Portfel non-custodial może działać bez zezwolenia CASP, ale sam brak dostępu operatora do kluczy prywatnych użytkownika nie przesądza jeszcze o wyłączeniu działalności spod rozporządzenia MiCA. Jeżeli aplikacja umożliwia wymianę kryptowalut, obsługuje zlecenia, realizuje transfery na rzecz klientów albo integruje usługi innych dostawców, jej kwalifikacja prawna może być znacznie bardziej skomplikowana.
To szczególnie ważne dla startupów i software house’ów rozwijających aplikacje typu crypto wallet.
Wyobraźmy sobie przedsiębiorcę, który chce uruchomić portfel kryptowalutowy. Aplikacja umożliwia użytkownikowi przechowywanie BTC i ETH, podgląd salda oraz samodzielne wysyłanie tokenów. Klucze prywatne pozostają na urządzeniu użytkownika, a operator nie może samodzielnie dysponować jego aktywami.
Na tym etapie model może mieć charakter wyłącznie technologiczny.
Jednak w kolejnej wersji aplikacji pojawia się funkcja swap, możliwość zakupu USDC za euro, automatyczny wybór najkorzystniejszej oferty wymiany i integracja z zewnętrznym dostawcą płynności.
Czy to nadal tylko portfel non-custodial?
Niekoniecznie.
Z punktu widzenia MiCA trzeba bowiem rozróżnić dostarczanie oprogramowania umożliwiającego samodzielne zarządzanie kryptoaktywami od profesjonalnego świadczenia usług na kryptoaktywach na rzecz klientów.
W praktyce oznacza to konieczność przeanalizowania nie tylko tego, kto przechowuje klucze prywatne, ale również kto przyjmuje zlecenia, wybiera kontrahenta, zawiera transakcje, inicjuje transfery i odpowiada za realizację usługi wobec użytkownika.
Poniżej wyjaśniamy, kiedy aplikacja non-custodial wallet może działać bez licencji CASP, jakie funkcje zwiększają ryzyko regulacyjne oraz co wynika z aktualnych stanowisk ESMA i przepisów MiCA w 2026 r.
1. Czym jest portfel non-custodial i dlaczego nie zawsze wymaga zezwolenia CASP?
Portfel non-custodial (self-custody wallet) to rozwiązanie, w którym użytkownik zachowuje kontrolę nad swoimi kryptoaktywami, w szczególności nad środkami dostępu pozwalającymi nimi dysponować.
W klasycznym modelu użytkownik samodzielnie przechowuje klucz prywatny albo inny mechanizm umożliwiający autoryzowanie transakcji. Operator aplikacji zapewnia interfejs technologiczny, ale nie może bez udziału użytkownika przenieść jego aktywów na inny adres.
Dla porównania, w modelu custodial dostawca przechowuje kryptoaktywa lub kontroluje środki dostępu do nich na rzecz klientów.
Różnica nie sprowadza się jednak wyłącznie do tego, na czyim serwerze znajduje się klucz prywatny.
Art. 3 ust. 1 pkt 17 rozporządzenia MiCA definiuje usługę przechowywania i administrowania kryptoaktywami na rzecz klientów poprzez przechowywanie lub kontrolowanie kryptoaktywów bądź środków dostępu do nich, w stosownych przypadkach w postaci prywatnych kluczy kryptograficznych.
Właśnie dlatego przy kwalifikacji portfela konieczne jest ustalenie rzeczywistego zakresu kontroli operatora.
Możliwa jest sytuacja, w której dostawca nie posiada kompletnego klucza prywatnego użytkownika, ale uczestniczy w mechanizmie autoryzowania transakcji, odzyskiwania dostępu albo zarządzania środkami w sposób wymagający szczegółowej analizy pod kątem custody.
Z drugiej strony samo udostępnienie aplikacji, za pomocą której użytkownik samodzielnie podpisuje i przesyła transakcje, nie musi oznaczać świadczenia usługi przechowywania kryptoaktywów.
Ważne są więc trzy pytania:
- Kto rzeczywiście kontroluje aktywa? Czy operator może samodzielnie uzyskać do nich dostęp, przenieść je lub dysponować środkami dostępu?
- Kto wykonuje czynności na rzecz użytkownika? Czy aplikacja jedynie umożliwia samodzielne działanie, czy operator świadczy usługę transakcyjną?
- Kto jest stroną relacji z klientem? Czy użytkownik zawiera transakcję samodzielnie, bezpośrednio z regulowanym dostawcą, czy za pośrednictwem operatora portfela?
Właśnie odpowiedzi na te pytania pozwalają ustalić, czy działalność ma charakter technologiczny, czy może obejmować usługi objęte MiCA.
