MiCA al capolinea del transitorio: la mappa vera per chi assiste piattaforme cripto

Diciotto mesi dopo l'avvio del regime CASP, in Italia la prima licenza MiCA non era ancora stata rilasciata. Gli operatori italiani iscritti all'OAM hanno dovuto smontare l'attività o presentare istanza entro il 30 dicembre 2025, mentre il registro pubblico ESMA segnava poco piu di un centinaio di autorizzazioni in tutta l'Unione (ESMA, registro CASP, dicembre 2025). Chi assiste piattaforme, emittenti e investitori non lavora piu sulla bozza di un regolamento: lavora su un transitorio che si chiude, su delisting gia avvenuti e su un autorita che, quando guarda, trova cose che non le piacciono. Questo articolo prova a fare ordine, con le fonti in chiaro.

1. La sequenza che conta: cosa e gia in vigore

MiCA non e un blocco unico. E entrato in applicazione a tappe, e ogni tappa ha un peso diverso per chi opera. I Titoli III e IV, quelli sulle stablecoin (token collegati ad attivita, ART, e token di moneta elettronica, EMT), si applicano dal 30 giugno 2024. Il regime sui prestatori di servizi (CASP), Titoli I, II, V e VI, dal 30 dicembre 2024 (Commissione europea, Reg. (UE) 2023/1114; K&L Gates, gennaio 2025). Dalla stessa data del 30 dicembre 2024 e pienamente applicabile la cosiddetta Travel Rule, il Regolamento (UE) 2023/1113 sui trasferimenti di fondi e cripto-attivita, costruito apposta per partire in parallelo con il regime CASP (EBA, Travel Rule Guidelines, EBA/GL/2024/11).

Il punto operativo: dal 30 dicembre 2024 non esiste piu lo spazio del "non ancora regolato". Un servizio cripto offerto a clientela nell'Unione o e coperto da titolo MiCA (proprio, in transitorio, o in passporting) oppure e fuori legge. La domanda che il cliente porta in studio non e piu "devo adeguarmi?", ma "entro quando, e cosa succede se non ci arrivo".

2. Il transitorio che si chiude: una geografia a macchia di leopardo

L'articolo 143, par. 3, MiCA consente agli Stati membri un grandfathering per gli operatori gia attivi secondo il diritto nazionale prima del 30 dicembre 2024. Il tetto massimo e fissato: nessuno Stato puo spingersi oltre il 1 luglio 2026 (ESMA, List of MiCA grandfathering periods, art. 143(3)). Sotto quel tetto, pero, gli Stati hanno scelto in ordine sparso, e qui nasce il rischio "cliff-edge" per chi passa una frontiera.

Periodo transitorio scelto	Esempi di Stati	Effetto
6 mesi (chiuso a meta 2025)	Paesi Bassi, Lettonia, Ungheria, Slovenia, Finlandia	Transitorio gia esaurito; serve titolo pieno
12 mesi (fine 2025)	Germania, Austria, Irlanda, Italia	Finestra chiusa a fine 2025, prosecuzione solo se istanza presentata
18 mesi (fino al 30/6/2026)	Spagna (estensione da 12 a 18 mesi)	Unico Stato a usare quasi tutto il tetto

Per l'Olanda il dato e netto: la finestra di sei mesi e gia storia. Per la Spagna, l'ESMA ha aggiornato la lista a dicembre 2025 attenuando un rischio di "cliff-edge" che si era profilato (Freshfields; Global Fintech & Digital Assets Blog, dicembre 2025). La lezione per il consulente italiano e elementare e spietata: un operatore che ragiona "ho tempo fino a luglio 2026" perche legge il tetto del regolamento, ma opera anche verso clientela olandese o finlandese, sta gia operando senza copertura in quegli Stati. Il transitorio non e europeo: e nazionale, Stato per Stato.

