MiCA-Lizenzierung ist nur der Anfang: ESMA nimmt Krypto-Verwahrer unter die Lupe

Für Krypto-Verwahrer, die in der EU tätig sind, ist eine MiCA-Lizenz nicht länger das Ziel. Die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) hat eine gemeinsame Aufsichtsmaßnahme (CSA) gestartet, die sich auf die operative Resilienz von Krypto-Dienstleistern (CASPs) konzentriert, wobei die Verwahrung im Mittelpunkt der Überprüfung steht. Die Botschaft an den Markt ist unmissverständlich: MiCA-Compliance für Krypto-Firmen bedeutet nun, nachzuweisen, dass Sicherheitskontrollen in der Praxis halten, nicht nur auf dem Papier.

Was die ESMA Common Supervisory Action tatsächlich abdeckt

Die CSA gilt für eine Stichprobe von CASPs, die bereits eine MiCA-Zulassung erhalten haben. Die ESMA hat bestätigt, dass die Überprüfung die Reife des digitalen operationellen Resilienzrahmens jedes Unternehmens bewertet, insbesondere in Bezug auf Verwahrungsaktivitäten.

Die vier untersuchten Risikobereiche

Die ESMA-Überprüfung konzentriert sich auf vier verschiedene operationelle Risikobereiche:

• Schlüssel- und Speicherverwaltung: Wie private Schlüssel generiert, gespeichert und rotiert werden und ob die Trennung von Cold und Hot Storage tatsächlich durchgesetzt wird, anstatt nur angenommen.
• Transaktionskontrollen: Die Genehmigungsworkflows, Autorisierungsschwellen und Anomalieerkennungsmechanismen, die ausgehende Transfers regeln.
• Vorfallreaktion: Ob Unternehmen getestete, dokumentierte Pläne für Sicherheitsverletzungen, ungeplante Ausfälle und Marktstressszenarien haben, nicht nur schriftliche Richtlinien, die nie umgesetzt wurden.
• Abhängigkeiten von Dritten: Das Konzentrationsrisiko, das entsteht, wenn mehrere CASPs auf eine kleine Anzahl von Verwahrungstechnologieanbietern angewiesen sind, sodass ein einzelner Lieferantenausfall viele Firmen gleichzeitig betreffen kann.

Branchenführer, die nach der Ankündigung mit Cointelegraph sprachen, waren direkt in Bezug auf die Bedeutung der Verschiebung. Sebastien Dessimoz, Mitgründer und Managing Partner der Digital Asset-Infrastrukturfirma Taurus, beschrieb die Übung als einen Schritt „vom Behaupten von Sicherheit hin zum Nachweisen derselben“. Dieser Satz erfasst genau, was die CSA verlangt: überprüfbare Beweise, nicht nur Bestätigungen.

Der duale Regulierungsrahmen: MiCA und DORA gemeinsam

Einer der folgenreichsten Aspekte dieser CSA ist, dass sie gleichzeitig unter zwei EU-Regulierungsrahmen operiert. MiCA legt die Verwahrungspflichten fest, die autorisierte CASPs erfüllen müssen. Das Gesetz über die digitale operationelle Resilienz (DORA) verhängt unabhängig davon Technologierisikomanagement-Anforderungen an Finanzfirmen, einschließlich solcher, die Krypto-Assets halten oder verwalten.

Warum die Überschneidung eine höhere Compliance-Last schafft

Yuriy Brisov, Anwalt bei Digital & Analogue Partners, wies gegenüber Cointelegraph darauf hin, dass die Verwahrungstechnologie auf eine kleine Anzahl von Anbietern konzentriert ist. Diese Konzentration bedeutet, dass ein einziges schwaches Glied in der Lieferkette viele autorisierte CASPs gleichzeitig betreffen kann. Den Nachweis der Resilienz entlang dieser Lieferkette unter gleichzeitiger Einhaltung von MiCA und DORA zu erbringen, ist seiner Meinung nach „die eigentliche Herausforderung für CASPs.“

Für Wirtschaftsprüfungsgesellschaften und CFOs, die CASPs beraten oder prüfen, hat diese doppelte Verpflichtung direkte Konsequenzen dafür, wie Compliance-Nachweise gesammelt und gemeldet werden. Eine Firma, die MiCAs Verwahrungsregeln erfüllt, könnte dennoch DORAs ICT-Risikomanagementstandards nicht bestehen, wenn sie nicht nachweisen kann, dass ihre Drittanbieter bewertet und vertraglich auf die erforderlichen Resilienzniveaus verpflichtet wurden. Die beiden Rahmenwerke verlangen unterschiedliche Arten von Dokumentation, und Firmen müssen beide produzieren.

Unsere frühere Berichterstattung über die Aufsichtsmaßnahme der ESMA zur Resilienz der CASP-Verwahrung legte den anfänglichen Umfang dieser Übung dar. Die nun von Branchenteilnehmern eingehenden Berichte bestätigen, dass der Umfang auf Führungsebene ernst genommen wird.

