Buju, Stanciu și Asociații: CASP și MiCA la zi – ce opțiuni are o firmă care vrea clienți în România

De la 1 iulie 2026, niciun furnizor de servicii de criptoactive (CASP) nu mai poate deservi clienți din Uniunea Europeană fără autorizație MiCA. În România, la 12 noiembrie 2026, această autorizație încă nu poate fi obținută, pentru că nicio autoritate nu a fost desemnată competentă. Ghidul de mai jos explică ce este un CASP, ce cere Regulamentul (UE) 2023/1114 și ce opțiuni reale are astăzi o firmă care vrea clienți în România.

Ghidul este realizat de echipa de reglementare financiară și active digitale a Buju, Stanciu și Asociații, care urmărește implementarea MiCA în România de la publicarea primului proiect de ordonanță.

Pe scurt

•             Tranziția s-a încheiat. Perioada tranzitorie MiCA a expirat în toată UE la 1 iulie 2026, fără prelungiri, indiferent dacă statul membru și-a adaptat sau nu legislația (ESMA, 23 iunie 2026).

•             Aproximativ 390 de CASP-uri autorizate în UE/SEE. Germania conduce cu 122. Niciunul nu are România ca stat de origine (registrul ESMA, prelucrat de MiCA Hub, 10 noiembrie 2026).

•             ASF nu poate primi cereri. Proiectul de ordonanță care ar desemna ASF și BNR a trecut doar de prima lectură în Guvern, la 2 aprilie 2026.

•             Blocajul era previzibil. Încă din iunie 2025, avocatul Victor Buju avertiza asupra fragmentării instituționale din proiect și asupra riscului de întârziere (Profit.ro).

•             OUG nr. 10/2025 nu este „legea MiCA”. Ea modifică legea de prevenire a spălării banilor, nu creează procedura de autorizare.

•             Piața românească este deservită prin pașaport. Furnizorii autorizați în alte state membre pot opera legal în România.

•             Comisia Europeană a deschis procedura de infringement împotriva României pentru neaplicarea completă a MiCA.

Ce este un CASP și ce servicii intră sub MiCA?

Un CASP (crypto-asset service provider) este o persoană juridică ce furnizează clienților, cu titlu profesional, cel puțin un serviciu de criptoactive și este autorizată potrivit art. 59 din Regulamentul (UE) 2023/1114. MiCA definește exact zece astfel de servicii:

1.           custodia și administrarea de criptoactive în numele clienților;

2.           operarea unei platforme de tranzacționare;

3.           schimbul de criptoactive contra fonduri;

4.           schimbul de criptoactive contra altor criptoactive;

5.           executarea ordinelor în numele clienților;

6.           plasarea de criptoactive;

7.           primirea și transmiterea de ordine;

8.           consultanța privind criptoactivele;

9.           administrarea de portofolii;

10.       serviciile de transfer în numele clienților.

Autorizația se acordă pe servicii, nu „pe crypto” în general. Custodia este cel mai des autorizată (233 din 389 de furnizori la 1 noiembrie 2026), iar operarea unei platforme de tranzacționare este cea mai rară, cu 22 de furnizori (CASP Tracker).

Băncile, firmele de investiții și instituțiile emitente de monedă electronică nu cer o autorizație nouă. Ele doar notifică autoritatea lor, potrivit art. 60. În afara MiCA rămân instrumentele financiare tokenizate (care merg pe MiFID II), NFT-urile cu adevărat unice și serviciile furnizate complet descentralizat, fără intermediar.

Unde suntem în noiembrie 2026: ce s-a întâmplat cu perioada de tranziție?

Perioada de tranziție s-a încheiat definitiv la 1 iulie 2026. Furnizorii care operau legal sub reguli naționale înainte de 30 decembrie 2024 au putut continua cel mult până la această dată.

Așteptările ESMA față de un furnizor neautorizat sunt concrete (declarația din 17 aprilie și cea din 23 iunie 2026):

•             fără clienți noi, fără conturi noi și fără marketing în UE;

•             servicii limitate la vânzarea, transferul sau închiderea pozițiilor existente;

•             informarea clară și repetată a clienților, cu un termen-limită;

•             transferul activelor către un CASP autorizat sau către un portofel propriu al clientului.

O cerere de autorizare aflată în lucru nu permite continuarea activității. Nici lipsa legislației naționale nu prelungește termenul.