3. L'Italia: D.Lgs. 129/2024, due autorita e un calendario riscritto

L'adeguamento interno e il D.Lgs. 5 settembre 2024, n. 129, in vigore dal 14 settembre 2024 (Diritto Bancario; NT+ Diritto). Il decreto fa tre cose: individua le autorita competenti, costruisce l'impianto sanzionatorio (illeciti penali e amministrativi) e disegna il transitorio per gli operatori gia iscritti all'OAM.

Sul riparto di competenze, l'impostazione e duale e ricalca la natura del token. Banca d'Italia presidia EMT e ART, oltre ai profili di sana e prudente gestione; Consob presidia i token diversi e la trasparenza verso il mercato, e rilascia il provvedimento autorizzativo del CASP "specializzato" sentita Banca d'Italia (Consob/Banca d'Italia, nota di sintesi 29 ottobre 2024; Banca d'Italia, FAQ CASP). E un modello "twin peaks" applicato alle cripto: chi prepara un'istanza deve sapere a quale tavolo si siede, e spesso sono due.

Qui il dato che molti articoli datati sbagliano, e che va corretto. Il termine per presentare l'istanza di autorizzazione, originariamente fissato al 30 giugno 2025, e stato rinviato al 30 dicembre 2025 (Diritto Bancario; Milano Finanza, 29 dicembre 2025). Gli operatori OAM potevano continuare fino al 30 dicembre 2025 e, se hanno presentato istanza entro quella data, proseguire fino al rilascio o al rifiuto e comunque non oltre il 30 giugno 2026. Chi non ha presentato istanza doveva cessare l'attivita entro il 30 dicembre 2025, risolvere i contratti, restituire cripto-attivita e fondi alla clientela (Consob, comunicazione n. 16/25 del 4 dicembre 2025).

Due fatti completano il quadro italiano. Primo: dal 1 dicembre 2025 e dovuto un contributo di vigilanza di 20.000 euro per chi presenta istanza come CASP (Consob, dicembre 2025). Secondo, e piu pesante sul piano della consulenza: alla scadenza del transitorio, in Italia, risultavano istanze depositate ma non ancora licenze rilasciate (Milano Finanza, dicembre 2025, dato da verificare alla luce degli aggiornamenti del registro Consob). Per un avvocato significa una cosa precisa: tra "ho presentato" e "sono autorizzato" c'e una terra di mezzo, e il cliente in quella terra di mezzo opera a tempo, con il 30 giugno 2026 come limite invalicabile.

4. Stablecoin: il fronte dove l'enforcement e gia visibile

Le stablecoin sono il terreno su cui MiCA ha gia mostrato i denti, perche l'effetto e arrivato prima e in modo plastico. MiCA distingue EMT, ancorati a una singola valuta ufficiale, e ART, ancorati a un paniere; gli emittenti devono essere autorizzati e tenere riserve, e l'EBA vigila direttamente sui token "significativi", con requisiti rafforzati su fondi propri (fino al 3% delle riserve medie), liquidita e piani di rimborso (EBA, Asset-referenced and e-money tokens; 21Analytics).

Il Titolo V vieta ai CASP autorizzati di offrire al pubblico nell'UE EMT non conformi. Risultato concreto: tra fine 2024 e il primo trimestre 2025 i principali exchange hanno delistato USDT di Tether per la clientela retail SEE, con Coinbase Europe a inizio dicembre 2024, Crypto.com a gennaio 2025 e Binance che ha rimosso le coppie spot USDT per gli utenti SEE il 31 marzo 2025; Tether ha dichiarato di non voler perseguire la conformita MiCA (KYC-Chain; Scorechain). A meta 2025 l'ESMA e la Commissione hanno pubblicato una guida sul trattamento di ART ed EMT non conformi, segno che la transizione delle stablecoin non era affatto chiusa (ESMA, guidance on non-MiCA compliant ARTs and EMTs).

Per il consulente: una piattaforma autorizzata che ancora veicola un token non conforme verso retail europeo non ha un problema teorico, ne ha uno gia visto in pratica. La domanda da porre al cliente non e "questa stablecoin e buona o cattiva", ma "chi e l'emittente, e autorizzato, e tu a chi la offri".