Institutionelle Kunden fordern bereits mehr

Der regulatorische Druck kommt nicht isoliert. Jody Mettler, Chief Operating Officer von BitGo und Präsident von BitGo Trust, stellte fest, dass institutionelle Kunden bereits detailliertere Fragen zur Asset-Trennung, Zugangskontrollverwaltung, Vorfallreaktionsprotokollen und Geschäftskontinuitätsplanung während Marktstressphasen gestellt hatten, bevor die CSA offiziell angekündigt wurde. Die Regulierungsbehörden holen sozusagen die Due-Diligence-Standards ein, die große institutionelle Gegenparteien bereits anzuwenden begonnen haben.

Diese Konvergenz ist für Buchhaltungs- und Prüfungsfachleute von Bedeutung. Wenn institutionelle Investoren von Verwahrern verlangen, als Bedingung für das Onboarding Nachweise zur operationellen Resilienz zu erbringen, müssen diese Nachweise in einem Format vorgelegt werden, das unabhängig überprüft werden kann. Prüfpfade, Schlüsselverwaltungsprotokolle, Penetrationstestberichte und Bewertungen von Drittanbietern werden auf eine Weise relevant für den Prüfungsumfang, wie sie es nicht waren, als MiCA lediglich eine Zulassungsübung war.

Was dies für Wirtschaftsprüfungsgesellschaften und CFOs bedeutet

Die CSA ist eine Aufsichtsmaßnahme, zu diesem Zeitpunkt noch keine Durchsetzungsmaßnahme. Aber die Ergebnisse werden direkt in zwei laufende politische Debatten einfließen, die erhebliche Konsequenzen dafür haben, wie Krypto-Buchhaltungs- und Compliance-Funktionen EU-weit strukturiert werden.

Die MiCA-Überprüfung und zentralisierte ESMA-Aufsicht

Brisov teilte Cointelegraph mit, dass die CSA-Ergebnisse voraussichtlich sowohl die laufende MiCA-Überprüfung als auch den separaten Vorschlag beeinflussen werden, die Aufsicht über alle CASPs von den nationalen zuständigen Behörden direkt auf die ESMA zu übertragen. Wenn die ESMA-Aufsicht zentralisiert wird, wird die Konsistenz der Compliance-Standards über die Mitgliedstaaten hinweg stark zunehmen. Firmen, die ihre MiCA-Compliance um die milderen Erwartungen bestimmter nationaler Regulierungsbehörden herum strukturiert haben, könnten feststellen, dass diese Positionen nicht mehr haltbar sind.

Für Wirtschaftsprüfungsgesellschaften ist dies ein Planungssignal. Kunden, die die MiCA-Zulassung durch nationale Regulierungsbehörden in Jurisdiktionen mit lockererem Aufsichtsstil erhalten haben, sollten jetzt darauf hingewiesen werden, dass ein zentralisiertes ESMA-Regime einheitlichere und anspruchsvollere Standards anwenden könnte. Die Zeit, Lücken zu schließen, ist vor der Veröffentlichung der Ergebnisse, nicht danach.

Wettbewerbsdifferenzierung für besser vorbereitete Verwahrer

Markus Levin, Mitgründer der Blockchain-Infrastrukturfirma XYO, stellte fest, dass die Erlangung der MiCA-Zulassung und der Nachweis operationeller Resilienz „zwei verschiedene Tests“ seien. Verwahrer, die robuste Kontrollen vor Abschluss der CSA-Überprüfung nachweisen können, werden wahrscheinlich einen Wettbewerbsvorteil erlangen, wenn die institutionelle Adoption zunimmt. Diese Einordnung ist direkt relevant für CFOs von Krypto-eigenen Firmen: Investitionen in die Compliance-Infrastruktur jetzt sind nicht einfach Kosten, sie sind eine Positionierungsentscheidung.

Für Prüfungsteams, die mit CASPs arbeiten, ist die praktische Konsequenz, dass der Umfang eines operationellen Prüfungsauftrags zunimmt. Schlüsselverwaltungsverfahren, Zugangskontrollrahmen, Protokolle von Vorfallreaktionstests und Dateien zur Due Diligence von Anbietern werden zu Standard-Prüfungsleistungen, nicht zu optionalen Extras. Firmen, die Krypto-Buchhaltungssoftware und Digital Asset Accounting Tools verwenden, müssen sicherstellen, dass diese Systeme die granularen Transaktionsdatensätze und Zugriffsprotokolle produzieren können, die eine ESMA-Standard-Resilienzüberprüfung erfordern würde.

Die EU-MiCA-Überprüfungskonsultation und was sie für Wirtschaftsprüfungsgesellschaften bedeutet liefert wichtigen Kontext, wie sich der Regulierungsrahmen selbst wahrscheinlich entwickeln wird, was die längerfristige Compliance-Architektur prägt, die CASPs und ihre Berater aufbauen sollten.

Sofortige Handlungspunkte für Compliance- und Finanzteams

Die ESMA-CSA ist live. Unabhängig davon, ob ein bestimmter CASP in die erste Stichprobe fällt, wird die Überprüfung Benchmarks setzen, die wahrscheinlich zur Standarderwartung für den gesamten Sektor werden. Compliance- und Finanzteams sollten die Folgenden als sofortige Prioritäten behandeln.

