Jak sprawdzić, czy platforma kryptowalutowa ma zezwolenie MiCA

Platforma kryptowalutowa ma zezwolenie na podstawie rozporządzenia w sprawie rynków kryptoaktywów (MiCA) tylko wtedy, gdy w oficjalnym rejestrze widnieje konkretny podmiot prawny wraz z usługami, które może świadczyć, i datą udzielenia zezwolenia. Ustal więc, która spółka faktycznie cię obsługuje, znajdź jej organ nadzoru i wyszukaj ten podmiot w rejestrze ESMA albo na liście samego organu. Nazwa w sklepie z aplikacjami lub numer licencji w stopce strony niczego same w sobie nie dowodzą.

W skrócie

• Od końca unijnego okresu przejściowego, czyli od 1 lipca 2026 r., firma potrzebuje zezwolenia MiCA (lub, w przypadku niektórych podmiotów już nadzorowanych, zgłoszenia), aby oferować usługi w zakresie kryptoaktywów klientom z UE.
• Zezwolenie należy do podmiotu prawnego, a nie do marki, za którą może stać kilka spółek.
• Tymczasowy rejestr MiCA prowadzony przez ESMA i listy krajowe podają nazwę prawną, identyfikator LEI, państwo siedziby, datę udzielenia zezwolenia i dozwolone usługi.
• Porównaj wymienione usługi z tym, co chcesz robić. Zezwolenie na przechowywanie nie oznacza zezwolenia na wszystko.
• Zezwolenie to status nadzorczy. Nie usuwa ryzyka cenowego, oszustw wymierzonych w użytkowników ani awarii operacyjnych.

Co właściwie oznacza „zezwolenie MiCA”?

Dostawca usług w zakresie kryptoaktywów (CASP) ma zezwolenie MiCA, gdy właściwy organ państwa członkowskiego UE udzielił mu na podstawie rozporządzenia (UE) 2023/1114 zezwolenia na świadczenie określonych usług w zakresie kryptoaktywów. Status ten należy do danego podmiotu prawnego, obejmuje tylko usługi wpisane do jego rekordu i rozciąga się na inne państwa członkowskie w drodze notyfikacji.

MiCA definiuje dziesięć usług w zakresie kryptoaktywów, w tym przechowywanie, wymianę kryptoaktywów na środki pieniężne, wykonywanie zleceń i usługi transferowe (wymienione w kroku 4). Firma, która je oferuje, potrzebuje zezwolenia na podstawie art. 59, a dostawca z zezwoleniem musi mieć siedzibę statutową w państwie członkowskim. Banki, firmy inwestycyjne, instytucje pieniądza elektronicznego i kilka innych podmiotów już objętych nadzorem mogą zamiast tego zgłosić się do swojego organu nadzoru co najmniej 40 dni roboczych przed rozpoczęciem równoważnych usług (art. 60), więc podmiot działający zgodnie z prawem nie musi być „CASP” w wąskim znaczeniu.

Zezwolenie MiCA a krajowy wpis do rejestru VASP

Przed MiCA każdy kraj miał własny reżim, zwykle rejestrację jako dostawca usług w zakresie aktywów wirtualnych (VASP), a ESMA zauważyła, że ta mozaika prowadziła do nierównej ochrony konsumentów. Firmy działające zgodnie z prawem krajowym w dniu 30 grudnia 2024 r. mogły kontynuować działalność do 1 lipca 2026 r. albo do momentu udzielenia lub odmowy zezwolenia MiCA na ich wniosek, zależnie od tego, co nastąpiło wcześniej (art. 143 ust. 3). To okno już się zamknęło.

Krajowy wpis sprzed MiCA dokumentuje historię, a nie obecny status. Zgodnie z oświadczeniem ESMA z 17 kwietnia 2026 r. każdy podmiot, który po 1 lipca 2026 r. świadczy klientom z UE usługi w zakresie kryptoaktywów bez zezwolenia MiCA, narusza prawo UE i musi zaprzestać działalności.

Krok 1 — Ustal podmiot prawny stojący za aplikacją

Marki, aplikacje i strony internetowe to warstwy marketingowe. Stroną, która ma wobec ciebie zobowiązania, jest spółka wskazana w dokumentach zaakceptowanych podczas rejestracji. Szukaj we wstępnych akapitach regulaminu („usługi świadczy…”), w polityce prywatności (która wskazuje administratora danych), w nocie prawnej lub informacji o wydawcy, w drobnym druku w stopce oraz w e-mailach powitalnych.

