Licencja CASP / MiCA w Polsce – transgraniczna droga do autoryzacji

Wygasający polski rejestr działalności w zakresie walut wirtualnych (VASP) był z założenia reżimem uproszczonym, skupionym niemal w 100% na przepisach o przeciwdziałaniu praniu pieniędzy (AML/CFT). Bariery wejścia były znikome. Rozporządzenie MiCA drastycznie zmienia tę rzeczywistość, wprowadzając pełny reżim ostrożnościowy i nadzorczy, któremu bliżej do wymogów stawianych instytucjom płatniczym niż dotychczasowym kantorom krypto.

Dla podmiotów działających w Polsce, pełne wdrożenie MiCA oznacza szereg rygorystycznych obowiązków operacyjnych. Konieczne będzie pokrycie wymogów kapitałowych (od 50 000 do 150 000 EUR), wdrożenie kompleksowych zasad ładu korporacyjnego oraz przejście rygorystycznego badania reputacji i kompetencji członków zarządu oraz wspólników (test fit-and-proper). Firmy będą musiały zapewnić pełną segregację środków klientów oraz dostosować systemy IT do wymogów cyberbezpieczeństwa dyrektywy DORA. Należy również pamiętać, że unijne rozporządzenie w sprawie transferu środków pieniężnych (Travel Rule / Transfer of Funds Regulation, TFR) obowiązuje wszystkich dostawców już od 30 grudnia 2024 r.

Rynek znajduje się obecnie w stanie zawieszenia. Rejestr VASP jest zamknięty dla nowych wnioskodawców od 30 grudnia 2024 r., a ścieżka migracji do pełnej licencji CASP w Polsce pozostaje zamrożona. Podmioty z historycznym wpisem korzystały z okresu przejściowego, który zakończył się 1 lipca 2026 r. Po tej dacie świadczenie usług bez pełnej autoryzacji CASP (polskiej lub paszportowanej z innego kraju UE) jest niezgodne z prawem i podlega surowym sankcjom.

Kwalifikacja prawna modelu biznesowego to zawsze pierwszy i najważniejszy krok. Rozporządzenie MiCA w art. 3 ust. 1 pkt 16 precyzyjnie definiuje 10 rodzajów „usług w zakresie kryptoaktywów”. Świadczenie chociażby jednej z nich na terytorium Unii Europejskiej w sposób zorganizowany i zawodowy wymaga autoryzacji CASP.

Zgodnie z oficjalną polską terminologią unijną, licencjonowaniu podlegają:

• > Zapewnianie przechowywania kryptoaktywów i administrowania nimi w imieniu klientów (tzw. custody, w tym zarządzanie kluczami kryptograficznymi).
• > Prowadzenie platformy obrotu kryptoaktywami (tradycyjne giełdy z orderbookiem).
• > Wymiana kryptoaktywów na środki pieniężne (wymiana fiat-to-crypto, czyli klasyczne kantory, tzw. on/off-ramps).
• > Wymiana kryptoaktywów na inne kryptoaktywa (wymiana crypto-to-crypto).
• > Wykonywanie zleceń związanych z kryptoaktywami w imieniu klientów (działanie w charakterze brokera).
• > Plasowanie kryptoaktywów (pośrednictwo w ofertach publicznych i ICO/IEO).
• > Przyjmowanie i przekazywanie zleceń związanych z kryptoaktywami w imieniu klientów (routing zleceń do innych dostawców lub na platformy obrotu).
• > Doradztwo w zakresie kryptoaktywów (udzielanie spersonalizowanych rekomendacji inwestycyjnych).
• > Zarządzanie portfelem kryptoaktywów (dyskrecjonalne zarządzanie środkami klienta).
• > Świadczenie usług transferu kryptoaktywów w imieniu klientów (realizacja transferów z jednego adresu DLT na inny).

Warto podkreślić, że tworzenie oprogramowania, portfeli typu non-custodial (self-hosted) czy dostarczanie samej infrastruktury technologicznej bez przejmowania kontroli nad aktywami klientów, z zasady pozostaje poza reżimem licencyjnym MiCA. Granica bywa jednak płynna i zawsze wymaga dogłębnej analizy prawno-technicznej.

