ESMA startet Aufsichtsaktion zur Verwahrungsresilienz von CASPs

Die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) hat bestätigt, dass sie eine Gemeinsame Aufsichtsaktion startet, die sich auf die digitale operationelle Resilienz von Krypto-Dienstleistern konzentriert, mit einem spezifischen Fokus auf Verwahrungsaktivitäten. Für Wirtschaftsprüfungsgesellschaften, die lizenzierte CASPs beraten, interne Prüfungsteams und CFOs, die für digitale Vermögensoperationen verantwortlich sind, ist dies keine Konsultation, die man aus der Ferne beobachten sollte. Die nationalen zuständigen Behörden (NCAs) werden in der zweiten Jahreshälfte 2026 eine risikobasierte Stichprobe autorisierter CASPs prüfen, und die Ergebnisse werden in einen Abschlussbericht für den Rat der Aufseher der ESMA in der zweiten Jahreshälfte 2027 einfließen. Wenn Ihre Kunden oder Ihr eigenes Unternehmen digitale Vermögenswerte verwahren oder verwalten, tickt die Uhr bereits. Unternehmen, die auf robuste Krypto-Buchhaltungssoftware und integrierte Compliance-Frameworks setzen, werden besser positioniert sein, wenn die Prüfer kommen.

Was die Gemeinsame Aufsichtsaktion abdeckt

Eine Gemeinsame Aufsichtsaktion ist eine koordinierte Prüfungsübung, bei der die ESMA mit den nationalen zuständigen Behörden in den EU-Mitgliedstaaten zusammenarbeitet, um einheitliche Aufsichtsstandards auf eine definierte Gruppe regulierter Unternehmen anzuwenden. Der Ansatz stellt sicher, dass ein Unternehmen, das beispielsweise in Frankreich zugelassen ist, der gleichen Prüfung unterzogen wird wie eines, das in Deutschland oder den Niederlanden zugelassen ist, wodurch Regulierungsarbitrage reduziert und das Niveau für den gesamten Sektor angehoben wird.

Diese spezielle CSA richtet sich an die digitalen operationellen Resilienzrahmen von CASPs im Zusammenhang mit der Verwahrung. Die ESMA hat sowohl die digitale operationelle Resilienz als auch den CASP-Sektor selbst als prioritäre Risikobereiche in ihrem Aufsichtsprogramm identifiziert, und diese Aktion setzt dieses Anliegen um.

Sechs Risikodimensionen unter Prüfung

Die Ankündigung der ESMA legt die spezifischen Bereiche fest, die die NCAs untersuchen werden. Jede stellt eine eigene Risikokategorie dar, die Unternehmen intern bewerten müssen, bevor ein Prüfer dies für sie tut.

• Governance-Strukturen: Wie werden Entscheidungen über die Verwahrungsinfrastruktur getroffen? Wer ist verantwortlich, und ist diese Verantwortlichkeit auf Vorstandsebene dokumentiert?
• Schlüssel- und Speicherverwaltung: Wie werden private Schlüssel generiert, gespeichert, gesichert und rotiert? Sind Hardware-Sicherheitsmodule oder gleichwertige Kontrollen vorhanden?
• Transaktionskontrollen: Welche Kontrollen vor und nach dem Handel gibt es, um unbefugte oder fehlerhafte Transaktionen mit verwahrten Vermögenswerten zu erkennen und zu verhindern?
• Erkennung und Reaktion auf Vorfälle: Verfügt das Unternehmen über Echtzeit-Überwachung, definierte Eskalationspfade und getestete Wiederherstellungsverfahren für verwahrungsbezogene Vorfälle?
• Smart-Contract-Risiken: Sind Verträge, die in der Verwahrungsinfrastruktur verwendet werden, geprüft, versioniert und einer fortlaufenden Schwachstellenbewertung unterzogen?
• Abhängigkeiten von Drittanbietern: Sind wesentliche Abhängigkeiten von Cloud-Anbietern, Node-Betreibern oder Technologieanbietern kartiert, vertraglich geregelt und auf Konzentrationsrisiken getestet?

Jede dieser Dimensionen steht in direktem Zusammenhang mit der Verordnung über die digitale operationale Resilienz (DORA), die verbindliche Anforderungen an Finanzunternehmen, einschließlich CASPs, in der gesamten EU stellt. Die CSA verknüpft effektiv die Verwahrungspflichten von MiCA mit den operationellen Resilienzstandards von DORA und schafft so ein mehrschichtiges Compliance-Bild.

