Ci occupiamo della tua licenza CASP —l’autorizzazione come prestatore di servizi per le cripto-attività ai sensi del Regolamento MiCA— presso la CNMV: definizione dei servizi, capitale, governance, custodia, cybersicurezza e antiriciclaggio, con passaporto europeo. Il regime transitorio in Spagna è terminato il 30 giugno 2026: dal 1° luglio 2026 possono operare solo i CASP autorizzati (o con passaporto).
Consulenza gratuita
Ti rispondiamo entro 24 ore
La licenza CASP (da Crypto-Asset Service Provider, prestatore di servizi per le cripto-attività) è l’autorizzazione obbligatoria che il Regolamento (UE) 2023/1114 (MiCA) richiede a chi presta professionalmente servizi sulle cripto-attività nell’Unione europea. In Spagna la rilascia e la vigila la Commissione nazionale del mercato dei valori (CNMV).
La regola è semplice: senza autorizzazione CASP non si possono prestare servizi per le cripto-attività nell’UE (salvo eccezioni molto rigorose). E c’è una data che in Spagna ha cambiato tutto: il periodo transitorio è terminato il 30 giugno 2026, quindi dal 1° luglio 2026 possono operare solo i CASP autorizzati dalla CNMV —o autorizzati in un altro Stato membro e con passaporto—. Il vecchio registro dei prestatori (VASP) della Banca di Spagna, valido solo ai fini antiriciclaggio, non abilita più ad operare ai sensi di MiCA.
Sei blocchi che ordinano l’autorizzazione CASP dall’inizio alla fine: dalla diagnosi e dalla classificazione dei servizi alla domanda presso la CNMV, la solvibilità, la governance, l’antiriciclaggio e la cybersicurezza.
Analizziamo il tuo modello di business e determiniamo quali servizi per le cripto-attività presti, se ti serve l’autorizzazione CASP e quale classe prudenziale ti spetta, prima di rivolgerci alla CNMV.
Prepariamo e presentiamo la domanda completa ai sensi di MiCA e dei suoi regolamenti delegati: programma di attività, policy, contratti e tutta la documentazione che la CNMV valuta.
Definiamo il capitale minimo in base alla classe di servizi e le salvaguardie prudenziali (il maggiore tra il capitale richiesto e un quarto delle spese fisse dell’anno precedente).
Dimostriamo l’idoneità (requisiti di onorabilità e professionalità) di amministratori, dirigenti e soci significativi secondo gli orientamenti europei che la CNMV applica ai prestatori di servizi per le cripto-attività.
Progettiamo le policy antiriciclaggio (KYC, monitoraggio, segnalazioni al SEPBLAC) e la Travel Rule, un pilastro imprescindibile della domanda e della vigilanza continua.
Strutturiamo la custodia sicura di chiavi e wallet e la resilienza operativa digitale (DORA): gestione dei rischi ICT, continuità operativa e controllo dei fornitori tecnologici.
MiCA definisce cos’è un «servizio per le cripto-attività» ed elenca dieci attività. Prestare professionalmente una qualsiasi di esse nell’UE richiede la licenza CASP. Il servizio (o i servizi) che presti determina la tua classe prudenziale e, con essa, il capitale minimo.
MiCA raggruppa i servizi in tre classi prudenziali con un capitale minimo crescente. La salvaguardia richiesta è sempre il maggiore tra quel capitale minimo e un quarto delle spese fisse generali dell’esercizio precedente.
Exchange, custodi, fintech che integrano le cripto e prestatori che provenivano dal registro della Banca di Spagna: se presti servizi per le cripto-attività a terzi dalla Spagna, l’autorizzazione CASP è la tua porta d’ingresso (e di continuità).
«Gestire una piattaforma di negoziazione o scambiare cripto-attività con moneta o con altre cripto-attività richiede la licenza CASP; la piattaforma di negoziazione è inoltre il servizio con i requisiti di capitale più elevati.»
«Custodire e amministrare cripto-attività dei clienti è uno dei servizi CASP centrali; la domanda richiede una solida policy di custodia: segregazione, gestione delle chiavi e piano di ripristino.»
«Un ente già autorizzato (banca, istituto di pagamento, istituto di moneta elettronica) può prestare servizi cripto tramite notifica, ma non è automatico: ci sono requisiti e termini da rispettare.»
