Licencja CASP / MiCA w Polsce – transgraniczna droga do autoryzacji

Wygasający polski rejestr działalności w zakresie walut wirtualnych (VASP) był z założenia reżimem uproszczonym, skupionym niemal w 100% na przepisach o przeciwdziałaniu praniu pieniędzy (AML/CFT). Bariery wejścia były znikome. Rozporządzenie MiCA drastycznie zmienia tę rzeczywistość, wprowadzając pełny reżim ostrożnościowy i nadzorczy, któremu bliżej do wymogów stawianych instytucjom płatniczym niż dotychczasowym kantorom krypto.

Dla podmiotów działających w Polsce, pełne wdrożenie MiCA oznacza szereg rygorystycznych obowiązków operacyjnych. Konieczne będzie pokrycie wymogów kapitałowych (od 50 000 do 150 000 EUR), wdrożenie kompleksowych zasad ładu korporacyjnego oraz przejście rygorystycznego badania reputacji i kompetencji członków zarządu oraz wspólników (test fit-and-proper). Firmy będą musiały zapewnić pełną segregację środków klientów oraz dostosować systemy IT do wymogów rozporządzenia DORA (UE) 2022/2554. Należy również pamiętać, że unijne rozporządzenie w sprawie transferu środków pieniężnych (Travel Rule / Transfer of Funds Regulation, TFR) obowiązuje wszystkich dostawców już od 30 grudnia 2024 r.

Rynek znajduje się obecnie w stanie zawieszenia. Według Dyrektora IAS w Katowicach od 30 grudnia 2024 r. nie można dokonać nowego wpisu do rejestru. Okres przejściowy z art. 143 ust. 3 MiCA obejmował zresztą wyłącznie podmioty, które przed tą datą świadczyły usługi zgodnie z prawem krajowym. Ścieżka migracji do pełnej licencji CASP w Polsce pozostaje zamrożona. Podmioty z historycznym wpisem korzystały z okresu przejściowego, który zakończył się 1 lipca 2026 r.

Po tej dacie świadczenie usług w zakresie kryptoaktywów bez zezwolenia CASP – polskiego albo uzyskanego w innym państwie UE i paszportowanego do Polski – narusza bezpośrednio stosowane przepisy MiCA. Brak polskiej ustawy oznacza tylko tyle, że nie obowiązują jeszcze krajowe przepisy sankcyjne. Ryzyko nie znika:

• > organy innych państw członkowskich mogą nakazać natychmiastowe zaprzestanie działalności prowadzonej bez zezwolenia wobec klientów z ich terytorium i ograniczyć dostęp do interfejsu internetowego (art. 94 ust. 1 lit. h i aa MiCA);
• > klienci mogą dochodzić roszczeń cywilnych;
• > banki wypowiadają rachunki podmiotom bez zezwolenia;
• > działalność prowadzona bez zezwolenia obciąży ocenę reputacji w przyszłym postępowaniu o zezwolenie.

Kwalifikacja prawna modelu biznesowego to zawsze pierwszy i najważniejszy krok. Rozporządzenie MiCA w art. 3 ust. 1 pkt 16 precyzyjnie definiuje 10 rodzajów „usług w zakresie kryptoaktywów”. Świadczenie chociażby jednej z nich na terytorium Unii Europejskiej w sposób zorganizowany i zawodowy wymaga autoryzacji CASP.

Zgodnie z oficjalną polską terminologią unijną, licencjonowaniu podlegają:

