MiCA, due anni dopo: il mercato cripto italiano è servito prevalentemente dall’estero

Il 30 dicembre 2026 il regolamento MiCA compirà due anni di piena applicazione ai prestatori di servizi per le cripto-attività, e il bilancio italiano si può riassumere in due numeri del registro europeo: dieci soggetti italiani, di cui una banca, e duecento soggetti esteri, di cui diciotto banche, che possono servire i clienti italiani grazie al passaporto. La domanda, in altre parole, c’è; è l’offerta nazionale a mancare. Proviamo a capire perché, partendo dai testi e dai dati pubblici.

Il quadro, in breve

Alla fine di ottobre il registro tenuto dall’ESMA contava 389 soggetti in tutto lo Spazio economico europeo, 108 dei quali banche che hanno notificato i servizi senza bisogno di una nuova autorizzazione. Di questi, dieci hanno sede in Italia: nove CASP autorizzati dalla Consob, sentita la Banca d’Italia, otto entro la fine del periodo transitorio e un nono a ottobre, più Banca Sella, che ha scelto la via della notifica prevista dall’art. 60 MiCA per gli intermediari già vigilati. Nello stesso registro, duecento soggetti stabiliti in altri Stati membri (diciotto dei quali banche) indicano l’Italia tra i Paesi in cui operano.

Il confronto con il punto di partenza è ancora più eloquente. A fine 2024 il registro italiano degli operatori in valute virtuali, tenuto dall’OAM, contava 166 iscritti, 150 dei quali persone giuridiche; oggi gli operatori con un’autorizzazione italiana sono nove, meno di uno su dieci. E mentre il rapporto ESMA sulle sanzioni del 2025 non registra alcuna misura italiana adottata ai sensi di MiCA, la Consob ha portato a 242 i siti cripto oscurati dal 2019.

Dal registro all’autorizzazione MiCA: come si è arrivati qui

Fino al 2024, in Italia, chi offriva servizi in valute virtuali non era un intermediario vigilato. Bastava l’iscrizione in una sezione speciale del registro dei cambiavalute tenuto dall’OAM (art. 17-bis d.lgs. 141/2010): un presidio pensato in chiave antiriciclaggio, con l’invio trimestrale dei dati sull’operatività dei clienti ma senza alcuna vigilanza su condotta, capitale e organizzazione.

MiCA (Reg. UE 2023/1114) ha sostituito quel modello con un’autorizzazione preventiva e con una vigilanza piena. Il d.lgs. 129/2024 ha affidato la competenza autorizzativa alla Consob, sentita la Banca d’Italia, e ha disegnato un regime transitorio per chi era già iscritto all’OAM; un regime che, però, è stato riscritto mentre era già in corso.

Nella versione originaria, l’art. 45 del d.lgs. 129/2024 riservava il transitorio ai VASP iscritti all’OAM al 27 dicembre 2024 che avessero presentato istanza entro il 30 giugno 2025, consentendo loro di operare fino al 30 dicembre dello stesso anno. Il d.l. 95/2025, convertito dalla l. 118/2025, ha spostato il termine per l’istanza al 30 dicembre 2025 e quello per l’operatività al 30 giugno 2026, cioè al massimo consentito dall’art. 143 MiCA, aprendo inoltre il transitorio ai VASP il cui gruppo avesse chiesto l’autorizzazione in un altro Stato membro.

La proroga ha concesso tempo, ma ha anche spinto in avanti le decisioni. A metà ottobre 2025, stando ai dati che Consob e Banca d’Italia hanno presentato all’industria, le istanze formali erano appena tre, a fronte di 45 richieste di interlocuzione e 7 pre-filing. La prima autorizzazione italiana è arrivata il 6 maggio 2026 e le altre sette si sono concentrate nelle otto settimane successive, a ridosso della scadenza.