Zeitplan und Prozess

Wie die Übung ablaufen wird

Die Übung erstreckt sich über etwa zwölf Monate aktiver Aufsichtsarbeit. Die NCAs werden ihre Stichproben risikobasiert auswählen, was bedeutet, dass größere Verwahrer, solche mit komplexeren DLT-Architekturen oder solche mit früheren aufsichtsrechtlichen Feststellungen eher ausgewählt werden. Die Auswahl ist nicht zufällig, und Unternehmen sollten nicht davon ausgehen, dass eine saubere Lizenzierungshistorie sie ausnimmt.

Einmal ausgewählt, sollte ein Unternehmen mit Dokumentenanfragen, Interviews mit technischem und Governance-Personal und möglicherweise Vor-Ort- oder virtuellen Inspektionen rechnen. Die NCAs werden ihre Ergebnisse dann an die ESMA melden, die sie zu einem Abschlussbericht für den Rat der Aufseher zusammenfasst. Dieser Bericht, der für die zweite Jahreshälfte 2027 erwartet wird, wird mit ziemlicher Sicherheit in nachfolgende Aufsichtsleitlinien, mögliche Q&A-Updates oder gezielte Regelungen im Rahmen der delegierten Rechtsakte von MiCA einfließen.

Was nach dem Bericht passiert

Abschlussberichte von CSAs haben in der Vergangenheit sektorweite Aufsichtsschreiben, thematische Leitlinien oder direkte Folgemaßnahmen gegen Unternehmen ausgelöst, die hinter den Erwartungen zurückblieben. Der Bericht 2027 wird zu einem Zeitpunkt erscheinen, an dem die vollständige Aufsichtsarchitektur von MiCA noch in der Einführungsphase steckt, was bedeutet, dass seine Ergebnisse prägen könnten, wie die NCAs die Verwahrungsanforderungen für Jahre anwenden. Wirtschaftsprüfungsgesellschaften, die CASPs beraten, sollten die Veröffentlichung des Berichts verfolgen und bereit sein, ihre Beratung entsprechend zu aktualisieren.

Warum die Verwahrung im Fokus steht

Die Verwahrung ist die risikoreichste Tätigkeit, die ein CASP ausüben kann. Ein Unternehmen, das Krypto im Namen von Kunden handelt, kann finanziellen Schaden verursachen, wenn es schlecht ausführt. Ein Unternehmen, das Kundenvermögen verwahrt, kann katastrophalen, möglicherweise irreversiblen Schaden verursachen, wenn sein Schlüsselmanagement versagt, seine Smart Contracts ausgenutzt werden oder ein kritischer Drittanbieter ohne angemessene Ausweichlösung offline geht. Die Entscheidung der ESMA, diese CSA auf die Verwahrung zu stützen, spiegelt das asymmetrische Risikoprofil dieser Tätigkeit wider.

Die Distributed-Ledger-Technologie birgt Risiken, die kein direktes Analogon in der traditionellen Wertpapierverwahrung haben. Es gibt kein zentrales Register, um eine fehlerhafte Transaktion rückgängig zu machen. Die Kompromittierung privater Schlüssel ist dauerhaft. Smart-Contract-Fehler können innerhalb von Sekunden nach der Bereitstellung ausgenutzt werden. Diese Eigenschaften bedeuten, dass die Governance- und technischen Kontrollen, die für einen traditionellen Verwahrer ausreichen, für einen DLT-basierten oft strukturell unzureichend sind, und die ESMA testet, ob sich die autorisierte CASP-Bevölkerung wirklich an diese Realität angepasst hat.

Buchhalterische und prüferische Auswirkungen

Für Wirtschaftsprüfungsgesellschaften und externe Prüfer

Externe Prüfer von CASPs müssen verstehen, dass die CSA-Ergebnisse ihre Risikobewertungen direkt beeinflussen werden. Wenn eine NCA wesentliche Schwächen im Schlüsselmanagement oder in der Fähigkeit zur Reaktion auf Vorfälle eines Kunden feststellt, sind diese Schwächen relevant für die Beurteilung der Unternehmensfortführung, die Bewertung der internen Kontrollen über die Finanzberichterstattung und die Vollständigkeit der Vermögensangaben. Prüfungsteams, die noch nicht DLT-spezifische Verfahren in ihre Verwahrungstestprogramme aufgenommen haben, sind exponiert.