• > Zapewnianie przechowywania kryptoaktywów i administrowania nimi w imieniu klientów (tzw. custody, w tym zarządzanie kluczami kryptograficznymi).
• > Prowadzenie platformy obrotu kryptoaktywami (tradycyjne giełdy z orderbookiem).
• > Wymiana kryptoaktywów na środki pieniężne (wymiana fiat-to-crypto, czyli klasyczne kantory, tzw. on/off-ramps).
• > Wymiana kryptoaktywów na inne kryptoaktywa (wymiana crypto-to-crypto).
• > Wykonywanie zleceń związanych z kryptoaktywami w imieniu klientów (działanie w charakterze brokera).
• > Plasowanie kryptoaktywów (pośrednictwo w ofertach publicznych i ICO/IEO).
• > Przyjmowanie i przekazywanie zleceń związanych z kryptoaktywami w imieniu klientów (routing zleceń do innych dostawców lub na platformy obrotu).
• > Doradztwo w zakresie kryptoaktywów (udzielanie spersonalizowanych rekomendacji inwestycyjnych).
• > Zarządzanie portfelem kryptoaktywów (dyskrecjonalne zarządzanie środkami klienta).
• > Świadczenie usług transferu kryptoaktywów w imieniu klientów (realizacja transferów z jednego adresu DLT na inny).

Warto podkreślić, że tworzenie oprogramowania, portfeli typu non-custodial (self-hosted) czy dostarczanie samej infrastruktury technologicznej bez przejmowania kontroli nad aktywami klientów, z zasady pozostaje poza reżimem licencyjnym MiCA. Granica bywa jednak płynna i zawsze wymaga dogłębnej analizy prawno-technicznej.

Przejście z reżimu VASP na CASP oznacza drastyczną zmianę w obszarze wymogów ostrożnościowych. Regulator nie ocenia już tylko procedur przeciwdziałania praniu pieniędzy, ale przede wszystkim stabilność finansową wnioskodawcy i bezpieczeństwo środków klientów.

Minimalny kapitał zakładowy

Zgodnie z art. 67 MiCA, firma składająca wniosek musi stale dysponować zabezpieczeniami ostrożnościowymi. Bazowy wymóg kapitałowy jest uzależniony od rodzaju świadczonych usług:

Należy jednak pamiętać, że kwoty bazowe to jedynie punkt wyjścia. Rzeczywisty wymóg kapitałowy musi stanowić wyższą z dwóch wartości: stałego wymogu minimalnego (opisanego wyżej) albo jednej czwartej stałych kosztów pośrednich (fixed overheads) z poprzedniego roku działalności.

Zgodnie z art. 67 ust. 4 MiCA wymogi ostrożnościowe można spełnić środkami własnymi w postaci pozycji i instrumentów kapitału podstawowego Tier I w rozumieniu art. 26–30 rozporządzenia (UE) nr 575/2013 (CRR), po pełnych odliczeniach z art. 36, polisą ubezpieczeniową obejmującą terytoria Unii, na których świadczone są usługi, lub porównywalną gwarancją – albo kombinacją tych form. Instrumenty dodatkowe w Tier I i instrumenty w Tier II nie są dopuszczalne. Polisa musi zostać ujawniona na stronie internetowej dostawcy i spełniać minimalne wymogi z art. 67 ust. 5. W praktyce organy nadzoru (np. CySEC, a w przyszłości KNF) szczegółowo badają pochodzenie majątku i środków. Każde euro wniesione do spółki musi mieć udokumentowaną i legalną historię.

Ład korporacyjny i test „Fit-and-Proper”

Członkowie organu zarządzającego muszą mieć wystarczająco dobrą reputację oraz odpowiednią wiedzę, umiejętności i doświadczenie, indywidualnie i zbiorowo (art. 68 ust. 1 MiCA). W praktyce oznacza to niekaralność za przestępstwa godzące w reputację, w szczególności związane z praniem pieniędzy i finansowaniem terroryzmu, oraz realne doświadczenie w sektorze finansowym, technologicznym lub kryptoaktywów.

Akcjonariusze i wspólnicy posiadający udział kwalifikowany, czyli co najmniej 10% kapitału lub głosów (art. 3 ust. 1 pkt 36), podlegają ocenie dobrej reputacji (art. 68 ust. 2). Nie dotyczy ich pełny test wiedzy i doświadczenia, ale badanie źródła środków i struktury właścicielskiej jest szczegółowe.