Cine autorizează CASP-urile în România? Deocamdată, nimeni

La 12 noiembrie 2026, România nu are o autoritate competentă desemnată pentru MiCA. ASF a confirmat public, la începutul lunii iulie, că nu poate primi și nu poate soluționa cereri de autorizare și că nu a fost depusă nicio cerere (StartupCafe). În septembrie, prim-vicepreședintele ASF, Gabriel-Ioan Avrămescu, a rezumat situația astfel: „România nu are o autoritate competentă în materie de criptoactive” (Business24).

Ce prevede proiectul de ordonanță și de ce este blocat?

Ministerul Finanțelor a publicat proiectul de OUG în mai 2025. Guvernul l-a analizat în primă lectură la 2 aprilie 2026, fără să îl adopte (JURIDICE.ro). Proiectul prevede:

•             ASF ca autoritate competentă pentru CASP-uri și pentru emitenții de ART și de alte criptoactive;

•             BNR cu atribuții pe zona instituțiilor pe care le supraveghează și a tokenurilor de monedă electronică;

•             aviz tehnic de la Autoritatea pentru Digitalizarea României și reguli pentru Crypto ATM-uri.

Desemnarea autorităților cere un act normativ de nivel primar. Guvernul a fost demis la 5 mai 2026, iar un guvern interimar nu poate emite ordonanțe. După 1 iulie, platformele care operau local s-au mutat în alte jurisdicții și își deservesc clienții români de acolo, potrivit ASF.

Între timp, la 4 iunie 2026, Comisia Europeană a trimis României și Poloniei scrisori suplimentare de punere în întârziere, cu termen de răspuns de două luni (Digi24). Pasul următor este avizul motivat.

A transpus OUG nr. 10/2025 Regulamentul MiCA?

Nu. Este cea mai răspândită confuzie din piață și apare în multe ghiduri comerciale. OUG nr. 10/2025, în vigoare din 13 martie 2025, modifică Legea nr. 129/2019 privind prevenirea spălării banilor (Revista Biz). Concret, ordonanța:

•             introduce noțiunile de „criptoactiv” și „furnizor de servicii de criptoactive” în legea AML;

•             tratează CASP-urile ca instituții financiare cu obligații complete de cunoaștere a clientelei;

•             cere măsuri suplimentare pentru transferurile către portofele auto-găzduite;

•             obligă CASP-urile din alte state membre, fără sucursală în România, să desemneze un punct de contact local;

•             elimină vechea cerință de autorizare națională a exchange-urilor și a furnizorilor de portofele, care nu funcționase niciodată.

Ordonanța nu desemnează autoritatea competentă MiCA și nu creează o procedură de autorizare.

Cât de mare este piața rămasă fără supraveghetor?

ASF estimează o rată de adopție de circa 15,4% în rândul românilor, dețineri de până la 12 miliarde de euro și 174 de Crypto ATM-uri (Bursa, 1 iulie 2026). Autoritatea invocă și dificultăți de recrutare a personalului specializat.

Ce a anticipat Victor Buju încă din iunie 2025

Riscurile de azi au fost semnalate public de la începutul consultării. Într-un interviu pentru Profit.ro TV din 25 iunie 2025, avocatul Victor Buju, specializat în reglementare financiară, de la Buju, Stanciu și Asociații, a analizat proiectul de OUG și a atras atenția asupra mai multor probleme:

•             Fragmentare instituțională. Proiectul implica ASF, BNR, ADR, ANPC, Ministerul Finanțelor și ICI, fără un punct unic de responsabilitate. Rezultatul ar fi fost un „pelerinaj birocratic” pentru solicitanți.

•             Migrarea operatorilor. Fără un proces clar și rapid, profesioniștii aleg jurisdicții europene mai eficiente sau centre offshore. România pierde astfel capital, taxe de licență și venituri fiscale. Exact asta s-a întâmplat după 1 iulie 2026, când platformele locale s-au mutat în alte state membre.

•             Reguli de marketing vagi. Proiectul interzice „mesajele nesolicitate în masă”, fără să definească „masa”. Un grup de Telegram de 100 de persoane ar putea fi tratat ca spațiu public, iar simplul anunț al unui proiect ar putea fi sancționat.

•             Obligații practice subestimate. După autorizarea ASF, solicitanții ar avea de obținut și aviz tehnic de la ADR, iar operatorii de Crypto ATM-uri ar trebui să instaleze camere video.

•             Risc de întârziere. Remanierile și ordonanțele amânate făceau probabilă o nouă întârziere în aplicarea MiCA.

Ca soluții, Victor Buju propunea un ghișeu unic digital (după modelul german, în care autoritatea coordonează celelalte instituții), un regulatory sandbox, ghiduri explicite privind comunicările permise (după modelul elvețian) și o perioadă de grație pentru actorii de bună-credință cât timp lipsesc normele de aplicare. El a dat ca exemplu Malta, „un fel de superstar” al licențierii crypto: un stat mai mic decât județul Ilfov, cu cele mai multe licențe din UE și un aflux important de capital.

Ce condiții trebuie să îndeplinească un CASP?

Un CASP are nevoie de sediu social într-un stat membru, de conducere efectivă în UE și de cel puțin un administrator rezident în Uniune (art. 59). Capitalul minim depinde de serviciile autorizate (art. 67 și anexa IV):

Fondurile proprii trebuie să acopere permanent cea mai mare valoare dintre capitalul minim și un sfert din cheltuielile fixe generale ale anului precedent. Pe lângă capital, dosarul trebuie să demonstreze:

•             guvernanță: conducere cu bună reputație și competență, acționari calificați evaluați (art. 68);

•             protecția activelor: separarea criptoactivelor și a fondurilor clienților de cele proprii (art. 70);

•             răspundere pentru custodie: furnizorul răspunde pentru pierderea criptoactivelor, până la valoarea lor de piață (art. 75);

•             conduită: proceduri pentru reclamații, conflicte de interese și externalizare (art. 71–73);

•             plan de lichidare ordonată (art. 74) și reziliență digitală conform DORA.

Autoritatea verifică dacă dosarul este complet în 25 de zile lucrătoare și decide în 40 de zile lucrătoare de la dosarul complet (art. 63). În practică, rundele de clarificări lungesc procedura la mai multe luni.

Cum poți avea legal clienți în România în lipsa unei autorizări ASF?

Calea principală este pașaportul european. Un CASP autorizat într-un stat membru notifică autoritatea sa de origine, care transmite informația statelor-gazdă în 10 zile lucrătoare. Furnizorul poate începe activitatea în cel mult 15 zile calendaristice de la notificare (art. 65), fără o a doua autorizare în România.

Pentru o firmă românească, opțiunile realiste sunt patru:

1.           Entitate și autorizare în alt stat membru. Un SRL cu sediul în România nu poate depune dosarul la alt regulator. Este nevoie de o societate nouă, cu substanță reală în statul ales, care apoi pașaportează serviciile în România.

2.           Parteneriat cu un CASP deja autorizat. Funcționează doar dacă rolul firmei românești nu este el însuși un serviciu reglementat. Primirea și transmiterea de ordine, de exemplu, cer autorizație.

3.           Analiză de perimetru. Unele modele (software non-custodial, infrastructură pur tehnică) nu sunt servicii de criptoactive. Concluzia trebuie documentată într-o opinie juridică, nu presupusă.

4.           Pregătirea dosarului pentru ASF. Politicile, guvernanța și capitalul pot fi construite de acum, pentru depunere imediat după desemnarea autorității.

Când se poate invoca reverse solicitation?

Aproape niciodată ca model de business. Art. 61 permite unei firme din afara UE să servească un client din Uniune doar dacă acesta a cerut serviciul exclusiv din proprie inițiativă. Orice formă de promovare către publicul din UE înlătură excepția: reclame, site în limba română, influenceri, afiliați. Firma nu poate propune ulterior acelui client alte tipuri de servicii sau criptoactive. Clauzele contractuale în care clientul „declară” că a venit singur nu ajută dacă faptele arată altceva.

Ce alte reguli se aplică unui CASP pe lângă MiCA?

Autorizația MiCA este doar o parte din conformare. Un CASP care are clienți în România răspunde simultan pe cel puțin cinci planuri:

Surse pentru DAC8: StartupCafe și PwC România.

Va trece supravegherea CASP-urilor la ESMA?

Parțial, cel mai probabil. Comisia a propus în decembrie 2025 ca ESMA să supravegheze direct toate CASP-urile. Consiliul a adoptat în octombrie 2026 o poziție mai restrânsă: doar CASP-urile semnificative trec la ESMA, cu o tranziție de doi ani (Regulation Tomorrow). Textul de compromis din Parlamentul European merge în aceeași direcție și adaugă o opțiune de trecere voluntară sub supravegherea ESMA (Regulation Tomorrow). Pentru majoritatea furnizorilor, autoritatea națională rămâne deci interlocutorul principal.

Ce riscă un furnizor care operează fără autorizație?

