Häufige Fehler bei CASP-Anfragen und wie man sie vermeidet

WICHTIG: Dieser Artikel wurde gemäß dem zum Zeitpunkt seiner Veröffentlichung geltenden regulatorischen und überwachenden Rahmen verfasst, insbesondere der Verordnung (EU) 2023/1114 (MiCA) und den Kriterien, die vor dem CNMV für Krypto-Asset-Dienstleister gelten. Da CASP-Zulassungsanforderungen, Anwendungshandbücher, technische Kriterien, Governance, AML/CFT, Cybersicherheit und Dokumentenprüfungsanforderungen vom CNMV, ESMA oder anderen zuständigen Behörden aktualisiert werden können, muss jede Akte gemäß den aktuellen Vorschriften und dem tatsächlichen Geschäftsmodell des Antragstellers überprüft werden.

Der Inkrafttreten von MiCA hat eine völlig neue Phase für Krypto-Asset-Dienstleister (CASPs) in der Europäischen Union eröffnet. In Spanien ist das CNMV zum obligatorischen Tor für jedes Projekt geworden , das mit rechtlicher Sicherheit arbeiten, institutionelle Investitionen anziehen oder seine Aktivitäten ohne regulatorische Unsicherheit ausweiten möchte.

Das Problem, das wir in einigen Projekten beobachten, die uns präsentiert werden, ist, dass dieser Anstieg an Anwendungen nicht mit dem gleichen Qualitätsniveau der Dateien einhergeht. In der Praxis sehen wir ein sehr deutliches Muster: Die meisten Ablehnungen und Abhilfeanfragen resultieren aus völlig vermeidbaren Fehlern.

Dieser Artikel ist ein praktischer Leitfaden – ohne unnötige Formalitäten – um zu verstehen, wo wir CASP-Dateien versagen sehen, wie man sie vermeidet und was das CNMV wirklich von jedem Projekt erwartet.

IN DIEM bietet Abogados den recht-regulatorischen Ansatz und Cryptoveritas 360 die technische, cybersicherheitsbezogene und Blockchain-Audit-Expertise.

Warum ist es so leicht, Fehler bei CASP-Anwendungen zu machen?

Wer MiCA zum ersten Mal anspricht, denkt meist, dass es sich um eine Regulierung handelt, die sich nur auf den rechtlichen Teil konzentriert. In Wirklichkeit ist es jedoch ein legales + technisches + operatives Modell.

Dokumente müssen wie ein Puzzle zusammenpassen: AML-Handbücher, Governance, technologische Architekturen, Betriebsabläufe, Verwahrungsrichtlinien usw. Jede Inkonsistenz wird vom CNMV schnell erkannt.

Viele Projekte kommen aus dem Start-up-Umfeld, in dem Geschwindigkeit über Dokumentation steht. Das steht im direkten Gegensatz zu dem Detailniveau, das MiCA verlangt.

MiCA Spanien-Anforderungen: Der Nullpunkt, an dem viele Fehler beginnen

Zahlungsfähigkeit und Kapital

MiCA erfordert echte Solvenz, keine deklarative Solvenz. Ein Verwahrungsdienst mit Millionen unter Verwaltung kann ein kleines Kapital ohne eine solide Risikoanalyse nicht rechtfertigen. Einer der schwerwiegendsten Fehler: generische oder kopierte Handbücher. Das CNMV erkennt sie momentan, weil ihnen die notwendige Spezifität fehlt. Ein AML-Playbook sollte lebendig sein und die tatsächlichen Risiken für Ihr Geschäftsmodell, Ihre Kunden und die Blockchains, mit denen Sie arbeiten, widerspiegeln.

AML/CFT-Handbücher

Einer der schwerwiegendsten Fehler: generische oder kopierte Handbücher. Das CNMV erkennt sie momentan, weil ihnen die notwendige Spezifität fehlt. Ein AML-Playbook sollte lebendig sein und die tatsächlichen Risiken für Ihr Geschäftsmodell, Ihre Kunden und die Blockchains, mit denen Sie arbeiten, widerspiegeln.

Verwaltung

Klare Rollen, Rückverfolgbarkeit und definierte Prozesse. Viele Projekte scheitern, weil es „schöne, aber leere“ Organigramme gibt, bei denen keine konkreten Verantwortlichkeiten zugewiesen werden oder keine effektive Befehlskette für kritische Entscheidungen nachgewiesen wird.

Technologische Systeme

Eine der anspruchsvollsten Anforderungen. Der technische Teil wird oft oberflächlich beschrieben, was relevante Zweifel an der Sicherheit, Widerstandsfähigkeit und tatsächlichen Kapazität der Infrastruktur aufwirft. Das CNMV muss nicht nur verstehen , was Sie tun, sondern auch, wie Sie es sicher tun.

IN DIEM + Cryptoveritas 360 werden jedes Dokument mit den anderen gegenübergestellt, um Inkonsistenzen zu vermeiden, dem häufigsten Fehler.

Top 10 häufigste Fehler bei CASP-Anfragen

1. Vage oder inkonsistente Geschäftsmodelle.

• Der Fehler: Beschreiben Sie den Service allgemein („wir sind eine Börse“), ohne spezifische Arbeitsabläufe, Zielkunden, Einnahmequellen oder eine realistische Einschätzung der operativen Risiken zu beschreiben.
• CNMV-Beispiel: Ein Projekt wird als NFT-Marktplatz präsentiert, aber seine AML-Dokumentation unterscheidet nicht zwischen einem Künstler, der ein Werk prägt, und einem Sammler, der mit hohen Volumina handelt. Die CNMV nimmt ein mangelndes Verständnis für ihr eigenes Geschäft wahr.
• Die Lösung: Das Geschäftsmodell sollte eine vollständige operative Erzählung sein. Es enthält Nutzerflussdiagramme (Onboarding, Trading, Auszahlungen), definiert Ihre Kundenpersonas (Käuferpersonas) und präsentiert eine SWOT-Analyse, die Ihre strategischen und Risikoentscheidungen begründet.

2. Generische AML/CFT-Pläne, die von Dritten kopiert wurden.

• Der Fehler: Sie verwenden Vorlagen aus dem Internet oder Dokumente anderer Unternehmen, ohne sie an die technologische und betriebliche Realität des Projekts anzupassen. Die CNMV sucht nach dem „Cut and Paste“ und bestraft es.
• CNMV-Beispiel: Das AML-Handbuch erwähnt die Überwachung von „Barzahlungen“ oder geografischen Risiken von Rechtsgebieten, in denen Sie nicht tätig sind, wenn Ihre Plattform zu 100 % digital ist und in der EU betrieben wird. Das verrät den Mangel an Personalisierung.
• Die Lösung: Absolute Individualisierung. Dein AML-Handbuch sollte deine tatsächliche Risikobewertung widerspiegeln, die spezifischen KYT-Tools erwähnen, die du nutzt (wie Chainalysis oder Elliptic), die von dir unterstützten Blockchain-Protokolle und die auf Basis deiner Aktivität definierten Warnschwellen.

3. Schlecht definierte Governance oder ohne klare Verantwortlichkeiten.

• Der Fehler: „Ornamentale“ Organisationsdiagramme, bei denen nicht klar ist, wer die letztendliche Entscheidungsbefugnis in kritischen Bereichen wie AML, Technologie oder Risikomanagement hat.
• CNMV-Beispiel: Die Abbildung des „Compliance Officer“ erscheint im Organigramm, aber seine in einem anderen Dokument beschriebenen Funktionen sind unklar, und er hat kein Vetorecht gegen die Einführung neuer Hochrisikoprodukte. Es wird als Testimonial-Beitrag wahrgenommen.
• Die Lösung: Weisen Sie jeder von MiCA geforderten Rollen Vor- und Nachnamen zu. Erstellen Sie Verantwortungsmatrizen (RACI) und fügen Sie Protokolle der ersten Sitzungen des Risikoausschusses bei, um zu zeigen, dass die Governance aktiv und nicht nur theoretisch ist.

4. Fehlanpassung zwischen technischen und rechtlichen Dokumenten.

• Der Fehler: Die technische Beschreibung der Systeme (z. B. Verhältnis zwischen heißen und kalten Portfolios) stimmt nicht mit den Ausführungszeitplänen oder Katastrophenwiederherstellungsrichtlinien überein, die in den operativen und rechtlichen Handbüchern beschrieben sind.
• CNMV-Beispiel: Das rechtliche Dokument verspricht eine Serviceverfügbarkeit (SLA) von 99,99 %, aber die technische Architektur beschreibt Wartungsfenster ohne Kundenkommunikationsverfahren oder echte Redundanz. Die Inkohärenz ist eklatant.
• Die Lösung: Kreuzvergleiche und ständige Überprüfung. Ein Anwalt muss die Grundlagen der beschriebenen Technologie verstehen, und ein Techniker muss die rechtlichen Anforderungen verstehen, die die Architektur erfüllen muss. Jede Aussage in einem Dokument muss ihre kohärente Widerspiegelung in allen anderen haben.

5. Fehlende Begründung technologischer Anforderungen.

• Der Fehler: Sie behauptet, die Cybersicherheitsstandards einzuhalten, ohne zu erklären, wie. Vage Formulierungen wie „wir verwenden Verschlüsselung“ oder „wir haben ein SOC“ reichen nicht aus und erzeugen sofortige Anforderungen.
• CNMV-Beispiel: „Wir haben ein SOC (Sicherheitsoperationszentrum).“ Das CNMV wird fragen: Ist es intern oder ausgelagert? Welche Zertifizierungen hat das Team? Wie sind die Reaktions-SLAs? Welche Ereignisse werden speziell überwacht?
• Die Lösung: Technische Spezifität. Anstelle von „Verschlüsselung“ steht darin: „Wir verwenden AES-256 für ruhende Daten und TLS 1.3 für Daten im Transit.“ Fügen Sie Team-Zertifizierungen, detaillierte Architekturdiagramme und dokumentierte Sicherheitsrichtlinien (Patching, Zugriff usw.) bei.

6. Unterschätzung von KYC und Rückverfolgbarkeit.

• Der Fehler: Die Implementierung eines grundlegenden KYC-Prozesses, der nicht skalierbar ist oder keine vollständige Rückverfolgbarkeit der Kundentransaktionen über die Zeit ermöglicht, verstößt damit gegen das Prinzip „Kennen Sie Ihren Kunden“ auf laufender Basis.
• CNMV-Beispiel: Das System ermöglicht das Onboarding eines Kunden, kann jedoch nicht automatisch alle zugehörigen Portfolios verfolgen und gruppieren oder verdächtige Verhaltensmuster basierend auf der Transaktionshistorie erkennen.
• Die Lösung: Integration von On-Chain- und KYT-Analysetools durch Design. Zeigen Sie dem CNMV, dass Ihr System der Finanzierungsspur über eine einfache Transaktion hinaus folgen kann, indem Sie Adressen verknüpfen und anomales Verhalten erkennen.

7. Die Erfahrung des Managementteams wird nicht gerechtfertigt.

• Der Fehler: Generische Lebensläufe einzureichen, ohne zu zeigen, wie die spezifische Erfahrung jedes Vorgesetzten relevant und angemessen für die Risiken und die Komplexität eines CASP ist.
• CNMV-Beispiel: Der Chief Technology Officer verfügt über umfangreiche Erfahrung in traditioneller IT, aber sein Lebenslauf zeigt keine spezifischen Kenntnisse in Blockchain-Cybersicherheit, Private Key Management oder dezentralen Architekturen.
• Die Lösung: Lebensläufe sollten argumentativ sein. Listen Sie nicht nur Erfahrungen auf, sondern erklären, wie jede vorherige Position den Manager darauf vorbereitet hat, die spezifischen Risiken von MiCA zu managen. Spezifische Schulungen in Blockchain und Regulierung sind ein wichtiger Pluspunkt.

8. Nicht existierende oder vage Kontinuitätsverfahren.

• Der Fehler: Keinen Business-Continuity-Plan (BCP) zu haben oder einen, der nur eine Absichtserklärung ist, ohne konkrete Schritte, zugewiesene Rollen und Kommunikationspläne für größere Vorfälle.
• CNMV-Beispiel: Der BCP-Plan erwähnt „Wiederherstellung an einem sekundären Standort“, spezifiziert jedoch keine RTOs (Recovery Time Objectives) und RPOs (Recovery Point Objectives) und legt auch nicht detailliert dar, wie Datenkonsistenz in einem Krisenszenario gewährleistet wird.
• Die Lösung: Entwickeln Sie eine detaillierte und realistische BCP. Fügen Sie Testszenarien, Kommunikationspläne für Kunden und Regulierungsbehörden sowie spezifische technische Verfahren für System- und Datenwiederherstellung ein.

9. Oberflächliche oder unglaubwürdige Sorgerechtsregelungen.

• Der Fehler: Beschreibung eines Treuhandsystems, ohne technische Belege für dessen Implementierung vorzulegen, wie etwa Mehrparteien-Signaturschemata, Asset-Segregation oder Schlüsselwiederherstellungsprotokolle.
• CNMV-Beispiel: Ein Unternehmen behauptet, „98 % Cold Wallets“ zu verwenden, beschreibt aber nicht das physische und logische Verfahren zum Zugriff darauf oder wie das Risiko eines einzelnen Fehlerpunkts in diesem Prozess gemindert wird.
• Die Lösung: Stellen Sie ausführliche technische Dokumentation zum Sorgerecht bereit. Schlüsselarchitekturdiagramme, Beschreibung von Hardware-Sicherheitsmodulen (HSMs) und geprüfte Verfahren für die Erzeugung, Speicherung und Nutzung privater Schlüssel.

10. Unstimmigkeiten zwischen den Anhängen, die dem CNMV eingereicht wurden.

• Der Fehler: Die Fakten, Zahlen oder Beschreibungen in einem Anhang stimmen nicht mit denen eines anderen überein. Zum Beispiel unterscheidet sich das Aktienkapital in einem Dokument von dem, das in einem anderen angegeben wurde, oder die im technischen Handbuch unterstützte Liste der Protokolle stimmt nicht mit der des kommerziellen Protokolls überein.
• CNMV-Beispiel: Der Finanzanhang nennt ein Kapital von 150.000 €, während der beschreibende Bericht von 125.000 € spricht. Oder das Marketinghandbuch wirbt die Unterstützung einer Blockchain an, die in der Technologierisikobewertung nicht auftaucht.
• Die Lösung: Führen Sie eine abschließende „horizontale Lesung“ der gesamten Datei durch. Überprüfen Sie, ob jede Information, jeder Name, jede Abbildung und jede Beschreibung in den mehr als 20 Dokumenten übereinstimmt, die in einem Antrag üblicherweise enthalten sind. Dies ist eine der wichtigsten Aufgaben vor der Einreichung.

Wie kann man Fehler vermeiden, bevor man seine Bewerbung einreicht?

Die beste Strategie ist eine rechtliche und technische Vorprüfung , bei der die gesamte Akte mit dem gleichen Ansatz wie das CNMV überprüft wird, jedoch mit einer konstruktiven und verbesserungsorientierten Mentalität.

Grundlegende Checkliste

• Operatives und verständliches Geschäftsmodell mit detaillierten Abläufen.
• Identifizierte, bewertete und quantitativ begründete Risiken.
• Das AML-Handbuch ist zu 100 % an Ihren Service, Ihre Technologie und Ihre Kunden angepasst.
• Technologie präzise beschrieben, ohne Unschärfe.
• Echte Cybersicherheitsmaßnahmen, dokumentiert und gerechtfertigt.
• Kohärente Governance mit definierten Managern und Prozessen.
• Ein geeignetes und solventes Managementteam mit akkreditierter, relevanter Erfahrung.
• Alle Anbauten sind übereinstimmend und ohne interne Widersprüche.

Die Bedeutung der rechtlich-technischen Ausrichtung: der entscheidende Faktor

Wenn der rechtliche Teil das eine sagt und die Technik etwas anderes beschreibt, erkennt das CNMV das innerhalb weniger Minuten. Diese Unterbrechung ist die Hauptursache für Korrekturanforderungen und Verzögerungen. Die Regulierung von MiCA ist ihrer Natur nach ein interdisziplinärer Rahmen, der eine ebenso integrierte Antwort erfordert.

Wie IN DIEM + Cryptoveritas 360 das Problem beheben

• Smart Contract Audit (falls zutreffend) und Überprüfung der Blockchain-Architektur.
• Umfassende Cybersicherheitsbewertung der Infrastruktur.
• Technologierisikoanalyse ist auf die Kapitalanforderungen abgestimmt.
• Überprüfung aller Handbücher (AML, Governance, Technologie) zur Sicherstellung von Konsistenz.
• Vollständige Ausrichtung zwischen Geschäftsmodell, zugrundeliegender Technologie und AML/CFT-Richtlinien.

Bitte beachten Sie…

Die meisten Fehler bei CASP-Anfragen sind vermeidbar. Sie hängen nicht von der Größe des Projekts ab, sondern von der Qualität der Datei und der Übereinstimmung zwischen rechtlichem, technischem und betrieblichem Bereich.

Wie können IN DIEM Abogados in diesem Prozess helfen?

Bei IN DIEM Abogados und Cryptoveritas 360 arbeiten wir zusammen, damit jeder Antrag kohärent, solide und bereit zur Genehmigung ohne Verzögerungen beim CNMV ankommt.

Unsere Kanzlei bietet umfassende Beratung in allen Bereichen rund um Krypto-Vermögenswerte und Blockchain, einschließlich:

• Recht und Kryptowährungen: Wir beraten zu Bitcoin, Altcoins, ICOs, NFTs und blockchain-basierten Projekten und bieten rechtliche Sicherheit von der Erstellung bis zum Betrieb jedes Kryptoassets.
• Krypto-Steuer und Steuern: Wir bieten fachkundige Beratung zur Besteuerung von Investitionen in Kryptowährungen, Kauf- und Verkaufsoperationen, Staking, DeFi und Airdrops und stellen die Einhaltung aktueller Vorschriften sicher.
• Registrierung und Einhaltung bei der Bank of Spain: Wir begleiten Kryptowährungsbörsen- und Verwahrungsplattformen bei ihrer Registrierung und Einhaltung gesetzlicher Vorschriften und garantieren so sichere und legale Abläufe.
• MiCA-Regulierung: Wir helfen Krypto-Unternehmen, die neue europäische Regulierung einzuhalten, die alles von Lizenzierung über die Umsetzung von Anti-Geldwäsche-Maßnahmen (AML), Verbraucherschutz bis hin zu Compliance-Prüfungen abdeckt.
• Betrügereien auf Webplattformen mit Kryptowährungen. Strafrecht: Wir bieten rechtliche Verteidigung und Rückforderungsstrategien gegen Betrug oder Betrügereien in Börsen, Wallets oder jeder digitalen Anlageplattform an.

In einem zunehmend komplexen und wettbewerbsintensiven regulatorischen Umfeld ist es entscheidend, eine Kanzlei zu haben, die sowohl Technologie als auch Recht versteht , um Risiken zu minimieren und Chancen zu nutzen. In Diem Abogados berät es in Zusammenarbeit mit seinem Technologiepartner Cryptoveritas 360 nicht nur: Es begleitet, implementiert und garantiert, dass Ihr Kryptounternehmen Vorschriften einhält, sichere technologische Lösungen integriert und im digitalen Ökosystem gedeiht.

IN DIEM Anwälte, Kryptowährungsexperten zur Verfügung stehen.

Bei IN DIEM Abogados verfügen wir über die besten Experten in verschiedenen Rechtsgebieten – Strafrecht, Zivilrecht, Verwaltungsrecht, Wirtschaft und Sozialrecht – und garantieren jederzeit Beratung und Verteidigung der Interessen unserer Mandanten. Darüber hinaus ist unsere Kanzlei auf das Management und die Koordination von Straf- und Zivilverfahren mit Gruppen betroffener Parteien spezialisiert, was es uns ermöglicht, eine effektive gemeinsame Strategie anzubieten, Ressourcen zu optimieren und die Position jedes Mandanten im Prozess zu stärken.

Kontaktieren Sie IN DIEM Abogados rund um die Uhr, an jedem Tag der Woche, unverbindlich.

Wir garantieren das bestmögliche Ergebnis, egal wie Ihr Fall ist.

• Persönliche und professionelle Betreuung
• Steuer- und regulatorische Compliance-Beratung
• Unterstützung bei Steuer-, Gerichts- oder anderen Verfahren
• 24-Stunden-Kontakt mit Ihrem erfahrenen Anwalt
• Absolute Vertraulichkeit

Gibt es sonst noch etwas über IN-DIEM-Anwälte? Wir verlassen Sie mit diesem kurzen Präsentationsvideo…

Für einige Anerkennungen hinterlassen wir Ihnen diesen Link.

Sie finden uns in Sevilla, Madrid, Las Palmas de Gran Canaria, Malaga, Tomares, Coria del Rio, Dos Hermanas, Mairena del Alcor, Estepona, Marbella und Mairena del Aljarafe. Es wird mir eine Freude sein, Ihnen zu helfen.