Règlement MiCA en 2026 : le guide de conformité crypto dans l'UE jusqu'en 2028

Dernière révision : 7 octobre 2026 · Ne constitue pas un avis juridique

Le règlement MiCA (Markets in Crypto-Assets, règlement (UE) 2023/1114) constitue la licence. Il ne fixe pas les règles de connaissance du client (KYC) : celles-ci découlent du cadre LCB-FT de l'UE, du règlement sur les transferts de fonds et, pour l'identité numérique, d'eIDAS 2.0.^{[1][4][6][12]} Selon ses services, son statut et ses transferts, une entreprise crypto servant des clients dans l'UE peut être soumise aux quatre textes, avec des échéances allant de décembre 2024 à 2028.

La réglementation crypto de l'UE en un coup d'œil

Le calendrier réglementaire, de 2024 à 2028

1. 30 décembre 2024MiCA et TFRLe régime des CASP et la Travel Rule crypto s'appliquent.^[1][4]
2. 17 janvier 2025DORALes règles de résilience opérationnelle numérique s'appliquent aux CASP agréés.^[14]
3. 1er janvier 2026DAC8Les données de déclaration fiscale relatives aux crypto-actifs sont collectées pour 2026.^[15]
4. 1er juillet 2026Fin de la transition MiCALa fin la plus tardive de la période transitoire, tous États membres confondus.^[1][2]
5. 1er octobre 2026Annonce de l'AMLAL'AMLA indique avoir soumis ses projets finaux de normes sur la vigilance à l'égard de la clientèle.^[8]

1. 24 décembre 2026Portefeuilles européens d'identité numérique (EUDI Wallet)Chaque État membre fournit au moins un portefeuille (date calculée).^[12][13]
2. 1er janvier 2027DAC8Autocertification de la résidence fiscale exigible pour les utilisateurs existants.^[15]
3. 10 juillet 2027Entrée en application de l'AMLRUn règlement unique de l'UE pour la vigilance à l'égard de la clientèle.^[6]
4. 24 décembre 2027Acceptation du portefeuilleLes entreprises tenues d'utiliser une authentification forte de l'utilisateur pour l'identification en ligne l'acceptent sur demande (date calculée).^[12][13]
5. 2028Surveillance par l'AMLASurveillance directe de 40 groupes financiers transfrontaliers au maximum.^[11]

En haut : déjà en vigueur. En bas : encore à venir. Les deux dates eIDAS sont des dates calculées à partir de l'entrée en vigueur des premiers actes d'exécution relatifs au portefeuille le 24 décembre 2024. Une lecture stricte pourrait les rattacher à des actes ultérieurs.

Règlement MiCA : l'agrément est désormais obligatoire

L'article 59(1) de MiCA est bref : « Une personne ne fournit pas de services sur crypto-actifs dans l'Union à moins qu'elle ne soit » un CASP agréé ou une banque, une entreprise d'investissement, un établissement de monnaie électronique ou une autre entité financière autorisée à le faire en vertu de l'article 60.^[1] La seule exception est étroite : une entreprise d'un pays tiers peut servir un client de l'UE qui la sollicite « de sa propre initiative exclusive », et le démarchage de clients de l'UE y met fin (article 61).^[1]

Les entreprises qui exerçaient déjà en vertu du droit national bénéficiaient d'une période transitoire, que chaque État membre pouvait raccourcir ou supprimer (article 143(3)).^[1]

Article 143(3)Règlement (UE) 2023/1114

« Les prestataires de services sur crypto-actifs qui fournissaient leurs services conformément au droit applicable avant le 30 décembre 2024 peuvent continuer à le faire jusqu'au 1er juillet 2026 ou jusqu'à ce qu'ils obtiennent ou se voient refuser un agrément en vertu de l'article 63, la date la plus proche étant retenue. »

Source : EUR-Lex, règlement (UE) 2023/1114^[1]

L'Autorité européenne des marchés financiers (ESMA) recense la période choisie par chaque pays, en précisant que certaines ne sont peut-être pas encore transposées en droit national.^[2]

Toutes ces périodes avaient pris fin au 1er juillet 2026. L'ESMA recense les CASP agréés dans son registre provisoire.^[16]