Przejście z reżimu VASP na CASP oznacza drastyczną zmianę w obszarze wymogów ostrożnościowych. Regulator nie ocenia już tylko procedur przeciwdziałania praniu pieniędzy, ale przede wszystkim stabilność finansową wnioskodawcy i bezpieczeństwo środków klientów.

Minimalny kapitał zakładowy

Zgodnie z art. 67 MiCA, firma składająca wniosek musi stale dysponować zabezpieczeniami ostrożnościowymi. Bazowy wymóg kapitałowy jest uzależniony od rodzaju świadczonych usług:

W przypadku świadczenia wielu usług obowiązuje próg najwyższy (nie ulegają one sumowaniu). Należy jednak pamiętać, że kwoty bazowe to jedynie punkt wyjścia. Rzeczywisty wymóg kapitałowy musi stanowić wyższą z dwóch wartości: stałego wymogu minimalnego (opisanego wyżej) albo jednej czwartej stałych kosztów pośrednich (fixed overheads) z poprzedniego roku działalności.

Sam kapitał to nie wszystko. Zgodnie z unijnymi dyrektywami bankowymi, środki własne CASP muszą składać się z instrumentów najwyższej jakości (Common Equity Tier 1, Additional Tier 1 lub Tier 2). W praktyce przed organem nadzoru (takim jak KNF czy CySEC) oznacza to rygorystyczne, wielopoziomowe badanie źródła pochodzenia majątku (Source of Wealth / Source of Funds). Każde euro wniesione do spółki musi posiadać w pełni udokumentowaną i legalną historię.

Ład korporacyjny i test „Fit-and-Proper”

Reżim CASP nakłada ścisłe wymogi kompetencyjne na osoby zarządzające podmiotem. Członkowie zarządu muszą przejść test odpowiedniości (fit-and-proper), wykazując nie tylko niekaralność za przestępstwa finansowe, ale także realne doświadczenie w sektorze finansowym, IT lub krypto.

Ponadto, co najmniej jeden z dyrektorów zarządzających musi posiadać rezydencję na terytorium Unii Europejskiej. Wymóg „substance” (realnej obecności operacyjnej) wyklucza tworzenie spółek-wydmuszek (letterbox companies) – wnioskodawca musi wykazać posiadanie realnego biura, lokalnego personelu oraz infrastruktury technicznej adekwatnej do skali prowadzonej działalności. Badaniu podlegają również wszyscy wspólnicy posiadający znaczny pakiet akcji lub udziałów (tzw. qualifying holdings powyżej 10%).

Procedura uzyskania autoryzacji CASP, uregulowana w przepisach MiCA, opiera się na z góry określonym harmonogramie. W teorii czas rozpatrywania wniosków jest krótki, jednak organy nadzoru rygorystycznie podchodzą do kwestii formalnych. Zgodnie z art. 63 rozporządzenia MiCA, proces wygląda następująco:

1. 01 Potwierdzenie wpływu wniosku (5 dni roboczych). Organ nadzoru musi oficjalnie potwierdzić otrzymanie dokumentacji.
2. 02 Ocena kompletności (25 dni roboczych). Na tym etapie regulator sprawdza wyłącznie to, czy wniosek zawiera wszystkie wymagane załączniki i polityki. Brak chociażby jednego dokumentu skutkuje wezwaniem do uzupełnienia, co zatrzymuje bieg terminów.
3. 03 Ocena merytoryczna (40 dni roboczych). Właściwa weryfikacja modelu biznesowego, zabezpieczeń kapitałowych, polityk AML oraz architektury IT. Organ może w tym czasie zażądać dodatkowych wyjaśnień, co powoduje zawieszenie biegu terminu na maksymalnie 20 dni roboczych.

Choć formalny maksymalny czas na wydanie decyzji wynosi około 70 dni roboczych (nie licząc ewentualnego zawieszenia), realia operacyjne są inne. Biorąc pod uwagę konieczność iteracji dokumentacji, odpowiadania na szczegółowe pytania nadzorcy oraz uzupełniania braków w testach fit-and-proper, realny czas trwania procesu autoryzacji w większości jurysdykcji UE wynosi obecnie od 4 do 8 miesięcy.