Zapisz dokładną nazwę prawną wraz z formą (GmbH, SAS, OÜ, Ltd), adres siedziby, numer rejestrowy spółki i wskazany organ nadzoru. Jeśli pojawia się kilka spółek, ustal, która świadczy usługę, z której korzystasz: przechowywanie, wymiana i transfery mogą być w różnych podmiotach, jak w przypadku IBAN-u crypto-friendly. Wytyczne ESMA dla konsumentów podkreślają to samo, ponieważ ochrona wynikająca z MiCA obejmuje tylko konkretny podmiot z UE, który ma zezwolenie, a nie inne spółki z grupy. Jeśli dokumenty są niejasne, zapytaj pisemnie obsługę klienta; wymijająca odpowiedź to też informacja.

Krok 2 — Ustal organ nadzoru

Zezwolenie wydaje organ właściwy państwa członkowskiego siedziby podmiotu, na przykład AMF we Francji, BaFin w Niemczech, CNMV w Hiszpanii, CONSOB we Włoszech, Bank Centralny Irlandii albo MFSA na Malcie. Rejestr wskazuje organ przy każdym wpisie, a ESMA publikuje listę wyznaczonych organów. Organ podany w materiałach marketingowych traktuj jak twierdzenie do sprawdzenia: organ spoza UE nie może udzielić zezwolenia MiCA.

Krok 3 — Sprawdź oficjalny rejestr

ESMA publikuje tymczasowy rejestr MiCA w postaci plików do pobrania na swojej stronie poświęconej MiCA: pięć plików CSV obejmujących białe księgi, emitentów tokenów powiązanych z aktywami, emitentów tokenów e-pieniądza, dostawców usług w zakresie kryptoaktywów i podmioty niezgodne z przepisami. W przypadku platformy użyj pliku z dostawcami usług w zakresie kryptoaktywów.

1. Otwórz stronę ESMA poświęconą MiCA i znajdź sekcję „Interim MiCA Register”.
2. Pobierz plik z dostawcami usług w zakresie kryptoaktywów i otwórz go w arkuszu kalkulacyjnym.
3. Szukaj po nazwie prawnej, identyfikatorze podmiotu prawnego (LEI) lub domenie strony, a nie tylko po marce. Nazwa handlowa znajduje się w osobnej kolumnie.
4. Przeczytaj cały wiersz: organ właściwy, państwo członkowskie siedziby, nazwa prawna, LEI, adres, strona internetowa, data udzielenia zezwolenia, data cofnięcia, usługi oraz państwa członkowskie, w których firma zamierza działać.
5. Upewnij się, że jest data udzielenia zezwolenia, a data cofnięcia jest pusta.
6. Powtórz wyszukiwanie na liście krajowego organu nadzoru, która może być bardziej aktualna.

ESMA odświeża rejestr co tydzień na podstawie danych przekazywanych przez organy krajowe, więc całkiem świeże zezwolenie może nie pojawić się od razu, a cofnięte zezwolenie pozostaje w pliku z datą zakończenia. Do plików wchodź przez stronę ESMA, ponieważ sama nazywa je tymczasowymi. Biała księga wymieniona w rejestrze nie jest zatwierdzeniem tokena.

Jeśli wiersz nie ma daty udzielenia zezwolenia, przeczytaj pole komentarzy i stronę organu nadzoru: podmiot może być bankiem lub inną nadzorowaną firmą korzystającą z trybu zgłoszenia z art. 60. Jeśli nie znajdziesz żadnego wiersza, poproś dostawcę o podanie podmiotu prawnego, LEI i numeru referencyjnego w organie nadzoru, sprawdź listę organu i wstrzymaj się z wpłatą, dopóki coś się nie zgodzi.

Krok 4 — Sprawdź zakres usług

Rejestr oznacza każdą usługę literą, odzwierciedlając dziesięć usług z definicji MiCA.

Wpis obejmujący wyłącznie doradztwo nie daje podstaw do przechowywania twoich aktywów. Sprawdź, czy twój kraj znajduje się wśród wymienionych państw członkowskich.

Krok 5 — Dopasuj domenę i podmiot prawny

Prawdziwy wpis może zostać pożyczony przez stronę podszywającą się pod firmę. Porównaj stronę internetową z rejestru z adresem, z którego korzystasz, znak po znaku, i potwierdź, że nazwa prawna w regulaminie, adres i LEI zgadzają się z rejestrem, a wydawca w sklepie z aplikacjami to ta sama spółka. Publiczna wyszukiwarka GLEIF pokazuje zarejestrowaną nazwę i adres przypisane do danego LEI.

