Kryptoverwahrung unter europäischem Prüflicht

Hintergrund: Was ist eine Common Supervisory Action?

Eine Common Supervisory Action (CSA) ist ein koordiniertes Aufsichtsinstrument der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA), bei dem nationale Aufsichtsbehörden (NCAs) zeitgleich und nach abgestimmten Kriterien bestimmte Marktteilnehmer prüfen. Ziel ist es, eine einheitliche Aufsichtspraxis innerhalb der EU zu fördern und regulatorische Konvergenz herzustellen.

Diese CSA ist die erste koordinierte europäische Aufsichtsinitiative mit Fokus auf die digitale operationelle Resilienz von CASPs im Bereich der Kryptoverwahrung. Sie gibt konkrete Hinweise darauf, welche Aspekte nationale Aufsichtsbehörden künftig verstärkt prüfen werden und welche Erwartungen an Governance, Sicherheitskontrollen und Verwahrprozesse bestehen.

Für die betroffenen Institute ist dies weit mehr als eine abstrakte regulatorische Übung: über 280 zugelassene CASPs fallen inzwischen in den europäischen Aufsichtsrahmen und stehen damit im Fokus der laufenden Konvergenz der Aufsichtspraxis.

Zeitplan: Wann und wie läuft die CSA ab?

Die Auswahl der zu prüfenden CASPs erfolgt risikobasiert durch die nationalen Aufsichtsbehörden. Der zeitliche Rahmen ist klar abgesteckt:

• Die Durchführung der CSA in den Mitgliedstaaten erfolgt von H2 2026 bis H1 2027.
• ESMA konsolidiert anschließend die Ergebnisse zur Förderung einer einheitlichen Aufsichtspraxis in der EU.
• Der Abschlussbericht an das ESMA Board of Supervisors wird in H2 2027 erwartet.
• Es wird erwartet, dass die sich daraus ergebende einheitliche Aufsichtspraxis in der EU künftige nationale Prüfungen maßgeblich prägen dürfte.
  

Für betroffene Institute bedeutet dies: Das Zeitfenster zur Vorbereitung ist eng. Wer jetzt nicht handelt, riskiert, im Zuge einer Prüfung unvorbereitet getroffen zu werden.

Die sechs Prüfungsschwerpunkte im Detail

Die CSA umfasst sechs klar definierte Prüfungsschwerpunkte, welche die wesentlichen Elemente der operativen und technischen Sicherheit in der Kryptoverwahrung abdecken. Mit hoher Wahrscheinlichkeit werden dabei insbesondere die folgenden Themen Gegenstand aufsichtlicher Prüfungen sein:

1. Governance-Arrangements

Im Fokus stehen Verantwortlichkeiten und Kompetenzen für Kryptoverwahrung und IKT auf Leitungsebene, das Three-Lines-of-Defence-Modell, die Berücksichtigung von DLT-Risiken in der IKT-Risikostrategie und im IKT-Risikomanagement sowie die Auslagerungsgovernance. Aufsichtsbehörden werden prüfen, ob Kryptorisiken auf Vorstandsebene verankert und hinreichend in bestehende Rahmenwerke integriert sind.

2. Key- und Storage-Management

Geprüft werden die sichere Erzeugung, Rotation und Vernichtung von kryptografischen Schlüsseln, die eingesetzten kryptografischen Parameter und Algorithmen (z. B. Kurven, Signaturverfahren), MPC-Architektur, HSM-Storage, Backup- und Recovery-Verfahren, Zugriffs- und Administrationskonzepte (insbesondere Quoren) sowie physische Sicherheitsmechanismen. Dies ist das technische Herzstück der Verwahrung – ein Bereich, in dem Schwachstellen unmittelbar zu Vermögensverlusten führen können.

3. Transaktionskontrollen

Auf dem Prüfstand stehen Whitelisting, Limits, Freigabekonzepte und -workflows, Audit-Trails, Schutz vor Address-Poisoning und Blind-Signing, der Abgleich von On-Chain- und Buchbeständen (Reconciliation), der Nachweis der Trennung von Kunden- und Eigenbeständen gemäß Art. 70 und 75 MiCAR sowie Geldwäsche- und Sanktionsmanagement. Die explizite Referenz auf MiCAR verdeutlicht, dass die CSA die regulatorischen Anforderungen aus dem neuen EU-Kryptorahmen operativ umsetzt.

4. Incident Detection & Response

Bewertet werden Logging und Monitoring, Schweregrad-Klassifikation, Meldewege und -fristen gemäß DORA Art. 17–19, Krisen- und Notfallübungen sowie Post-Incident-Reviews. Wer DORA bereits implementiert hat, sollte diese Anforderungen kennen – die CSA prüft jedoch, ob die Umsetzung im Kryptokontext tatsächlich funktioniert.

5. Smart-Contract-Risiken

Im Fokus stehen Audits vor dem Deployment, Upgradeability und Admin-Keys, Bridge- sowie Staking-/Delegation-Risiken und der Umgang mit Chain-Reorganisationen und Forks. Gerade für Institute, die DeFi-Elemente in ihre Verwahrinfrastruktur integrieren, ist dieser Bereich besonders relevant.

6. Drittparteien-Abhängigkeiten

Geprüft werden Sub-Dienstleister und Drittverwahrer, Wallet-Tech-Anbieter, Cloud- und Node-Provider, DORA-konforme Vertragsklauseln, das Informationsregister sowie Konzentrations- und Exit-Strategien. Die Abhängigkeit von externen Technologieanbietern ist eine der kritischsten Schwachstellen moderner Kryptoinfrastrukturen.

Was bedeutet das konkret für Banken und Finanzdienstleister?

Die CSA ist kein isoliertes Ereignis. Es wird erwartet, dass eine einheitliche Aufsichtspraxis in der EU etabliert wird, die künftige nationale Prüfungen maßgeblich prägen dürfte. Institute, die Kryptoverwahrung anbieten oder aufbauen, sollten folgende Schlussfolgerungen ziehen:

Compliance-Lücken werden sichtbar. Die detaillierte Prüftiefe der CSA – von der kryptografischen Schlüsselverwaltung bis zur DORA-konformen Drittparteiensteuerung – legt offen, wo operationelle Schwächen bestehen. Besser, diese intern zu kennen, bevor es die Aufsicht tut.

MiCAR und DORA greifen ineinander. Die Prüfungsschwerpunkte zeigen, dass eine isolierte Betrachtung dieser beiden Regelwerke nicht ausreicht. CASPs müssen beide Anforderungsrahmen integriert und operativ belastbar umsetzen.

Governance ist Chefsache. Die explizite Prüfung von Leitungsverantwortung für Krypto- und IKT-Risiken signalisiert, dass die Aufsicht Kryptoverwahrung nicht als rein technisches Thema betrachtet, sondern als strategische Führungsaufgabe.

Die Zeit drängt. Die CSA findet von H2 2026 bis H1 2027 statt. Institute, die noch nicht mit der Vorbereitung begonnen haben, sollten dies umgehend tun.

Wie gut sind Sie vorbereitet?

Für CASPs bietet sich die Möglichkeit, potenzielle Schwachstellen frühzeitig zu identifizieren und die eigene Prüfungsbereitschaft gegenüber Aufsicht und Marktteilnehmern zu stärken. Eine strukturierte Vorbereitung umfasst typischerweise:

• Ein CSA Readiness Assessment zur Identifikation regulatorischer und operationeller Lücken im Vergleich zu den ESMA-Erwartungen
• Eine Mock Regulatory Inspection, die die Prüfungsperspektive der Aufsicht simuliert und Schwachstellen aufdeckt
• Unabhängige Assurance-Leistungen zu ausgewählten Resilienz- und Kontrollbereichen – insbesondere dort, wo Drittparteien oder komplexe technische Infrastrukturen involviert sind
• Eine strukturierte Nachbereitung und Behebung von Findings, falls eine Prüfung bereits stattgefunden hat oder sich Lücken im Readiness Assessment zeigen
  

Fazit

Die ESMA-CSA zur digitalen operationellen Resilienz von CASPs ist ein Wendepunkt in der europäischen Kryptoaufsicht. Sie macht deutlich, dass die Regulierung von Kryptoaktivitäten kein theoretisches Konstrukt mehr ist, sondern operativ auf Herz und Nieren geprüft wird – mit konkreten Prüfungsschwerpunkten, einheitlichem Maßstab und direkten Konsequenzen für betroffene Institute. Banken und Finanzdienstleister, die Kryptoverwahrung anbieten, sind gut beraten, die verbleibende Zeit bis H2 2026 für eine fundierte Bestandsaufnahme zu nutzen.

Im folgenden Flyer haben wir die wichtigsten Punkte für Sie zusammengefasst.

Für Fragen zur CSA-Vorbereitung und zu den regulatorischen Anforderungen stehen wir Ihnen gerne zur Verfügung.