ESMA lance une inspection européenne sur la conservation des crypto-actifs

Le 8 juillet 2026, l'Autorité européenne des marchés financiers (ESMA) a lancé une action de surveillance commune — une Common Supervisory Action (CSA) — consacrée à la résilience opérationnelle numérique des prestataires de services sur crypto-actifs (CASP), avec un focus spécifique sur les activités de conservation. Une inspection coordonnée dans toute l'Union qui va scruter la gestion des clés privées, la réponse aux incidents et la dépendance aux prestataires tiers — des sujets qui parlent directement aux DPO et RSSI, bien au-delà du seul secteur crypto.

Ce qui s'est passé

L'ESMA demande aux autorités nationales compétentes (en France, l'AMF) d'évaluer la maturité des dispositifs de résilience opérationnelle numérique des CASP autorisés, sur un échantillon sélectionné selon une approche par les risques. L'exercice couvre six axes : la gouvernance des risques liés à la technologie des registres distribués (DLT), la gestion des clés et du stockage des actifs, les contrôles sur les transactions, la détection et la réponse aux incidents, les risques propres aux smart contracts, et enfin les dépendances vis-à-vis des prestataires tiers.

Le calendrier est long : les contrôles se déroulent du second semestre 2026 au premier semestre 2027, avant une consolidation des résultats dans un rapport final soumis au conseil des superviseurs de l'ESMA. Ce n'est pas une procédure de sanction, mais un exercice de convergence de la supervision destiné à harmoniser la façon dont les 27 régulateurs nationaux évaluent un même risque.

Pourquoi c'est important

Les CASP autorisés au titre du règlement MiCA sont aussi, pour la plupart, des entités financières soumises à DORA — le règlement européen sur la résilience opérationnelle numérique du secteur financier. Cette CSA est la première déclinaison concrète et sectorielle de DORA appliquée spécifiquement à la conservation de crypto-actifs, un segment où la perte d'une clé privée équivaut à la perte définitive de l'actif, sans recours possible.

Pour les DPO, l'angle RGPD n'est pas secondaire : un CASP traite des données d'identification de ses clients (KYC), souvent des données financières sensibles, et la sécurisation de ces informations relève directement de l'article 32 du RGPD, qui impose des mesures de sécurité « à l'état de l'art ». Or l'état de l'art, en matière de conservation de crypto-actifs, est précisément ce que l'ESMA s'apprête à cartographier à l'échelle européenne — un référentiel qui, de fait, va relever le niveau d'exigence attendu par tous les régulateurs, RGPD compris.

Le volet « dépendances aux prestataires tiers » fait par ailleurs écho à des obligations déjà bien connues des DPO au titre de l'article 28 du RGPD : cartographie des sous-traitants, clauses contractuelles de sécurité, capacité à démontrer un contrôle effectif sur la chaîne de fournisseurs.

Ce que ça change pour les organisations

Si votre organisation est un CASP enregistré ou autorisé en France, il faut anticiper une possible sollicitation de l'AMF dans le cadre de cet échantillon : documentez dès maintenant votre gouvernance de gestion des clés (HSM, séparation des rôles, procédures de recouvrement), votre plan de réponse aux incidents et la cartographie de vos dépendances envers des prestataires de custody ou d'infrastructure DLT tierce.

Si votre activité n'est pas directement concernée par MiCA mais que vous travaillez avec un CASP — plateforme d'échange, wallet institutionnel, prestataire de paiement crypto — c'est le moment d'exiger de ce partenaire une preuve documentée de sa résilience opérationnelle, au même titre qu'un audit de sous-traitant classique (voir notre guide sur l'audit des sous-traitants). Cette CSA s'inscrit dans une dynamique de fond : l'ESMA vient d'ouvrir une consultation sur la version 4.4 du cadre de reporting DORA, et les superviseurs européens ont publié leur premier bilan des incidents ICT majeurs du secteur financier — le signal est celui d'une supervision qui passe des textes de principe aux contrôles de terrain.

Ce que Leto pense de cette décision

Cette CSA marque un tournant : après deux ans de mise en musique de MiCA et DORA, l'ESMA ne se contente plus de publier des lignes directrices, elle vérifie sur le terrain. Pour les DPO et RSSI d'organisations crypto ou fintech, le message est clair — la conformité DORA et la conformité RGPD ne peuvent plus être traitées en silos, tant les deux référentiels convergent sur les mêmes exigences de sécurité et de gestion des tiers. Nous conseillons à tout CASP, même hors échantillon, de traiter cette action de supervision comme un audit blanc : c'est l'occasion de tester sa documentation avant qu'un régulateur ne le fasse à sa place.

Sources : ESMA — ESMA launches Common Supervisory Action on CASPs' digital operational resilience for custody