Listas de sanciones de la UE, la ONU y la OFAC — guía para empresas

Si diriges en España una empresa corriente —ni un banco, ni una casa de cambio, ni un despacho de abogados— de todos modos estás obligado a verificar a tus clientes y contrapartes en las listas de sanciones de la UE. Esa obligación nace directamente de los reglamentos de la Unión, que se aplican de forma directa, sin necesidad de transposición por el legislador nacional. Y va dirigida a cualquier persona física o jurídica de la UE, con independencia del sector, del tamaño y de que alguien haya oído hablar de ella alguna vez. La mayoría de las pymes todavía no lo sabe.

Este artículo responde a una pregunta sencilla: qué listas vinculan exactamente a tu empresa y en qué se diferencian unas de otras.

Situación jurídica a fecha de: 2026-05-17.

TL;DR

• Lista de la UE (reglamentos 269/2014 y 833/2014 + anexos de los paquetes sucesivos): vincula a cualquier persona o entidad de la UE. Es tu base.
• Lista de la ONU (Security Council Consolidated List): de forma indirecta, porque la UE transpone las sanciones de la ONU mediante sus propios reglamentos. En la práctica, basta con la lista de la UE.
• Lista OFAC SDN (EE. UU.): formalmente no vincula a una empresa española, pero la alcanza en las liquidaciones en USD, en la corresponsalía con bancos estadounidenses y en los contratos con cláusula de sanciones.
• Lista consolidada de la UE: España no mantiene una lista nacional autónoma; se aplica directamente la lista consolidada de la UE, que verificas como tu referencia principal.
• Lista del Reino Unido (OFSI/HMT): relevante si tienes una sucursal, clientes o pagos en el Reino Unido.

De dónde sale esta obligación

Las sanciones económicas de la UE operan en el ordenamiento jurídico español de forma distinta a la mayoría de las regulaciones. Los reglamentos de la Unión (269/2014, 833/2014, 765/2006 y los paquetes sucesivos) no requieren una ley de transposición. Se aplican de forma directa desde el día de su publicación en el Diario Oficial de la Unión Europea. Afectan a toda persona física y jurídica de la UE, con independencia del sector, del tamaño y de que alguien haya oído hablar de ellas.

Dos artículos clave del Reglamento 269/2014:

• Prohibición de poner fondos a disposición de las personas y entidades del anexo I (no se les puede vender, arrendar, prestar, transferir, nada).
• Obligación de congelar fondos si esas personas ya son tu cliente o tienen contigo dinero, mercancía, un depósito o una factura pendiente de pago.

Estas dos obligaciones, por sí solas, exigen que sepas quién está en la lista. Y para saberlo, tienes que verificar. De ahí todo el sanction screening.

En España no existe una lista nacional autónoma de sanciones: la aplicación de las medidas restrictivas se canaliza a través del régimen jurídico de los movimientos de capitales y las transacciones económicas con el exterior (Ley 19/2003, de 4 de julio), cuyos artículos 4 y 5 dan base a las medidas de salvaguardia y de congelación.¹ La autoridad nacional competente en materia de sanciones financieras internacionales es la Secretaría General del Tesoro Público. Por eso, donde una empresa polaca verificaría también una lista nacional propia, una empresa española se apoya en la lista consolidada de la UE como referencia única.

Lista de la UE — tu base, que no se puede esquivar

La lista de la UE no es un único archivo. Es un conjunto de anexos de distintos reglamentos, más una base consolidada que la Comisión Europea publica en formato CSV/XML.

Los dos reglamentos principales que hay que conocer

Reglamento (UE) nº 269/2014 del Consejo, de 17 de marzo de 2014, sobre medidas restrictivas respecto de las personas y entidades responsables de acciones que menoscaban la integridad de Ucrania. Es el reglamento «personal»: el anexo I contiene la lista de nombres y empresas con fondos congelados.

Reglamento (UE) nº 833/2014 del Consejo, de 31 de julio de 2014, sobre sanciones sectoriales contra Rusia: exportación, importación, servicios, financiación. Aquí no se trata de listas de personas, sino de sectores y productos. Las sanciones sectoriales suelen ser más difíciles de cumplir que las listas de personas, porque obligan a comprobar qué vendes, no solo a quién.

Para Bielorrusia, el reglamento análogo es el 765/2006. Para Irán, el 267/2012. Para Corea del Norte, el 2017/1509. Y así sucesivamente. La lista de países sometidos a algún régimen de sanciones de la UE supera, en 2026, las 30 posiciones.

Lista consolidada de la UE — de dónde descargarla

La Comisión Europea mantiene el EU Financial Sanctions Files (FSF): un único archivo que reúne todos los regímenes de sanciones y todos los anexos. Es la fuente única para toda la UE.

