ESMA opent eerste grote MiCA-controle: vergunning is pas begin

Een MiCA-vergunning is voor cryptobedrijven niet langer het eindstation. De Europese Autoriteit voor effecten en markten (ESMA) heeft een gezamenlijke toezichtsactie aangekondigd waarbij een selectie van vergunde bedrijven wordt doorgelicht. De focus ligt op partijen die digitale activa namens klanten bewaren.

De timing is opvallend. De controle volgt kort nadat de laatste MiCA-overgangsregelingen zijn afgelopen. Nu alle cryptodienstverleners die actief willen blijven in de Europese Unie over een vergunning moeten beschikken, verschuift de aandacht naar de vraag of zij in de praktijk ook aan de gestelde eisen voldoen.

ESMA kijkt verder dan alleen de vergunning

Tijdens de toezichtsactie onderzoekt ESMA onder meer hoe bedrijven digitale activa bewaren, cryptografische sleutels beheren, transacties controleren en omgaan met beveiligingsincidenten. Ook wordt gekeken hoe afhankelijk aanbieders zijn van externe technologiebedrijven.

De toezichthouder wil niet alleen vaststellen of bedrijven aan de regels voldoen, maar ook of zij hun dienstverlening kunnen voortzetten wanneer zich cyberaanvallen of andere verstoringen voordoen.

Volgens Sébastien Dessimoz, medeoprichter van infrastructuurbedrijf Taurus, laat de actie zien dat een vergunning slechts het begin is.

Voor bewaarders is een vergunning het beginpunt, niet het eindpunt.

Volgens hem verwachten toezichthouders steeds vaker dat bedrijven kunnen aantonen dat hun beveiliging, processen en risicobeheer daadwerkelijk op orde zijn.

Ook beleggers stellen hogere eisen

Niet alleen toezichthouders kijken kritischer naar cryptobewaarders. Volgens Jody Mettler van BitGo willen institutionele beleggers steeds vaker inzicht in de manier waarop aanbieders klanttegoeden beschermen, toegang tot wallets beveiligen en omgaan met beveiligingsincidenten.

Daardoor verschuift de aandacht steeds meer van het bezit van een vergunning naar de kwaliteit van de dagelijkse bedrijfsvoering.

MiCA en DORA versterken het toezicht

Volgens advocaat Yuriy Brisov van Digital & Analogue Partners vormt de toezichtsactie een combinatie van twee Europese regelgevingen. MiCA stelt eisen aan cryptodienstverleners, terwijl de Digital Operational Resilience Act (DORA) bedrijven verplicht hun digitale weerbaarheid op orde te hebben.

Brisov wijst erop dat veel cryptobedrijven gebruikmaken van dezelfde technologiepartners. Problemen bij één leverancier kunnen daardoor meerdere marktpartijen tegelijk raken. Toezichthouders kijken daarom niet alleen naar individuele bedrijven, maar ook naar de risico’s binnen de bredere toeleveringsketen.

De resultaten van de toezichtsactie kunnen bovendien gevolgen hebben voor de toekomst van het Europese cryptotoezicht. Op dit moment zijn nationale toezichthouders verantwoordelijk voor de controle op MiCA-vergunde bedrijven, maar binnen de Europese Unie wordt al langer gesproken over een grotere rol voor ESMA.