Braucht ein CASP nach MiCAR eine Interne Revision?

MiCAR schreibt keine Interne Revision ausdrücklich vor. Anbieter von Kryptowerte-Dienstleistungen (CASPs) müssen aber wirksame Strategien und Verfahren zur Einhaltung der Verordnung einführen (Art. 68 Abs. 4). Ihr Leitungsorgan muss die Wirksamkeit der Strategien und Verfahren zu Kapitel 2 und 3 des Titels V regelmäßig bewerten (Art. 68 Abs. 6). Nach unserer Einschätzung lässt sich das ohne unabhängige Überprüfung kaum belegen. Auslagern lässt sich diese Überprüfung nach unserer Auslegung im Rahmen von Art. 73.

Was verlangt MiCAR zu Governance und Kontrollmechanismen (Art. 68)?

Art. 68 MiCAR regelt die Unternehmensführung. Für die Kontrollfunktionen sind diese Absätze maßgeblich:

Abs. 4: Strategien und Verfahren, die hinreichend wirksam sind, um die Einhaltung der Verordnung sicherzustellen.
Abs. 6: Das Leitungsorgan bewertet und überprüft regelmäßig die Wirksamkeit der Strategien und Verfahren, die zur Erfüllung der Kapitel 2 und 3 des Titels V eingeführt wurden, und ergreift Maßnahmen gegen Mängel.
Abs. 7: Maßnahmen für die Kontinuität der Dienstleistungen, widerstandsfähige IKT-Systeme nach DORA und eine Strategie zur Fortführung des Geschäftsbetriebs.
Abs. 8: Mechanismen, Systeme und Verfahren nach DORA sowie Verfahren zur Risikobewertung im Bereich Geldwäsche. Ihre Angemessenheit und Wirksamkeit sind regelmäßig zu überwachen und zu bewerten.

Schon im Zulassungsantrag ist nach Art. 62 Abs. 2 lit. i eine Beschreibung der Mechanismen für die interne Kontrolle vorzulegen. Einen Überblick über Zulassung und Aufsicht gibt die Seite MiCAR und Kryptowerte.

Verlangt MiCAR ausdrücklich eine Interne Revision?

Nein. Der Verordnungstext enthält den Begriff nicht, auch nicht in Art. 68. Er verlangt eine regelmäßige Bewertung der Wirksamkeit (Abs. 6) und eine regelmäßige Überwachung (Abs. 8). Wer das durchführt, sagt er nicht.

Das ist unsere Auslegung: Das Leitungsorgan bewertet selbst, braucht dafür aber belastbare Grundlagen. Eine Revisionsfunktion, die von den geprüften Bereichen unabhängig ist, liegt dafür nahe. Gesetzlich vorgeschrieben ist sie nicht. Welche Erwartung die FMA im Einzelfall hat, klären Sie besser direkt mit ihr.

Kann ein CASP die Interne Revision nach Art. 73 MiCAR auslagern?

Art. 73 Abs. 1 MiCAR erfasst die Auslagerung von Dienstleistungen oder Tätigkeiten bei der Wahrnehmung betrieblicher Aufgaben. Ob die Revision eine betriebliche Aufgabe in diesem Sinn ist, sagt der Wortlaut nicht. Nach unserer Einschätzung sollten Sie die Anforderungen vorsichtshalber anwenden. Sie lauten im Kern:

Der CASP trägt weiterhin die volle Verantwortung für seine Verpflichtungen. Die Auslagerung überträgt keine Verantwortung.
Die Aufsicht darf nicht behindert werden, auch nicht beim Zugang vor Ort (lit. d).
Der CASP hat Fachwissen und Ressourcen, um die ausgelagerte Leistung zu bewerten und zu überwachen (lit. e), und direkten Zugang zu den relevanten Informationen (lit. f).
Es gibt eine Auslagerungsstrategie mit Notfallplänen und Ausstiegsstrategien (Abs. 2) und eine schriftliche Vereinbarung mit Kündigungsrecht (Abs. 3).
Auf Anfrage stellt der CASP den Behörden alle nötigen Informationen zur Verfügung (Abs. 4).

Eine Anzeigepflicht enthält Art. 73 selbst nicht. Wie die Pflichten bei anderen Instituten aussehen, vergleicht der Beitrag Interne Revision auslagern: Pflichten im Vergleich. Unser Angebot dazu: Interne Revision auslagern.

Was prüft die Revision bei einem CASP typischerweise?

Die Prüffelder ergeben sich aus den Pflichten der Verordnung und dem Zuschnitt der Zulassung:

Governance, Strategien und Verfahren (Art. 68 Abs. 4 bis 6) sowie Aufzeichnungen (Abs. 9).
Eigenmittel und prudentielle Sicherheitsvorkehrungen (Art. 67).
Sichere Aufbewahrung der Kryptowerte und Geldbeträge von Kunden (Art. 70): Schutz der Eigentumsrechte, Einzahlung der Kundengelder bis zum Ende des folgenden Werktags, getrennte Konten.
Verwahrung und Verwaltung für Kunden (Art. 75): Register der Positionen, Verwahrstrategie, Trennung vom eigenen Vermögen, Positionsaufstellung mindestens einmal alle drei Monate. Das gilt nur, wenn der CASP diese Dienstleistung erbringt.
Beschwerdeverfahren (Art. 71) und Interessenkonflikte (Art. 72, mit mindestens jährlicher Überprüfung der Strategie).
Auslagerungen (Art. 73).
Geldwäscheprävention, abgestimmt mit der Compliance-Funktion.

Wie oft wir welches Feld prüfen, legt der Revisionsplan nach Risikolage fest. Das Gesetz tut es nicht.

Was bedeutet DORA für den Prüfplan eines CASP?

DORA erfasst CASPs ausdrücklich (Art. 2 Abs. 1 lit. f), und Art. 68 Abs. 7 und 8 MiCAR verweisen auf sie. Nach Art. 6 Abs. 6 DORA ist der IKT-Risikomanagementrahmen im Einklang mit dem Revisionsplan regelmäßig einer internen Revision zu unterziehen. Die Revisoren brauchen ausreichendes Wissen im Bereich IKT-Risiken und angemessene Unabhängigkeit. Häufigkeit und Schwerpunkt müssen den IKT-Risiken entsprechen. Kleinstunternehmen sind davon ausgenommen. Auf Basis der Feststellungen ist ein förmliches Follow-up-Verfahren festzulegen (Abs. 7).

Die Überprüfung der Einhaltung der IKT-Risikomanagementanforderungen darf im Einklang mit den sektorspezifischen Vorschriften an gruppeninterne oder externe Unternehmen ausgelagert werden. Die Verantwortung bleibt beim Institut (Abs. 10). Ob das auch die Revision nach Abs. 6 deckt, ist nach unserer Auslegung zu bejahen. Der Wortlaut sagt es nicht ausdrücklich. Der vereinfachte Rahmen nach Art. 16 Abs. 1 DORA nennt CASPs nicht. Details zum Regelwerk stehen unter DORA.

Was gilt für kleine CASPs (Verhältnismäßigkeit)?

MiCAR bemisst die Regelungen an Umfang, Art und Bandbreite der erbrachten Dienstleistungen. Art. 68 Abs. 5 und 8, Art. 72 Abs. 1 und Art. 73 Abs. 2 sagen das ausdrücklich, und Art. 68 Abs. 7 verlangt angemessene und verhältnismäßige Ressourcen. Auch DORA kennt den Grundsatz (Art. 4 Abs. 1: Größe, Gesamtrisikoprofil, Art, Umfang und Komplexität).

Eine eigene Revisionsabteilung ist daher nicht zwingend, eine nachvollziehbare Überprüfung schon. Für kleine CASPs bietet sich nach unserer Einschätzung die Auslagerung an. Eine interne Person beauftragt und überwacht dann den Dienstleister. Als Kleinstunternehmen gilt nach Art. 3 Nr. 60 DORA nur, wer weniger als zehn Personen beschäftigt und unter einer Umsatz- beziehungsweise Bilanzsummenschwelle liegt. Wer darüber liegt, muss die IKT-Revision nach Art. 6 Abs. 6 DORA einplanen.

Im ESMA-Register stehen 12 CASPs mit Herkunftsstaat Österreich (Stand Oktober 2026). Welche Variante für Ihr Haus passt, klären wir im Erstgespräch. Unser Angebot für CASPs umfasst auch die Unterlagen für den Zulassungsantrag. Wir prüfen nur, was wir nicht selbst aufgebaut haben. Revision und Risikomanagement-Funktion übernimmt OptiRisk deshalb nie gleichzeitig für dasselbe Institut. Dieser Beitrag ersetzt keine Rechtsberatung.