esma

ESMA launched a coordinated EU-wide review of crypto custody operations on July 8, 2026, moving MiCA supervision from the licensing question to the harder question of whether crypto firms can actually protect client assets under stress.
The action is called a Common Supervisory Action, or CSA. That is regulator language for a coordinated inspection carried out at the same time, using the same checklist, by the national regulator in each EU country under ESMA's direction. It is not a case against one firm. It is a synchronised sweep of many.
Key Takeaways
EU crypto supervision moves from licensing checks to real operational stress testing.National regulators inspect a risk-based sample of authorised crypto firms across the EU.Custody controls, private keys, incident response, smart contract risks, third-party dependencies.
From Rulebook to Real-World Testing
The market consensus reads July 1, 2026 as the end of the MiCA transition. Everyone had to be licensed or gone. The July 8 CSA is the answer to what happens next. Having the licence is now the floor, not the ceiling. ESMA wants to see whether the licensed firms have the systems to back it up.
Two acronyms carry most of the weight here. MiCA, the Markets in Crypto-Assets Regulation, is the EU's crypto rulebook that took full effect this month. DORA, the Digital Operational Resilience Act, is a parallel EU law that requires financial firms to prove their tech infrastructure can survive cyberattacks, outages, and third-party failures. Under MiCA, crypto service providers are treated as financial entities for DORA purposes, so both laws apply to them at the same time. The CSA is essentially a live test of how well those two frameworks are being implemented in the one area of crypto business where failures hurt clients most directly: custody.
Custody in this context means the systems and controls a firm uses to hold client crypto on their behalf. That covers the private keys, the wallets, the transaction approval workflow, the incident playbook, and every outside provider the firm depends on to keep any of it running. If any one of those layers breaks, client assets can move or disappear before anyone notices. That is the risk ESMA is trying to measure across the entire EU market at once.
What the Reviews Are Actually Looking At
The reviews will be carried out by each country's national regulator, called a National Competent Authority (NCA). Examples include BaFin in Germany, the AMF in France, and CNMV in Spain. Each NCA will select a risk-based sample of the licensed crypto firms in its jurisdiction. That means bigger custodians, cross-border operators, and firms handling the most client assets are more likely to be inspected first.
The inspection checklist has seven focus areas, all of them well-known failure points in past crypto custody incidents
The exercise runs from the second half of 2026 through the first half of 2027. ESMA will then consolidate the findings into a final report for its Board of Supervisors, the body made up of the heads of each national regulator, with publication expected in the second half of 2027. That report will set the tone for how European crypto custody is supervised in the years after.
What Could Go Wrong for the Firms Being Inspected
The counter-argument to reading this as a routine sweep is what happens when NCAs actually start pulling apart custody stacks. Crypto custody has grown fast, and much of it was built on infrastructure that predates MiCA or DORA. Legacy setups that worked commercially can still fail a resilience audit if the documentation, testing evidence, or incident logs are not there. A firm can be safe in practice and still fail on paper, and MiCA-era supervision will lean on paper.
Concentration risk sits underneath that first problem. A large share of European crypto custody runs on a small number of underlying providers, whether that is cloud infrastructure, hardware security modules, or specialised key-management vendors. If NCAs flag the same third party across many firms, the fix can force expensive migrations across the whole market at once. That is exactly the kind of systemic single point of failure DORA was written to expose.
Asymmetric enforcement is the quieter concern. NCAs vary in how aggressively they interpret operational resilience rules, and a custodian licensed in one member state could face a heavier review than a competitor licensed in another purely because of local supervisory culture. ESMA's coordination across the exercise is meant to narrow that gap, but narrowing it and closing it are different things.
The technical reality suggests the July 8 CSA is the moment MiCA stops being a licensing story and becomes an operational one. Firms with mature custody controls could benefit from the clarity, since supervisors reward what they can verify. Weaker platforms may need to upgrade systems, governance, or third-party arrangements before the 2027 report lands. The market has been told the rules for two years. Now it finds out how they are actually enforced.
#ESMA

Глава Bybit Бен Чжоу заявил, что одной лицензии MiCA недостаточно, чтобы построить прибыльный бизнес в Европе. По его словам, базовое разрешение открывает доступ к рынку, но не дает платформам весь набор продуктов, на которых биржи обычно зарабатывают. Для деривативов, токенизированных активов и платежных сервисов нужны дополнительные лицензии.
Для европейского рынка это важный сигнал. MiCA часто воспринималась как единый ключ к работе в регионе, но на практике она скорее стала первым уровнем доступа. Дальше начинается более дорогая и сложная часть регулирования.
MiCA открывает рынок, но не всю продуктовую линейку
MiCA позволяет криптокомпаниям работать с базовыми направлениями: обменом фиата на криптовалюту и криптовалюты на криптовалюту. Этого достаточно для присутствия на рынке, но не всегда достаточно для устойчивой экономики бизнеса. Самые доходные продукты часто находятся за пределами этого режима.
