Jak uzyskać licencję CASP w Polsce po MiCA

Od 30 grudnia 2024 r. działalność wielu firm kryptowalutowych nie jest już przede wszystkim kwestią wpisu do krajowego rejestru. Pytanie, jak uzyskać licencję CASP w Polsce, oznacza dziś konieczność przygotowania przedsiębiorstwa do autoryzacji według rozporządzenia MiCA. Nie chodzi przy tym o sam formularz dla organu nadzoru. Wniosek jest końcowym etapem projektu obejmującego model biznesowy, kapitał, zarządzanie ryzykiem, cyberbezpieczeństwo oraz odpowiedzialność zarządu.

Dla założyciela giełdy, kantoru, brokera tokenów czy dostawcy portfeli najważniejsze jest adekwatne ustalenie zakresu regulacji. Błędna kwalifikacja usługi może prowadzić do złożenia niepełnego wniosku, przyjęcia zbyt niskiego poziomu kapitału albo prowadzenia działalności bez wymaganego zezwolenia.

Licencja CASP w Polsce: kiedy jest potrzebna?

CASP, czyli crypto-asset service provider, to dostawca usług w zakresie kryptoaktywów w rozumieniu rozporządzenia MiCA. Licencja nie jest przypisana do samego faktu emisji tokena ani do posługiwania się technologią blockchain. Jest wymagana wtedy, gdy przedsiębiorca zawodowo świadczy na rzecz klientów jedną lub więcej usług wskazanych w MiCA.

Katalog obejmuje w szczególności przechowywanie i administrowanie kryptoaktywami klientów, prowadzenie platformy obrotu, wymianę kryptoaktywów na środki pieniężne lub na inne kryptoaktywa, wykonywanie zleceń, plasowanie kryptoaktywów, przyjmowanie i przekazywanie zleceń, doradztwo, zarządzanie portfelem oraz transfer kryptoaktywów w imieniu klientów.

Granica nie zawsze jest intuicyjna. Dostawca systemu non-custodial, który nie ma dostępu do kluczy prywatnych ani nie wykonuje dyspozycji użytkownika, może pozostawać poza zakresem licencji CASP. Natomiast aplikacja określana marketingowo jako „portfel”, która faktycznie kontroluje aktywa lub organizuje wymianę dla klienta, wymaga znacznie ostrożniejszej oceny. O kwalifikacji przesądza rzeczywisty model operacyjny, a nie nazwa usługi w regulaminie.

W Polsce organem adekwatnym dla postępowań związanych z autoryzacją jest Komisja Nadzoru Finansowego. Zezwolenie uzyskane w jednym państwie członkowskim pozwala zasadniczo świadczyć usługi w całej Unii Europejskiej po przeprowadzeniu procedury paszportowania. Dlatego wybór państwa wniosku powinien wynikać z realnej substancji działalności, a nie wyłącznie z kalkulacji kosztowej.

Od modelu biznesowego do zakresu zezwolenia

Pierwszym praktycznym krokiem nie jest sporządzenie polityki AML, ale mapa przepływów. Trzeba ustalić, kto jest klientem, gdzie znajdują się jego aktywa, kto dysponuje kluczami, jak wykonywane są zlecenia, czy firma przyjmuje środki pieniężne oraz z jakich dostawców technologicznych korzysta.

Ta analiza pozwala przypisać planowane usługi do kategorii MiCA. Ma to bezpośrednie znaczenie dla wymagań kapitałowych i treści dokumentacji. Firma, która jedynie przekazuje zlecenia lub świadczy doradztwo, nie będzie oceniana tak samo jak podmiot prowadzący rynek obrotu albo przechowujący aktywa klientów.

Warto również rozdzielić działalności regulowane od pomocniczych. Tworzenie analiz rynkowych, dostarczanie infrastruktury IT czy edukacja o tokenach nie muszą same w sobie stanowić usługi CASP. o ile jednak są funkcjonalnie połączone z przyjmowaniem zleceń, egzekucją transakcji albo kontrolą aktywów klientów, organ nadzoru oceni całość modelu, a nie wyizolowany fragment.

Kapitał zależy od klasy usług

MiCA przewiduje trzy progi kapitału początkowego: 50 000 euro, 125 000 euro oraz 150 000 euro. Najniższy próg dotyczy zasadniczo usług takich jak doradztwo, zarządzanie portfelem, przekazywanie zleceń czy transfer kryptoaktywów. Wyższe progi są związane między innymi z przechowywaniem aktywów i wymianą, a najwyższy – z prowadzeniem platformy obrotu.

Nie wolno jednak traktować tych kwot jako pełnego budżetu regulacyjnego. CASP musi stale utrzymywać fundusze własne co najmniej na poziomie wyższym z kapitału minimalnego oraz jednej czwartej stałych kosztów pośrednich z poprzedniego roku. Dla startupu istotne będzie także wiarygodne finansowanie okresu przed osiągnięciem rentowności.

Co powinien zawierać wniosek CASP?

Wniosek o zezwolenie jest testem dojrzałości organizacyjnej. MiCA wymaga przedstawienia informacji o podmiocie, programie działalności, strukturze właścicielskiej, osobach zarządzających i mechanizmach kontroli. Dokumentacja musi być spójna z tym, jak firma będzie działała po otrzymaniu licencji, a nie tylko poprawna językowo.

W praktyce należy przygotować przede wszystkim opis usług i terytoriów działania, prognozy finansowe, opis struktury governance, procedury kontroli wewnętrznej oraz zarządzania ryzykiem. Konieczne są także polityki dotyczące ochrony aktywów i środków klientów, obsługi skarg, konfliktów interesów, ciągłości działania oraz outsourcingu.

Szczególne znaczenie ma część technologiczna. CASP nie może ograniczyć się do ogólnego zapewnienia, iż korzysta z bezpiecznego rozwiązania chmurowego. Organ będzie oczekiwał zrozumienia architektury systemów, zarządzania dostępami, zasad przechowywania kluczy, reagowania na incydenty, testowania zabezpieczeń i nadzoru nad podwykonawcami.

Dodatkowo trzeba wykazać, iż członkowie organu zarządzającego mają odpowiednio dobrą reputację oraz wiedzę, umiejętności i doświadczenie pozwalające prowadzić działalność CASP. Ten wymóg dotyczy realnej umiejętności zarządzania podmiotem regulowanym. Doświadczenie wyłącznie w marketingu, sprzedaży tokenów lub tworzeniu systemu może nie wystarczyć, jeżeli w zarządzie zabraknie kompetencji compliance, finansowych i operacyjnych.

Właściciele, outsourcing i rzeczywista kontrola

Nadzór obejmuje również osoby posiadające znaczne pakiety akcji lub udziałów. Struktura właścicielska powinna być przejrzysta, a źródła finansowania możliwe do udokumentowania. Konstrukcje wielopoziomowe, nominee arrangements albo inwestorzy, których roli nie da się jasno wyjaśnić, są poważnym ryzykiem dla harmonogramu postępowania.

Outsourcing infrastruktury, KYC, custody czy obsługi klienta jest dopuszczalny, ale nie przenosi odpowiedzialności regulacyjnej na dostawcę. CASP powinien wykazać, iż ma kontrolę nad usługą, może monitorować wykonawcę, audytować go oraz utrzymać ciągłość działalności w razie awarii lub rozwiązania umowy. Model „white label” nie zwalnia z obowiązku rozumienia procesów, które są prezentowane klientowi pod własną marką.

MiCA to nie jedyny reżim compliance

Licencja CASP nie wyczerpuje obowiązków prawnych przedsiębiorcy. Podmiot musi równolegle uwzględnić przepisy AML i CFT, w tym obowiązki związane z transferami kryptoaktywów wynikające z tzw. Travel Rule. W zależności od modelu działalności pojawią się też obowiązki z zakresu ochrony danych osobowych, prawa konsumenckiego, przepisów podatkowych i prawa reklamy.

Od 2025 r. istotne znaczenie dla CASP ma również rozporządzenie DORA dotyczące odporności operacyjnej sektora finansowego. W praktyce wymusza ono bardziej formalne podejście do zarządzania ryzykiem ICT, incydentami, testowania odporności cyfrowej oraz umów z kluczowymi dostawcami usług technologicznych. Dokumentacja MiCA i DORA powinna być projektowana wspólnie. Dwa niezależne zestawy polityk często tworzą sprzeczności, które później ujawniają się podczas kontroli lub incydentu.

Nie należy też zapominać o obowiązkach informacyjnych wobec klientów. Regulamin platformy, polityka wykonywania zleceń, zasady ustalania cen, komunikaty o ryzyku i procedura reklamacyjna muszą odzwierciedlać faktyczne działanie usługi. W branży kryptoaktywów szczególnie ryzykowne jest ukrywanie spreadów, niejasne informowanie o zasadach custodian wallet albo sugerowanie, iż aktywa są objęte ochroną analogiczną do depozytów bankowych.

Jak przygotować postępowanie przed KNF?

Najbardziej efektywne podejście polega na przeprowadzeniu analizy gotowości regulacyjnej przed złożeniem wniosku. Należy porównać stan obecny z wymogami MiCA, wskazać braki, przypisać odpowiedzialność oraz ustalić kolejność działań. W pierwszej kolejności zwykle wymagają rozstrzygnięcia model operacyjny, finansowanie, skład zarządu i zasady ochrony aktywów klientów. Dopiero potem warto finalizować szczegółowe procedury.

Wniosek powinien być kompletny, konkretny i dowodowy. Deklaracja, iż spółka „wdroży politykę po uzyskaniu licencji”, zwykle nie odpowiada celowi postępowania. Nadzór ocenia, czy podmiot jest przygotowany do bezpiecznego rozpoczęcia działalności, a nie czy zamierza kiedyś osiągnąć taki stan.

Czas postępowania zależy od kompletności materiału, złożoności usług i pytań organu. Harmonogram biznesowy powinien przewidywać rezerwę na uzupełnienia oraz na faktyczne wdrożenie rozwiązań opisanych we wniosku. Po zakończeniu okresów przejściowych przewidzianych w MiCA prowadzenie działalności wyłącznie na podstawie dawnego modelu rejestrowego nie jest bezpieczną strategią.

Dobrze przygotowana licencja CASP nie jest kosztem ubocznym wejścia na rynek. Dla podmiotu, który chce obsługiwać klientów w Polsce i innych państwach UE, może stać się dowodem wiarygodności wobec banków, inwestorów oraz partnerów technologicznych. Warunek jest prosty: governance opisany we wniosku musi działać także wtedy, gdy rynek jest zmienny, dostawca zawodzi, a klient składa pierwszą poważną reklamację.