Ce que MiCA exige de vous

• Passeport : une fois agréé, un CASP peut servir des clients « dans toute l'Union » sans présence physique dans chaque pays.^[1] Il adresse une notification à son autorité d'origine et peut commencer son activité dans un pays d'accueil dès réception de la communication de cette autorité, ou au plus tard le 15e jour calendaire suivant le dépôt de sa notification (articles 59(7) et 65(4)).^[1]
• LCB-FT dans la demande d'agrément : le dossier décrit les contrôles, politiques et procédures mis en place « pour identifier, évaluer et gérer les risques, y compris les risques de blanchiment de capitaux et de financement du terrorisme » (article 62(2)(i)).^[1]
• Conservation : l'accord avec le client couvre la communication, « y compris le système d'authentification du client », et les avoirs des clients sont séparés de ceux de l'entreprise, y compris sur le registre (articles 75(1)(d) et 75(7)).^[1]
• Authentification forte : les CASP agréés sont des entités financières au sens du règlement sur la résilience opérationnelle numérique (DORA), qui exige des « mécanismes d'authentification forte » et la protection des clés cryptographiques (article 9(4)(d)).^[14]

En cas d'infraction aux règles applicables aux prestataires de services sur crypto-actifs (CASP) (articles 59, 60, 64 et 65 à 83), l'article 111(3) impose que les autorités de surveillance puissent infliger à une société des amendes maximales d'au moins EUR 5,000,000 et d'au moins 5% du chiffre d'affaires annuel total. Les États membres peuvent prévoir des montants plus élevés.^[1]

Les stablecoins relèvent d'un régime propre. Un jeton de monnaie électronique ne peut être offert au public dans l'UE que par un émetteur agréé en tant qu'établissement de crédit ou établissement de monnaie électronique, après notification et publication d'un livre blanc, ou par d'autres personnes avec le consentement écrit de cet émetteur (article 48(1)).^[1] En janvier 2025, l'ESMA a indiqué que les plateformes de négociation devaient cesser de proposer la négociation de ces jetons lorsque l'émetteur n'est pas agréé dans l'UE, en restreignant les services existants d'ici la fin janvier 2025, avec une fenêtre de « vente uniquement » jusqu'à la fin du premier trimestre 2025, la conservation et les transferts pouvant se poursuivre.^[3]

Ce que vos clients remarquent : davantage de questions, des conditions de conservation qui expliquent comment ils se connectent, et moins de stablecoins.

La Travel Rule crypto : l'identité accompagne chaque transfert

Le règlement (UE) 2023/1113, le règlement sur les transferts de fonds (TFR), s'applique depuis le 30 décembre 2024.^[4] Les orientations de l'Autorité bancaire européenne relatives à la Travel Rule s'appliquent à compter du même jour.^[5] Pour les crypto-actifs, il n'existe aucun seuil : les transferts « devraient être soumis aux mêmes exigences, quel que soit leur montant et qu'il s'agisse de transferts nationaux ou transfrontières » (considérant 30).^[4]

Les données sont transmises « préalablement au transfert, ou simultanément ou concomitamment à celui-ci », de manière sécurisée (article 14(4)).^[4] Le CASP du donneur d'ordre ne peut pas lancer ni exécuter le transfert avant d'avoir accompli toutes ces étapes (article 14(8)).^[4]

Transferts sortants ; l'article 16(2) prévoit l'équivalent pour les transferts entrants.

Pour un transfert provenant d'une adresse auto-hébergée, le CASP du bénéficiaire prend « des mesures appropriées pour évaluer si cette adresse appartient au bénéficiaire ou est contrôlée par lui » au-delà de EUR 1,000 (article 16(2)), et il doit agir à l'égard des contreparties qui omettent de manière répétée de transmettre les données (article 17).^[4]

Ce que vos clients remarquent : des questions sur la personne qu'ils paient, et des demandes de preuves indiquant s'ils détiennent ou contrôlent un portefeuille.

