Статья о лицензии поставщика услуг с криптоактивами (CASP, crypto-asset service provider) по европейскому регламенту о рынках криптоактивов MiCA (Markets in Crypto-Assets). Разбираем, какие услуги требуют лицензии и кто может обойтись уведомлением, сколько по закону длится рассмотрение заявки, какие документы готовят для национального регулятора и за что регуляторы чаще всего отказывают или откладывают выдачу. Все основано на тексте MiCA, актах Еврокомиссии и документах Европейского управления по ценным бумагам и рынкам (ESMA).
Проверено 31 октября 2026 года. Правила и источники актуальны на эту дату.
Кто обязан получать лицензию CASP
MiCA требует лицензию от любой компании, которая в ЕС профессионально оказывает клиентам хотя бы одну из десяти услуг с криптоактивами (статья 3(1)(16) и статья 59). Неважно, называет ли компания себя биржей, обменником, кошельком или брокером. Важно, что именно она делает для клиента.
| Услуга по MiCA | Пример бизнеса | Минимальный капитал |
|---|---|---|
| Прием и передача заявок, исполнение заявок, размещение криптоактивов, консультирование, управление портфелем, услуги по переводу | Брокер, приложение для покупки, платформа токен-сейлов, сервис переводов | 50 000 евро |
| Хранение криптоактивов для клиентов, обмен криптоактивов на деньги или на другие криптоактивы | Кастодиальный кошелек, обменник, OTC-деск | 125 000 евро |
| Управление торговой платформой | Криптобиржа со стаканом заявок | 150 000 евро |
Капитал считается по самой «дорогой» услуге из тех, что вы оказываете. Если четверть постоянных расходов компании за прошлый год больше этой суммы, держать нужно ее (статья 67 и Приложение IV). Покрыть требование можно собственными средствами, страховым полисом или их сочетанием. Понятие «постоянные расходы» здесь имеет особый регуляторный смысл. По ответу Еврокомиссии от 18 февраля 2026 года (вопрос ESMA 2349) в расчет входят все накладные расходы, и постоянные, и переменные, а вычесть можно только статьи, прямо перечисленные в статье 67(3).
Уведомление вместо лицензии
Банки, инвестиционные фирмы, центральные депозитарии, организации электронных денег, управляющие компании UCITS, лицензированные управляющие альтернативными фондами (AIFM) и операторы рынков уже имеют лицензии по другим актам ЕС. По статье 60 они могут оказывать часть криптоуслуг, уведомив своего регулятора не позднее чем за 40 рабочих дней до старта. Набор услуг зависит от типа организации. Например, инвестиционная фирма вправе оказывать только услуги, равнозначные ее инвестиционным, а организация электронных денег только хранение и переводы выпущенных ею токенов электронных денег.
Компания вне ЕС
Компания из третьей страны не может обслуживать клиентов в ЕС без лицензии. Исключение по статье 61 касается только случаев, когда клиент обратился сам и исключительно по своей инициативе. ESMA в руководстве по обратному запросу (reverse solicitation) толкует его очень узко, любая реклама на клиентов из ЕС исключение снимает.
Полностью децентрализованные сервисы
По преамбуле 22 MiCA не распространяется на услуги, которые оказываются полностью децентрализованно, без посредника. Само по себе наличие компании, команды разработчиков или ключей администратора не означает, что проект оказывает услуги через посредника. Регулятор смотрит на фактическую степень децентрализации, на функции, которые выполняют определимые лица, на их контроль над протоколом и участие в работе с клиентами. Исключение действует только там, где посредника действительно нет.
Прием криптовалюты за свои товары
Магазин или сервис, который просто принимает оплату криптовалютой за собственные товары, CASP не становится. Подробнее мы разбирали это в статье о том, как легально принимать криптовалюту от клиентов.
Лицензию выдает регулятор той страны ЕС, где у компании зарегистрированный офис. Место фактического управления тоже должно быть в ЕС, и хотя бы один директор должен жить в ЕС (статья 59(2)). Одна лицензия действует во всех странах ЕС через так называемый паспорт.
