MiCA-vergunning uitgelegd: wat elke crypto-gebruiker in de EU in 2026 moet weten

Een MiCA-vergunning is de enige EU-autorisatie waarmee een bedrijf legaal cryptodiensten mag aanbieden binnen de Europese Economische Ruimte, en sinds 2026 is dit geen optie meer. De overgangsperiode van MiCA liep af op 1 juli 2026, en elk bedrijf dat een cryptodienst aanbiedt aan EU-klanten zonder CASP-autorisatie, opereert nu illegaal. ESMA heeft niet-geautoriseerde aanbieders dan ook opgedragen hun activiteiten op een ordentelijke manier af te bouwen. Dat maakt een geldige CASP-autorisatie de minimale vereiste om in Europa actief te mogen zijn. Let op: een lopende aanvraag telt niet mee. Alleen een toegekende vergunning geeft je het recht om EU-klanten te bedienen.

1. Wat is MiCA en waarom is het ingevoerd?

De Markets in Crypto-Assets Regulation (MiCA) is het ene, EU-brede regelboek voor uitgevers van crypto-activa en aanbieders van cryptodiensten. Het vervangt een lappendeken van nationale regels door één geharmoniseerd kader, bedoeld om consumenten te beschermen, de integriteit van de markt te waarborgen en serieuze bedrijven een duidelijk pad te bieden om op te schalen.

Het probleem dat MiCA moest oplossen

Vóór MiCA had elke lidstaat zijn eigen crypto-registratieregime. Dat zorgde voor regelgevingsarbitrage, inconsistente consumentenbescherming en gaten die op pijnlijke wijze werden blootgelegd door de ondergang van FTX en Terra/Luna. Een bedrijf met een vergunning in het ene land had geen automatisch recht om klanten in een ander land te bedienen, en beleggers hadden geen gemeenschappelijke standaard om op te vertrouwen. MiCA is opgezet om die gaten te dichten met één samenhangend kader.

Wetgevingsachtergrond en inwerkingtreding

MiCA is in 2023 aangenomen als Verordening (EU) 2023/1114, waarbij het volledige CASP-kader vanaf 30 december 2024 van toepassing is. Vanaf 30 december 2024 moesten nieuwe CASP's een vergunning hebben, terwijl bestaande CASP's konden werken onder overgangsregelingen, waar die nog beschikbaar waren. MiCA staat naast MiFID II, het AML-kader van de EU en DORA. Het toezicht wordt gedeeld tussen nationale bevoegde autoriteiten (NCA's), de European Banking Authority (EBA) en de European Securities and Markets Authority (ESMA).

2. Wie heeft een MiCA-vergunning nodig?

Als jouw bedrijf iets met crypto doet en EU-klanten bedient, ga er dan vanuit dat je een vergunning nodig hebt, totdat een advocaat je het tegendeel vertelt.

Crypto-Asset Service Providers (CASP's)

Een CASP is elk bedrijf dat beroepsmatig een of meer gereguleerde cryptodiensten aanbiedt. MiCA kent geen enkele, allesomvattende cryptovergunning; artikel 3 definieert juist afzonderlijke cryptodiensten, en een CASP krijgt alleen een vergunning voor de specifieke diensten die het in zijn aanvraag vermeldt. De activiteiten die een bedrijf van plan is uit te voeren, bepalen dus zowel de reikwijdte van de vergunning als de kapitaalklasse waaraan het moet voldoen. Gereguleerde diensten zijn onder meer handel, orderuitvoering, bewaring, vermogensbeheer, overdrachtsdiensten, advies, en het ontvangen en doorgeven van orders. Dit geldt zowel voor bedrijven die binnen de EU zijn opgericht als, in de praktijk, voor bedrijven van buiten de EU die EU-klanten willen bedienen.

Bleap is een voorbeeld van een consumentgerichte CASP die dit traject succesvol heeft doorlopen. Bleap opereert als een MiCA-vergunde crypto-asset service provider, waardoor het een self-custodial Mastercard kan aanbieden met 0% wisselkoerskosten, tot 20% cashback en gratis crypto-handel voor gebruikers in de hele EER, allemaal onder één vergunning.

