Het is ruim anderhalf jaar geleden dat de Europese Unie het eens werd over nieuwe wetgeving voor cryptobedrijven: de MiCAR en de TFR. Die wetgeving komt steeds dichterbij; eind van deze maand gaan de eerste bepalingen van kracht voor de regulering van stablecoins. Cryptodienstverleners zijn vanaf 30 december aan de beurt. Zij zullen ook onder DORA vallen, welke achttien dagen later van kracht gaat voor alle financiële instellingen, met als doel financiële wereld te reguleren ten aanzien van o.a. hun cybersecurity en ICT-risicobeheersing.
In dit artikel doet Danny Oosterveer (Digital Marketing Manager bij Amdax) uit de doeken wat deze nieuwe wetgevingen gaan betekenen voor de Nederlandse cryptobedrijven en verkennen we hoe het er voor staat met de toepassing.
Europese regulering voor cryptodienstverleners
Met de introductie van de Markten in Crypto-activa Verordening (MiCAR) komt er in één klap regulering voor de cryptosector in de hele EU. Het belangrijkste doel van MiCAR is het beschermen van consumenten en beleggers. Niet langer kunnen partijen die hun klanten of volgers verkeerd voorlichten daar ongestraft mee wegkomen. Ook wordt misleidende reclame verboden. Aanbieders van cryptoactiva mogen geen te gevaarlijke of ingewikkelde producten meer verkopen. En wordt een platform gehackt? Dan moet de aanbieder ervan zijn klanten compenseren.
Met andere woorden, wat er nu aankomt zijn regels voor cryptoactiva die vergelijkbaar zijn met wat al geldt voor de huidige financiële sector. Zo komt er een vergunningsplicht, vergelijkbaar aan die van aandelenbrokers, met doorlopend toezicht. Denk ook aan regels voor cryptoactiva die lijken op de prospectusplicht die van toepassing is op de uitgifte van aandelen, en regels die van toepassing zijn op advisering, manipulatie en handel met voorkennis.
Gelijk speelveld voor alle dienstverleners binnen Europa
Een verordening is echt een Europese wet. Dat betekent dat hij voor alle landen hetzelfde geldt. De tegenhanger daarvan is een richtlijn. En als Europa een richtlijn opzet, dan geven ze eigenlijk aan, nou zo moet ongeveer jullie nationale wet eruit zien.
MiCAR als Europese verordening overstijgt het Nederlandse bestel. Dat betekent dat alle lidstaten zich er direct aan moeten houden en er weinig ruimte is voor eigen interpretatie van de regels. Voor Nederlandse partijen wordt het zo makkelijker om de afzetmarkt te vergroten. Nu moeten zij zich in ieder lidstaat afzonderlijk registreren, een duur en tijdrovend proces. Al die registraties gaan straks op in één licentie.
Consumentenbescherming
MiCAR bevat legio regels om fraude te bestrijden en eerlijke handelspraktijken te waarborgen. Zo moeten (f)influencers hun posities bekendmaken bij het promoten van cryptoactiva, wordt het voor offshore-bedrijven moeilijker (zo niet onmogelijk) om hun diensten in de EU aan te bieden via dienstverleners, en moet de uitgever van een token een whitepaper publiceren die vergelijkbaar is met de prospectus van een aandeel.
Voor cryptobewaarpartijen betekent dit bijvoorbeeld dat je moet zorgen voor vermogensscheiding, zodat de klantgelden in derdengelden entiteit zijn ondergebracht, veilig voor wanneer er iets misgaat bij de onderneming. Interne integriteitseisen zijn ook onderdeel van de regulering, om alle vormen van marktmisbruik te voorkomen, op te sporen en te bestraffen. Ook worden er eisen gesteld aan hoe je personeel geschoold moet zijn en moeten er waarschuwingen over bepaalde cryptomunten worden vermeld op je website. Onder het huidige DNB-regime vielen partijen al onder anti-witwaswetgeving. Dit wordt onder MiCAR en met de TFR versterkt.
Handelsplatforms moeten marktmisbruik kunnen detecteren en melden, en de huidige bied- en laatkoersen openbaar maken. Brokers moeten orders uitvoeren tegen het best mogelijke resultaat en afstand doen van verborgen kosten. Adviseurs en vermogensbeheerders moeten rekening gaan houden met de risicotolerantie en kennis van hun klanten.
