Відразу після повного закриття перехідного періоду MiCA ESMA розпочала спільну аудиторську акцію, спрямовану на постачальників послуг криптозберігання, що є конкретним сигналом того, що регулювання криптовалют у Європі переходить від фази ліцензування до фази фактичного аудиту.

Цю спільну аудиторську акцію було оголошено 8 липня, і вона триватиме з другої половини 2026 року до першої половини 2027 року, а остаточний звіт з узагальненням результатів буде подано до Наглядової ради ESMA у другій половині 2027 року. Це справді тривалий процес, не моментальний знімок, а перевірка, що охоплює місяці.

Аудит проводитиметься не самою ESMA, а національними регуляторними органами кожної держави-члена, такими як BaFin у Німеччині, AMF у Франції та CNMV в Іспанії. Кожен національний орган обере на основі ризику вибірку ліцензованих фірм у своєму регіоні для проведення аудиту; тобто перевірятимуться не всі фірми, а ті, що мають найбільший обсяг, здійснюють транскордонні операції або мають найбільші активи клієнтів, отримають пріоритет.

Сфери, які охоплює перевірка, є досить технічними та глибокими, зосереджуючись переважно на генерації та управлінні закритими ключами, контролі авторизації транзакцій, процесах виявлення та реагування на інциденти, ризиках смарт-контрактів та залежності від сторонніх технологічних постачальників. Останній пункт є особливо важливим, оскільки багато постачальників послуг зберігання покладаються на зовнішніх технологічних партнерів для своєї основної інфраструктури, що створює слабке місце, яке інакше могло б залишитися поза межами регуляторного нагляду. ESMA прагне закрити цю прогалину, включивши її безпосередньо.

Терміни не є випадковими; перехідний період MiCA офіційно закрився 1 липня, а кількість зареєстрованих постачальників зросла з 243 до 280, значною мірою завдяки новим ліцензіатам, таким як Standard Chartered, FalconX та Sygnum Europe. Кіпр також став країною з найбільшою кількістю ліцензій, отримавши шість нових дозволів. Всього за два дні до цього аудиту Ripple також отримала повну авторизацію CASP від люксембурзької CSSF, що дозволяє компанії працювати на всій території Європейської економічної зони, що налічує тридцять країн. Іспанська CNMV недвозначно заявила, що для неліцензованих платформ жодних продовжень не буде.

Справжнє значення цього нагляду полягає в тому, що наявність ліцензії тепер розглядається як мінімальний рівень, а не як межа. ESMA хоче перевірити, чи справді фірми мають операційну стійкість, а не просто виглядають відповідними на папері. Значна частина європейської інфраструктури криптозберігання побудована на обмеженій кількості інфраструктурних постачальників — хмарної інфраструктури, апаратних модулів безпеки або фірм з управління закритими ключами. Якщо національні регулятори виявлять, що один і той самий сторонній постачальник є проблемним для кількох фірм, це може призвести до дорогої міграції інфраструктури на всьому ринку — системного ризику, який саме й прагне запобігти паралельний європейський закон про цифрову операційну стійкість, DORA.

Для тих, хто через Gate стежить за послугами криптозберігання або платформами, ліцензованими за MiCA в Європі, ключовим моментом є те, що результати цього аудиту нададуть відчутний показник безпеки активів користувачів, а те, наскільки жорстко національні органи виконуватимуть цей аудит, визначить, наскільки різними будуть стандарти аудиту для компанії, ліцензованої в одній державі-члені, порівняно з іншою. Це буде першим конкретним тестом того, чи зможе MiCA справді створити єдиний стандарт аудиту.