Tokenuitgevers

MiCA behandelt uitgevers anders dan dienstverleners. Uitgevers van asset-referenced tokens (ART's) moeten erkende kredietinstellingen zijn of een aparte MiCA-vergunning verkrijgen. Uitgevers van e-moneytokens (EMT's) moeten erkend zijn als e-moneyinstelling of kredietinstelling. Uitgevers van utility tokens krijgen te maken met een lichtere whitepaper-regeling in plaats van een volledige vergunningsplicht.

Niet-EU-bedrijven en reverse solicitation

Derdelandenbedrijven mogen EU-klanten niet actief benaderen zonder MiCA-vergunning. De uitzondering voor 'reverse solicitation', waarbij een klant volledig op eigen initiatief contact opneemt met het bedrijf, wordt door ESMA zeer strikt uitgelegd. Voor de meeste Amerikaanse, Britse en Aziatische cryptobedrijven is hierop vertrouwen als toetredingsstrategie voor de markt geen haalbare optie, en dat is dan ook de reden waarom veel van hen kiezen voor een eigen EU-entiteit.

3. Soorten crypto-activa en diensten die onder MiCA vallen

Drie categorieën crypto-activa onder MiCA

MiCA verdeelt crypto-activa in drie categorieën:

• Asset-referenced tokens (ART's): gekoppeld aan een mandje van meerdere activa, valuta's of grondstoffen.
• E-money tokens (EMT's): gekoppeld aan één enkele fiatvaluta, zoals stablecoins gedekt door euro's of dollars, bijvoorbeeld USDC.
• Overige crypto-activa: alles wat hier niet onder valt, zoals utility tokens, governance tokens en algemene activa zoals Bitcoin en Ether.

Wat MiCA niet dekt

MiCA kent een aantal duidelijke uitzonderingen. Echt unieke NFT's vallen er doorgaans buiten, tenzij ze kwalificeren als financiële instrumenten of opgedeeld zijn in fracties. Volledig gedecentraliseerde DeFi-protocollen zonder aanwijsbare uitgever vallen op dit moment buiten het toepassingsgebied. Digitale centralebankvaluta's (CBDC's) zijn uitgesloten, net als crypto-activa die al onder MiFID II, UCITS of Solvency II gereguleerd worden.

De CASP-dienstencategorieën

Tot de gereguleerde crypto-activadiensten onder MiCA behoren bewaring en beheer, het exploiteren van een handelsplatform, het wisselen van crypto naar fiatgeld of andere crypto, het uitvoeren van orders, het plaatsen van crypto-activa, het ontvangen en doorgeven van orders, portefeuillebeheer, advies en overdrachtsdiensten. Een bedrijf krijgt alleen een vergunning voor de specifieke diensten waarvoor het een aanvraag indient.

4. MiCA-vergunningsvereisten: wat aanvragers moeten aantonen

Hier onderschatten de meeste aanvragers het werk. Een MiCA-vergunning is een serieuze toetsing, geen formaliteit.

Kapitaalvereisten

MiCA koppelt het minimumkapitaal aan het risico van de diensten die je aanbiedt. MiCA kent drie kapitaalklassen: 50.000 euro voor Klasse 1-diensten (advies, orderontvangst, plaatsing), 125.000 euro voor Klasse 2-diensten (omwisseling, uitvoering, portefeuillebeheer) en 150.000 euro voor Klasse 3-diensten (bewaring, handelsplatform, overdrachtsdiensten). Belangrijk: dit is een ondergrens, geen streefwaarde. Een onderneming moet permanent een minimum eigen vermogen aanhouden dat gelijk is aan het hoogste van haar klassebedrag of een kwart van de vaste kosten van het voorgaande jaar. ART- en EMT-uitgevers krijgen te maken met extra eigenvermogensregels die gekoppeld zijn aan hun reserve-activa.

Toezichthouders kunnen een hoger kapitaal eisen, afhankelijk van de omvang en het risicoprofiel van de onderneming.

Governance en geschiktheidseisen (fit-and-proper)

Aanvragers moeten aantonen dat ze een goed samengesteld bestuur hebben met echte expertise en duidelijk toezicht door de raad van bestuur. Een geloofwaardige CASP heeft gekwalificeerde bestuurders, senior managers, compliancemedewerkers en aantoonbaar toezicht door het bestuur nodig. Geschiktheidstoetsen gelden voor het senior management én voor aandeelhouders met een belang van 10% of meer. Daarnaast heb je een vastgelegd beloningsbeleid, een kader voor belangenconflicten en solide interne controles nodig.

