Licencja CASP i MiCA po 1 lipca 2026 r. — czy firma krypto może działać bez zezwolenia?

Stan prawny na dzień: 16 czerwca 2026 r.

Po 1 lipca 2026 r. podmiot świadczący usługi w zakresie kryptoaktywów dla klientów z Unii Europejskiej co do zasady powinien posiadać zezwolenie CASP zgodne z MiCA albo korzystać z innej prawnie dopuszczalnej podstawy działania. Dotyczy to w szczególności giełd krypto, kantorów krypto, platform obrotu, usług custody, transferu kryptoaktywów, wykonywania zleceń, przyjmowania i przekazywania zleceń, doradztwa oraz zarządzania portfelem kryptoaktywów. ESMA wskazała, że unijny okres przejściowy MiCA wygasa 1 lipca 2026 r., a po tej dacie podmiot świadczący usługi krypto dla klientów z UE bez licencji MiCA będzie naruszał prawo UE i powinien zaprzestać świadczenia takich usług.

To nie oznacza jednak, że każda firma związana z blockchainem automatycznie potrzebuje licencji CASP. O obowiązkach nie decyduje sama technologia, ale konkretny model działania: rodzaj usługi, rola spółki, sposób kontaktu z klientem, jurysdykcja, przepływ aktywów, model custody, sposób rozliczeń i to, czy klient znajduje się w Unii Europejskiej.

Najkrótsza odpowiedź: czy po 1 lipca 2026 r. można działać bez licencji CASP?

W praktyce firma krypto działająca wobec klientów z UE nie powinna zakładać, że po 1 lipca 2026 r. wystarczy jej dotychczasowy wpis do krajowego rejestru VASP albo sama rejestracja działalności gospodarczej.

Jeżeli model biznesowy obejmuje świadczenie usług w zakresie kryptoaktywów w rozumieniu MiCA, potrzebne może być zezwolenie CASP lub inna podstawa przewidziana w przepisach, na przykład działanie jako określona instytucja finansowa po spełnieniu wymogów notyfikacyjnych. MiCA wprost wskazuje, że usług kryptoaktywowych w Unii nie może świadczyć podmiot, który nie jest autoryzowany jako CASP albo nie jest jednym z uprawnionych podmiotów finansowych mogących świadczyć takie usługi w określonym zakresie.

Dla zarządu oznacza to jedno: przed 1 lipca 2026 r. trzeba odpowiedzieć nie tylko na pytanie „czy potrzebujemy licencji?”, ale też „co robimy, jeżeli nie uzyskamy jej na czas?”.

Czym jest CASP?

CASP to dostawca usług w zakresie kryptoaktywów, czyli podmiot, którego działalność polega na profesjonalnym świadczeniu jednej lub kilku usług dotyczących kryptoaktywów na rzecz klientów.

MiCA definiuje kryptoaktywo jako cyfrowe odzwierciedlenie wartości lub prawa, które można przenosić i przechowywać elektronicznie z wykorzystaniem technologii rozproszonego rejestru lub podobnej technologii. Rozporządzenie wyróżnia też m.in. tokeny powiązane z aktywami, tokeny będące e-pieniądzem oraz inne kryptoaktywa, które nie mieszczą się w tych dwóch kategoriach.

Przykład

Spółka prowadzi platformę, na której użytkownik może wymienić euro na wybrane kryptoaktywo. Spółka ustala kurs, obsługuje klienta i realizuje wymianę. Taki model może wymagać analizy pod kątem usługi wymiany kryptoaktywów na środki pieniężne.

Inny przykład: aplikacja umożliwia klientom przechowywanie kryptoaktywów, a spółka ma dostęp do kluczy prywatnych albo zarządza infrastrukturą przechowywania. W takim przypadku należy zbadać, czy nie dochodzi do świadczenia usługi custody i administrowania kryptoaktywami w imieniu klientów.

Jakie usługi mogą wymagać zezwolenia CASP?