Сроки
Переходный период по статье 143(3) закончился 1 июля 2026 года одновременно во всех странах ЕС. В некоторых странах он был короче, и компании там должны были получить лицензию раньше. Сейчас компании, которые оказывают криптоуслуги клиентам в ЕС, как правило, должны иметь лицензию CASP или подпадать под уведомление по статье 60. Узкое исключение статьи 61 для компаний из третьих стран сохраняется, но только при строгих условиях.
Проверка полноты, 25 рабочих дней
Регулятор проверяет, все ли документы поданы. Если чего-то не хватает, он назначает срок для досдачи (статья 63).
Старт отсчетаОценка по существу, 40 рабочих дней
Отсчет начинается с даты, когда регулятор получил полный пакет. За это время он решает, выдать лицензию или отказать.
Пауза на вопросы, до 20 рабочих дней
Регулятор может запросить дополнительные сведения. Пока заявитель отвечает, срок оценки стоит, но не дольше 20 рабочих дней.
Паспорт в другие страны ЕС
После лицензии компания сообщает своему регулятору, в каких странах будет работать. Он передает сведения коллегам в течение 10 рабочих дней. Начинать работу можно после этого, но не позднее чем через 15 календарных дней после подачи сведений (статья 65).
Около трех с половиной месяцев по закону это лучший сценарий. Время на подготовку пакета, предварительные встречи с регулятором и ответы на вопросы в эти сроки не входят. Если пакет неполный, отсчет 40 рабочих дней просто не начинается.
Документы для заявки
Перечень сведений дан в статье 62(2) MiCA. Детали раскрывает Делегированный регламент Еврокомиссии 2025/305, а единую форму заявки устанавливает Исполнительный регламент 2025/306. Пакет обычно состоит из четырех блоков.
Компания и бизнес
Учредительные документы, сайт, программа деятельности на три года с финансовыми прогнозами, перечень услуг и криптоактивов, страны, где планируется работа, и подтверждение капитала по статье 67.
Люди
Сведения о членах органа управления: опыт, образование, справки об отсутствии судимости, время, которое каждый будет уделять компании. Отдельно данные об акционерах с существенным участием и о том, откуда у них деньги.
Политики и контроль
Корпоративное управление, внутренний контроль, управление рисками и комплаенс, политика по борьбе с отмыванием денег (AML), конфликты интересов, рассмотрение жалоб клиентов, план непрерывности бизнеса и порядок отбора подрядчиков.
Технологии и активы клиентов
Описание IT-систем и мер безопасности по регламенту о цифровой операционной устойчивости (DORA), порядок отделения активов клиентов от своих, политика хранения, правила торговой платформы, политика исполнения заявок или коммерческая политика обменника, в зависимости от услуг.
ESMA считает риски отмывания денег у CASP в целом высокими. Требования к передаче данных об отправителе и получателе переводов мы разбирали в статье о Travel Rule для криптокомпаний. Если компания еще и выпускает токены, ей нужны отдельные документы, см. нашу статью о том, как законно провести токен-сейл.
Типичные причины отказа
Статья 63(10) MiCA называет основания для отказа. Это руководство, которое угрожает надежному управлению, непригодные руководители или акционеры, и риск, что компания не выполнит требования регламента. В январе 2025 года ESMA выпустила брифинг для национальных регуляторов о том, как проверять заявки. По нему видно, на чем заявители спотыкаются чаще всего.
Компания-«почтовый ящик»
Хотя бы один исполнительный директор должен находиться в стране лицензии. Если вне ЕС выполняется больше функций, чем внутри, регулятор оценивает это критически. Доказывать, что решения принимаются в ЕС, должна сама компания.
Руководство «по совместительству»
Это надзорные ожидания из брифинга ESMA от января 2025 года, а не установленные MiCA пороги по времени, и регуляторы применяют их пропорционально размеру и сложности компании. Члены исполнительного органа управления должны уделять компании не меньше половины своего времени, генеральный директор, как правило, полный день. Все они должны понимать, как устроены криптоактивы и услуги компании. Отдельное внимание ESMA уделяет независимости председателя совета.
Слишком много аутсорсинга
Ответственность за AML всегда остается у самого CASP, а передача AML-функций жестко ограничена европейскими и национальными правилами. Отдельные операционные задачи передавать можно, если закон это допускает, но в компании должны оставаться достаточные знания, персонал и реальный контроль. Комплаенс и риск-менеджмент нельзя передавать настолько, чтобы это подрывало управление компанией и полномочия регулятора. Хранение можно передать только лицензированному CASP. Если из-за аутсорсинга регулятор не может нормально надзирать, ESMA рекомендует отказывать.