AML/KYC en controles tegen financiële criminaliteit

CASP's zijn verplichte entiteiten onder het AML-kader van de EU. Dat betekent klantenonderzoek (customer due diligence), naleving van de Travel Rule onder de Transfer of Funds Regulation, een aangestelde functionaris voor het melden van witwaspraktijken, en onafhankelijke audits. Lichte, goed gerichte KYC is hier geen kortere weg. Een MiCA-compliant bedrijf verzamelt precies de informatie die toezichthouders voor goedkeuring vereisen, en dat is precies waarom Bleap bij onboarding vraagt wat nodig is, niet meer en niet minder.

IT-beveiliging, cybersecurity en bedrijfscontinuïteit

MiCA sluit naadloos aan op DORA, de Digital Operational Resilience Act. Bedrijven moeten schriftelijk vastgelegd governancebeleid opstellen rond belangenconflicten, preventie van marktmisbruik en bedrijfscontinuïteit onder DORA. Denk aan verplichtingen voor het melden van incidenten, strikte bewaarnormen inclusief scheiding van cliëntvermogen en gedocumenteerd beleid voor cold en hot wallets, plus duidelijke documentatie rond uitbesteding en cloudgebruik.

Consumentenbescherming en informatieverstrekking

Tot slot stelt MiCA gedragsnormen vast: precontractuele informatie, transparante klachtenafhandeling en eerlijke marketingcommunicatie. Misleidende reclame en verborgen voorwaarden vallen hier zeker onder.

5. Stap voor stap: het MiCA-vergunningstraject

Kies het juiste rechtsgebied

Een MiCA-vergunning wordt toegekend door de NCA (nationale toezichthouder) van het land waarin je bent gevestigd. Omdat de vergunning daarna binnen de hele EER gepaspoort kan worden, is de keuze van je thuistoezichthouder best bepalend, denk aan snelheid, taal, kosten en de ondersteuning vanuit het lokale ecosysteem. Ierland, Luxemburg, Duitsland, Frankrijk, Litouwen en Letland zijn allemaal actieve licentiehubs, elk met hun eigen reputatie en eigen verwerkingstempo.

Vooroverleg met de toezichthouder

Serieuze aanvragers gaan al vroeg het gesprek aan met de NCA via vooroverleg-meetings, voeren een gap-analyse uit tegen de MiCA-eisen en stellen juridische, compliance- en technische adviseurs aan nog vóórdat er één beleidsdocument op papier staat. Deze fase scheelt later maanden werk.

Het aanvraagdossier voorbereiden

Het dossier is omvangrijk. Meestal bevat het documentatie over de rechtspersoon en de eigendomsstructuur, een driejarig businessplan met financiële prognoses, een operationeel programma dat alle beoogde diensten en landen dekt, governancebeleid op het gebied van risico, compliance, AML, IT-beveiliging en belangenconflicten, bewijs van voldoende kapitaal met gecontroleerde jaarrekeningen, en geschiktheidsvragenlijsten (fit-and-proper) voor sleutelfiguren binnen de organisatie.

Beoordeling door de NCA en opschortingsperiodes

De wettelijke termijn staat beschreven in Artikel 63. Er is eerst een volledigheidscontrole van 25 werkdagen, gevolgd door een beoordeling van 40 werkdagen, met de mogelijkheid van één opschorting van maximaal 20 werkdagen. Tijdens zo'n opschorting kan de NCA de klok even stilzetten om aanvullende informatie op te vragen, iets wat vaak voorkomt bij complexere aanvragen.

Besluit, registratie en opname in de ESMA-database

Een geslaagde aanvrager krijgt de vergunning toegekend en wordt opgenomen in het openbare CASP-register van ESMA, waarna het doorlopende toezicht van start gaat. Bij een afwijzing stopt het traject, en onder de overgangsregels betekende een afwijzing ook meteen het einde van het recht om door te blijven opereren.

6. Tijdlijn en kosten van het verkrijgen van een MiCA-vergunning

Realistische verwachtingen voor de tijdlijn

De voorbereiding duurt realistisch gezien 3 tot 6 maanden voordat je zelfs maar begint met indienen. De wettelijke beoordelingstermijn ziet er op papier sneller uit dan in de praktijk. Reken op een realistische tijdlijn van 12 tot 14 maanden vanaf de start van de voorbereiding tot aan de vergunningverlening, met 6 maanden als absolute ondergrens. Na de deadline blijven alle Europese toezichthouders (NCA's) nieuwe CASP-aanvragen accepteren, blijven de doorlooptijden voor vergunningverlening ongeveer 4 tot 9 maanden, en is er geen overgangsperiode voor partijen zonder vergunning.

Overzicht van de kosten

Zorg voor een serieus budget. Juridische en advieskosten lopen doorgaans uiteen van €80.000 tot €300.000 of meer, afhankelijk van de complexiteit. De aanvraagkosten bij de NCA verschillen sterk per lidstaat, van een paar duizend euro tot €30.000 of meer. Compliance-infrastructuur, waaronder AML-systemen, IT en het opzetten van beleid, kan er nog eens €50.000 tot €200.000 bovenop komen. Voor een middelgrote CASP ligt een realistisch budget voor het eerste jaar tussen €200.000 en €500.000, plus de jaarlijkse toezichtkosten die daarna blijven doorlopen.

7. EU-paspoort en grensoverschrijdend bereik van een MiCA-vergunning

Hoe paspoorten onder MiCA werkt

En dit is waar het allemaal om draait. Eén CASP-vergunning geeft je toegang tot alle 30 EER-lidstaten, de 27 EU-landen plus IJsland, Liechtenstein en Noorwegen, zonder dat je per land apart een aanvraag hoeft in te dienen. Om een nieuwe markt te betreden, hoeft een bedrijf alleen de toezichthouder van het gastland te informeren, zonder nieuwe vergunningsaanvraag, en kan het vervolgens vestigingen openen of diensten grensoverschrijdend aanbieden.

Strategische voordelen van het EU-paspoort

Eén vergunning opent de deur naar een markt van ongeveer 450 miljoen consumenten. Dat is een doorslaggevend concurrentievoordeel ten opzichte van bedrijven zonder MiCA-vergunning, die beperkt blijven tot de smalle route van reverse solicitation. Precies zo kan een consumentenfintech als Bleap dezelfde self-custodial kaart, 0% wisselkoerskosten en tot wel 20% cashback consistent in de hele EER aanbieden, in plaats van de compliance per land opnieuw te moeten opbouwen.

8. Overgangsmaatregelen en het tijdelijke MiCA-register

De overgangsperiode uitgelegd

Om te voorkomen dat actieve bedrijven van de ene op de andere dag hun deuren moesten sluiten, gaf MiCA lidstaten de mogelijkheid om bestaande aanbieders onder een overgangsregeling te laten vallen. MiCA stond lidstaten toe om een overgangsperiode van maximaal 18 maanden te hanteren, te rekenen vanaf de toepassingsdatum van december 2024, met als uiterste grens 1 juli 2026. Niet elke lidstaat benutte de volledige periode. Oostenrijk, Duitsland, Ierland, Litouwen en Slowakije kozen voor een periode van 12 maanden, die op 30 december 2025 afliep, terwijl landen als Frankrijk, Italië, Cyprus, Malta, Luxemburg en Estland de volledige termijn aanhielden.

Het tijdelijke CASP-register van ESMA

ESMA houdt een openbaar register bij waarmee je de status van elk bedrijf kunt controleren. Volgens een telling van het tijdelijke MiCA-register van ESMA in oktober 2026 stonden er zo'n 370 CASP-vermeldingen in, waaronder gereguleerde instellingen zoals banken die zich onder Artikel 60 hebben aangemeld, en grote beurzen zoals Coinbase, Kraken, OKX en Bybit die over een vergunning beschikken. Bleap staat ook als erkende aanbieder in dit register, met een CASP-vergunning onder MiCA van Latvijas Banka (Vergunningsnummer 27-55/2026/14, gedateerd 25 juni 2026). Gebruik je een cryptodienst binnen de EU? Dan is het controleren van het ESMA-register veruit de snelste manier om te checken of die dienst legaal opereert.

9. Risico's en gevolgen van opereren zonder MiCA-vergunning

De gevolgen van het overslaan van een vergunning zijn inmiddels heel reëel, niet alleen theoretisch. Opereren zonder CASP-vergunning na 1 juli 2026 is een schending van de EU-wetgeving, geen grijs gebied. De sancties zijn zwaar: bij niet-naleving kunnen boetes oplopen tot 12,5% van de jaaromzet, kan de vergunning worden ingetrokken en kunnen bestuurders persoonlijk aansprakelijk worden gesteld. MiCA voorziet ook in openbare berisping, tijdelijke bestuursverboden en, bij ernstige overtredingen, doorverwijzing naar justitie. Naast de toezichthouders zijn er ook commerciële gevolgen: banken, betaalpartners en beursgenoteerde exchanges weigeren steeds vaker zaken te doen met partijen zonder vergunning. ESMA heeft niet-vergunde aanbieders opgedragen hun activiteiten op ordelijke wijze af te bouwen, en een lopende aanvraag geldt niet als vergunning.

10. Veelvoorkomende redenen waarom MiCA-aanvragen mislukken

De meeste afwijzingen zijn terug te voeren op vermijdbare tekortkomingen:

• Onvoldoende governance en een management body dat niet voldoende gekwalificeerd is.
• Onvoldoende kapitaal, of geen duidelijk beeld van hoe het eigen vermogen op peil wordt gehouden.
• Generieke AML/KYC-beleidslijnen die niet zijn afgestemd op het werkelijke risicoprofiel van het bedrijf.
• Onvolledige of onderling tegenstrijdige documentatie.
• Zwakke operationele weerbaarheid en gebrekkige afstemming op DORA.
• Het onderschatten van de fit-and-propertoets voor belangrijke aandeelhouders en bestuurders.
• Gebrek aan echte substantie in het gekozen rechtsgebied, wat leidt tot zorgen over brievenbusconstructies.

11. MiCA vs. niet-MiCA-diensten: waar ligt de grens?

Niet elke cryptoactiviteit valt onder MiCA, maar de grens ligt smaller dan veel mensen denken. Volledig gedecentraliseerde DeFi zonder aanwijsbare uitgever valt momenteel buiten de reikwijdte, al houdt ESMA dit in de gaten met het oog op een toekomstige herziening. Pure NFT-platforms zijn over het algemeen vrijgesteld, tenzij de NFT's gefractioneerd zijn of als financieel instrument functioneren. Staking-as-a-service en crypto-leningen blijven grijze gebieden waarvoor meer duidelijkheid wordt verwacht. De praktische les is simpel: ga er nooit zomaar vanuit dat een dienst buiten de reikwijdte valt. Vraag eerst een schriftelijk juridisch advies aan voordat je gaat bouwen.

12. Strategische planning voor cryptobedrijven die onder MiCA de EU-markt betreden

De juiste entiteit en jurisdictie kiezen

Vergelijk nationale toezichthouders (NCA's) op reactiesnelheid, kostenstructuur en ondersteuning van het ecosysteem, en kijk daarnaast waar je personeel en daadwerkelijke operationele activiteiten zich zullen bevinden. Ook netwerken van belastingverdragen en betrouwbare toegang tot bankdiensten moeten meewegen in je beslissing, want veel CASP's lopen vaker tegen problemen aan bij het openen van een bankrekening dan bij het verkrijgen van de vergunning zelf.

Een MiCA-proof compliance-programma opzetten

Begin met een gap-analyse ten opzichte van de CASP-vereisten en stel vervolgens een compliance-routekaart op met duidelijke mijlpalen en verantwoordelijke personen. Integreer Travel Rule-technologie en realtime transactiemonitoring vanaf dag één, in plaats van dit er later nog bij te plakken.

De timing van je aanvraag na de deadline van juli 2026

De deadline is verstreken, maar de vraag is niet afgenomen. Bij het verstrijken van de deadline waren 280 CASP's vergund, slechts 17% van de ruim 1.200 bedrijven die eerder een nationale VASP-registratie hadden. De overige 83% is gestopt, halverwege het proces blijven steken, of heeft de regels overtreden. Dat betekent dat het risico op wachtrijen bij populaire NCA's reëel blijft. Dien je aanvraag vroeg in, bouw extra tijd in als buffer, en zorg voor een plan B voor het geval de vergunning langer op zich laat wachten dan gehoopt.