Dirección: https://webgate.ec.europa.eu/fsd/fsf

Formato: XML (completo) y CSV (simplificado). Frecuencia de actualización: cada vez que se publica un nuevo paquete o una actualización de listados en el Diario Oficial de la UE. En la práctica, varias veces al mes.

Una segunda buena fuente es el EU Sanctions Map (https://sanctionsmap.eu/): un mapa interactivo en el que pulsas un país y ves qué regímenes lo afectan. Útil para aprender, poco apto para automatizar.

Qué encontrarás en el archivo consolidado

Cada entrada contiene:

• el nombre (más alias, transliteraciones, antiguos apellidos),
• la fecha de nacimiento, el lugar de nacimiento y la nacionalidad (para las personas),
• el número de registro y el domicilio (para las entidades),
• el número de pasaporte (si se conoce),
• la base jurídica: qué anexo, qué paquete, qué régimen,
• la fecha de inclusión.

Tener un nombre no basta para que haya coincidencia. El sanction screening no es un ctrl+F por el nombre. Tienes que tener en cuenta los alias, las transliteraciones (Putin / Putyn / Putine), las variantes ortográficas y las fechas de nacimiento. De ahí las herramientas con fuzzy matching y resultado en tres estados, en lugar de un simple SÍ/NO; de ello hablamos aparte, al tratar el procedimiento de implantación.

Lista de la ONU — formalmente relevante, en la práctica ya está en la UE

La ONU Security Council Consolidated List es la lista de personas y entidades sometidas a sanciones impuestas por resoluciones del Consejo de Seguridad de la ONU. Regímenes: EIIL/Al Qaeda, talibanes, Irán (anterior al JCPOA), Corea del Norte, Libia, Sudán, Somalia y algunos más.

Dirección: https://www.un.org/securitycouncil/sanctions/information

En la UE rige el principio de que toda sanción de la ONU, una vez adoptada por el Consejo de Seguridad, se transpone al Derecho de la Unión mediante un reglamento propio. Es decir, si la ONU añade a alguien a la lista de talibanes, la UE dicta en pocas semanas un reglamento de aplicación. Desde ese momento, esa persona también figura en la lista de la UE.

Conclusión práctica: si verificas la lista consolidada de la UE, la lista de la ONU ya está dentro. Solo hay que consultar la ONU por separado cuando operas en el intervalo entre la resolución de la ONU y la transposición de la UE, algo muy poco frecuente que afecta sobre todo a bancos y a empresas de logística que trabajan a mercado abierto. La mayoría de las pymes puede tratar la lista de la ONU como parte de la lista de la UE.

Lista OFAC SDN — estadounidense, pero ojo con la extraterritorialidad

OFAC es la Office of Foreign Assets Control del Departamento del Tesoro de EE. UU. Mantiene la lista SDN (Specially Designated Nationals and Blocked Persons), que recoge decenas de miles de entradas y se actualiza casi a diario.

Dirección: https://sanctionsmap.eu/ —no, es broma. Es la OFAC: https://ofac.treasury.gov/sanctions-list-search-tool. Archivo en bruto: https://sanctionssearch.ofac.treas.gov/.

Cuándo vincula a una empresa española

¿Formalmente? Una empresa española no está obligada a observar la lista SDN estadounidense, porque es Derecho de EE. UU. ¿En la práctica? Tiene que observarla en cuatro situaciones:

1. Liquidas en dólares. Toda transacción en USD pasa por un banco corresponsal en EE. UU. Si la otra parte de la operación está en la lista SDN, el banco bloqueará la transferencia con independencia de lo que tú opines.
2. Tienes clientes o proveedores en EE. UU. El socio estadounidense te exigirá que «pases el filtro de sanciones» según sus propios estándares, es decir, los de la OFAC.
3. Tienes un contrato con cláusula de sanciones. En los contratos internacionales es habitual una cláusula de «compliance with applicable sanctions, including OFAC». Incumplirla equivale a una infracción del contrato, no solo de la ley.
4. Tu actividad tiene «US nexus»: por ejemplo, usas software estadounidense, tienes clientes con green card o entregas algo en territorio de EE. UU. Entonces la OFAC puede entender que estás sujeto a la jurisdicción estadounidense.

Para una empresa que opera exclusivamente en España, sin USD, sin clientes en EE. UU. y sin software estadounidense, la OFAC formalmente no vincula. Pero esas empresas son menos de las que crees. Analiza siempre tu cadena de suministro y de pagos antes de decir «esto no nos afecta».

