Fine del periodo transitorio MiCA: cosa devono fare ora i CASP
Il 1° luglio 2026, la finestra transitoria prevista dal regolamento sui mercati delle cripto-attività (MiCA) si è chiusa definitivamente. Qualsiasi fornitore di servizi per le cripto-attività (CASP) che operava con una registrazione nazionale in attesa della piena autorizzazione MiCA ha perso quella copertura legale nel momento in cui è scaduta la scadenza. Per studi contabili, revisori e CFO con esposizione crypto nell'UE, questo non è un aggiornamento normativo di sfondo: ridisegna la mappa di chi può operare legalmente nell'UE e, di conseguenza, chi è un controparte sicura nei libri contabili. Comprendere i dettagli della conformità MiCA per le aziende crypto è ora un compito di prima linea, non un ripensamento di conformità.
Cosa ha fatto effettivamente la disposizione transitoria
Il MiCA è entrato in vigore a fasi, con il quadro completo di autorizzazione CASP applicato dal 30 dicembre 2024. Per evitare un precipizio per gli operatori esistenti, il regolamento ha consentito agli Stati membri di concedere un periodo transitorio fino a 18 mesi, permettendo ai CASP già autorizzati o registrati ai sensi di un regime nazionale pre-MiCA di continuare a operare mentre completavano il nuovo processo di autorizzazione.
Il divieto che era solo differito
La parola chiave in quell'accordo è "differito". L'articolo 59 del MiCA ha sempre vietato a chiunque di fornire servizi per le cripto-attività nell'UE senza un'autorizzazione CASP. La disposizione transitoria non sospendeva tale regola; dava alle aziende qualificate il tempo di conformarsi. Quel tempo è ora terminato. Un CASP che opera oggi senza un'autorizzazione nel registro ESMA non ha alcuna base legale per servire clienti UE, punto e basta.
C'è un'ulteriore conseguenza da segnalare: i CASP che operavano con copertura transitoria non potevano passaporto i loro servizi in altri Stati membri. Questa restrizione, confermata nella dichiarazione ESMA sulle misure transitorie, significa che qualsiasi attività transfrontaliera condotta sotto la vecchia copertura era già limitata nell'ambito. Le aziende che presumevano che lo stato transitorio desse loro una portata a livello UE si sbagliavano.
Perché la scadenza non era la stessa ovunque
Gli Stati membri avevano discrezionalità su quanto a lungo concedere una finestra transitoria, fino al tetto di 18 mesi. Diversi hanno scelto periodi più brevi, il che significa che la scadenza effettiva variava a seconda della giurisdizione. Paesi Bassi, Finlandia, Lettonia, Ungheria e Slovenia hanno concesso sei mesi, chiudendo le loro finestre il 30 giugno 2025. La Svezia ha consentito nove mesi, con la sua scadenza fissata al 30 settembre 2025. Francia, Malta, Lussemburgo e diversi altri hanno raggiunto il limite massimo di 18 mesi il 1° luglio 2026.
Per qualsiasi azienda che rivede ora gli accordi con le controparti, la data rilevante non è sempre il 1° luglio 2026. Se una controparte era registrata ai sensi di un regime nazionale olandese o finlandese e non ha mai ottenuto un'autorizzazione MiCA, la sua base legale è scomparsa più di un anno fa. La due diligence sulle controparti deve tenerne conto.
Chi è effettivamente autorizzato e dove
ESMA mantiene un registro pubblico dei CASP autorizzati, aggiornato settimanalmente. Il registro è la fonte autorevole: ESMA e le autorità di vigilanza nazionali hanno indirizzato consumatori e controparti istituzionali a consultarlo prima di trattare con qualsiasi fornitore.