Na podstawie bezpośredniej pracy nad wnioskami CASP, w tym praktycznego doświadczenia przy wniosku CASP przed CySEC oraz licencjonowania w Estonii, regularnie obserwuję te same błędy w podejściu firm do reżimu MiCA. Brak uwzględnienia poniższych kwestii na etapie projektowania biznesu prowadzi do wielomiesięcznych opóźnień, a często do konieczności wycofania wniosku.

1. Błędna klasyfikacja produktów i usług

Wnioskodawcy nagminnie próbują naciągnąć swój model biznesowy tak, aby wpasował się w „lżejsze” kategorie usług w zakresie kryptoaktywów, ignorując faktyczną architekturę technologiczną platformy. Kwalifikacja prawna tokenów (czy dany zasób to token powiązany z aktywami – ART, token powiązany z pieniądzem elektronicznym – EMT, czy może instrument finansowy wchodzący w reżim MiFID II) determinuje całą ścieżkę licencyjną. Oparcie wniosku na życzeniowej klasyfikacji bez twardej analizy flow środków to najszybsza droga do jego odrzucenia.

2. Wdrażanie Travel Rule jako kalki z tradycyjnych finansów (TradFi)

Unijne rozporządzenie w sprawie transferu środków pieniężnych (Travel Rule / Travel of Funds Regulation) weszło w życie i ma bezpośrednie zastosowanie. Błędem jest próba implementacji procedur AML rodem z klasycznej bankowości bezpośrednio do infrastruktury blockchain. Mechanizmy bankowe nie rozumieją specyfiki modelu UTXO (Unspent Transaction Output) ani technologicznych barier związanych z identyfikacją. Wnioski upadają, gdy wnioskodawca nie potrafi wykazać przed regulatorem, jak technicznie zrealizuje obowiązki weryfikacji portfeli nieobsługiwanych (self-hosted wallets), co jest bezwzględnie wymagane np. przez art. 14 wspomnianego rozporządzenia.

3. Błędna interpretacja obowiązków transparentności (art. 77 MiCA)

Art. 77 MiCA nakłada na podmioty prowadzące platformy obrotu surowe obowiązki w zakresie przejrzystości operacyjnej. Wnioskodawcy często traktują ten punkt jako formalność, dołączając ogólnikowe deklaracje marketingowe. Tymczasem regulatorzy wymagają precyzyjnych i kompletnych polityk (m.in. order execution policy, polityka opłat, struktura spreadów), z których podmiot będzie następnie bezlitośnie rozliczany podczas audytów nadzorczych.

4. Pułapki w architekturze produktu (art. 70 i art. 76)

Wymogi ostrożnościowe to nie tylko kwestie kapitałowe, ale twarde ograniczenia produktowe. Art. 70 ust. 1 oraz art. 76 ust. 5 MiCA narzucają rygorystyczne zasady segregacji środków (safeguarding) oraz absolutny zakaz wykorzystywania kryptoaktywów powierzonych przez klientów na własny rachunek CASP. Projektowanie produktu (np. platformy oferującej w tle mechanizmy yield generation na środkach klientów) bez dogłębnej analizy tych zakazów oznacza, że w trakcie oceny wniosku organ zażąda całkowitej przebudowy architektury IT i księgowości. Ten koszt na tym etapie jest już nieodwracalny.

5. Wybór jurysdykcji bez analizy operacyjnej

Decyzja o tym, w którym państwie członkowskim złożyć wniosek (aby następnie paszportować usługi na resztę UE), rzadko bywa poparta solidną analizą. Przedsiębiorcy kierują się wyłącznie kosztem lub renomą. Tymczasem poszczególne organy nadzoru drastycznie różnią się kulturą pracy. Jurysdykcje takie jak estoński FSA czy cypryjski CySEC charakteryzują się bardzo otwartą i bezpośrednią komunikacją z rynkiem. Z kolei inne urzędy opierają się na wysoce sformalizowanym, papierowym obiegu dokumentów i unikają roboczych konsultacji. Brak dostosowania własnych procesów wewnętrznych (i językowych) do kultury wybranego nadzoru operacyjnego paraliżuje proces wydania licencji.

