Mniej niż 300 przeszło selekcję: Ivan Nevzorov o MiCA, licencjonowaniu CASP i co dalej dla firm kryptograficznych

Z ponad 3000 firm, które legalnie obsługiwały klientów kryptowalutowych w całej UE jeszcze w czerwcu, mniej niż 300 ma obecnie prawo do tego, według CASP Tracker.

Powodem jest Rozporządzenie w sprawie rynków aktywów kryptograficznych (MiCA), które weszło w pełni w życie w całej Unii Europejskiej 1 lipca 2026 roku: od tej daty tylko firma posiadająca autoryzację dostawcy usług aktywów kryptograficznych (CASP) — przyznaną przez organ regulacyjny w jednym z państw członkowskich UE i przeniesioną na resztę bloku — może obsługiwać klientów UE. Firmy, które wcześniej działały na podstawie krajowych rejestracji dostawców usług aktywów wirtualnych (VASP), miały dokładnie do tej daty na przekształcenie. Większość tego nie zrobiła.

Rozmawialiśmy z Ivanem Nevzorovem, dyrektorem generalnym SBSB Fintech Lawyers, o tym, co właściwie im teraz pozostało — i dlaczego skróty, po które większość z nich sięga najpierw, zazwyczaj nie są tymi, które się sprawdzają.

Zacznijmy od oczywistego. Firma nadal nie ma dzisiaj licencji CASP — co się z nią teraz stanie?

Ivan Nevzorov:Słuchaj, oto rzecz, której ludzie nie chcą słyszeć: termin już minął. Od 1 lipca, każdy dzień, w którym obsługujesz klientów z UE bez zezwolenia, to dzień, w którym naruszasz MiCA — minimalna kara wynosi 5 milionów euro na mocy artykułu 111, a we Francji może to oznaczać odpowiedzialność karną dla osoby odpowiedzialnej. Więc odpowiedź, której wszyscy się spodziewają, „po prostu zdobądź licencję”, nie jest już dostępna dla firmy działającej dzisiaj. Nie możesz złożyć wniosku, utrzymywać działalność przez miesiące, podczas gdy jest on rozpatrywany, i nazywać to zgodnością.

Co naprawdę pozostawia dwie ścieżki. Po pierwsze, zamykasz działalność, ponieważ firma nie może spełnić nowego standardu. Po drugie, przenosisz się — przenosisz swoją siedzibę do bardziej przyjaznej jurysdykcji. Choć ta opcja utrzymuje cię w zgodności tylko wtedy, gdy całkowicie przestaniesz reklamować się w UE i pozwolisz klientom przychodzić do ciebie samodzielnie, co nazywa się odwrotnym pozyskiwaniem. Kontynuując reklamowanie użytkowników z UE z zewnątrz bloku, łamiesz dokładnie tę samą zasadę, tylko z innego adresu.

Wrócimy do przenoszenia się, ponieważ to naprawdę jest osobna rozmowa. Zacznijmy od zamykania działalności, ponieważ to jest miejsce, w którym większość tych firm obecnie się znajduje — i szczerze mówiąc, to boli patrzeć, ponieważ większość z nich nie zrobiła nic złego. Po prostu nie zdążyli na czas, a dla wielu z nich powody nie miały nic wspólnego z tym, jak dobra była ich zgodność.

Zakończenie działalności brzmi jak prostsza droga, przynajmniej. Czy rzeczywiście tak jest?

Ivan Nevzorov:Nie jest to tak proste, jak się wydaje, i istnieje właściwy oraz niewłaściwy sposób na to. Niewłaściwy sposób to wyłączenie aplikacji i zniknięcie — aktywa klientów w tych kontach nie znikają, a ich posiadanie jest regulowaną działalnością samą w sobie. Dla regulatora ta firma nigdzie się nie udała. Nadal działa bez licencji, tylko teraz przestała również odpowiadać swoim klientom. Właściwy sposób to jedna z dwóch rzeczy: uporządkowane zakończenie działalności lub przeniesienie swoich klientów do CASP, który jest już autoryzowany.