Wnioskodawca musi mieć siedzibę statutową w państwie członkowskim, w którym świadczy przynajmniej część usług, a miejsce faktycznego zarządu w UE. Co najmniej jeden członek zarządu musi mieć miejsce zamieszkania w UE (art. 59 ust. 2). W praktyce organy nadzoru oczekują co najmniej dwuosobowego zarządu, który faktycznie prowadzi sprawy spółki, i konsekwentnie odmawiają zezwoleń podmiotom bez rzeczywistej obecności. Wymagają realnego biura, personelu kluczowego i infrastruktury adekwatnej do skali działalności.

Procedura uzyskania autoryzacji CASP, uregulowana w przepisach MiCA, opiera się na z góry określonym harmonogramie. W teorii czas rozpatrywania wniosków jest krótki, jednak organy nadzoru rygorystycznie podchodzą do kwestii formalnych. Zgodnie z art. 63 rozporządzenia MiCA, proces wygląda następująco:

1. 01 Potwierdzenie wpływu wniosku (5 dni roboczych). Organ nadzoru musi oficjalnie potwierdzić otrzymanie dokumentacji.
2. 02 Ocena kompletności (25 dni roboczych). Na tym etapie regulator sprawdza wyłącznie to, czy wniosek zawiera wszystkie wymagane załączniki i polityki. Brak chociażby jednego dokumentu skutkuje wezwaniem do uzupełnienia, co zatrzymuje bieg terminów.
3. 03 Ocena merytoryczna (40 dni roboczych). Właściwa weryfikacja modelu biznesowego, zabezpieczeń kapitałowych, polityk AML oraz architektury IT. Organ może w tym czasie zażądać dodatkowych wyjaśnień, co powoduje zawieszenie biegu terminu na maksymalnie 20 dni roboczych.

Formalnie organ ma 25 dni roboczych od otrzymania wniosku na ocenę jego kompletności (art. 63 ust. 2 MiCA), a potwierdzenie wpływu wysyła w ciągu 5 dni roboczych (art. 63 ust. 1). Od otrzymania wniosku kompletnego biegnie 40 dni roboczych na decyzję (art. 63 ust. 9). Czas uzupełniania braków nie jest wliczany, a wezwanie do przedstawienia dodatkowych informacji, wystosowane najpóźniej w 20. dniu oceny, zawiesza jej bieg maksymalnie o 20 dni roboczych (art. 63 ust. 12). W praktyce realia operacyjne są inne. Biorąc pod uwagę konieczność iteracji dokumentacji, odpowiadania na szczegółowe pytania nadzorcy oraz uzupełniania braków w testach fit-and-proper, realny czas trwania procesu autoryzacji w większości jurysdykcji UE wynosi obecnie od 4 do 8 miesięcy.

Na podstawie bezpośredniej pracy nad wnioskami CASP, w tym praktycznego doświadczenia przy wniosku CASP przed CySEC oraz licencjonowania w Estonii, regularnie obserwuję te same błędy w podejściu firm do reżimu MiCA. Brak uwzględnienia poniższych kwestii na etapie projektowania biznesu prowadzi do wielomiesięcznych opóźnień, a często do konieczności wycofania wniosku.

1. Błędna klasyfikacja produktów i usług

Wnioskodawcy nagminnie próbują naciągnąć swój model biznesowy tak, aby wpasował się w „lżejsze” kategorie usług w zakresie kryptoaktywów, ignorując faktyczną architekturę technologiczną platformy. Kwalifikacja prawna tokenów (czy dany zasób to token powiązany z aktywami – ART, token powiązany z pieniądzem elektronicznym – EMT, czy może instrument finansowy wchodzący w reżim MiFID II) determinuje całą ścieżkę licencyjną. Oparcie wniosku na życzeniowej klasyfikacji bez twardej analizy flow środków to najszybsza droga do jego odrzucenia.