6. Rozmycie granicy między MiCA a reżimem usług płatniczych (PSD2)

Fundamentalny błąd założycielski: „jeśli działam w krypto, dotyczy mnie tylko MiCA”. Bardzo wiele modeli biznesowych – takich jak bramki płatnicze (payment gateways), usługi on/off-ramp czy transfery peer-to-peer realizowane z wykorzystaniem stablecoinów (EMT) – krzyżuje się z przepisami dyrektywy o usługach płatniczych (PSD2/PSD3). Nierozpoznanie momentu, w którym świadczenie usługi w zakresie kryptoaktywów staje się w istocie świadczeniem usługi płatniczej (wymagającej odrębnej licencji Krajowej Instytucji Płatniczej lub Małej Instytucji Płatniczej), to krytyczne ryzyko regulacyjne, którego organy nadzoru nie przeoczą.

Chociaż ramy MiCA są jednolite dla całej Unii Europejskiej, praktyka nadzorcza i kultura urzędnicza pozostają ściśle lokalne. Bazując na moim doświadczeniu z postępowań licencyjnych dla Małych i Krajowych Instytucji Płatniczych (MIP/KIP), należy przygotować się na to, że polska Komisja Nadzoru Finansowego (KNF) zachowa swoje wysoce sformalizowane, konserwatywne podejście.

W przeciwieństwie do nadzorców z krajów bałtyckich czy Cypru, którzy często dopuszczają elastyczny dialog pre-aplikacyjny i iteracyjną pracę nad modelem biznesowym, KNF opiera się na twardym, papierowym (lub podpisanym kwalifikowanym podpisem elektronicznym) obiegu dokumentów. Cała dokumentacja wewnętrzna musi być sporządzona w języku polskim (lub przetłumaczona przez tłumacza przysięgłego).

Po wejściu w życie ustawy, weryfikacja biznesplanów, testów fit-and-proper oraz badania źródeł kapitału (Source of Funds) będzie w Polsce przeprowadzana niezwykle rygorystycznie. Spodziewane obciążenie KNF nowym reżimem oznacza, że realny czas procedowania polskiego wniosku może być bliższy 6–8 miesiącom, a w skomplikowanych przypadkach może ten okres przekroczyć. Właśnie dlatego tak atrakcyjną ścieżką dla polskiego biznesu staje się licencjonowanie za granicą i notyfikacja paszportowa.

Ze względu na wciąż opóźniony proces legislacyjny w Polsce, mechanizm paszportowania opisany w art. 65 MiCA to obecnie absolutnie kluczowa strategia wejścia na rynek polski. Licencja CASP uzyskana w dowolnym innym państwie członkowskim UE pozwala na w pełni legalne świadczenie usług nad Wisłą bez konieczności ponownego licencjonowania przez KNF. Procedura notyfikacyjna przebiega między regulatorami: na co najmniej 40 dni roboczych przed planowanym startem przekazujesz swojemu rodzimemu nadzorcy (np. na Cyprze) listę usług i wykaz działań marketingowych, a ten w ciągu 10 dni przesyła to powiadomienie do KNF. To najszybszy i najbardziej pewny „pomost” dla polskich biznesów krypto w 2026 roku.

Dla kontrastu, świadczenie usług na podstawie wyłącznej inicjatywy klienta (tzw. reverse solicitation z art. 61 MiCA) to bardzo wąski wyjątek prawny, a nie skalowalny model biznesowy. Reguła ta zakazuje prowadzenia jakichkolwiek celowanych działań promocyjnych w danym kraju. Europejskie organy nadzoru interpretują ten przepis niezwykle restrykcyjnie – oparcie na nim długoterminowej strategii obecności w Polsce to ogromne ryzyko regulacyjne.

Uzyskanie licencji to koniec projektu aplikacyjnego, ale początek ciągłego nadzoru. Działający CASP podlega reżimowi ostrożnościowemu MiCA (utrzymywanie wymogów kapitałowych, stałe raportowanie), przepisom AML/CFT (pakiet AML – AMLR, rozporządzenie (UE) 2024/1624, oraz AMLD6, dyrektywa (UE) 2024/1640, z nadzorem AMLA w fazie rozruchu), rygorystycznemu monitorowaniu przepływów z tytułu rozporządzenia Travel Rule oraz obowiązkom w zakresie cyberbezpieczeństwa wprowadzanym przez dyrektywę DORA (w tym audyty dostawców usług IT zewnętrznych).

