Segera setelah penutupan penuh masa transisi MiCA, ESMA meluncurkan aksi audit bersama yang menargetkan penyedia layanan kustodi kripto, sebuah sinyal nyata bahwa regulasi kripto Eropa bergerak dari fase perizinan ke fase audit aktual.

Aksi Audit Bersama ini diumumkan pada 8 Juli dan akan berlangsung dari paruh kedua tahun 2026 hingga paruh pertama tahun 2027, dengan laporan akhir yang menyusun temuan akan diserahkan kepada Dewan Pengawas ESMA pada paruh kedua tahun 2027. Ini adalah proses yang benar-benar panjang, bukan sekadar potret sesaat, melainkan tinjauan yang berlangsung selama berbulan-bulan.

Audit tidak akan dilakukan oleh ESMA sendiri, melainkan oleh otoritas regulasi nasional masing-masing negara anggota, seperti BaFin di Jerman, AMF di Prancis, dan CNMV di Spanyol. Setiap otoritas nasional akan memilih sampel berbasis risiko dari perusahaan berlisensi di wilayahnya untuk melakukan audit; artinya, tidak semua perusahaan akan diperiksa, tetapi mereka yang memiliki volume terbesar, operasi lintas batas, atau aset pelanggan terbesar akan diprioritaskan.

Area yang dicakup dalam tinjauan ini cukup teknis dan mendalam, terutama berfokus pada pembuatan kunci pribadi dan manajemen kustodi, kontrol otorisasi transaksi, proses deteksi dan respons insiden, risiko kontrak pintar, serta ketergantungan pada penyedia teknologi pihak ketiga. Poin terakhir ini sangat penting karena banyak penyedia layanan kustodi mengandalkan mitra teknologi eksternal untuk infrastruktur inti mereka, menciptakan kelemahan yang bisa saja berada di luar cakupan tinjauan regulasi. ESMA bertujuan untuk menutup celah ini dengan memasukkannya secara langsung.

Waktunya bukan kebetulan; masa transisi MiCA secara resmi ditutup pada 1 Juli, dan jumlah penyedia terdaftar meningkat dari 243 menjadi 280, sebagian besar didorong oleh pemberi lisensi baru seperti Standard Chartered, FalconX, dan Sygnum Europe. Siprus juga menjadi negara dengan lisensi terbanyak, dengan enam persetujuan baru. Hanya dua hari sebelum audit ini, Ripple juga menerima otorisasi CASP penuh dari CSSF Luksemburg, memungkinkan perusahaan untuk beroperasi di seluruh Area Ekonomi Eropa yang terdiri dari tiga puluh negara. CNMV Spanyol telah menyatakan dengan tegas bahwa tidak akan ada perpanjangan waktu untuk platform yang tidak memiliki izin.

Signifikansi sebenarnya dari pengawasan ini terletak pada kenyataan bahwa memiliki lisensi kini dipandang sebagai lantai, bukan langit-langit. ESMA ingin menguji apakah perusahaan benar-benar memiliki ketahanan operasional, bukan hanya tampak patuh di atas kertas. Sebagian besar infrastruktur kustodi kripto Eropa dibangun di atas sejumlah kecil penyedia infrastruktur—infrastruktur cloud, modul keamanan perangkat keras, atau perusahaan manajemen kunci pribadi. Jika regulator nasional menemukan penyedia pihak ketiga yang sama bermasalah di banyak perusahaan, hal ini dapat menyebabkan migrasi infrastruktur yang mahal di seluruh pasar—sebuah risiko sistemik yang justru ingin dicegah oleh undang-undang ketahanan operasional digital paralel Eropa, DORA.

Bagi mereka yang mengikuti layanan kustodi kripto atau platform berlisensi MiCA di Eropa melalui Gate, poin krusialnya adalah bahwa hasil audit ini akan memberikan indikator nyata tentang keamanan aset pengguna, dan seberapa ketat otoritas nasional menegakkan audit ini akan menentukan seberapa berbeda standar audit untuk perusahaan yang berlisensi di satu negara anggota dibandingkan dengan negara lainnya. Ini akan menjadi ujian konkret pertama apakah MiCA benar-benar dapat menciptakan standar audit yang seragam.