Sprawdź także typ podmiotu. Firma spoza UE nie może oferować usług MiCA klientom z UE, z wyjątkiem wąskiego przypadku, gdy klient zwraca się do niej wyłącznie z własnej inicjatywy (reverse solicitation), a ESMA traktuje promocję skierowaną do klientów z UE jako pozyskiwanie klientów.

Krok 6 — Sprawdź ostrzeżenia i ograniczenia

Zajrzyj do pliku z podmiotami niezgodnymi z przepisami, który wskazuje podmioty uznane przez organy za świadczące usługi w zakresie kryptoaktywów z naruszeniem zasad udzielania zezwoleń, a następnie przeczytaj sekcję ostrzeżeń organu państwa siedziby i organu twojego kraju. Czysty wynik oznacza tylko tyle, że nie zgłoszono jeszcze żadnego sygnału.

Sygnały ostrzegawcze: twierdzenia, które trzeba sprawdzić

Przykład krok po kroku (fikcyjny)

Wyobraź sobie aplikację o nazwie Tidewell. Jej strona głosi „MiCA licensed” i podaje numer licencji, ale nie podaje nazwy spółki. Z regulaminu wynika, że usługi w UE świadczy Tidewell Digital Services SIA, spółka łotewska. Krok 3 nie znajduje dla niej żadnego wpisu, tylko dla Tidewell Capital Ltd, innej spółki, która ma zezwolenie wyłącznie na doradztwo. Marka jest wspólna, ale podmioty nie, więc spółka, która cię obsługuje, nie wykazuje zezwolenia. Następny krok to pisemne zapytanie o numer referencyjny w organie nadzoru i LEI podmiotu, który przechowuje aktywa klientów, oraz brak wpłat, dopóki odpowiedź nie zgodzi się z jakimś wpisem. (Tidewell jest wymyślona na potrzeby przykładu.)

Czy platforma może działać, gdy jej wniosek o zezwolenie MiCA jest rozpatrywany?

Nie. Stanowisko ESMA jest takie, że po 1 lipca 2026 r. każdy, kto oferuje klientom z UE usługi w zakresie kryptoaktywów bez zezwolenia MiCA, musi zaprzestać działalności, a ESMA oczekiwała, że nieposiadający zezwolenia dostawcy zakończą do tego czasu uporządkowane wygaszanie działalności. Wniosek „w toku” nie jest zezwoleniem. Bank korzystający z trybu zgłoszenia z art. 60 to inny przypadek, a firma spoza UE może obsługiwać tylko klienta, który zwrócił się do niej bez zachęty. Poproś o pokazanie wpisu w rejestrze, a dopóki go nie ma, traktuj dostawcę jak podmiot bez zezwolenia w odniesieniu do nowych wpłat.

Czy zezwolenie MiCA gwarantuje, że środków nie da się stracić?

Nie. Zezwolenie pokazuje, że wskazany podmiot podlega wymogom MiCA dotyczącym organizacji, przechowywania aktywów i postępowania oraz nadzorowi. Nie ubezpiecza od spadków cen, oszustw wykorzystujących twoje własne dane logowania, awarii ani upadku przedsiębiorstwa. Ostrzeżenie ESMA jest sformułowane odwrotnie: klienci dostawców bez zezwolenia nie mają zabezpieczeń MiCA, w tym ochrony aktywów klientów. Traktuj zezwolenie jako minimalny filtr, a potem oceniaj platformę pod kątem opłat, sposobu przechowywania aktywów i obsługi reklamacji. Pełniejsze omówienie znajdziesz w tekście o tym, co MiCA chroni, a czego nie.

Lista kontrolna weryfikacji

Skopiuj tę listę i wypełnij ją, zanim wpłacisz środki.