KNF, gdy ustawa finalnie nada mu te kompetencje, będzie bezwzględnie weryfikował te obowiązki. System kar na gruncie MiCA jest bezlitosny – sankcje administracyjne mogą wynieść do 5 milionów euro dla osób prawnych, lub – co często znacznie bardziej dotkliwe dla działających biznesów – od 3% do 5% całkowitego rocznego obrotu. Utrzymanie szczelnego systemu compliance staje się tu krytycznym warunkiem przetrwania na rynku.

Autoryzacja wyznacza granice; to strukturyzacja produktu decyduje, czy biznes w tych granicach faktycznie działa – i jest osobnym obszarem pracy niż samo uzyskanie licencji, a nie jej etapem. Kluczowe pytanie brzmi: czy produkt mieści się w reżimie, na który masz zezwolenie. Modele giełdy, działalności brokerskiej i platformy obrotu opisują art. 76–78; przechowywanie i konstrukcję portfeli – art. 75; produkt stablecoina (EMT) i model jego rezerwy – Tytuł IV. Najostrzejsza krawędź to granica z PSD2 wyznaczona przez art. 70 ust. 4, gdzie produkt krypto niepostrzeżenie staje się regulowaną usługą płatniczą w momencie, gdy wartość przechodzi między niepowiązanymi stronami.

To praca, którą prowadziłem z wnętrza regulowanej giełdy, a nie doradzałem przy niej z zewnątrz. Zidentyfikowałem, że dopuszczenie transferów EMT do osób trzecich stanowiłoby świadczenie usługi płatniczej bez zezwolenia w rozumieniu MiCA i PSD2, i przebudowałem produkt tak, by transfery ograniczały się do rachunków należących do tego samego klienta. W bramce płatności krypto przeanalizowałem przepływy rozliczeniowe i doprowadziłem do usunięcia stablecoina, który nie był autoryzowany pod MiCA – zamykając przepływ, który w przeciwnym razie stanowiłby świadczenie usługi płatniczej bez zezwolenia. Produkty typu yield, „Earn” i staking rodzą to samo pytanie w innym miejscu: art. 70 ust. 1 zakazuje wykorzystywania zgromadzonych aktywów klientów na własny rachunek CASP, więc produkt, którego model ekonomiczny zakłada takie wykorzystanie, trzeba przebudować przed złożeniem wniosku, a nie po nim. Analiza klasyfikacyjna jest ta sama, którą prowadzę przy ofertach tokenów: pomyłka w modelu oznacza, że uzyskujesz zezwolenie na niewłaściwą działalność.

Warstwa AML i Travel Rule to samodzielny obszar pracy – projektowany równolegle z wnioskiem, a nie doklejany po nim – i to właśnie tu wnioski CASP najczęściej spłycają się do skopiowanego rozwiązania z tradycyjnych finansów, które nie przechodzi oceny merytorycznej. Travel Rule, oparta na Rekomendacji 16 FATF i wdrożona w UE rozporządzeniem w sprawie transferu środków pieniężnych (TFR), powstała z myślą o płatnościach opartych na rachunkach i pośrednikach. Krypto nie zawsze działa w ten sposób: transfery CASP–CASP, portfele self-hosted, transakcje oparte na UTXO i rozliczenia zbiorcze rodzą pytania techniczne, na które podręcznik z usług płatniczych nie odpowiada.

To wdrożenie prowadziłem z wnętrza regulowanej giełdy – decydując, jakie dane o zleceniodawcy i beneficjencie zbierać oraz jak traktować transakcje UTXO na Bitcoinie, w czasie gdy nie istniały jeszcze ustalone wytyczne rynkowe, a dział IT potrzebował konkretnych odpowiedzi pod presją czasu. Wokół Travel Rule stoi reszta programu: ramy AML/CFT i kontrole oparte na ryzyku, należyta staranność wobec klienta (CDD/EDD), weryfikacja sankcyjna i PEP, procedury raportowania do GIIF oraz zaprojektowanie roli AMLCO, a także gotowość nadzorcza na pakiet AML UE – AMLR (rozporządzenie (UE) 2024/1624) i AMLD6 (dyrektywa (UE) 2024/1640), z nadzorem AMLA w fazie rozruchu. Wszystko projektowane jako ramy i kontrole, które ma stosować podmiot zobowiązany – nie jako funkcja compliance pełniona w jego imieniu.