Rejestracja VASP w Portugalii oznacza dziś autoryzację MiCA. Dostawca usług w zakresie aktywów wirtualnych (VASP, virtual asset service provider) to firma, która wymienia, przechowuje, transferuje kryptoaktywa dla klientów lub doradza w ich sprawie. W Portugalii krajowa ścieżka rejestracji, która istniała przed unijnym rozporządzeniem w sprawie rynków kryptoaktywów (MiCA), została zastąpiona: aby legalnie obsługiwać portugalskich klientów, firma potrzebuje autoryzacji jako dostawca usług w zakresie kryptoaktywów (CASP) wydanej przez Banco de Portugal, bank centralny i nadzorcę rynku w tym kraju.
To krótka odpowiedź. Dłuższa ma znaczenie, jeśli zarządzasz płatnościami w firmie kryptowalutowej, bo autoryzacja zmienia to, z jakimi bankami możesz współpracować, co musisz dokumentować i jak starannie sprawdzać rachunki, na które wysyłasz pieniądze.
Sprawdź obowiązujące przepisy, zanim złożysz wniosek
MiCA obowiązuje w całej UE, ale daty stosowania, rozwiązania przejściowe i dokładny wykaz dokumentów wymaganych przez Banco de Portugal są ustalane na poziomie krajowym i mogą się zmieniać. Potwierdź aktualne wymogi w Banco de Portugal lub u swojego doradcy prawnego, zanim zbudujesz na nich plan.
Co się zmieniło: od rejestru krajowego do autoryzacji MiCA
Przed MiCA firmy kryptowalutowe w Portugalii rejestrowały się na podstawie krajowych przepisów o przeciwdziałaniu praniu pieniędzy i figurowały na krajowej liście. MiCA zastąpiła ten zlepek jedną autoryzacją unijną. Praktyczne konsekwencje są następujące:
- Jedna autoryzacja, zasięg w całej UE. CASP z autoryzacją w Portugalii może paszportować swoje usługi do innych państw członkowskich, zamiast składać wniosek kraj po kraju.
- Jeden nadzorca dla licencji. Banco de Portugal ocenia wniosek, ład korporacyjny i kontrole.
- Określony wykaz usług. MiCA wymienia usługi w zakresie kryptoaktywów wymagające autoryzacji - między innymi przechowywanie, prowadzenie platformy obrotu, wymianę kryptoaktywów na środki pieniężne lub inne kryptoaktywa oraz usługi transferu w imieniu klientów.
- Wyższe oczekiwania. Wymogi ostrożnościowe, ład korporacyjny i testy odpowiedniości oraz kompetencji zarządu, wydzielenie aktywów klientów oraz szczegółowe obowiązki w zakresie AML i rozpatrywania reklamacji.
Firmy, które działały już na podstawie przepisów krajowych, dostały okres przejściowy na zmianę reżimu. Jeśli nadal decydujesz, gdzie ulokować firmę kryptowalutową, uczciwa odpowiedź brzmi: wybór dotyczy dziś mniej tego, który rejestr krajowy jest najłatwiejszy, a bardziej tego, z jakim nadzorcą, relacjami bankowymi i systemami płatności możesz faktycznie działać.
Dlaczego licencja kryptowalutowa nie czyni Twoich wypłat bezpiecznymi
Autoryzacja dotyczy tego, czy możesz świadczyć usługę. Nie mówi nic o tym, czy konkretna płatność trafi na właściwy rachunek. To dwa różne pytania, a pieniądze giną właśnie przy drugim.
Firma kryptowalutowa przemieszcza pieniądze w dwóch kierunkach. Po stronie kryptowalut transfery są sprawdzane pod kątem adresów portfeli i narzędziami do screeningu. Po stronie fiducjarnej wysyłasz przelewy w euro na rachunki bankowe klientów, dostawców płynności, giełd i dostawców - a to zwykłe płatności SEPA, ze zwykłymi ryzykami SEPA. Klient, który prosi o wypłatę na „swój” IBAN, e-mail zmieniający dane bankowe kontrahenta, plik wypłat zbudowany z arkusza kalkulacyjnego: każdy z tych przypadków może wysłać prawdziwe pieniądze w niewłaściwe miejsce i żadna licencja kryptowalutowa temu nie zapobiega.
