Prestatori di servizi per le cripto-attività (CASP)

Attività esercitata

Ai sensi del Regolamento (UE) 2023/1114 (c.d. Regolamento MiCA) sono servizi in cripto-attività:

• la prestazione di custodia e amministrazione di cripto-attività per conto di clienti;
• la gestione di una piattaforma di negoziazione di cripto-attività;
• lo scambio di cripto-attività con fondi;
• lo scambio di cripto-attività con altre cripto-attività;
• l'esecuzione di ordini di cripto-attività per conto di clienti;
• il collocamento di cripto-attività;
• la ricezione e trasmissione di ordini di cripto-attività per conto di clienti;
• la prestazione di consulenza sulle cripto-attività;
• la prestazione di gestione di portafoglio sulle cripto-attività;
• la prestazione di servizi di trasferimento di cripto-attività per conto dei clienti.

I prestatori di servizi per le cripto-attività (crypto-assets service providers - CASP) sono:

• operatori specializzati specificamente autorizzati ai sensi del Regolamento MiCA alla prestazione di uno o più dei servizi sopra indicati (cd. CASP specializzati);
• intermediari finanziari già vigilati (enti creditizi, SIM, IP, IMEL, SGR, depositari centrali, gestori di mercati regolamentati) che intendono estendere l'operatività a tali servizi.

La prestazione dei servizi per le cripto-attività è disciplinata, oltre che dal Regolamento MiCA, dalle norme tecniche di regolamentazione e di attuazione (regulatory technical standard - RTS e implementing technical standard - ITS) adottate dalla Commissione europea su proposta dell'Autorità bancaria europea (European Banking Authority - EBA) e dell'Autorità europea degli strumenti finanziari e dei mercati (European Securities and Markets Authority - ESMA). La disciplina è integrata da disposizioni attuative emanate - nei limiti consentiti dalle norme europee, direttamente applicabili - dalla Banca d'Italia e dalla Consob, secondo le rispettive competenze (cfr. sezione Normativa). L'ESMA, inoltre, sul proprio sito pubblica Q&A per fornire chiarimenti sulle disposizioni in materia di prestatori di servizi per le cripto-attività.

Tenuto conto che la disciplina riguardante la prestazione di servizi per le cripto-attività introdotta dal Regolamento MiCA è armonizzata, il prestatore, una volta autorizzato, può prestare i servizi per le cripto-attività in uno Stato membro diverso da quello in cui è stata concessa l'autorizzazione, previa notifica all'Autorità competente dello Stato membro d'origine (cfr. FAQ su Operatività transfrontaliera).

Procedimento autorizzativo e notifica

La Consob e la Banca d'Italia sono le autorità competenti per l'autorizzazione dei prestatori di servizi per le cripto-attività e la ricezione delle notifiche da parte degli intermediari vigilati che vogliono avviare questo tipo di operatività. Per una sintesi del riparto di competenze tra Banca d'Italia e Consob si fa rinvio alla nota congiunta del 29 ottobre 2024.

Le vigenti disposizioni (Regolamento MiCA e decreto legislativo n. 129/2024) distinguono tra servizi che possono essere prestati previa notifica (c.d. servizi "notificabili") e servizi che possono essere prestati previa autorizzazione (c.d. servizi "non notificabili") e prevedono competenze e procedimenti autorizzativi differenti per le diverse categorie di intermediario (per una sintesi consulta questa tabella):

• la Banca d'Italia riceve le notifiche da parte di enti creditizi, istituti di moneta elettronica e SGR per la prestazione dei servizi "notificabili"; inoltre, sentita la Consob, autorizza gli istituti di moneta elettronica alla prestazione dei servizi "non notificabili" e gli istituti di pagamento alla prestazione dei servizi per le cripto-attività;
• la Consob riceve le notifiche da parte di SIM, depositari centrali di titoli e gestori di mercati regolamentati per la prestazione dei servizi "notificabili"; inoltre, sentita la Banca d'Italia, autorizza i CASP specializzati che vogliono prestare i servizi per le cripto-attività e le SIM diverse da quelle di classe 1 alla prestazione dei servizi "non notificabili".

Lo scambio di informazioni tra le Autorità nell'ambito del procedimento autorizzativo è regolato da un apposito protocollo d'intesa.

Le notifiche hanno forma libera e sono predisposte in linea con le previsioni dell'articolo 60 del Regolamento MiCA e del Regolamento di esecuzione (UE) n. 304/2025; le istanze devono essere predisposte mediante l'apposito modulo (cfr. sezione Materiali). Le notifiche e le istanze vanno trasmesse, unitamente ai relativi allegati, alla Consob o alla Banca d'Italia via pec (cfr. sezione Contatti).

Prima dell'inoltro formale di una notifica o istanza, gli operatori possono contattare la Consob o la Banca d'Italia (cfr. sezione Contatti) e chiedere un incontro per illustrare le principali caratteristiche dell'iniziativa. Gli incontri, non obbligatori, sono un ausilio per gli operatori. Le interlocuzioni in questa fase non rilevano per il decorso dei termini.

Procedimento di autorizzazione

Il procedimento (vedi infografica) ha una durata complessiva di 40 giorni lavorativi, decorrente dalla data di ricezione dell'istanza completa.

La Banca d'Italia e la Consob valutano la completezza della domanda entro 25 giorni lavorativi dalla data di ricezione (salvo sospensione). Se la domanda risulta incompleta, l'Autorità competente al rilascio dell'autorizzazione fissa un termine entro il quale il soggetto istante è tenuto a fornire le informazioni mancanti. Se, decorso il termine, la domanda risulta ancora incompleta, l'istanza può essere rifiutata e, in tal caso restituita all'istante.

Se la domanda risulta completa, le Autorità competenti ne informano immediatamente il soggetto istante e hanno 40 giorni lavorativi per provvedere nel merito. Durante tale periodo (ed entro il 20° giorno lavorativo) le Autorità possono richiedere qualsiasi informazione supplementare necessaria per completare la valutazione e il periodo di valutazione è sospeso per il periodo compreso tra la richiesta delle informazioni all'istante e il ricevimento delle stesse (tale sospensione non supera i 20 giorni lavorativi). La decisione finale è notificata al fornitore entro i successivi 5 giorni lavorativi.

Procedura di notifica

La notifica deve essere trasmessa all'Autorità competente (Banca d'Italia o Consob) almeno 40 giorni lavorativi prima di avviare l'operatività.

L'Autorità competente valuta, entro 20 giorni lavorativi dal ricevimento della notifica, se sono state fornite tutte le informazioni richieste. Qualora una notifica non sia completa, viene immediatamente informato l'ente notificante al riguardo e fissato un termine entro il quale tale ente è tenuto a fornire le informazioni mancanti. Il termine per fornire eventuali informazioni mancanti non supera i 20 giorni lavorativi dalla data della richiesta. Finché la notifica è incompleta, l'intermediario non può prestare servizi per le cripto-attività.

Ai procedimenti di autorizzazione e alle notifiche si applicano le indicazioni procedurali dettate da:

• Regolamento (UE) 2023/1114;
• Decreto legislativo 5 settembre 2024, n. 129;
• Protocollo di intesa concluso tra Consob e Banca d'Italia.

Per ulteriori chiarimenti sul procedimento amministrativo consulta la sezione FAQ.

Requisiti

I prestatori di servizi per le cripto-attività sono persone giuridiche o altre imprese stabilite nell'Unione Europea, inclusi intermediari già vigilati, autorizzate ai sensi del Regolamento MiCA.

Salve le specifiche discipline di settore applicabili agli intermediari vigilati che intendano fornire servizi per le cripto-attività, i requisiti per i CASP sono elencati dagli articoli 60 e 62 del Regolamento MiCA e comprendono tra l'altro:

1. il possesso dei requisiti previsti dalla normativa per i partecipanti al capitale che detengono, direttamente o indirettamente, partecipazioni qualificate del capitale sociale;
2. il possesso dei requisiti previsti dalla normativa per gli amministratori;
3. il rispetto dei requisiti prudenziali tramite fondi propri e/o una polizza assicurativa (o garanzia analoga);
4. l'adozione di assetti di governance e struttura organizzativa complessivamente adeguati rispetto all'attività;
5. il possesso di requisiti sulla custodia e tutela dei fondi dei clienti;
6. il possesso di requisiti specifici in base ai servizi per le cripto-attività prestati.

All'istanza e/o alla notifica vanno allegati documenti specifici, indicati nella normativa (cfr. sezione Normativa) e nel modulo disponibile (cfr. sezione FAQ).

Le Autorità competenti rifiutano un'autorizzazione in caso di:

• motivazioni oggettive e dimostrabili che la sana e prudente gestione e la continuità operativa siano compromesse o che emergano gravi rischi AML/CFT;

• mancanza dei requisiti previsti dalla normativa per gli amministratori o i partecipanti qualificati e di qualsiasi requisito previsto dal titolo V del Regolamento MiCA;

• stretti legami tra il CASP richiedente e altre persone fisiche/giuridiche (o disposizioni di un paese terzo applicabili a queste persone) che ostacolino l'efficace esercizio delle funzioni di vigilanza.

Contatti

Per la presentazione di istanze e notifiche (solo via pec), di eventuali richieste di interlocuzione informale o di chiarimenti è possibile contattare la Banca d'Italia e la Consob ai seguenti indirizzi:

• per la Banca d'Italia,
  • Servizio Rapporti Istituzionali di Vigilanza, Divisione Costituzioni banche e altri intermediari:
    email: Servizio.Riv.Costituzioni@bancaditalia.it
    pec: riv@pec.bancaditalia.it
  • per i soggetti già vigilati dalla Banca d'Italia rivolgersi alle strutture ordinariamente responsabili per la Supervisione (Servizi SB1, SB2, SIF o Filiale competente), facendo riferimento ai contatti riportati nelle Indicazioni operative del 13 settembre 2024;
• per la Consob, fare riferimento ai "Contatti" disponibili sul sito istituzionale.

Le richieste di chiarimenti e i quesiti relativi ad aspetti già chiariti sul sito non avranno riscontro.

Adempimenti successivi alla autorizzazione

A seguito dell'autorizzazione, il prestatore di servizi per le cripto-attività è iscritto al registro tenuto dall'ESMA. La Consob - in qualità di Autorità designata come punto unico di contatto per la cooperazione amministrativa transfrontaliera con l'ESMA - trasmette all'ESMA le informazioni necessarie.

Una volta autorizzato, il prestatore di servizi per le cripto-attività è tenuto ad avviare l'operatività entro 12 mesi e ad adempiere agli obblighi informativi di cui alle disposizioni applicabili.

Per i controlli di competenza dell'Istituto il fornitore viene assegnato all'unità della Banca d'Italia competente per la supervisione ed è sottoposto ai poteri di vigilanza previsti dal Decreto legislativo 5 settembre 2024, n. 129.