Нереалистичный бизнес-план
Прогнозы должны опираться на реальные цифры, если бизнес уже работает. План пишут на три года с промежуточными точками, чтобы регулятор мог сравнить его с фактом. Нужно показать, что будет, если выручка окажется сильно ниже плана.
Прошлое руководителей и акционеров
Регуляторы смотрят на прежние нарушения, идущие уголовные дела и надзорную историю группы, в том числе через информационную систему европейских надзорных органов. Само по себе прошлое нарушение не означает отказа, но его нужно честно раскрыть и объяснить.
IT не готово к DORA
Риски IT-подрядчиков проверяют по требованиям DORA. Повышенное внимание к случаям, когда ключевые IT-специалисты работают через подрядчика, а также к хранению ключей и защите от взломов.
Решение регулятора
ESMA провела ускоренную взаимную оценку того, как мальтийский регулятор MFSA выдал лицензию одному CASP. Процесс лицензирования получил оценку «частично соответствует ожиданиям». ESMA задалась вопросом, почему лицензию выдали, когда существенные проблемы оставались нерешенными, и почему их не потребовали устранить до выдачи. По оценке ESMA, регулятор недостаточно проверил надзорную историю компании, планы роста, конфликты интересов, IT-системы, хранение активов и часть рисков отмывания денег.
Итог для рынка. ESMA рекомендовала всем национальным регуляторам оценивать бизнес-план с учетом роста, проверять IT по DORA до выдачи лицензии и следить, чтобы компания могла заблокировать вредоносные транзакции при взломе. После этой проверки регуляторы стали строже, и «досдать потом» больше не работает.
Разбор ситуации
Сервис обмена работает из третьей страны, сайт на английском, реклама идет на всю Европу. Лицензии CASP у него нет. После 1 июля 2026 года обслуживать таких клиентов нельзя. Обратный запрос не поможет, раз сервис сам привлекает клиентов рекламой.
Вариантов три. Первый, получить лицензию через компанию в стране ЕС с реальным офисом и директором на месте. Второй, работать через партнера с лицензией CASP, но так, чтобы клиентом был партнер, а не сам обменник. Третий, закрыть доступ для ЕС с геоблокировкой и запретом рекламы. В своем заявлении от 17 апреля 2026 года ESMA прямо указала, что компании без лицензии должны были к 1 июля исполнить план сворачивания деятельности. Это касается и договоров B2B, например передачи хранения нелицензированной компании.
Как подготовиться к заявке по шагам
Определите услуги
Разложите продукт на услуги по статье 3(1)(16). От этого зависят класс лицензии, капитал и список политик.
Начните здесьВыберите страну
Учтите язык регулятора, сроки на практике, требования к местному персоналу и стоимость офиса. Одна лицензия все равно действует по всему ЕС.
Соберите команду в ЕС
Директора с нужным временем и опытом, отдельные комплаенс-офицер и офицер по AML, хотя бы один исполнительный директор в стране лицензии.
Напишите политики под свой бизнес
Шаблоны регуляторы узнают сразу. Политики должны описывать ваши реальные процессы, системы и подрядчиков.
Закройте IT и DORA
Проверьте договоры с IT-подрядчиками, план непрерывности, хранение ключей и порядок реагирования на инциденты до подачи, а не после.
Подайте полный пакет
Заполните форму по Исполнительному регламенту 2025/306 и проверьте каждый пункт статьи 62(2). Неполный пакет означает, что срок рассмотрения даже не начался.
Что важно после получения лицензии
Лицензию можно потерять. По статье 64 регулятор обязан отозвать ее, если компания не начала работу в течение 12 месяцев, отказалась от лицензии, не оказывала услуги девять месяцев подряд, получила лицензию на основании ложных сведений, перестала отвечать условиям и не исправила это в срок, не имеет действенных систем против отмывания денег и финансирования терроризма или серьезно нарушила MiCA, в том числе правила защиты клиентов и целостности рынка. Отозвать лицензию можно и за нарушение национальных AML-норм. О любых изменениях в составе органа управления нужно сообщить регулятору до того, как новые члены приступят к работе (статья 69).