ESMA jasno określiła, jak powinien wyglądać uporządkowany proces wygaszania: zaprzestać przyjmowania nowych klientów, zaprzestać jakiejkolwiek reklamy w UE, ograniczyć się do rozliczenia już otwartych spraw. Przenoszenie klientów wydaje się prostsze na papierze, ale bycie na liście CASP tylko informuje, że firma ma prawo przyjmować klientów — nie mówi, że jest rzeczywiście przygotowana do przyjęcia kilku tysięcy nowych jednocześnie. Wiele firm, które uzyskały autoryzację najszybciej, nie budowało funkcji zgodności z przepisami kryptowalutowymi od zera — już posiadały licencję MiFID lub e-money i po prostu ją przekształciły, z mniejszym nadzorem. Dobrze dla nich, ale oznacza to również, że niektóre z tych zupełnie nowych CASP to banki prowadzące kryptowaluty jako produkt uboczny, a nie specjaliści, którzy mogą przyjąć falę migrujących klientów. Każdy z tych klientów nadal potrzebuje pełnej weryfikacji AML i KYC przed tym, jak nowy CASP będzie mógł dotknąć ich pieniędzy. To miesiące pracy dla zespołu, który robi to codziennie. Dłużej dla zespołu, który tego nie robi.

Można by pomyśleć, że większe platformy powinny to już rozwiązać. Czy to rzeczywiście prawda?

Ivan Nevzorov:Mniej niż ludzie myślą, a Binance jest rzeczywiście dobrym przykładem dlaczego. Platforma z wieloletnią historią działalności w Europie i ogromnymi zasobami prawnymi i zgodności nadal napotkała prawdziwe problemy z licencjonowaniem MiCA — ten sam mur, na który natrafia wiele znacznie mniejszych firm. To mówi ci coś, nad czym warto się zastanowić: to nie jest luka, którą zamkniesz po prostu rzucając pieniędzmi lub zwiększając zatrudnienie. Jeśli firma tej wielkości nie mogła tego w pełni uporządkować przed terminem, mniejszy operator nie powinien zakładać, że po prostu sobie z tym poradzi.

Cofnijmy się na chwilę — tylko kilkaset firm rzeczywiście przeszło przez to, gdy było to jeszcze możliwe. Co poszło nie tak z resztą?

Ivan Nevzorov:Szczerze mówiąc, rzadko chodzi o dokumenty. Technicznie poprawny wniosek tylko wprowadza cię do pokoju — nie wygrywa decyzji. Widzieliśmy, jak jeden wniosek został odrzucony z powodu sposobu, w jaki wpłacono kapitał zakładowy, a ten wymóg nie jest nawet zapisany w MiCA, nigdzie. Regulator po prostu wymyślił formalność, która nie znajduje się w tekście. To jest wzór, który ciągle widzę: cokolwiek powód, który podają na papierze, rzadko jest prawdziwy. Prawdziwy powód przychodzi do ciebie nieformalnie, jeśli w ogóle przychodzi, i chodzi o to, jak postrzegają firmę — czy naprawdę rozumiesz swój własny model ryzyka, kto jest odpowiedzialny za co, kim naprawdę są twoi klienci. Polityka zgodności skopiowana z szablonu nie odpowiada na żadne z tych pytań. To pierwsza rzecz, którą sygnalizuję, gdy ktoś wchodzi do SBSB z jednym.

A druga rzecz, którą ludzie całkowicie niedoceniają: miejsce, w którym złożyłeś wniosek, miało znaczenie niemal tak samo jak to, co złożyłeś. To nie był jeden proces w całej UE — to było dwadzieścia siedem jego wersji, poruszających się z zupełnie różnymi prędkościami i z zupełnie różnymi apetytami na mówienie nie. Niemiecki BaFin nie miał z tym problemu: jego pierwsza w historii akcja egzekucyjna MiCA polegała na odrzuceniu wniosku Etheny, a następnie zmuszeniu firmy do zamknięcia jej działalności w Niemczech i wykupu jej tokenów. Włoski regulator poszedł w przeciwnym kierunku — spędził większość okresu przejściowego, nie autoryzując nikogo, więc wnioski tam po prostu leżały. Ta sama regulacja, szalenie różne szanse w zależności od drzwi, do których zapukałeś. Kilka krajów nawet nie zbudowało drzwi — Polska jest najgłośniejszym przykładem, weszła w termin bez żadnego organu wydającego licencje CASP — ale to jest skrajny koniec spektrum, na którym siedział cały rynek.

Porozmawiajmy więc o firmach, które faktycznie przechodzą przez proces licencjonowania — pierwszy wniosek na rynku, którego jeszcze nie dotknęły, lub powrót później po uporządkowanym wyjściu. Jak w praktyce wygląda strategia, która naprawdę działa?

Ivan Nevzorov:Szczerze mówiąc, zaczyna się to zanim dotkniesz jakiejkolwiek formy. Najpierw rozmawiasz z regulatorem, dowiadujesz się dokładnie, czego oczekują od firmy takiej jak ta, a dopiero potem budujesz strukturę wokół tej odpowiedzi — politykę AML, zarządzanie, dokumentację. MiCA to dyrektywa, co oznacza, że każdy kraj wdraża ją nieco inaczej, więc pakiet zgodności, który działał w jednym państwie członkowskim, jest ponownie sprawdzany, zanim odważysz się go użyć gdzie indziej. Ludzie ciągle pomijają ten krok, a to ich kosztuje.