5. Travel Rule, DAC8, DORA: i tre obblighi che non stanno dentro MiCA

Sarebbe un errore vendere "compliance MiCA" come pacchetto chiuso. Attorno al regolamento gravitano almeno tre corpi normativi che colpiscono lo stesso soggetto.

Travel Rule (Reg. (UE) 2023/1113). Dal 30 dicembre 2024 ogni trasferimento di cripto-attivita deve viaggiare con i dati di ordinante e beneficiario. Le Linee guida EBA hanno previsto un periodo transitorio di adeguamento dei sistemi fino al 31 luglio 2025 (EBA/GL/2024/11). Per il cliente significa che la pipeline tecnica AML non e un "nice to have": e un obbligo direttamente applicabile.

DAC8 (Dir. (UE) 2023/2226). La direttiva sulla cooperazione amministrativa fiscale, che recepisce il CARF dell'OCSE, va trasposta entro il 31 dicembre 2025 e si applica dal 1 gennaio 2026. I RCASP raccolgono i dati sulle operazioni dei clienti UE dal 1 gennaio 2026, con prima trasmissione tra il 1 gennaio e il 30 settembre 2027 (Commissione europea, DAC8). Lo studio che assiste un CASP deve far parlare il team tax con il team compliance: stessa piattaforma, due flussi di obblighi, scadenze diverse.

DORA (Reg. (UE) 2022/2554). Si applica ai CASP dal 17 gennaio 2025: gestione del rischio ICT, segnalazione degli incidenti, controllo dei fornitori terzi. MiCA tira i CASP esplicitamente dentro il perimetro DORA (EIOPA; Capco). Un exchange autorizzato deve quindi reggere insieme regole di condotta e capitale (MiCA), resilienza operativa (DORA), AML e Travel Rule (Reg. 2023/1113 e AMLR), fiscalita (DAC8). Non e un adempimento: e un sistema.

6. Custodia: la linea rossa dell'art. 75 e la responsabilita che resta

Per chi assiste un custode, o un exchange che custodisce per conto terzi, l'articolo 75 MiCA e il punto dove la teoria diventa contenzioso. Il regolamento impone procedure di custodia e amministrazione, un registro delle posizioni dei clienti, una descrizione dei presidi ICT e procedure per la restituzione delle cripto-attivita (ESMA, Q&A; White & Case). Il principio cardine e la segregazione: gli asset dei clienti vanno tenuti separati da quelli propri del prestatore, sul piano contabile e, dove rilevante, on-chain; i fondi della clientela diversi dagli EMT, depositati presso una banca o una banca centrale, vanno su conto segregato (art. 70 e 75 MiCA).

Il nodo che porta in studio i clienti e la responsabilita. L'art. 75, par. 8, tiene il CASP responsabile verso i clienti per la perdita di cripto-attivita a lui attribuibile, ma lo libera per gli eventi non attribuibili, indipendenti dalle sue operazioni (Manimama; Lexology). Tra "attribuibile" e "non attribuibile" passa l'intera materia del contendere: un exploit di un fornitore terzo, una chiave compromessa, un guasto ICT. Per il consulente la partita si gioca prima, nei contratti e nelle policy: come e definita la custodia, chi controlla effettivamente le chiavi, dove finisce la responsabilita del custode e dove inizia quella del fornitore. La custodia, sotto MiCA, non e un servizio tecnico: e un profilo di rischio legale che va scritto bene prima dell'incidente, non dopo.

7. Il passaporto unico e la sua promessa a meta

MiCA vende un'idea forte: autorizzazione in uno Stato, operativita nei 27 grazie al passaporto. L'art. 65 disciplina la notifica: il CASP che vuole operare in piu Stati comunica all'autorita di origine il tipo di servizi, l'elenco degli Stati e la data di avvio; l'autorita di origine ha dieci giorni lavorativi per trasmettere il tutto ai punti di contatto degli Stati ospitanti, all'ESMA e all'EBA (Commissione europea, Reg. (UE) 2023/1114, art. 65; Dechert).

