{"id":511,"date":"2026-09-06T10:37:00","date_gmt":"2026-09-06T10:37:00","guid":{"rendered":"https:\/\/hoge.gg\/it\/mica-2026-vigilanza-continua-dora-amla-italia\/"},"modified":"2026-09-06T10:37:00","modified_gmt":"2026-09-06T10:37:00","slug":"mica-2026-vigilanza-continua-dora-amla-italia","status":"publish","type":"post","link":"https:\/\/hoge.gg\/it\/mica-2026-vigilanza-continua-dora-amla-italia\/","title":{"rendered":"MiCA 2026: la licenza \u00e8 solo l’inizio, ora tocca alla vigilanza"},"content":{"rendered":"

Il 1\u00b0 luglio 2026 il periodo transitorio del Regolamento MiCA si \u00e8 chiuso in tutta l’Unione europea, e con esso l’ultima zona grigia per chi offre servizi su cripto-attivit\u00e0. In Italia la fotografia scattata da Consob e Banca d’Italia parla chiaro: nove soggetti abilitati<\/a>, otto prestatori di servizi (CASP) pi\u00f9 una banca, e tutti gli altri fuori dal perimetro. Con Bitcoin che scambia poco sotto i 70.000 euro<\/a>, intorno ai 68.800 euro secondo CoinGecko<\/a>, e un mercato ormai quasi interamente dentro il recinto autorizzato (oltre 330 CASP nell’intero Spazio economico europeo secondo il conteggio del registro pubblico<\/a>), la tentazione \u00e8 archiviare la pratica: regole scritte, licenze rilasciate, transitorio finito. \u00c8 esattamente l’errore da non fare.<\/p>

Perch\u00e9 una licenza MiCA non \u00e8 un traguardo, \u00e8 una porta d’ingresso. Dietro quella porta comincia la parte pi\u00f9 difficile e meno raccontata: la vigilanza continua. Il giorno dopo l’autorizzazione un CASP italiano non deve rispettare un solo regolamento, ma un intero apparato di norme che si sovrappongono: DORA per la resilienza operativa, il regolamento sui trasferimenti di fondi (la cosiddetta Travel Rule) per tracciare ogni movimento, il pacchetto antiriciclaggio con la nuova Autorit\u00e0 europea AMLA a Francoforte, e la MiFID II per tutto ci\u00f2 che \u00e8 derivato. Come abbiamo raccontato quando il transitorio si \u00e8 chiuso<\/a>, ottenere la licenza \u00e8 stato il passaggio pi\u00f9 visibile. Mantenerla \u00e8 il vero banco di prova, e decider\u00e0 chi rester\u00e0 sul mercato nei prossimi anni.<\/p>

Perch\u00e9 la licenza \u00e8 solo il primo passo<\/h2>

Per capire cosa cambia davvero conviene distinguere due momenti che spesso vengono confusi. L’autorizzazione \u00e8 un evento puntuale: l’autorit\u00e0 esamina il fascicolo di un richiedente (assetto proprietario, governance, capitale, sistemi informatici, procedure antiriciclaggio) e certifica che quel soggetto \u00e8 in grado di rispettare le regole. La vigilanza continua \u00e8 invece uno stato permanente: verifica che quel soggetto le regole le rispetti ogni giorno, non solo nel giorno in cui ha presentato la domanda. Il passaggio dal primo al secondo momento \u00e8 il cuore della fase che il mercato europeo sta attraversando adesso, e non riguarda soltanto chi ha appena ottenuto il via libera: riguarda anche chi lo ha ottenuto mesi fa e ora deve dimostrare, dato dopo dato, di essere ancora in linea.<\/p>