Komentarz eksperta – Bartosz Pasternak, Pasternak Business Law
Błędem byłoby przyjmowanie założenia, że skoro operator nie przechowuje kluczy prywatnych, to nie potrzebuje zezwolenia CASP. Brak custody może wykluczać określoną kategorię usługi, ale nie przesądza o pozostałych.
Jeżeli ten sam podmiot przyjmuje od użytkowników zlecenia wymiany, przekazuje je do zewnętrznych dostawców albo realizuje transfery na ich rzecz, trzeba sprawdzić również inne definicje zawarte w MiCA. O kwalifikacji decyduje rzeczywisty model operacyjny, a nie nazwa produktu.
Jakie usługi objęte są MiCA?
Rozporządzenie MiCA – rozporządzenie (UE) 2023/1114 określa katalog usług w zakresie kryptoaktywów w art. 3 ust. 1 pkt 16.
Obejmuje on m.in. przechowywanie i administrowanie kryptoaktywami na rzecz klientów, prowadzenie platformy obrotu, wymianę kryptoaktywów na środki pieniężne lub inne kryptoaktywa, wykonywanie zleceń, przyjmowanie i przekazywanie zleceń, doradztwo, zarządzanie portfelem oraz świadczenie usług transferu kryptoaktywów na rzecz klientów.
Każda z tych usług wymaga odrębnej kwalifikacji.
To oznacza, że jeden produkt technologiczny może łączyć funkcję, która sama w sobie nie wymaga zezwolenia CASP, z funkcją stanowiącą działalność regulowaną.
Przykładowo samodzielne przechowywanie ETH przez użytkownika nie jest tym samym co prowadzenie przez operatora aplikacji usługi przyjmowania zleceń wymiany ETH na USDC.
Podobnie samo udostępnienie technologii podpisywania transakcji nie jest automatycznie równoznaczne z profesjonalnym świadczeniem usług transferu kryptoaktywów na rzecz klientów.
Właśnie w tym miejscu przebiega jedna z najważniejszych granic regulacyjnych.
2. Kiedy portfel non-custodial potrzebuje licencji CASP? Analiza konkretnych modeli biznesowych
Nie istnieje jedna odpowiedź właściwa dla wszystkich portfeli kryptowalutowych. Znaczenie mają funkcjonalności aplikacji, architektura techniczna, przepływ zleceń oraz rzeczywiste role podmiotów uczestniczących w transakcji.
Poniższe zestawienie pokazuje najczęściej spotykane modele i ich potencjalne konsekwencje regulacyjne.
| Model aplikacji | Wstępna ocena pod MiCA |
|---|---|
| Portfel umożliwiający wyłącznie samodzielne przechowywanie i wysyłanie kryptoaktywów przez użytkownika | Co do zasady możliwy model bez zezwolenia CASP, jeżeli operator nie świadczy innej regulowanej usługi |
| Aplikacja wyświetlająca saldo, historię i dane blockchain | Zwykle funkcja techniczna lub informacyjna |
| Wallet z funkcją odzyskiwania klucza, MPC lub współautoryzacji transakcji | Wymaga analizy faktycznej kontroli nad aktywami i środkami dostępu |
| Portfel przekierowujący użytkownika do niezależnego CASP w celu zakupu kryptoaktywów | Samo przekierowanie nie oznacza automatycznie świadczenia usługi CASP; istotna jest rola operatora |
| Wallet przyjmujący zlecenia zakupu i przekazujący je do partnera | Możliwa usługa przyjmowania i przekazywania zleceń |
| Aplikacja realizująca zlecenia wymiany w imieniu użytkowników | Możliwa usługa wykonywania zleceń na rzecz klientów |
| Operator sprzedający klientom kryptoaktywa za własne środki | Możliwa usługa wymiany kryptoaktywów na środki pieniężne lub inne kryptoaktywa |
| Aplikacja realizująca transfery kryptoaktywów na rzecz klientów | Możliwa usługa transferu w rozumieniu MiCA |
| Portfel automatycznie zarządzający inwestycjami klienta na podstawie jego mandatu | Możliwa usługa zarządzania portfelem kryptoaktywów |
| Emitent przekazujący nabywcom nowo wyemitowane własne tokeny | Sam taki transfer nie musi stanowić usługi CASP; pozostaje odrębna analiza obowiązków emisyjnych |
Tabela przedstawia wstępną ocenę prawną, a nie automatyczną kwalifikację konkretnej aplikacji. W poszczególnych modelach mogą występować dodatkowe usługi, obowiązki lub wyłączenia.
Wallet z funkcją swap – kiedy pojawia się usługa regulowana?
Wyobraźmy sobie aplikację, która pozwala użytkownikowi przechowywać kryptowaluty, a następnie zamienić ETH na USDC.
