Exchange di criptovalute: cosa prevede la normativa italiana

Oggi non basta più pensare a una piattaforma come a un semplice sito dove comprare o vendere Bitcoin, Ethereum o altre cripto-attività. Chi offre servizi di scambio, custodia o negoziazione deve confrontarsi con regole europee direttamente applicabili, norme italiane di adeguamento, obblighi antiriciclaggio e adempimenti fiscali sempre più precisi. Il punto di svolta è stato il Regolamento europeo MiCAR, applicabile integralmente dal 30 dicembre 2024, affiancato in Italia dal decreto legislativo n. 129 del 2024 e, sul fronte dei trasferimenti e dell'antiriciclaggio, dal decreto legislativo n. 204 del 2024.

Per chi investe, questo significa una maggiore standardizzazione delle regole. Per gli operatori, invece, vuol dire entrare in un perimetro di vigilanza più simile a quello dei servizi finanziari tradizionali. Non tutte le attività legate al mondo crypto rientrano nello stesso recinto normativo: MiCAR disciplina molte cripto-attività e i relativi servizi, ma non si applica ai token che sono già qualificati come strumenti finanziari secondo la normativa europea, e lascia fuori anche i servizi resi in modo pienamente decentralizzato e senza intermediari.

Il nuovo quadro tra Europa e Italia

La base della disciplina è il MiCAR, regolamento europeo nato per creare un mercato più omogeneo delle cripto-attività nell'Unione. La sua logica è chiara: imporre requisiti comuni a emittenti e prestatori di servizi, aumentare la trasparenza e ridurre il rischio di abusi, opacità e improvvisazione. In parallelo, l'Italia ha adeguato il proprio ordinamento con il decreto legislativo n. 129/2024, che individua le autorità competenti e coordina il sistema nazionale con la disciplina europea.

Per un exchange, la questione centrale è capire se i servizi offerti rientrano tra quelli tipici dei CASP, cioè i prestatori di servizi per le cripto-attività. In questa categoria rientrano, tra gli altri, la custodia per conto dei clienti, la gestione di una piattaforma di negoziazione, lo scambio di cripto-attività con fondi, lo scambio di cripto-attività con altre cripto-attività, l'esecuzione di ordini e la ricezione o trasmissione di ordini. In sostanza, la gran parte degli exchange centralizzati ricade pienamente in questo schema.

Chi può operare e quali autorità intervengono

La normativa non consente un accesso libero e indistinto al mercato. I soggetti che possono operare come CASP sono persone giuridiche o imprese stabilite nell'Unione europea, comprese anche alcune categorie di intermediari già vigilati che estendono la propria attività ai servizi crypto. In Italia il sistema di vigilanza è condiviso tra Banca d'Italia e Consob, con un riparto di competenze che tiene insieme profili prudenziali, trasparenza, correttezza dei comportamenti e, in parte, tutela del mercato.

Sul piano pratico esistono servizi che, per alcuni intermediari vigilati, possono essere avviati previa notifica e altri che richiedono una vera autorizzazione. La Banca d'Italia e la Consob ricevono notifiche e domande a seconda del tipo di operatore e del servizio offerto. La procedura autorizzativa, per le istanze complete, ha una durata complessiva di 40 giorni lavorativi; la notifica, invece, va inviata almeno 40 giorni lavorativi prima dell'avvio dell'operatività. Una volta autorizzato, il prestatore può anche offrire servizi in altri Stati membri con il meccanismo del passaporto europeo, previa notifica all'autorità competente del Paese d'origine.

Gli obblighi concreti per un exchange

Per una piattaforma che vuole rivolgersi anche al pubblico italiano, la conformità normativa non si esaurisce nel possesso di un marchio o di una veste grafica professionale. Conta la struttura giuridica del servizio, la categoria di attività svolta e la presenza dei requisiti organizzativi richiesti dalla disciplina. Anche gli operatori internazionali devono quindi essere letti alla luce di questo principio: ciò che rileva non è soltanto la notorietà commerciale, ma soprattutto il titolo autorizzativo con cui il servizio viene eventualmente prestato nel mercato europeo.