Es gibt auch einen praktischen Dokumentationsaspekt. Prüfer fordern routinemäßig Nachweise über die Existenz und Vollständigkeit von Vermögenswerten für Verwahrungsbestände. Ein CASP, der keine sauberen Schlüsselmanagementkontrollen nachweisen kann oder der auf undokumentierte Drittanbieter-Infrastruktur angewiesen ist, wird Schwierigkeiten haben, prüfungsreife Nachweise zu liefern. Unternehmen, die digitale Vermögensbuchhaltungssoftware oder Beratungsdienste für CASPs anbieten, sollten die Dokumentation ihrer Kunden jetzt stresstesten, bevor die NCAs es tun.

Der Fall Belgien FSMA markiert sechs nicht autorisierte CASPs nach MiCA-Frist zeigt, wie schnell der Aufsichtsdruck eskalieren kann, sobald eine Behörde Compliance-Lücken identifiziert. Unternehmen, die die MiCA-Lizenzierung als einmaliges Ereignis und nicht als fortlaufende Compliance-Verpflichtung betrachten, schätzen den regulatorischen Kurs falsch ein.

Für CFOs und Finanzteams bei CASPs

CFOs autorisierter CASPs tragen die direkte Verantwortung für die finanzielle Integrität der Verwahrungsoperationen. Die sechs Risikodimensionen, die die ESMA hervorgehoben hat, sind nicht rein technisch; sie haben direkte Auswirkungen auf die Finanzberichterstattung. Das Konzentrationsrisiko bei Drittanbietern ist beispielsweise ein Offenlegungspunkt nach IFRS 7 und den eigenen Berichtspflichten von MiCA. Ausfälle bei der Erkennung und Reaktion auf Vorfälle, die zu Vermögensverlusten führen, werfen sofortige Fragen zu Vermögensabschreibungen, Versicherungsrückgriff und Kundenhaftung auf.

Finanzteams sollten jetzt mit ihren Technologie- und Compliance-Kollegen zusammenarbeiten, um eine interne Lückenbewertung über die sechs Dimensionen hinweg zu erstellen. Diese Bewertung sollte dokumentiert, vom Vorstand genehmigt und als Nachweis proaktiver Compliance aufbewahrt werden. Wenn eine NCA eintrifft, ist es wesentlich besser, nachzuweisen, dass das Unternehmen Lücken selbst identifiziert und behoben hat, als wenn der Prüfer sie zuerst findet.

Unternehmen, die integrierte Krypto-Buchhaltungssoftware mit Echtzeit-Verwahrungsabgleich implementiert haben, werden einen natürlichen Vorteil haben: Sie können transaktionsgenaue Nachweise schnell ziehen und zeigen, dass ihre Kontrollen operativ und nicht nur theoretisch sind. Dies ist auch der Moment, um zu überprüfen, ob die Angaben in den letzten Abschlüssen das von der ESMA beschriebene Verwahrungsrisikoumfeld angemessen widerspiegeln.

Aufsichtskonvergenz und der breitere MiCA-Kontext

Diese CSA steht nicht isoliert. Sie ist Teil der breiteren Bemühungen der ESMA, die Aufsichtskonvergenz zwischen den 27 nationalen Regulierungsbehörden der EU aufzubauen, während MiCA vollständig in Kraft tritt. Frühere Durchsetzungsmaßnahmen, wie die in was die neue Aufsichtsrolle der AMF für Wirtschaftsprüfungsgesellschaften und CFOs bedeutet beschriebenen Situationen, zeigen, dass die NCAs von einer übergangsweisen, registrierungsorientierten Phase zu aktiver, thematischer Aufsicht übergehen.

Das CSA-Modell ist speziell darauf ausgelegt, einen Wettlauf nach unten zu verhindern, bei dem CASPs eine Zulassung bei der nachsichtigsten NCA beantragen und dann in der gesamten EU passportieren. Indem ESMA von allen NCAs verlangt, gleichzeitig denselben Prüfungsrahmen anzuwenden, schafft sie einen einheitlichen Nachweisstandard. Der konsolidierte Bericht fließt dann in diesen Standard zurück und verschärft ihn im Laufe der Zeit weiter.

Für Buchhaltungsprofis ist die praktische Schlussfolgerung, dass die Aufsichtserwartungen an CASPs nach oben konvergieren und sich nicht auf einem Minimum einpendeln. Unternehmen, deren Compliance-Programme darauf ausgelegt waren, bei der Zulassung gerade die Mindestanforderungen zu erfüllen, werden zunehmend unter Druck geraten, wenn CSA-Ergebnisse neue De-facto-Benchmarks setzen.

