Moins de 300 ont réussi : Ivan Nevzorov sur MiCA, la licence CASP et ce qui attend les entreprises de crypto

Parmi les plus de 3 000 entreprises qui servaient légalement des clients crypto dans l'UE jusqu'à ce mois de juin, moins de 300 détiennent aujourd'hui le droit de le faire, selon CASP Tracker.

La raison en est le Règlement sur les marchés des crypto-actifs (MiCA), qui est entré en vigueur dans l'Union européenne le 1er juillet 2026 : à partir de cette date, seule une entreprise détenant une autorisation de Fournisseur de Services de Crypto-Actifs (CASP) — accordée par un régulateur dans un État membre de l'UE et validée dans le reste du bloc — peut servir des clients de l'UE. Les entreprises qui opéraient auparavant sous des enregistrements nationaux de Fournisseur de Services d'Actifs Virtuels (VASP) avaient exactement jusqu'à cette date pour se convertir. La plupart ne l'ont pas fait.

Nous avons parlé à Ivan Nevzorov, PDG de SBSB Fintech Lawyers, de ce qui reste réellement pour eux maintenant — et pourquoi les raccourcis qu'ils choisissent généralement en premier ne sont souvent pas ceux qui tiennent.

Commençons par l'évident. Une entreprise n'a toujours pas de licence CASP aujourd'hui — que lui arrive-t-il maintenant ?

Ivan Nevzorov :Écoutez, voici ce que les gens ne veulent pas entendre : la date limite est déjà passée. À partir du 1er juillet, chaque jour où vous continuez à servir des clients de l'UE sans autorisation est un jour où vous enfreignez le MiCA — une amende minimale de 5 millions d'euros en vertu de l'article 111, et en France, cela peut signifier une responsabilité pénale pour celui qui est responsable. Donc, la réponse que tout le monde s'attend à entendre, « il suffit d'obtenir une licence », n'est en réalité plus sur la table pour une entreprise opérant aujourd'hui. Vous ne pouvez pas déposer une demande, garder les lumières allumées pendant des mois pendant qu'elle est examinée, et appeler cela de la conformité.

Ce qui laisse vraiment deux chemins. Un, vous fermez boutique, car l'entreprise ne peut pas répondre à la nouvelle norme. Deux, vous vous relocalisez — déplacez votre base vers une juridiction plus accueillante. Bien que cela ne vous garde légal que si vous arrêtez complètement de faire de la publicité dans l'UE et laissez les clients venir à vous d'eux-mêmes, ce qu'on appelle la sollicitation inversée. Continuez à faire de la publicité auprès des utilisateurs de l'UE depuis l'extérieur du bloc, et vous enfreignez exactement la même règle, juste depuis une adresse différente.

Nous reviendrons sur la relocalisation, car c'est vraiment une conversation à part entière. Commençons par la fermeture, puisque c'est là où la plupart de ces entreprises se trouvent actuellement — et honnêtement, c'est douloureux à regarder, car la plupart d'entre elles n'ont rien fait de mal. Elles n'ont tout simplement pas réussi à temps, et pour beaucoup d'entre elles, les raisons n'avaient rien à voir avec la qualité de leur conformité.

Se désengager semble être le chemin le plus simple, du moins. Est-ce vraiment le cas ?

Ivan Nevzorov :Pas aussi simple que les gens le pensent, et il y a une bonne façon et une mauvaise façon de le faire. La mauvaise façon est de fermer l'application et de disparaître — les actifs des clients dans ces comptes ne disparaissent pas, et les détenir est une activité réglementée en soi. Pour le régulateur, cette entreprise n'est allée nulle part. Elle continue d'opérer sans licence, sauf qu'elle a également cessé de répondre à ses clients. La bonne façon est l'une des deux choses : un désengagement ordonné, ou le transfert de vos clients vers un CASP déjà autorisé.

