Лицензия CASP под MiCA: процедура, цена и выбор юрисдикции

Периметр: что именно требует лицензии

Лицензируется не «крипто», а закрытый перечень из десяти услуг в ст. 3(1)(16) Regulation (EU) 2023/1114:

1. Кастоди и администрирование крипто-активов для клиентов.
2. Управление торговой площадкой.
3. Обмен крипто-активов на деньги.
4. Обмен на другие крипто-активы.
5. Исполнение поручений.
6. Размещение.
7. Приём и передача поручений.
8. Консультирование.
9. Управление портфелем.
10. Переводы крипто-активов по поручению клиента с одного адреса распределённого реестра на другой (определение в ст. 3(1)(26)).

Оказание любой из них профессионально и в пользу клиентов — основание для авторизации. Как устроен сам режим — категории токенов, white paper, надзор ESMA и EBA — разобрано в обзоре MiCA; эта страница только о том, как получить статус. Территориальный охват широкий: одна авторизация покрывает все 30 государств ЕЭЗ, включая Норвегию, Исландию и Лихтенштейн, и присутствия в принимающей стране не требует.

Ст. 59 добавляет к перечню услуг требования к самой оболочке: заявитель — юридическое лицо с зарегистрированным офисом в стране ЕС, где оказывает хотя бы часть своих услуг, с местом фактического управления в Союзе и минимум одним директором-резидентом ЕС. Это нижняя планка закона; национальные регуляторы читают её строже, о чём ниже.

Три зоны остаются снаружи, и границы каждой сейчас двигаются. Self-hosted wallet — не услуга: софт, которым распоряжается сам держатель, лицензии не требует, но перевод на такой адрес или с него на сумму свыше €1 000 тянет обязанности по travel rule. Настоящий P2P без посредника вне периметра — однако площадка, которая сводит заявки, держит escrow или назначает цену, оказывается торговой платформой со всеми последствиями.

DeFi выведен recital 22 только в состоянии «полностью децентрализованно и без посредника»; дискуссионный документ MFSA от 12 июня 2026 года перечисляет признаки сохранившейся централизации — admin-ключи, контроль над обновлением протокола, концентрация голосов в governance, кастоди активов самим протоколом, закрытый код, маркетинг от идентифицируемого лица — и делает вывод, который стоит принять как рабочий: почти в любой системе такие признаки находятся.

Еврокомиссия открыла таргетированную консультацию по ревизии MiCA 20 мая 2026 года, и критерии децентрализации, staking, lending, NFT и доступ площадок третьих стран лежат там прямо на столе.

Ключевые параметры режима собраны в одной таблице.

Нотификация вместо лицензии и закрытые окна grandfathering

Полная процедура нужна не всем. Ст. 60 даёт шести категориям уже регулируемых институтов режим уведомления домашнему регулятору минимум за 40 рабочих дней до первого оказания услуги:

1. Банк — весь перечень услуг.
2. Инвестфирма — услуги, эквивалентные её разрешениям по MiFID II.
3. EMI — кастоди, администрирование и переводы применительно к e-money-токенам собственной эмиссии.
4. Управляющая компания UCITS и AIFM — управление портфелем, консультирование, приём и передача поручений.
5. Центральный депозитарий — только кастоди.
6. Оператор рынка — только торговая площадка.

Комплект приложений к уведомлению почти совпадает с лицензионным досье, а регулятору дано 20 рабочих дней на проверку комплектности и право дать ещё до 20 рабочих дней на досылку.

Маршрут ст. 60 — не теория. В июле 2026 года из девяти новых немецких записей в реестре ESMA восемь пришлись на кооперативные и региональные банки и лишь одна — на крипто-нативную платформу; Standard Chartered вышел в ЕС через люксембургскую дочку, получив 29 июня 2026 года CASP и EMI одновременно. Если в группе уже есть банковская, инвестиционная или EMI-лицензия, нотификация почти всегда быстрее и дешевле полного цикла.

Переходный режим закрыт полностью. Ст. 143(3) разрешала государствам дать действующим национальным провайдерам до 18 месяцев, не применять переходный период вовсе или сократить его — и страны выбрали по-разному. Официальный перечень ESMA фиксирует разброс от шести до восемнадцати месяцев; выигравшие лишний год готовились к подаче, проигравшие сворачивались уже летом 2025-го.

Национальный закон мог задать не только конец окна, но и отдельную отсечку по подаче заявки: в Чехии заявку на CASP нужно было подать до 31 июля 2025 года, а работа на прежней VASP-регистрации допускалась максимум до 1 июля 2026-го — статья 26 Закона о цифровых финансах 31/2025 Sb. Провайдер, укладывавшийся в окно, но пропустивший дату подачи, терял основание работать раньше общего дедлайна.

17 апреля 2026 года ESMA подтвердила, что продления не будет, а заявлением от 23 июня описала, как выглядит правильное сворачивание: немедленно прекратить онбординг и маркетинг, ограничить услуги действиями, необходимыми для продажи или перевода активов, сохранить AML-контроль до последнего клиента.

Досье: капитал, собственные средства, substance

Капитал — самая переоценённая строка бюджета. Annex IV задаёт постоянный минимум по классу услуг, и класс определяется по самой «тяжёлой» из запрашиваемых. Но реальная планка — вторая часть ст. 67: пруденциальный буфер равен большему из суммы Annex IV и четверти постоянных накладных расходов за предыдущий год. Именно эта четверть определяет капитал любого работающего оператора; €50 000 из таблицы остаются нижней границей.

Страховой полис засчитывается, если выдан авторизованным страховщиком на срок не менее года, предусматривает уведомление о расторжении за 90 дней и раскрыт на сайте.

В феврале 2026 года ESMA закрыла главную лазейку в расчёте. Q&A 2349 отвечает прямо: базой служит «сумма всех накладных расходов CASP, как постоянных, так и переменных», а вычитать можно только четыре позиции из ст. 67(3)(a)–(d), и перечень исчерпывающий — национальный регулятор расширять его не вправе. Практический эффект: у операторов, привыкших выкидывать из базы переменные расходы, требование к буферу выросло скачком.

Дальше начинается то, что стоит настоящих денег. Ст. 70 требует сегрегации: клиентские крипто-активы отделены от собственных так, чтобы при банкротстве провайдера кредиторы до них не дотянулись, а клиентские деньги размещаются в банке или центробанке не позднее конца рабочего дня, следующего за днём получения, на счетах, отличимых от собственных; использовать их за свой счёт запрещено. Ст. 73 разрешает аутсорсинг операционных функций, но запрещает делегировать ответственность, менять отношения с клиентом или условия авторизации. Поверх — программа деятельности с трёхлетним прогнозом, схема группы и fit & proper всех ключевых лиц, ICT-архитектура и реестр поставщиков под DORA, политика конфликтов интересов, порядок работы с жалобами, AML-процедуры с travel rule и исполнимый план сворачивания. Что из этого должно физически существовать до подачи, а не появиться в виде PDF, разобрано в комплаенс-стеке оператора.

Substance закон формулирует скупо — один директор-резидент ЕС, — а регуляторы толкуют щедро. Практический минимум по большинству юрисдикций: два исполнительных руководителя с местным присутствием, выделенные и одобренные регулятором compliance-офицер, MLRO и риск-менеджер, локальный аудитор, банковский счёт в стране авторизации и способность объяснить, где физически принимаются решения. Держать ключевые системы за пределами ЕЭЗ формально можно, но тогда придётся отдельно доказывать доступ регулятора, восстановление и контроль над подрядчиками.

Процедура: формула 25 + 40 против практики

Ст. 63 выглядит быстро.

Часы регулятор останавливает только один раз: последующие запросы дополнительной информации срок уже не продлевают, а паспортизация после решения идёт почти мгновенно.

Практика длиннее в разы, и удлиняет её не формальная часть, а то, что ей предшествует. Люксембургская CSSF держит пре-аппликационный канал и оценивает реалистичный срок для первичного заявителя в шесть-девять месяцев от начала работы до решения. Голландский AFM отводит на процедуру порядка 105 рабочих дней, французский AMF — до четырёх месяцев от полной заявки, к которым на практике добавляются два-три месяца раундов уточнений. Сложить всё вместе — и типовой горизонт «решение подаваться → лицензия на руках» в 2026 году составляет от девяти до восемнадцати месяцев. Заявка, поданная без предварительного диалога с надзором, почти гарантированно уходит в цикл доработок: часы после первой остановки уже не останавливаются, но новую полную заявку никто не запрещает потребовать.

Выбор юрисдикции: что показывает реестр

ESMA ведёт интерим-реестр из пяти CSV-файлов — white paper, эмитенты ART, эмитенты EMT, авторизованные CASP и перечень non-compliant — и обновляет его еженедельно, но сводной статистики не публикует. Счёт ведут отраслевые трекеры: 325 записей на 12 августа 2026 года по одному источнику, 329 записей и 322 уникальные активные компании на ту же дату по другому. Расхождение — дубли и отозванные авторизации; официальной цифры не существует, и любую следует читать как оценку. Для масштаба: в своей майской консультации Еврокомиссия оперировала «примерно 170 CASP из 18 стран-членов» — то есть за три месяца до дедлайна выдали примерно половину того, что есть сейчас.

