recursos económicos a disposición de los sancionados.
¿Cuándo entró en vigor la Decisión (PESC) 2026/1713 que se corrige?
La Decisión (PESC) 2026/1713 fue adoptada el 13 de julio de 2026, que es también su fecha de entrada en vigor. La corrección de errores fue publicada el 30 de julio de 2026 y se aplica retroactivamente a esa misma fecha de origen, al tratarse de una subsanación técnica del texto original.
¿Dónde puedo consultar la lista actualizada de sancionados por ciberataques de la UE?
La lista oficial y actualizada de personas y entidades sancionadas bajo el régimen de la Decisión (PESC) 2019/797 se publica en el Diario Oficial de la UE y en el registro de medidas restrictivas del Consejo de la UE. Las herramientas de compliance especializadas (como las listas consolidadas de la Oficina de Publicaciones de la UE) también recogen estas actualizaciones de forma centralizada.
Fuente oficial
Consultar normativa completa en fuente oficial
Aviso: Este artículo tiene carácter meramente informativo y no constituye asesoramiento legal. Para decisiones específicas, consulte a un profesional cualificado. Fuente: https://eur-lex.europa.eu/./legal-content/AUTO/?uri=OJ:L_202690642