Gdzie mieści się Verification of Payee
Verification of Payee (VoP) to unijna kontrola nazwy w schemacie SEPA. Zanim przelew w euro zostanie wysłany, Twój dostawca usług płatniczych (PSP) - Twój bank lub instytucja płatnicza - wysyła nazwę odbiorcy i IBAN do PSP prowadzącego rachunek docelowy. Ten bank porównuje nazwę z zarejestrowaną nazwą posiadacza rachunku i zwraca jeden z czterech standardowych wyników:
- Zgodność - nazwa zgadza się z posiadaczem rachunku. Działaj z normalnym zaufaniem.
- Częściowa zgodność - nazwy są podobne, ale nie identyczne, na przykład brak drugiego imienia albo nazwa handlowa wobec nazwy zarejestrowanej. Zweryfikowana nazwa wraca, żebyś mógł ją potwierdzić lub poprawić.
- Brak zgodności - nazwa nie należy do tego rachunku. Zatrzymaj się i sprawdź ponownie kanałem, któremu ufasz.
- Brak dostępności - bank odbiorcy nie mógł odpowiedzieć w tym momencie. To ani dobra, ani zła wiadomość; nowego, niemożliwego do zweryfikowania odbiorcę traktuj ze szczególną ostrożnością.
Kontrola ma charakter informacyjny: ostrzega, ale nie blokuje płatności. To celowe, bo decyzja o wysłaniu należy do Ciebie. W firmie kryptowalutowej sprawdza się taki schemat: uruchamiaj kontrolę przy każdej wypłacie fiducjarnej przed jej zwolnieniem i powtarzaj ją zawsze, gdy klient lub kontrahent zmienia dane bankowe - a to dokładnie ten moment, który wykorzystuje oszustwo polegające na przekierowaniu faktur.
Dwie różne kontrole, obie potrzebne
Screening portfeli odpowiada na pytanie „czy ten adres jest ryzykowny?”. VoP odpowiada na pytanie „czy ten IBAN należy do strony, którą wskazałem?”. Proces wypłat potrzebuje obu, bo czysty adres portfela i niezgodny rachunek bankowy mogą pojawić się w tym samym zleceniu wypłaty.
Praktyczna lista kontrolna dla portugalskiego CASP
- 1 Potwierdź w Banco de Portugal aktualną ścieżkę autoryzacji i wymagane dokumenty, zanim zaplanujesz cokolwiek innego.
- 2 Zmapuj każdy przepływ fiducjarny: wypłaty klientów, rozliczenia z dostawcami płynności i giełdami, płatności dla dostawców i wynagrodzenia.
- 3 Sprawdź, czy Twój bank oferuje już VoP przy Twoich przelewach w euro - portugalskie PSP muszą to robić od 9 października 2025 r.
- 4 Jeśli wysyłasz wypłaty przez kilka banków lub dostawcę płatności, ujednolić je w jednej integracji VoP, aby każdy przepływ zwracał te same cztery wyniki.
- 5 Weryfikuj cały plik wypłat przed zwolnieniem, zamiast sprawdzać odbiorców ręcznie, i weryfikuj ponownie przy każdej zmianie danych bankowych.
- 6 Przechowuj wynik VoP razem z zapisem płatności, aby audytor lub nadzorca widział, co i kiedy sprawdziłeś.
To samo pytanie na innych rynkach
Portugalia nie jest jedynym krajem, w którym „rejestracja VASP” jest na nowo definiowana. Firmy porównujące jurysdykcje - Portugalię, Czechy, Litwę, Maltę - w rzeczywistości porównują nadzorców, terminy i dostęp do bankowości. Kierunek w całej UE jest ten sam: jedna autoryzacja na podstawie MiCA, stosowana przez nadzorców krajowych. Jeśli rozważasz opcje, czytaj wymogi w kształcie dzisiejszym, a nie takim, jak opisywano je rok temu.
RoxPay udostępnia Verification of Payee w schemacie SEPA przez jedno API REST i panel, zwracając standardowe wyniki - zgodność, częściową zgodność, brak zgodności i brak dostępności - w znacznie mniej niż sekundę, ze zweryfikowaną nazwą przy częściowej zgodności, dla pojedynczej płatności lub całego pliku wypłat.