Regolamento (UE) 2025/885

Regolamento delegato (UE) 2025/885: prevenzione e segnalazione degli abusi di mercato nelle cripto-attività

Il regolamento integra l’articolo 92 del regolamento (UE) 2023/1114 (MiCA) fissando regole tecniche uniformi per la prevenzione, l’individuazione e la segnalazione degli abusi di mercato nel settore delle cripto-attività. La logica del testo è duplice: da un lato impone agli operatori professionali sistemi di sorveglianza, analisi e formazione adeguati; dall’altro standardizza il contenuto e la trasmissione delle segnalazioni STOR, così da renderle più utili alle autorità competenti e favorire la cooperazione transfrontaliera.

Ambito soggettivo e oggettivo

Gli obblighi riguardano chiunque predisponga o esegua a titolo professionale operazioni in cripto-attività, con particolare rilievo per i prestatori di servizi per le cripto-attività che gestiscono piattaforme di negoziazione. Il perimetro copre ordini, operazioni e altri aspetti del funzionamento della DLT, inclusi il meccanismo di consenso e i comportamenti sospetti sia on-chain sia off-chain, compresi i trasferimenti di cripto-attività da o verso conti di clienti. Gli obblighi si applicano indipendentemente dalla veste con cui l’operazione è eseguita, dalla tipologia di clientela e dal luogo di esecuzione, dentro o fuori una piattaforma di negoziazione.

Dispositivi, sistemi e procedure di monitoraggio

I soggetti interessati devono istituire e mantenere sistemi di controllo continui capaci di coprire l’intera attività di negoziazione e di individuare circostanze potenzialmente indicative di abuso di mercato. I sistemi devono generare allarmi, consentire l’analisi individuale e comparativa degli ordini e delle operazioni, impedire la reiterazione di comportamenti sospetti e includere un adeguato livello di analisi umana. La vigilanza deve essere proporzionata alla scala, alle dimensioni e alla natura dell’attività professionale; devono inoltre essere utilizzati sistemi TIC adeguati, comprensivi di funzionalità di lettura automatizzata differita e di ripercorribilità del portafoglio ordini, idonei anche a contesti di negoziazione algoritmica.

Esternalizzazione e responsabilità

Il regolamento consente la delega o l’esternalizzazione, anche a soggetti appartenenti al medesimo gruppo, delle funzioni di prevenzione, monitoraggio, rilevamento, analisi dei dati e generazione degli allarmi, purché vi sia un accordo scritto che disciplini diritti, obblighi e condizioni di cessazione. Resta tuttavia fermo che la responsabilità per il rispetto del regolamento e dell’articolo 92 del MiCA continua a gravare sul soggetto delegante o esternalizzante, che deve conservare competenze, risorse e accesso diretto alle informazioni pertinenti.

Formazione e conservazione delle evidenze

Gli operatori devono assicurare al personale coinvolto una formazione periodica, completa ed efficace sulle tecniche di prevenzione, monitoraggio e individuazione degli abusi di mercato. Devono inoltre conservare per 5 anni sia la documentazione che descrive i propri dispositivi, sistemi e procedure, sia le analisi svolte sugli ordini, sulle operazioni e sugli aspetti DLT sospetti, incluse le ragioni che hanno portato a inviare o a non inviare una STOR. Tali informazioni devono essere esibite all’autorità competente su richiesta.

Segnalazione STOR: contenuto, forma e riservatezza

La STOR deve essere inviata immediatamente quando emerge un ragionevole sospetto di abuso di mercato. Deve essere compilata secondo il modello allegato, con indicazione chiara e precisa dei dati pertinenti, dei documenti giustificativi e degli eventuali allegati; l’autorità competente indica sul proprio sito il mezzo elettronico da utilizzare per la trasmissione. La segnalazione deve basarsi su fatti e analisi, tenendo conto di tutte le informazioni disponibili all’operatore, e deve essere trattata in modo riservato: non devono essere rivelati al soggetto interessato né a persone non autorizzate gli allarmi, la valutazione interna, l’intenzione di segnalare o l’avvenuta trasmissione della STOR.

Segnalazioni tardive e aggiornamenti successivi

Il regolamento ammette che il ragionevole sospetto emerga solo successivamente, grazie a fatti o informazioni sopravvenuti: in tal caso la STOR può riguardare anche eventi passati, ma deve spiegare le ragioni dello sfasamento temporale tra la condotta e la segnalazione. Dopo l’invio, il segnalante deve trasmettere all’autorità competente ogni ulteriore informazione acquisita e fornire i documenti richiesti.

Scambio di informazioni tra autorità competenti e casi transfrontalieri

Le autorità competenti devono scambiarsi le STOR usando il formulario previsto dal regolamento di esecuzione (UE) 2024/2545, allegando la STOR senza obbligo di traduzione. Nei casi di abuso di mercato transfrontaliero, l’autorità che sospetta il caso deve informare senza ritardo le altre autorità interessate, comprese quelle delle piattaforme di negoziazione rilevanti, e aggiornarsi reciprocamente sugli sviluppi; le autorità devono coordinare vigilanza e contrasto per evitare indagini o misure confliggenti. L’ESMA può essere informata e, su richiesta, può coordinare le attività di indagine o contrasto transfrontaliero.

Modello STOR dell’allegato

L’allegato fornisce un modello molto dettagliato, strutturato in sei sezioni obbligatorie. Richiede i dati del soggetto segnalante, la descrizione della cripto-attività e del registro distribuito, la ricostruzione dell’ordine o dell’operazione sospetta con date e orari in UTC, prezzi, volumi, hash o riferimenti, nonché la natura e i motivi del sospetto. Vanno inoltre identificati i sospettati, indicati eventuali elementi di contesto e allegata la documentazione di supporto, come messaggi, registrazioni, conferme, rapporti dei broker, documenti di delega e materiali provenienti dal registro distribuito.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri. Per i professionisti del settore cripto, ciò implica l’immediata necessità di verificare l’adeguatezza delle procedure interne di sorveglianza, documentazione, formazione e segnalazione, nonché l’allineamento dei flussi di cooperazione con le autorità competenti.