Come verificare se una piattaforma crypto è autorizzata MiCA

Una piattaforma crypto è autorizzata ai sensi del regolamento sui mercati delle cripto-attività (MiCA) solo quando una specifica entità giuridica compare in un registro ufficiale, insieme ai servizi consentiti e a una data di autorizzazione. Quindi individua quale società ti serve davvero, identifica la sua autorità di vigilanza e cerca quell'entità nel registro dell'ESMA o nell'elenco del regolatore. Un nome su un app store o un numero di licenza nel footer di un sito non dimostra nulla da solo.

In sintesi

• Da quando il periodo transitorio a livello UE è terminato il 1° luglio 2026, un'impresa ha bisogno dell'autorizzazione MiCA (o, per alcune entità già regolamentate, di una notifica) per offrire servizi per le cripto-attività a clienti dell'UE.
• L'autorizzazione appartiene a un'entità giuridica, non a un marchio che può comprendere più società.
• Il registro provvisorio MiCA dell'ESMA e gli elenchi nazionali riportano denominazione legale, LEI, paese d'origine, data di autorizzazione e servizi consentiti.
• Confronta i servizi indicati con ciò che vuoi fare. L'autorizzazione per la custodia non è un'autorizzazione per tutto.
• L'autorizzazione è uno status di vigilanza. Non elimina il rischio di prezzo, le frodi rivolte agli utenti né i guasti operativi.

Che cosa significa davvero «autorizzato MiCA»?

Un prestatore di servizi per le cripto-attività (CASP) è autorizzato MiCA quando l'autorità competente di uno Stato membro dell'UE gli ha concesso l'autorizzazione ai sensi del regolamento (UE) 2023/1114 a prestare determinati servizi per le cripto-attività. Lo status appartiene a quell'entità giuridica, copre solo i servizi indicati nella sua voce e raggiunge gli altri Stati membri tramite notifica.

MiCA definisce dieci servizi per le cripto-attività, tra cui custodia, scambio di cripto-attività con fondi, esecuzione di ordini e servizi di trasferimento (elencati nel Passaggio 4). Un'impresa che li offre ha bisogno dell'autorizzazione ai sensi dell'articolo 59, e un prestatore autorizzato deve avere la sede legale in uno Stato membro. Banche, imprese di investimento, istituti di moneta elettronica e poche altre entità già vigilate possono invece notificare la propria autorità almeno 40 giorni lavorativi prima di avviare servizi equivalenti (articolo 60), quindi un'entità legittima può non essere un «CASP» in senso stretto.

Autorizzazione MiCA e registrazione nazionale come VASP

Prima di MiCA, ogni paese applicava un proprio regime, di solito una registrazione come prestatore di servizi per le attività virtuali (VASP), e l'ESMA ha osservato che questo mosaico produceva una tutela dei consumatori disomogenea. Le imprese che operavano lecitamente secondo le norme nazionali al 30 dicembre 2024 potevano proseguire fino al 1° luglio 2026, o fino alla concessione o al rifiuto della loro domanda MiCA, se precedente (articolo 143, paragrafo 3). Quella finestra si è chiusa.

Una registrazione nazionale precedente a MiCA documenta la storia, non lo status attuale. Secondo la dichiarazione dell'ESMA del 17 aprile 2026, qualsiasi entità che dopo il 1° luglio 2026 serva clienti dell'UE con servizi per le cripto-attività senza un'autorizzazione MiCA viola il diritto dell'UE e deve cessare.

Passaggio 1 — Individua l'entità giuridica dietro l'app

Marchi, app e siti web sono livelli di marketing. La parte che ha obblighi nei tuoi confronti è una società indicata nei documenti che hai accettato alla registrazione. Cerca nei primi paragrafi dei Termini di utilizzo («i servizi sono forniti da…»), nell'informativa sulla privacy (che indica il titolare del trattamento), nelle note legali o nel colophon, nei caratteri piccoli del footer e nelle email di onboarding.