L'AMLR : un règlement unique de l'UE pour la vigilance à l'égard de la clientèle

Le règlement (UE) 2024/1624, l'AMLR, s'applique à compter du 10 juillet 2027.^[6] Les CASP sont des entités assujetties en tant qu'établissements financiers (article 3(2), lu avec l'article 2(1), point (6)).^[6] Voir la page AMLR.

Quand la vigilance s'applique

Une relation d'affaires déclenche toujours les mesures de vigilance à l'égard de la clientèle. Pour les transactions occasionnelles en crypto-actifs, les CASP appliquent l'ensemble des mesures de vigilance à partir de EUR 1,000, que la transaction soit unique ou liée à d'autres. En dessous de EUR 1,000, ils doivent tout de même identifier le client et vérifier son identité (article 19(3)).^[6] Les projets de normes de l'AMLA sur les transactions liées prévoient qu'un CASP qui fournit des services d'échange contre des fonds, d'échange entre crypto-actifs ou de transfert (article 3(1)(16)(c), (d) et (j) de MiCA) doit au minimum prendre en compte une période d'un mois. Ils prévoient aussi que trois transactions ou plus sur 12 mois indiquent une relation d'affaires.^[9]

Les données de l'article 22(1)

Pour une personne physique, l'AMLR liste les informations à obtenir. L'identité est ensuite vérifiée par les moyens prévus à l'article 22(6).^[6] Le projet de l'AMLA ajoute des règles sur les attributs, par exemple la vérification d'au moins une nationalité lorsqu'un client en déclare plusieurs (article 5 du projet).^[7]

Le numéro du document et sa date d'expiration ne figurent pas dans cette liste. Ils apparaissent dans le projet de l'AMLA comme des caractéristiques qu'un document doit présenter pour être considéré comme « équivalent » à une carte d'identité ou à un passeport (article 6(1) du projet).^[7]

L'entrée en relation à distance selon les projets de normes de l'AMLA

Le rapport final de l'AMLA sur les projets de normes techniques de réglementation (RTS) relatives à la vigilance à l'égard de la clientèle est daté du 30 septembre 2026.^[7] Le 1er octobre 2026, l'AMLA a indiqué que les projets « ont désormais été soumis » à la Commission européenne.^[8] Ils n'ont pas encore force de loi. Une fois adoptés et publiés au Journal officiel, il est proposé qu'ils s'appliquent six mois après leur entrée en vigueur.^[8]

L'article 22(6) prévoit deux moyens par défaut : un document d'identité avec, le cas échéant, des sources fiables et indépendantes, ou un moyen d'identification électronique de niveau de garantie substantiel ou élevé.^[6] L'article 7 du projet ajoute une troisième voie : lorsqu'on « ne peut raisonnablement attendre » d'une personne qu'elle présente un document en face à face et qu'elle « n'a pas accès » à un moyen d'identification électronique éligible, l'entreprise vérifie le document à distance en appliquant cinq garanties.^[7]

L'ordre que fixe le projet d'article 7 lorsqu'une vérification de document en face à face n'est pas raisonnable. Un document présenté en face à face reste une voie par défaut au titre de l'article 22(6)(a).

Les cinq garanties du projet d'article 7(2) : la preuve que la personne qui présente le document en est le titulaire, un canal sécurisé, des images de qualité suffisante, l'arrêt en cas de défaillance technique ou de doute, et des copies horodatées conservées de manière sécurisée.^[7] Les entreprises « doivent être en mesure de justifier pourquoi le client n'a pas pu être vérifié » par les moyens de l'article 22(6) (projet d'article 7(3)).^[7]

Ce qui change également le 10 juillet 2027

• Bénéficiaires effectifs : les vérifier au moyen de sources fiables et consulter en complément les registres centraux (article 22(7)).^[6]
• Cycles de mise à jour : actualiser les informations sur le client au moins chaque année pour les clients à risque élevé et tous les cinq ans pour les autres (article 26(2)).^[6]
• Personnes politiquement exposées : le projet de normes demande aux entreprises de déterminer le statut avant la relation d'affaires ou la transaction occasionnelle, en dehors des cas de l'article 44 (projet d'article 17(1)(a)).^[7] L'AMLR lui-même fait du statut de PEP une mesure de vigilance à l'égard de la clientèle (article 20(1)(g)).^[6]
• Pas d'anonymat : pas de comptes de crypto-actifs anonymes ni de comptes permettant l'anonymisation, « y compris au moyen de jetons renforçant l'anonymat » (article 79(1)).^[6]

