Regolamento (UE) 2025/305

Norme tecniche sulle informazioni della domanda di autorizzazione per prestatori di servizi per le cripto-attività

Il regolamento delegato (UE) 2025/305 integra il regolamento (UE) 2023/1114 (MiCA) specificando in dettaglio il contenuto informativo della domanda di autorizzazione per operare come prestatore di servizi per le cripto-attività. L’obiettivo è consentire alle autorità competenti di svolgere una valutazione completa e proporzionata dei richiedenti, verificando requisiti prudenziali, governance, controllo interno, continuità operativa, presidi antiriciclaggio, sicurezza TIC e idoneità dei soggetti rilevanti, senza imporre oneri inutili.

Ambito applicativo e logica dell’intervento

L’atto si applica alle persone giuridiche e alle altre imprese che chiedono l’autorizzazione ai sensi dell’articolo 62 del regolamento (UE) 2023/1114. Le informazioni richieste devono essere sufficientemente dettagliate per permettere sia la valutazione dei requisiti del titolo V del MiCA, sia, se del caso, di quelli del titolo VI, nonché per escludere le cause di rifiuto dell’autorizzazione previste dall’articolo 63, paragrafo 10. I considerando evidenziano anche l’esigenza di minimizzazione dei dati, di accuratezza delle informazioni e di protezione dei clienti rispetto ai rischi tipici del settore, inclusi quelli operativi e di cibersicurezza.

Informazioni generali sul richiedente

L’articolo 1 richiede un set informativo di base molto ampio: dati identificativi, recapiti, LEI, forma giuridica, data e luogo di costituzione, sede centrale e legale, succursali, domini web e account social. Se il richiedente non è una persona giuridica, deve produrre documentazione aggiuntiva per dimostrare l’equivalenza della protezione degli interessi dei terzi e della vigilanza prudenziale. Se intende gestire una piattaforma di negoziazione, devono essere indicati anche i dati di identificazione della piattaforma.

Programma operativo e perimetro delle attività

L’articolo 2 impone un programma operativo triennale estremamente dettagliato. Il richiedente deve descrivere l’inserimento nel gruppo, l’interazione con soggetti affiliati, i servizi per le cripto-attività che intende prestare, eventuali altre attività regolamentate o non regolamentate, le giurisdizioni in cui opererà, i target di clientela, i canali digitali e fisici di accesso, le attività di marketing e promozione, le risorse umane, finanziarie e TIC, nonché la politica di outsourcing e gli accordi infragruppo.

Per il piano economico-finanziario sono richiesti:

• un piano contabile previsionale;
• scenari di stress a livello individuale e, se applicabile, di gruppo o subconsolidato;
• una previsione degli scambi di cripto-attività con fondi o altre cripto-attività, anche tramite applicazioni di finanza decentralizzata con cui il richiedente interagisce per proprio conto.

Sono inoltre previste integrazioni specifiche per i servizi di ricezione e trasmissione ordini e per il collocamento, con documentazione delle procedure di conformità agli articoli 80 e 79 del MiCA.

Requisiti prudenziali e coperture

L’articolo 3 richiede di illustrare in modo completo le tutele prudenziali ex articolo 67 del MiCA, con indicazione dell’importo al momento della domanda, delle ipotesi di calcolo, della parte coperta da fondi propri e di quella eventualmente coperta da assicurazione o garanzia analoga. La domanda deve contenere anche le proiezioni dei primi tre esercizi successivi all’autorizzazione, ipotesi di stress test, previsione di clientela, ordini, operazioni e volumi in custodia, oltre alla descrizione delle procedure di pianificazione e monitoraggio.

A seconda del caso, il richiedente deve produrre:

• bilanci approvati degli ultimi tre anni, se disponibili;
• documentazione sul calcolo dei fondi propri;
• certificazione dell’autorità nazionale di vigilanza per i soggetti già operativi i cui bilanci non siano revisionati;
• dichiarazione di un ente creditizio per le imprese in fase di costituzione;
• documentazione della polizza assicurativa o del contratto assicurativo/garanzia analoga.

Governance, controlli interni e conflitti di interesse

L’articolo 4 concentra la disciplina sulla struttura organizzativa, sulle funzioni interne e sulle misure di compliance. Il richiedente deve presentare l’organigramma, la ripartizione dei compiti, le linee di segnalazione, i responsabili delle funzioni di gestione, vigilanza e controllo interno, le politiche di conformità, i sistemi di registrazione delle attività, le verifiche periodiche dell’organo di amministrazione, gli strumenti TIC di controllo, i sistemi di back-up e, se del caso, i presidi contro gli abusi di mercato.

La seconda parte dell’articolo è dedicata ai conflitti di interesse: la policy deve essere proporzionata alla portata delle attività, coprire la remunerazione, garantire il monitoraggio continuo e prevedere la registrazione dei casi, delle valutazioni e dei rimedi adottati.

Continuità operativa

L’articolo 5 richiede un piano di continuità operativa descritto in modo dettagliato. Il piano deve essere adeguato, mantenuto e testato periodicamente; deve inoltre disciplinare la continuità delle funzioni essenziali affidate a terzi e gli scenari di crisi, inclusi il decesso di una persona chiave e, ove rilevante, rischi politici nella giurisdizione del prestatore di servizi.

