MiCA-Compliance für CASPs im Jahr 2026

Wir zeigen Ihnen, was Sie dieses Jahr zur MiCA-Compliance wissen müssen.

Die Verordnung über Märkte für Kryptowerte (MiCA) ist seit dem 30. Dezember 2024 in Kraft. Der Digital Operational Resilience Act (DORA) gilt für Anbieter von Kryptowerte-Dienstleistungen seit dem 17. Januar 2025. Die ESMA-Regeln zu Kenntnissen und Kompetenzen nach MiCA Artikel 81(7) gelten ab dem 28. Juli 2026. Bis Ende 2026 wird jeder zugelassene Anbieter von Kryptowerte-Dienstleistungen (CASP) in der Europäischen Union an drei Säulen der operativen Compliance gemessen worden sein: ein vollständiges Set MiCA-spezifischer Richtlinien, Nachweise, dass Mitarbeitende auf dem richtigen Niveau geschult wurden, sowie ein funktionierender Whistleblowing-Kanal, der drei sich überschneidende europäische Regelwerke erfüllt. So sieht das in der Praxis tatsächlich aus.

Trusty bietet ein rechtskonformes Whistleblowing-System für Unternehmen ab 50 Mitarbeitenden, in Minuten live.

Warum operative Compliance jetzt der Engpass ist

Der Großteil der öffentlichen Diskussion über MiCA drehte sich um die Zulassung: wer lizenziert wurde, wo und wie schnell. Die leisere Diskussion, die für das kommende Jahr wichtiger ist, betrifft das, was nach der Lizenz kommt. Zulassungsunterlagen enthalten den organisatorischen Rahmen des Unternehmens, doch dieser Rahmen wird dann täglich von Kunden, Gegenparteien und Aufsichtsbehörden auf die Probe gestellt. Nationale zuständige Behörden haben mit thematischen Prüfungen begonnen. Die ESMA hat ihre ersten Leitlinien, Q&As und Stellungnahmen veröffentlicht. Die frühen Signale aus der Durchsetzung zeigen in eine Richtung: Unternehmen, die von Tag eins an einen sauberen, belegbaren, mehrsprachigen MiCA-Compliance-Stack aufgebaut haben, behalten ihre Lizenz; Unternehmen, die Richtlinien aus einer MiFID-Vorlage „drangeschraubt“ haben, werden sich in der Nachbesserung wiederfinden.

Drei operative Säulen definieren jetzt, wie ein glaubwürdiger CASP aussieht:

1. Ein vollständiges Set MiCA-spezifischer Richtlinien, das jeden anwendbaren Artikel abdeckt.
2. Mitarbeiterschulungen, die den ESMA-Standard zu Kenntnissen und Kompetenzen erfüllen, mit dokumentierten Nachweisen für jede einzelne Person.
3. Ein Whistleblowing-Kanal, der gleichzeitig die EU-Hinweisgeberrichtlinie, MiCA Artikel 116 und das AML-Regelwerk erfüllt.

Der Rest dieses Artikels ist ein praxisnaher Leitfaden zu allen drei Punkten.

Säule eins: der MiCA-Compliance-Richtlinien-Stack, den jeder CASP benötigt

Das Governance-Rückgrat

Artikel 68 der MiCA ist das Rückgrat des Compliance-Frameworks. Jeder zugelassene CASP muss über robuste Governance-Vorkehrungen mit klaren, konsistenten und gut dokumentierten Verantwortlichkeitslinien, wirksame Verfahren zur Identifizierung, Steuerung, Überwachung und Meldung von Risiken, angemessene interne Kontrollmechanismen sowie ein solides System zur Aufbewahrung von Aufzeichnungen verfügen. Artikel 68(8) verlangt ausdrücklich einen geordneten Abwicklungsplan. Artikel 68(9) verlangt die Aufbewahrung von Aufzeichnungen auf einem dauerhaften Datenträger für mindestens fünf Jahre, auf Antrag der zuständigen Behörde verlängerbar auf sieben Jahre. Die von der ESMA nach Artikel 68(10) erlassenen technischen Regulierungsstandards konkretisieren den Rest.

Die Bausteine Artikel für Artikel

Rund um Artikel 68 schreibt MiCA eine Reihe benannter Richtlinienbereiche vor:

• Artikel 7 und Artikel 66 regeln Marketingkommunikation und Kundenkommunikation: fair, klar und nicht irreführend, als Marketing erkennbar, mit vorgeschriebenen Risikohinweisen.
• Artikel 70 regelt die Verwahrung von Kryptowerten und Geldern der Kunden, einschließlich Trennung, Sub-Custody-Vereinbarungen und Informationen an Kunden.
• Artikel 71 legt das Beschwerdemanagement-Regime fest, ergänzt durch die ESMA-RTS, die nach Artikel 71(5) erlassen wurden.
• Artikel 72 regelt Interessenkonflikte, mit einer verpflichtenden jährlichen Überprüfung, Veröffentlichung auf der Website und ausdrücklicher Berücksichtigung von Token-Listing-Entscheidungen sowie Eigenhandel auf betriebenen Plattformen.
• Artikel 73 legt die Regeln für Outsourcing fest, ergänzt durch die EBA-Leitlinien zum Outsourcing (analog angewendet) und, für IKT-Dienstleistungen, durch die Artikel 28 bis 30 von DORA.
• Titel VI (Artikel 86 bis 92) übernimmt ein Marktmissbrauchsregime für Kryptowerte und verpflichtet Unternehmen, verdächtige Aufträge und Transaktionen (STORs) nach Artikel 92 zu erkennen und zu melden.
• Artikel 66(5) verlangt eine Website-Offenlegung der wichtigsten nachteiligen Umweltauswirkungen des Konsensmechanismus für jeden Kryptowert, für den der CASP Dienstleistungen erbringt; die Methodik wird durch die nach Artikel 6(11) erlassenen RTS festgelegt.

Die darübergelegten horizontalen Rahmenwerke

Zusätzlich zu MiCA-spezifischen Pflichten ist jeder CASP außerdem:

• Ein Verpflichteter nach dem EU-Rahmen zur Bekämpfung von Geldwäsche: Verordnung (EU) 2024/1624 (AMLR), Richtlinie (EU) 2024/1640 (AMLD6) und Verordnung (EU) 2024/1620 zur Errichtung der AMLA.
• Unterliegt der Verordnung (EU) 2023/1113 (Travel Rule), in Kraft seit dem 30. Dezember 2024, mit Verifizierungsregeln für selbstverwaltete Adressen über 1.000 EUR.
• Ein Finanzunternehmen nach DORA, mit vollständigen Pflichten zu IKT-Risikomanagement, Meldung IKT-bezogener Vorfälle, Tests zur digitalen operationalen Resilienz und IKT-Drittrisiko nach den Artikeln 28 bis 30.

Ein belastbares MiCA-Richtlinien-Set

Ein glaubwürdiges CASP-Richtlinien-Set umfasst daher mindestens: Verwahrung, Governance und interne Kontrolle, Marktmissbrauch und STOR, DORA-IKT-Risikomanagement und operative Resilienz, Marketingkommunikation, Abwicklung, Interessenkonflikte, Beschwerdemanagement, AML/CFT und Travel Rule, Outsourcing, Business Continuity, Aufzeichnung und Aufbewahrung, Nachhaltigkeits-Offenlegung nach Artikel 66(5) sowie eine kleine Gruppe von „Second-Wave“-Richtlinien, nach denen NCAs zunehmend fragen, darunter Kunden-Onboarding und Risikoklassifizierung, Eigengeschäfte auf Privatkonten sowie Token-Listing/-Zulassung.