MiCA obejmuje katalog usług dotyczących kryptoaktywów. Do usług tych należą m.in. custody, prowadzenie platformy obrotu, wymiana kryptoaktywów na środki pieniężne, wymiana kryptoaktywów na inne kryptoaktywa, wykonywanie zleceń, plasowanie kryptoaktywów, przyjmowanie i przekazywanie zleceń, doradztwo, zarządzanie portfelem oraz transfer kryptoaktywów w imieniu klientów.

Model biznesowy a możliwa kwalifikacja

Czy wpis do rejestru VASP wystarczy po 1 lipca 2026 r.?

Co do zasady sam dotychczasowy wpis do krajowego rejestru działalności w zakresie walut wirtualnych nie powinien być traktowany jako odpowiednik zezwolenia CASP.

Okres przejściowy w MiCA dotyczył podmiotów, które przed 30 grudnia 2024 r. świadczyły usługi zgodnie z właściwym prawem krajowym. MiCA przewiduje jednak, że takie podmioty mogą kontynuować działalność tylko do 1 lipca 2026 r. albo do dnia udzielenia lub odmowy udzielenia zezwolenia, w zależności od tego, co nastąpi wcześniej. Państwa członkowskie mogły też skrócić albo nie stosować tego okresu przejściowego.

Przykład

Polska spółka była wpisana do rejestru działalności w zakresie walut wirtualnych i prowadziła kantor krypto. Taki wpis mógł mieć znaczenie w poprzednim reżimie prawnym, ale po zakończeniu okresu przejściowego nie zastępuje zezwolenia CASP, jeżeli spółka nadal świadczy usługę objętą MiCA wobec klientów z UE.

Co z polską ustawą o rynku kryptoaktywów?

MiCA jest rozporządzeniem unijnym, a więc stosuje się bezpośrednio w państwach członkowskich. Polska ustawa o rynku kryptoaktywów ma przede wszystkim zapewniać krajowe ramy stosowania MiCA, w tym kwestie nadzoru, procedur i sankcji.

Na dzień przygotowania tego artykułu sytuacja krajowej ustawy pozostaje zmienna. 11 czerwca 2026 r. Prezydent RP odmówił podpisania ustawy z dnia 15 maja 2026 r. o rynku kryptoaktywów. Nie oznacza to jednak, że MiCA „nie obowiązuje” w Polsce. Oznacza natomiast dodatkową niepewność praktyczną dla polskich podmiotów, w szczególności w zakresie krajowej procedury, nadzoru i szczegółowych rozwiązań wykonawczych.

Dla przedsiębiorcy kluczowe jest więc oddzielenie dwóch kwestii:

1. obowiązywania MiCA jako prawa UE,
2. polskich przepisów wykonawczych i organizacyjnych, które mogą wpływać na praktyczną ścieżkę działania w Polsce.

Kto powinien pilnie przeanalizować obowiązek uzyskania CASP?

Analiza jest szczególnie ważna dla firm, które:

• prowadzą kantor lub giełdę krypto,
• przechowują kryptoaktywa klientów,
• realizują transfery kryptoaktywów,
• pośredniczą w zakupie lub sprzedaży kryptoaktywów,
• obsługują token sale, launchpad albo emisję tokenów,
• dają klientom rekomendacje dotyczące kryptoaktywów,
• zarządzają portfelem krypto klienta,
• prowadzą projekt Web3 kierowany do użytkowników z UE,
• mają spółkę poza UE, ale kierują komunikację marketingową do klientów unijnych.

Przykład: projekt spoza UE

Spółka zarejestrowana poza Unią Europejską prowadzi aplikację krypto. Strona internetowa jest dostępna w języku polskim, reklamy są kierowane do użytkowników z Polski, a onboarding akceptuje klientów z UE. W takim przypadku samo miejsce rejestracji spółki poza UE nie przesądza, że MiCA nie będzie istotna. Trzeba zbadać, czy usługi są oferowane lub świadczone klientom z Unii.

