DORA-implementatie bij MiCAR-aanvraag vereist

DORA zorgt voor complexiteit bij MiCAR-aanvraag

Per 22 april 2024 is het vergunningsloket voor aanbieders van cryptodiensten van de Autoriteit Financiële Markten (AFM) geopend; een belangrijk moment voor zowel de Nederlandse als de Europese crypto-assetmarkt. De naderende vergunningsverplichting blijft voor de sector niet vrij van uitdagingen. De MiCAR-vereisten hebben grote impact op de inrichting van de huidige organisaties, evenals de bijna gelijktijdige inwerkingtreding van DORA (Digital Operational Resilience Act), de wetgeving gericht op de realisatie van digitale en operationele weerbaarheid tegen cyberrisico’s.

In de afgelopen maanden zijn cryptodienstenaanbieders gestart met het voorbereiden van de aanvraag voor een MiCAR-vergunning. Uit deze voorbereidingen volgde dat de regelgeving, die vanwege haar omvang ook wel wordt beschouwd als ‘MiFID light’, in de breedte verschillende nieuwe verplichtingen introduceert voor dienstenaanbieders waar hun organisatie tot op heden niet op is ingericht. Zo moeten cryptodienstenaanbieders onder andere hun IT-infrastructuur aanpassen, compliance- en riskmanagementprocessen inrichten en personeel aannemen voor tot nog toe niet bezette en/of niet bestaande functies. Dit vereist niet alleen een financiële investering, maar ook investeringen in tijd en middelen om de benodigde kennis en vaardigheden te verwerven.

Het gelijktijdig van toepassing zijn van DORA zal een van de grote uitdagingen vormen voor partijen die bezig zijn met de voorbereiding van hun vergunningaanvraag. Specifieke DORA-vereisten worden in de vergunningaanvraag uitgevraagd middels het onderdeel ’ICT systems and related security arrangements’. DORA verlangt van deze dienstenaanbieders onder andere dat zij voldoen aan strenge eisen op het gebied van digitale en operationele weerbaarheid. Dit vereist de nodige aanvullende inspanningen voor deze partijen bij de aanvraag van hun MiCAR-vergunning. Ook voor de AFM zal DORA een uitdaging vormen. Cryptodienstenaanbieders zijn de eerste partijen die in het kader van de vergunningaanvraag beoordeeld gaan worden op DORA-compliance. Deze partijen zullen als eerste te horen krijgen hoe hoog de lat ligt met betrekking tot de DORA-vereisten die de toezichthouder oplegt.

De inschatting in onze eerdere blogpost, waarin de verwachting van een shake-out werd beschreven, lijkt dan ook meer concreet te gaan worden. Met MiCAR en DORA aan de horizon zijn door de korte overgangsperiode in Nederland de tijdlijnen voor de vergunningaanvragen van cryptodienstenaanbieders een uitdaging. De nieuwe vereisten voor cryptodienstenaanbieders vergen veel tijd en (financiële) middelen en een vergunningaanvraag wordt alleen in behandeling genomen als deze compleet is. Dat betekent dat beleid en procedures op grond van zowel MiCAR als DORA onderdeel uitmaken van de compleetheid van de aanvraag. Deze uitdaging biedt echter ook een kans: de cryptomarkt kan zichzelf ontwikkelen als een volwassen groep dienstverleners in de financiële sector.