Concentrazione in un piccolo numero di giurisdizioni
Al momento della stesura, 213 voci CASP detenevano l'autorizzazione in 23 Stati membri. L'autorizzazione è altamente concentrata: le cinque giurisdizioni più grandi rappresentano circa 127 di quelle voci, quasi il 60% del totale. La Germania guida per volume, anche se una parte significativa delle voci tedesche sono banche e broker affermati che aggiungono permessi crypto ristretti a licenze esistenti piuttosto che aziende native crypto. Il cluster più attivo per le aziende focalizzate su crypto si trova a Malta, Paesi Bassi, Cipro, Francia e Irlanda.
Questa concentrazione è importante per i CFO che valutano la loro catena di fornitura di servizi crypto. Se la tua azienda instrada custodia, trading o regolamento tramite CASP, la probabilità è alta che le controparti rilevanti abbiano sede in una di queste cinque giurisdizioni. Qualsiasi controparte non autorizzata, o autorizzata solo in una giurisdizione la cui finestra transitoria si è chiusa presto, dovrebbe essere segnalata immediatamente.
Una nota sulle cifre del registro: ESMA è esplicito che le autorizzazioni segnalate dalle autorità nazionali competenti (ANC) non vengono visualizzate immediatamente. Il conteggio aumenta da un aggiornamento settimanale all'altro, quindi ogni cifra istantanea dovrebbe essere datata nel giorno in cui è stata estratta. Non fare affidamento su un numero citato senza data.
Il picco di autorizzazioni a fine 2025
Le autorizzazioni si sono accumulate lentamente per gran parte del 2025 e poi hanno accelerato bruscamente. Solo dicembre 2025 ha visto 41 nuove autorizzazioni, il più grande aumento mensile, mentre le aziende correvano per rispettare le scadenze di presentazione nazionali raggruppate attorno alla fine dell'anno. Il pipeline dietro quel picco continuerà a fluire nel registro nelle prossime settimane e mesi mentre le ANC elaborano le domande in sospeso. Le aziende che monitorano lo stato delle controparti dovrebbero controllare il registro regolarmente piuttosto che trattare ogni singolo prelievo come definitivo.
Tre percorsi per le aziende non ancora autorizzate
Per qualsiasi CASP che non ha ancora ottenuto un'autorizzazione MiCA, le opzioni si restringono drasticamente ora che il periodo transitorio è terminato. Non esiste una quarta opzione che preservi le relazioni con i clienti UE senza esposizione legale.
Presentare una domanda completa ai sensi dell'articolo 63 e attendere
Un'organizzazione che non ha ancora presentato domanda, o la cui domanda è ancora in corso, può presentare o continuare ai sensi dell'articolo 63. La qualità della domanda è ciò che determina il risultato: la completezza della documentazione di governance, la profondità dei controlli AML/CFT e la sostanza dimostrabile dell'entità richiedente. Il tipo di prodotto e gli anni di registrazione nazionale precedente non sostituiscono questi elementi. Le ANC valutano ciò che hanno di fronte e domande incomplete o sottili rallentano il processo. Non esiste una corsia preferenziale creata dal passaggio della scadenza.
Operare con il passaporto di un'entità del gruppo
Se una società madre o affiliata detiene già un'autorizzazione CASP, il meccanismo di passaporto del MiCA può estendere quella licenza per coprire le operazioni in altri Stati membri, a condizione che l'entità autorizzata abbia una sostanza genuina e che il suo monitoraggio e screening coprano effettivamente i flussi di transazione che assorbe. La condivisione del marchio tra un'entità del gruppo e una sussidiaria non autorizzata non è sufficiente. I supervisori guarderanno dove risiede il vero processo decisionale e se i controlli sono realmente applicati all'attività pertinente.