Две поправки к цифрам обязательны. Первая: реестр смешивает полные авторизации по ст. 63 и нотификации по ст. 60, так что «325 CASP» — это не 325 крипто-компаний, а сумма площадок и регулируемых институтов, добавивших крипто-услугу. Вторая: тяжёлых лицензий среди них мало — на 4 июля 2026 года лишь около 17 из 280 записей включали право управлять торговой площадкой.

Три вывода из этой таблицы важнее самих чисел. Литва — предупреждение о том, что старый VASP-реестр не конвертируется в новый статус: шесть авторизаций у бывшего лидера регистраций. Италия — та же история в цифрах: по данным отраслевых трекеров на 12 августа 2026 года — 138 легаси-регистраций на 30 июня 2025 года и девять участников в реестре после перехода; официальной сводки Consob не публикует. Польша — предупреждение другого рода: без национального имплементирующего закона регулятор не может открыть процедуру вообще, и польскому бизнесу остаётся авторизоваться в другой стране и паспортизоваться обратно.

Арбитраж по мягкости надзора закончился 10 июля 2025 года. В этот день ESMA опубликовала fast-track peer review авторизационной практики мальтийской MFSA: по надзорным ресурсам и экспертизе MFSA получила полный зачёт, но авторизационная часть признана лишь частично соответствующей ожиданиям — лицензию выдали при нерешённых материальных вопросах. Важнее вердикта приложенный к нему чек-лист для всех регуляторов ЕЭЗ: форвардная оценка плана роста, конфликты интересов мульти-сервисной модели, внутригрупповой аутсорсинг и governance, ICT-архитектура под DORA, экспозиция на Web3 и продвижение нерегулируемых продуктов, честность риск-предупреждений в интерфейсе. С июля 2025 года это де-факто единый список вопросов независимо от страны подачи, и досье собирается под него; минимум ст. 62 покрывает лишь формальную часть. Как это укладывается в общую картину смещения периметра, показывает обзор трендов.

Сегрегация, ответственность кастодиана и границы защиты

Лицензия CASP даёт держателю активов три конкретные вещи и не даёт четвёртой.

• Сегрегация по ст. 70: монеты клиента юридически отделены от баланса площадки, а фиатный остаток лежит в банке или центробанке, а не в её оборотных средствах.
• Ответственность кастодиана: за утрату активов или средств доступа по вине провайдера он отвечает, хотя возмещение ограничено рыночной стоимостью на момент утраты.
• Надзор с адресом, куда идти с жалобой.

Не даёт гарантийного фонда: аналога страхования вкладов до €100 000 в MiCA нет, и разница между «регулируемый» и «застрахованный» здесь принципиальна — та же логика, что для денег в EMI после платёжной реформы.

Практическая проверка занимает пять минут. В реестре ESMA проверяется конкретное юридическое лицо, обслуживающее счёт, — бренд группы для этого не годится: у глобальных групп европейский периметр — отдельная компания, и статус материнской структуры к активам клиента отношения не имеет. Отдельно проверяется, какие именно услуги покрыты авторизацией: кастоди и управление торговой площадкой — разные строки, и площадка, авторизованная только на обмен, юридически не кастодиан клиента. Проверяется, не переехал ли провайдер в другую юрисдикцию после перехода — паспортизация делает это незаметным в интерфейсе, но меняет надзорный орган. Как это влияет на структуру владения крупной позицией — в разборах крипто для частного капитала и токенизации реальных активов. Эмиссия стейблкоина услугой CASP не является: e-money-токен вправе выпускать только банк или EMI.

Бюджет проекта, альтернативы и правоприменение

Определяющая величина здесь — стоимость проекта целиком. Официальные сборы разнородны и редко публикуются: голландский AFM — исключение с опубликованным тарифом, по остальным странам есть только рыночные оценки.

Агентского режима MiCA не содержит. В платёжном мире PSD2 и будущий PSD3 позволяют принципалу зарегистрировать агента и разделить с ним периметр; здесь аутсорсить по ст. 73 можно операционные функции, но не ответственность и не отношения с клиентом. Компании, учреждённой в ЕС, остаётся white-label под чужой авторизацией (разобран ниже), где регуляторным лицом остаётся принципал, а партнёр становится его каналом дистрибуции со всей вытекающей зависимостью. Reverse solicitation по ст. 61 этой компании недоступно вовсе: изъятие написано для фирмы третьей страны, услуги которой запрошены по собственной исключительной инициативе клиента из Союза, и не применяется, если фирма сама привлекает клиентов или рекламирует услуги в ЕС. Заявлением от 23 июня 2026 года ESMA напомнила фирмам за пределами ЕС, что запрет на привлечение действует и в отношениях с профессиональными контрагентами. Экономика такой аренды разобрана в хабе «Лицензия напрокат».