Il confronto europeo sui CASP MiCA: chi autorizza e chi importa

Il registro ESMA raccoglie due categorie diverse: i CASP che hanno ottenuto un’autorizzazione ai sensi dell’art. 63 MiCA e gli intermediari già vigilati, per lo più banche, che si sono limitati a notificare i servizi ai sensi dell’art. 60. Tenerle distinte è indispensabile per leggere la classifica.

Al 30 ottobre 2026 la Germania guida con 119 soggetti, ma 84 sono banche, in gran parte popolari e casse rurali; seguono la Francia con 36 (di cui 2 banche), i Paesi Bassi con 29 (di cui 1), Cipro con 25 e Malta con 23. L’Italia, con 10 soggetti (di cui 1 banca), si colloca nella metà alta, ma a grande distanza dai poli che si sono imposti nella concorrenza tra ordinamenti alimentata dal forum shopping degli operatori. Senza le banche, del resto, il primato tedesco quasi scompare: la Germania scende a 35 soggetti, appena sopra la Francia (34) e i Paesi Bassi (28).

Per il mercato italiano, però, il dato decisivo è un altro. Secondo la nostra elaborazione del registro, i soggetti esteri che indicano l’Italia tra i Paesi in cui operano sono 200, di cui 18 banche. Arrivano anzitutto dalla Francia (27, di cui 2 banche), poi da Cipro e dai Paesi Bassi (21 ciascuno, con una banca olandese), da Malta (18), dalla Germania (17, di cui 5 banche), dal Lussemburgo (13, di cui 4) e dalla Lettonia (11).

Per ogni soggetto italiano ce ne sono dunque quasi venti esteri in grado di servire il cliente italiano, e la proporzione resta la stessa anche togliendo le banche dal conto: 182 operatori esteri contro 9 italiani. L’elenco completo dei soggetti, italiani ed esteri, con i servizi notificati e lo Stato d’origine, è consultabile nella Directory Crypto & operatori MiCA dello Studio, aggiornata con il registro ESMA.

Le ragioni del deficit italiano sotto MiCA

Il deficit italiano non ha una causa sola. Leggendo insieme le norme e i dati se ne riconoscono almeno sette, che non agiscono isolatamente ma si rafforzano l’una con l’altra: alcune discendono dalle scelte del legislatore europeo, altre, e sono le più rilevanti, da quelle del legislatore nazionale.

Dalla registrazione all’autorizzazione: un salto di regime senza gradualità

Il registro OAM era un regime di mera registrazione, con finalità esclusivamente antiriciclaggio: nessun requisito di capitale, nessuna verifica sugli esponenti, nessuna vigilanza sulla condotta. Ha prodotto, com’era prevedibile, un’industria molto frammentata. Già il primo rapporto dell’OAM, nel marzo 2023, mostrava che 53 dei 74 operatori che avevano trasmesso dati servivano meno di 500 clienti e che soltanto sei superavano i 50.000; nel 2025 oltre il 91% della clientela era ormai concentrato sulle grandi piattaforme.

MiCA introduce invece un regime autorizzatorio pieno, costruito sul modello degli intermediari finanziari: tutele prudenziali pari al maggiore tra un capitale minimo di 50.000, 125.000 o 150.000 euro, secondo la classe dei servizi, e un quarto delle spese fisse generali dell’anno precedente (art. 67 MiCA); requisiti di onorabilità, conoscenza e competenza per gli esponenti e per i soci qualificati (art. 68); dispositivi di governance e di continuità operativa; custodia separata delle cripto-attività e dei fondi dei clienti (art. 70); una procedura di trattamento dei reclami (art. 71); e, per il tramite di DORA, un presidio completo dei rischi informatici.

Tra i due regimi il legislatore non ha previsto stadi intermedi né soglie dimensionali: la proporzionalità, che l’art. 63, par. 9, MiCA affida alla valutazione della «natura, portata e complessità» dei servizi, opera sul giudizio dell’autorità, non sul perimetro degli obblighi. Per chi contava poche centinaia di clienti, con un portafoglio medio intorno ai 1.400 euro, quel costo fisso non era sostenibile, e molti hanno preferito chiudere, farsi assorbire o appoggiarsi al proprio gruppo estero.