Eliminare gradualmente l'onboarding UE in modo ordinato
Per le organizzazioni che non sono nel processo di autorizzazione e non hanno un'entità del gruppo autorizzata su cui contare, l'unico percorso conforme è cessare l'onboarding di clienti UE e condurre una chiusura strutturata delle relazioni UE esistenti. L'esenzione per "sollecitazione inversa" nell'articolo 61 del MiCA non è un'alternativa praticabile per la maggior parte degli operatori. Tale disposizione consente a un CASP senza autorizzazione UE di servire un cliente UE solo quando il cliente ha contattato l'azienda interamente di propria iniziativa, senza alcuna sollecitazione preventiva. Qualsiasi pubblicità, elenco di app, accordo di affiliazione, coinvolgimento di influencer o marketing di ricerca rivolto a utenti UE rompe quella condizione. In pratica, la sollecitazione inversa copre un insieme ristretto di circostanze e non dovrebbe essere trattata come una soluzione alternativa business-as-usual.
Obblighi in corso per i CASP autorizzati
Ottenere l'autorizzazione è l'inizio dell'insieme di obblighi, non la fine. Il MiCA impone un quadro strutturato di doveri in corso che si applicano dal primo giorno di attività autorizzata. Per studi contabili e CFO che consigliano o revisionano CASP autorizzati, comprendere ciò che quei doveri richiedono operativamente è essenziale per valutare se un cliente o controparte è genuinamente conforme.
Monitoraggio, screening e sorveglianza delle transazioni
I CASP autorizzati sono tenuti a vagliare wallet e transazioni su base continuativa, mantenere un monitoraggio delle transazioni in grado di identificare modelli sospetti, condurre due diligence sulle controparti e supportare le indagini quando sorgono problemi. Questi non sono controlli di onboarding una tantum. Richiedono visibilità on-chain continua e la capacità di agire in modo coerente quando vengono identificati rischi.
L'implicazione pratica per la conformità MiCA nelle operazioni crypto è che i controlli devono essere integrati nei flussi di lavoro quotidiani. Un'azienda che supera la valutazione di autorizzazione ma esegue solo controlli periodici non soddisfa lo standard. Supervisori e revisori che esaminano il programma di conformità di un CASP guarderanno alla frequenza, alla copertura e alla qualità degli output di monitoraggio, non solo all'esistenza di un documento di policy.
L'ambito geografico è più ampio di quanto sembri
Un punto che coglie di sorpresa le aziende: la portata del MiCA non è limitata alle entità costituite nell'UE. Un CASP con sede fuori dal blocco può comunque rientrare nell'ambito se fa marketing attivo o fornisce servizi a clienti UE. Il divieto nell'articolo 59 si applica all'attività, non solo all'indirizzo dell'azienda. Gli operatori di paesi terzi che hanno fatto affidamento sulla copertura transitoria concessa da un'ANC affrontano lo stesso precipizio degli operatori con sede nell'UE, e quelli senza alcun percorso di autorizzazione in atto devono agire ora.
Cosa dovrebbero fare gli studi contabili e i CFO questa settimana
La lista di controllo pratica per studi professionali e team di finanza aziendale si divide in tre aree.
Revisione di controparti e fornitori
Estrai il registro CASP ESMA attuale e incrocia ogni fornitore di servizi crypto nei tuoi flussi di transazione, accordi di custodia e elenco fornitori. Nota la data dell'estrazione. Segnala qualsiasi controparte che non appare e porta a revisione legale prima di continuare a transare. Per le controparti in giurisdizioni con scadenze transitorie anticipate (Paesi Bassi, Finlandia, Lettonia, Ungheria, Slovenia, Svezia), verifica se l'autorizzazione precede la scadenza di quel paese o è stata ottenuta direttamente ai sensi del MiCA.
La nostra copertura precedente del quarto aggiornamento ESMA MiCA e il registro CASP illustra la struttura del registro e cosa significano in pratica le voci di autorizzazione, ed è utile rivederla insieme a questo aggiornamento.
Valutazione cliente per studi di consulenza e revisione
Gli studi che consigliano CASP o revisionano entità con partecipazioni o esposizioni crypto significative devono rivalutare lo stato normativo dei loro clienti alla luce della scadenza del 1° luglio. Un cliente che operava con una registrazione transitoria e non ha ottenuto l'autorizzazione è ora in violazione dell'articolo 59. Questo cambia la valutazione del rischio per l'incarico, le informazioni da fornire in qualsiasi relazione di revisione e potenzialmente gli obblighi dello studio ai sensi degli standard professionali applicabili.