«Chi era iscritto nel registro della Banca di Spagna ha bisogno dell’autorizzazione CASP della CNMV: dal 1° luglio 2026 il vecchio registro, solo antiriciclaggio, non abilita più a operare.»
Operare senza autorizzazione, continuare a operare dopo la fine del transitorio o presentare una domanda debole sono i rischi che più espongono —e più frenano— un prestatore di servizi per le cripto-attività.
Il periodo transitorio è terminato il 30 giugno 2026. Dal 1° luglio 2026, in Spagna possono operare solo i CASP autorizzati dalla CNMV o con passaporto da un altro Stato membro.
Operare senza autorizzazione è illegale: prestare servizi per le cripto-attività senza licenza CASP espone a sanzioni amministrative e, se del caso, penali ai sensi della normativa nazionale.
Il registro VASP non basta più: la vecchia iscrizione presso la Banca di Spagna (solo ai fini antiriciclaggio) non abilita a operare ai sensi di MiCA; sono due cose diverse.
A seconda dei servizi, il capitale minimo va da 50.000 € a 150.000 €, e la salvaguardia richiesta è il maggiore tra tale importo e un quarto delle spese fisse dell’anno precedente.
Domanda impegnativa: idoneità di amministratori e soci, policy di custodia, gestione dei rischi, AML/KYC e resilienza operativa digitale (DORA). Esternalizzare non elimina la responsabilità.
EMT e servizi di pagamento: chi trasferisce o custodisce token di moneta elettronica che costituiscono servizi di pagamento deve inoltre adeguarsi alla PSD2 o appoggiarsi a un ente autorizzato (no-action letter dell’EBA).
Una domanda solida richiede mesi di preparazione e, dalla fine del transitorio, senza autorizzazione non si può operare. Prima facciamo la diagnosi e classifichiamo i tuoi servizi, meglio potremo pianificare capitale, custodia e il resto della domanda presso la CNMV.
Dopo la presentazione della domanda, la CNMV ha un termine per verificare che il fascicolo sia completo e un altro per valutarlo, che può essere sospeso se chiede informazioni. In pratica, una domanda ben costruita richiede alcuni mesi.
La domanda di autorizzazione non è un modulo: è un pacchetto di informazioni molto preciso. Ecco cosa conviene avere pronto e, soprattutto, poter dimostrare con evidenze.
| Documento o policy | Cosa deve dimostrare (e documentare) |
|---|---|
| Programma di attività | I servizi esatti che presti, dove vengono prestati e come vengono commercializzati. |
| Capitale e salvaguardie | Coerenza con la tua classe di servizi e con le spese fisse generali. |
| Governance societaria | Organigramma, responsabilità e un organo di gestione idoneo. |
| Soci e partecipazioni qualificate | Struttura, onorabilità e documentazione di supporto. |
| Controllo interno e gestione dei rischi | Rischio operativo, antiriciclaggio e continuità operativa. |
| ICT e sicurezza | Architettura e controlli con evidenze: accessi, log, incidenti e backup. |
| Custodia e segregazione | Separazione reale delle attività e dei fondi dei clienti, con meccanismo operativo. |
| Reclami | Procedura, termini e canale di assistenza ai clienti. |
| Policy per servizio | Custodia, policy di esecuzione, metodologia di prezzo dell’exchange, ecc. |
Ciò che il supervisore guarda di più: la coerenza tra ciò che vendi (marketing ed esperienza utente), ciò che fai (operatività reale) e ciò che documenti (policy, ICT e controlli). Se c’è divergenza, la domanda si blocca.
«Evidenze» è la parola chiave: la licenza non si regge su testi generici, ma su registri, controlli realmente implementati e tracciabilità —cosa è stato fatto, chi lo ha approvato e con quale criterio—.
Attenzione al «ritocco del modello»: cambiare le diciture sul sito («offriamo solo tecnologia», «non custodiamo») non serve se in pratica controlli le chiavi, muovi attività o decidi come si esegue un ordine. L’autorizzazione si valuta sulla realtà operativa.