W pierwszym wariancie użytkownik samodzielnie łączy portfel z zewnętrznym protokołem, analizuje warunki i podpisuje transakcję. Operator portfela nie przyjmuje zlecenia w celu jego wykonania przez inny podmiot, nie zawiera transakcji w imieniu użytkownika i nie występuje jako jego kontrahent.
W drugim wariancie aplikacja przyjmuje zlecenie wymiany, przekazuje je do wybranego dostawcy płynności, obsługuje komunikację dotyczącą realizacji i udostępnia użytkownikowi rezultat.
Choć z technicznego punktu widzenia w obu przypadkach aktywa mogą pozostawać przez cały czas poza custody operatora, kwalifikacja drugiego modelu może być zupełnie inna.
Art. 3 ust. 1 pkt 23 MiCA definiuje usługę przyjmowania i przekazywania zleceń dotyczących kryptoaktywów na rzecz klientów.
Jeżeli operator przyjmuje od użytkownika zlecenie i przekazuje je osobie trzeciej w celu wykonania lub dalszego przekazania, może świadczyć właśnie taką usługę.
To szczególnie istotne dla aplikacji określających się jako swap aggregator, DEX aggregator albo non-custodial exchange interface.
Sama nazwa „DEX” nie przesądza, że operator pozostaje poza MiCA. Trzeba ustalić, czy rzeczywiście mamy do czynienia z usługą w pełni zdecentralizowaną, bez pośrednika, czy z działalnością wykonywaną przez możliwy do zidentyfikowania podmiot.
Stanowisko ESMA: regulamin nie może zastąpić rzeczywistego modelu transakcyjnego
W odpowiedzi ESMA Q&A 2653 z 14 października 2025 r. wyjaśniono, jak odróżniać wymianę kryptoaktywów od wykonywania zleceń oraz przyjmowania i przekazywania zleceń.
Organ podkreślił konieczność badania faktycznego przebiegu realizacji transakcji, a nie wyłącznie nazw stosowanych w dokumentach umownych lub marketingowych.
Z odpowiedzi tej wynikają trzy szczególnie ważne rozróżnienia.
Po pierwsze, przyjmowanie i przekazywanie zleceń (RTO) występuje, gdy podmiot przyjmuje zlecenie użytkownika i przekazuje je osobie trzeciej do wykonania lub dalszego przekazania.
Po drugie, wykonywanie zleceń wiąże się z zawieraniem umów zakupu lub sprzedaży kryptoaktywów w imieniu klienta.
Po trzecie, wymiana kryptoaktywów z wykorzystaniem własnego kapitału może stanowić odrębną usługę, jeżeli operator jest kontrahentem klienta i dokonuje transakcji z wykorzystaniem środków własnych.
To oznacza, że dwie aplikacje wyglądające niemal identycznie z perspektywy użytkownika mogą podlegać różnym wymaganiom regulacyjnym.
W jednej operator może wyłącznie dostarczać oprogramowanie. W drugiej może świadczyć usługę przyjmowania i przekazywania zleceń. W trzeciej może występować jako podmiot dokonujący wymiany.
Nie rozstrzyga o tym jednak samo pobieranie prowizji ani to, czy klient musi nacisnąć przycisk „Potwierdź”.
Konieczne jest ustalenie, jaka czynność prawna i operacyjna następuje po naciśnięciu tego przycisku.
3. Non-custodial wallet z on-rampem, MPC i smart contractami – gdzie przebiega granica?
Rozbudowywanie portfela kryptowalutowego często odbywa się etapami.
Na początku aplikacja umożliwia jedynie zarządzanie aktywami. Następnie pojawia się zakup krypto za euro, wymiana tokenów, odzyskiwanie dostępu, staking, a czasem automatyczne wykonywanie operacji zgodnie z ustawieniami użytkownika.
Każda z tych zmian może wpływać na kwalifikację regulacyjną produktu.
Czy portfel z funkcją on-ramp potrzebuje CASP?
Nie zawsze. Samo umieszczenie w aplikacji funkcji zakupu kryptowalut od zewnętrznego, uprawnionego dostawcy nie oznacza automatycznie, że operator portfela musi uzyskać własne zezwolenie CASP.
Kluczowe jest jednak właściwe rozdzielenie ról.
Rozważmy sytuację, w której użytkownik wybiera w portfelu opcję „Kup USDC”. Następnie zostaje przekierowany do interfejsu uprawnionego CASP, zawiera umowę bezpośrednio z tym podmiotem, przechodzi wymagane procedury i otrzymuje kryptoaktywa na własny adres.
Jeżeli operator portfela zapewnia wyłącznie określoną funkcjonalność techniczną lub reklamową, a nie świadczy samodzielnie usługi regulowanej, jego model może nie wymagać autoryzacji CASP.