Czy reverse solicitation pozwala działać bez licencji?

Reverse solicitation, czyli świadczenie usługi z wyłącznej inicjatywy klienta, jest w MiCA uregulowane bardzo wąsko. Jeżeli klient z UE sam, z własnej inicjatywy, zwraca się do firmy z państwa trzeciego o usługę krypto, wymóg autoryzacji z art. 59 MiCA może nie mieć zastosowania do tej konkretnej usługi. Jeżeli jednak firma pozyskuje klientów w UE, prowadzi promocję, reklamę, działania sprzedażowe lub korzysta z podmiotów powiązanych do akwizycji klientów, nie powinno się automatycznie zakładać, że mamy do czynienia z reverse solicitation.

Przykład

Sama klauzula w regulaminie typu „klient działa z własnej inicjatywy” może nie wystarczyć. Jeżeli projekt prowadzi kampanie reklamowe w Polsce, publikuje treści sprzedażowe po polsku, współpracuje z influencerami kierującymi przekaz do polskich klientów albo aktywnie obsługuje rynek UE, ryzyko zakwestionowania reverse solicitation może być wysokie.

Co powinien zrobić zarząd, jeżeli firma nie ma licencji CASP?

Najgorszą strategią jest czekanie do ostatniej chwili. ESMA wskazuje na potrzebę terminowej autoryzacji, uporządkowanej migracji klientów oraz przygotowania planów wind-down, czyli planów wygaszenia działalności, jeżeli podmiot nie uzyska zezwolenia na czas.

Opcja 1: wniosek o zezwolenie CASP

Jeżeli model biznesowy ma być kontynuowany w UE, naturalnym kierunkiem może być przygotowanie wniosku o zezwolenie CASP. Taki projekt wymaga nie tylko dokumentów prawnych, ale też operacyjnego przygotowania organizacji.

Wniosek powinien być spójny z realnym modelem biznesowym. MiCA wymaga m.in. programu działalności, opisu zarządzania, mechanizmów kontroli wewnętrznej, procedur zarządzania ryzykiem, opisu systemów ICT, procedur segregacji aktywów klientów, procedur reklamacyjnych oraz dodatkowych dokumentów zależnych od rodzaju świadczonej usługi.

Opcja 2: zmiana modelu biznesowego

Czasami firma nie chce albo nie może uzyskać pełnego zezwolenia CASP. Wtedy warto przeanalizować, czy możliwa jest zmiana modelu.

Może to oznaczać rezygnację z custody, ograniczenie funkcji aplikacji, zmianę roli spółki z operatora na dostawcę technologii, usunięcie elementów doradczych albo zmianę sposobu obsługi klientów z UE.

Taka zmiana powinna być rzeczywista, a nie tylko formalna. Regulatorzy patrzą na to, co spółka faktycznie robi, a nie wyłącznie na nazwy w regulaminie.

Opcja 3: współpraca z autoryzowanym CASP

Niektóre projekty mogą rozważyć współpracę z podmiotem posiadającym zezwolenie CASP. W praktyce wymaga to bardzo dokładnego ustalenia ról, odpowiedzialności, przepływów aktywów, obsługi klienta, danych, outsourcingu i komunikacji marketingowej.

Nie każda współpraca z licencjonowanym podmiotem „rozwiązuje” problem regulacyjny. Jeżeli nielicencjonowana spółka faktycznie wykonuje usługę regulowaną, ryzyko może pozostać.

Opcja 4: migracja klientów

Jeżeli spółka nie uzyska zezwolenia, ale obsługuje klientów z UE, powinna zaplanować bezpieczną migrację klientów. Może to obejmować przeniesienie aktywów do autoryzowanego CASP, umożliwienie wypłaty na self-hosted wallet, zamknięcie określonych funkcji albo wygaszenie relacji umownych.

