Licencja CASP: jak działa autoryzacja dostawców usług krypto w UE

Kryptowaluty przez lata funkcjonowały w Unii Europejskiej w prawnej szarej strefie — poza kilkoma obowiązkami z zakresu przeciwdziałania praniu pieniędzy nie istniały spójne reguły dla giełd, kantorów czy portfeli. Zmieniło to rozporządzenie MiCA (Markets in Crypto-Assets), czyli rozporządzenie (UE) 2023/1114. Jego przepisy dotyczące dostawców usług — a więc podmiotów, z którymi na co dzień styka się przeciętny użytkownik — obowiązują od 30 grudnia 2024 r. Od tej daty prowadzenie takiej działalności w UE wymaga statusu CASP (Crypto-Asset Service Provider), czyli licencjonowanego dostawcy usług w zakresie kryptoaktywów.

Ten artykuł tłumaczy, czym jest licencja CASP, jakie usługi obejmuje, jak wygląda droga do jej uzyskania oraz co cała konstrukcja oznacza dla rynku w Polsce, która wciąż czeka na krajową ustawę wdrażającą MiCA.

Czym jest CASP i jakie usługi obejmuje

CASP to osoba prawna lub inne przedsiębiorstwo, którego działalnością jest zawodowe świadczenie co najmniej jednej usługi w zakresie kryptoaktywów na rzecz klientów. Kluczowe jest tu słowo “zawodowo” — MiCA reguluje działalność komercyjną, a nie pojedyncze transakcje osoby prywatnej obracającej własnymi środkami.

Rozporządzenie zawiera zamknięty katalog dziesięciu usług, których świadczenie wymaga licencji. Są to:

• przechowywanie kryptoaktywów i administrowanie nimi w imieniu klientów (custody);
• prowadzenie platformy obrotu kryptoaktywami (giełda);
• wymiana kryptoaktywów na środki pieniężne (np. na euro lub złote);
• wymiana kryptoaktywów na inne kryptoaktywa;
• wykonywanie zleceń dotyczących kryptoaktywów w imieniu klientów;
• oferowanie kryptoaktywów (plasowanie);
• przyjmowanie i przekazywanie zleceń dotyczących kryptoaktywów;
• doradztwo w zakresie kryptoaktywów;
• zarządzanie portfelem kryptoaktywów;
• usługi transferu kryptoaktywów w imieniu klientów.

Jeżeli firma prowadzi choćby jedną z tych działalności na rzecz klientów w UE, potrzebuje licencji. Katalog jest przy tym szeroki: obejmuje zarówno duże giełdy, jak i mniejsze kantory internetowe, dostawców portfeli powierniczych czy podmioty doradzające w inwestycjach w kryptoaktywa.

Kto musi mieć licencję, a kto korzysta ze ścieżki uproszczonej

Zasadą jest, że pełną autoryzację CASP uzyskuje się u krajowego organu nadzoru. MiCA przewiduje jednak wyjątek dla podmiotów już regulowanych w sektorze finansowym. Instytucje kredytowe (banki), firmy inwestycyjne działające na podstawie dyrektywy MiFID II czy niektóre inne licencjonowane podmioty mogą świadczyć wybrane usługi w zakresie kryptoaktywów bez odrębnej licencji CASP — wystarczy, że z odpowiednim wyprzedzeniem notyfikują zamiar takiej działalności właściwemu organowi. Rozwiązanie to opiera się na założeniu, że podmioty te podlegają już rygorystycznemu nadzorowi, więc nakładanie na nie drugiej, równoległej licencji byłoby nieproporcjonalne.

Pozostali przedsiębiorcy muszą przejść pełną procedurę autoryzacji.

Proces autoryzacji krok po kroku

Wniosek o licencję składa się do organu nadzoru państwa członkowskiego, w którym CASP ma siedzibę statutową. MiCA precyzyjnie określa jego zawartość: to m.in. program działalności opisujący planowane usługi, dokumenty założycielskie, opis rozwiązań w zakresie ładu korporacyjnego, tożsamość i reputacja członków organu zarządzającego oraz udziałowców posiadających znaczne pakiety, opis mechanizmów kontroli wewnętrznej, procedury zarządzania ryzykiem, a także rozwiązania techniczne i polityki przeciwdziałania praniu pieniędzy.

Rozporządzenie wprowadza jasne terminy, co jest istotne dla przedsiębiorców planujących wejście na rynek:

• organ nadzoru ma najpierw 25 dni roboczych na sprawdzenie, czy wniosek jest kompletny; jeśli brakuje dokumentów, wyznacza termin na ich uzupełnienie;
• po potwierdzeniu kompletności organ ma 40 dni roboczych na ocenę merytoryczną i wydanie decyzji o udzieleniu albo odmowie licencji.

Decyzja odmowna musi być uzasadniona. Po uzyskaniu licencji podmiot trafia do publicznego rejestru prowadzonego przez ESMA (o czym niżej), dzięki czemu klienci mogą zweryfikować jego status.

Wymogi, które trzeba spełnić

Licencja to nie formalność — wiąże się z trwałymi obowiązkami ostrożnościowymi i organizacyjnymi. Do najważniejszych należą:

Wymogi kapitałowe. MiCA różnicuje minimalne zabezpieczenia kapitałowe w zależności od rodzaju świadczonych usług, dzieląc CASP na trzy klasy:

Klasa	Przykładowe usługi	Minimalny kapitał
1	doradztwo, przyjmowanie i przekazywanie zleceń, wykonywanie zleceń, zarządzanie portfelem, oferowanie	50 000 EUR
2	przechowywanie, wymiana kryptoaktywów na środki pieniężne lub na inne kryptoaktywa	125 000 EUR
3	prowadzenie platformy obrotu	150 000 EUR

Wymóg spełnia się w formie funduszy własnych albo polisy ubezpieczeniowej o odpowiednim zakresie.