• Dokładna nazwa prawna spółki, która mnie obsługuje: ______
• Adres siedziby i numer rejestrowy spółki: ______
• Organ nadzoru wskazany w umowie: ______
• LEI, potwierdzony w publicznej wyszukiwarce LEI: ______
• Wpis znaleziony w pliku ESMA z dostawcami usług w zakresie kryptoaktywów lub na liście organu nadzoru
• Data udzielenia zezwolenia jest podana, data cofnięcia jest pusta, moje usługi i mój kraj są wymienione
• Strona internetowa z rejestru zgadza się z adresem, z którego korzystam
• Brak dopasowania w pliku z podmiotami niezgodnymi z przepisami ani w ostrzeżeniach organu nadzoru

Zastosowanie listy kontrolnej do Quppy

Strona internetowa Quppy podaje, że aplikację prowadzi QUPPY EUROPE OÜ, a usługi w zakresie kryptoaktywów w Europie świadczy Payhound Limited, maltański CASP z zezwoleniem MFSA. To właśnie rozdzielenie marki i podmiotu regulowanego, które masz znaleźć w kroku 1, a publiczna lista CASP z zezwoleniem prowadzona przez AMF również zawiera wpis dla Payhound Limited. Zastosuj kroki 3–5 do tej nazwy samodzielnie, korzystając ze strony Quppy o MiCA i dostawcach jako dokumentu do porównania. O tym, co dostawca z zezwoleniem raportuje następnie organom podatkowym, przeczytasz w zasadach raportowania DAC8.

Najczęstsze pytania

Czy rejestr ESMA to jedyne miejsce do sprawdzenia?

Nie. ESMA tworzy rejestr na podstawie informacji przekazywanych przez krajowe organy właściwe i odświeża go co tydzień, więc lista krajowego organu nadzoru może być bardziej aktualna. Korzystaj z obu: ESMA dla obrazu transgranicznego, a organu państwa siedziby dostawcy dla najnowszego statusu, cofnięć i ostrzeżeń.

Czym jest LEI i dlaczego pomaga?

Identyfikator podmiotu prawnego (Legal Entity Identifier, LEI) to 20-znakowy kod identyfikujący spółkę na całym świecie. Rejestr MiCA zapisuje go dla każdego dostawcy, dzięki czemu możesz dopasować umowę lub stronę internetową do wpisu nawet wtedy, gdy marki lub pisownia się różnią. Publiczna wyszukiwarka LEI pokazuje zarejestrowaną nazwę i adres przypisane do kodu.

Mój dostawca to bank. Czy znajdę go w rejestrze?

To zależy. Bank może się w nim znaleźć, ale nie jako typowy CASP: instytucje kredytowe i niektóre inne nadzorowane firmy mogą oferować równoważne usługi w zakresie kryptoaktywów po zgłoszeniu się do swojego organu nadzoru na podstawie art. 60. Ich wpisy w rejestrze mogą wyglądać inaczej, na przykład bez daty udzielenia zezwolenia, więc sprawdź pole komentarzy i stronę samego organu.

Co zrobić, jeśli mój dostawca nie ma zezwolenia?

ESMA radzi działać szybko: przenieś swoje kryptoaktywa do dostawcy z zezwoleniem albo do portfela samodzielnie zarządzanego (self-hosted), albo rozważ zamknięcie pozycji, ponieważ pozostanie u dostawcy bez zezwolenia może oznaczać mniejszą ochronę prawną i większe ryzyko utraty dostępu. Zanim cokolwiek przeniesiesz, sprawdź dostawcę docelowego według tych samych kroków. Jeśli wybierasz nowego dostawcę do zakupów, zobacz jak legalnie kupować krypto w Europie po MiCA.

Ogólne informacje o przepisach UE; nie stanowią porady prawnej ani rekomendacji żadnego dostawcy.

Źródła i dalsza lektura

• ESMA, Statement on the end of transitional periods under MiCA (oświadczenie w sprawie zakończenia okresów przejściowych w MiCA, 17 kwietnia 2026 r.)
• ESMA, Markets in Crypto-Assets Regulation (MiCA) page and interim MiCA register (strona o MiCA i tymczasowy rejestr MiCA), w tym opisy pól rejestru
• Bank Centralny Irlandii, summary of ESMA's public statement of 23 June 2026 on unauthorised CASPs (podsumowanie publicznego oświadczenia ESMA z 23 czerwca 2026 r. w sprawie CASP bez zezwolenia)
• EUR-Lex, Rozporządzenie (UE) 2023/1114 (MiCA)
• ESMA, Guidelines on reverse solicitation under MiCA (wytyczne dotyczące reverse solicitation w MiCA)
• Finansinspektionen (Szwecja), Authorisation and notification for crypto-asset services (zezwolenie i zgłoszenie usług w zakresie kryptoaktywów)
• AMF (Francja), list entry for Payhound Limited (wpis na liście dotyczący Payhound Limited)