W takim procesie ważne są terminy, komunikacja, dowody doręczenia informacji, zgodność z AML, ochrona danych i bezpieczeństwo aktywów.

Opcja 5: wind-down plan

Plan wind-down to plan uporządkowanego zakończenia działalności albo określonych usług. Nie powinien być dokumentem „na półkę”. Powinien wskazywać, co firma zrobi z klientami, aktywami, zleceniami, reklamacjami, danymi, komunikacją, dostawcami i ryzykiem operacyjnym.

MiCA to nie wszystko: AML, DORA, Travel Rule i banki

Uzyskanie zezwolenia CASP nie oznacza końca obowiązków. Dla firm krypto równie ważne mogą być AML, DORA, Travel Rule, ochrona konsumentów, ochrona danych, outsourcing, cyberbezpieczeństwo, sprawozdawczość oraz relacje z bankami i dostawcami płatności.

DORA jest stosowana od 17 stycznia 2025 r. i dotyczy operacyjnej odporności cyfrowej sektora finansowego oraz świadczenia usług ICT na rynku finansowym. KNF wskazuje, że celem DORA jest zwiększenie operacyjnej odporności cyfrowej podmiotów finansowych oraz uregulowanie usług ICT na rynku finansowym.

Travel Rule, czyli rozporządzenie 2023/1113, dotyczy informacji towarzyszących transferom środków pieniężnych i niektórych kryptoaktywów oraz zmienia dyrektywę AML. Dla wielu CASP oznacza to konieczność wdrożenia procesów zbierania, weryfikowania i przekazywania określonych informacji przy transferach.

Przykład

Giełda krypto może posiadać procedury AML, ale jednocześnie nie mieć wystarczająco opisanych procesów ICT, zasad zarządzania incydentami, procedur ciągłości działania, outsourcingu chmury, segregacji aktywów klientów albo obsługi reklamacji. Przy projekcie CASP te obszary powinny być ze sobą spójne.

Checklist dla zarządu firmy krypto przed 1 lipca 2026 r.

Przed podjęciem decyzji zarząd powinien odpowiedzieć co najmniej na następujące pytania:

1. Czy świadczymy usługę dotyczącą kryptoaktywów w rozumieniu MiCA?
2. Czy naszym klientem jest klient z UE?
3. Czy aktywnie kierujemy marketing do klientów z UE?
4. Czy przechowujemy kryptoaktywa klientów albo mamy dostęp do kluczy?
5. Czy wymieniamy kryptoaktywa na środki pieniężne lub inne kryptoaktywa?
6. Czy prowadzimy platformę obrotu?
7. Czy przyjmujemy, przekazujemy albo wykonujemy zlecenia klientów?
8. Czy udzielamy rekomendacji lub zarządzamy portfelem klienta?
9. Czy nasz token wymaga white paper, autoryzacji albo innej kwalifikacji?
10. Czy mamy polityki AML, DORA, outsourcingu, ICT i cyberbezpieczeństwa?
11. Czy mamy plan migracji klientów, jeśli nie uzyskamy zezwolenia na czas?
12. Czy komunikacja marketingowa i regulaminy odpowiadają realnemu modelowi działania?

Najczęstsze błędy firm krypto przy MiCA

Błąd 1: „Jesteśmy technologią, więc MiCA nas nie dotyczy”

Samo użycie smart contractów, blockchaina albo zdecentralizowanej infrastruktury nie wyłącza automatycznie regulacji. Trzeba zbadać, czy istnieje podmiot, który faktycznie organizuje, świadczy, promuje albo kontroluje usługę wobec klientów.

Błąd 2: „Nie trzymamy fiatów, więc nie potrzebujemy CASP”

MiCA obejmuje nie tylko wymianę krypto na pieniądz. Może dotyczyć także wymiany krypto-krypto, custody, platform obrotu, transferów, przyjmowania i przekazywania zleceń, doradztwa czy zarządzania portfelem.

Błąd 3: „Mamy spółkę poza UE, więc jesteśmy poza MiCA”

To zależy od tego, czy usługi są oferowane klientom z UE i jak wygląda komunikacja z rynkiem unijnym. Spółka spoza UE, która aktywnie pozyskuje klientów z Unii, może mieć istotne ryzyka regulacyjne.

Błąd 4: „Dodamy reverse solicitation do regulaminu”

MiCA ogranicza możliwość powoływania się na wyłączną inicjatywę klienta. Jeżeli firma prowadzi działania promocyjne lub sprzedażowe wobec klientów z UE, sama klauzula w regulaminie może być niewystarczająca.

Błąd 5: „Zrobimy dokumenty po złożeniu wniosku”

Wniosek CASP wymaga spójności między dokumentacją a realnym działaniem spółki. Jeżeli procedury nie działają operacyjnie, a dokumenty opisują model życzeniowy, może to utrudnić proces autoryzacyjny.

FAQ — MiCA i CASP po 1 lipca 2026 r.

Czy każda firma krypto potrzebuje licencji CASP?

Nie każda. Licencji CASP może potrzebować podmiot, który świadczy usługi w zakresie kryptoaktywów objęte MiCA. Każdy model wymaga indywidualnej analizy, zwłaszcza gdy spółka działa na styku technologii, finansów, tokenizacji, płatności albo inwestycji.

Czy kantor kryptowalut potrzebuje zezwolenia CASP?

Jeżeli kantor świadczy usługę wymiany kryptoaktywów na środki pieniężne albo inne kryptoaktywa wobec klientów z UE, powinien przeanalizować obowiązek uzyskania zezwolenia CASP.

Czy giełda krypto potrzebuje licencji MiCA?

Prowadzenie platformy obrotu kryptoaktywami jest jedną z usług wymienionych w MiCA. W praktyce giełda krypto działająca wobec klientów z UE powinna zweryfikować obowiązek autoryzacyjny.

Czy wallet potrzebuje CASP?

To zależy od modelu. Wallet non-custodial, w którym użytkownik sam kontroluje klucze, może być oceniany inaczej niż rozwiązanie custodial, w którym spółka przechowuje lub administruje kryptoaktywami klientów.

Czy wpis do rejestru VASP wystarczy po 1 lipca 2026 r.?

Co do zasady nie należy zakładać, że sam wpis do rejestru VASP wystarczy do świadczenia usług objętych MiCA po zakończeniu okresu przejściowego. Potrzebna może być autoryzacja CASP albo inna podstawa prawna.

Co się stanie, jeśli firma nie uzyska CASP do 1 lipca 2026 r.?

Firma powinna przeanalizować obowiązek ograniczenia lub zakończenia usług objętych MiCA wobec klientów z UE, migracji klientów, wypłat aktywów albo wdrożenia planu wind-down. Skutki zależą od konkretnego modelu i jurysdykcji.

Czy można działać na licencji CASP z innego kraju UE?

MiCA przewiduje możliwość transgranicznego świadczenia usług w Unii przez autoryzowanego CASP po spełnieniu wymogów notyfikacyjnych. Nie oznacza to jednak dowolności — zakres usług musi odpowiadać uzyskanej autoryzacji.

Czy spółka spoza UE może obsługiwać klientów z Polski bez CASP?

To zależy od sposobu pozyskania klienta i rodzaju usługi. Jeżeli spółka aktywnie kieruje usługi do klientów z UE, reverse solicitation może nie być skuteczną podstawą działania.

Czy tokenizacja nieruchomości wymaga MiCA?

Może wymagać analizy pod kilkoma reżimami. Token może być kryptoaktywem objętym MiCA, ale w zależności od konstrukcji może też przypominać instrument finansowy, udział, prawo majątkowe, papier wartościowy albo produkt inwestycyjny. Sama nazwa „token” nie rozstrzyga kwalifikacji.

Czy NFT podlega MiCA?

