Institusjonell Kryptooppbevaring under Finanstilsynet: Sikkerhetsarkitektur og EØS-Harmonisering i Norge

Etterspørselen etter institusjonell eksponering mot digitale eiendeler vokser i det norske kapitalmarkedet. Finanstilsynet stiller strenge krav til cybersikkerhet, internkontroll og risikostyring for foretak som tilbyr vekslings- og oppbevaringstjenester for virtuell valuta. Gjennom EØS-avtalen forbereder norske banker, formuesforvaltere og familiekontorer seg på harmoniseringen med EUs Markets in Crypto-Assets (MiCA) og DORA-forordningen.

Denne rapporten analyserer de regulatoriske kravene til sikker oppbevaring (crypto custody), overgangen til et fullverdig konsesjonsregime og de kryptografiske arkitekturene som benyttes av ledende aktører i Oslo.

1. Tilsynsrammeverket: Fra Hvitvaskingsregistrering til Konsesjon

Tjenesteytere for virtuell valuta i Norge har tradisjonelt operert under et registreringsregime hos Finanstilsynet i henhold til hvitvaskingsloven. MiCA og EØS-tilpasningen medfører et markant skifte mot et helhetlig stabilitets- og soliditetstilsyn:

• Segregering av Kundeaktiva: Det kreves streng juridisk og teknisk adskillelse mellom foretakets egne midler og kundenes kryptoaktiva. Ved konkurs hos forvalteren inngår ikke kundenes midler i konkursboet.
• Kapitalkrav og Ansvarsforsikring: Forvarere må opprettholde regulatorisk egenkapital eller tegne godkjente ansvarsforsikringer for å dekke operasjonell risiko og teknologisvikt.
• DORA (Digital Operational Resilience Act): Omfattende krav til IKT-risikostyring, stresstesting av systemer og tredjepartsrisikovurderinger for skyleverandører.

2. Teknisk Arkitektur: Multi-Party Computation (MPC) og HSM

For institusjonelle volumer med krav om daglig oppgjør er fysiske cold wallets for trege, mens rene nettbaserte hot wallets innebærer for høy risiko for angrep.

Norske institusjoner benytter derfor moderne kryptografiske løsninger:

1. Multi-Party Computation (MPC-CMP): I stedet for å generere én samlet privat nøkkel, deles nøkkelen i flere kryptografiske deler (key shares). Ingen enkeltpart har noensinne tilgang til den fulle nøkkelen. Signering skjer gjennom en distribuert matematisk protokoll.
2. FIPS 140-2/3 Level 3 Hardware Security Modules (HSM): Sentrale nøkkeldeler oppbevares i manipulasjonssikre HSM-moduler plassert i Tier 3-datasentre i Norge.
3. Norsk BankID-Integrasjon: Transaksjoner over definerte beløpsgrenser krever totrinns autorisasjon med norsk BankID fra autoriserte nøkkelpersoner.

3. Konklusjon for Norske Forvaltere

Med EØS-harmoniseringen blir profesjonell krypto-oppbevaring en integrert del av det norske finanstilsynsbildet. Aktører som investerer i moderne MPC-sikkerhet og lokal skyinfrastruktur stiller sterkt i møte med fremtidens europeiske kapitalstandarder.