Oltre ai termini legali della CNMV, il lavoro di preparazione si pianifica per fasi. Arrivare «all’ultimo momento» di solito fallisce per mancanza di evidenze e per le iterazioni (richieste di informazioni, chiarimenti, modifiche).
Suggerimento: ordina il materiale in un’unica cartella (01 Ambito e flussi · 02 Governance · 03 Rischi e controlli · 04 ICT e sicurezza · 05 Policy per servizio · 06 Evidenze). Con il materiale in ordine, rispondere alle richieste di informazioni della CNMV è molto più rapido.
Perché la domanda sia difendibile bisogna trasformare «ciò che facciamo» in un programma di attività chiaro e in una matrice che colleghi rischi → controlli → evidenze. Questi sono i due modelli di partenza.
| Servizio CASP | Descrizione operativa | Sistemi / ICT | Outsourcing |
|---|---|---|---|
| Custodia | Come si gestiscono wallet, chiavi, approvazioni e ripristino. | Infrastruttura dei wallet, gestione delle chiavi, accessi e monitoraggio. | Fornitore di custodia o HSM (se applicabile). |
| Scambio cripto-fiat | Modello di prezzo, esecuzione, regolamento e commissioni. | Motore di matching e prezzi, monitoraggio. | Fornitore di liquidità (se applicabile). |
| Rischio | Controllo | Frequenza | Evidenza |
|---|---|---|---|
| Perdita di attività per accesso indebito | Doppio fattore, ruoli minimi e revisione dei permessi. | Mensile | Log degli accessi e verbale di revisione. |
| Commistione tra fondi del cliente e della società | Segregazione per wallet o conti e riconciliazione. | Giornaliera | Report di riconciliazione, alert e chiusure. |
Modelli indicativi, a scopo divulgativo. L’ordine consigliato è: prima definire l’ambito CASP e i flussi, poi redigere le policy e, infine, generare le evidenze (controlli eseguiti). Farlo al contrario —policy generiche senza un flusso reale— di solito costa caro.
Non tutti arrivano a MiCA per la stessa strada. Ecco il confronto per non confondere la licenza CASP con la notifica degli enti già autorizzati né con il vecchio registro della Banca di Spagna.
Rispetto alle altre vie, l’autorizzazione CASP della CNMV è quella che abilita a pieno titolo a prestare servizi per le cripto-attività ai sensi di MiCA e a ottenere il passaporto nell’UE.
Prima di tutto facciamo una diagnosi MiCA per capire se ti serve l’autorizzazione completa o se ti basta la notifica, e classifichiamo i tuoi servizi per fissare capitale e domanda.
| Percorso | Per chi | Cosa richiede | Risultato |
|---|---|---|---|
| Autorizzazione CASP (CNMV) | Imprese cripto e nuovi operatori | Domanda completa MiCA: capitale, custodia, governance, AML e ICT | Licenza CASP + passaporto UE |
| Notifica semplificata | Enti già autorizzati (banche, ESI, IMEL) | Notifica preventiva con le informazioni richieste | Abilitazione per i servizi cripto previsti |
| Registro VASP (Banca di Spagna) | Prestatori pre-MiCA, solo ai fini antiriciclaggio | Iscrizione AML (chiusa a nuove iscrizioni) | Non abilita ai sensi di MiCA dal 1° luglio 2026 |
Quadro indicativo, a scopo divulgativo. Il regime deriva dal Regolamento (UE) 2023/1114 (MiCA) e dalla relativa normativa di attuazione; requisiti, importi e termini possono variare e conviene verificarli caso per caso con una consulenza legale. Questa pagina ha carattere informativo e non costituisce consulenza.
È l’autorizzazione che il Regolamento MiCA richiede a qualsiasi persona fisica o giuridica che presti professionalmente servizi per le cripto-attività nell’UE. CASP sta per Crypto-Asset Service Provider (prestatore di servizi per le cripto-attività). In Spagna la rilascia e la vigila la CNMV.
La CNMV è l’autorità competente per autorizzare e vigilare i CASP. La Banca di Spagna è competente per gli emittenti di stablecoin (token collegati ad attività e token di moneta elettronica), e il SEPBLAC è il supervisore in materia di antiriciclaggio.
In Spagna il periodo transitorio, esteso a 18 mesi, è terminato il 30 giugno 2026. Dal 1° luglio 2026 MiCA si applica pienamente e possono operare solo i CASP autorizzati dalla CNMV o autorizzati in un altro Stato membro e con passaporto.
