Regolamento (UE) 2025/303

Regolamento delegato (UE) 2025/303: informazioni da includere nella notifica per taluni servizi per le cripto-attività

Il regolamento delegato completa l’articolo 60 del regolamento (UE) 2023/1114 (MiCA) specificando, in modo analitico, quali informazioni le entità finanziarie devono trasmettere all’autorità competente quando intendono prestare servizi per le cripto-attività. La finalità è consentire una valutazione completa dell’idoneità organizzativa, finanziaria, operativa e di controllo del notificante, con un livello di dettaglio sufficiente ma senza imporre oneri sproporzionati.

Ambito soggettivo e logica regolatoria

La disciplina riguarda le entità finanziarie che notificano l’intenzione di prestare uno o più servizi per le cripto-attività ai sensi del MiCA. Le informazioni richieste variano in funzione dei servizi effettivamente prestati e coprono sia profili generali di business e governance sia profili speciali, come la custodia, la negoziazione, la consulenza, l’esecuzione degli ordini e i trasferimenti. Il regolamento richiama inoltre la rilevanza delle regole AML/CFT, della resilienza operativa digitale e della protezione dei dati personali.

Programma operativo triennale

L’elemento centrale della notifica è il programma operativo relativo ai tre anni successivi alla data di notifica. Esso deve includere:

• l’eventuale appartenenza a un gruppo ai sensi della direttiva 2013/34/UE e il modo in cui l’attività cripto si inserisce nella strategia di gruppo;
• i soggetti affiliati, le loro attività e, se regolamentati, i servizi prestati e i nomi di dominio dei relativi siti web;
• l’elenco dei servizi per le cripto-attività che l’ente intende prestare e dei tipi di cripto-attività interessati;
• altre attività pianificate, regolate o non regolate, incluse eventuali attività diverse dai servizi cripto;
• l’eventuale offerta al pubblico o richiesta di ammissione alla negoziazione;
• le giurisdizioni dell’Unione e dei paesi terzi in cui si prevede di operare e il numero previsto di clienti per area geografica;
• il target di clientela e i canali di accesso ai servizi, compresi siti web, applicazioni TIC e relative lingue;
• i mezzi di promozione e marketing, con indicazione dei canali, delle categorie di clienti, dei tipi di cripto-attività e delle lingue utilizzate;
• le risorse umane, finanziarie e TIC dedicate, la loro localizzazione geografica e la politica di esternalizzazione, inclusi gli accordi infragruppo;
• l’elenco dei prestatori esternalizzati;
• il piano contabile previsionale con scenari di stress, anche a livello di gruppo, e l’eventuale interazione con applicazioni di finanza decentralizzata.

Se l’ente intende ricevere e trasmettere ordini o prestare servizi di collocamento, deve inoltre allegare le procedure e i dispositivi di conformità specifici previsti, rispettivamente, dagli articoli 80 e 79 del MiCA.

Continuità operativa

La notifica deve contenere una descrizione dettagliata del piano di continuità operativa. Il documento deve dimostrare che il piano è adeguato, che è mantenuto e testato periodicamente e che copre anche le funzioni essenziali o importanti affidate a terzi. Deve inoltre considerare il caso di decesso di una persona chiave e, se pertinente, i rischi politici della giurisdizione del prestatore terzo.

Antiriciclaggio e contrasto al finanziamento del terrorismo

L’ente notificante deve illustrare i propri meccanismi di controllo interno, le politiche e le procedure per il rispetto della disciplina nazionale di recepimento della direttiva (UE) 2015/849, nonché il quadro complessivo di risk assessment AML/CFT. In particolare, devono essere indicati:

• la valutazione dei rischi intrinseci e residui connessi a clientela, servizi, canali distributivi e aree geografiche;
• le misure di mitigazione adottate o da adottare;
• la proporzionalità dei presìdi rispetto alla dimensione, complessità e rischio dell’attività;
• il responsabile per gli obblighi AML/CFT e la prova di competenze ed esperienza;
• la formazione annuale del personale;
• la documentazione di policy e procedure;
• un documento di sintesi delle modifiche introdotte dai servizi cripto;
• la frequenza delle verifiche sull’efficacia del sistema.

Sistemi TIC, resilienza digitale e cybersecurity

Per i sistemi TIC e i dispositivi di sicurezza, il regolamento richiede una documentazione tecnica molto ampia, coerente con il regolamento (UE) 2022/2554 e con il GDPR. Devono essere illustrati il quadro di gestione del rischio TIC, i sistemi e i protocolli utilizzati, i servizi TIC esternalizzati e i relativi contratti, la gestione della sicurezza e degli incidenti, nonché le risorse umane dedicate.