Il caso più eloquente arriva da Rovereto, la cosiddetta Bitcoin Valley italiana. Comproeuro, lo sportello aperto nel 2017 per cambiare euro in bitcoin, chiuderà il 27 novembre 2026: aveva smesso di comprare e vendere a dicembre 2025, alla scadenza del transitorio, senza riuscire a ottenere l’autorizzazione MiCA.

In nove anni non aveva mai custodito né euro né bitcoin dei clienti; eppure il percorso autorizzativo gli chiedeva il contributo istruttorio di 20.000 euro e presidi pensati per chi la custodia la presta. Un costo insostenibile per un negozio che non chiude per una violazione ma per sproporzione. Con Comproeuro scompare l’unico luogo fisico, in Europa, dove il cittadino poteva cambiare euro in bitcoin allo sportello e farsi spiegare che cosa stava comprando.

Il modello bicefalo: vigilanza per finalità e stratificazione dei presidi

L’art. 93 MiCA lascia agli Stati membri la scelta tra un’autorità competente unica e più autorità, purché in questo secondo caso ne ripartiscano i compiti e designino un punto di contatto unico. Il legislatore italiano ha scelto la seconda strada e, con l’art. 3 del d.lgs. 129/2024, ha trasposto alle cripto-attività il modello di vigilanza per finalità dell’art. 5 TUF: alla Banca d’Italia il contenimento del rischio, la stabilità patrimoniale e la sana e prudente gestione; alla Consob la trasparenza, la correttezza dei comportamenti, l’ordinato svolgimento delle negoziazioni e la tutela dei possessori.

L’autorizzazione dei CASP cosiddetti specializzati è rilasciata dalla Consob, sentita la Banca d’Italia; la vigilanza continuativa resta ripartita tra le due autorità, ciascuna con propri poteri di indagine e di vigilanza (art. 4) e propri poteri regolamentari (art. 5), coordinati da un protocollo d’intesa del 10 marzo 2025 (art. 9). Alla Banca d’Italia spetta inoltre la vigilanza antiriciclaggio.

Il modello ha una sua coerenza sistematica, ma per un operatore di piccole dimensioni si traduce in una stratificazione di interlocutori, di flussi informativi e di costi. Due autorità istruiscono la domanda, ciascuna per i propri profili; due corpi di normazione secondaria si affiancano al regolamento europeo e alle norme tecniche dell’ESMA e dell’ABE; la presentazione dell’istanza è subordinata a un contributo istruttorio di 20.000 euro, cui si aggiunge, a regime, il contributo annuo di vigilanza previsto dalla delibera Consob n. 23700 del 15 ottobre 2025.

A valle restano gli obblighi verso la UIF, le comunicazioni fiscali e, dal 2026, gli adempimenti di due diligence e comunicazione della DAC8. Nel 2025 l’associazione di categoria ha segnalato proprio l’impossibilità di quantificare in anticipo questi oneri, una tantum e ricorrenti, che andavano inseriti nel business plan allegato all’istanza. Nessuno di questi presidi è, in sé, sproporzionato; il problema è che il loro costo marginale grava in misura inversamente proporzionale alla dimensione dell’operatore, mentre il passaporto consente di sottrarvisi scegliendo un ordinamento con un percorso istruttorio più lineare.

Il transitorio MiCA: geometria variabile e tempi istruttori dilatati

L’art. 143, par. 3, MiCA consentiva ai prestatori già operanti secondo il diritto nazionale di proseguire fino al 1° luglio 2026, lasciando agli Stati membri la facoltà di abbreviare il periodo. L’Italia ne ha fatto un uso oscillante: la versione originaria dell’art. 45 d.lgs. 129/2024 lo comprimeva a dodici mesi, il d.l. 95/2025 lo ha riportato al massimo europeo, spostando anche il termine per le istanze. La scelta di termini mobili ha prodotto un prevedibile effetto attesa: a metà ottobre 2025 le istanze formali erano appena tre, e il grosso delle domande è arrivato a dicembre.