Unikalne i niewymienne tokeny mogą być traktowane inaczej niż standardowe kryptoaktywa, ale w praktyce trzeba uważać na serie, kolekcje, fractionalizację i modele inwestycyjne. Nie każdy token nazwany NFT będzie automatycznie poza ryzykiem regulacyjnym.

Czy MiCA zastępuje AML?

Nie. MiCA nie zastępuje obowiązków AML. Firmy krypto nadal muszą analizować obowiązki związane z przeciwdziałaniem praniu pieniędzy, finansowaniu terroryzmu, identyfikacją klienta, monitoringiem transakcji i Travel Rule.

Czy do CASP potrzebna jest zgodność z DORA?

W wielu przypadkach tak, ponieważ CASP jako podmiot finansowy może podlegać obowiązkom dotyczącym operacyjnej odporności cyfrowej. W praktyce oznacza to konieczność uporządkowania m.in. ryzyka ICT, incydentów, outsourcingu i testów odporności.

Podsumowanie

1 lipca 2026 r. jest jedną z najważniejszych dat dla firm krypto działających na rynku unijnym. Po tej dacie dotychczasowy model działania oparty wyłącznie na rejestrze VASP, spółce poza UE albo ogólnych zapisach regulaminowych może okazać się niewystarczający.

Dla zarządu najważniejsze są trzy decyzje: czy potrzebujemy zezwolenia CASP, czy jesteśmy w stanie uzyskać je w odpowiednim czasie oraz co robimy z klientami i aktywami, jeżeli autoryzacja nie zostanie uzyskana.

W praktyce analiza MiCA powinna obejmować nie tylko samą licencję, ale także AML, DORA, Travel Rule, strukturę korporacyjną, regulaminy, outsourcing, komunikację marketingową, model custody, relacje z bankami i bezpieczeństwo operacyjne.

Wykaz aktów prawnych i źródeł

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1114 z dnia 31 maja 2023 r. w sprawie rynków kryptoaktywów oraz zmiany rozporządzeń (UE) nr 1093/2010 i (UE) nr 1095/2010 oraz dyrektyw 2013/36/UE i (UE) 2019/1937, czyli MiCA.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1113 z dnia 31 maja 2023 r. w sprawie informacji towarzyszących transferom środków pieniężnych i niektórych kryptoaktywów oraz zmiany dyrektywy (UE) 2015/849, czyli tzw. Travel Rule.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego, czyli DORA.

Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu — tekst jednolity: Dz.U. z 2025 r. poz. 644.

Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych — tekst jednolity: Dz.U. z 2026 r. poz. 623.

Ustawa z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi — w zakresie, w jakim dany token lub model inwestycyjny może wymagać analizy pod kątem instrumentów finansowych.

Stanowisko ESMA z dnia 17 kwietnia 2026 r. dotyczące końca okresów przejściowych pod MiCA.

Komunikat Prezydenta RP z dnia 11 czerwca 2026 r. dotyczący odmowy podpisania ustawy z dnia 15 maja 2026 r. o rynku kryptoaktywów.

W Pasternak Law wspieramy przedsiębiorców, fintechy i projekty Web3 w analizie modeli działalności, przygotowaniu do MiCA, AML, DORA oraz projektowaniu bezpiecznych struktur prawnych dla biznesu krypto. Możesz skontaktować się z nami TUTAJ.

Artykuł został przygotowany przez prawnika Pasternak Law zajmującego się obsługą przedsiębiorców, fintech, kryptoaktywami, compliance i projektami technologicznymi. Materiał łączy analizę przepisów z praktyką biznesową.

Materiał ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej ani opinii prawnej w konkretnej sprawie. Każda sytuacja wymaga indywidualnej analizy, w szczególności pod kątem modelu biznesowego, jurysdykcji, rodzaju kryptoaktywa, zakresu usług, struktury klienta, komunikacji marketingowej, AML, DORA, podatków oraz dokumentacji kontraktowej.