One regulation to rule them all
Nederlandse cryptobewaardiensten en wisseldiensten vallen op dit moment onder het vergunningsregime van de DNB. MiCAR gaat voor een veel grotere groep bedrijven gelden. Onder die nieuwe definitie van CASPs vallen bijvoorbeeld ook adviseurs, vermogensbeheerders en ketenpartijen. De MiCAR zal voor deze partijen een grote opgave zijn, omdat zij nog niet eerder aan strenge vereisten hoefden te voldoen.
Gemengde reacties
De wetgeving kan op gemixte reacties rekenen vanuit de cryptosector. Wat overheerst is de consensus dat een goed gereguleerde omgeving cruciaal is voor duurzame groei en acceptatie van crypto-assets als onderdeel van de mainstream financiële sector.
Brancheverenigingen en kleinere spelers zien de positieve uitkomsten, maar uiten voornamelijk zorgen over de toenemende compliance-kosten en de mogelijke beperkingen op innovatie door strikte regels. Puristen uiten kritiek omdat ze vrezen dat de nieuwe wetgeving de kernprincipes van decentralisatie en privacy ondermijnt. Ze zien de verplichte datadeling en transactiemonitoring als een aantasting van de anonimiteit.
Lucas Wensing, CEO van Amdax, dat in 2020 als eerste Nederlandse partij een groen vinkje kreeg van toezichthouder DNB, vindt het positief dat de kaf van het koren wordt gescheiden. Lucas vindt dat beleggen in digital assets op eenzelfde manier gereguleerd moet worden als bijvoorbeeld beleggen in aandelen. “Beleggers moeten zeker weten dat ze zakendoen met een betrouwbare partij.”
Het is volgens Wensing de hoogste tijd dat er een einde komt aan de zeer beperkte regulering op de cryptomarkt. Veel cryptoprojecten zijn volgens hem een scam die geen enkele waarde toevoegen. “Dat schaadt het vertrouwen en weerhoudt serieuze beleggers ervan om de stap te zetten.”
Wensing hoopt dat de ontwikkeling van toezicht op de cryptomarkt er uiteindelijk toe leidt dat juist meer partijen zich op de markt wagen. Met het binnenkort van kracht worden van nieuwe Europese wetgeving specifiek voor crypto-assets, breidt het speelveld uit van Nederland naar heel Europa. “Ik hoop dat het ons opnieuw lukt om een van de eerste partijen te zijn met de verplichte vergunning onder deze nieuwe regelgeving.”, aldus Wensing.
Meer dan alleen MiCAR
Reeds geregistreerde partijen (onder DNB) zullen met MiCAR waarschijnlijk niet veel grote problemen tegenkomen, maar cryptobedrijven moeten zich vanaf 2025 ook nog gaan houden aan andere Europese wetten.
TFR (travel rule)
De TFR (Transfer of Funds Regulation) is een regelgeving van de Financial Action Task Force (FATF) die vereist dat financiële instellingen bepaalde informatie uitwisselen over de afzender en ontvanger bij transacties. Oorspronkelijk bedoeld voor de banksector, is deze regel uitgebreid naar andere financiële diensten, waaronder cryptovaluta-uitwisselingen.
De regel heeft als doel het witwassen van geld, de financiering van terrorisme en het ontwijken van sancties tegen te gaan door transparantie te bieden in financiële transacties. Voor crypto overboekingen betekent dit dat wanneer een gebruiker cryptovaluta overmaakt naar een andere dienstverlener, de partij informatie moet verstrekken over o.a. de identiteit van de verzender en ontvanger.
Deze regel, beter bekend als de Travel Rule, treedt net als MiCAR op 30 december 2024 in werking. Deze regel is van toepassing op alle transacties tussen dienstverleners. Voor transacties van een dienstverlener naar een eigen wallet geldt een verhoogd risico. Hebben ze een waarde boven de 1000 euro? Dan is de dienstverlener verplicht om eigenaarschap van de wallet de verifiëren.
DORA
DORA verwijst naar de Digital Operational Resilience Act, Europese regelgeving gericht op de digitale weerbaarheid van de financiële sector tegen cyberaanvallen en beveiligingsrisico's. Deze wet geldt dus niet alleen voor cryptodienstverleners, maar voor alle financiële instellingen (dus ook banken, verzekeraars, e.d.). Cryptodienstverleners moeten al wel eerder aan deze eisen voldoen, al in januari 2025.