La presidente dell’ESMA, Verena Ross, lo ha sintetizzato senza giri di parole: \u00abThe MiCA rulebook will only protect investors if it is effectively applied\u00bb, il codice MiCA protegger\u00e0 gli investitori solo se sar\u00e0 applicato in modo efficace. \u00c8 un’affermazione che sposta il baricentro dalla scrittura delle norme alla loro esecuzione quotidiana, che in Europa spetta in primo luogo alle autorit\u00e0 nazionali, con l’ESMA a fare da regista della convergenza tra le prassi<\/a> dei 27 Stati membri. Chi resta fuori dal perimetro non gode di alcuna tutela: nel comunicato di fine transitorio l’ESMA ha ricordato<\/a> che i clienti di operatori non autorizzati perdono le garanzie MiCA, comprese quelle sulla separazione dei beni della clientela. Autorizzare \u00e8 la parte facile. Sorvegliare, per anni, decine di piattaforme attive 24 ore su 24 e 7 giorni su 7 \u00e8 la parte difficile.<\/p>

Lo stack normativo oltre MiCA: cinque regolamenti, non uno<\/h2>

MiCA \u00e8 la porta, ma l’edificio ha pi\u00f9 piani. Un operatore che legge solo il Regolamento (UE) 2023\/1114 e ignora i testi che gli stanno intorno non \u00e8 in regola: \u00e8 a met\u00e0 del lavoro. Il punto, spesso trascurato nel dibattito pubblico, \u00e8 che MiCA non vive da solo. Si appoggia su un impianto di norme europee che erano gi\u00e0 in cantiere prima che la parola \u00abcripto\u00bb entrasse nel vocabolario di Bruxelles, e che oggi definiscono, molto pi\u00f9 della singola licenza, cosa vuol dire operare in modo conforme. La tabella seguente riassume l’insieme di regole che grava su un CASP italiano dal primo giorno di attivit\u00e0 autorizzata.<\/p>

Regolamento<\/th>Cosa disciplina<\/th>Applicazione<\/th>Autorit\u00e0 in Italia<\/th><\/tr><\/thead>
MiCA, Reg. (UE) 2023\/1114<\/td>Autorizzazione dei CASP, emittenti, stablecoin, abusi di mercato<\/td>CASP dal 30 dic 2024; transitorio chiuso il 1 lug 2026<\/td>Consob e Banca d’Italia<\/td><\/tr>
DORA, Reg. (UE) 2022\/2554<\/td>Resilienza operativa digitale e rischio informatico (ICT)<\/td>Dal 17 gen 2025<\/td>Consob e Banca d’Italia (con le autorit\u00e0 europee di vigilanza)<\/td><\/tr>
Travel Rule, Reg. (UE) 2023\/1113<\/td>Tracciabilit\u00e0 dei trasferimenti di cripto-attivit\u00e0<\/td>Dal 30 dic 2024<\/td>Banca d’Italia e UIF<\/td><\/tr>
AMLR, Reg. (UE) 2024\/1624 e AMLA<\/td>Antiriciclaggio, adeguata verifica, vigilanza AML europea<\/td>AMLA operativa dal 1 lug 2025; AMLR dal 10 lug 2027<\/td>AMLA, UIF, Banca d’Italia<\/td><\/tr>
MiFID II, Dir. 2014\/65\/UE<\/td>Derivati su cripto (future, perpetual, CFD)<\/td>In vigore<\/td>Consob<\/td><\/tr><\/tbody><\/table><\/figure>

Nessuno di questi testi \u00e8 opzionale, e nessuno sostituisce gli altri. MiCA disciplina lo spot e i servizi; DORA la tenuta tecnologica; la Travel Rule la tracciabilit\u00e0; l’AMLR l’antiriciclaggio; la MiFID II i derivati. Un exchange che offre sia compravendita a pronti sia contratti a leva vive contemporaneamente sotto MiCA e sotto MiFID II, con due autorizzazioni distinte e due regimi di controllo. \u00c8 questa sovrapposizione, pi\u00f9 che la singola norma presa da sola, a definire il costo reale della conformit\u00e0 e a spiegare perch\u00e9 la fase che comincia adesso sar\u00e0 pi\u00f9 selettiva di quella appena conclusa.<\/p>

