ESMA擬2027年將網路韌性監管框架擴及加密資產服務商

歐洲證券及市場管理局（ESMA）在其最新數位金融路線圖中宣布，將自2027年起把網路韌性監管框架擴及加密資產服務商（CASP）。此舉使CASP納入與傳統金融機構相同的營運韌性監管標準，該標準自2025年1月《數位營運韌性法》（DORA）生效以來已適用於傳統金融機構。ESMA的決定顯示，歐盟監管機構將加密平台面臨的網路威脅視為系統性風險，需要直接監管關注，而非僅依賴各國主管機關。2027年的時間表給予CASP約兩年時間，使其內部安全框架符合ESMA已為銀行、投資公司和支付服務商設立的DORA標準。

擴大的監管範圍將涵蓋《加密資產市場監管條例》（MiCA）授權的所有加密資產服務商活動，包括代客保管及管理加密資產、營運交易平台、加密資產與法定貨幣之間的兌換服務，以及代第三方執行訂單。ESMA的框架也將適用於提供投資組合管理服務、轉帳服務及加密資產諮詢的公司，意味著幾乎所有在歐盟營運的持牌CASP都將面臨直接的網路韌性檢查。

業界估計，2027年的網路韌性擴張將為加密資產服務商帶來可觀的額外合規成本，不過ESMA尚未公布具體成本預測或修訂後的資本要求。CASP將需要投資先進的威脅偵測系統、定期進行滲透測試，並建立符合ESMA期望的完整事件應變手冊。這些措施相關的營運支出預期對小型CASP而言比例較高，因為它們可能缺乏大型交易所和託管商已配備的專屬安全團隊。

歐盟加密產業的初步反應顯示，大型交易所和託管商普遍歡迎監管明確性，而小型CASP則對營運負擔表達擔憂。數家在歐盟營運的大型加密平台已開始將其安全框架與DORA標準對齊，以因應2027年的期限，並將提早合規視為吸引機構客戶的競爭優勢。