Institutionele Krypto-Bewaring onder AFM en DNB: Veiligheidsarchitecturen en MiCA in Nederland

De integratie van digitale activa binnen het Nederlandse institutionele landschap bevindt zich in een stroomversnelling. Zowel de Autoriteit Financiële Markten (AFM) als De Nederlandsche Bank (DNB) hanteren strikte prudentiële richtlijnen voor financiële ondernemingen die crypto-activadiensten aanbieden. Met de volledige inwerkingtreding van de Europese verordening Markets in Crypto-Assets (MiCA) moeten Nederlandse banken, pensioenfondsen en vermogensbeheerders voldoen aan uniforme standaarden op het gebied van governance, kapitaalbuffers en technologische veerkracht.

In deze analyse onderzoeken we de vereisten voor institutionele krypto-bewaring (crypto custody), de transitie van de Wwft-registratie naar de MiCA-vergunning, en de cryptografische architecturen die toonaangevende spelers in de Amsterdamse Zuidas implementeren.

1. Het Toezichtskader: Van Wwft naar MiCA-Vergunningverlening

Tot voor kort opereerden cryptodienstverleners in Nederland onder het registratieregime van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) bij DNB. Deze registratie richtte zich primair op integriteit, cliëntenonderzoek (KYC) en transactiemonitoring (AML). MiCA introduceert echter een fundamentele verschuiving naar een volwaardig prudentieel toezichtsregime onder leiding van de AFM en DNB:

• Prudentiële Kapitaalvereisten: Bewaarders moeten beschikken over een minimum aan eigen vermogen of een beroepsaansprakelijkheidsverzekering die operationele risico's afdekt (Klasse 2 en Klasse 3 CASPs).
• Segregatie van Vermogen: MiCA verplicht een strikte juridische en operationele scheiding tussen eigen bedrijfsactiva en cliëntactiva. In het geval van een faillissement van de bewaarder vallen de cryptotegoeden buiten de boedel.
• DORA-Overeenstemming: De Digital Operational Resilience Act (DORA) stelt aanvullende eisen aan ICT-risicomanagement, penetratietesten en incidentrapportage voor bewaarders.

2. Technische Architectuur: MPC en Hardware Security Modules (HSM)

Traditionele krypto-opslag vertrouwde op cold storage (fysieke hardware wallets in kluizen) of hot wallets (direct verbonden met internet). Voor institutionele volumes met frequente afwikkelingsbehoeften schieten beide modellen tekort op het gebied van liquiditeit of veiligheid.

Nederlandse instellingen omarmen daarom geavanceerde cryptografische architecturen:

1. Multi-Party Computation (MPC-CMP): In plaats van een enkele privésleutel te genereren, wordt de sleutel opgesplitst in cryptografische key shares. Geen enkele partij (noch de bewaarder, noch de beheerder, noch de auditor) beschikt ooit over de volledige privésleutel. Transacties worden ondertekend via een interactief n-out-of-m drempelprotocol.
2. FIPS 140-2/3 Level 3 Hardware Security Modules: Key shares die op centrale servers draaien, worden geïsoleerd binnen tamper-proof HSM's in zwaarbeveiligde Tier 4-datacenters rond de Amsterdamse regio.
3. Rolgebaseerde Goedkeuringsworkflows: Transacties boven specifieke drempelbedragen vereisen cryptografische fiat van meerdere geautoriseerde directieleden via biometrische authenticatie en fysieke tokens.

3. Implicaties voor Nederlands Vermogensbeheer en Private Banking

Nederlandse institutionele partijen beheren honderden miljarden euro's aan pensioen- en spaarkapitaal. De behoefte aan gereguleerde toegang tot Bitcoin, Ethereum en getokeniseerde reële activa (RWA) groeit exponentieel.

De belangrijkste voordelen van een MiCA-conforme bewaarstructuur zijn:

• Paspoortrechten: Een door de AFM verleende MiCA-vergunning stelt Nederlandse bewaarders in staat hun diensten zonder belemmeringen aan te bieden in alle 27 EU-lidstaten.
• Verzekerbaarheid: Toonaangevende verzekeraars (zoals Lloyd's syndicaten) vereisen MPC-architecturen en DORA-compliance voordat zij dekking verlenen tegen diefstal, verlies of interne fraude.
• Liquiditeitskoppeling: Institutionele bewaarplatforms integreren naadloos met gereguleerde MTF's (Multilateral Trading Facilities) en beurzen voor directe execution-to-custody zonder tegenpartijrisico.

Conclusie en Strategische Aanbevelingen

1. Evalueer Bestaande Wwft-Partijen: Instellingen dienen de MiCA-readiness en governance-audits van hun huidige bewaarpartners onmiddellijk te toetsen.
2. Implementeer MPC-infrastructuur: Vermijd single-point-of-failure systemen door te kiezen voor geteste threshold cryptography (MPC) gecombineerd met FIPS Level 3 HSM's.
3. Bereid DORA-rapportages Voor: Zorg dat contractuele afspraken met externe software- en datacenterleveranciers voldoen aan de strenge auditvereisten van de AFM en DNB.