Directiva 2024/1226 — criminalización de la violación de las sanciones de la UE

Situación jurídica a fecha de: 2026-05-20.

La Directiva del Parlamento Europeo y del Consejo (UE) 2024/1226, de 24 de abril de 2024,¹ es el primer acto del Derecho de la UE que unifica las definiciones de los delitos y las penas mínimas por violar las medidas restrictivas de la Unión en todos los Estados miembros. Antes de su aprobación, una inmobiliaria española y una sociedad de leasing eslovaca respondían de forma completamente distinta por la misma infracción, porque cada país tenía sus propias normas. Este artículo explica qué introduce la directiva, a quién afecta y qué debes hacer concretamente en tu empresa.

TL;DR — los puntos clave

• La Directiva (UE) 2024/1226, de 24 de abril de 2024, es el primer acto de la UE que exige a los 27 Estados miembros criminalizar la violación de las sanciones con penas mínimas.¹
• El plazo de transposición venció el 20 de mayo de 2025² — España no lo cumplió; el proyecto de ley de transposición (proyecto de Ley Orgánica de modificación del Código Penal, LO 121/000072) sigue en tramitación legislativa.
• La directiva prevé penas de prisión para las personas físicas —incluidos administradores y propietarios de empresas— por categorías concretas de infracciones.³
• Las empresas (personas jurídicas) pueden responder económicamente por las infracciones cometidas en su nombre o en su beneficio.¹
• La falta de transposición en España no significa que no haya riesgo: los Reglamentos de la UE n.º 269/2014 y n.º 833/2014 son de aplicación directa, sin necesidad de incorporarlos al Derecho nacional.⁴⁵
• La directiva afecta a toda empresa que opere en el mercado de la UE — no solo a bancos e instituciones financieras.

Qué es la Directiva 2024/1226 y por qué se aprobó

Antes de 2024, las penas por violar las sanciones de la UE variaban entre los Estados miembros de un modo difícil de justificar. En un país, violar la prohibición de comerciar con una mercancía sancionada era una infracción administrativa castigada con una multa relativamente baja. En otro, un delito penal grave que podía acarrear prisión. Una empresa podía intentar «optimizar» eligiendo jurisdicciones con un Derecho más laxo y realizar operaciones arriesgadas con menos temor a las consecuencias allí donde la ley era más débil.

La Directiva del Parlamento Europeo y del Consejo (UE) 2024/1226, de 24 de abril de 2024, relativa a la definición de los delitos y las penas por la violación de las medidas restrictivas de la Unión y a la facilitación de dichas violaciones (en adelante: Directiva 2024/1226) pone fin a esa desigualdad.¹ Su objetivo es doble: en primer lugar, establecer un catálogo común de conductas que deben ser delito en cada Estado de la UE; en segundo lugar, fijar niveles mínimos de pena por debajo de los cuales ningún país puede situarse.

La directiva se inscribe en el contexto más amplio de la respuesta de la UE a la agresión de Rusia contra Ucrania. Las sanciones de la UE contra Rusia —adoptadas sobre la base de los Reglamentos del Consejo (UE) n.º 269/2014⁴ y n.º 833/2014⁵ y de los paquetes sucesivos (hasta la fecha de publicación se han aprobado 20)⁶— son, por regla general, de aplicación directa. El problema era que la ejecución de esas prohibiciones seguía siendo una cuestión de Derecho nacional. La Directiva 2024/1226 cierra esa laguna mediante la armonización de las disposiciones penales.

Conviene distinguir dos cosas: los reglamentos de la UE sobre medidas restrictivas (es decir, las listas de sanciones y las prohibiciones) se aplican directamente, sin necesidad de transposición.⁴⁵ La Directiva 2024/1226 no impone nuevas sanciones económicas — impone a los Estados de la UE la obligación de tratar la violación de esas sanciones como un delito. Es una diferencia sutil pero importante, sobre la que volveremos en una sección aparte.

