Regolamento (UE) 2025/416

Norme tecniche di regolamentazione sul book di negoziazione per i prestatori di servizi per le cripto-attività

Il regolamento delegato attua il regolamento (UE) 2023/1114 (MiCA) specificando, in modo standardizzato e tecnicamente uniforme, quali dati devono essere conservati e resi disponibili alle autorità competenti in relazione agli ordini e alle operazioni su cripto-attività. La finalità dichiarata è consentire una vigilanza efficace, comparabile e coerente, anche ai fini dell’individuazione di abusi di mercato, tramite identificativi e formati comuni a livello europeo e internazionale.

Ambito di applicazione

La disciplina si applica ai prestatori di servizi per le cripto-attività che gestiscono una piattaforma di negoziazione di cripto-attività. L’obbligo riguarda ogni ordine in cripto-attività pubblicizzato attraverso i sistemi della piattaforma e, in relazione all’esecuzione, le operazioni risultanti, oltre ad alcuni dati on-chain elencati nell’allegato. I dati devono essere messi a disposizione dell’autorità competente o accessibili a quest’ultima nel formato previsto dall’allegato, in JSON secondo la metodologia ISO 20022.

Architettura delle informazioni da registrare

L’articolo 1 rinvia agli articoli 2-15 e alle tabelle dell’allegato per individuare i dettagli da conservare. Il regolamento costruisce un quadro estremamente analitico che copre: identificazione delle controparti e dei soggetti interni responsabili, date e ore degli eventi, validità e restrizioni dell’ordine, priorità e sequenzialità, identificativo dell’ordine, eventi che incidono sull’ordine, tipo di ordine, prezzi, istruzioni, codice operazione e fasi di negoziazione. L’allegato, inoltre, stabilisce la struttura dei campi, i codici utilizzabili e i formati tecnici per garantire interoperabilità e standardizzazione.

Identificazione delle parti e dei soggetti responsabili

Per gli ordini immessi in piattaforma devono essere identificati il partecipante persona giuridica o fisica, il cliente per conto del quale opera il partecipante, la persona o l’algoritmo interno responsabile della decisione di investimento e quello responsabile dell’esecuzione. Se la decisione di investimento è assunta da più persone, va registrata quella con responsabilità primaria. La registrazione dell’identità interna è richiesta solo quando la decisione è presa per conto del partecipante o di un cliente in base a mandato discrezionale.

Identificazione di persone fisiche, persone giuridiche e cripto-attività

Per le persone fisiche il regolamento impone una regola di identificazione rigorosa: codice paese alpha-2 ISO 3166-1 della cittadinanza più identificativo nazionale del cliente secondo i livelli di priorità dell’allegato II del regolamento delegato (UE) 2017/590. Sono disciplinati i casi di doppia cittadinanza SEE, cittadinanza non SEE e presenza di cittadinanze SEE e non SEE; inoltre, se la residenza è in un paese diverso da quello di cittadinanza, va registrato anche il paese di residenza. Per le persone giuridiche si usa il LEI conforme alla norma ISO 17442; per le cripto-attività si usa il DTI o un identificativo alternativo ammissibile, secondo i rinvii normativi richiamati dal regolamento.

Regole su capacità di negoziazione, validità e priorità degli ordini

Il regolamento richiede di registrare la capacità di negoziazione del partecipante, distinguendo le ipotesi di matched principal, scambio con fondi o altra capacità. Devono essere registrate le date e ore degli eventi rilevanti e i periodi di validità dell’ordine, con le relative restrizioni. Nei sistemi che utilizzano priorità prezzo-tempo, dimensione-tempo o combinazioni delle due, devono essere registrate la marcatura temporale prioritaria, i quantitativi rilevanti per la priorità e un numero sequenziale per ciascun evento.

Codice ordine, eventi e stati dell’ordine

Ogni ordine deve avere un codice identificativo individuale, unico per book di negoziazione, giorno di negoziazione e cripto-attività, valido dal momento della ricezione fino alla rimozione dal book, compresi gli ordini respinti. Il regolamento disciplina anche i SOIF, gli ordini impliciti e gli ordini inoltrati ad altre sedi, imponendo la conservazione dei dettagli pertinenti e del collegamento strategico. Devono inoltre essere tracciati tutti gli eventi che modificano lo stato dell’ordine, inclusi nuovi ordini, modifiche, sostituzioni, annullamenti, rifiuti, scadenze, esecuzioni parziali o integrali.

Tipologia, prezzi, quantità e istruzioni

Per ciascun ordine va registrato il tipo di ordine secondo la classificazione propria della piattaforma e la tipizzazione generale come ordine con limite di prezzo o ordine stop. Il sistema di campi tecnici dell’allegato dettaglia poi la registrazione di tutti i prezzi rilevanti, del prezzo limite, del prezzo di stop, del prezzo dell’operazione, della valuta e della misura del prezzo, nonché delle quantità iniziali, residue, esposte, negoziate e delle eventuali soglie minime o condizioni di esecuzione. Devono essere registrate anche le istruzioni specifiche relative all’ordine, inclusi indicatori come solo passivo, prevenzione dell’auto-esecuzione e passivo/aggressivo.

Codice operazione e fasi di negoziazione

Ogni operazione risultante da un’esecuzione totale o parziale dell’ordine deve essere identificata da un codice individuale. Il regolamento richiede inoltre la registrazione delle fasi di negoziazione in cui l’ordine è stato presente nel book, nonché del prezzo e del volume indicativi d’asta quando applicabili. Su richiesta dell’autorità competente, devono essere comunicati i dettagli tecnici ulteriormente specificati nel campo dedicato dell’allegato.

Dati on-chain

La tabella 3 dell’allegato introduce un set separato di dati on-chain: hash dell’operazione, indirizzi del portafoglio, indirizzi di smart contract, marcatura temporale del blocco, quantità/offerta totale corrente, identificativo del token, canone di rete, limite del canone, dataSize, campi "To" e "From", valuta e numero di registrazione dell’operazione. Tali informazioni servono a collegare in modo verificabile la componente on-chain con quella off-chain della segnalazione.

Protezione dei dati

Nei considerando la Commissione evidenzia che la raccolta dei dati personali è funzionale alla vigilanza dei mercati e alla prevenzione degli abusi, ma deve restare limitata a quanto necessario e sufficiente. Il trattamento dei dati contenuti nei registri deve avvenire nel rispetto del regolamento (UE) 2016/679 e del principio di minimizzazione.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla sua pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.