De impact van DORA op reeds geregistreerde cryptopartijen is mogelijk nog groter dan MiCAR, De wet stelt vereisten voor financiële instellingen en hun kritieke dienstverleners voor hun digitale weerbaarheid. Denk aan eisen voor cybersecurity, en de noodzaak van ICT riskmanagement. Daar komt veel bij kijken, zoals het implementeren van risicomanagement, incidentenmanagement, het uitvoeren van pen-testen en 3rd-party riskmanagement.
Cryptodienstverleners die al eerder door een ISAE-3000 of SOC-audit zijn gekomen hebben hier al een voorsprong, Coinbase. Maar ook deze bedrijven zullen nog flink wat werk moeten verzetten.
Uitvoering door DNB en AFM
De uitvoering en handhaving van deze regels komen te liggen bij de AFM en DNB. Bij DNB wordt het toezicht op de uitgifte van stablecoins en de kapitaaleisen voor dienstverleners ondergebracht. De AFM wordt de toezichthouder ten aanzien van de overige onderdelen van MiCA, zoals de uitgifte van cryptoactiva en het verlenen van vergunningen aan cryptodienstverleners.
Om hun taken als toezichthouder goed te kunnen uitvoeren, krijgen ze veel nieuwe bevoegdheden. Denk daarbij aan het opleggen van allerlei verboden, maar ook aan het verplichten van partijen om een whitepaper of reclame-uiting aan te passen.
Eerste deel regulering deze maand actief
Vanaf 30 juni treedt de eerste akte van MiCAR in werking. Dit is gericht op het reguleren van de uitgifte van stablecoins. Vanaf dat moment moeten bedrijven die stablecoins uitgeven – zoals Tether (USDT) en Circle (USDC) – aan nieuwe regels voldoen. Uitgevers van stablecoins moeten een MiCA-licentie als Electronic Money Token (EMT) hebben en krijgen te maken met eisen ten aanzien van de onderliggende reserves. Stablecoins worden nog strenger gereguleerd dan cryptobedrijven.
Aan uitgevers van dit type tokens stelt MiCA strengere eisen dan aan uitgevers van andere cryptoactiva. Dat komt volgens de Memorie van Toelichting (MvT) op de Nederlandse uitvoeringswet omdat ze “een belofte doen aan de houders ervan, namelijk dat deze tokens stabiel in waarde zijn”. Aan het breken van die belofte zitten “reële risico’s”, zowel voor de houders ervan als voor de stabiliteit van de cryptosector en in ultimo ook de traditionele financiële sector.
De regulering moet een tweede ineenstorting van TerraUSD voorkomen. De regels zijn extra streng als een stablecoin ‘significant’ is. Met die term bedoelt de wetgever grote, beduidende stablecoins. Dat ben je bijvoorbeeld met meer dan 10 miljoen holders, meer dan 5 miljard euro in kas, en/of met meer dan 2,5 miljoen transacties per dag.
De grootste stablecoin, Tether (USDT), is op allerlei manieren significant. Tether zou minimaal 60 procent van het onderpand moeten aanhouden in cash, gestald bij Europese banken. Niet één, maar meerdere, want er mag niet meer dan 10 procent van het totaal bij een bank staan. Dat is niet alleen omslachtig, ook het business model van Tether komt erdoor onder druk te staan. Aan cash bij de bank valt immers enkel wat rente te verdienen. De uitgever van de op de dollar gebaseerde stablecoin USDT heeft zich dan ook niet bij de Europese toezichthouder gemeld voor een vergunning. Concurrent Circle, uitgever van USDC, heeft zich ook kritisch geuit, maar heeft zich wel aangemeld.
Professionalisering cryptosector
Samen draagt nieuwe Europese wetgevingen bij aan de verdere professionalisering van de crypto-sector. Ze creëren een veiligere en betrouwbaardere omgeving, wat essentieel is om institutionele beleggers en grote financiële actoren aan te trekken. Dit zal op zijn beurt helpen om de volatiliteit te verminderen en de marktstabiliteit te vergroten. Daarnaast verhogen deze regels het algemene vertrouwen in de crypto-markt, wat cruciaal is voor zowel huidige als toekomstige adoptie op brede schaal.
Deze wetgevende ontwikkelingen kunnen gezien worden als een positieve stap richting de acceptatie en normalisatie van crypto-assets als legitieme en stabiele financiële instrumenten binnen de Europese markt. Voor cryptobedrijven biedt dit een unieke kans om te groeien en te innoveren binnen een gereguleerd en ondersteunend kader dat zowel bescherming als kansen biedt.