Qué introduce la directiva — definiciones comunes de los delitos y penas mínimas

La Directiva 2024/1226 define un catálogo cerrado de conductas que cada Estado de la UE está obligado a considerar delito.¹ Comprende los supuestos en los que alguien, de forma dolosa y vulnerando una prohibición o una obligación que constituya una medida restrictiva de la Unión:

• pone fondos o recursos económicos a disposición de una entidad o persona sometida a sanciones,
• no ejecuta una decisión de congelación de fondos o recursos económicos,
• permite la entrada o el tránsito por el territorio de la UE a una persona sujeta a una prohibición de entrada,
• realiza operaciones financieras o comercia con bienes y servicios sujetos a prohibición,
• presta servicios financieros y no financieros a entidades sometidas a sanciones,
• elude las sanciones o incumple las obligaciones de información derivadas de los regímenes sancionadores.

Este catálogo abarca, por tanto, no solo las operaciones financieras, sino también el comercio de mercancías y la prestación de servicios de asesoramiento, logísticos o de TI. Si tu empresa es, por ejemplo, una agencia inmobiliaria, una agencia de traducción o una empresa de formación que prestó servicios a una entidad sometida a sanciones, este catálogo también te afecta.

Un elemento clave de la directiva es el mecanismo del «mínimo para el máximo»: los Estados de la UE deben garantizar que la pena máxima prevista en el Derecho nacional alcance al menos un nivel determinado. Para las infracciones relativas a fondos o recursos económicos de un valor de al menos 100 000 EUR, la directiva exige que la pena máxima de prisión sea de al menos cinco años.³ La directiva no prohíbe penas más severas —algunos Estados de la UE han fijado en su Derecho nacional umbrales superiores al mínimo exigido por la directiva— pero ella misma establece el límite inferior.

La directiva también criminaliza la inducción y la complicidad en la violación de las sanciones.¹ El empleado de tu departamento de compras que «hizo la vista gorda» ante el hecho de que un socio comercial figuraba en la lista también responde — no solo el administrador.

Responsabilidad de las personas físicas y jurídicas — los administradores en el punto de mira

La Directiva 2024/1226 distingue claramente dos categorías de sujetos que pueden incurrir en responsabilidad: las personas físicas y las personas jurídicas (sociedades, empresarios).¹

Personas físicas — el administrador y el consejo responden penalmente

La responsabilidad penal de la directiva afecta sobre todo a las personas físicas — es decir, a las personas concretas que tomaron la decisión sobre una operación determinada o que dirigieron el proceso que condujo a la infracción. El administrador, el director de operaciones, el apoderado — toda persona física que de forma dolosa haya provocado la violación de las sanciones puede comparecer ante un tribunal penal y oír una condena de prisión.

Esa pena no es virtual. La directiva exige que, para las infracciones relacionadas con la puesta de fondos a disposición de una entidad sancionada o con la falta de ejecución de una congelación, cuando el valor de la operación sea de al menos 100 000 EUR, la pena máxima de prisión sea de al menos cinco años.³ El régimen administrativo español ya prevé hoy multas elevadas por violar las medidas restrictivas de la UE: la Ley 19/2003, de 4 de julio, sobre régimen jurídico de los movimientos de capitales y de las transacciones económicas con el exterior (en adelante: Ley 19/2003)⁷ clasifica estas conductas como infracciones muy graves, graves o leves y gradúa la cuantía de las multas — pero el delito penal específico por incumplir las medidas restrictivas de la UE todavía no existe en España y llegará con la transposición de la directiva.

Un detalle importante: la directiva aplica un mecanismo de agravación y atenuación de la pena. Entre las circunstancias agravantes menciona, entre otras, actuar en el marco de una organización delictiva, servirse de documentos falsos u obtener un beneficio económico de valor considerable. Entre las atenuantes — entre otras, facilitar voluntariamente información a las autoridades de persecución penal y cooperar con ellas.¹ La ausencia total de un procedimiento de verificación de las contrapartes puede ser interpretada por las autoridades como una circunstancia agravante, no atenuante.