Ochrona środków klientów. Dostawca przechowujący kryptoaktywa lub środki pieniężne klientów musi oddzielić je od majątku własnego i chronić przed roszczeniami swoich wierzycieli — to jeden z fundamentów, który ma zapobiegać sytuacjom znanym z upadków giełd, gdzie środki użytkowników mieszały się ze środkami firmy.

Ład korporacyjny i kompetencje. Członkowie zarządu muszą cieszyć się dobrą reputacją oraz dysponować odpowiednią wiedzą i doświadczeniem; oceniani są także znaczący udziałowcy. Dostawca musi wdrożyć procedury zarządzania ryzykiem, ciągłości działania oraz odporności cyfrowej.

Obowiązki informacyjne i uczciwość rynkowa. CASP działa uczciwie, rzetelnie i profesjonalnie w najlepszym interesie klientów, ostrzega o ryzyku oraz podlega przepisom o zapobieganiu nadużyciom na rynku kryptoaktywów.

Paszportowanie: jedna licencja na całą Unię

Jedną z największych zalet MiCA dla przedsiębiorców jest paszportowanie. Licencja uzyskana w jednym państwie członkowskim uprawnia do świadczenia usług w całej Unii — bez konieczności ubiegania się o odrębne zezwolenia w każdym kraju. Aby rozpocząć działalność transgraniczną, dostawca notyfikuje organowi macierzystemu listę państw, w których zamierza działać, a ten przekazuje informację odpowiednim organom w tych krajach.

Dla klienta oznacza to, że dostawca licencjonowany np. w Irlandii czy na Malcie może legalnie oferować usługi w Polsce. Nie zwalnia go to jednak z przestrzegania przepisów o ochronie konsumentów obowiązujących w państwie, w którym pozyskuje klientów.

Co to zmienia w Polsce: rola KNF i okres przejściowy

Choć MiCA obowiązuje bezpośrednio, część rozstrzygnięć rozporządzenie pozostawia państwom członkowskim — przede wszystkim wskazanie organu nadzoru oraz ustalenie sankcji. W Polsce ma tego dokonać ustawa o rynku kryptoaktywów, ale jej ścieżka legislacyjna wciąż się nie zamknęła: projekt był kilkukrotnie wetowany przez Prezydenta (ostatnio w czerwcu 2026 r.) i do połowy 2026 r. nie wszedł w życie. Ustawa ma powierzyć nadzór i udzielanie licencji CASP Komisji Nadzoru Finansowego, jednak dopóki nie zostanie uchwalona i podpisana, utrzymuje się niepewność prawna — unijny okres przejściowy zakończył się 1 lipca 2026 r., a krajowe przepisy o sankcjach i wyznaczeniu KNF nadal nie obowiązują.

Kluczowe znaczenie ma okres przejściowy. Zgodnie z art. 143 MiCA podmioty, które świadczyły usługi zgodnie z prawem krajowym przed 30 grudnia 2024 r., mogły kontynuować działalność bez licencji CASP najpóźniej do 1 lipca 2026 r. Po tej dacie prowadzenie działalności bez wymaganej licencji jest w Unii niedopuszczalne, choć w Polsce katalog krajowych sankcji ma dopiero określić przygotowywana ustawa. Dla podmiotów wpisanych do wcześniejszego krajowego rejestru MiCA przewiduje ponadto procedurę uproszczoną, pozwalającą wykorzystać część dotychczas przekazanych informacji.

Rejestr ESMA: jak sprawdzić dostawcę

Nad spójnością stosowania MiCA czuwa Europejski Urząd Nadzoru Giełd i Papierów Wartościowych (ESMA). Prowadzi on m.in. publiczny rejestr licencjonowanych CASP oraz emitentów tokenów, a także wydaje wytyczne i standardy techniczne uszczegóławiające obowiązki dostawców. Rejestr to praktyczne narzędzie dla użytkownika: przed powierzeniem środków warto sprawdzić, czy dana firma rzeczywiście posiada licencję i w jakim państwie ją uzyskała. Informacji o krajowych podmiotach udziela również KNF.

Co z tego wynika dla użytkownika

Z perspektywy osoby korzystającej z giełd czy kantorów najważniejsza jest zmiana proporcji ryzyka. Licencjonowany dostawca musi oddzielać środki klientów od własnych, co realnie zmniejsza ryzyko ich utraty, gdyby firma popadła w kłopoty finansowe. Podlega też obowiązkom informacyjnym i nadzorowi, więc klient zyskuje zarówno ścieżkę reklamacyjną, jak i organ, do którego może się zwrócić. Sam status CASP daje się wreszcie zweryfikować w rejestrze — a jego brak po zakończeniu okresu przejściowego powinien zapalić lampkę ostrzegawczą.

MiCA nie gwarantuje, że każda inwestycja w kryptoaktywa będzie bezpieczna — ryzyko rynkowe pozostaje po stronie użytkownika. Porządkuje jednak reguły gry: określa, kto może świadczyć usługi, na jakich warunkach i pod czyim nadzorem. Dla rynku, który przez lata rozwijał się poza ramami prawa, jest to zmiana fundamentalna.