Veelgestelde vragen over MiCA-vergunningen

Wat is het verschil tussen een MiCA-vergunning en een CASP-vergunning?

Het gaat om hetzelfde, maar dan bekeken vanuit een andere invalshoek. MiCA is de verordening; "CASP-vergunning" beschrijft de autorisatie die deze verordening toekent aan een aanbieder van cryptoactivadiensten. Als mensen het hebben over een "MiCA-vergunning", bedoelen ze daar vrijwel altijd CASP-autorisatie onder de verordening mee.

Wat was de deadline voor de MiCA-verordening in de EU, en wat gebeurde er na juli 2026?

De uiterste deadline voor alle EU-lidstaten was 1 juli 2026, al hanteerden sommige lidstaten kortere termijnen die al op 30 juni 2025 afliepen. Na die datum mag een niet-geautoriseerde CASP geen EU-klanten meer bedienen; de aanbieder moet stoppen met het leveren van cryptoactivadiensten aan EU-klanten en een ordentelijk afbouwplan opstellen.

Kan een crypto-bedrijf van buiten de EU een MiCA-vergunning krijgen?

Ja, maar bijna altijd door een juridische entiteit op te richten in een EU-lidstaat en de aanvraag in te dienen via de nationale toezichthouder (NCA) van dat land. De uitzondering voor reverse solicitation is beperkt en vormt geen vervanging voor een vergunning als je van plan bent EU-klanten actief te benaderen.

Hoe lang duurt het om een MiCA-vergunning te krijgen?

Realistisch gezien 9 tot 18 maanden van begin tot eind, inclusief voorbereiding. Het eigenlijke autorisatietraject duurt zo'n 4 tot 9 maanden. Een vroege start met de voorbereiding is verreweg de belangrijkste factor om je doorlooptijd te beïnvloeden.

Geldt MiCA-compliance ook voor Bitcoin- en Ethereum-exchanges?

Ja. Exchanges die handel aanbieden in Bitcoin, Ether en andere algemene cryptoactiva, leveren gereguleerde CASP-diensten en hebben volledige MiCA-autorisatie nodig om EU-klanten te mogen bedienen.

Wat is het minimumkapitaal dat vereist is voor een EU-cryptovergunning onder MiCA?

Dit is afhankelijk van de dienst: € 50.000 voor Klasse 1 (ontvangst en doorgifte, advies, portefeuillebeheer, overdrachten), € 125.000 voor Klasse 2 (uitwisseling, uitvoering, plaatsing) en € 150.000 voor Klasse 3 (bewaring en administratie, het exploiteren van een handelsplatform).

Conclusie en belangrijkste punten

MiCA heeft gedaan wat het moest doen: 27 uiteenlopende nationale regimes vervangen door één geharmoniseerd kader. Een MiCA-vergunning, de CASP-autorisatie, geeft toegang tot paspoortrechten in alle 30 EER-lidstaten, en geldt nu voor elk bedrijf, EU of niet-EU, dat crypto-diensten aanbiedt aan EU-klanten. De eisen rond kapitaal, governance, AML/KYC en IT-beveiliging zijn stevig en vragen om serieuze voorbereiding, en de deadline van 1 juli 2026 is verstreken zonder uitstel. Zonder vergunning opereren betekent dus nu simpelweg de EU-wet overtreden. De praktische vervolgstap voor elk bedrijf is duidelijk: voer een gap-analyse uit, kies een jurisdictie en begin nu met het pre-aanvraagtraject.

Voor de rest is de les simpeler. Kies, als je bepaalt waar je je crypto bewaart en uitgeeft, voor een aanbieder die dit huiswerk al heeft gedaan. Bleap is een door MiCA geautoriseerde CASP, gelicentieerd door Latvijas Banka. Dat betekent dat de self-custodial Mastercard, 0% FX-kosten, tot 20% cashback, kosteloos handelen en de USD-spaarkluizen (Steady met 3,8% AER en Dynamic met 7% AER, $1 minimum, 0% opnamekosten, EUR-kluis komt binnenkort) allemaal binnen het gereguleerde kader van de EU draaien, niet eromheen.