Se disponibili, devono essere descritti anche audit di cibersicurezza condotti da terzi indipendenti, inclusi:

• test e verifiche lungo tutto il ciclo di vita della sicurezza organizzativa, fisica e del software;
• vulnerability assessment e network security assessment;
• revisioni delle configurazioni;
• penetration test su risorse TIC essenziali o importanti, con metodologie black box, grey box e white box;
• revisione del codice sorgente dei contratti intelligenti, se utilizzati.

Segregazione e custodia delle cripto-attività e dei fondi dei clienti

Se l’ente intende detenere cripto-attività o mezzi di accesso dei clienti, ovvero fondi dei clienti diversi dai token di moneta elettronica, deve descrivere con precisione le regole di segregazione e custodia. In particolare, deve spiegare come garantisce che:

• i fondi e le cripto-attività dei clienti non siano usati per conto proprio;
• i portafogli dei clienti siano separati da quelli propri;
• le chiavi crittografiche siano approvate e custodite correttamente, inclusi i portafogli multisig;
• le cripto-attività di clienti diversi siano segregate anche in caso di conti omnibus;
• i fondi siano depositati presso banca centrale o ente creditizio entro la fine del giorno lavorativo successivo alla ricezione;
• i clienti siano informati in modo chiaro, conciso e non tecnico sui meccanismi di tutela.

Per gli istituti di moneta elettronica e gli enti creditizi, sono richieste solo le informazioni pertinenti a tale disposizione.

Custodia e amministrazione di cripto-attività

Chi presta servizi di custodia e amministrazione deve allegare la documentazione contrattuale standard e la sintesi della politica di custodia, oltre a descrivere la propria politica di custodia e i principali rischi operativi e TIC. Devono essere indicati i sistemi per tutelare i diritti dei clienti, restituire le cripto-attività o i mezzi di accesso, identificare correttamente gli asset e minimizzare il rischio di perdita.

Se la custodia è delegata a terzi, occorre fornire informazioni sull’identità dei delegati, sul loro status ai sensi del MiCA, sulle funzioni delegate e subdelegate, sui potenziali conflitti di interesse e sul sistema di vigilanza delle deleghe.

Piattaforme di negoziazione e abusi di mercato

Per la gestione di una piattaforma di negoziazione, la notifica deve contenere le regole di ammissione delle cripto-attività, la procedura di approvazione con adeguata verifica antiriciclaggio, le categorie escluse e le ragioni dell’esclusione, le commissioni e gli eventuali sconti, le regole di esecuzione e cancellazione degli ordini, i metodi di verifica dell’adeguatezza delle cripto-attività e le misure di conformità all’articolo 76 del MiCA.

Devono inoltre essere descritti:

• i meccanismi di trasparenza su prezzi, volumi e profondità del book;
• le strutture tariffarie e la loro coerenza con l’articolo 76, paragrafo 13;
• le modalità di conservazione dei dati degli ordini e di accesso dell’autorità competente;
• le regole di regolamento delle operazioni, inclusi avvio su DLT o fuori DLT, tempistiche, verifiche, momento di finalità e misure contro i mancati regolamenti;
• le procedure per prevenire e individuare gli abusi di mercato e per segnalarli all’autorità.

Scambio, esecuzione, consulenza, gestione di portafogli e trasferimenti

Per lo scambio di cripto-attività con fondi o altre cripto-attività, il notificante deve illustrare la politica commerciale e il metodo di determinazione del prezzo, tenendo conto di volume e volatilità di mercato.

Per l’esecuzione degli ordini, la politica di execution deve coprire consenso del cliente, sedi di negoziazione utilizzate, criteri di best execution, eventuale esecuzione fuori mercato regolamentato, avvertenze sulle istruzioni specifiche del cliente, monitoraggio della qualità di esecuzione e protezione contro l’uso improprio delle informazioni sugli ordini.

Per consulenza e gestione di portafogli, devono essere descritti i presìdi per garantire competenze, conoscenze, formazione continua e applicazione delle regole interne e antiriciclaggio.

Per i servizi di trasferimento di cripto-attività, infine, occorre indicare i tipi di cripto-attività trattati, i dispositivi organizzativi, umani e TIC per gestire i rischi operativi e di cibersicurezza, l’eventuale copertura assicurativa e le modalità di informazione della clientela.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.