Personas jurídicas — la empresa responde económicamente por las infracciones cometidas en su nombre

La directiva impone a los Estados de la UE la obligación de garantizar la responsabilidad de las personas jurídicas por los delitos sancionadores cometidos por personas que actuaron en su nombre o en su beneficio.¹ Esto significa que, junto a la responsabilidad penal del administrador, la empresa como entidad puede ser sancionada económicamente.

La directiva exige que las sanciones económicas para las empresas sean efectivas, proporcionadas y disuasorias. En España, mientras no se apruebe la ley de transposición, se aplica el régimen administrativo de la Ley 19/2003: el incumplimiento de las medidas restrictivas se sanciona como infracción muy grave, grave o leve, y la cuantía de la multa se gradúa en función del contenido económico de la operación.⁸

Conviene subrayar: la responsabilidad económica de la empresa y la responsabilidad penal del administrador no se excluyen mutuamente. Pueden imponerse simultáneamente, en procedimientos distintos, por autoridades diferentes.

Reglamento frente a directiva — por qué esta exige una ley nacional

Es una pregunta frecuente y completamente legítima. Si los reglamentos de la UE se aplican directamente, ¿por qué la directiva exige una transposición adicional por cada Estado?

Los reglamentos de la Unión Europea tienen carácter directamente aplicable: vinculan y se aplican en todos los Estados miembros sin necesidad de transposición al Derecho nacional.⁴ El Reglamento del Consejo (UE) n.º 269/2014, de 17 de marzo de 2014,⁴ y el Reglamento del Consejo (UE) n.º 833/2014, de 31 de julio de 2014,⁵ imponen prohibiciones concretas —congelación de fondos, embargo de mercancías— y todo empresario en España, Alemania o los Países Bajos queda vinculado por ellas desde el momento de su entrada en vigor, con independencia de lo que diga la ley nacional.

La directiva es un instrumento distinto. Impone a los Estados miembros la obligación de alcanzar un resultado determinado —en este caso, la criminalización de la violación de las sanciones con penas mínimas— pero les deja libertad para elegir la forma y los medios. Los Estados deben aprobar o modificar su Derecho nacional para que la directiva surta efecto frente a ciudadanos y empresas. La directiva por sí sola no es fuente de responsabilidad penal directa — solo la norma nacional (la ley) la genera.

Esto explica la paradoja: las violaciones de las sanciones de la UE contra Rusia ya están prohibidas ahora y desde hace tiempo (sobre la base de los reglamentos), pero el alcance de la responsabilidad penal varía en función de lo que cada Estado haya logrado transponer. España ya cuenta con un régimen sancionador administrativo propio en la Ley 19/2003⁷, pero la Directiva 2024/1226 exige completarlo con un catálogo más amplio de delitos penales y umbrales mínimos de pena más elevados.

El plazo de transposición de la directiva en todos los Estados de la UE venció el 20 de mayo de 2025.² España no cumplió ese plazo — el proyecto de ley de transposición sigue en tramitación legislativa. El retraso no exime de las obligaciones derivadas de los reglamentos: estas siguen siendo de aplicación directa.

Cómo transpone España la Directiva 2024/1226

España no transpuso la Directiva 2024/1226 en el plazo fijado para el 20 de mayo de 2025.² El proyecto de Ley Orgánica de modificación del Código Penal que la transpone se encuentra —según el estado a 2026-05-20— en tramitación legislativa; el estado actual puede consultarse en la web del Congreso de los Diputados en congreso.es (buscar: «transposición Directiva (UE) 2024/1226» o «medidas restrictivas Código Penal»).