Es gelten zwei operative Faustregeln. Erstens: Schreiben Sie Richtlinien entlang der MiCA, nicht entlang einer generischen Finanzdienstleistungs-Vorlage: Artikelverweise und artikelspezifische Pflichten sind wichtig, und Aufseher achten darauf. Zweitens: Übersetzen Sie sie in die Sprachen der Mitgliedstaaten, die Sie bedienen, denn Artikel 66 verlangt faire, klare und nicht irreführende Kommunikation in einer Sprache, die der Kunde versteht.

Säule zwei: Schulungen und die Frist 28. Juli 2026

Was MiCA Artikel 81(7) tatsächlich verlangt

Schulungen sind keine Compliance-Nebensache mehr. Artikel 81(7) der MiCA, ergänzt durch den Final Report on the Guidelines on certain aspects of the suitability requirements and the format of the periodic statement for portfolio management activities under MiCA der ESMA (veröffentlicht am 22. Mai 2025, anwendbar ab dem 28. Juli 2026), verlangt von CASPs, die Beratung zu Kryptowerten oder Portfolioverwaltung anbieten, sicherzustellen und der zuständigen Behörde auf Anfrage nachweisen zu können, dass natürliche Personen, die zu Kryptowerten oder Kryptowerte-Dienstleistungen beraten oder Informationen bereitstellen, über die erforderlichen Kenntnisse und Kompetenzen verfügen.

Die zwei Stufen, die die ESMA von Ihnen erwartet

Die ESMA-Leitlinien teilen Mitarbeitende in zwei Stufen ein:

• Die Informationsebene umfasst Mitarbeitende, die Kunden Informationen über Kryptowerte, Kryptowerte-Dienstleistungen, Kosten oder Risiken geben, aber keine persönlichen Empfehlungen aussprechen. Dazu zählen Onboarding-Teams, Customer Support, Vertrieb, Account Management, Prüfer von Marketingtexten, KYC-Prüfer, Beschwerdebearbeiter und Trading-Support.
• Die Beratungsebene umfasst Mitarbeitende, die persönliche Empfehlungen geben oder Portfolios verwalten. Die Anforderungen an Kenntnisse und Kompetenzen sind höher und die Dokumentationsanforderungen strenger.

Für beide Ebenen muss das Unternehmen nachweisen, dass jede betroffene Person über die erforderlichen Kenntnisse und Kompetenzen verfügt. In der Praxis bedeutet das: eine Erstbewertung bei Einstellung, ein abgeschlossenes Trainingsmodul, eine dokumentierte Prüfung mit Bestehensgrenze, mindestens jährliche Auffrischungsschulungen, laufende Supervision in den ersten Monaten einer neuen Rolle sowie personenbezogene Aufzeichnungen über den gesamten Prozess. Ab dem 28. Juli 2026 werden Aufsichtsbehörden erwarten, diese Nachweise auf Abruf zu sehen.

Schulungen über Artikel 81(7) hinaus

Dieselbe Schulungsdisziplin unterstützt den breiteren MiCA-Rahmen:

• Governance-Vorkehrungen nach Artikel 68 verlangen, dass Mitarbeitende über ausreichende Kenntnisse des Unternehmens verfügen.
• Titel VI zu Marktmissbrauch verlangt von Mitarbeitenden in Trading-, Surveillance- und Produktrollen, Warnsignale zu erkennen und sie in STORs zu eskalieren.
• DORA Artikel 13(6) verlangt IKT-Sicherheits-Awareness-Programme und Schulungen zur digitalen operationalen Resilienz für alle Mitarbeitenden.
• AMLR Artikel 12 und das AML-Regelwerk verlangen AML/CFT-Schulungen, die auf jede Rolle zugeschnitten sind, einschließlich der operativen Regeln der Travel Rule: Informationen zu Auftraggeber und Begünstigtem, die Schwelle von 1.000 EUR und die Verifizierung selbstverwalteter Adressen.

Ein praxisnaher CASP-Schulungskatalog

Ein praxisnaher CASP-Schulungskatalog umfasst daher mindestens: MiCA-Grundlagen als Basis für alle Mitarbeitenden; ESMA-Kenntnisse und -Kompetenzen (Informationsebene) sowie die Beratungsebene für Unternehmen, die beraten oder Portfolios verwalten; ein Modul Krypto-Marktmissbrauch und STOR; DORA und IKT-operative Resilienz; Verwahrung von Kryptowerten der Kunden; sowie Schulungen zu AML, Sanktionen und Travel Rule.

Säule drei: Whistleblowing unter drei Regimen gleichzeitig

Warum ein einzelner Kanal nicht mehr ausreicht

Beim Whistleblowing unterschätzen viele CASPs die regulatorischen Anforderungen. Ein einzelner Kanal muss drei sich überschneidende europäische Regime erfüllen.

Das erste ist die Richtlinie (EU) 2019/1937, die EU-Hinweisgeberrichtlinie, die von jedem Mitgliedstaat umgesetzt wurde. Sie gilt horizontal für juristische Personen im privaten Sektor mit 50 oder mehr Beschäftigten, mit einer niedrigeren Schwelle für Finanzdienstleistungsunternehmen. Sie verlangt einen internen Meldekanal, der vertrauliche Meldungen (und in vielen Umsetzungen anonyme Meldungen) ermöglicht, den Eingang innerhalb von sieben Tagen bestätigt, innerhalb von drei Monaten Rückmeldung gibt, Hinweisgeber vor Repressalien schützt und einen externen Kanal über die zuständige Behörde anbietet. CASPs fallen eindeutig in den Anwendungsbereich.

Das zweite ist MiCA Artikel 116 („Meldung von Verstößen und Schutz von Personen, die Verstöße melden“). Er verpflichtet die Mitgliedstaaten sicherzustellen, dass zuständige Behörden wirksame Mechanismen einrichten, um die Meldung tatsächlicher oder potenzieller Verstöße gegen MiCA zu ermöglichen und zu fördern, und er verlangt von zugelassenen CASPs und anderen betroffenen juristischen Personen geeignete interne Verfahren, damit ihre Beschäftigten und Personen in vergleichbarer Stellung Verstöße über einen spezifischen, unabhängigen und autonomen Kanal melden können. Zu den Schutzmaßnahmen gehören strikte Vertraulichkeit der Identität, Schutz vor Diskriminierung oder unfairer Behandlung sowie das Verbot vertraglicher Klauseln, die eine Meldung verhindern würden.

Das dritte ist das AML-Regelwerk. Nach AMLD6 (Richtlinie (EU) 2024/1640) müssen Verpflichtete interne Verfahren einrichten, um Verstöße gegen AML/CFT-Pflichten über einen spezifischen, unabhängigen und anonymen Kanal zu melden. Die durch Verordnung (EU) 2024/1620 errichtete AMLA wird diese Meldekanäle zunehmend auf europäischer Ebene koordinieren.

Was ein CASP-tauglicher Kanal leisten muss

Ein einzelner CASP-Kanal, der alle drei Regime erfüllt, muss:

• Meldungen zu MiCA-Verstößen, AML/CFT-Verstößen und allgemeinen Rechtsverstößen annehmen.
• Meldungen schriftlich und mündlich ermöglichen, mit der Option der Anonymität.
• Meldungen an eine benannte unparteiische Person oder Funktion mit Ermittlungsbefugnis weiterleiten.
• Den Eingang innerhalb von sieben Tagen bestätigen und dem Hinweisgeber innerhalb von drei Monaten Rückmeldung geben.
• Die Identität des Hinweisgebers durch strikte Zugriffskontrollen und Informationsbarrieren schützen.
• Repressalien in jeder Form untersagen und einen Eskalationsweg zur zuständigen Behörde und, soweit angemessen, zur zentralen Meldestelle (Financial Intelligence Unit) vorsehen.
• Aufzeichnungen für den nach anwendbarem nationalem Recht erforderlichen Zeitraum aufbewahren.
• Unter dokumentierten Verfahren von geschulten Bearbeitern betrieben werden, weil die Aufsicht sehen will, wie ein konkreter Fall bearbeitet wurde.