Il contesto di vigilanza è disponibile nella newsletter ESMA di giugno/luglio 2026 sul periodo transitorio del MiCA, che copre le aspettative di vigilanza per il periodo post-scadenza.
Software di contabilità per asset digitali e allineamento della tenuta dei registri
I requisiti di segnalazione e tenuta dei registri del MiCA per i CASP autorizzati creano richieste corrispondenti sul software di contabilità per asset digitali e sul software di bookkeeping crypto che gli studi utilizzano per mantenere e revisionare quei registri. I registri devono catturare l'intera catena di transazioni in un formato che supporti sia la rendicontazione finanziaria che quella normativa. Se i sistemi esistenti sono stati configurati per soddisfare solo gli standard del regime nazionale pre-MiCA, un'analisi delle lacune è in ritardo. Lo stesso vale per la documentazione dei controlli interni: i supervisori si aspettano prove che i controlli descritti nella domanda di autorizzazione operino effettivamente come descritto.
Domande frequenti
Tutti gli Stati membri dell'UE hanno concesso ai CASP l'intero periodo transitorio di 18 mesi?
No. Gli Stati membri avevano discrezionalità per concedere tra zero e 18 mesi. Paesi Bassi, Finlandia, Lettonia, Ungheria e Slovenia hanno scelto sei mesi, chiudendo le loro finestre il 30 giugno 2025. La Svezia ha concesso nove mesi, chiudendo il 30 settembre 2025. Francia, Malta, Lussemburgo e diversi altri hanno raggiunto il limite massimo di 18 mesi il 1° luglio 2026. La scadenza rilevante per qualsiasi controparte dipende dalla giurisdizione della loro registrazione pre-MiCA.
Un CASP può ancora servire clienti UE ai sensi della regola di sollecitazione inversa?
Solo in circostanze molto ristrette. L'articolo 61 del MiCA consente a un'azienda non autorizzata di servire un cliente UE se quel cliente ha avviato il contatto interamente di propria iniziativa, senza sollecitazione preventiva. Qualsiasi pubblicità, elenco di app, marketing di affiliazione o promozione di ricerca rivolto a utenti UE rompe quella condizione. La maggior parte delle operazioni crypto commerciali non può fare affidamento credibilmente su questa esclusione per attività in corso.
Con quale frequenza viene aggiornato il registro CASP ESMA ed è sempre aggiornato?
ESMA aggiorna il registro settimanalmente, ma è esplicito che le autorizzazioni segnalate dalle autorità nazionali competenti non vengono riflesse immediatamente. Il conteggio in una data settimana può sottostimare il numero effettivo di CASP autorizzati. Datta sempre il tuo prelievo del registro e ricontrolla se la posizione di una controparte specifica è materiale per una decisione.
Il MiCA si applica a aziende con sede fuori dall'UE?
Sì, se attivamente mirano o servono clienti UE. Il divieto nell'articolo 59 si applica all'attività di fornire servizi per le cripto-attività a clienti con sede nell'UE, non alla posizione del fornitore di servizi. Le aziende di paesi terzi che fanno marketing a utenti UE senza autorizzazione sono nell'ambito e affrontano lo stesso rischio di enforcement degli operatori con sede nell'UE senza licenza.
Cosa dovrebbe fare uno studio contabile se la controparte CASP di un cliente non è nel registro ESMA?
Segnalalo immediatamente e cerca consulenza legale prima di consigliare al cliente di continuare a transare con quella controparte. Un CASP non autorizzato opera in violazione dell'articolo 59, il che crea rischio di controparte, potenziale esposizione reputazionale e possibilmente implicazioni AML/CFT se la relazione continua senza un piano di rimedio credibile. Documenta la scoperta e i passi intrapresi.
Fonte: Elliptic