Sanciones secundarias de la OFAC

Categoría aparte: las secondary sanctions. Es la herramienta con la que EE. UU. puede castigar a una empresa no estadounidense por colaborar con una entidad de la lista SDN, aunque esa empresa no tenga ningún punto de conexión con Estados Unidos. La sanción: la desconexión del sistema del dólar y la inclusión de esa propia empresa en la lista SDN. Eso es el fin del negocio internacional. Se aplica sobre todo a Irán y a determinadas entidades rusas.

¿Y una lista nacional española? — no existe lista autónoma

A diferencia de algunos Estados miembros que mantienen un listado nacional propio, España no tiene una lista de sanciones nacional autónoma. La aplicación de las medidas restrictivas descansa en la lista consolidada de la UE, complementada por dos mecanismos internos de bloqueo:

• La Ley 12/2003, de 21 de mayo, de prevención y bloqueo de la financiación del terrorismo, que crea la Comisión de Vigilancia de Actividades de Financiación del Terrorismo (CVAFT) y un mecanismo de bloqueo de fondos vinculados a la financiación del terrorismo.²
• La Ley 19/2003, de 4 de julio, que da soporte administrativo a la aplicación de las sanciones financieras internacionales y a las medidas de congelación.¹

La autoridad nacional competente es la Secretaría General del Tesoro Público. En el control aduanero y en los embargos comerciales intervienen la AEAT y Aduanas; en la supervisión antiblanqueo, el SEPBLAC.

Por qué importa esto para tu empresa

Porque, aunque no haya una lista nacional propia que verificar, la empresa española sí responde por el incumplimiento de las medidas restrictivas de la UE, que se aplican de forma directa. La consulta de la lista consolidada de la UE no es opcional: es tu obligación principal, y el régimen sancionador administrativo de la Ley 19/2003 la respalda.

Sanciones financieras frente a administrativas

El incumplimiento no se limita a la congelación de fondos. Según la clasificación de infracciones de la Ley 19/2003, la conducta puede ser muy grave, grave o leve, con cuantías escalonadas en función del contenido económico de la operación.³ A ello se añaden, en los procedimientos de contratación pública, las prohibiciones de contratar previstas en la normativa de contratos del sector público para quien haya sido sancionado por infracciones graves.

Lista del Reino Unido (OFSI / HMT) — cuándo importa

El Brexit separó el régimen de sanciones británico del de la Unión. El Reino Unido mantiene su propia lista a través de la OFSI (Office of Financial Sanctions Implementation), dependiente del HM Treasury. Es amplia y a menudo diverge de la lista de la UE: el Reino Unido incluye a oligarcas rusos a los que la UE no añadió, y a la inversa.

Dirección: https://www.gov.uk/government/publications/the-uk-sanctions-list

Para una empresa española, la lista del Reino Unido importa si:

• tienes una sucursal, una sociedad o clientes en el Reino Unido,
• liquidas en GBP,
• tienes contratos con una cláusula de sanciones británica.

Si no tienes nada con el Reino Unido, sáltala. No tiene sentido verificar todas las listas del mundo si no tienes ningún punto de contacto.

Tabla comparativa

En la práctica, para la mayoría de las pymes españolas la configuración mínima es la lista consolidada de la UE. Si liquidas en USD o tienes un socio estadounidense, añade la OFAC. Si tienes cualquier vínculo con el Reino Unido, añade el OFSI. La ONU ya está integrada en la UE: no hace falta verificarla por separado.

Qué hacer concretamente en tu empresa

1. Designa a un responsable. No tiene que ser un abogado. En una pyme suele recaer en el responsable de cumplimiento, en el director financiero o en el propietario. Lo importante es que conste quién es.
2. Define tu conjunto de listas. Lista consolidada de la UE: siempre. OFAC: si hay USD o US nexus. OFSI: si hay UK nexus. Otras: solo tras un análisis.
3. Elige la fuente de datos. O descargas de las fuentes oficiales a mano (laborioso, con riesgo de error humano), o usas una herramienta que lo hace de forma automática. Desaconsejamos Excel como base de datos; ya escribimos sobre ello aparte.
4. Fija la frecuencia de verificación. Mínimo: en cada nuevo cliente y en cada nueva transacción significativa. Estándar: una revisión completa de la base de clientes al mes. Actualización de las propias listas: como mínimo una vez por semana.
5. Documenta cada verificación. Sin documentación no hay prueba de que actuaste con la diligencia debida. Una inspección vendrá y preguntará «¿cuándo verificaron por última vez al señor Ivánov?»; tienes que tener la fecha, la hora y el resultado.
6. Define el procedimiento ante una coincidencia. ¿Qué haces cuando obtienes un POSSIBLE / MATCH? ¿A quién avisas? ¿Cuándo congelas? Redacta el procedimiento una vez y úsalo muchas.
7. Mantente al día en lo jurídico. La UE publica paquetes. La transposición de la Directiva 2024/1226 sobre la criminalización de las infracciones de sanciones cambiará las reglas. Alguien en la empresa tiene que leer el Diario Oficial de la UE y el BOE, o suscribirse a un boletín que lo haga por él.