No. Il vecchio registro dei prestatori (VASP) della Banca di Spagna valeva solo ai fini antiriciclaggio e non accetta più nuove iscrizioni. Non abilita a prestare servizi ai sensi di MiCA; la licenza CASP è un’autorizzazione all’attività diversa, rilasciata dalla CNMV.
I dieci servizi per le cripto-attività di MiCA: custodia e amministrazione, gestione di una piattaforma di negoziazione, scambio con moneta, scambio con altre cripto-attività, esecuzione di ordini, collocamento, ricezione e trasmissione di ordini, consulenza, gestione di portafogli e trasferimenti.
Dipende dai servizi: 50.000 € (classe 1), 125.000 € (classe 2, che aggiunge custodia e scambi) o 150.000 € (classe 3, che aggiunge la piattaforma di negoziazione). La salvaguardia richiesta è il maggiore tra quel capitale minimo e un quarto delle spese fisse generali dell’anno precedente.
La CNMV ha 25 giorni lavorativi per verificare che il fascicolo sia completo e 40 giorni lavorativi per valutarlo, termine che può essere sospeso mentre chiede informazioni. In pratica, preparare e istruire una domanda solida richiede di solito diversi mesi.
Sì. MiCA prevede un passaporto europeo: una sola autorizzazione CASP consente di prestare servizi in tutto lo Spazio economico europeo mediante notifica, senza bisogno di una nuova autorizzazione in ogni Paese.
Non sempre. Alcuni enti già regolamentati (enti creditizi, imprese di investimento, istituti di moneta elettronica, ecc.) possono prestare determinati servizi per le cripto-attività tramite notifica preventiva, anziché con un’autorizzazione completa. Non è automatico: ci sono requisiti e termini.
L’eccezione dell’iniziativa esclusiva del cliente (reverse solicitation) è molto stretta: non consente di acquisire clienti nell’UE né di trasformare la pubblicità o il marketing mirato in un’eccezione. Se c’è un’attività rivolta al mercato europeo, normalmente serve l’autorizzazione.
Il CASP presta servizi sulle cripto-attività (custodia, scambio, esecuzione…) ed è vigilato dalla CNMV. L’emittente di token collegati ad attività (ART) o di moneta elettronica (EMT) crea la cripto-attività ed è disciplinato dai Titoli III e IV di MiCA, sotto la competenza della Banca di Spagna.
In certi casi sì. Chi trasferisce o custodisce token di moneta elettronica che costituiscono servizi di pagamento deve, oltre alla licenza CASP, adeguarsi alla PSD2 o appoggiarsi a un istituto di pagamento autorizzato, in base alla no-action letter dell’EBA (con scadenza al 1° marzo 2026).
La tua classe prudenziale è la più alta tra i servizi che presti. Ad esempio, se custodisci (classe 2) e gestisci anche una piattaforma di negoziazione (classe 3), si applica il capitale della classe 3.
No. Esternalizzare funzioni o tecnologia non elimina la responsabilità: la CNMV richiede controllo, governance, sicurezza e supervisione dei fornitori, compresa la resilienza operativa digitale ai sensi di DORA.
Una solida policy di custodia: segregazione delle cripto-attività dei clienti, gestione sicura delle chiavi (cold/hot wallet, multifirma o MPC), procedure di generazione delle chiavi e un piano di ripristino.
Sì: è richiesta una sostanza reale (sede e amministrazione effettiva, mezzi e governance adeguati). La CNMV può svolgere attività di vigilanza e verifica, quindi la struttura non può essere meramente formale.
Una volta autorizzato, il prestatore entra in un registro pubblico dei prestatori di servizi per le cripto-attività, accessibile tramite la CNMV e il registro tenuto dall’ESMA a livello europeo, il che garantisce trasparenza e fiducia al mercato. Raccogliamo questi dati nel nostro elenco dei CASP autorizzati in Spagna.
No. L’autorizzazione è concessa in funzione dei servizi che intendi prestare (custodia, exchange, piattaforma, ecc.). Più il servizio è critico, più requisiti si accumulano: capitale minimo più alto e policy specifiche.