2. Wdrażanie Travel Rule jako kalki z tradycyjnych finansów (TradFi)

Unijne rozporządzenie w sprawie transferu środków pieniężnych (Travel Rule / Transfer of Funds Regulation) weszło w życie i ma bezpośrednie zastosowanie. Błędem jest próba implementacji procedur AML rodem z klasycznej bankowości bezpośrednio do infrastruktury blockchain. Mechanizmy bankowe nie rozumieją specyfiki modelu UTXO (Unspent Transaction Output) ani technologicznych barier związanych z identyfikacją. Wnioski upadają, gdy wnioskodawca nie potrafi wykazać przed regulatorem, jak technicznie zrealizuje obowiązki weryfikacji portfeli nieobsługiwanych (self-hosted wallets), czego przy transferach powyżej 1000 EUR z udziałem adresu samodzielnie hostowanego wymagają art. 14 ust. 5 TFR (po stronie dostawcy zleceniodawcy) i art. 16 ust. 2 TFR (po stronie dostawcy beneficjenta).

3. Lekceważenie obowiązków przejrzystości (art. 76–78 MiCA)

Operator platformy obrotu musi podawać do publicznej wiadomości ceny kupna i sprzedaży oraz głębokość zainteresowania obrotem przy tych cenach, w sposób ciągły w godzinach obrotu (art. 76 ust. 9). Cenę, wolumen i czas zawartych transakcji publikuje możliwie najbliżej czasu rzeczywistego (art. 76 ust. 10). Po 15 minutach informacje te muszą być dostępne bezpłatnie, w formacie nadającym się do odczytu maszynowego, przez co najmniej dwa lata (art. 76 ust. 11). Struktura opłat musi być przejrzysta, uczciwa i niedyskryminacyjna i nie może zachęcać do składania, modyfikowania lub anulowania zleceń w sposób sprzyjający zakłóceniom obrotu lub nadużyciom na rynku (art. 76 ust. 13). Dostawcy wymieniający kryptoaktywa na środki pieniężne lub inne kryptoaktywa publikują z kolei stałą cenę albo metodę jej ustalania (art. 77 ust. 2) oraz informacje o zawartych transakcjach, takie jak wolumeny i ceny (art. 77 ust. 4). Podmioty wykonujące zlecenia klientów muszą ponadto ustanowić i wdrożyć politykę realizacji zleceń (art. 78 ust. 2).

Wnioskodawcy często traktują te elementy jako formalność i dołączają ogólnikowe deklaracje. Organy nadzoru wymagają tymczasem precyzyjnych polityk, z których podmiot jest następnie rozliczany w toku nadzoru. Sposób prezentacji danych określa rozporządzenie delegowane Komisji (UE) 2025/417, wydane na podstawie art. 76 ust. 16.

4. Pułapki w architekturze produktu (art. 70 i art. 76)

Wymogi ostrożnościowe to nie tylko kwestie kapitałowe, ale twarde ograniczenia produktowe. Art. 70 ust. 1 MiCA wymaga, by CASP przechowujący kryptoaktywa klientów lub środki dostępu do nich stosował rozwiązania, które chronią prawa własności klientów, zwłaszcza na wypadek niewypłacalności dostawcy, i zapobiegają wykorzystywaniu kryptoaktywów klientów na własny rachunek. Odrębnie art. 76 ust. 5 zakazuje operatorowi platformy obrotu zawierania transakcji na własny rachunek na prowadzonej przez niego platformie, także wtedy, gdy jednocześnie świadczy usługę wymiany kryptoaktywów. Transakcje typu matched principal są dopuszczalne wyłącznie za zgodą klienta i pod nadzorem organu (art. 76 ust. 6). Projektowanie produktu bez analizy tych ograniczeń (np. platforma, która w tle generuje dochód z aktywów klientów, albo giełda z własnym animatorem rynku na tej samej platformie) oznacza, że w trakcie oceny wniosku organ zażąda przebudowy architektury technicznej i księgowej. Koszt takiej przebudowy na tym etapie jest wielokrotnie wyższy niż na etapie projektowania produktu.