W SBSB pełne zlecenie dla nas wygląda tak: zakładanie firmy, sama aplikacja, obsługa korespondencji z regulatorem, a następnie te części, których większość założycieli naprawdę nie może zbudować samodzielnie — relacje bankowe, infrastruktura płatności, testy penetracyjne przez naszych partnerów, licencjonowane oprogramowanie zgodności. A zatrudnienie ma równie duże znaczenie. Regulatorzy sprawdzają certyfikaty AML na wczesnym etapie, więc uporządkuj to przed złożeniem aplikacji, a nie po tym, jak już ją złożyłeś.

Jak firma powinna właściwie wybrać, na który rynek UE aplikować — Niemcy, Austria, Holandia, Estonia?

Ivan Nevzorov:Nie daję każdemu klientowi tej samej odpowiedzi, szczerze mówiąc, a jeśli ktokolwiek powie ci, że istnieje jedna magiczna jurysdykcja, to upraszcza to dla ciebie. Ale różnice między regulatorami są realne i są już dobrze udokumentowane. Niemiecki BaFin daje ci najsilniejszy podpis w Europie — klienci korporacyjni go szanują — ale płacisz za to: niemiecka jednostka, przynajmniej dwóch wykwalifikowanych dyrektorów faktycznie obecnych w kraju, kapitał wpłacony przy składaniu, oraz pakiet dokumentów liczący setki stron, z formalnym wnioskiem w języku niemieckim. Francja to zupełnie inna historia: AMF licencjonowała firmy kryptograficzne w ramach własnego krajowego reżimu przez pięć lat przed istnieniem MiCA, więc firmy już zarejestrowane tam miały naprawdę uproszczoną ścieżkę, a jednostka kryptograficzna regulatora wie, na co patrzy. Luksemburg, Irlandia i Malta stały się hubami, które rzeczywiście wybrały duże giełdy: Coinbase przeszedł przez Luksemburg, Kraken przez Irlandię, OKX i Crypto.com przez Maltę. To nie jest przypadek; to tam proces był wystarczająco dojrzały, aby obsłużyć taką dokumentację.

Ale oto, co naprawdę mówię klientom: prędkość regulatora nie powinna decydować — to twoja własna zdolność powinna być kluczowa. Każdy poważny regulator teraz sprawdza to samo: prawdziwe biuro, prawdziwy personel na miejscu, wiarygodny plan dla tego konkretnego rynku. Wybierz jurysdykcję, w której możesz szczerze to pokazać, a nie tę, gdzie jest najkrótsza kolejka — szybki proces bez substancji za twoim wnioskiem po prostu prowadzi do szybkiego odrzucenia. I tak, Niemcy prowadzą pod względem liczby wydanych licencji, ale duża część z tego to banki i brokerzy przekształcający licencję, którą już mieli, a nie firmy związane z kryptowalutami, które uzyskują nowe zatwierdzenie. „Niemcy mają najwięcej CASP-ów” i „Niemcy to najłatwiejsze miejsce dla firmy kryptowalutowej” to dwa różne twierdzenia, a ludzie ciągle je mylą. Nie sądzę, aby jakiekolwiek pojedyncze państwo mogło długo utrzymać przewagę — zdolność regulatora jest wszędzie ograniczona. Widzieliśmy ten film wcześniej, to zasadniczo to, co wydarzyło się podczas reformy licencji gier na Curaçao. Gdy wolumen przewyższa to, co regulator może faktycznie przetworzyć, sam proces staje się wąskim gardłem.

Wróćmy do relokacji, trzeciej ścieżki, o której wspomniałeś wcześniej. Jak firmy myślące globalnie powinny oceniać licencję UE w porównaniu do licencji w innych miejscach — Ameryce Łacińskiej, Azji, na obszarach offshore?

Ivan Nevzorov:Patrz, najbezpieczniejsza pozycja to pełna zgodność wszędzie tam, gdzie działasz — lepsze warunki bankowe, pełny dostęp do rynku, nic nie siedzi w szarej strefie. Ale to wymaga budżetu, którego większość startupów po prostu nie ma. Więc w praktyce, większość z nich kończy na prowadzeniu działalności z przyjaznej dla biznesu bazy — Salwador, Panama, ZEA, Singapur, Meksyk, te miejsca pojawiają się nieustannie — i obsługują klientów z UE tylko poprzez odwrotną solicytację, czasami z nałożonymi blokadami geograficznymi dla bardziej ryzykownych rynków.

Źródło: CryptoPotato