Sytuacja staje się bardziej złożona, gdy operator portfela przyjmuje zlecenia, pośredniczy w ich przekazywaniu lub samodzielnie realizuje czynności odpowiadające definicjom usług MiCA.
Nie wystarczy wtedy dodać do regulaminu postanowienia, że wszystkie transakcje realizuje zewnętrzny partner.
Ważne jest to, kto faktycznie świadczy usługę wobec klienta.
Co więcej, MiCA nie przewiduje ogólnego modelu niezależnych agentów CASP analogicznego do rozwiązań występujących w części innych regulacji finansowych.
W odpowiedzi ESMA Q&A 2143 z 12 września 2024 r., przygotowanej przez Komisję Europejską, wskazano, że CASP nie może po prostu wyznaczyć nieautoryzowanego agenta do świadczenia w jego imieniu usług przyjmowania i przekazywania zleceń lub doradztwa. Podmiot rzeczywiście świadczący takie usługi zasadniczo sam musi posiadać odpowiednie uprawnienie.
Dla modeli white-label wallet i embedded crypto oznacza to konieczność szczególnej ostrożności przy projektowaniu integracji.
Czy MPC wallet jest portfelem non-custodial?
Technologia MPC (Multi-Party Computation) pozwala rozdzielić proces autoryzowania operacji kryptograficznych między więcej niż jednego uczestnika.
Nie oznacza jednak automatycznie, że każda aplikacja wykorzystująca MPC pozostaje poza definicją custody w MiCA.
Należy sprawdzić m.in., kto dysponuje poszczególnymi komponentami autoryzacji, czy operator może samodzielnie doprowadzić do transferu aktywów, czy może odtworzyć dostęp bez udziału użytkownika oraz kto podejmuje ostateczną decyzję o wykonaniu transakcji.
Istotne mogą być również uprawnienia administratorów smart contractów, mechanizmy recovery i zasady działania dostawców infrastruktury.
Nie każdy mechanizm współpodpisywania oznacza custody, ale nie każdy system reklamowany jako non-custodial rzeczywiście wyklucza kontrolę operatora nad aktywami.
Szczególnie interesujące jest to, że ESMA nadal analizuje niektóre graniczne konstrukcje techniczne.
1 października 2026 r. opublikowano pytanie ESMA Q&A 2932 dotyczące sytuacji, w której aktywa klientów europejskiego CASP trafiają przejściowo do hot wallet podmiotu spoza UE podczas wpłat, wypłat lub rozliczeń.
Problem dotyczy właśnie ustalenia, kiedy taki kontakt z aktywami pozostaje jedynie czynnością techniczną, a kiedy może stanowić przechowywanie, administrowanie lub świadczenie usług transferu.
Na 12 października 2026 r. pytanie nie ma jeszcze opublikowanej odpowiedzi merytorycznej. Zostało przekazane do dalszego rozpatrzenia.
Nie byłoby więc prawidłowe przedstawianie tej sytuacji jako definitywnie rozstrzygniętej na korzyść modeli technicznych.
Czy każdy transfer tokenów wymaga CASP?
Nie. To kolejna kwestia wymagająca rozróżnienia.
W odpowiedzi ESMA Q&A 2417 z 18 czerwca 2026 r. wyjaśniono przypadek emitenta, który w ramach pierwotnej emisji przekazuje nowo wyemitowane tokeny bezpośrednio do portfela nabywcy.
ESMA wskazała, że w takiej sytuacji emitent nie świadczy wyłącznie z tego powodu usługi przechowywania ani transferu kryptoaktywów na rzecz innej osoby.
To ważne rozróżnienie.
Nie każda czynność polegająca na przesłaniu tokenów między adresami blockchain jest automatycznie regulowaną usługą transferu świadczoną na rzecz klientów.
Jednocześnie nie można z tego wyprowadzać wniosku, że wszystkie transfery wykonywane w ramach aplikacji non-custodial są wyłączone spod MiCA.
Trzeba ustalić, czy dany podmiot jedynie umożliwia użytkownikowi samodzielne wykonanie czynności, czy profesjonalnie świadczy usługę transferu na rzecz innej osoby.
Niezależnie od kwalifikacji CASP sam proces emisji tokenów może podlegać innym obowiązkom wynikającym z MiCA, np. dotyczącym oferty publicznej i dokumentu informacyjnego (crypto-asset white paper). Inne zasady dotyczą również tokenów ART i EMT oraz kryptoaktywów kwalifikowanych jako instrumenty finansowe.
Przykład: jedna aplikacja, trzy różne modele prawne
Załóżmy, że spółka technologiczna rozwija aplikację o nazwie Nova Wallet.
W pierwszej wersji użytkownik samodzielnie tworzy portfel, przechowuje klucze na własnym urządzeniu i podpisuje transakcje. Spółka nie przyjmuje zleceń, nie przechowuje aktywów i nie realizuje transferów na rzecz klientów.