5. Wybór jurysdykcji bez analizy operacyjnej

Decyzja o tym, w którym państwie członkowskim złożyć wniosek (aby następnie paszportować usługi na resztę UE), rzadko bywa poparta solidną analizą. Przedsiębiorcy kierują się wyłącznie kosztem lub renomą. Tymczasem poszczególne organy nadzoru drastycznie różnią się kulturą pracy. Jurysdykcje takie jak estoński nadzór finansowy (Finantsinspektsioon) czy cypryjski CySEC charakteryzują się bardzo otwartą i bezpośrednią komunikacją z rynkiem. Z kolei inne urzędy opierają się na wysoce sformalizowanym, papierowym obiegu dokumentów i unikają roboczych konsultacji. Brak dostosowania własnych procesów wewnętrznych (i językowych) do kultury wybranego nadzoru operacyjnego paraliżuje proces wydania licencji.

Wybór jurysdykcji trzeba dziś oceniać także w dłuższej perspektywie. W grudniu 2025 r. Komisja Europejska zaproponowała w pakiecie integracji rynków i nadzoru (MISP) przeniesienie autoryzacji i nadzoru nad wszystkimi CASP do ESMA. W toku prac Rada i Parlament Europejski skłaniają się ku modelowi, w którym ESMA nadzorowałaby bezpośrednio jedynie istotnych CASP, a pozostali zostaliby pod nadzorem organów krajowych. Proces legislacyjny trwa. Dla większych podmiotów oznacza to jednak, że przewaga wynikająca z wyboru konkretnego organu krajowego może okazać się przejściowa.

6. Rozmycie granicy między MiCA a reżimem usług płatniczych (PSD2)

Fundamentalny błąd założycielski: „jeśli działam w krypto, dotyczy mnie tylko MiCA”. Bardzo wiele modeli biznesowych – takich jak bramki płatnicze (payment gateways), usługi on/off-ramp czy transfery peer-to-peer realizowane z wykorzystaniem stablecoinów (EMT) – krzyżuje się z przepisami dyrektywy o usługach płatniczych (PSD2). Nierozpoznanie momentu, w którym świadczenie usługi w zakresie kryptoaktywów staje się w istocie świadczeniem usługi płatniczej (wymagającej odrębnej licencji Krajowej Instytucji Płatniczej lub Małej Instytucji Płatniczej), to krytyczne ryzyko regulacyjne, którego organy nadzoru nie przeoczą.

Chociaż ramy MiCA są jednolite dla całej Unii Europejskiej, praktyka nadzorcza i kultura urzędnicza pozostają ściśle lokalne. Bazując na moim doświadczeniu z postępowań licencyjnych dla Małych i Krajowych Instytucji Płatniczych (MIP/KIP), należy przygotować się na to, że polska Komisja Nadzoru Finansowego (KNF) zachowa swoje wysoce sformalizowane, konserwatywne podejście.

W przeciwieństwie do nadzorców z krajów bałtyckich czy Cypru, którzy często dopuszczają elastyczny dialog pre-aplikacyjny i iteracyjną pracę nad modelem biznesowym, KNF opiera się na twardym, papierowym (lub podpisanym kwalifikowanym podpisem elektronicznym) obiegu dokumentów. Wymogi językowe w postępowaniu przed KNF określą ustawa i przepisy o postępowaniu administracyjnym. Należy się spodziewać, że pisma i kluczowe dokumenty składane do organu będą wymagały wersji polskiej. Sam MiCA jest w tym zakresie elastyczny. Zasady funkcjonowania platformy obrotu mogą być sporządzone w języku urzędowym państwa macierzystego albo w języku zwyczajowo używanym w międzynarodowych finansach. Przy prowadzeniu platformy w innym państwie członkowskim wybór obejmuje język urzędowy państwa przyjmującego albo ten sam język zwyczajowy (art. 76 ust. 4). Przy wejściu na rynek polski na podstawie paszportu zasady funkcjonowania platformy mogą więc pozostać w języku angielskim. Dokumenty kierowane do konsumentów to odrębna kwestia – tu znaczenie mają przepisy konsumenckie i ustawa o języku polskim.

