MiCA-Zulassung und technologische Bereitschaft

Die MiCA-Zulassung ist inzwischen die grundlegende Voraussetzung, um in der Europäischen Union Kryptowerte-Dienstleistungen anzubieten. Seit die Verordnung vollständig anwendbar ist und ihr Übergangsfenster geschlossen wurde, muss ein Unternehmen, das solche Dienstleistungen für Kundinnen und Kunden in der EU erbringt, als Anbieter von Kryptowerte-Dienstleistungen—als CASP—zugelassen sein, erteilt durch eine zuständige nationale Behörde eines Mitgliedstaats. Eine Zulassung ist kein Dokument, das man einholt und ablegt; sie ist eine Beschreibung, wie das Unternehmen arbeiten wird, und ein großer Teil dieser Beschreibung betrifft Technologie.

Leicht zu übersehen ist, dass ein wesentlicher Teil einer MiCA-Zulassung eine Darstellung von Systemen und Kontrollen ist. Eine zuständige Behörde, die einen Antrag prüft, will verstehen, wie der Antragsteller Kundenwerte verwahrt, Kunden prüft, Aktivität überwacht, Aufzeichnungen führt, seine Systeme schützt und den Betrieb nach Störungen wiederherstellt. Das sind technische und betriebliche Fragen, bevor sie rechtliche sind, und die Qualität der Antworten hängt davon ab, wie die Plattform gebaut wurde—nicht davon, wie die Richtlinien formuliert sind.

Dieser Beitrag betrachtet die MiCA-Zulassung aus der Perspektive der technologischen Bereitschaft: was eine zuständige Behörde von den Systemen eines Antragstellers erwartet, warum diese Erwartungen besser durch Gestaltung als durch Nachrüstung erfüllt werden und wie sie mit den Anforderungen an die operationale Resilienz und die Geldwäscheprävention zusammenhängen, die neben MiCA gelten. Er bleibt auf der Ebene von Architektur und Bewertung. Er beschreibt, was ein zugelassener CASP nachweisen können muss—nicht, wie eine bestimmte Komponente zu bauen ist.

Was die MiCA-Zulassung heute bedeutet

Unter MiCA erfordert das Erbringen von Kryptowerte-Dienstleistungen in der Europäischen Union—der Betrieb einer Handelsplattform, der Tausch von Kryptowerten, die Ausführung oder Übermittlung von Aufträgen oder die Verwahrung von Werten, unter anderem—eine Zulassung als CASP. Diese Zulassung erteilt die zuständige nationale Behörde des Mitgliedstaats, in dem das Unternehmen niedergelassen ist, nach einer Prüfung von Governance, Kontrollen und Systemen des Antragstellers. Die Europäische Wertpapier- und Marktaufsichtsbehörde lässt einzelne Anbieter nicht selbst zu; sie führt die unionsweiten Register, die festhalten, wer zugelassen wurde, gestützt auf die Angaben der zuständigen Behörden. Ein Unternehmen beantragt die Zulassung also bei einer nationalen Aufsicht, arbeitet aber innerhalb eines gemeinsamen europäischen Rahmens.

Der Zeitpunkt ist entscheidend. Die MiCA-Übergangsphase ist beendet. Neue Kryptowerte-Projekte in der EU müssen von Anfang an für ein zugelassenes CASP-Betriebsmodell ausgelegt sein. Es gibt keine Schonfrist mehr, in der ein Anbieter tätig sein kann, während seine Zulassung vorbereitet wird; das zugelassene Modell ist der Ausgangspunkt, nicht ein späterer Meilenstein. Für eine neue Plattform bedeutet das, dass die Systeme, Kontrollen und Aufzeichnungen, auf denen die Zulassung beruht, Teil des ursprünglichen Entwurfs sein müssen. Für einen bestehenden Anbieter bedeutet es, dass dieselben Fähigkeiten nachweislich vorhanden sein müssen, statt geplant zu sein.

Ebenso lohnt sich Genauigkeit dabei, was eine Zulassung nicht ist. Sie ist keine Zertifizierung einer bestimmten Software, und keine Plattform lässt sich als MiCA-zertifiziert bezeichnen. Sie garantiert nicht, dass ein Unternehmen seine Dienstleistungen unionsweit passporten kann, ohne die daran geknüpften Bedingungen zu erfüllen. Und die Wahl des Mitgliedstaats, in dem die Zulassung beantragt wird, ist eine Frage der Substanz und des Betriebsmodells, nicht die Suche nach der nachgiebigsten Rechtsordnung. Was eine zuständige Behörde letztlich beurteilt, ist, ob das Unternehmen—Menschen, Prozesse und Technologie zusammen—die angestrebten Dienstleistungen kontrolliert und beaufsichtigbar erbringen kann.