¿Qué supone en la práctica la falta de transposición para España? En primer lugar, la Comisión Europea inició procedimientos de infracción contra los Estados miembros que no transpusieron la directiva en el plazo fijado, incluida una carta de emplazamiento dirigida a España el 24 de julio de 2025.² En segundo lugar —y más importante para ti como empresario—, el régimen administrativo de la Ley 19/2003⁷ sigue plenamente vigente, incluida la posibilidad de imponer multas elevadas por violar las prohibiciones de los reglamentos de la UE. Los Reglamentos 269/2014 y 833/2014 son de aplicación directa.⁴⁵

La falta de transposición de la directiva no es una «ventana de impunidad». Solo significa que España todavía no introducirá el catálogo más amplio de delitos penales ni los umbrales mínimos de pena más elevados que exige la directiva. En el momento en que el proyecto de Ley Orgánica entre en vigor, el alcance de la responsabilidad penal aumentará y los umbrales mínimos de pena se elevarán.

Conviene saber también que España no mantiene una lista nacional autónoma de sanciones: se aplica la lista consolidada de la UE, junto con las listas de la ONU y, en los puntos de contacto con Estados Unidos, la lista OFAC.⁹ La autoridad nacional competente en materia de sanciones financieras internacionales es el Tesoro Público (Secretaría General del Tesoro y Financiación Internacional).¹⁰

Sobre cómo abordaron los distintos países de la UE la transposición —cuáles transpusieron la directiva a tiempo y cuáles no— escribimos en detalle en el artículo Transposición de la Directiva 2024/1226 — 9 países de la UE que cumplieron a tiempo.

Qué significa esto para tu empresa

La Directiva 2024/1226 no cambia lo que no se puede hacer — las prohibiciones derivan de los reglamentos de la UE. Lo que cambia es qué consecuencias acarrea violarlas y quién puede responder personalmente por ello.

Si diriges una empresa fuera del sector financiero —una agencia de viajes, una inmobiliaria, una sociedad de leasing, una tienda de e-commerce, una aseguradora— y hasta ahora dabas por hecho que el cumplimiento en materia de sanciones era cosa de los bancos, esta directiva es una señal directa de que no es así.

Algunas implicaciones concretas:

Los administradores y propietarios responden personalmente. La directiva exige que la responsabilidad penal alcance a las personas físicas que toman las decisiones. El administrador de una pequeña empresa de servicios que vendió un servicio a una entidad de la lista de sanciones se expone a un proceso penal — no solo a una multa para la sociedad.

La inducción y la complicidad son delito. El empleado que conocía la inscripción de una contraparte en la lista de sanciones y no reaccionó puede incurrir en responsabilidad. Esto significa que la formación de los empleados y un procedimiento claro no son una mera formalidad — son un escudo de protección real para toda la organización.

Responsabilidad acumulada. La empresa y sus administradores pueden responder simultáneamente — la empresa, económicamente; los administradores, penalmente. Ambas formas de responsabilidad son distintas y pueden tramitarse en paralelo.

La negligencia no protege. El argumento «no sabía que la contraparte estaba en la lista» puede atenuar la pena, pero no la elimina. La directiva exige el dolo — pero la ausencia total de un procedimiento de verificación puede tratarse como prueba de negligencia grave, no como circunstancia atenuante.

Las empresas que operan en países que ya han transpuesto la directiva quedan sujetas a sus normas más severas. Si vendes a los Países Bajos, tienes una sucursal en Suecia o haces transporte a través de Lituania, la violación de las sanciones en esos países ya genera hoy responsabilidad penal en virtud de las normas nacionales de transposición de la Directiva 2024/1226.¹² La futura transposición española no cambia esa situación para tus operaciones en el extranjero.

Un panorama más completo de las penas —incluidas las sanciones administrativas de la Ley 19/2003, la autoridad que las impone y el alcance de la exclusión de la contratación pública— lo encontrarás en el artículo ¿Qué penas acarrea violar las sanciones de la UE?.

Qué hacer concretamente — 6 pasos

1. Comprueba si tu empresa tiene la obligación de hacer sanction screening. Los reglamentos de la UE obligan a toda empresa que opere en el mercado de la Unión — sin excepción, sin umbral mínimo. El alcance de las obligaciones adicionales (por ejemplo, comunicaciones al SEPBLAC) depende de si eres un sujeto obligado en el sentido de la Ley antiblanqueo. Lo describe en detalle el artículo ¿Mi empresa está obligada a hacer sanction screening?.

