Regolamentazione DeFi in Italia

Scegliere il procedimento per il soggetto richiedente

Il procedimento italiano per i CASP coinvolge Consob e Banca d’Italia. Lo status regolamentare già posseduto e i servizi previsti determinano il percorso. La guida CASP della Banca d’Italia illustra il riparto previsto da MiCA e dal decreto legislativo 129/2024.

Consob autorizza i CASP specializzati, sentita la Banca d’Italia. Quest’ultima riceve le notifiche ex articolo 60 di banche, IMEL e SGR per i servizi ammessi. Consob riceve quelle di SIM, depositari centrali e gestori di mercati. Gli altri casi autorizzativi dipendono dal soggetto e dal servizio: consultare la matrice dettagliata dell’autorità.

Preparare una scheda con soggetto giuridico, autorizzazioni esistenti, attività previste e clientela. Per ogni attività indicare se è già coperta, potenzialmente notificabile oppure soggetta a nuova autorizzazione. Risolvere le incertezze prima di fissare una scadenza di presentazione.

Collegare soggetto, procedura e documentazione

Questa matrice DeFiSec serve alla preparazione. Separa la decisione iniziale dai documenti utili a motivarla, senza determinare l’esito giuridico per uno specifico richiedente.

Un marchio comune può comprendere più soggetti con autorizzazioni differenti. Usare la denominazione giuridica esatta nell’istanza, nei contratti con i fornitori e nelle condizioni per i clienti. Se una società del gruppo fornisce l’infrastruttura dei wallet, spiegare come il richiedente supervisiona l’accordo e ripristina il servizio.

Documentare le dipendenze operative del servizio

DORA si applica ai CASP autorizzati ai sensi di MiCA che rientrano nel suo ambito. Un fascicolo utile collega ogni funzione per il cliente ai sistemi, alle persone e agli accordi contrattuali necessari. Per la custodia, lo schema dovrebbe identificare poteri di firma, recupero delle chiavi, riconciliazione e risposta all’indisponibilità di un fornitore.

La guida pratica di Pharos Production al registro DORA dei contratti ICT per i servizi crypto descrive il lavoro tecnico necessario per mantenere questi dati. È utile per collegare l’inventario infrastrutturale alle informazioni contrattuali; la base giuridica resta DORA con le misure tecniche applicabili.

Per la continuità operativa, il regolamento delegato 2025/299 comprende i rischi legati ai registri distribuiti. Un’esercitazione interna può seguire un prelievo non riuscito dalla rilevazione alla comunicazione al cliente, fino al ripristino e alla riconciliazione dei saldi. Registrare l’esito effettivo e chi ha accettato eventuali limiti residui.

Presentazione e modifiche al servizio

La guida italiana contiene i moduli e le istruzioni PEC aggiornate. Prevede anche interlocuzioni preliminari alla presentazione formale. Utilizzarle per chiarire soggetto e procedimento; tali incontri non costituiscono un’autorizzazione.

Distinguere il tempo di preparazione dai termini di valutazione. L’articolo 63 separa la verifica di completezza dall’esame dell’istanza completa e contempla richieste di informazioni aggiuntive. Il calendario di progetto dovrebbe prevedere la correzione delle lacune documentali, senza trasformare un termine istruttorio in una data di avvio garantita.

Dopo l’autorizzazione, confrontarne il perimetro con il servizio in produzione. Inserire nel controllo delle nuove versioni le modifiche a custodia, instradamento degli ordini, asset supportati e soggetto contrattuale. La checklist per l’audit degli smart contract, in inglese, supporta la revisione del codice; le prove operative e regolamentari richiedono comunque responsabili propri.