Dokumentation und Gap-Analyse

• DORA-Verpflichtungen gegen bestehende MiCA-Compliance-Dokumentation abgleichen. Identifizieren Sie, wo Nachweislücken bestehen, insbesondere in Bezug auf ICT-Risikomanagement und Bewertungen von Drittanbietern. Die beiden Rahmenwerke teilen einige Anforderungen, aber die Nachweisstandards unterscheiden sich.
• Verträge mit Verwahrungstechnologieanbietern überprüfen. DORA verlangt, dass vertragliche Resilienzverpflichtungen an kritische Drittanbieter weitergegeben werden. Bestehende Verträge, die vor Inkrafttreten von DORA unterzeichnet wurden, enthalten möglicherweise nicht die erforderlichen Klauseln.
• Notfallpläne testen. Ein schriftlicher Plan, der nie umgesetzt wurde, wird eine ESMA-Überprüfung nicht zufriedenstellen. Tischübungen und dokumentierte Ergebnisse sind der minimale erwartete Standard.
• Schlüsselverwaltungsverfahren prüfen. Wer hat unter welchen Bedingungen Zugang und mit welchen Autorisierungskontrollen? Wenn die Antwort nicht schnell und in einem Format, das ein externer Prüfer akzeptieren würde, geliefert werden kann, ist dies eine Lücke.
• Konzentrationsrisiko bei der Verwahrungstechnologie bewerten. Wenn Ihre CASP-Kunden Infrastrukturanbieter mit einer signifikanten Anzahl anderer autorisierter Firmen teilen, ist das systemische Risikoprofil erhöht, und die Aufsichtsbehörden werden erwarten, dass dies erkannt und gemanagt wurde.

Buchhaltungsfachleute, die CASPs bei der Verwendung von Krypto-Buchhaltungssoftware und Digital Asset Accounting Software beraten, sollten auch bestätigen, dass diese Systeme unveränderliche Prüfpfade erzeugen und die Aufzeichnungspflichten unterstützen können, die sowohl MiCA als auch DORA auferlegen. Ein System, das zusammenfassende Berichte produziert, ist nicht ausreichend, wenn granulare Transaktionsdatensätze für eine Aufsichtsüberprüfung erforderlich sind.

Häufig gestellte Fragen

Was ist die Common Supervisory Action der ESMA zu CASPs?

Es handelt sich um eine koordinierte Überprüfung unter der Leitung der ESMA, die von den nationalen zuständigen Behörden durchgeführt wird und die operationelle Resilienz einer Stichprobe von MiCA-autorisierten Krypto-Dienstleistern bewertet. Der Fokus liegt speziell auf Verwahrungsaktivitäten und den vier Risikobereichen Schlüsselverwaltung, Transaktionskontrollen, Vorfallreaktion und Abhängigkeiten von Dritten.

Erfüllt eine MiCA-Lizenz automatisch die DORA-Anforderungen?

Nein. MiCA und DORA sind separate Regulierungsrahmen mit unterschiedlichen Nachweisanforderungen. Ein CASP, der eine MiCA-Zulassung erhalten hat, muss dennoch die Einhaltung der DORA-ICT-Risikomanagementstandards nachweisen, einschließlich der vertraglichen Verpflichtungen, die kritischen Drittanbieter von Technologie auferlegt werden müssen.

Welche Firmen sind in der ESMA-CSA enthalten?

Die ESMA hat bestätigt, dass die CSA für eine Stichprobe von CASPs gilt, die bereits nach MiCA zugelassen sind. Die genaue Auswahlmethodik wurde nicht veröffentlicht, aber es wird erwartet, dass die Ergebnisse Benchmarks setzen, die im Laufe der Zeit sektorweit gelten.

Wie sollten Wirtschaftsprüfungsgesellschaften Kunden auf dieses Maß an Prüfung vorbereiten?

Beginnen Sie mit einer Gap-Analyse, die die bestehende MiCA-Compliance-Dokumentation mit den ICT-Risikomanagementanforderungen von DORA abgleicht. Arbeiten Sie dann Lieferantenverträge, Schlüsselverwaltungsverfahren, Aufzeichnungen von Vorfallreaktionstests und Transaktionskontrollrahmen durch. Kunden sollten in der Lage sein, diese Nachweise schnell und in einem Format zu erbringen, das ein externer Prüfer unabhängig bewerten kann.

Was sind die Auswirkungen, wenn die ESMA die direkte Aufsichtsbefugnis über alle CASPs erhält?

Eine zentralisierte ESMA-Aufsicht würde das aktuelle Modell ersetzen, in dem nationale zuständige Behörden MiCA-Standards mit unterschiedlicher Strenge anwenden. Der praktische Effekt wäre eine einheitlichere und wahrscheinlich anspruchsvollere Compliance-Baseline in allen EU-Mitgliedstaaten. Firmen, die ihre Zulassung um lockerere nationale Aufsichtsbehörden herum strukturiert haben, sollten jetzt damit beginnen, Lücken zu schließen, bevor eine Zentralisierung in Kraft tritt.

Quelle: Cointelegraph