Antiriciclaggio e finanziamento del terrorismo

L’articolo 6 impone di descrivere il framework AML/CFT alla luce della direttiva (UE) 2015/849 e del regolamento (UE) 2023/1113. Devono essere illustrati i rischi intrinseci e residui connessi a clientela, servizi, canali distributivi e aree geografiche, le misure di mitigazione, le procedure di adeguata verifica e di segnalazione delle operazioni sospette, nonché l’identità del responsabile antiriciclaggio, le sue competenze e le risorse destinate alla formazione del personale.

Idoneità dell’organo di amministrazione

L’articolo 7 disciplina in maniera molto dettagliata le informazioni da presentare per ciascun amministratore: dati anagrafici, indirizzi e residenze pregresse, cittadinanza, documento di identità, incarico, curriculum, reputazione, precedenti penali e amministrativi, procedure fallimentari, rifiuti o revoche di autorizzazioni, relazioni di fiducia pregresse, conflitti di interesse e impegno di tempo. Devono essere documentati anche i risultati della valutazione di idoneità individuale e collettiva svolta dal richiedente.

Azionisti e soci qualificati

L’articolo 8 richiede informazioni sulla struttura proprietaria e sui titolari di partecipazioni qualificate, con rinvio al regolamento delegato (UE) 2025/414 per il contenuto dei documenti da produrre. La domanda deve includere organigramma delle partecipazioni, dati sugli azionisti/soci qualificati, identità degli amministratori da essi designati e informazioni sul capitale, sui diritti di voto, sugli oneri e sulla provenienza lecita dei fondi.

Sistemi TIC, DLT e cibersicurezza

L’articolo 9 è uno dei più rilevanti sotto il profilo operativo. Esso richiede documentazione tecnica sui sistemi TIC e sull’eventuale infrastruttura DLT, con indicazione delle risorse umane e tecniche impiegate, delle misure di gestione del rischio informatico e della conformità al regolamento (UE) 2022/2554 e al GDPR. Devono essere descritti i servizi TIC critici esternalizzati, le misure di sicurezza, la gestione degli incidenti, gli audit di cibersicurezza e, se presenti, gli smart contract e le revisioni del codice sorgente.

Separazione di cripto-attività e fondi dei clienti

L’articolo 10 riguarda i soggetti che detengono cripto-attività o fondi di clienti, diversi dai token di moneta elettronica. Occorre descrivere in dettaglio come siano assicurate la separazione dei beni, la non utilizzazione per conto proprio, la distinzione tra portafogli del cliente e portafogli propri, la custodia delle chiavi crittografiche, la gestione degli omnibus account e il deposito dei fondi dei clienti presso banca centrale o ente creditizio entro il giorno lavorativo successivo alla ricezione.

Se il prestatore è un istituto di moneta elettronica o di pagamento, gli obblighi informativi si limitano alla separazione delle cripto-attività dei clienti. Deve inoltre essere illustrato come i clienti vengano informati, con linguaggio chiaro e non tecnico, sugli aspetti fondamentali delle misure adottate per la tutela dei loro beni.

Reclami e tutela della clientela

L’articolo 11 impone di descrivere le procedure di gestione dei reclami, le risorse dedicate, la figura responsabile, le modalità di registrazione, i tempi di istruttoria e risposta, l’informativa ai clienti sulla gratuità del reclamo e sui mezzi di ricorso, nonché le modalità di comunicazione dell’esito finale.

Custodia e amministrazione di cripto-attività

L’articolo 12 disciplina le domande dei prestatori che intendono offrire custodia e amministrazione. Devono essere presentati l’accordo standard di custodia, la sintesi della policy di custodia, la mappatura dei rischi operativi e TIC, le misure per consentire l’esercizio dei diritti connessi alle cripto-attività e la loro restituzione, nonché le regole di identificazione delle cripto-attività e dei mezzi di accesso. In caso di esternalizzazione della custodia, devono essere indicati i soggetti terzi, il loro status MiCA, le funzioni delegate e le modalità di vigilanza sulle deleghe.

Piattaforme di negoziazione e abusi di mercato

L’articolo 13 richiede informazioni molto articolate sulle regole di ammissione, sulla procedura di approvazione delle cripto-attività, sulle categorie escluse, sulle commissioni, sull’esecuzione e cancellazione degli ordini, sulla trasparenza, sulle modalità di pubblicazione dei prezzi e dei volumi, sulla disponibilità dei dati di negoziazione per l’autorità, sul regolamento delle operazioni e sui presidi contro gli abusi di mercato.

Scambio di cripto-attività con fondi o altre cripto-attività

L’articolo 14 impone di descrivere la politica commerciale e il metodo di pricing, chiarendo come il volume e la volatilità di mercato incidano sulla determinazione del prezzo.

Esecuzione ordini, consulenza, gestione portafogli e trasferimenti

L’articolo 15 richiede la policy di esecuzione, con consenso preventivo del cliente, selezione delle sedi, criteri di best execution, eventuale esecuzione fuori piattaforma, prevenzione degli abusi informativi da parte del personale e obblighi di trasparenza verso i clienti.

L’articolo 16 riguarda consulenza e gestione di portafogli: il richiedente deve dimostrare di mantenere conoscenze e competenze adeguate del personale, di formarlo annualmente e di assicurare la coerenza con le politiche interne e con la normativa AML. Per la consulenza è richiesta anche la struttura di verifica dell’idoneità.

L’articolo 17 disciplina i servizi di trasferimento di cripto-attività, richiedendo l’indicazione dei tipi di cripto-attività, delle misure organizzative e TIC per gestire i rischi operativi e di cibersicurezza, dell’eventuale copertura assicurativa e delle informazioni rese ai clienti.

Entrata in vigore

L’articolo 18 stabilisce che il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.