La surveillance change aussi. Lors de sa première sélection, l'AMLA retiendra jusqu'à 40 établissements de crédit et établissements financiers ou groupes, y compris des CASP, qui opèrent dans au moins six États membres et présentent un profil de risque résiduel élevé, la sélection débutant au plus tard le 1er juillet 2027.^[10] L'AMLA indique qu'elle prendra en charge leur surveillance directe en 2028.^[11]

Ce que remarquent vos clients : une option d'identité numérique, des questions sur l'adresse et le numéro fiscal, et une nouvelle vérification périodique. Plus de détails dans l'AMLR pour les crypto-actifs.

eIDAS 2.0 : le portefeuille européen d'identité numérique (EUDI Wallet) rejoint l'entrée en relation

Le règlement (UE) 2024/1183 crée le portefeuille européen d'identité numérique. Chaque État membre doit fournir au moins un portefeuille dans un délai de 24 mois à compter de l'entrée en vigueur des actes d'exécution relatifs au portefeuille (article 5a(1)).^[12] Le premier de ces actes a été publié le 4 décembre 2024 et, selon la règle des 20 jours, est entré en vigueur le 24 décembre 2024 : soit une date calculée du 24 décembre 2026.^[13]

Les portefeuilles sont délivrés dans le cadre d'un schéma de niveau de garantie élevé (article 5a(11)), ce qui satisfait au seuil de la voie d'identification électronique de l'AMLR : niveau de garantie substantiel ou élevé.^[12][6] Ils permettent à l'utilisateur de ne partager que les attributs demandés, grâce à la divulgation sélective (article 5a(4)(a)).^[12]

Les parties utilisatrices privées tenues, en vertu de la loi ou d'un contrat, de recourir à une authentification forte de l'utilisateur pour l'identification en ligne, « y compris dans les domaines » de la banque et des services financiers, acceptent le portefeuille « uniquement à la demande volontaire de l'utilisateur » dans un délai de 36 mois, soit une date calculée du 24 décembre 2027 (article 5f(2)).^[12][13] Les micro et petites entreprises sont exclues par le même article.^[12]

• Enregistrez-vous en tant que partie utilisatrice dans l'État membre où vous êtes établi (article 5b(1)), et conservez d'autres voies : l'utilisation du portefeuille est volontaire (article 5a(15)).^[12]

Les dates et leur base juridique figurent dans Échéances du portefeuille EUDI en 2026 et 2027, et les étapes pour les parties utilisatrices sur la page portefeuille EUDI.

Aide-mémoire des obligations

Liste de préparation par trimestre

Octobre à décembre 2026

• Confirmez votre agrément MiCA et les États membres d'accueil que vous avez notifiés.^[1]
• Recueillez les auto-certifications de résidence fiscale DAC8 auprès des utilisateurs existants avant le 1er janvier 2027.^[15]
• Comblez les lacunes Travel Rule : joignabilité de la contrepartie, contrôle des portefeuilles auto-hébergés à partir de EUR 1,000 et délais d'expiration.^[4]

Janvier à mars 2027

• Associez chaque donnée de l'article 22(1) à une source, y compris l'adresse et le numéro fiscal.^[6]
• Ajoutez un parcours eID là où vous avez du volume, et consignez pourquoi le parcours documentaire a été utilisé.^[7]
• Classez les clients existants par risque et fixez des cycles de mise à jour de 1 et 5 ans.^[6]

Avril à juin 2027

• Testez les contrôles documentaires à distance au regard des cinq garanties prévues par le projet d'article 7.^[7]
• Ajoutez une source sur les bénéficiaires effectifs en complément du registre central.^[6]

Juillet à décembre 2027

• Basculez vos politiques vers l'AMLR le 10 juillet 2027.^[6]
• Enregistrez-vous comme partie utilisatrice et testez l'acceptation du portefeuille européen d'identité numérique (EUDI Wallet) avant le 24 décembre 2027.^[12]
• Suivez le Journal officiel : les normes de l'AMLA peuvent encore changer avant leur adoption.^[8]