MiCA obligă statele membre să prevadă, pentru încălcarea regimului CASP, amenzi maxime de cel puțin 5 milioane EUR sau 5% din cifra de afaceri anuală pentru persoane juridice și de cel puțin 700.000 EUR pentru persoane fizice (art. 111). Se adaugă amenzi de până la dublul profitului obținut, interdicții pentru conducători și publicarea sancțiunii.

În România, regimul sancționator MiCA depinde de același act normativ încă neadoptat. Asta nu face activitatea neautorizată sigură:

•             autoritățile din alte state membre pot acționa, iar registrul ESMA listează 186 de entități semnalate ca neconforme la 10 noiembrie 2026;

•             obligațiile și amenzile din legea AML se aplică deja;

•             băncile și procesatorii de plăți pot întrerupe relațiile cu operatorii fără statut clar;

•             clienții nu beneficiază de protecțiile MiCA, ceea ce mărește expunerea la litigii;

•             istoricul de operare neautorizată va conta la evaluarea reputației într-un viitor dosar de autorizare.

Cazul Binance: ce arată despre termenul de 1 iulie?

Arată că termenul a fost aplicat și celor mai mari jucători. Binance și-a retras cererea de autorizare din Grecia la 24 iunie 2026 și a anunțat că va solicita autorizarea în alt stat membru (Binance). Platforma a restrâns serviciile pentru utilizatorii din UE de la 1 iulie, păstrând accesul la retrageri (CoinDesk). La începutul lunii noiembrie 2026 nu figura încă în registrul ESMA (Tech Insider).

Cum lucrează Buju, Stanciu și Asociații pe mandatele MiCA?

Buju, Stanciu și Asociații tratează MiCA drept o problemă de model de business, nu de formular. În mandatele recente, echipa a lucrat pe:

•             opinii juridice MiCA pentru operatori din alte state membre;

•             analize de perimetru pentru emitenți care tokenizează pe infrastructuri blockchain europene, unde întrebarea-cheie este dacă proiectul intră sau nu sub MiCA;

•             structuri documentate de reverse solicitation pentru produse de tip wallet, mining și yield;

•             modele de agent OTC pentru clienți din afara UE;

•             strategie de reglementare pentru emitenți de tokenuri.

Ce facem diferit față de un ghid generic de „licență crypto”:

•             Alegem jurisdicția pe date, nu pe reclamă. Coordonăm avocați locali prin rețelele Interlegal și Legal Network International, în statele în care procedura funcționează efectiv.

•             Acoperim întregul risc. Reglementare, fiscalitate (DAC8) și răspundere personală a administratorilor, inclusiv componenta penală.

•             Înțelegem produsul. Firma are laboratoare interne de tehnologie, așa că discuția despre custodie, smart contracts sau fluxuri de ordine se poartă pe arhitectura reală.

Pentru o analiză de perimetru, alegerea jurisdicției sau pregătirea dosarului de autorizare, contactați echipa Buju, Stanciu și Asociații pe bsa.ro.

Întrebări frecvente despre CASP și MiCA

Ce înseamnă CASP?

CASP vine de la crypto-asset service provider, în română furnizor de servicii de criptoactive. Este firma autorizată potrivit MiCA să ofere servicii precum custodia, schimbul sau tranzacționarea de criptoactive.

Poate o firmă din România să obțină acum autorizație CASP de la ASF?

Nu. La 12 noiembrie 2026, ASF nu este desemnată autoritate competentă și nu primește cereri. Autorizarea devine posibilă doar după adoptarea actului normativ de punere în aplicare a MiCA.

Este legal să folosesc o platformă fără autorizație MiCA?

Obligația de autorizare apasă pe furnizor, nu pe client. Clientul unei platforme neautorizate nu are însă protecțiile MiCA, inclusiv cele privind activele sale, iar platforma este obligată să își închidă ordonat serviciile în UE.

Cum verific dacă un furnizor este autorizat?

În registrul interimar MiCA publicat de ESMA. Verificați entitatea juridică exactă cu care contractați și serviciile pentru care este autorizată, nu doar marca.

Cât costă și cât durează autorizarea?

Capitalul minim este de 50.000, 125.000 sau 150.000 EUR, în funcție de servicii. Termenul legal de decizie este de 40 de zile lucrătoare de la dosarul complet, dar procedura reală durează de regulă mai multe luni.

O licență obținută în alt stat membru este valabilă în România?

Da. Autorizația MiCA este valabilă în toată Uniunea, pe baza unei notificări de pașaportare. Furnizorul fără sucursală în România trebuie să desemneze și un punct de contact local pentru obligațiile AML.