Отдельная ловушка для тех, кто трогает стейблкоины. Мнением от 2 июня 2025 года EBA признала, что переводы e-money-токенов одновременно подпадают под MiCA и под PSD2, и дала девятимесячный no-action период; он истёк 2 марта 2026 года, после чего площадке, переводящей EMT, нужна вторая авторизация — платёжная. К февралю 2026 года с регуляторами по этому поводу уже работали больше сотни CASP. Двойной статус планируется заранее: связка EMI плюс CASP под одним надзором дешевле, чем достраивание платёжной лицензии постфактум.

Правоприменение к августу 2026 года асимметрично. В перечне non-compliant ESMA — 167 записей на 6 августа 2026 года, из которых свыше 160 внёс итальянский Consob, по одной — нидерландский AFM (MEXC, решение от 16 сентября 2025 года) и словацкий NBS. Это говорит не о географии нарушений, а о разной готовности регуляторов вести списки. Отзывы и отказы пока редки: 29 записей на 3 мая 2026 года — семнадцать добровольных уходов, пять отзывов по инициативе регулятора, три несостоявшихся перехода из старого режима и лишь два отказа в выдаче, оба мальтийские. Рынок фильтруется не отзывами, а тем, что заявку просто не доводят до конца.

Под чужой авторизацией

Пока собственная лицензия в работе, оператор запускается под авторизацией готового CASP: тот несёт регуляторные обязанности — governance, капитал, сегрегацию клиентских активов, AML, — а партнёр отвечает за бренд, интерфейс и дистрибуцию. Клиенту при этом должно быть однозначно понятно, какое лицо оказывает регулируемую услугу.

Перед запуском партнёра проверяют по трём пунктам, и все три закрываются реестром ESMA.

• Действующая авторизация, а не заявка. В реестре должно стоять решение по ст. 63 или нотификация по ст. 60, а не «pending» и не старый национальный VASP-статус: последний с 1 июля 2026 года не является основанием для работы и паспорта не давал никогда.
• Scope услуг. Авторизация выдаётся под конкретные позиции из перечня ст. 3(1)(16). Партнёр, авторизованный только на обмен, не прикроет кастоди, а управление торговой площадкой — отдельная строка, которой в 2026 году располагала лишь малая часть держателей.
• Юрисдикция после паспортизации. Проверяется конкретное юридическое лицо и страна, выдавшая авторизацию: паспорт делает смену домашнего надзора незаметной в интерфейсе, но именно она определяет, кто надзирает за партнёром, куда идти с жалобой и по какому праву будут разбираться клиентские активы при его банкротстве.

Зависимость здесь двусторонняя: принципал вправе в любой момент изменить условия или отключить канал, а отзыв или сдача его авторизации мгновенно останавливает и витрину партнёра. Поэтому white-label планируют как временный вход с собственной заявкой в работе, а не как конечную конфигурацию.

Что меняется до 2028 года

Три вектора стоит заложить в архитектуру уже сейчас. Первый — AML: единый регламент применяется с 10 июля 2027 года, а AMLA готовит первый отбор поднадзорных — сбор данных национальными надзорами шёл до 15 августа 2026 года, предварительный список ожидается к концу сентября 2026-го, цикл отбора пройдёт в 2027 году, прямой надзор начнётся в 2028-м. Трансграничные CASP — очевидные кандидаты; что именно меняется в процедурах, разобрано в AML-пакете ЕС.

Второй — надзор. Пакет Еврокомиссии Market Integration & Supervision от 4 декабря 2025 года переносит авторизацию и текущий надзор за CASP на уровень ESMA; применение ожидается через 12–24 месяца после принятия, то есть в горизонте от середины 2027-го до середины 2029 года. Практический смысл прост: выбирать сегодня «мягкого» регулятора — значит оптимизировать под орган, которого через несколько лет в этой роли не будет.

Третий — содержание самого MiCA. Ответы на консультацию принимаются до 30 сентября 2026 года — Комиссия продлила срок с первоначального 31 августа; формальный отчёт по ст. 140 должен появиться к 30 июня 2027-го, законодательный пакет «MiCA 2» реалистично — не раньше 2028 года. До тех пор staking, lending и DeFi остаются вне периметра, а значит, вне единой защиты: строить на них регулируемый продукт преждевременно, а строить нерегулируемый рядом с лицензией — прямой путь к вопросам из peer-review-чек-листа.