En un artículo aparte explicamos el procedimiento de sanction screening paso a paso, incluido el modelo de política de sanciones y el modelo de registro de coincidencias.

Qué arriesgas si no lo haces

Tres niveles de riesgo, en orden creciente.

Primero, la sanción administrativa. La Ley 19/2003 clasifica las infracciones del régimen de movimientos de capitales y transacciones con el exterior en muy graves, graves y leves, con cuantías escalonadas según el contenido económico de la operación.³ La AML —Ley 10/2010, de 28 de abril— añade su propio régimen sancionador para los sujetos obligados que incumplen sus obligaciones de prevención.⁴ Las resoluciones administrativas son ejecutivas; el recurso no suspende, por sí solo, su ejecución.

Segundo, la responsabilidad penal pendiente. La Directiva (UE) 2024/1226 obliga a los Estados miembros a criminalizar las infracciones de las sanciones. En España, hoy no existe todavía un tipo penal específico de incumplimiento de las medidas restrictivas de la UE: la criminalización está pendiente y se tramita como proyecto de Ley Orgánica de reforma del Código Penal para transponer la Directiva.⁵ El plazo de transposición venció el 20 de mayo de 2025 y España lo incumplió; la Comisión Europea remitió una carta de emplazamiento. Cuando la reforma se publique en el BOE, el incumplimiento de las sanciones dejará de ser un asunto puramente administrativo y pasará a ser, además, penal.

Tercero, el riesgo de negocio. El banco congela tu cuenta mientras se aclaran los hechos, el socio estadounidense resuelve el contrato, el cliente institucional español te excluye de un procedimiento de contratación pública, la aseguradora no quiere emitir la póliza. Esto ocurre más rápido que cualquier sanción administrativa y, a menudo, duele más.

En un artículo aparte detallamos las sanciones y los casos resueltos en la UE en 2024-2026.

Cómo puede ayudar Sanqto

Sanqto es un software de sanction screening para empresas de fuera del sector financiero. Consolida la lista de la UE, la ONU, la OFAC SDN y el OFSI en una sola base de datos, la actualiza de forma automática, funciona on-premise (los datos de tus clientes no salen de tu infraestructura, lo que es relevante a efectos del RGPD) y devuelve el resultado en tres estados: MATCH, POSSIBLE, CLEAR. Sub-30ms por consulta. Más un paquete de documentos de implantación —política de sanciones, instrucción de puesto, registro de coincidencias— para que no empieces desde una hoja en blanco.

Si tu empresa opera en uno de los sectores que cubrimos, consulta las pautas concretas: agencias de viajes, agencias inmobiliarias, agencias de seguros. Si no encuentras el tuyo, escríbenos: lo más probable es que también te demos servicio, simplemente todavía no hemos hecho la página de aterrizaje.

Base jurídica

• Reglamento (UE) nº 269/2014 del Consejo, de 17 de marzo de 2014 — CELEX 32014R0269
• Reglamento (UE) nº 833/2014 del Consejo, de 31 de julio de 2014 — CELEX 32014R0833
• Reglamento (CE) nº 765/2006 del Consejo, de 18 de mayo de 2006 (Bielorrusia) — CELEX 32006R0765
• Directiva (UE) 2024/1226 del Parlamento Europeo y del Consejo, de 24 de abril de 2024 — CELEX 32024L1226
• Ley 19/2003, de 4 de julio, sobre régimen jurídico de los movimientos de capitales y de las transacciones económicas con el exterior — BOE-A-2003-13471
• Ley 12/2003, de 21 de mayo, de prevención y bloqueo de la financiación del terrorismo — BOE-A-2003-10289
• Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo — BOE-A-2010-6737
• EU Financial Sanctions Files — webgate.ec.europa.eu/fsd/fsf
• OFAC SDN List — ofac.treasury.gov
• UN Security Council Consolidated List — un.org/securitycouncil
• UK Sanctions List (OFSI / HM Treasury) — gov.uk

Información, no asesoramiento jurídico. Este artículo tiene finalidad meramente informativa y no constituye asesoramiento jurídico. La valoración jurídica de un caso concreto debe realizarse con un abogado experto en derecho de sanciones internacionales y comercio exterior. Situación jurídica: 17 de mayo de 2026.