Sì, ma l’ambito iniziale deve essere realistico. Se in seguito amplii i servizi, dovrai gestire l’ampliamento e presentare documentazione aggiuntiva (e passare a una classe di capitale superiore, se del caso), quindi conviene pianificarlo fin dall’inizio.
L’autorizzazione non è il traguardo: inizia la vigilanza continua. Bisogna mantenere le policy aggiornate, inviare informazioni periodiche, sottoporsi ad audit e interloquire con la CNMV a ogni richiesta di informazioni. Una buona domanda facilita quel «quotidiano».
Perché la licenza non si regge su testi generici, ma su registri, controlli realmente implementati e tracciabilità: cosa è stato fatto, chi lo ha approvato e con quale criterio. Le evidenze riducono il rischio operativo e sono la tua migliore difesa in caso di verifica.
Ottenere l’autorizzazione non significa solo compilare un modulo: significa classificare i tuoi servizi, dimensionare capitale e custodia, costruire la governance e l’antiriciclaggio e presentare una domanda coerente alla CNMV. L’ordine conta.
Prima di costituire o richiedere qualsiasi cosa, determina quali servizi per le cripto-attività presti e quale classe prudenziale ti spetta. Da qui derivano il capitale e l’ambito della domanda.
Dimensiona il capitale, progetta la policy di custodia e la resilienza ICT. È la parte che richiede più competenza tecnica e quella che la CNMV guarda di più.
Dal 1° luglio 2026 operano solo i CASP autorizzati o con passaporto. Una domanda richiede mesi: iniziare tardi significa restare fuori.
Vuoi collocare la licenza CASP nel quadro complessivo di MiCA? Guarda il Regolamento MiCA, la transizione da VASP a CASP e la resilienza operativa digitale (DORA).
Ottenere la licenza CASP è una sequenza ordinata (diagnosi, fascicolo, domanda, valutazione e autorizzazione + passaporto) presso la CNMV. Ecco il percorso.
1) DiagnosiAnalizziamo il tuo modello, identifichiamo quali servizi per le cripto-attività presti, se ti serve l’autorizzazione o la notifica e quale classe prudenziale ti spetta.
2) FascicoloProgramma di attività, capitale e salvaguardie, governance e idoneità, custodia, AML/KYC e resilienza ICT (DORA), in conformità ai regolamenti delegati.
3) DomandaPresentiamo la domanda alla CNMV, che ne verifica la completezza in 25 giorni lavorativi e può richiedere informazioni aggiuntive prima di valutarla.
4) Autorizzazione + passaportoLa CNMV valuta la domanda in 40 giorni lavorativi (sospendibili se chiede informazioni). Ottenuta l’autorizzazione, ti iscrivi al registro dei CASP e attivi il passaporto per operare in tutto il SEE.
Decisione rapidaAutorizzazione CASP completa presso la CNMV, con domanda integrale e passaporto UE.
Ente creditizio, ESI o IMEL: via della notifica preventiva per i servizi cripto.
Se emetti ART o EMT, la competenza è della Banca di Spagna (non sei un CASP).
CNMV; copre i dieci servizi per le cripto-attività di MiCA.
Gli ART e gli EMT sono di competenza della Banca di Spagna.
50.000, 125.000 o 150.000 € in base alla classe di servizi.
Oppure un quarto delle spese fisse dell’anno precedente, se maggiore.
Amministratori, dirigenti e soci significativi idonei.
In conformità agli orientamenti europei applicati dalla CNMV.
Segregazione delle attività, gestione delle chiavi e piano di ripristino.
Cold/hot wallet, multifirma o MPC.
KYC, Travel Rule e segnalazioni al SEPBLAC; resilienza operativa (DORA).
Esternalizzare la tecnologia non elimina la responsabilità.
Anticipali prima di presentare la domanda, per evitare richieste di informazioni e ritardi nell’autorizzazione.
Se devi gestire una licenza CASP, questi termini compaiono nella diagnosi, nella domanda alla CNMV e nella vigilanza continua.
Prestatore di servizi per le cripto-attività. Soggetto autorizzato ai sensi di MiCA a prestare professionalmente uno o più dei dieci servizi per le cripto-attività.