Comment Didit aide les entreprises crypto à se conformer à l'AMLR, à MiCA et à la Travel Rule

• Les deux parcours de l'AMLR : 14,000+ types de documents, lecture de la puce NFC, détection du vivant passive et active et comparaison faciale, à $0.33 pour un contrôle KYC complet, ainsi que MitID, BankID Sweden, iDIN, Finnish Trust Network, Smart-ID et Mobile-ID dans le même flux, avec repli sur le parcours documentaire. L'acceptation du portefeuille EUDI arrive bientôt. Voir vérification eID.
• Filtrage LCB-FT sur 1,300+ listes pour $0.20, et nouveau filtrage quotidien pour $0.07 par personne et par an.
• Vérification des entreprises avec les bénéficiaires effectifs.
• Surveillance des transactions avec des règles en temps réel pour la monnaie fiduciaire et les crypto-actifs, le filtrage des portefeuilles intégré, la gestion des dossiers et la préparation des déclarations destinées à la cellule de renseignement financier, que vous déposez vous-même.
• Un échange Travel Rule au format IVMS 101 via le Travel Rule Protocol ouvert, avec repli par e-mail, et une preuve de détention des portefeuilles auto-hébergés par signature de message sur les portefeuilles EVM, Solana, Bitcoin et Tron.
• Questionnaires, journaux d'audit et un rapport PDF par session. Les tarifs figurent sur la page des tarifs.

Questions fréquentes

Sources

1. Règlement (UE) 2023/1114 sur les marchés de crypto-actifs (MiCA), EUR-Lex, Journal officiel du 9 juin 2023, articles 48, 59, 62, 65, 75, 76, 111, 143 et 149.
2. Liste des périodes transitoires décidées par les États membres en vertu de l'article 143 de MiCA, ESMA.
3. Déclaration publique sur la fourniture de certains services sur crypto-actifs en lien avec des ART et des EMT non conformes à MiCA, ESMA, 17 janvier 2025.
4. Règlement (UE) 2023/1113 sur les informations accompagnant les transferts de fonds et de certains crypto-actifs (TFR), EUR-Lex, articles 14, 16, 17 et 40, considérant 30.
5. Orientations sur la Travel Rule, EBA/GL/2024/11, European Banking Authority, 4 juillet 2024.
6. Règlement (UE) 2024/1624 (AMLR), EUR-Lex, Journal officiel du 19 juin 2024, articles 2, 3, 19, 20, 22, 26, 79 et 90.
7. Rapport final, projet de RTS au titre de l'article 28(1) de l'AMLR sur la vigilance à l'égard de la clientèle, AMLA, 30 septembre 2026, projets d'articles 6, 7, 17, 28 et 29.
8. L'AMLA finalise des normes clés pour le secteur privé, communiqué de presse de l'AMLA, 1er octobre 2026.
9. Rapport final, projet de RTS au titre de l'article 19(9) de l'AMLR, AMLA, 2026, projets d'articles 2(4) et 3(2).
10. Règlement (UE) 2024/1620 instituant l'AMLA (AMLAR), EUR-Lex, articles 12, 13 et 106.
11. Note explicative : la surveillance directe par l'AMLA, AMLA.
12. Règlement (UE) 2024/1183 (eIDAS 2.0), EUR-Lex, articles 5a, 5b et 5f.
13. Règlement d'exécution (UE) 2024/2977 de la Commission relatif aux données d'identification personnelle pour les portefeuilles EUDI, EUR-Lex, publié le 4 décembre 2024.
14. Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique (DORA), EUR-Lex, articles 2, 9 et 64.
15. Directive (UE) 2023/2226 du Conseil (DAC8), EUR-Lex, article 2 et annexe VI.
16. Règlement sur les marchés de crypto-actifs (MiCA), registre MiCA intermédiaire, ESMA.

L'AMLR entre en application dans neuf mois. Découvrez comment Didit cartographie les parcours, les données et les éléments de preuve sur la page AMLR.