Annota la denominazione legale esatta con la forma societaria (GmbH, SAS, OÜ, Ltd), la sede legale, il numero societario e il regolatore indicato. Se compaiono più società, scopri quale fornisce il servizio che usi: custodia, scambio e trasferimenti possono trovarsi in entità diverse, come in una configurazione con IBAN crypto-friendly. Anche le indicazioni dell'ESMA per i consumatori sottolineano lo stesso punto, perché le tutele MiCA si applicano solo alla specifica entità autorizzata dell'UE, non ad altre società del gruppo. Se la documentazione non è chiara, chiedi al supporto per iscritto; anche una risposta vaga è un'informazione.

Passaggio 2 — Identifica il regolatore

L'autorizzazione proviene dall'autorità competente dello Stato membro d'origine dell'entità, ad esempio l'AMF in Francia, la BaFin in Germania, la CNMV in Spagna, la CONSOB in Italia, la Central Bank of Ireland o la MFSA a Malta. Il registro indica l'autorità per ogni voce, e l'ESMA pubblica l'elenco delle autorità designate. Considera il regolatore citato nel marketing come un'affermazione da verificare: un'autorità di un paese extra-UE non può concedere l'autorizzazione MiCA.

Passaggio 3 — Controlla il registro ufficiale

L'ESMA pubblica il registro provvisorio MiCA come file scaricabili nella sua pagina MiCA: cinque file CSV che riguardano white paper, emittenti di token collegati ad attività, emittenti di token di moneta elettronica, prestatori di servizi per le cripto-attività ed entità non conformi. Per una piattaforma, usa il file dei prestatori di servizi per le cripto-attività.

1. Apri la pagina MiCA dell'ESMA e trova la sezione «Interim MiCA Register».
2. Scarica il file dei prestatori di servizi per le cripto-attività e aprilo in un foglio di calcolo.
3. Cerca la denominazione legale, il Legal Entity Identifier (LEI) o il dominio del sito web, non solo il marchio. Il nome commerciale si trova in una colonna separata.
4. Leggi l'intera riga: autorità competente, Stato membro d'origine, denominazione legale, LEI, indirizzo, sito web, data di autorizzazione, data di revoca, servizi e Stati membri in cui l'impresa intende operare.
5. Verifica che sia presente una data di autorizzazione e che la data di revoca sia vuota.
6. Ripeti la ricerca nell'elenco del regolatore nazionale, che può essere più aggiornato.

L'ESMA aggiorna il registro ogni settimana sulla base di quanto comunicano le autorità nazionali, quindi un'autorizzazione molto recente potrebbe non comparire subito, e un'autorizzazione revocata resta nel file con la data di cessazione. Raggiungi i file tramite la pagina dell'ESMA, perché li definisce provvisori. Un white paper presente nel registro non è un'approvazione del token.

Se una riga non ha una data di autorizzazione, leggi il campo dei commenti e la pagina del regolatore: l'entità potrebbe essere una banca o un'altra impresa vigilata che segue la via della notifica ai sensi dell'articolo 60. Se non trovi alcuna riga, chiedi al prestatore la sua entità giuridica, il LEI e il riferimento del regolatore, controlla l'elenco del regolatore e non effettuare depositi finché qualcosa non corrisponde.

Passaggio 4 — Controlla i servizi coperti

Il registro riporta ogni servizio come una lettera, che rispecchia i dieci servizi della definizione di MiCA.

Una voce che riporta solo la consulenza non offre alcuna base per la custodia dei tuoi asset. Verifica che il tuo paese compaia tra gli Stati membri elencati.

Passaggio 5 — Confronta dominio ed entità giuridica

Una voce autentica può comunque essere «presa in prestito» da un sito clone. Confronta carattere per carattere il sito web indicato nel registro con l'indirizzo che usi, e verifica che la denominazione legale nei Termini, l'indirizzo e il LEI corrispondano al registro e che lo sviluppatore nell'app store sia la stessa società. La ricerca pubblica GLEIF mostra la denominazione e l'indirizzo registrati dietro un LEI.