Regolamento (UE) 2023/1114, relativo ai mercati delle cripto-attività. Crea il quadro europeo unico per emittenti e prestatori di servizi per le cripto-attività.
Rappresentazione digitale di valore o di diritti che può essere trasferita e conservata elettronicamente mediante tecnologia di registro distribuito o analoga.
Una qualsiasi delle dieci attività elencate da MiCA (custodia, piattaforma, scambi, esecuzione, collocamento, ricezione/trasmissione, consulenza, gestione di portafogli e trasferimenti).
Cripto-attività che mira a mantenere un valore stabile facendo riferimento a più valute, attività o panieri. La sua emissione è disciplinata dal Titolo III di MiCA.
Cripto-attività che mantiene un valore stabile facendo riferimento a una sola valuta ufficiale. È la «stablecoin» di moneta elettronica del Titolo IV di MiCA.
Meccanismo per cui un’autorizzazione CASP in uno Stato membro abilita a prestare servizi in tutto il SEE mediante semplice notifica.
Raggruppamento di servizi che determina il capitale minimo del CASP: classe 1 (50.000 €), classe 2 (125.000 €) e classe 3 (150.000 €).
Servizio di salvaguardia delle cripto-attività o dei mezzi di accesso (chiavi) per conto dei clienti. Richiede segregazione e controlli rafforzati.
Vecchio registro dei prestatori di servizi di cambio e custodia della Banca di Spagna, solo ai fini antiriciclaggio. Non abilita ai sensi di MiCA.
Iniziativa esclusiva del cliente. Eccezione molto stretta che non consente di acquisire clienti nell’UE né di trasformare la pubblicità in un modo per eludere l’autorizzazione.
Obbligo di accompagnare i trasferimenti di cripto-attività con le informazioni sull’ordinante e sul beneficiario, ai sensi del Regolamento (UE) 2023/1113.
Una guida pratica per ottenere la tua autorizzazione CASP: i dieci servizi per le cripto-attività, le classi di capitale, la procedura presso la CNMV, il passaporto europeo, l’antiriciclaggio e la cybersicurezza, e il calendario della fine del regime transitorio.
Raccontaci quali servizi per le cripto-attività presti o vuoi prestare e da dove operi, e ti diciamo se ti serve l’autorizzazione o la notifica, quale capitale e quale custodia ti vengono richiesti e come pianificare la domanda alla CNMV.
La licenza CASP deriva dal Regolamento (UE) 2023/1114 (MiCA), relativo ai mercati delle cripto-attività, e dalla relativa normativa di attuazione, in particolare dai Regolamenti delegati (UE) 2025/303 e 2025/305, che precisano le informazioni della domanda di autorizzazione. In Spagna l’autorità competente per autorizzare e vigilare i prestatori di servizi per le cripto-attività è la CNMV, che ha pubblicato un manuale di autorizzazione e un modello di notifica, oltre a un documento di domande e risposte sull’applicazione di MiCA.
Il periodo transitorio in Spagna, esteso a 18 mesi, è terminato il 30 giugno 2026: dal 1° luglio 2026 MiCA si applica pienamente e possono operare solo i CASP autorizzati o con passaporto. L’emissione di token collegati ad attività (ART) e di token di moneta elettronica (EMT) spetta alla Banca di Spagna, e la vigilanza in materia di antiriciclaggio al SEPBLAC. Il vecchio registro dei prestatori (VASP) della Banca di Spagna, valido solo ai fini antiriciclaggio, non abilita ai sensi di MiCA.
Chi trasferisce o custodisce EMT che costituiscono servizi di pagamento deve inoltre adeguarsi alla PSD2 o appoggiarsi a un istituto di pagamento autorizzato, in base alla no-action letter dell’EBA. Il quadro antiriciclaggio include la Travel Rule del Regolamento (UE) 2023/1113, e l’operatività tecnologica deve rispettare la resilienza operativa digitale (DORA). Per questo la licenza CASP non si progetta come un adempimento isolato, ma integrata con il resto del quadro finanziario.
Puoi consultare la normativa direttamente nelle fonti ufficiali: il portale MiCA della CNMV e il documento di domande e risposte su MiCA (CNMV). Questa pagina ha carattere informativo e non costituisce consulenza legale; ogni progetto va analizzato individualmente.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .