MiCA obowiązuje od 30 grudnia 2024 (przepisy dotyczące stablecoinów od 30 czerwca 2024). Jeśli tworzysz lub integrujesz usługi krypto, ustal swoją rolę (CASP, emitent, integrator) i przygotuj dowody: bezpieczeństwo, logi, procedury incydentowe i umowy.
Czym jest MiCA i dlaczego firmy technologiczne dostają nim „po backlogu”?
MiCA (Markets in Crypto-Assets) to unijne rozporządzenie, które porządkuje rynek krypto w całej UE: określa zasady dla emitentów części kryptoaktywów oraz dla dostawców usług w zakresie kryptoaktywów (CASP). Kluczowy twist dla branży IT jest prosty: nawet jeśli nie jesteś „firmą krypto”, możesz świadczyć usługę w zakresie kryptoaktywów poprzez produkt, integrację albo model biznesowy.
W praktyce MiCA najczęściej dotyka trzech typów firm:
- Software house’y: budują giełdę, portfel, custody, moduł wymiany, aplikację do transferów, platformę tradingową lub integracje on-ramp/off-ramp.
- Fintechy: oferują użytkownikom obrót, przechowywanie, realizację zleceń, transfery albo „krypto jako funkcję” w aplikacji.
- E-commerce: przyjmuje płatności w stablecoinach, buduje checkout z krypto, programy lojalnościowe oparte na tokenach, czasem własny token.
Jeżeli Twój produkt wykonuje choć jedną z typowych czynności — custody, wymiana, platforma obrotu, wykonywanie zleceń, przyjmowanie i przekazywanie zleceń, doradztwo, zarządzanie portfelem, transfer — jesteś bardzo blisko definicji „usługi w zakresie kryptoaktywów”.
Od kiedy MiCA obowiązuje i jakie daty musisz znać, zanim zaczniesz planować wdrożenie?
Tu nie ma miejsca na „wydaje mi się”.
- MiCA stosuje się od 30 grudnia 2024.
- Tytuły III i IV (stablecoiny: ART i EMT) stosuje się od 30 czerwca 2024.
- Dla części firm działa okres przejściowy: CASP działający legalnie przed 30 grudnia 2024 może kontynuować działalność do 1 lipca 2026 lub do decyzji w sprawie zezwolenia — zależnie od tego, co nastąpi wcześniej.
- Państwa członkowskie mogły skrócić ten okres. W zestawieniu ESMA dla Polski widnieje 6 miesięcy (traktuj to jako sygnał, żeby działać szybko, a nie jako poduszkę bezpieczeństwa).
Czy Twoja firma jest CASP, emitentem, czy „tylko” integratorem?
To najważniejsze pytanie w całym artykule, bo od niego zależy cała reszta.
Szybki test zakresu (praktyczny, nie akademicki)
Jeśli Twoja firma robi dla klientów „w sposób zawodowy” przynajmniej jedno z poniższych, to pachnie CASP:
- przechowujesz krypto lub klucze prywatne klienta (custody),
- prowadzisz platformę obrotu,
- wymieniasz krypto na pieniądz lub na inne krypto,
- wykonujesz zlecenia, przekazujesz zlecenia lub realizujesz transfery,
- doradzasz inwestycyjnie w zakresie krypto lub zarządzasz portfelem.
Jeśli natomiast emitujesz token (szczególnie stablecoin), wchodzisz na ścieżkę emitenta, a temat robi się cięższy operacyjnie i prawnie. Dla stablecoinów kluczowa jest zgodność z tytułami III i IV, obowiązującymi od 30 czerwca 2024.
Integrator (np. e-commerce), który „tylko” podpina bramkę płatniczą, zwykle nie chce zostać CASP „przez przypadek”. Tu celem jest takie ułożenie architektury i umów, żeby ryzyko regulacyjne leżało po stronie licencjonowanego dostawcy.
Co zmienia się dla stablecoinów i dlaczego ten temat może wysadzić płatności w e-commerce?
Od 30 czerwca 2024 działalność dotycząca ART i EMT (stablecoinów) jest regulowana. W praktyce regulatorzy przypomnieli rynkowi, że świadczenie usług dotyczących stablecoinów niezgodnych z MiCA może być zakazane, jeśli stanowi „ofertę publiczną” lub „dopuszczenie do obrotu” w rozumieniu MiCA.
I tu pojawia się scena wprost z życia.
Wyobraź sobie sklep internetowy z elektroniką. Chcesz „włączyć stablecoiny”, bo masz klientów za granicą, bo opłaty są niższe i bo brzmi to nowocześnie. Podpinasz integrację, uruchamiasz marketing i nagle dział compliance pyta: „Czy te tokeny są zgodne z MiCA i czy nasza usługa nie jest w praktyce »ofertą publiczną«?”
To nie jest czepialstwo. Komisja i ESMA zwracały uwagę, że nawet niektóre usługi, takie jak wymiana, przyjmowanie i przekazywanie zleceń czy ich wykonywanie, mogą w pewnych okolicznościach być traktowane jako „oferta publiczna”, jeśli w ramach usługi tokeny są promowane.
Wniosek dla e-commerce: stablecoin w checkoucie to nie tylko „metoda płatności” — może też rodzić pytania o status zgodności tokena i sposób jego oferowania.
Jakie „dowody” musi mieć software house lub fintech, żeby przejść due diligence pod kątem MiCA?
MiCA to nie jest wyłącznie papierologia. Dla firm technologicznych to w dużej mierze dowody kontroli operacyjnej.
Poniżej minimalny zestaw, o który realnie pyta się w ankietach i przeglądach:
1) Kontrola dostępu i kluczy
- separacja ról i uprawnień (zwłaszcza kont uprzywilejowanych),
- MFA i twarde zasady dla operacji na kluczach,
- polityka rotacji i odzyskiwania, procedury awaryjne,
- zasady hot wallet vs cold wallet, limity, autoryzacja wieloosobowa.
2) Logi i rozliczalność
- co logujesz (operacje na kontach, zlecenia, klucze, wypłaty),
- retencja i niezmienność logów,
- korelacja zdarzeń i audit trail „end to end”.
3) Incydenty i komunikacja
- klasyfikacja incydentów, czasy reakcji, runbooki,
- proces analizy przyczyn źródłowych (RCA) i działania naprawcze,
- kanał kontaktu 24/7, jeśli obsługujesz usługę krytyczną.
4) Podwykonawstwo i łańcuch dostaw
- lista podwykonawców (chmura, dostawca KYC, monitoring, technologia custody),
- zasady wprowadzania zmian i informowania klientów,
- testy ciągłości działania obejmujące zależności.
5) AML jako „bramka” w procesie autoryzacji
MiCA funkcjonuje obok regulacji AML/CFT, ale organy nadzoru przyglądają się również tym ryzykom. Przepisy o udzielaniu zezwoleń wprost oczekują „odpowiednich procedur” w zakresie wymogów AML (w oparciu o prawo wdrażające dyrektywę AML).
Jak przygotować produkt pod MiCA, żeby nie przebudowywać go w panice po audycie?
Tu sprawdza się podejście „compliance by design” — ale bez robienia z niego dogmatu. Chodzi o to, żeby od początku budować elementy, które później posłużą jako dowody.
Krok 1: Zmapuj funkcje na definicje usług
Weź backlog i odpowiedz: które funkcje to custody, wymiana, platforma obrotu, wykonywanie zleceń, transfer itd.
Jeżeli mapa wskazuje na CASP, przygotuj plan licencyjny lub partnerstwo z licencjonowanym podmiotem.
Krok 2: Zbuduj „MiCA Control Pack” (wersjonowany)
To działa jak paczka dowodów dla klienta, audytora i nadzoru:
- opis architektury,
- polityki bezpieczeństwa (klucze, dostęp, backup, monitoring),
- procedury incydentowe,
- opis dostawców i podwykonawstwa,
- zasady komunikacji z klientem.
Krok 3: Uporządkuj marketing i opisy produktu
ESMA ostrzegała przed „efektem halo” — sytuacją, w której CASP miesza w jednej aplikacji produkty regulowane i nieregulowane, a klient nie rozumie różnicy. Wymóg jest prosty: komunikacja ma być rzetelna, jasna i niewprowadzająca w błąd.
To przekłada się na UX: etykiety, disclaimery, wyraźne rozróżnienia i brak „sugerowania nadzoru” tam, gdzie go nie ma.
Co z okresem przejściowym i dlaczego firmy w Polsce nie powinny traktować go jak wymówki?
MiCA przewiduje mechanizm przejściowy, ale:
- nie każdy kraj przyznaje maksymalny okres,
- warunki bywają surowe,
- a ostatecznie i tak musisz osiągnąć pełną zgodność.
Dla Polski w zestawieniu ESMA wskazano 6-miesięczny okres grandfatheringu. To oznacza, że firmy działające przed 30 grudnia 2024 muszą bardzo szybko mieć gotowy plan licencyjny i wdrożeniowy.
Jakie błędy widzę najczęściej u firm IT wchodzących w obszar MiCA?
- „My tylko dostarczamy technologię” — a umowy i faktyczne operacje pokazują, że jednak świadczą usługę.
- Brak dowodów: bezpieczeństwo istnieje „w głowie admina”, ale nie ma logów, procedur ani testów.
- Stablecoiny bez weryfikacji zgodności w połączeniu z kampanią marketingową, która wygląda jak oferowanie.
- Mieszanie produktów w jednej aplikacji bez jasnego rozróżnienia na regulowane i nieregulowane.
Podsumowanie
MiCA obowiązuje od 30 grudnia 2024, a przepisy dotyczące stablecoinów od 30 czerwca 2024. Najważniejszy ruch dla software house’ów, fintechów i e-commerce to szybkie ustalenie roli (CASP, emitent, integrator) i zbudowanie paczki dowodów: bezpieczeństwo kluczy, logi, incydenty, podwykonawstwo i komunikacja — plus uporządkowany, zgodny z przepisami marketing i opisy produktu.