DORA: la resilienza operativa diventa obbligo di legge<\/h2>

Il primo pilastro dello stack che merita attenzione \u00e8 DORA, il Regolamento (UE) 2022\/2554<\/a> sulla resilienza operativa digitale, applicabile dal 17 gennaio 2025. La logica \u00e8 semplice: in un settore che custodisce chiavi private, esegue ordini in tempo reale e dipende in modo massiccio da fornitori cloud, un guasto informatico o un attacco non \u00e8 un incidente tecnico marginale, \u00e8 un rischio diretto per i soldi dei clienti. DORA impone a tutte le entit\u00e0 finanziarie un quadro strutturato di gestione del rischio ICT, e i CASP autorizzati sotto MiCA rientrano esplicitamente<\/a> nel perimetro. Non \u00e8 un manuale di buone pratiche facoltative: \u00e8 legge, con cinque pilastri operativi che la tabella seguente sintetizza.<\/p>

Pilastro DORA<\/th>Cosa richiede al CASP<\/th><\/tr><\/thead>
Governance del rischio ICT<\/td>Un quadro documentato di gestione, con responsabilit\u00e0 in capo all’organo di amministrazione<\/td><\/tr>
Gestione e segnalazione degli incidenti<\/td>Classificazione degli incidenti gravi e notifica alle autorit\u00e0 entro tempi stretti<\/td><\/tr>
Test di resilienza<\/td>Prove periodiche, fino ai penetration test avanzati (TLPT) per gli operatori pi\u00f9 rilevanti<\/td><\/tr>
Rischio dei fornitori terzi ICT<\/td>Registro dei fornitori e sorveglianza dei provider critici, ad esempio i grandi cloud<\/td><\/tr>
Condivisione delle informazioni<\/td>Scambio volontario di informazioni su minacce e vulnerabilit\u00e0 cyber<\/td><\/tr><\/tbody><\/table><\/figure>

Per un exchange abituato a considerare la sicurezza informatica una questione interna, da risolvere in silenzio quando qualcosa va storto, il salto culturale \u00e8 notevole. La resilienza smette di essere un costo discrezionale e diventa un requisito verificabile, con un’autorit\u00e0 che pu\u00f2 chiedere conto di come \u00e8 gestita, quali test sono stati fatti e con quale esito. \u00c8 il riconoscimento, tardivo ma netto, che nel mondo cripto la maggior parte delle perdite non nasce da un difetto della norma finanziaria ma da una falla operativa: una chiave compromessa, un fornitore che cade, un aggiornamento saltato.<\/p>

Segnalare gli incidenti: il nuovo orologio dei CASP<\/h2>

Tra i cinque pilastri, quello che cambia di pi\u00f9 la vita quotidiana di un operatore \u00e8 la segnalazione degli incidenti. DORA introduce un vero e proprio orologio: di fronte a un incidente ICT classificato come grave, l’intermediario deve inviare alle autorit\u00e0 una notifica iniziale, poi una relazione intermedia e infine una relazione conclusiva, secondo criteri di classificazione armonizzati a livello europeo. Non si tratta pi\u00f9 di comunicare un problema quando \u00e8 stato risolto e riconfezionato per il pubblico, ma di aprire un canale con il supervisore mentre la crisi \u00e8 ancora in corso. Per chi arriva dal mondo cripto, dove la prassi \u00e8 spesso stata il silenzio fino al comunicato rassicurante, \u00e8 un rovesciamento di logica.<\/p>

A questo si aggiungono due obblighi che spostano il baricentro fuori dalle mura dell’azienda. Il primo \u00e8 il registro dei fornitori terzi ICT: ogni CASP deve mappare da chi dipende, dal provider cloud al servizio di custodia esternalizzato, perch\u00e9 un’interruzione a monte si trasferisce a valle sui clienti. Il secondo \u00e8 la sorveglianza dei fornitori critici: i grandi provider tecnologici da cui dipende una fetta rilevante del sistema finanziario europeo entrano sotto un regime di controllo diretto delle autorit\u00e0, un riconoscimento del fatto che nel 2026 il rischio \u00e8 tanto concentrato quanto invisibile, annidato in pochi data center che servono migliaia di clienti. Per un settore storicamente costruito su infrastrutture di terzi e su un’idea artigianale di sicurezza, \u00e8 un cambio di paradigma che pochi hanno ancora metabolizzato.<\/p>

Travel Rule: il tracciamento dei trasferimenti cripto<\/h2>

Il secondo tassello dello stack \u00e8 il Regolamento (UE) 2023\/1113<\/a>, l’estensione al mondo cripto della cosiddetta Travel Rule, in vigore anch’esso dal 30 dicembre 2024. La regola, mutuata dagli standard del GAFI, impone che le informazioni sull’ordinante e sul beneficiario \u00abviaggino\u00bb insieme a ogni trasferimento di cripto-attivit\u00e0 tra prestatori di servizi. Nel mondo bancario \u00e8 prassi da decenni; nel mondo cripto \u00e8 una piccola rivoluzione, perch\u00e9 archivia definitivamente l’idea del trasferimento anonimo da exchange a exchange.<\/p>

Due dettagli rendono la norma pi\u00f9 stringente di quanto sembri. Il primo \u00e8 l’assenza di soglia per i trasferimenti tra CASP: non esiste un importo minimo sotto il quale si pu\u00f2 omettere l’identit\u00e0 delle parti, come invece accade per certi bonifici tradizionali. Ogni trasferimento, anche di pochi euro, deve portare con s\u00e9 i dati richiesti. Il secondo riguarda i wallet auto-ospitati (self-hosted): per i trasferimenti da o verso un portafoglio privato di importo superiore ai 1.000 euro, il CASP deve verificare che il wallet appartenga davvero al proprio cliente. In Italia l’attuazione ricade nell’orbita della Banca d’Italia e dell’Unit\u00e0 di Informazione Finanziaria (UIF), che raccoglie le segnalazioni di operazioni sospette. \u00c8 il ponte che collega MiCA al vero obiettivo di fondo del legislatore europeo: la lotta al riciclaggio, che con il pacchetto successivo assume una forma istituzionale del tutto nuova.<\/p>

AMLA a Francoforte, con un’italiana al vertice<\/h2>

Ed \u00e8 qui che entra in scena il pezzo pi\u00f9 nuovo dell’architettura: l’AMLA, l’Autorit\u00e0 europea per la lotta al riciclaggio e al finanziamento del terrorismo. Ha sede a Francoforte, \u00e8 operativa dal 1 luglio 2025<\/a> e ha assorbito le competenze antiriciclaggio prima in capo all’Autorit\u00e0 bancaria europea. La sua prima presidente \u00e8 Bruna Szego, nominata dal Consiglio dell’Unione all’inizio del 2025: un profilo italiano, arrivato al vertice dell’AML europeo dopo aver guidato la vigilanza antiriciclaggio proprio della Banca d’Italia. Che la principale autorit\u00e0 antiriciclaggio dell’Unione sia guidata da un’ex dirigente di Via Nazionale \u00e8 un dettaglio tutt’altro che marginale per il lettore italiano, e dice qualcosa sul peso che l’esperienza di vigilanza nazionale porta nella nuova macchina europea.<\/p>

L’AMLA ha inserito le cripto tra le sue priorit\u00e0 immediate, citando la vigilanza disomogenea<\/a> sui prestatori di servizi da uno Stato membro all’altro come una delle vulnerabilit\u00e0 principali. Il salto operativo arriver\u00e0 nel 2028, quando l’Autorit\u00e0 comincer\u00e0 a vigilare direttamente su una quarantina di soggetti finanziari ad alto rischio, con la selezione gi\u00e0 avviata e le piattaforme cripto tra i candidati naturali. A monte c’\u00e8 l’AMLR, il Regolamento (UE) 2024\/1624<\/a>, che si applicher\u00e0 in tutta l’Unione dal 10 luglio 2027 e porter\u00e0 regole di adeguata verifica armonizzate, il divieto di conti e wallet anonimi e delle privacy coin per gli operatori vigilati, e un tetto ai pagamenti in contante di 10.000 euro. Per un CASP, significa che l’antiriciclaggio smette di essere un adempimento nazionale calibrato Paese per Paese e diventa una materia europea, con un’autorit\u00e0 sovranazionale che un giorno potr\u00e0 bussare direttamente alla porta.<\/p>