Warum die Zulassung eine Technologiefrage ist

Ein Antrag auf CASP-Zulassung ist zu einem großen Teil eine strukturierte Beschreibung, wie die Systeme des Unternehmens funktionieren. Der Antragsteller muss darlegen, wie Kundenwerte gehalten und getrennt werden, wie Kunden identifiziert und geprüft werden, wie Aufträge behandelt werden, wie Aufzeichnungen geführt und aufbewahrt werden, wie Informationen geschützt werden und wie der Dienst während Störungen weiterläuft. Jede dieser Fragen beantwortet die Architektur der Plattform. Eine Beschreibung, die nicht durch Systeme gedeckt ist, die das Behauptete auch leisten, lässt sich schwer aufrechterhalten, denn die Aufsicht prüft zunehmend die Fähigkeit statt der Aussage.

Deshalb wird Bereitschaft besser von vornherein eingebaut als nachgerüstet. Eine Plattform, die von Beginn an darauf ausgelegt ist, Kundenwerte zu trennen, abstimmbare Aufzeichnungen zu erzeugen, Kunden zu prüfen und Aktivität zu protokollieren, kann diese Fähigkeiten wahrheitsgemäß beschreiben und auf Anfrage belegen. Eine Plattform, die dies als später zu ergänzende Funktionen behandelt hat, lässt sich oft noch in Einklang bringen, meist jedoch mit höheren Kosten und schwächeren Nachweisen. Der Unterschied wird schärfer, sobald ein Unternehmen zugelassen ist, denn von einem zugelassenen CASP wird erwartet, dass er vom ersten Betriebstag an resilient und kontrolliert arbeitet, ohne einen gesonderten Vorlauf, um seine Systeme reifen zu lassen.

Die Dimensionen technologischer Bereitschaft

Technologische Bereitschaft für die MiCA-Zulassung lässt sich in wenige Dimensionen gliedern. Keine davon ist ein Produkt, das man isoliert kauft; jede ist eine Fähigkeit, die die Plattform besitzen und erhalten muss. Diese Aufstellung hilft einem Unternehmen zu beurteilen, ob eine Plattform—selbst entwickelt, lizenziert oder als maßgeschneidertes System geliefert—die Kontrollen tatsächlich tragen kann, die Zulassung und laufende Aufsicht verlangen.

Diese Dimensionen sind voneinander abhängig. Verwahraufzeichnungen sind nur vertrauenswürdig, wenn Abstimmung und Aufzeichnung solide sind; Screening wirkt nur, wenn das Onboarding-System es durchsetzt; Resilienz und Sicherheit tragen alle übrigen. Eine Plattform, die in einer Dimension stark und in einer anderen schwach ist, ist nicht teilweise bereit; eine Aufsicht beurteilt das Ganze. Bereitschaft als zusammenhängende Eigenschaft der Plattform zu behandeln—nicht als Checkliste getrennter Werkzeuge—macht eine Zulassung glaubwürdig und tragfähig.

Verwahrung, Trennung und Aufzeichnungen zu Kundenwerten

Bei der Verwahrung sind MiCAs Erwartungen für viele CASPs am konkretesten. Ein Anbieter, der Kunden-Kryptowerte hält, muss sie von den eigenen getrennt halten und Aufzeichnungen führen, die jederzeit ausweisen, was welchem Kunden gehört. Das ist nicht nur eine Frage getrennter Wallets; es ist eine Disziplin der Aufzeichnung. Die Plattform muss kundenseitige Salden, ihr internes Ledger und die On-Chain- oder verwahrten Bestände, die diese decken, verknüpfen und nachweisen können, dass sie übereinstimmen. Ein Anbieter, der Werte trennt, die Trennung aber nicht fortlaufend belegen kann, hat ein Aufzeichnungsproblem, nicht bloß ein betriebliches.

Dieselbe Disziplin verbindet die Verwahrung mit der übrigen Plattform. Ob ein Unternehmen eine eigene Krypto-Börsen- und Verwahrplattform betreibt oder externe Verwahrung einbindet—die Anforderung, vollständige, zuordenbare und abstimmbare Aufzeichnungen zu Kundenwerten zu führen, bleibt konstant. Die Abstimmung der Verwahraufzeichnungen—der Vergleich der internen Aufzeichnung mit dem tatsächlich Gehaltenen—macht aus der Trennung statt einer Behauptung eine nachweisbare Kontrolle, und sie ist eine der Fähigkeiten, die eine zuständige Behörde von einem Antragsteller als konstruiert und nicht als improvisiert erwartet.