La promessa, pero, e a meta. Il passaporto trasferisce il titolo, non la sostanza locale: marketing, lingua, tutela del consumatore e prassi di vigilanza restano terreno nazionale, e il peer review di Malta mostra che le autorita ospitanti guardano. Aggiungere uno Stato all'elenco di passporting non e un adempimento neutro: e estendere il proprio perimetro a un altro regolatore. Per il cliente italiano che sogna l'Europa con una licenza sola, il consiglio asciutto e: il passaporto apre la porta, non garantisce che dentro la stanza le regole di casa siano uguali alle tue.

8. Quando l'autorita guarda: il peer review ESMA e il monito sull'arbitraggio

Il 10 luglio 2025 l'ESMA ha pubblicato la sintesi di un fast-track peer review sull'autorizzazione e la vigilanza di un CASP a Malta. La constatazione e stata che la MFSA aveva autorizzato un operatore con questioni rilevanti ancora aperte al momento del rilascio, e che il processo di valutazione avrebbe dovuto essere piu approfondito (ESMA, ESMA42-2004696504-8164, 10 luglio 2025; Hogan Lovells).

Il messaggio non riguarda solo Malta. Le raccomandazioni sono indirizzate a tutte le autorita nazionali e toccano la valutazione prospettica della crescita, lo scrutinio sui rapporti infragruppo e sui fornitori terzi, la verifica della resilienza ICT e della conformita DORA, l'esposizione alla DeFi e ai prodotti non regolati, la coerenza delle interfacce verso il consumatore (ESMA; PwC Malta). Tradotto per chi prepara un dossier in Italia: un'autorizzazione veloce ottenuta altrove non e uno scudo. L'ESMA sta lavorando proprio per chiudere gli spazi di arbitraggio regolamentare, e una licenza "facile" e oggi una licenza piu esposta a una seconda lettura.

9. Cosa dico a chi entra nello studio

Non prometto esiti: la deontologia lo vieta e la materia si muove troppo in fretta per garantire alcunche. Ma alcune verita operative reggono. La prima: non esiste una scadenza unica, esiste una mappa di scadenze nazionali, e va guardata Stato per Stato in funzione di dove sta la clientela. La seconda: "ho presentato istanza" non equivale a "sono autorizzato", e la terra di mezzo ha un limite duro al 30 giugno 2026. La terza: MiCA non si compra da solo, viaggia con DORA, Travel Rule e DAC8, e chi vende solo il primo lascia il cliente scoperto sugli altri tre. La quarta: l'enforcement non e un'ipotesi futura: i delisting USDT del 2024-2025 e il peer review di Malta del luglio 2025 sono gia accaduti.

La quinta, che vale per gli emittenti piu che per i prestatori: la custodia e un profilo di responsabilita, non una funzione di back office, e l'art. 75 si legge prima dell'incidente. La sesta: il passaporto e un'estensione del rischio verso altri regolatori, non un lasciapassare che azzera le regole locali.

L'Avvocato del Diavolo non vende tranquillita. Vende la mappa, le date e i punti dove si rompono le gambe. Su una materia che cambia trimestre per trimestre, l'onesta sta nel dire al cliente non solo cosa deve fare, ma anche cosa nessuno puo ancora garantirgli. Le date qui sopra sono reali e citate; gli esiti delle istanze pendenti, in Italia e altrove, no, e vanno seguiti sul registro ESMA e sui provvedimenti Consob e Banca d'Italia man mano che escono. Questo, oggi, e l'unico modo serio di stare in questa materia.

Tutte le affermazioni di questo articolo sono ancorate a fonti verificabili e datate, citate inline. I dati riflettono le informazioni disponibili al 21 giugno 2026 e vanno verificati alla luce degli sviluppi successivi.