2. Identifica las contrapartes y operaciones de alto riesgo. Empieza por las entidades con vínculos con Rusia, Bielorrusia, Irán, Siria y Corea del Norte. Revisa los contratos activos y el histórico de operaciones de los dos últimos años — la inscripción de una contraparte en la lista pudo producirse durante la vigencia de la relación comercial.

3. Realiza la verificación frente a las listas de sanciones. El mínimo es la lista consolidada de sanciones de la UE (disponible en sanctionsmap.eu) y la base de datos de sanciones financieras de la UE (FSF).¹¹ Si tienes contrapartes en EE. UU., comprueba también la lista OFAC SDN. Encontrarás una guía detallada de las listas en el artículo Sanciones contra Rusia — lo que tu empresa debe saber.

4. Implanta un procedimiento por escrito y designa a una persona responsable. Una política de sanciones por escrito, una instrucción para los empleados y un registro de coincidencias son el mínimo. Sin documentación, el screening no existe a ojos de la autoridad de control. La Directiva 2024/1226 refuerza la posición de las empresas que cuentan con procedimientos documentados — son un elemento de defensa en un eventual procedimiento.

5. Documenta cada verificación con su resultado y su fecha. La fecha de la verificación, la lista utilizada, el resultado (coincidencia o ausencia de ella) y quién verificó — estos datos forman un escudo defensivo en un procedimiento. Un registro anterior a la operación es prueba de la diligencia debida.

6. Sigue los cambios en las listas y el avance del proyecto de ley. Las listas de sanciones de la UE contra Rusia se actualizan con regularidad — hasta la fecha de publicación se han aprobado 20 paquetes de sanciones.⁶ La entrada en vigor de las normas que transponen la Directiva 2024/1226 puede exigir actualizar tus procedimientos. Sigue el estado del proyecto de Ley Orgánica en congreso.es.

FAQ — preguntas frecuentes sobre la Directiva 2024/1226

¿En qué se diferencia la Directiva 2024/1226 de los reglamentos de la UE sobre sanciones? Los reglamentos (p. ej., 269/2014 y 833/2014) imponen las prohibiciones en sí — congelación de fondos, embargo de mercancías. Se aplican directamente, sin transposición.⁴⁵ La Directiva 2024/1226 no impone nuevas prohibiciones — ordena a los Estados de la UE que la violación de esas prohibiciones sea un delito con penas penales mínimas. La directiva exige transposición mediante una ley nacional; en España se tramita a través del proyecto de Ley Orgánica de modificación del Código Penal.

¿La directiva afecta solo a las empresas financieras? No. La directiva afecta a toda persona física y a toda empresa que viole las medidas restrictivas de la Unión — sea cual sea su sector. Una agencia de viajes, una inmobiliaria, una empresa de TI, una empresa de transporte — toda entidad que opere en el mercado de la UE está dentro del ámbito.¹ El sector financiero tiene obligaciones adicionales impuestas (antiblanqueo, KYC), pero la obligación de cumplir las sanciones es general.

España no ha transpuesto la directiva — ¿significa eso que no corro ningún riesgo? No. Los reglamentos de la UE te obligan directamente desde ya.⁴⁵ La Ley 19/2003 contiene su propio régimen sancionador administrativo por violar las sanciones.⁷ El incumplimiento de las medidas restrictivas se sanciona como infracción muy grave, grave o leve, con multas graduadas según el contenido económico de la operación.⁸ La falta de transposición de la directiva solo significa que los umbrales mínimos de pena penal que exige la directiva todavía no han entrado en vigor en España — el resto está en vigor.