В декабре 2025 года Еврокомиссия предложила передать лицензирование и надзор за CASP напрямую ESMA, с переходным периодом для уже выданных лицензий и рассматриваемых заявок. 9 октября 2026 года Совет ЕС согласовал ключевые элементы своей переговорной позиции, по которой напрямую ESMA будет надзирать только за наиболее значимыми CASP, а не за всеми компаниями. Переговоры с Европарламентом еще впереди. Закон не принят, сейчас лицензии по-прежнему выдают национальные регуляторы.
Лицензия CASP или уведомление по статье 60 нужны почти всем, кто оказывает клиентам в ЕС услуги с криптоактивами, а переходного периода больше нет. Регуляторы смотрят прежде всего на реальное присутствие в ЕС, вовлеченность руководства, разумный аутсорсинг, AML и IT. Компании, которые закрыли эти вопросы до подачи, проходят быстрее.
Регулятор лицензирует не документы, а компанию, которая реально управляется из ЕС.Команда LegalBit
Частые вопросы
Сколько стоит и сколько длится получение лицензии CASP?
По MiCA регулятор проверяет полноту пакета до 25 рабочих дней и оценивает его до 40 рабочих дней, с паузой на вопросы до 20 рабочих дней. Подготовка пакета занимает отдельное время. Минимальный капитал составляет 50 000, 125 000 или 150 000 евро в зависимости от услуг. Сборы регулятора и расходы на офис и персонал зависят от страны.
Можно ли обслуживать клиентов из ЕС с лицензией из другой страны?
Нет. Лицензии третьих стран в ЕС не действуют. Исключение для обратного запроса по статье 61 работает, только если клиент обратился сам и компания никак не привлекала его в ЕС.
Нужна ли лицензия некастодиальному кошельку?
Если компания только дает программу, а ключи и активы контролирует сам пользователь, это обычно не хранение по MiCA. Но если сервис также меняет криптоактивы, передает заявки или переводит средства за клиента, нужно проверять каждую функцию отдельно.
Что будет, если работать без лицензии после 1 июля 2026 года?
Национальные регуляторы вправе применять санкции, включая штрафы и запреты, а ESMA требует от нелицензированных компаний свернуть услуги в ЕС. Клиентам ESMA советует проверять поставщика в промежуточном реестре MiCA и переводить активы к лицензированному поставщику или в собственный кошелек.
Можно ли сначала получить лицензию, а потом донастроить AML и IT?
Рассчитывать на это не стоит. После проверки Мальты ESMA рекомендовала регуляторам устранять существенные проблемы до выдачи лицензии, а IT проверять по DORA заранее.
Читайте также: Travel Rule для криптокомпаний; ESMA и стейблкоины вне MiCA; Кейс. Подготовка крипто-стартапа к MiCA.
Источники11 документов
- EUR-Lex: Регламент (ЕС) 2023/1114 (MiCA), статьи 3, 59–65, 67, 69, 143 и Приложение IV
- EUR-Lex: Делегированный регламент Комиссии (ЕС) 2025/305 о сведениях в заявке на лицензию CASP
- EUR-Lex: Исполнительный регламент Комиссии (ЕС) 2025/306, форма заявки CASP
- ESMA: заявление об окончании переходных периодов по MiCA, 17 апреля 2026 года
- ESMA: надзорный брифинг о лицензировании CASP, 31 января 2025 года
- ESMA: ускоренная взаимная оценка лицензирования и надзора за CASP на Мальте, 10 июля 2025 года
- ESMA: итоговый доклад о руководстве по обратному запросу по MiCA
- Еврокомиссия: вопросы и ответы о пакете по интеграции рынков, 4 декабря 2025 года
- Совет ЕС: пресс-релиз о ключевых элементах позиции по пакету интеграции рынков, 9 октября 2026 года
- Совет ЕС: документ 13779/1/26 REV 1, проект общего подхода по пакету интеграции рынков, 30 октября 2026 года
- ESMA: вопрос 2349 о расчете постоянных расходов, ответ Еврокомиссии от 18 февраля 2026 года
Эта тема наша услуга
Подробнее о том, как мы помогаем криптокомпаниям:
