Immédiatement après la fermeture complète de la période de transition MiCA, l'ESMA a lancé une action d'audit conjointe ciblant les prestataires de services de conservation de crypto-actifs, un signe concret que la régulation européenne des crypto-monnaies passe de la phase de licence à la phase d'audit proprement dite.

Cette action d'audit conjointe a été annoncée le 8 juillet et se déroulera de la seconde moitié de 2026 à la première moitié de 2027, le rapport final compilant les conclusions devant être soumis au Conseil des superviseurs de l'ESMA au second semestre 2027. Il s'agit d'un processus véritablement long, pas un instantané, mais un examen s'étalant sur plusieurs mois.

L'audit ne sera pas mené par l'ESMA elle-même, mais par l'autorité de régulation nationale de chaque État membre, comme la BaFin en Allemagne, l'AMF en France et la CNMV en Espagne. Chaque autorité nationale sélectionnera un échantillon basé sur les risques d'entreprises agréées dans sa région pour mener l'audit ; c'est-à-dire que toutes les entreprises ne seront pas examinées, mais celles ayant le plus grand volume, des opérations transfrontalières ou les actifs clients les plus importants seront prioritaires.

Les domaines couverts par l'examen sont assez techniques et approfondis, se concentrant principalement sur la génération de clés privées et la gestion de la conservation, les contrôles d'autorisation des transactions, les processus de détection et de réponse aux incidents, les risques liés aux contrats intelligents et la dépendance vis-à-vis des fournisseurs de technologies tiers. Ce dernier point est particulièrement important car de nombreux prestataires de services de conservation s'appuient sur des partenaires technologiques externes pour leur infrastructure de base, créant une faiblesse qui pourrait autrement échapper au champ de l'examen réglementaire. L'ESMA vise à combler cette lacune en l'incluant directement.

Le timing n'est pas une coïncidence ; la période de transition MiCA a officiellement pris fin le 1er juillet, et le nombre de prestataires enregistrés est passé de 243 à 280, largement tiré par de nouveaux licenciés tels que Standard Chartered, FalconX et Sygnum Europe. Chypre a également été le pays avec le plus de licences, avec six nouvelles approbations. Juste deux jours avant cet audit, Ripple a également reçu une autorisation CASP complète de la CSSF luxembourgeoise, permettant à l'entreprise d'opérer dans l'ensemble de l'Espace économique européen composé de trente pays. La CNMV espagnole a clairement indiqué qu'aucune prolongation ne sera accordée aux plateformes non agréées.

La véritable signification de cette supervision réside dans le fait qu'avoir une licence est désormais considéré comme un plancher, pas un plafond. L'ESMA veut tester si les entreprises possèdent réellement une résilience opérationnelle, et non pas seulement une conformité apparente sur le papier. Une grande partie de l'infrastructure européenne de conservation de crypto-actifs repose sur un nombre limité de fournisseurs d'infrastructure — infrastructure cloud, modules de sécurité matérielle ou sociétés de gestion de clés privées. Si les régulateurs nationaux trouvent le même fournisseur tiers problématique dans plusieurs entreprises, cela pourrait conduire à une migration coûteuse de l'infrastructure sur l'ensemble du marché — un risque systémique précisément que la loi européenne parallèle sur la résilience opérationnelle numérique, DORA, vise à prévenir.

Pour ceux qui suivent les services de conservation de crypto-actifs ou les plateformes agréées MiCA en Europe via Gate, le point crucial est que les résultats de cet audit fourniront un indicateur tangible de la sécurité des actifs des utilisateurs, et la rigueur avec laquelle les autorités nationales appliquent cet audit déterminera à quel point les normes d'audit seront différentes pour une entreprise agréée dans un État membre par rapport à un autre. Ce sera le premier test concret de savoir si MiCA peut véritablement créer une norme d'audit unifiée.