Controlla anche il tipo di entità. Una società extra-UE non può offrire servizi MiCA a clienti dell'UE, salvo il caso ristretto in cui un cliente la contatti interamente di propria iniziativa (reverse solicitation, ossia iniziativa esclusiva del cliente), e l'ESMA considera la promozione rivolta a clienti dell'UE come sollecitazione.

Passaggio 6 — Controlla avvisi e restrizioni

Consulta il file delle entità non conformi, che indica le entità che le autorità hanno individuato come prestatrici di servizi per le cripto-attività in violazione delle norme sull'autorizzazione, poi leggi la sezione degli avvisi del regolatore del paese d'origine e di quello del tuo paese. Un risultato pulito significa soltanto che finora non è stata sollevata alcuna segnalazione.

Segnali d'allarme: affermazioni da verificare

Un esempio pratico (fittizio)

Immagina un'app chiamata Tidewell. Il suo sito dice «con licenza MiCA» e mostra un numero di licenza ma nessuna ragione sociale. I Termini dicono che i servizi nell'UE provengono da Tidewell Digital Services SIA, una società lettone. Il Passaggio 3 non trova alcuna voce per essa, solo Tidewell Capital Ltd, una società diversa autorizzata soltanto per la consulenza. Il marchio è condiviso, ma le entità no, quindi la società che ti serve non risulta autorizzata. La mossa successiva è chiedere per iscritto il riferimento del regolatore e il LEI dell'entità che detiene gli asset dei clienti, e non depositare finché la risposta non corrisponde a una voce. (Tidewell è un nome inventato a scopo illustrativo.)

Una piattaforma può operare mentre la sua domanda di autorizzazione MiCA è in corso?

No. La posizione dell'ESMA è che, dopo il 1° luglio 2026, chiunque offra servizi per le cripto-attività a clienti dell'UE senza un'autorizzazione MiCA deve cessare, e l'ESMA si aspettava che i prestatori non autorizzati avessero completato entro quella data una chiusura ordinata dell'attività (wind-down). Una domanda «in corso» non è un'autorizzazione. Una banca che segue la via della notifica ai sensi dell'articolo 60 è un caso diverso, e un'impresa extra-UE può servire solo un cliente che l'abbia contattata di propria iniziativa. Chiedi di vedere la voce nel registro e, finché non esiste, tratta il prestatore come non autorizzato per i nuovi depositi.

L'autorizzazione MiCA garantisce che i fondi non possano andare persi?

No. L'autorizzazione dimostra che un'entità indicata è soggetta ai requisiti organizzativi, di custodia e di condotta di MiCA e alla vigilanza. Non assicura contro i cali di prezzo, le truffe che sfruttano le tue credenziali, le interruzioni di servizio o il fallimento di un'impresa. L'avvertimento dell'ESMA è formulato al contrario: i clienti di prestatori non autorizzati non dispongono delle tutele MiCA, compresa la protezione degli asset dei clienti. Considera l'autorizzazione come un filtro minimo, poi valuta la piattaforma in base a commissioni, modalità di custodia e gestione dei reclami. Per un quadro più completo, vedi che cosa MiCA protegge e che cosa no.

Checklist di verifica

Copia questo elenco e compilalo prima di depositare fondi.