Praktische Schritte für Unternehmen jetzt

Sofortmaßnahmen vor H2 2026

Die zweite Jahreshälfte 2026 ist nicht fern. Unternehmen mit Verwahrungsoperationen oder Kunden mit Verwahrungsoperationen sollten unverzüglich die folgenden Schritte unternehmen.

• Kartieren Sie alle Drittanbieter, die in der Verwahrungsinfrastruktur involviert sind, einschließlich Cloud-, Node- und Schlüsselverwaltungsanbieter, und dokumentieren Sie die vertraglichen und operationellen Resilienzbestimmungen für jeden.
• Überprüfen Sie die Governance-Dokumentation auf Vorstandsebene, um zu bestätigen, dass die Risikoverantwortung für die Verwahrung explizit zugewiesen ist und dass Eskalationsverfahren formell genehmigt sind.
• Testen Sie die Verfahren zur Reaktion auf Vorfälle speziell für Verwahrungsszenarien, einschließlich Schlüsselkompromittierung, Smart-Contract-Ausnutzung und Ausfall eines Drittanbieters.
• Beauftragen oder überprüfen Sie bestehende Prüfungen aller Smart Contracts, die in Verwahrungsoperationen verwendet werden, und stellen Sie sicher, dass Versionierung und Änderungsmanagementaufzeichnungen vollständig sind.
• Bewerten Sie, ob die aktuelle Krypto-Buchhaltungssoftware oder Buchhaltungssysteme auf Anfrage Abstimmungsberichte für verwahrte Vermögenswerte erstellen können, die einer NCA-Dokumentenanfrage genügen würden.
• Überprüfen Sie die Angaben im Jahresabschluss auf Angemessenheit im Lichte der von der ESMA identifizierten Risikodimensionen, insbesondere im Hinblick auf Konzentration bei Drittanbietern und die Historie operationeller Vorfälle.

Häufig gestellte Fragen

Welche CASPs werden in dieser CSA geprüft?

Die NCAs werden eine risikobasierte Stichprobe von CASPs auswählen, die in ihrer Zuständigkeit zugelassen sind und Verwahrungstätigkeiten ausüben. Die ESMA hat keine spezifische Auswahlmethodik veröffentlicht, aber die risikobasierte Stichprobenziehung priorisiert in der Regel größere Unternehmen, solche mit komplexeren Operationen oder solche mit früheren aufsichtsrechtlichen Feststellungen. Es gibt keine veröffentlichte Liste ausgewählter Unternehmen.

Gilt dies für CASPs, die nur handeln und nicht verwahren?

Der erklärte Fokus der CSA liegt auf Verwahrungsdienstleistungen. CASPs, die keine Kundenvermögen verwahren, fallen mit geringerer Wahrscheinlichkeit in den Anwendungsbereich dieser spezifischen Aktion, bleiben aber den breiteren operationellen Resilienzanforderungen von DORA und anderen von der ESMA identifizierten Aufsichtsprioritäten unterworfen.

Wie verhält sich diese CSA zu DORA?

DORA gilt für Finanzunternehmen in der EU, einschließlich CASPs, und legt verbindliche Anforderungen für ICT-Risikomanagement, Vorfallsberichterstattung, operationelle Resilienztests und Drittanbieter-Risikomanagement fest. Die CSA bewertet, wie gut CASPs diese Standards speziell in ihren Verwahrungsoperationen umgesetzt haben, sodass die beiden Rahmenwerke direkt komplementär sind.

Wann wird der Abschlussbericht veröffentlicht?

Die ESMA hat angedeutet, dass die Ergebnisse in der zweiten Jahreshälfte 2027 konsolidiert und dem Rat der Aufseher vorgelegt werden, nach Abschluss der Prüfungsphase in der ersten Jahreshälfte 2027. Die Zeitpläne für die öffentliche Veröffentlichung von CSA-Abschlussberichten variieren, aber sie werden in der Regel veröffentlicht, nachdem der Rat der Aufseher sie geprüft hat.

Was sollte eine Wirtschaftsprüfungsgesellschaft tun, wenn ein CASP-Kunde für eine Prüfung ausgewählt wird?

Die Unternehmen sollten dem Kunden helfen, die Dokumentation über die sechs von der ESMA identifizierten Risikodimensionen zu organisieren, zwischen den Rechts-, Compliance- und Technologieteams des Kunden zu koordinieren und sicherzustellen, dass die Angaben im Jahresabschluss mit den Informationen übereinstimmen, die der NCA vorgelegt werden. Diskrepanzen zwischen aufsichtsrechtlichen Einreichungen und geprüften Abschlüssen bergen ein erhebliches Glaubwürdigkeitsrisiko.

Quelle: Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA)