Le MLRO a ses propres règles. La plupart des États membres de l'UE l'exigent comme poste nommé et dédié — distinct du CCO — avec accès au conseil d'administration et autorité documentée pour déposer des rapports d'activités suspectes indépendamment. Le déléguer à un conseil externe n'existe pas vraiment. Le MLRO doit être un salarié.
Rien de cela n'est techniquement difficile. Mais le construire à partir de zéro prend au minimum six mois, et l'NCA vérifiera que ça marche vraiment, pas juste que vous avez écrit les politiques.
À ce stade, la plupart des opérateurs découvrent comment ItisPay résout ce problème sans licence propre plutôt que de passer 12 mois à construire une organisation de conformité avant de savoir si l'NCA l'approuvera.
ICT et DORA : la couche technique que la plupart des opérateurs ignorent#
À partir du 17 janvier 2025, les CASP régulés par MiCA relèvent aussi du Digital Operational Resilience Act (DORA). MiCA exige un cadre de sécurité ICT comme condition d'autorisation. DORA dit ce qu'il doit contenir.
La soumission DORA — incluse dans la demande MiCA — doit couvrir :
- Un cadre de gestion des risques ICT avec des politiques écrites sur l'identification, la protection, la détection, la réponse et la récupération
- Des procédures pour détecter, classifier et signaler les incidents. Les incidents ICT majeurs doivent être signalés à l'NCA dans les délais impartis
- Un plan de continuité des activités, testé chaque année
- Un registre des risques ICT tiers pour chaque fournisseur matériel et prestataire cloud, avec un plan de sortie écrit
- Des exercices de réponse aux incidents selon un calendrier défini
Pour les CASP « importants » au-delà des seuils fixés par l'NCA, les articles 24 à 27 de DORA exigent des tests de pénétration dirigés par les menaces tous les trois ans, via des prestataires externes approuvés. Un premier engagement TLPT — définition du périmètre, exécution, rapports de correction — coûte généralement entre 30 000 € et 80 000 €.
Construire un cadre ICT conforme à DORA à partir de zéro prend six à douze mois. L'NCA ne demande pas un modèle de politique : il veut une structure opérationnelle réelle. Les NCA veulent des enregistrements de tests et des journaux d'incidents. Les entreprises qui arrivent avec de la documentation mais sans preuve opérationnelle réelle sont rejetées au premier cycle d'examen formel.
Les exigences sur les risques tiers frappent dur les entreprises de crypto utilisant le cloud. Chaque dépendance — fournisseurs d'hébergement, fournisseurs KYC, fournisseurs de données blockchain, prestataires de conservation — nécessite une diligence raisonnable documentée, des droits d'audit dans les contrats et un plan de sortie écrit. Une entreprise qui ne peut pas prouver sa sortie d'AWS, Google Cloud ou Fireblocks ne passera pas le seuil de risque de concentration de DORA.
Pays par pays : les calendriers ne sont pas égaux#
MiCA s'applique à toute l'UE, mais l'autorisation dépend de chaque pays. Les délais varient énormément.
La Lituanie est la plus rapide. La Banque de Lituanie autorise généralement les CASP en six mois, parfois moins pour les dossiers complets. La période transitoire lituanienne s'est terminée le 1er janvier 2026. Toute entreprise encore en statut temporaire là-bas est déjà à risque. Si vous avez déposé avant février 2026 avec un dossier complet, la Lituanie est le seul endroit où vous pourriez théoriquement obtenir une licence avant juillet.
Les Pays-Bas viennent en deuxième. L'AFM a émis ses premières licences MiCA le 30 décembre 2024 et en avait approuvé 26 début mai 2026. Le traitement prend neuf à douze mois. Les conditions sont strictes : siège social enregistré, vrais employés locaux, présence opérationnelle réelle. Les structures fictives sont rejetées rapidement.
BaFin est la plus stricte. Le traitement prend douze à vingt-quatre mois. Un dossier complet fait généralement dépasser 200 pages avant le premier cycle de commentaires. L'Allemagne a autorisé 53 CASP en mai 2026 — chiffre qui reflète son secteur financier établi, pas une porte facile pour les nouveaux venus. Sans présence réelle en Allemagne, une demande BaFin est un projet de plusieurs années.
La France (AMF) et l'Italie (Banca d'Italia / Consob) prennent douze à dix-huit mois. Malte (MFSA) a publié des lignes directrices détaillées en mars 2025 et cultive une image pro-fintech, mais ses approbations restent loin derrière les trois grands marchés.
Le calcul est simple pour ceux qui n'ont pas encore déposé : aucune juridiction ne délivrera une licence CASP avant le 1er juillet 2026 sauf si votre dossier est déjà en cours d'examen avancé. La fenêtre est fermée partout, sauf marginalement en Lituanie.
Pologne : le vide réglementaire#
La Pologne est différente. Le 1er décembre 2025, le président Karol Nawrocki a rejeté la Loi sur le marché des cryptoactifs — la loi dont la Pologne avait besoin pour accepter les demandes CASP nationales en vertu de MiCA.
Ses objections étaient précises. Le bureau présidentiel a relevé une disposition permettant à l'KNF de bloquer les sites Web des VASP unilatéralement, et une autre permettant à l'KNF de geler les comptes pendant jusqu'à 96 heures en cas de délit d'initié, extensible à six mois sans vérification judiciaire.
Résultat : aucune autorité en Pologne n'accepte actuellement les demandes CASP. Les entreprises fonctionnant sous l'ancien statut VASP polonais sont dans le vide juridique. MiCA s'applique directement en Pologne — le règlement a force de loi dans tous les États membres. Mais sans autorité de contrôle désignée et sans règles de procédure nationales, il n'y a rien à soumettre.
En mai 2026, aucune loi révisée n'avait été adoptée. Les entreprises avec des opérations en Pologne font face au même problème du 1er juillet que les autres — mais plus serré. Les options sont : relancer la loi, se faire autoriser ailleurs, ou quitter le marché.
Les véritables obstacles derrière les chiffres#
Le capital minimum n'est généralement pas ce qui fait échouer une demande. Les vrais obstacles sont cinq exigences qui arrivent en même temps, et aucune ne cède à des raccourcis.
Le responsable de la conformité ne peut pas être partagé. Les régulateurs rejettent les demandes où la conformité est combinée avec une fonction génératrice de revenus ou répartie entre plusieurs entités. Un CCO dédié avec les qualifications requises et domicilié dans l'EEE coûte au minimum 80 000 à 120 000 euros par an. C'est une personne, à temps plein, dès le jour du dépôt. Pas des honoraires juridiques — un salaire.
Le dossier n'est pas un formulaire. Une demande complète couvre : gouvernance et organigramme, programme AML/CFT, cadre DORA ICT, preuve de capital et projections, plan d'affaires sur trois ans, dossier d'adéquation pour chaque cadre, politique de garde des actifs clients, procédure de réclamation, politique de gestion des conflits, et un livre blanc conforme si applicable. Plusieurs centaines de pages. La plupart des régulateurs demandent des informations supplémentaires au moins une fois, ce qui remet le compteur à zéro pendant plusieurs mois.
Le capital est immobilisé. Les fonds propres doivent rester en place pendant toute l'autorisation. Pour une startup ayant besoin de flexibilité, cela limite directement le financement disponible.
Les délais ne sont pas garantis. Les régulateurs peuvent prolonger l'examen à leur discrétion. Aucune juridiction ne propose de délai contractuel. Si vous aviez prévu un lancement Q3 2026, vous ne pouvez pas planifier autour d'une demande encore au premier stade.
La supervision n'est pas un simple contrôle ponctuel. Une fois opérationnel, le coût annuel comprend la surveillance continue, les tests informatiques récurrents, les audits obligatoires et l'équipe de conformité. Compter entre 150 000 € et 250 000 € par an. Le dépôt initial, lui, est distinct de ces frais récurrents.
Si votre équipe ne peut pas engager 300 000 € à 500 000 € dès le départ avec un calendrier flou, une alternative logicielle existe.
Trois options après le 1er juillet 2026#
Les entreprises sans autorisation CASP à cette date ont trois chemins possibles.
Quitter l'UE. Arrêter complètement les services destinés aux clients européens jusqu'à obtenir l'autorisation. C'est l'option la plus sûre mais aussi la plus coûteuse pour toute entreprise ayant une base d'utilisateurs actifs ou des flux de paiement qui passent par les banques européennes.
Passer par une filiale autorisée. Si vous avez une maison mère ou une filiale avec une autorisation CASP dans un État membre de l'UE, vous pouvez étendre les services à toute l'Union via le passeport MiCA. Mais il faut une vraie restructuration. Partager une marque ou une technologie ne suffit pas — l'entité autorisée doit avoir une présence économique solide. Les notifications de passeport doivent être acceptées par les autorités nationales de l'État d'origine et des États d'accueil. Si vous n'avez pas déjà cette entité, il faut l'acquérir ou la créer, ce qui remet le calendrier à zéro.
S'appuyer sur un partenaire autorisé. Vous pouvez passer par un CASP et une institution de paiement agréée par l'UE qui détient déjà les permis nécessaires pour proposer des services d'échange, de transfert ou de garde à vos clients. Le partenaire porte la charge réglementaire. Votre marque reste visible face aux clients.
Si construire votre propre système de conformité n'est pas pertinent maintenant, un partenariat avec un CASP et une institution de paiement autorisés est une option — c'est d'ailleurs pour cela qu'itispay.com/mica existe.
Cet article est informatif. Il ne remplace pas un avis juridique ou réglementaire. Consultez un conseil qualifié avant de décider.