Po wejściu w życie ustawy, weryfikacja biznesplanów, testów fit-and-proper oraz badania źródeł kapitału (Source of Funds) będzie w Polsce przeprowadzana niezwykle rygorystycznie. Spodziewane obciążenie KNF nowym reżimem oznacza, że realny czas procedowania polskiego wniosku może być bliższy 6–8 miesiącom, a w skomplikowanych przypadkach może ten okres przekroczyć. Właśnie dlatego tak atrakcyjną ścieżką dla polskiego biznesu staje się licencjonowanie za granicą i notyfikacja paszportowa.

Ze względu na wciąż opóźniony proces legislacyjny w Polsce, mechanizm paszportowania opisany w art. 65 MiCA to obecnie absolutnie kluczowa strategia wejścia na rynek polski. Licencja CASP uzyskana w dowolnym innym państwie członkowskim UE pozwala na w pełni legalne świadczenie usług nad Wisłą bez konieczności ponownego licencjonowania przez KNF. Procedura notyfikacyjna przebiega między organami:

1. 01 Organowi państwa macierzystego (np. CySEC) przekazujesz listę państw, w których zamierzasz działać, listę usług świadczonych transgranicznie, planowaną datę rozpoczęcia oraz wykaz innych działalności nieobjętych MiCA (art. 65 ust. 1).
2. 02 W ciągu 10 dni roboczych organ przekazuje te informacje pojedynczemu punktowi kontaktowemu w Polsce, ESMA i EBA (art. 65 ust. 2) i niezwłocznie Cię o tym informuje (art. 65 ust. 3).
3. 03 Usługi w Polsce możesz świadczyć od dnia otrzymania tej informacji, a najpóźniej od 15. dnia kalendarzowego po złożeniu notyfikacji (art. 65 ust. 4).

To najszybszy i najpewniejszy pomost dla polskich podmiotów w 2026 r. Możliwość takiej działalności po 1 lipca 2026 r. potwierdził UKNF.

Dla porządku: świadczenie usług z wyłącznej inicjatywy klienta (art. 61 MiCA) to wyjątek przewidziany wyłącznie dla firm z państw trzecich. Podmiotu z siedzibą w UE, w tym polskiego, ten wyjątek nie dotyczy – dla niego jedyną drogą jest zezwolenie i paszport. Również dla firm spoza UE to wąskie odstępstwo, a nie skalowalny model biznesowy. Wyklucza jakiekolwiek pozyskiwanie klientów w Unii, niezależnie od kanału komunikacji, i nie pozwala oferować klientowi nowych rodzajów kryptoaktywów ani usług (art. 61 ust. 1 i 2). ESMA wydała wytyczne określające, kiedy uznaje się, że firma z państwa trzeciego pozyskuje klientów w Unii (art. 61 ust. 3).

Uzyskanie licencji to koniec projektu aplikacyjnego, ale początek ciągłego nadzoru. Działający CASP podlega reżimowi ostrożnościowemu MiCA (utrzymywanie wymogów kapitałowych, stałe raportowanie), przepisom AML/CFT (pakiet AML – AMLR, rozporządzenie (UE) 2024/1624, oraz AMLD6, dyrektywa (UE) 2024/1640, z nadzorem AMLA w fazie rozruchu), rygorystycznemu monitorowaniu przepływów z tytułu rozporządzenia Travel Rule oraz obowiązkom w zakresie cyberbezpieczeństwa wynikającym z rozporządzenia DORA (UE) 2022/2554 (w tym audyty dostawców usług IT zewnętrznych).

Gdy ustawa nada KNF te kompetencje, Komisja będzie te obowiązki skrupulatnie weryfikować. MiCA zobowiązuje państwa członkowskie do przyznania organom uprawnienia do nakładania na osoby prawne kar pieniężnych, których górna granica nie może być niższa niż 5 mln EUR lub 5% całkowitego rocznego obrotu za naruszenia przepisów dotyczących CASP (art. 111 ust. 1 lit. d i ust. 3 lit. a i c), a także czasowego zakazu pełnienia funkcji zarządczych (art. 111 ust. 4). Państwa mogą przewidzieć kary wyższe (art. 111 ust. 6). W Polsce ten katalog nie został jeszcze wdrożony. Podmiot działający na podstawie paszportu odpowiada jednak według przepisów państwa macierzystego. Utrzymanie szczelnego systemu zgodności to warunek przetrwania na rynku.