ESMA a en fait précisé à quoi doit ressembler une liquidation ordonnée : arrêter l'intégration, cesser toute commercialisation dans l'UE, se limiter à régler ce qui est déjà ouvert. Et transférer des clients semble plus simple sur le papier, mais être sur le registre CASP ne vous dit qu'une chose : une entreprise est autorisée à prendre des clients — cela ne vous dit pas qu'elle est réellement prête à intégrer quelques milliers de nouveaux clients à la fois. Beaucoup des entreprises qui ont été autorisées le plus rapidement n'ont pas construit une fonction de conformité crypto à partir de zéro — elles détenaient déjà une licence MiFID ou de monnaie électronique et l'ont simplement convertie, avec un contrôle allégé. Tant mieux pour elles, mais cela signifie aussi que certains de ces tout nouveaux CASP sont des banques qui gèrent la crypto comme un produit secondaire, pas des spécialistes capables d'absorber une vague de clients en migration. Chacun de ces clients a encore besoin d'une re-vérification complète de l'AML et du KYC avant que le nouveau CASP puisse toucher à leur argent. Cela représente des mois de travail pour une équipe qui le fait tous les jours. Plus longtemps pour une équipe qui ne le fait pas.

On pourrait penser que les plus grandes plateformes auraient résolu ce problème maintenant. Est-ce vraiment le cas ?

Ivan Nevzorov :Moins que ce que les gens pensent, et Binance est en fait un exemple juste de pourquoi. Une plateforme avec des années d'histoire opérationnelle en Europe et d'énormes ressources juridiques et de conformité a tout de même rencontré de réels problèmes de licence MiCA — le même mur que beaucoup de petites entreprises rencontrent. Cela vous dit quelque chose qui mérite réflexion : ce n'est pas un écart que vous fermez simplement en jetant de l'argent ou des effectifs. Si une entreprise de cette taille n'a pas pu tout régler avant la date limite, un opérateur plus petit ne devrait pas supposer qu'il pourra simplement y arriver non plus.

Revenons en arrière une seconde — seulement quelques centaines d'entreprises ont réellement réussi à passer pendant que c'était encore possible. Qu'est-ce qui n'allait pas pour les autres ?

Ivan Nevzorov :Honnêtement, ce n'est que rarement la paperasse. Une demande techniquement correcte vous fait juste entrer dans la pièce — cela ne vous garantit pas la décision. Nous avons vu un dossier rejeté à cause de la manière dont le capital social a été déposé, et cette exigence n'est même pas écrite dans MiCA, nulle part. Le régulateur a juste inventé une formalité qui n'est pas dans le texte. C'est le schéma que je continue de voir : quelle que soit la raison qu'ils mettent sur papier, elle n'est presque jamais la vraie. La vraie raison vous parvient de manière informelle, si elle vient, et elle concerne la manière dont ils perçoivent l'entreprise — comprenez-vous réellement votre propre modèle de risque, qui est responsable de quoi, qui sont réellement vos clients. Une politique de conformité copiée d'un modèle ne répond à aucune de ces questions. C'est la première chose que je signale quand quelqu'un entre dans SBSB avec une.

Et la deuxième chose que les gens sous-estiment complètement : l'endroit où vous avez déposé votre dossier comptait presque autant que ce que vous avez déposé. Ce n'était pas un processus unique à travers l'UE — c'était vingt-sept versions de celui-ci, avançant à des vitesses complètement différentes, avec des appétits complètement différents pour dire non. La BaFin allemande n'était pas timide à ce sujet : sa première action d'application de la MiCA a été de rejeter la demande d'Ethena et ensuite de forcer l'entreprise à fermer son opération allemande et à racheter ses tokens. Le régulateur italien a pris le chemin inverse — il a passé la majeure partie de la période de transition sans avoir autorisé qui que ce soit, donc les dépôts là-bas sont restés en attente. Même réglementation, chances complètement différentes selon la porte sur laquelle vous avez frappé. Quelques pays n'ont même jamais construit la porte — la Pologne est l'exemple le plus bruyant, elle est entrée dans la date limite sans aucune autorité délivrant des licences CASP — mais c'est l'extrémité extrême d'un spectre sur lequel tout le marché était assis.

Parlons des entreprises qui traversent réellement le processus de licence, alors — une première demande dans un marché qu'elles n'ont pas encore touché, ou un retour plus tard après une sortie ordonnée. À quoi ressemble une stratégie qui fonctionne réellement, dans la pratique ?

Ivan Nevzorov :Honnêtement, cela commence avant même que vous ayez touché un seul formulaire. Vous allez d'abord parler au régulateur, découvrir exactement ce qu'il attend d'une entreprise comme celle-ci, et ce n'est qu'ensuite que vous construisez la structure autour de cette réponse — la politique AML, la gouvernance, la documentation. MiCA est une directive, ce qui signifie que chaque pays l'implémente un peu différemment, donc un package de conformité qui a fonctionné dans un État membre doit être vérifié avant que vous osiez le réutiliser ailleurs. Les gens sautent constamment cette étape, et cela leur coûte cher.