Consob e Banca d’Italia: cosa significa \u00abvigilanza continua\u00bb<\/h2>

Sopra questo impianto europeo restano le due autorit\u00e0 nazionali. La ripartizione dei ruoli \u00e8 nota: il decreto legislativo 129\/2024<\/a> affida a Consob la condotta di mercato e la tutela degli investitori, alla Banca d’Italia il profilo prudenziale e le stablecoin, con le due istituzioni coordinate da un protocollo d’intesa. Ma il punto, adesso, non \u00e8 pi\u00f9 chi rilascia la licenza: \u00e8 cosa fanno le due autorit\u00e0 dopo averla rilasciata. La differenza \u00e8 enorme, perch\u00e9 sposta tutto il lavoro dalla scrivania dell’istruttoria al monitoraggio permanente di soggetti gi\u00e0 operativi.<\/p>

La vigilanza continua ha strumenti concreti. Ci sono le segnalazioni periodiche che gli operatori devono inviare, ci sono le ispezioni, c’\u00e8 il controllo sul rispetto dei requisiti patrimoniali e sulla gestione dei reclami. La Banca d’Italia pubblica e aggiorna l’elenco dei soggetti MiCAR<\/a> operativi e, sul versante prudenziale, chiede anche i piani di risanamento, cio\u00e8 le procedure da attivare in caso di crisi. La Consob, dal canto suo, sorveglia gli abusi di mercato con strumenti di analisi dei dati (tecniche di machine learning con supervisione umana) e pu\u00f2 oscurare i siti abusivi. In caso di violazioni, il ventaglio va dalle dichiarazioni pubbliche alle sanzioni pecuniarie, fino all’interdizione dall’attivit\u00e0. \u00c8 un lavoro silenzioso e permanente, molto diverso dall’evento mediatico dell’autorizzazione, e ben pi\u00f9 difficile da raccontare in un titolo.<\/p>

Il tavolo macroprudenziale e i rischi per i risparmiatori italiani<\/h2>

C’\u00e8 poi un livello di vigilanza che guarda oltre il singolo operatore, al sistema nel suo complesso. Alla fine del 2025 il Ministero dell’Economia e delle Finanze ha ordinato al Comitato per le politiche macroprudenziali, che riunisce MEF, Banca d’Italia, Consob, IVASS e Covip, un approfondimento sui rischi delle cripto-attivit\u00e0<\/a> per i risparmiatori al dettaglio, per le banche e per i fondi pensione. L’esito, atteso nel corso del 2026, potrebbe tradursi in limiti prudenziali all’esposizione degli intermediari verso le cripto e in requisiti pi\u00f9 stringenti per chi offre ETP ed ETF sul tema. Non \u00e8 vigilanza sulla singola piattaforma, ma sul modo in cui il rischio cripto si propaga dentro il sistema finanziario tradizionale.<\/p>

In parallelo, la legge di bilancio 2026 ha previsto un tavolo permanente di coordinamento<\/a> tra le istituzioni impegnate nel contrasto all’evasione e al riciclaggio legati alle cripto: MEF, Guardia di Finanza, Consob, Banca d’Italia, UIF e Agenzia delle Entrate. L’obiettivo dichiarato \u00e8 mettere a fattor comune informazioni e strumenti, in un settore dove la stessa attivit\u00e0 pu\u00f2 toccare fisco, mercato e antiriciclaggio nello stesso momento. \u00c8 la conferma che, per il regolatore italiano, la fine del transitorio non chiude un capitolo: ne apre uno di monitoraggio strutturale, in cui la parola d’ordine \u00e8 coordinamento tra sportelli che fino a ieri lavoravano separati.<\/p>

