Meno di 300 hanno superato la selezione: Ivan Nevzorov su MiCA, licenze CASP e cosa c'è in serbo per le aziende crypto

Dei più di 3.000 aziende che servivano legalmente clienti crypto in tutta l'UE fino a questo giugno, meno di 300 hanno il diritto di farlo oggi, secondo CASP Tracker.

Il motivo è il Regolamento sui Mercati degli Attivi Crypto (MiCA), che è entrato in vigore in tutta l'Unione Europea il 1° luglio 2026: da quella data, solo un'azienda che detiene l'autorizzazione come Fornitore di Servizi di Attivi Crypto (CASP) — concessa da un regolatore in uno stato membro dell'UE e validata nel resto del blocco — può servire i clienti dell'UE. Le aziende che operavano precedentemente con registrazioni nazionali come Fornitori di Servizi di Attivi Virtuali (VASP) avevano esattamente fino a quella data per convertirsi. La maggior parte non lo ha fatto.

Abbiamo parlato con Ivan Nevzorov, CEO di SBSB Fintech Lawyers, su cosa rimane effettivamente per loro ora — e perché le scorciatoie a cui la maggior parte di loro ricorre per prime di solito non sono quelle che reggono.

Iniziamo con l'ovvio. Un'azienda non ha ancora una licenza CASP oggi — cosa succede ora?

Ivan Nevzorov:Guarda, ecco la cosa che le persone non vogliono sentire: la scadenza è già passata. Dal 1° luglio, ogni giorno in cui continui a servire clienti dell'UE senza autorizzazione è un giorno in cui sei in violazione del MiCA — una multa minima di 5 milioni di euro ai sensi dell'Articolo 111, e in Francia può significare responsabilità penale per chi è responsabile. Quindi la risposta che tutti si aspettano di sentire, "basta ottenere una licenza", non è più sul tavolo per un'azienda che opera oggi. Non puoi presentare una domanda, mantenere accese le luci per mesi mentre viene esaminata e chiamare questo conformità.

Questo lascia davvero due strade. Una, chiudi, perché l'azienda non può soddisfare il nuovo standard. Due, ti trasferisci — sposti la tua base in una giurisdizione più favorevole. Anche se quest'ultima ti mantiene legale solo se smetti completamente di fare marketing nell'UE e lasci che i clienti vengano da te da soli, ciò che viene chiamato sollecitazione inversa. Continua a pubblicizzare agli utenti dell'UE da fuori del blocco, e stai violando la stessa regola, solo da un indirizzo diverso.

Torneremo a parlare del trasferimento, perché è davvero una conversazione a sé stante. Iniziamo con la chiusura, dato che è lì che si trovano attualmente la maggior parte di queste aziende — e onestamente, è doloroso da vedere, perché la maggior parte di loro non ha fatto nulla di sbagliato. Semplicemente non sono arrivati in tempo, e per molti di loro, le ragioni non avevano nulla a che fare con quanto fosse buona la loro conformità.

Ridursi sembra essere il percorso più semplice, almeno. Lo è davvero?

Ivan Nevzorov:Non è così semplice come la gente pensa, e c'è un modo giusto e uno sbagliato per farlo. Il modo sbagliato è spegnere l'app e scomparire: i beni dei clienti che si trovano in quegli account non svaniscono, e mantenerli è un'attività regolamentata di per sé. Per il regolatore, quella società non è andata da nessuna parte. Sta ancora operando senza licenza, solo che ora ha anche smesso di rispondere ai suoi clienti. Il modo giusto è uno dei due: una chiusura ordinata, o trasferire i tuoi clienti a un CASP già autorizzato.

ESMA ha effettivamente specificato come deve apparire un'uscita ordinata: fermare l'onboarding, fermare qualsiasi marketing nell'UE, limitarsi a risolvere ciò che è già aperto. E trasferire i clienti sembra più semplice sulla carta, ma essere nel registro CASP ti dice solo che un'azienda è autorizzata a prendere clienti — non ti dice che sono effettivamente attrezzati per accogliere alcune migliaia di nuovi clienti contemporaneamente. Molte delle aziende che hanno ottenuto l'autorizzazione più rapidamente non hanno costruito una funzione di conformità crypto da zero — avevano già una licenza MiFID o di moneta elettronica e l'hanno semplicemente convertita, con un controllo più leggero. Bene per loro, ma significa anche che alcuni di questi nuovissimi CASP sono banche che gestiscono il crypto come un prodotto secondario, non specialisti in grado di assorbire un'ondata di clienti in migrazione. Ogni singolo cliente ha ancora bisogno di una piena ri-verifica AML e KYC prima che il nuovo CASP possa toccare i loro soldi. Sono mesi di lavoro per un team che lo fa ogni giorno. Più a lungo per un team che non lo fa.

Potresti pensare che le piattaforme più grandi avrebbero risolto questo problema ormai. È davvero così?

Ivan Nevzorov:Meno di quanto si pensi, e Binance è in realtà un esempio giusto del perché. Una piattaforma con anni di storia operativa in Europa e enormi risorse legali e di conformità ha comunque incontrato veri problemi di licenza MiCA — lo stesso muro che molte aziende molto più piccole stanno affrontando. Questo ti dice qualcosa su cui vale la pena riflettere: non è un divario che chiudi semplicemente lanciando soldi o aumentando il personale. Se un'azienda di quella dimensione non è riuscita a risolvere completamente la situazione prima della scadenza, un operatore più piccolo non dovrebbe presumere di poterlo fare facilmente.

Facciamo un passo indietro per un secondo — solo un paio di centinaia di aziende ce l'hanno fatta mentre era ancora possibile. Cosa stava andando storto per le altre?

Ivan Nevzorov:Onestamente, raramente è la documentazione. Una domanda tecnicamente corretta ti fa solo entrare nella stanza — non ti garantisce la decisione. Abbiamo visto una domanda essere rifiutata per come era stato depositato il capitale sociale, e quel requisito non è nemmeno scritto da nessuna parte nel MiCA. Il regolatore ha semplicemente inventato una formalità che non è nel testo. Questo è il modello che continuo a vedere: qualunque motivo mettano su carta è quasi mai quello reale. Il vero motivo ti arriva informalmente, se arriva, ed è su come leggono l'azienda — capisci davvero il tuo modello di rischio, chi è responsabile di cosa, chi sono realmente i tuoi clienti. Una politica di conformità copiata da un modello non risponde a nessuna di queste domande. È la prima cosa che segnalo quando qualcuno entra in SBSB con una.

E la seconda cosa che le persone sottovalutano completamente: dove hai presentato la domanda contava quasi quanto cosa hai presentato. Non era un processo unico in tutta l'UE — erano ventisette versioni di esso, che si muovevano a velocità completamente diverse, con appetiti completamente diversi per dire di no. La BaFin tedesca non si è tirata indietro: la sua prima azione di enforcement MiCA è stata il rifiuto della domanda di Ethena e poi costringere l'azienda a chiudere la sua operazione in Germania e a riscattare i suoi token. Il regolatore italiano ha fatto l'opposto — ha trascorso la maggior parte del periodo di transizione senza aver autorizzato nessuno, quindi le domande lì sono rimaste ferme. Stessa regolamentazione, probabilità completamente diverse a seconda della porta su cui hai bussato. Alcuni paesi non hanno nemmeno costruito la porta — la Polonia è l'esempio più eclatante, è arrivata alla scadenza senza alcuna autorità che emettesse licenze CASP — ma questo è l'estremo di uno spettro su cui si trovava l'intero mercato.

Parliamo delle aziende che stanno effettivamente attraversando il processo di licenza, quindi — una prima domanda in un mercato che non hanno ancora toccato, o un ritorno più avanti dopo un'uscita ordinata. Come appare, nella pratica, una strategia che funziona davvero?

Ivan Nevzorov:Onestamente, inizia prima di aver toccato un solo modulo. Prima parli con il regolatore, scopri esattamente cosa si aspettano da un'azienda come questa, e solo allora costruisci la struttura attorno a quella risposta — la politica AML, la governance, la documentazione. MiCA è una direttiva, il che significa che ogni paese la implementa in modo leggermente diverso, quindi un pacchetto di conformità che ha funzionato in uno stato membro viene ricontrollato prima di osare riutilizzarlo altrove. Le persone saltano costantemente quel passaggio, e questo costa loro.