• Denominazione legale esatta della società che mi serve: ______
• Sede legale e numero societario: ______
• Regolatore indicato nel contratto: ______
• LEI, confermato con una ricerca LEI pubblica: ______
• Voce trovata nel file dei prestatori di servizi per le cripto-attività dell'ESMA o nell'elenco del regolatore
• Data di autorizzazione presente, data di revoca vuota, miei servizi e mio paese elencati
• Il sito web nel registro corrisponde all'indirizzo che uso
• Nessuna corrispondenza nel file delle entità non conformi né negli avvisi del regolatore

Applicare la checklist a Quppy

Il sito di Quppy afferma che l'app è gestita da QUPPY EUROPE OÜ e che i servizi europei per le cripto-attività sono forniti da Payhound Limited, un CASP con sede a Malta autorizzato dalla MFSA. È la separazione tra marchio ed entità regolamentata che il Passaggio 1 chiede di individuare, e anche l'elenco pubblico dei CASP autorizzati dell'AMF contiene una voce per Payhound Limited. Esegui tu stesso i Passaggi da 3 a 5 su quel nome, usando la pagina di Quppy su MiCA e i fornitori come documento di confronto. Per ciò che un prestatore autorizzato comunica poi alle autorità fiscali, vedi le regole di comunicazione DAC8.

Domande frequenti

Il registro dell'ESMA è l'unico posto in cui verificare?

No. L'ESMA compila il registro a partire dalle informazioni comunicate dalle autorità competenti nazionali e lo aggiorna ogni settimana, quindi l'elenco del regolatore nazionale può essere più aggiornato. Usa entrambi: l'ESMA per il quadro transfrontaliero e il regolatore dello Stato membro d'origine del prestatore per lo stato più recente, le revoche e gli avvisi.

Che cos'è un LEI e perché è utile?

Il Legal Entity Identifier è un codice di 20 caratteri che identifica un'impresa a livello mondiale. Il registro MiCA lo riporta per ogni prestatore, così puoi associare un contratto o un sito web a una voce anche quando marchi o grafie differiscono. Una ricerca LEI pubblica mostra la denominazione e l'indirizzo registrati associati al codice.

Il mio prestatore è una banca. Comparirà nel registro?

Dipende. Una banca può comparire, ma non come CASP convenzionale: gli enti creditizi e alcune altre imprese vigilate possono offrire servizi equivalenti per le cripto-attività dopo aver notificato il proprio regolatore ai sensi dell'articolo 60. Le loro voci nel registro possono avere un aspetto diverso, ad esempio senza data di autorizzazione, quindi controlla il campo dei commenti e la pagina del regolatore.

Che cosa devo fare se il mio prestatore non è autorizzato?

L'ESMA consiglia di agire con tempestività: trasferisci le tue cripto-attività a un prestatore autorizzato o a un wallet self-hosted, oppure valuta di chiudere le posizioni, perché restare con un prestatore non autorizzato può significare minore tutela giuridica e un maggiore rischio di perdere l'accesso. Verifica il prestatore di destinazione con gli stessi passaggi prima di spostare qualsiasi cosa. Se stai scegliendo un nuovo prestatore tramite cui acquistare, vedi come acquistare crypto legalmente in Europa dopo MiCA.

Informazioni generali sulle norme dell'UE, non una consulenza legale né una raccomandazione di alcun prestatore.

Fonti e approfondimenti

• ESMA, Statement on the end of transitional periods under MiCA (dichiarazione sulla fine dei periodi transitori ai sensi di MiCA, 17 aprile 2026)
• ESMA, Markets in Crypto-Assets Regulation (MiCA) page and interim MiCA register (pagina MiCA e registro provvisorio MiCA), comprese le descrizioni dei campi del registro
• Central Bank of Ireland, summary of ESMA's public statement of 23 June 2026 on unauthorised CASPs (sintesi della dichiarazione pubblica dell'ESMA del 23 giugno 2026 sui CASP non autorizzati)
• EUR-Lex, Regolamento (UE) 2023/1114 (MiCA)
• ESMA, Guidelines on reverse solicitation under MiCA (orientamenti sulla reverse solicitation ai sensi di MiCA)
• Finansinspektionen (Svezia), Authorisation and notification for crypto-asset services (autorizzazione e notifica per i servizi per le cripto-attività)
• AMF (Francia), list entry for Payhound Limited (voce dell'elenco per Payhound Limited)