Autoryzacja wyznacza granice; to strukturyzacja produktu decyduje, czy biznes w tych granicach faktycznie działa – i jest osobnym obszarem pracy niż samo uzyskanie licencji, a nie jej etapem. Kluczowe pytanie brzmi: czy produkt mieści się w reżimie, na który masz zezwolenie. Modele giełdy, działalności brokerskiej i platformy obrotu opisują art. 76–78; przechowywanie i konstrukcję portfeli – art. 75; produkt stablecoina (EMT) i model jego rezerwy – Tytuł IV. Najostrzejsza krawędź to granica z PSD2 wyznaczona przez art. 70 ust. 4, gdzie produkt krypto niepostrzeżenie staje się regulowaną usługą płatniczą w momencie, gdy wartość przechodzi między niepowiązanymi stronami.

To praca, którą prowadziłem z wnętrza regulowanej giełdy, a nie doradzałem przy niej z zewnątrz. Zidentyfikowałem, że dopuszczenie transferów EMT do osób trzecich stanowiłoby świadczenie usługi płatniczej bez zezwolenia w rozumieniu MiCA i PSD2, i przebudowałem produkt tak, by transfery ograniczały się do rachunków należących do tego samego klienta. W bramce płatności krypto przeanalizowałem przepływy rozliczeniowe i doprowadziłem do usunięcia stablecoina, który nie był autoryzowany pod MiCA – zamykając przepływ, który w przeciwnym razie stanowiłby świadczenie usługi płatniczej bez zezwolenia. Produkty typu yield, „Earn” i staking rodzą to samo pytanie w innym miejscu: art. 70 ust. 1 zakazuje wykorzystywania zgromadzonych aktywów klientów na własny rachunek CASP, więc produkt, którego model ekonomiczny zakłada takie wykorzystanie, trzeba przebudować przed złożeniem wniosku, a nie po nim. Analiza klasyfikacyjna jest ta sama, którą prowadzę przy ofertach tokenów: pomyłka w modelu oznacza, że uzyskujesz zezwolenie na niewłaściwą działalność.

Warstwa AML i Travel Rule to samodzielny obszar pracy – projektowany równolegle z wnioskiem, a nie doklejany po nim – i to właśnie tu wnioski CASP najczęściej spłycają się do skopiowanego rozwiązania z tradycyjnych finansów, które nie przechodzi oceny merytorycznej. Travel Rule, oparta na Rekomendacji 16 FATF i wdrożona w UE rozporządzeniem w sprawie transferu środków pieniężnych (TFR), powstała z myślą o płatnościach opartych na rachunkach i pośrednikach. Krypto nie zawsze działa w ten sposób: transfery CASP–CASP, portfele self-hosted, transakcje oparte na UTXO i rozliczenia zbiorcze rodzą pytania techniczne, na które podręcznik z usług płatniczych nie odpowiada.

To wdrożenie prowadziłem z wnętrza regulowanej giełdy – decydując, jakie dane o zleceniodawcy i beneficjencie zbierać oraz jak traktować transakcje UTXO na Bitcoinie, w czasie gdy nie istniały jeszcze ustalone wytyczne rynkowe, a dział IT potrzebował konkretnych odpowiedzi pod presją czasu. Wokół Travel Rule stoi reszta programu: ramy AML/CFT i kontrole oparte na ryzyku, należyta staranność wobec klienta (CDD/EDD), weryfikacja sankcyjna i PEP, procedury raportowania do GIIF oraz zaprojektowanie roli AMLCO, a także gotowość nadzorcza na pakiet AML UE – AMLR (rozporządzenie (UE) 2024/1624) i AMLD6 (dyrektywa (UE) 2024/1640), z nadzorem AMLA w fazie rozruchu. Wszystko projektowane jako ramy i kontrole, które ma stosować podmiot zobowiązany – nie jako funkcja compliance pełniona w jego imieniu.