MiFID II: il pezzo che MiCA non copre<\/h2>

Un equivoco diffuso \u00e8 che MiCA copra \u00abtutto il mondo cripto\u00bb. Non \u00e8 cos\u00ec: fuori dal suo perimetro restano i derivati. Un future, un contratto perpetuo (perpetual) o un contratto per differenza (CFD) su un asset digitale non \u00e8 una cripto-attivit\u00e0 ai sensi di MiCA, ma uno strumento finanziario ai sensi della MiFID II, vigilato in Italia dalla Consob. La distinzione non \u00e8 un tecnicismo: cambia l’autorizzazione richiesta, le regole di condotta, gli obblighi informativi e persino i limiti di leva applicabili alla clientela.<\/p>

Nel febbraio 2026 l’ESMA ha chiarito che i contratti perpetual offerti al pubblico retail vanno trattati come CFD, con il tetto di leva 2:1 gi\u00e0 previsto per quella categoria di prodotti. Significa che una piattaforma che offre sia compravendita a pronti sia derivati deve reggere due regimi in parallelo, MiCA per lo spot e MiFID II per la leva, spesso con team e procedure separati. Ed \u00e8 anche il motivo per cui alcune zone di confine restano oggetto di dibattito: capire se un prodotto ricada sotto MiCA, sotto la MiFID II o fuori da entrambe \u00e8 una delle domande aperte che la revisione europea dovr\u00e0 affrontare, e la risposta non \u00e8 mai scontata quando l’innovazione corre pi\u00f9 veloce della definizione giuridica.<\/p>

Reverse solicitation: chi pu\u00f2 ancora servire i clienti italiani<\/h2>

Una domanda sottile ma decisiva, dopo la fine del transitorio, riguarda le piattaforme estere: una societ\u00e0 che non ha una licenza europea pu\u00f2 ancora servire un cliente italiano? La risposta \u00e8: quasi mai. Sotto MiCA solo un CASP autorizzato (o uno che opera in Italia tramite il passaporto europeo dal proprio Stato di origine) pu\u00f2 offrire servizi alla clientela dell’Unione. L’unica eccezione \u00e8 la cosiddetta reverse solicitation, l’iniziativa esclusiva del cliente, ed \u00e8 una porta molto pi\u00f9 stretta di quanto molti sperino.<\/p>

Gli orientamenti pubblicati dall’ESMA all’inizio del 2025 hanno chiuso quasi ogni margine: praticamente qualsiasi attivit\u00e0 di marketing viene considerata sollecitazione, le clausole di esonero nei termini di servizio non bastano a ribaltare i fatti, e dopo la prima operazione avviata dal cliente non \u00e8 consentito proporgli nuovi prodotti o categorie di cripto-attivit\u00e0. Il caso pi\u00f9 eclatante \u00e8 quello di Binance, che dopo aver ritirato la propria domanda di licenza ha sospeso i servizi ai clienti dell’Unione dal 1 luglio 2026<\/a>, con i conti esistenti limitati alla chiusura delle posizioni e al prelievo dei fondi. Per un investitore italiano il messaggio \u00e8 netto: se una piattaforma non compare nel registro pubblico dei CASP e non opera tramite passaporto, non pu\u00f2 sollecitare la sua clientela in modo legittimo, e la scusa del \u00abl’ho contattata io\u00bb regge molto meno di quanto si creda.<\/p>

Cosa protegge davvero una licenza MiCA<\/h2>

Per l’investitore, la domanda pratica \u00e8 una sola: cosa mi garantisce, in concreto, che una piattaforma sia autorizzata? La risposta onesta \u00e8 molto, ma non tutto. Una licenza MiCA porta con s\u00e9 una serie di tutele reali.<\/p>