A quel punto ha pesato il divario tra i termini nominali e quelli effettivi dell’istruttoria. L’art. 63 MiCA prevede 25 giorni lavorativi per la verifica di completezza e 40 giorni lavorativi per la decisione, ma questi ultimi decorrono soltanto dalla domanda completa, e ogni richiesta di integrazione ne sposta l’inizio.

Nei casi documentati, tra il deposito e l’autorizzazione sono trascorsi da sei a nove mesi. Vi ha contribuito la cautela che l’ESMA, dopo la revisione tra pari sull’autorità maltese del luglio 2025, aveva chiesto alle autorità nazionali per le domande presentate a ridosso del termine. Il risultato è un mercato che a maggio 2026 non aveva ancora alcun CASP autorizzato e a luglio ne contava otto.

Controllo dello Stato d’origine, forum shopping e limiti dello Stato ospitante

MiCA è costruita sul principio del controllo dello Stato d’origine: l’autorizzazione rilasciata in uno Stato membro vale in tutta l’Unione previa semplice notifica (art. 65), e la vigilanza ordinaria resta all’autorità che l’ha concessa. In un mercato unico in cui l’intensità della vigilanza non è uniforme, questo assetto incentiva il forum shopping: ci si autorizza dove i tempi sono più prevedibili o l’interlocutore più esperto, e poi si “passaporta”. La revisione tra pari sull’autorità maltese, che ha rilevato autorizzazioni rilasciate con questioni rilevanti ancora aperte, ha mostrato quanto sia ancora incompiuta la convergenza delle prassi di vigilanza.

Lo Stato ospitante, dal canto suo, dispone di strumenti residuali. L’art. 102 MiCA consente alla Consob e alla Banca d’Italia di adottare misure precauzionali, fino al divieto di operare in Italia, ma solo in presenza di motivi chiari e dimostrabili e dopo aver investito l’autorità dello Stato d’origine.

Non sorprende che la Consob, insieme all’AMF francese e alla FMA austriaca, abbia chiesto nel 2025 di affidare all’ESMA la vigilanza diretta sui principali CASP. Il pacchetto presentato dalla Commissione il 4 dicembre 2025 proponeva di accentrare in ESMA l’autorizzazione e la vigilanza di tutti i CASP, ma a ottobre 2026 i ministri delle finanze hanno ristretto l’ipotesi ai soli operatori più grandi.

Ne deriva un’asimmetria evidente: il cliente è italiano, mentre il contratto e il supervisore spesso non lo sono. Eppure l’autorizzazione europea non assorbe tutto il diritto che si applica a quel cliente.

Restano nazionali, tra l’altro, la disciplina del Codice del consumo sulle pratiche commerciali scorrette e sulle clausole vessatorie, gli obblighi antiriciclaggio legati alla presenza sul territorio, compreso il punto di contatto centrale che l’art. 45-bis del d.lgs. 231/2007, introdotto dal d.l. 95/2025, impone ai prestatori esteri operanti in Italia, la fiscalità e la lingua delle comunicazioni. È proprio in questo spazio, dove il passaporto non arriva e la vigilanza dello Stato d’origine non guarda, che il mercato italiano mostra oggi le lacune più vistose.

Il disallineamento fiscale

La legge di bilancio 2025 (l. 207/2024, art. 1, commi 23-29) ha eliminato dal 2025 la franchigia di 2.000 euro e ha previsto che l’imposta sostitutiva sulle plusvalenze da cripto-attività passasse dal 26% al 33% a partire dal 1° gennaio 2026; la legge di bilancio 2026 (l. 199/2025, art. 1, comma 28) ha confermato il 33%, lasciando al 26% i soli token di moneta elettronica denominati in euro.