Gli obblighi sostanziali sono numerosi. Il prestatore deve presentare informazioni dettagliate sull'assetto societario, sull'organizzazione, sui controlli interni, sui servizi offerti e sui presidi adottati per gestire rischi operativi e conflitti di interesse. Per i servizi di scambio tra cripto-attività e fondi, oppure tra cripto-attività diverse, le autorità richiedono informazioni specifiche proprio sulla modalità con cui questi servizi verranno prestati.

A questo si aggiunge il capitolo antiriciclaggio. Il decreto legislativo n. 204/2024 ha inserito i prestatori di servizi per le cripto-attività tra gli intermediari finanziari soggetti agli obblighi AML. In più, il Regolamento UE 2023/1113 ha esteso ai trasferimenti di cripto-attività l'obbligo di accompagnare le operazioni con i dati dell'ordinante e del beneficiario, così da migliorarne la tracciabilità. La Banca d'Italia ha poi esteso ai CASP specifiche disposizioni su adeguata verifica della clientela, organizzazione, procedure e controlli interni.

Agli obblighi di legge si aggiungono funzionalità che gli exchange possono offrire per ottimizzare l'usabilità dell propria piattaforma. Ad esempio tra le piattaforme con interfacce user friendly segnaliamo BYDFi, ideale per principianti o comunque per utenti che non hanno ancora una particolare esperienza nell'utilizzo degli exchange di criptovalute.

Registro OAM, fase transitoria e passaggio al nuovo sistema

Nel dibattito italiano si continua spesso a citare il registro OAM dei prestatori di servizi relativi all'utilizzo di valuta virtuale. Questo riferimento resta utile, ma va collocato nel giusto contesto storico. Il vecchio sistema nazionale non è più il punto di arrivo della disciplina: è diventato soprattutto un ponte verso il modello MiCAR. Nel 2025 il decreto-legge 95/2025 ha esteso il regime transitorio nazionale per i VASP iscritti nel registro OAM. Gli operatori già beneficiari del transitorio hanno potuto continuare a operare fino al 30 dicembre 2025 e, se hanno presentato domanda di autorizzazione entro quella data, possono proseguire nelle more del procedimento fino al rilascio o al diniego e comunque non oltre il 30 giugno 2026.

Per il pubblico questo è un passaggio da non sottovalutare. Essere presenti o essere stati presenti nel registro OAM non equivale automaticamente a essere autorizzati come CASP ai sensi del MiCAR. La differenza è concreta: il regime attuale porta gli exchange in un ambiente di vigilanza più esigente, con controlli organizzativi, prudenziali e antiriciclaggio molto più strutturati rispetto al passato.

Fiscalità e controlli da fare prima di scegliere un exchange

La normativa italiana non riguarda solo autorizzazioni e vigilanza. C'è anche il versante fiscale, che per chi utilizza un exchange resta decisivo. Le istruzioni dell'Agenzia delle Entrate per il Modello Redditi 2026 riportano che sulle plusvalenze e sugli altri proventi derivanti da cessioni di cripto-attività si applica un'imposta sostitutiva del 33 per cento. Le stesse istruzioni e i quadri dichiarativi dedicati confermano inoltre la presenza di adempimenti specifici sul monitoraggio e sull'imposta legata alle cripto-attività.

Prima di usare una piattaforma, vale la pena controllare alcuni aspetti essenziali:

• la base giuridica con cui opera in Europa e in Italia
• l'eventuale autorizzazione come CASP o il ricorso a un regime transitorio ancora valido
• le informazioni su custodia, segregazione dei fondi dei clienti e procedure di rimborso
• le policy KYC e AML, quindi identificazione del cliente, controlli sui trasferimenti e blocco di operazioni sospette
• la chiarezza delle condizioni economiche, delle commissioni e dei rischi collegati ai singoli token
• la documentazione utile per la dichiarazione fiscale italiana

La direzione presa dal legislatore è netta: gli exchange di criptovalute non sono più percepiti come un'area grigia da tollerare, ma come operatori da inserire in una cornice di regole, responsabilità e controlli. Per gli investitori questo non elimina il rischio tipico delle cripto-attività, ma aiuta a distinguere con più precisione tra piattaforme che cercano un rapporto stabile con il mercato europeo e realtà che restano ai margini del sistema.