Chez SBSB, un mandat complet pour nous ressemble à ceci : formation de l'entreprise, la demande elle-même, gestion de la correspondance avec le régulateur, et ensuite les parties que la plupart des fondateurs ne peuvent vraiment pas construire seuls — relations bancaires, infrastructure de paiement, tests de pénétration via nos partenaires, logiciel de conformité sous licence. Et le personnel compte tout autant. Les régulateurs vérifient les certifications AML tôt, donc faites cela avant que la demande ne soit soumise, pas après que vous ayez déjà déposé.

Comment une entreprise devrait-elle réellement choisir dans quel marché de l'UE postuler — Allemagne, Autriche, Pays-Bas, Estonie ?

Ivan Nevzorov :Je ne donne pas la même réponse à chaque client, honnêtement, et si quelqu'un vous dit qu'il existe une juridiction magique, il simplifie trop les choses pour vous. Mais les différences entre les régulateurs sont réelles, et à ce stade, elles sont bien documentées. La BaFin allemande vous donne la signature la plus lourde en Europe — les clients d'entreprise la respectent — mais vous en payez le prix : une entité allemande, au moins deux directeurs qualifiés réellement présents dans le pays, capital libéré au dépôt, et un dossier de documentation qui s'étend sur des centaines de pages, avec le dépôt formel en allemand. La France est l'histoire opposée : l'AMF avait délivré des licences à des entreprises de crypto sous son propre régime national pendant cinq ans avant l'existence de MiCA, donc les entreprises déjà enregistrées là-bas ont eu un chemin véritablement simplifié, et l'unité crypto du régulateur sait ce qu'elle examine. Le Luxembourg, l'Irlande et Malte sont devenus les hubs que les grandes bourses ont réellement choisis : Coinbase est passé par le Luxembourg, Kraken par l'Irlande, OKX et Crypto.com par Malte. Ce n'est pas une coïncidence ; c'est là où le processus était suffisamment mature pour gérer un dossier de cette taille.

Mais voici ce que je dis réellement aux clients : la rapidité du régulateur ne devrait pas décider — votre propre capacité devrait. Chaque régulateur sérieux vérifie maintenant la même chose : un véritable bureau, un personnel réel sur le terrain, un plan crédible pour ce marché spécifique. Choisissez la juridiction où vous pouvez honnêtement montrer cela, pas celle qui a la plus courte file d'attente — un processus rapide sans substance derrière votre demande vous conduit simplement à un rejet rapide. Et oui, l'Allemagne est en tête en termes de nombre de licences brutes en ce moment, mais une bonne partie de cela concerne des banques et des courtiers convertissant une licence qu'ils avaient déjà, pas des entreprises crypto-natives nouvellement approuvées. « L'Allemagne a le plus de CASP » et « L'Allemagne est l'endroit le plus facile pour une entreprise crypto » sont deux affirmations différentes, et les gens les confondent constamment. Je ne pense pas qu'un seul pays puisse maintenir sa position longtemps de toute façon — la capacité des régulateurs est finie partout. Nous avons déjà vu ce film, c'est essentiellement ce qui s'est passé avec la réforme de la licence de jeu de Curaçao. Une fois que le volume dépasse ce que le régulateur peut réellement traiter, le processus lui-même devient le goulot d'étranglement.

Revenons à la relocalisation, le troisième chemin que vous avez mentionné plus tôt. Pour les entreprises pensant à l'échelle mondiale, comment devraient-elles évaluer une licence de l'UE par rapport à des licences ailleurs — en Amérique latine, en Asie, à l'étranger ?

Ivan Nevzorov : Regardez, la position la plus sûre est une conformité totale partout où vous opérez — de meilleures conditions bancaires, un accès complet au marché, rien dans une zone grise. Mais cela nécessite un budget que la plupart des startups n'ont tout simplement pas. Donc, en pratique, la plupart d'entre elles finissent par fonctionner depuis une base favorable aux entreprises — El Salvador, Panama, les Émirats Arabes Unis, Singapour, le Mexique, ces pays reviennent constamment — et servent des clients de l'UE uniquement par le biais de sollicitations inversées, parfois avec des géo-blocages en plus pour les marchés plus risqués.

Source : CryptoPotato