Ne risulta una deroga al principio di neutralità fiscale tra forme di investimento economicamente equivalenti: la stessa esposizione al bitcoin sconta il 33% se detenuta direttamente presso un CASP e il 26% se acquistata tramite un ETP quotato. Il prelievo dipende dal veicolo, non dal rischio, e la scelta orienta il risparmio verso i prodotti negoziati in banca o in borsa e verso le stablecoin in euro, lasciando meno spazio al mercato a pronti, cioè proprio al terreno su cui operano i CASP.

A questo si aggiunge che il regime del risparmio amministrato è facoltativo e che gli operatori esteri raramente agiscono come sostituti d’imposta, sicché la liquidazione dell’imposta e il monitoraggio fiscale restano interamente a carico del cliente, in dichiarazione.

Una domanda prudente, che guarda alla banca

Secondo l’Osservatorio Blockchain & Web3 del Politecnico di Milano (ottobre 2026), possiede cripto-attività il 7% degli italiani, circa 2,8 milioni di persone: la diffusione più bassa tra i Paesi europei esaminati. Il 45% di chi è interessato preferirebbe però acquistarle tramite la propria banca, contro una quota compresa tra il 24 e il 31% negli altri Paesi.

È una domanda reale, che cerca un intermediario conosciuto, e qui il paradosso è evidente. Per le banche MiCA prevede la via più leggera, la notifica dell’art. 60, che non richiede una nuova autorizzazione ma soltanto la trasmissione all’autorità, almeno 40 giorni lavorativi prima dell’avvio, delle informazioni su programma operativo, presidi e procedure. Eppure nel registro ESMA l’Italia ha una sola banca notificata, mentre la Germania ne conta 84, in gran parte banche popolari e casse rurali, e l’Indagine Fintech della Banca d’Italia sugli intermediari bancari e finanziari (23 dicembre 2025) rileva che l’offerta di servizi in cripto-attività riguarda soltanto un nucleo ristretto di intermediari.

I dati OAM confermano la contrazione: i detentori di cripto-attività presso gli operatori iscritti sono scesi da circa 1,6 milioni a fine 2024 a circa 1,1 milioni nel terzo trimestre 2025. Un calo che non misura soltanto un minore interesse, ma che riflette anche l’uscita degli operatori dal registro.

Un MiCA di polizia: molto abusivismo, pochi operatori

L’ultimo deficit è di natura informativa. Contro l’offerta cripto non autorizzata l’Italia agisce soprattutto con l’oscuramento dei siti, sulla base dei poteri attribuiti dal Decreto Crescita e dal d.lgs. 129/2024, e presidia l’abusivismo con una sanzione penale (art. 30 d.lgs. 129/2024). Dal 2019 la Consob ha oscurato oltre 1.850 siti, e quelli legati alle cripto-attività sono passati da 136 al 26 febbraio 2026 a 242 al 23 ottobre: più di cento in otto mesi.

Questi interventi, tuttavia, non compaiono nelle statistiche europee come misure MiCA. Il rapporto ESMA sulle sanzioni del 2025, pubblicato il 15 ottobre 2026, registra le prime misure adottate ai sensi di MiCA in quattro Stati (Austria, Germania, Liechtenstein e Paesi Bassi); l’Italia vi figura con 111 misure, nessuna delle quali ricondotta a MiCA. Eppure gli ordini di oscuramento della Consob sui siti di servizi per le cripto-attività sono fondati proprio sul regolamento (art. 94, par. 1, lett. h, MiCAR e art. 4 d.lgs. 129/2024).

Il punto, detto senza giri di parole, è che in Italia MiCA è stato usato in modo distorsivo. Un regolamento pensato per costruire un mercato unico di prestatori autorizzati e vigilati è diventato, nella prassi nazionale, quasi soltanto uno strumento di polizia della rete: gli stessi poteri dell’articolo 94 che dovrebbero accompagnare la vigilanza sugli operatori servono qui, in larghissima parte, a oscurare siti abusivi.

Nel 2025 i siti cripto oscurati sono stati oltre cento; i CASP italiani autorizzati, a fine ottobre 2026, sono dieci. Il risultato è un sistema che reprime con efficienza chi opera senza titolo, ma non ha messo in condizione chi vuole operare con titolo di farlo in Italia. E la repressione, per giunta, resta anche invisibile in Europa, visto che il ruolo da sceriffo che si è data la Consob non viene neppure pubblicato.  