Da SBSB, un mandato completo per noi appare così: formazione dell'azienda, la domanda stessa, gestione della corrispondenza con il regolatore, e poi le parti che la maggior parte dei fondatori non può costruire da sola — relazioni bancarie, infrastruttura di pagamento, test di penetrazione attraverso i nostri partner, software di conformità autorizzato. E il personale conta altrettanto. I regolatori controllano le certificazioni AML presto, quindi sistemalo prima che la domanda venga presentata, non dopo che hai già inviato.

Come dovrebbe un'azienda scegliere effettivamente in quale mercato dell'UE fare domanda — Germania, Austria, Paesi Bassi, Estonia?

Ivan Nevzorov:Non do a ogni cliente la stessa risposta, onestamente, e se qualcuno ti dice che c'è una giurisdizione magica, sta semplificando troppo la questione. Ma le differenze tra i regolatori sono reali e ormai sono ben documentate. La BaFin tedesca ti offre la firma più pesante in Europa — i clienti aziendali la rispettano — ma paghi per questo: un'entità tedesca, almeno due direttori qualificati effettivamente presenti nel paese, capitale versato al momento della registrazione e un pacchetto di documentazione che arriva a centinaia di pagine, con la registrazione formale in tedesco. La Francia è l'opposto: l'AMF aveva concesso licenze a imprese crypto sotto il proprio regime nazionale per cinque anni prima che esistesse il MiCA, quindi le imprese già registrate lì hanno avuto un percorso realmente semplificato, e l'unità crypto del regolatore sa cosa sta guardando. Lussemburgo, Irlanda e Malta sono diventati i centri che i grandi scambi hanno effettivamente scelto: Coinbase è passata per il Lussemburgo, Kraken per l'Irlanda, OKX e Crypto.com per Malta. Non è una coincidenza; è dove il processo era maturo abbastanza da gestire un file di quelle dimensioni.

Ma ecco cosa dico realmente ai clienti: la velocità del regolatore non dovrebbe decidere — dovrebbe farlo la tua capacità. Ogni regolatore serio ora controlla la stessa cosa: un ufficio reale, personale reale sul campo, un piano credibile per quel mercato specifico. Scegli la giurisdizione in cui puoi onestamente dimostrare ciò, non chi ha la fila più corta — un processo veloce senza sostanza dietro la tua domanda ti porta solo a un veloce rifiuto. E sì, la Germania guida attualmente per numero di licenze, ma una buona parte di esse sono banche e broker che convertono una licenza che già avevano, non aziende native nel crypto che ottengono approvazioni fresche. “La Germania ha il maggior numero di CASP” e “La Germania è il posto più facile per un'azienda crypto” sono due affermazioni diverse, e le persone le confondono costantemente. Non penso che il vantaggio di un singolo paese duri a lungo comunque — la capacità del regolatore è finita ovunque. Abbiamo già visto questo film, è fondamentalmente ciò che è successo con la riforma della licenza di gioco di Curaçao. Una volta che il volume supera ciò che il regolatore può effettivamente elaborare, il processo stesso diventa il collo di bottiglia.

Torniamo a parlare di rilocalizzazione, il terzo percorso che hai menzionato prima. Per le aziende che pensano a livello globale, come dovrebbero valutare una licenza UE rispetto a licenze altrove — America Latina, Asia, offshore?

Ivan Nevzorov: Guarda, la posizione più sicura è la piena conformità ovunque tu operi — migliori condizioni bancarie, accesso completo al mercato, niente che si trovi in un'area grigia. Ma questo richiede un budget che la maggior parte delle startup semplicemente non ha. Quindi, in pratica, la maggior parte di loro finisce per operare da una base favorevole alle imprese — El Salvador, Panama, gli Emirati Arabi Uniti, Singapore, Messico, questi vengono costantemente menzionati — e servendo i clienti dell'UE solo attraverso la sollecitazione inversa, a volte con geo-blocchi aggiunti per i mercati più rischiosi.

Fonte: CryptoPotato