W drugiej wersji Nova Wallet umożliwia zakup tokenów przez niezależnego CASP. Użytkownik korzysta bezpośrednio z usług tego podmiotu, a aplikacja pozostaje jedynie interfejsem umożliwiającym przejście do jego usługi.
W trzeciej wersji Nova Wallet sama przyjmuje zlecenia wymiany, dobiera partnera realizującego transakcję i przekazuje mu zlecenie użytkownika.
Wszystkie trzy wersje mogą być reklamowane jako „non-custodial wallet”.
Jednak z punktu widzenia regulacyjnego ich sytuacja będzie różna.
Pierwszy model może mieć charakter wyłącznie technologiczny. Drugi wymaga ustalenia, czy integracja faktycznie ogranicza się do funkcji pomocniczej. Trzeci może już obejmować przyjmowanie i przekazywanie zleceń w rozumieniu MiCA.
Przykład ma charakter hipotetyczny i służy zilustrowaniu różnic pomiędzy modelami biznesowymi.
Komentarz eksperta – Bartosz Pasternak, Pasternak Business Law
Przy ocenie aplikacji crypto wallet szczególnie istotny jest moment, w którym kończy się udostępnianie technologii, a zaczyna świadczenie usługi na rzecz klienta.
Nie zawsze będzie to moment pobrania prowizji lub uzyskania dostępu do kryptoaktywów. Czasami decydująca okaże się możliwość przyjęcia i przekazania zlecenia albo to, kto zawiera transakcję w imieniu użytkownika.
Dlatego kwalifikacja prawna powinna obejmować nie tylko regulamin aplikacji, lecz także rzeczywisty przebieg transakcji, role partnerów i architekturę techniczną produktu.
4. MiCA w Polsce po 1 lipca 2026 r. – co oznacza koniec okresu przejściowego dla operatorów portfeli?
Dla przedsiębiorców rozwijających projekty kryptowalutowe znaczenie ma nie tylko kwalifikacja samej aplikacji, ale również aktualna sytuacja regulacyjna w Polsce.
Rozporządzenie MiCA ustanawia unijne zasady świadczenia usług w zakresie kryptoaktywów.
Zgodnie z jego art. 59 usługi CASP na terytorium Unii mogą być świadczone przez podmioty posiadające odpowiednie zezwolenie albo określone instytucje finansowe działające na szczególnych zasadach wynikających z art. 60.
Od 1 lipca 2026 r. zakończył się okres przejściowy przewidziany w art. 143 ust. 3 MiCA.
Jak wskazała Komisja Nadzoru Finansowego w komunikacie z 23 czerwca 2026 r., wpis do polskiego rejestru działalności w zakresie walut wirtualnych nie stanowi zezwolenia CASP.
Po zakończeniu okresu przejściowego sam wpis do dotychczasowego rejestru VASP nie uprawnia już do kontynuowania działalności objętej obowiązkiem autoryzacji CASP.
W Polsce sytuację dodatkowo skomplikował brak zakończenia prac nad krajową ustawą dotyczącą rynku kryptoaktywów.
Ustawa uchwalona 15 maja 2026 r. nie została ostatecznie przyjęta po wecie Prezydenta. Sejm nie uchwalił jej ponownie 4 września 2026 r.
Na dzień aktualizacji niniejszego artykułu trwają również prace nad kolejnymi propozycjami ustawowymi, w tym projektem przedstawionym przez Prezydenta i skierowanym do konsultacji 2 października 2026 r.
Brak odpowiednich krajowych rozwiązań dotyczących właściwego organu ma szczególne znaczenie dla podmiotów zamierzających wystąpić o nowe zezwolenie CASP w Polsce.
Nie oznacza to jednak, że unijne MiCA nie obowiązuje, ani że działalność regulowana może być prowadzona bez zezwolenia do czasu przyjęcia polskiej ustawy.
Czy polska spółka może korzystać z zagranicznego CASP?
Co do zasady możliwa jest współpraca z dostawcą posiadającym odpowiednie zezwolenie wydane w innym państwie członkowskim UE.
MiCA przewiduje możliwość transgranicznego świadczenia usług na zasadach określonych w art. 59 i 65.
Nie oznacza to jednak, że każda polska spółka współpracująca z zagranicznym CASP automatycznie może wykonywać samodzielnie wszystkie czynności regulowane.
Jeżeli operator polskiego portfela występuje jedynie jako dostawca oprogramowania, jego sytuacja może być inna niż podmiotu, który przyjmuje zlecenia od klientów lub wykonuje inne usługi CASP.
Współpraca z licencjonowanym partnerem nie zastępuje zezwolenia, jeśli własna działalność operatora również stanowi regulowaną usługę.
Dlatego w projektach opartych na modelu embedded crypto szczególnie istotne jest ustalenie zakresu obowiązków i odpowiedzialności każdego uczestnika.
Ile kosztują wymogi kapitałowe CASP?
Jeżeli analiza wykaże, że operator rzeczywiście musi uzyskać zezwolenie CASP, zakres usług będzie wpływał również na wymogi ostrożnościowe.
Załącznik IV do MiCA przewiduje następujące poziomy minimalnych wymogów kapitałowych:
| Klasa usług CASP | Minimalna kwota |
|---|---|
| Klasa 1 – m.in. transfer, przyjmowanie i przekazywanie zleceń, wykonywanie zleceń oraz doradztwo | 50 000 EUR |
| Klasa 2 – dodatkowo m.in. custody oraz wymiana kryptoaktywów | 125 000 EUR |
| Klasa 3 – prowadzenie platformy obrotu kryptoaktywami | 150 000 EUR |
Nie są to jednak automatycznie całkowite koszty uzyskania zezwolenia ani pełna wysokość wymaganego zabezpieczenia ostrożnościowego.
Art. 67 MiCA wymaga utrzymywania odpowiednich zabezpieczeń ostrożnościowych na poziomie co najmniej wyższym z dwóch wartości: właściwego minimum z załącznika IV albo jednej czwartej stałych kosztów ogólnych z poprzedniego roku, obliczanych zgodnie z przepisami.
Dla nowych podmiotów stosuje się odpowiednie prognozowane koszty.
Oprócz tego znaczenie mają wymagania dotyczące organizacji działalności, ochrony klientów, procedur AML/CFT, bezpieczeństwa ICT, outsourcingu i zarządzania ryzykiem.
Dlatego przed podjęciem decyzji o licencjonowaniu warto przeprowadzić analizę, czy dany model w ogóle wymaga autoryzacji i jaki jest rzeczywisty zakres usług regulowanych.
Więcej o przygotowaniu modelu i procesu autoryzacji piszemy w ramach obsługi prawnej MiCA i CASP dla projektów krypto.
5. Jak zaprojektować portfel non-custodial zgodnie z MiCA? Praktyczne pytania i najczęstsze błędy
Projektowanie aplikacji z myślą o ograniczeniu ryzyka regulacyjnego nie powinno polegać na dodaniu do regulaminu stwierdzenia, że operator nie świadczy usług finansowych.
Znacznie ważniejsze jest rzeczywiste rozdzielenie poszczególnych funkcji, przepływów i ról uczestników.
Przed uruchomieniem aplikacji warto odpowiedzieć przynajmniej na osiem pytań:
- Kto kontroluje klucze i aktywa użytkownika? Czy operator ma możliwość samodzielnego lub współdzielonego dysponowania nimi?
- Kto przyjmuje zlecenia? Czy użytkownik działa samodzielnie, czy kieruje dyspozycję do operatora aplikacji?
- Kto wybiera podmiot realizujący transakcję? Czy dokonuje tego użytkownik, algorytm działający w ramach funkcji aplikacji, czy operator działający na rzecz klienta?
- Kto zawiera umowę zakupu lub sprzedaży? Czy operator działa we własnym imieniu, w imieniu klienta, czy jedynie zapewnia dostęp do innej usługi?
- Kto wykonuje transfer? Czy użytkownik samodzielnie autoryzuje czynność, czy operator świadczy usługę transferu na jego rzecz?
- Jaką rolę pełni partner CASP? Czy rzeczywiście świadczy usługę bezpośrednio klientowi, czy jedynie wykonuje operacje przekazane mu przez operatora portfela?
- Jak wygląda wynagrodzenie? Czy operator zarabia na oprogramowaniu, reklamie, udostępnieniu interfejsu, pośrednictwie, realizacji zleceń czy spreadzie? Sam model prowizyjny nie przesądza o kwalifikacji, ale może pomagać w jej ustaleniu.
- Na jakich rynkach oferowana jest aplikacja? Czy produkt jest kierowany do klientów z UE i czy mogą mieć zastosowanie wymogi dotyczące transgranicznego świadczenia usług?
Dopiero analiza tych elementów pozwala w sposób odpowiedzialny określić status regulacyjny projektu.
Czy non-custodial wallet musi stosować AML i Travel Rule?
Nie można odpowiedzieć na to pytanie wyłącznie na podstawie nazwy portfela.
Sam operator aplikacji, który jedynie dostarcza oprogramowanie i nie jest instytucją obowiązaną, nie staje się automatycznie dostawcą usług CASP ani podmiotem zobowiązanym do stosowania wszystkich obowiązków AML.
Inaczej sytuacja wygląda, gdy operator rzeczywiście świadczy regulowane usługi w zakresie kryptoaktywów.
Wówczas oprócz MiCA należy przeanalizować obowiązki AML/CFT, w tym odpowiednie przepisy dotyczące identyfikacji klientów, monitorowania transakcji oraz wymiany informacji związanych z transferami kryptoaktywów.
Znaczenie ma tu również rozporządzenie (UE) 2023/1113, określane jako Transfer of Funds Regulation (TFR).
Nie należy jednak mylić obowiązków CASP związanych z transferami do portfeli niehostowanych z twierdzeniem, że każdy użytkownik portfela self-custody albo dostawca samego oprogramowania musi posiadać zezwolenie.
W praktyce potrzebna jest odrębna analiza statusu każdego podmiotu.
Przygotowanie odpowiedniej procedury AML dla działalności krypto i FinTech powinno więc następować dopiero po ustaleniu rzeczywistego modelu biznesowego i zakresu obowiązków.
Czy portfel non-custodial może działać bez CASP, jeżeli pobiera prowizję?
Tak, jest to możliwe, ale prowizja wymaga analizy ekonomicznego charakteru świadczonej usługi.
Sama odpłatność nie oznacza automatycznie świadczenia regulowanej usługi na kryptoaktywach. Operator może pobierać wynagrodzenie za określone funkcje technologiczne.
Jeżeli jednak prowizja jest związana z przyjmowaniem, wykonywaniem lub przekazywaniem zleceń, trzeba przeanalizować, czy faktycznie nie powstaje działalność objęta MiCA.
Czy smart contract automatycznie wyłącza stosowanie MiCA?
Nie.
Motyw 22 MiCA przewiduje, że świadczenie usług na kryptoaktywach w sposób w pełni zdecentralizowany, bez pośrednika, pozostaje poza zakresem rozporządzenia.
Nie oznacza to jednak, że każdy projekt wykorzystujący smart contract lub określający się jako DeFi jest automatycznie wyłączony.
Jeżeli za aplikacją stoi możliwy do zidentyfikowania operator, który kontroluje określone elementy usługi lub wykonuje czynności regulowane, konieczna będzie analiza rzeczywistego charakteru działalności.
Sam fakt zapisania części logiki transakcyjnej w smart kontrakcie nie rozstrzyga o braku pośrednika.
Czy dostawca portfela musi mieć CASP, jeżeli korzysta z API licencjonowanej giełdy?
Nie zawsze.
Jeżeli aplikacja pełni jedynie funkcję techniczną, a użytkownik korzysta bezpośrednio z usług uprawnionego CASP, nie musi to prowadzić do powstania własnego obowiązku autoryzacji po stronie operatora portfela.
Jeżeli jednak operator przyjmuje zlecenia, przekazuje je lub wykonuje inne czynności odpowiadające definicjom usług regulowanych, sama integracja z licencjonowaną giełdą nie eliminuje ryzyka regulacyjnego.
Czy portfel non-custodial bez licencji CASP jest nielegalny?
Nie.
Nie każdy dostawca oprogramowania kryptowalutowego musi posiadać zezwolenie CASP.
Kluczowe znaczenie ma to, czy przedsiębiorca rzeczywiście świadczy usługi objęte katalogiem MiCA, czy jedynie udostępnia rozwiązanie technologiczne.
Brak obowiązku uzyskania CASP nie oznacza przy tym całkowitego braku innych obowiązków prawnych, np. dotyczących ochrony danych, praw konsumentów, sankcji lub umów z użytkownikami.
Czy licencja CASP jest potrzebna już na etapie testowania aplikacji?
Samo tworzenie oprogramowania, prowadzenie wewnętrznych testów technicznych lub rozwój prototypu nie oznaczają automatycznie rozpoczęcia świadczenia usług na kryptoaktywach na rzecz klientów.
Należy jednak zachować ostrożność, gdy testy obejmują rzeczywiste aktywa klientów, zawieranie transakcji, transfery lub komercyjne udostępnianie regulowanych funkcji.
O kwalifikacji nie decyduje wyłącznie nazwa etapu rozwoju produktu, np. „beta”, „pilot” albo „MVP”.
Jak przygotować analizę regulacyjną crypto wallet przed uruchomieniem?
W przypadku aplikacji non-custodial najlepszym punktem wyjścia jest analiza architektury produktu i czynności realizowanych na rzecz użytkownika.
Warto przygotować mapę procesów obejmującą tworzenie portfela, zarządzanie kluczami, autoryzowanie transferów, integracje z dostawcami zewnętrznymi oraz przepływ zleceń i kryptoaktywów.
Na tej podstawie możliwe jest ustalenie, które czynności mają wyłącznie charakter technologiczny, a które potencjalnie odpowiadają definicjom usług z art. 3 MiCA.
Rezultatem takiej analizy powinno być uzasadnione stanowisko prawne dotyczące statusu regulacyjnego produktu, wskazanie obszarów ryzyka oraz rekomendacje dotyczące dokumentów, umów z partnerami i ewentualnej zmiany modelu operacyjnego.
Co istotne, kwalifikację należy aktualizować również przy rozbudowie aplikacji o nowe funkcjonalności.
Portfel, który na etapie MVP nie wymagał zezwolenia CASP, może wymagać ponownej oceny przed uruchomieniem funkcji swap, on-ramp, usług transferowych czy automatycznego zarządzania portfelem.
Komentarz eksperta – Bartosz Pasternak, Pasternak Business Law
W projektach kryptowalutowych analiza regulacyjna powinna poprzedzać ostateczne zaprojektowanie modelu transakcyjnego, a nie być wykonywana dopiero po zakończeniu developmentu.
Jeżeli okaże się, że określona funkcjonalność oznacza świadczenie usługi CASP, jej dostosowanie może wymagać zmian w architekturze aplikacji, regulaminie, umowach z partnerami i sposobie obsługi klientów.
Z tego względu prawidłowa kwalifikacja modelu non-custodial może mieć bezpośredni wpływ na koszty projektu, harmonogram wejścia na rynek oraz możliwość skalowania działalności w Unii Europejskiej.
Podsumowanie: portfel non-custodial nie oznacza automatycznie działalności bez licencji CASP
Rozporządzenie MiCA nie nakłada obowiązku uzyskania zezwolenia wyłącznie dlatego, że przedsiębiorca tworzy aplikację umożliwiającą użytkownikom samodzielne przechowywanie kryptowalut.
Jednocześnie sam brak przechowywania kluczy prywatnych nie wystarcza, aby stwierdzić, że operator pozostaje poza regulacją.
Jeżeli produkt obejmuje wymianę kryptoaktywów, przyjmowanie lub wykonywanie zleceń, świadczenie transferów na rzecz klientów, zarządzanie portfelem albo inne usługi wymienione w MiCA, może powstać obowiązek uzyskania odpowiedniego zezwolenia CASP.
Najważniejsze jest zatem nie to, jak aplikacja nazywa swój model, ale to, jakie czynności rzeczywiście wykonuje i na czyją rzecz.
W Pasternak Business Law wspieramy przedsiębiorców i firmy technologiczne przy analizie modeli biznesowych opartych na kryptoaktywach, kwalifikacji usług na gruncie MiCA, projektowaniu współpracy z dostawcami CASP oraz przygotowaniu dokumentacji regulacyjnej i kontraktowej.
Pomagamy również uporządkować modele non-custodial, white-label crypto, wallet-as-a-service oraz projekty łączące funkcje portfela z usługami wymiany, transferu i płatności.
Jeżeli rozwijasz własny crypto wallet albo planujesz dodać do aplikacji funkcjonalności wymagające analizy MiCA, możemy rozpocząć od kwalifikacji prawnej modelu działalności – bez zakładania z góry, że projekt potrzebuje pełnej licencji CASP.
Skontaktuj się z Pasternak Business Law i omów swój projekt crypto wallet.
Podstawy prawne i źródła eksperckie
- Rozporządzenie (UE) 2023/1114 w sprawie rynków kryptoaktywów (MiCA) – w szczególności art. 2, 3, 59–67, 75, 77–82 oraz 143.
- ESMA Q&A 2653 – rozróżnienie wymiany, wykonywania oraz przyjmowania i przekazywania zleceń – odpowiedź z 14 października 2025 r.
- ESMA Q&A 2143 – dopuszczalność działania agentów CASP – odpowiedź Komisji Europejskiej z 12 września 2024 r.
- ESMA Q&A 2417 – transfer własnych tokenów przez emitenta – odpowiedź z 18 czerwca 2026 r.
- ESMA Q&A 2932 – tymczasowe przechowywanie aktywów w hot wallet podmiotu nieautoryzowanego – pytanie z 1 października 2026 r., bez opublikowanej odpowiedzi na dzień aktualizacji.
- KNF – komunikat dotyczący zakończenia okresu przejściowego MiCA – 23 czerwca 2026 r.
- Rozporządzenie (UE) 2023/1113 dotyczące informacji towarzyszących transferom środków pieniężnych i kryptoaktywów.
Autor: Bartosz Pasternak
Prawnik zarządzający, Pasternak Business Law
Stan prawny: 12 października 2026 r.
Materiał ma charakter informacyjny i edukacyjny. Nie stanowi indywidualnej porady prawnej ani formalnej opinii o obowiązku uzyskania zezwolenia CASP. Kwalifikacja regulacyjna aplikacji wymaga analizy rzeczywiście świadczonych usług, architektury technicznej, relacji umownych, przepływu aktywów, zleceń oraz aktualnych przepisów i interpretacji właściwych organów.