По словам Чжоу, для полноценной модели нужны лицензии MiFID II и EMI. Первая важна для финансовых инструментов и деривативов, вторая — для электронных денег и платежных сервисов. Без них биржа получает ограниченный набор возможностей и более слабую маржинальность.
Bybit пока не зарабатывает в Европе
Даже Bybit, одна из крупнейших криптобирж мира по объему торгов, пока не вышла на прибыльность в Европе. Чжоу прямо заявил, что при текущей лицензии MiCA компания не зарабатывает деньги в регионе. Для Bybit это долгосрочная инвестиция, которую крупная платформа может позволить себе за счет глобального масштаба.
Ожидания по срокам тоже осторожные. По оценке Чжоу, выход на прибыльность может занять около двух лет, если компания получит необходимые дополнительные разрешения. Более долгий сценарий тоже возможен, но сама логика понятна: европейский рынок требует времени, капитала и большого комплаенс-бюджета.
Малые компании могут не выдержать новые правила
Самый сильный эффект MiCA может проявиться не в росте, а в консолидации рынка. Переходный период для компаний заканчивается в конце июня, и с 1 июля работать без авторизации станет значительно сложнее. Для многих небольших и средних игроков это может стать точкой выхода из региона.
Причина не только в стоимости самой лицензии. Компании понимают, что после MiCA им могут понадобиться MiFID, EMI и дополнительные инвестиции в контроль, отчетность и юридическую инфраструктуру. Для небольших платформ такая нагрузка может оказаться слишком высокой.
Европа получает порядок, но теряет часть конкуренции
MiCA должна была создать единые правила для крипторынка в Европе. В этом смысле закон действительно снижает неопределенность и дает крупным компаниям понятный маршрут. Но обратная сторона — рост барьеров входа.
Чем дороже становится соблюдение правил, тем больше рынок смещается в пользу крупных игроков. Bybit, Kraken, Bitpanda и другие платформы с капиталом и опытом смогут пройти этот этап. Небольшие компании, скорее всего, будут искать партнерства, продаваться или уходить из отдельных стран.
Разные страны по-разному читают MiCA
Еще одна проблема — неодинаковая практика регулирования. Лицензия MiCA формально дает доступ ко всему Европейскому экономическому пространству, но подходы национальных регуляторов отличаются. Одни страны видят в законе способ привлечь бизнес, другие выбирают более жесткую модель надзора.
Bybit выбрала Австрию и регулятора FMA, которого Чжоу описывает как строгого. Это может усложнить старт, но дать больше доверия в долгосрочной перспективе. Для крупной биржи такой выбор выглядит как ставка на репутацию, а не на самый быстрый путь к лицензии.
ESMA может получить больше власти
В Европе уже обсуждается усиление роли общеевропейского регулятора ESMA. Сторонники такого подхода считают, что он создаст более равные условия для всех компаний. Если контроль останется слишком разным по странам, часть платформ может выбирать самые мягкие юрисдикции.
Но у централизации есть минусы. По словам Чжоу, локального регулятора проще достигать и быстрее решать операционные вопросы. Если все будет проходить через единый центр, компании могут столкнуться с большей бюрократией и более медленной коммуникацией.
Деривативы остаются ключевой проблемой
Особое место занимает рынок бессрочных фьючерсов и других сложных продуктов. Именно они часто дают биржам значительную часть выручки, но в Европе их регулирование выходит за рамки простой криптолицензии. ESMA уже напоминала компаниям, что некоторые такие продукты могут не попадать под MiCA.
Это ставит биржи перед выбором. Либо они ограничиваются базовыми операциями и принимают более слабую экономику, либо получают дополнительные лицензии и строят более тяжелую инфраструктуру. Для Bybit очевиден второй путь, но он требует времени.
Что это значит для рынка
Комментарий Чжоу показывает, что европейское регулирование входит во вторую фазу. Первый этап был о легализации присутствия. Второй — о том, кто сможет построить прибыльную и широкую продуктовую модель в рамках правил.
Для пользователей это может означать меньше серых площадок и больше регулируемых сервисов. Для компаний — рост расходов и борьбу за лицензии. Для рынка в целом — консолидацию вокруг крупных игроков.
Что дальше?
Ближайшая точка — конец июня, когда завершится переходный период MiCA. После этого станет понятно, сколько компаний реально готово работать по новым правилам и сколько уйдет с рынка. Параллельно крупные биржи будут добирать MiFID, EMI и другие разрешения, чтобы расширить продуктовую линейку.
Bybit делает ставку на долгий цикл. Компания готова терпеть убытки в Европе, если это даст ей место в регулируемом рынке. Но заявление Чжоу ясно показывает главное: MiCA не является финальной точкой. Это только входной билет, а настоящая борьба начинается после него.
#MICA #ESMA #DEX #Write2Earn
$BTC