Wo MiCA-, DORA- und AML-Anforderungen zusammentreffen

Die MiCA-Zulassung steht nicht für sich allein. Ein zugelassener CASP ist ein Finanzunternehmen im Sinne des EU-Rahmens für digitale operationale Resilienz, DORA, was bedeutet, dass die Systeme, die Kryptowerte-Dienstleistungen erbringen, beaufsichtigten Erwartungen an IKT-Risikomanagement, Vorfallbehandlung, Resilienztests und die Überwachung kritischer Technologielieferanten unterliegen. Diese gelten verhältnismäßig—ein kleinerer Anbieter trägt leichtere Erwartungen als eine große Multi-Asset-Plattform—doch kein zugelassener CASP steht außerhalb davon. Für die Zulassung zu gestalten heißt daher, zugleich für operationale Resilienz zu gestalten, denn beide werden an denselben Systemen beurteilt.

Anforderungen der Geldwäscheprävention laufen neben beiden her. Von einem CASP wird erwartet, seine Kunden zu identifizieren und zu prüfen, Aktivität zu überwachen und Kryptowerte-Transaktionen und Wallets zu screenen; deshalb werden Identitätsprüfung und Screening hier als Dimension der Bereitschaft und nicht als nachträglicher Zusatz behandelt. Unternehmen, die diese Kontrollen aufbauen, können sie als verbundene Systeme angehen—Identitätsprüfung und AML-Screening, die denselben Onboarding- und Überwachungsablauf speisen—statt als isolierte Werkzeuge. In allen drei Bereichen sollte die Grenze dessen, was ein Technologiepartner leisten kann, klar benannt werden. Wir erstellen keine Rechtsgutachten und garantieren keine Zulassung. Wir setzen regulatorische und prüfungsbezogene Anforderungen in Technologie, Infrastruktur und Betrieb um. Die Auslegung des Rahmens und die Zulassungsentscheidung bleiben Sache qualifizierter Berater beziehungsweise der zuständigen Behörde.

Wie eine zulassungsbereite Plattform aussieht

Eine Plattform, die eine MiCA-Zulassung tragen kann, weist einen erkennbaren Satz von Merkmalen auf. Sie trennt Kundenwerte und kann die Bestände jedes Kunden auf Anforderung bestimmen und abstimmen. Sie baut Identitätsprüfung und Screening in Onboarding und laufende Überwachung ein. Sie führt vollständige, aufbewahrbare Aufzeichnungen der Aktivität und kann sie als Nachweis reproduzieren. Sie ist darauf ausgelegt, resilient zu arbeiten und sich von Störungen zu erholen, mit von vornherein eingeplanter Sicherheit und Zugriffskontrolle statt nachträglicher Ergänzung. Und sie trägt die kundenbezogenen Pflichten—Offenlegung, Umgang mit Interessenkonflikten, Beschwerdebearbeitung—als funktionierende Systeme, nicht als Absichtserklärungen.

Nichts davon erreicht man durch den Erwerb einer einzelnen Komponente. Zulassungsbereitschaft ist eine Eigenschaft davon, wie Verwahrung, Aufzeichnungen, Onboarding, Resilienz und Sicherheit organisiert und erhalten werden, während sich die Plattform weiterentwickelt. Unternehmen, die diese Arbeit strukturieren, können unsere Sicht auf die regulatorische Bereitschaft in der EU heranziehen; und wenn die Frage lautet, wie die zugrunde liegende Architektur zu sequenzieren und zu gestalten ist, zeigt unsere Fintech-Architekturberatung, wie diese Fähigkeiten zusammenpassen.

Zusammenfassung und nächste Schritte

Eine MiCA-Zulassung ist zu einem großen Teil eine Darstellung von Technologie. Eine zuständige Behörde erteilt sie, ESMA verzeichnet sie, und das Unternehmen erhält sie aufrecht—doch worauf alle drei beruhen, ist eine Plattform, die Kundenwerte verwahren, Kunden prüfen, Aufzeichnungen führen, sich schützen und weiterlaufen kann. Weil die Übergangsphase beendet ist, müssen diese Fähigkeiten von Anfang an vorhanden sein statt für später versprochen; und weil DORA und Anforderungen der Geldwäscheprävention für dieselben Systeme gelten, behandelt man Bereitschaft am besten als ein einziges, zusammenhängendes Gestaltungsziel statt als Reihe getrennter Compliance-Aufgaben.

Unternehmen, die eine Plattform planen oder überprüfen, können mit der Architektur und den Nachweisen beginnen, die sie erzeugen kann, statt mit einzelnen Werkzeugen. Unsere Sicht auf die regulatorische Bereitschaft zeigt, wie Technologie, Infrastruktur und Betrieb zusammenkommen, um Zulassung und die anschließende Aufsicht zu tragen.