¿Quién responde personalmente — la empresa o sus administradores? Ambos, con independencia el uno del otro. La empresa responde económicamente por las infracciones cometidas en su nombre o en su beneficio. Las personas físicas —el administrador, el director de operaciones, el apoderado— responden penalmente si provocaron de forma dolosa la infracción. La directiva exige que ambos mecanismos existan en el Derecho nacional.¹

¿Qué ocurrirá cuando entre en vigor la ley de transposición española? Se producirá una ampliación del catálogo de delitos sancionadores y una elevación de los umbrales mínimos de pena penal para las personas físicas. El alcance de la responsabilidad de las personas jurídicas (las empresas) se precisará en las nuevas normas. Las empresas que hasta ahora no hayan implantado procedimientos de cumplimiento en materia de sanciones quedarán bajo una mayor presión de las autoridades de control. Conoceremos las cuantías exactas y el catálogo de delitos tras la publicación del texto de la ley.

¿Cuánto tiempo tengo para adaptar los procedimientos tras la entrada en vigor de la transposición? La directiva no prevé un periodo de adaptación para las entidades privadas — las prohibiciones de los reglamentos de la UE rigen desde el día de su entrada en vigor, y las normas que transponen la directiva entran en vigor en la fecha indicada en la ley nacional. En la práctica se recomienda implantar los procedimientos antes, no después.

Cómo puede ayudar Sanqto

Sanqto es un software de sanction screening que se instala en la red del cliente — los datos de las contrapartes no salen de tu infraestructura (modelo on-premise). El sistema verifica a las contrapartes frente a las listas de sanciones actualizadas y devuelve un resultado en uno de tres estados: MATCH (la coincidencia exige actuación inmediata), POSSIBLE (requiere verificación manual por el responsable de cumplimiento) o CLEAR (sin coincidencia, la operación puede seguir adelante). Cada verificación se registra automáticamente con su fecha, la lista utilizada y el resultado — lo que construye la documentación exigible en un eventual control de las autoridades.

En el paquete de documentos de implantación encontrarás una política de sanciones lista para usar, adaptada a los requisitos españoles y de la UE, una instrucción para los empleados y modelos de registro de coincidencias. La formación y la certificación del responsable de cumplimiento dan a la persona designada el conocimiento necesario para entender las normas, incluidos los requisitos de la Directiva 2024/1226 una vez transpuesta en España. Para las empresas que operan en sectores sujetos a obligaciones adicionales hemos preparado materiales específicos — consulta las páginas para agencias inmobiliarias y corredores de seguros.

Base jurídica

A continuación, la relación de actos jurídicos con fuentes verificadas que sirven de base a este artículo:

• Directiva del Parlamento Europeo y del Consejo (UE) 2024/1226, de 24 de abril de 2024, relativa a la definición de los delitos y las penas por la violación de las medidas restrictivas de la Unión y a la facilitación de dichas violaciones, y por la que se modifica la Directiva (UE) 2018/1673 — CELEX 32024L1226
• Reglamento del Consejo (UE) n.º 269/2014, de 17 de marzo de 2014, relativo a la adopción de medidas restrictivas respecto de acciones que menoscaban o amenazan la integridad territorial, la soberanía y la independencia de Ucrania — CELEX 32014R0269
• Reglamento del Consejo (UE) n.º 833/2014, de 31 de julio de 2014, relativo a medidas restrictivas motivadas por acciones de Rusia que desestabilizan la situación en Ucrania — CELEX 32014R0833
• Ley 19/2003, de 4 de julio, sobre régimen jurídico de los movimientos de capitales y de las transacciones económicas con el exterior y sobre determinadas medidas de prevención del blanqueo de capitales — boe.es
• Proyecto de Ley Orgánica de modificación del Código Penal para la transposición de la Directiva (UE) 2024/1226 — estado actual disponible en congreso.es (estado no confirmado en fuente primaria — verifica el estado actual)
• Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo — boe.es
• Lista consolidada de sanciones de la UE (sin lista nacional autónoma en España) — base de datos de sanciones financieras de la UE

Información, no asesoramiento jurídico. Este artículo tiene finalidad meramente informativa y no constituye asesoramiento jurídico. La valoración jurídica de un caso concreto debe realizarse con un abogado experto en derecho de sanciones internacionales y comercio exterior. Situación jurídica: 20 de mayo de 2026.