A ciò si aggiunge una perdita di dati. Con la chiusura del registro OAM è venuta meno la rilevazione trimestrale sull’operatività dei clienti italiani, che era l’unica statistica di mercato su base nazionale, e il registro ESMA dice chi può servire l’Italia, non chi la serve davvero né con quali volumi.

Che cosa ci dicono i dati del registro MiCA

Il mercato cripto italiano è oggi, a tutti gli effetti, un mercato di importazione regolamentare: la domanda è italiana, mentre l’autorizzazione, la vigilanza ordinaria e spesso anche il contratto provengono da altri Stati membri. Non si tratta di un effetto collaterale, ma della somma di scelte normative precise: un salto dal regime di registrazione a quello autorizzatorio senza gradualità, un modello di vigilanza bicefalo che moltiplica interlocutori e costi, un transitorio a termini mobili, un prelievo fiscale non neutrale e un sistema bancario che non ha usato la via più leggera che MiCA gli offriva.

Il secondo anno di MiCA si chiude così con una domanda aperta. Il diritto nazionale che continua ad applicarsi al cliente italiano, in materia di consumo, antiriciclaggio, fisco, lingua e reclami, sarà rispettato da chi lo serve dall’estero? E chi ne verificherà il rispetto, ora che la vigilanza ordinaria si trova altrove? Il passaporto ha risolto la questione dell’accesso al mercato; questa, invece, resta da risolvere.

Fonti principali. Reg. UE 2023/1114 (MiCA), artt. 59, 60, 62, 63, 65, 67, 68, 70, 71, 93, 102, 143 · d.lgs. 129/2024, artt. 3, 4, 5, 9, 30 e 45, come modificato dal d.l. 95/2025 (conv. l. 118/2025) · d.lgs. 58/1998 (TUF), art. 5 · d.lgs. 231/2007, art. 45-bis · Protocollo d’intesa Consob – Banca d’Italia del 10 marzo 2025 · Consob, delibera n. 23700 del 15 ottobre 2025 · l. 207/2024, art. 1, commi 23-29 · l. 199/2025, art. 1, comma 28

Consob e Banca d’Italia, comunicato congiunto del 30 giugno 2026 e workshop del 22 ottobre 2025 · Consob, comunicazione del 4 dicembre 2025 e comunicati sull’abusivismo (febbraio-ottobre 2026) · ESMA, Report on sanctions and measures imposed in Member States in 2025 (15 ottobre 2026) · ESMA, registro dei CASP (CASPS.csv al 30 ottobre 2026, dall’archivio CASP-Tracker/mica-register-data, CC BY 4.0;

elaborazione ADLP) · OAM, rapporti trimestrali sui VASP · Commissione europea, Market integration and supervision package (4 dicembre 2025) · Politecnico di Milano, Osservatorio Blockchain & Web3 (ottobre 2026) · Banca d’Italia, Indagine Fintech (dicembre 2025).

Nota informativa. Contenuto a carattere informativo, aggiornato alla data di pubblicazione (novembre 2026); i dati del registro ESMA sono aggiornati al 30 ottobre 2026 e gli atti Consob e Banca d’Italia sono stati verificati il 9 novembre 2026, nel rispetto degli artt. 17 e 17-bis del Codice Deontologico Forense; non costituisce consulenza legale.

© 2026 ADLP Studio Legale. Testi, immagini, grafiche e documenti di questo sito sono protetti dalla legge 22 aprile 1941, n. 633; la riproduzione è riservata (art. 65). Sono consentite citazioni e riprese, anche da parte di motori di ricerca e sistemi di IA, purché indichino l’autore, ADLP Studio Legale e il link all’articolo. Sono vietati copia e riuso senza attribuzione, nonché l’estrazione di testo e dati per addestrare modelli di IA (art. 70-quater).