Am einfachsten scheitert man, wenn man eine generische Ethik-Hotline beibehält, die 2022 unter der Hinweisgeberrichtlinie eingerichtet und nie gegen MiCA Artikel 116 oder AMLD6 neu bewertet wurde. Das nächste zugelassene Unternehmen wird das sein, das auf einer Seite nachweisen kann, wie sein Kanal jedem der drei Regime zugeordnet ist.

Eine praxisnahe MiCA-Compliance-Checkliste für 2026

Vor dem 28. Juli 2026 kann ein glaubwürdiger CASP nachweisen:

• Ein vollständiges, MiCA-spezifisches Richtlinien-Set, das mindestens die dreizehn Kernbereiche oben abdeckt, plus Second-Wave-Richtlinien, die für seine Dienstleistungen relevant sind, übersetzt in die Sprachen der Mitgliedstaaten, die er bedient.
• Ein Schulungsprogramm, das den ESMA-Standard zu Kenntnissen und Kompetenzen auf Informationsebene erfüllt, sowie, sofern anwendbar, auf Beratungsebene, mit individuellen Nachweisen zu Prüfung, Abschluss und Auffrischung.
• Schulungen für alle Mitarbeitenden zu MiCA-Grundlagen, Marktmissbrauch, DORA, Verwahrung und dem AML/Travel-Rule-Overlay.
• Einen Whistleblowing-Kanal, der der EU-Hinweisgeberrichtlinie, MiCA Artikel 116 und AMLD6 zugeordnet ist, mit dokumentierten Verfahren, geschulten Bearbeitern und Audit-Logs.
• Eine Nachweiskette (Bestätigungen, Abschlüsse, Zertifizierungen, Fallakten, Versionshistorie), die der zuständigen Behörde auf Abruf vorgelegt werden kann.

Das ist die Pflicht, nicht die Kür.

Wie das Trusty MiCA Booster Pack hilft

Wenn Sie all das lieber nicht von Grund auf selbst aufbauen möchten, ist das Trusty MiCA Booster Pack so konzipiert, dass es den Großteil der Arbeit für Sie übernimmt. Es liefert 17 MiCA-native Richtlinien und 11 sofort einsatzbereite Schulungsdokumente, alle verfügbar in sechs Sprachen (Englisch, Deutsch, Italienisch, Spanisch, Französisch und Portugiesisch), erstellt von Compliance-Expert:innen auf Basis von MiCA, der Travel Rule, AMLR, AMLD6, DORA und den ESMA-Leitlinien. Es läuft auf der Plattform Trusty Compliance, mit integriertem Audit-Trail für Richtlinienbestätigungen und Schulungsabschlüsse, einem Beschwerdemanagement-Workflow gemäß Artikel 71 sowie einem Whistleblowing-Kanal, der auf die EU-Hinweisgeberrichtlinie, MiCA Artikel 116 und AMLD6 abgestimmt ist.

Der Preis beträgt 1.900 € pro Jahr, mehr als 40 % unter dem Einzelhandelspreis der Komponenten. CASPs, die das Paket übernehmen, sind in der Regel in Tagen statt in Monaten zulassungsbereit.

Um zu sehen, wie es in Ihren Stack passt, besuchen Sie trusty.report oder schreiben Sie an sales@trusty.report.

Haftungsausschluss: Dieser Artikel wird zu allgemeinen Informationszwecken veröffentlicht und stellt keine Rechtsberatung dar. Soweit MiCA, die Travel Rule, AMLR, AMLD6, DORA oder die ESMA-Leitlinien auf Ihre konkrete Situation anwendbar sind, konsultieren Sie qualifizierte Rechtsberater in den Mitgliedstaaten, in denen Sie tätig sind.