Actifs numériques, crypto-actifs, tokenisation, blockchain et MiCA : audit, conseil, formation et assistance technique pour la finance de marché

Cadre réglementaire et normatif des actifs numériques

MiCA : trois catégories de crypto-actifs et un calendrier échelonné

Le règlement (UE) 2023/1114, dit MiCA (Markets in Crypto-Assets), est le texte central de l'Union pour les crypto-actifs qui ne relèvent pas déjà de la législation financière existante. Il distingue trois catégories. Les jetons de monnaie électronique sont adossés à une seule monnaie officielle. Les jetons se référant à un ou des actifs sont adossés à plusieurs monnaies, à des marchandises ou à d'autres actifs. Les autres crypto-actifs forment une troisième catégorie, soumise notamment à l'obligation de publier un livre blanc. Le règlement encadre aussi les prestataires de services sur crypto-actifs (PSCA), tels que la conservation, l'exploitation d'une plateforme de négociation, l'échange ou la réception et transmission d'ordres, et prévoit des règles contre les abus de marché.

Le calendrier est échelonné : les dispositions sur les jetons de monnaie électronique et les jetons se référant à des actifs s'appliquent depuis le 30 juin 2024, le reste du règlement depuis le 30 décembre 2024. Pendant la transition, les prestataires qui exerçaient déjà selon le droit national avant le 30 décembre 2024 pouvaient continuer jusqu'au 1er juillet 2026 au plus tard, ou jusqu'à l'octroi ou au refus d'un agrément. En France, l'AMF (Autorité des marchés financiers) a rappelé que les anciens prestataires de services sur actifs numériques (PSAN) avaient jusqu'au 1er juillet 2026 pour obtenir une autorisation MiCA, faute de quoi ils devaient cesser leur activité en France ; elle mentionne des sanctions pénales en cas de manquement (communiqué de l'AMF). Le texte national d'adaptation est l'ordonnance n° 2024-936 du 15 octobre 2024, qui répartit les compétences entre l'AMF et l'ACPR (Autorité de contrôle prudentiel et de résolution).

L'ESMA (European Securities and Markets Authority, Autorité européenne des marchés financiers) tient un registre intermédiaire des livres blancs, des émetteurs, des prestataires agréés et des entités non conformes, mis à jour chaque semaine, et suit les travaux techniques ; sa page consacrée à MiCA est la source à consulter. Le texte intégral du règlement (UE) 2023/1114 est publié sur EUR-Lex. Une proposition de la Commission européenne de décembre 2025, dans son paquet sur l'intégration des marchés de capitaux, prévoirait de confier à l'ESMA la supervision directe des PSCA (prestataire de services sur crypto-actifs) : elle serait en discussion au Conseil et au Parlement, et son issue n'est pas acquise.

Traçabilité des transferts, lutte contre le blanchiment et fiscalité

Le règlement (UE) 2023/1113 sur les informations accompagnant les transferts de fonds et de certains crypto-actifs impose aux PSCA de recueillir et de transmettre des informations sur le donneur d'ordre et le bénéficiaire, ce que l'on appelle la règle de voyage. Il s'applique depuis le 30 décembre 2024. L'AMF applique les orientations de l'Autorité bancaire européenne qui précisent ces obligations, dans sa position DOC-2024-08. Les PSCA sont par ailleurs assujettis aux obligations de lutte contre le blanchiment et le financement du terrorisme du code monétaire et financier : approche par les risques, vigilance à l'égard de la clientèle, déclaration de soupçon à TRACFIN (traitement du renseignement et action contre les circuits financiers clandestins), gel des avoirs.

Le règlement (UE) 2024/1624 (AMLR), applicable à compter du 10 juillet 2027, doit renforcer ce cadre et interdire notamment la tenue de comptes de crypto-actifs anonymes. La directive (UE) 2023/2226 (DAC8) étend l'échange automatique d'informations fiscales aux crypto-actifs à compter du 1er janvier 2026. Ces textes pèsent sur les systèmes d'information : collecte de données, conservation, rapprochement avec les données inscrites sur la chaîne, production de déclarations.

Tokenisation et titres financiers : MiFID II et régime pilote

MiCA ne s'applique pas aux crypto-actifs qui sont des instruments financiers au sens de la directive MiFID II (Markets in Financial Instruments Directive II, directive 2014/65/UE sur les marchés d'instruments financiers). Un jeton représentant une action, une obligation ou une part de fonds relève du droit des marchés financiers, avec les règles de négociation, de règlement-livraison et de conservation correspondantes. Pour expérimenter l'usage d'un registre distribué sur ces titres, le règlement (UE) 2022/858 a créé un régime pilote qui permet des dérogations encadrées à certaines règles. L'ESMA a publié le 25 juin 2025 son rapport de réexamen, qui évoque une extension, une modification ou une transformation en régime permanent, et qui relève un recours limité au dispositif. La qualification d'un jeton est une question juridique : elle se traite avec un avocat et avec l'autorité compétente, jamais par un prestataire technique.

Enjeux d'un acteur professionnel et responsabilités

Résilience numérique et maîtrise des clés

Les PSCA et les émetteurs de jetons se référant à des actifs figurent parmi les entités financières soumises au règlement (UE) 2022/2554, dit DORA, applicable depuis le 17 janvier 2025. Il impose un cadre de gestion du risque lié aux TIC (technologies de l'information et de la communication), la notification des incidents majeurs, des tests de résilience et un encadrement des prestataires tiers de services TIC, avec les clauses contractuelles de son article 30. Pour une entité qui s'appuie sur un fournisseur de portefeuille, sur un service d'infrastructure ou sur un prestataire de développement, chaque dépendance doit être cartographiée et suivie.

Dans ce domaine, le risque se concentre sur les clés cryptographiques : qui les génère, où elles sont stockées, qui peut signer, comment les sauvegardes sont protégées, comment on révoque un accès. Un contrat intelligent mal conçu ou une clé mal protégée peut entraîner une perte irréversible. La réponse est d'abord organisationnelle : séparation des rôles, signature multiple, journalisation, procédures de récupération testées.

Les frontières du champ : finance décentralisée et services sans intermédiaire

Le considérant 22 de MiCA indique que les services fournis de manière entièrement décentralisée, sans intermédiaire, ne relèvent pas du règlement. Cette exclusion est étroite et appelle une analyse au cas par cas : dès qu'une entité exerce un contrôle effectif, héberge une interface, perçoit des frais ou décide des paramètres, la question de son statut se pose. Les protocoles de finance décentralisée, les mécanismes de prêt ou d'échange automatisés et les structures de gouvernance par jetons soulèvent des questions de qualification que la doctrine et les autorités précisent progressivement. Nous les traitons comme des sujets d'étude technique et réglementaire, sans conclure à la place de l'autorité ou de votre conseil.

Rôles et responsabilités

Le dirigeant d'un PSCA répond de l'organisation et de la conformité de son entité. Le responsable de la conformité et du contrôle interne suit l'application de MiCA, de la règle de voyage et de la lutte contre le blanchiment. Le responsable de la sécurité des systèmes d'information porte la gestion des clés, des accès et des incidents. L'architecte et l'équipe de développement conçoivent les contrats et les intégrations ; le responsable des risques en évalue les scénarios de défaillance. Le délégué à la protection des données veille à ce que l'immuabilité d'un registre soit compatible avec les droits des personnes. Les juristes qualifient les jetons. Aucun de ces rôles ne se délègue à un prestataire.

Situations de terrain

Sécurité des contrats intelligents et audits

Un contrat intelligent est un programme déployé sur un registre distribué, souvent impossible à modifier une fois publié. Ses défauts classiques sont connus : contrôles d'accès insuffisants, réentrance, erreurs arithmétiques, dépendance à des données externes manipulables. Un audit de sécurité réunit revue manuelle, analyse statique et tests sur un réseau isolé. Il porte sur une version précise du code, dans un périmètre défini. Il ne démontre pas l'absence de vulnérabilité, et les évolutions ultérieures ou les composants hors périmètre restent à examiner séparément. La modélisation des menaces, les tests de propriétés et la revue par plusieurs personnes complètent utilement la démarche.

Cryptographie, confidentialité et transition post-quantique

Les protocoles reposent sur des signatures, des fonctions de hachage et, de plus en plus, sur des preuves à divulgation nulle de connaissance, qui permettent de prouver une propriété sans révéler la donnée. La confidentialité se heurte à la traçabilité imposée par la réglementation : un dispositif qui masque les transactions doit prévoir comment répondre aux obligations de transparence envers les autorités. Les environnements d'exécution protégés, qui isolent le traitement des données sensibles, offrent une autre voie.

La menace d'ordinateurs quantiques capables de casser certaines signatures et certains échanges de clés conduit à préparer la migration des mécanismes. Le NIST (National Institute of Standards and Technology, institut américain des normes et de la technologie) a publié le 13 août 2024 les normes FIPS (Federal Information Processing Standards, normes fédérales américaines de traitement de l'information) 203, 204 et 205 (ML-KEM, ML-DSA, SLH-DSA). En France, l'ANSSI (Agence nationale de la sécurité des systèmes d'information) recommande l'hybridation pendant la transition, c'est-à-dire l'association d'un algorithme post-quantique et d'un algorithme classique (voir sa position sur la cryptographie post-quantique). Pour un acteur du secteur, le travail consiste à inventorier les usages cryptographiques et à planifier leur évolution.

Bitcoin, Ethereum, stablecoins, XRP Ledger : des sujets techniques et réglementaires

Les thèmes nommés de ce domaine sont étudiés pour leur fonctionnement et leur cadre, pas pour leur cours. Bitcoin est un protocole de paiement à preuve de travail sans émetteur identifié. Ethereum est une plateforme de contrats intelligents. Un stablecoin adossé à une monnaie officielle relève en règle générale du régime des jetons de monnaie électronique, avec des exigences d'émission et de réserve, et soulève des questions de risque de contrepartie et de conformité. Le registre XRP Ledger sert à des paiements et à des échanges d'actifs numériques. Pour chacun, nos travaux portent sur l'architecture, la sécurité, l'intégration à un système d'information et le cadre applicable, sans jamais recommander d'acquérir, de détenir ou de céder un actif.

Ce que nous faisons, et ce que nous ne faisons pas

Les prestations

Optédif conçoit, conseille, audite, accompagne, déploie, apporte une assistance technique et forme. Dans ce domaine, cela se traduit ainsi : audit de sécurité de contrats intelligents et de dispositifs de conservation, avec rapport de constats et recommandations ; conseil en architecture, en tokenisation et en cartographie des exigences MiCA ; conception d'architectures blockchain, de contrats intelligents et de modèles de tokenisation ; déploiement de plateformes et d'infrastructures sur des réseaux de test puis en production ; assistance technique au forfait ou en récurrent, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis ; formation pour que vos équipes maîtrisent le sujet dans la durée.

Nos livrables sont traçables, argumentés et rédigés pour être présentés à la direction, à l'audit interne ou au superviseur. Les cas d'usage décrits sur ce site sont des exemples construits : ils illustrent la démarche, jamais un résultat obtenu chez un client.

Ce que nous ne faisons pas

Optédif n'exerce aucune activité réglementée : ni conseil en investissement, ni recommandation, ni gestion de portefeuille pour compte de tiers, ni intermédiation, ni service sur crypto-actifs au sens de MiCA. Nous ne détenons, ne conservons, n'échangeons ni ne transférons aucun actif, nous ne commentons aucun cours et nous ne qualifions pas juridiquement un jeton. Nous ne délivrons aucune certification, aucun agrément ni aucune qualification, et nous ne déclarons pas qu'un prestataire respecte MiCA, DORA ou la règle de voyage : cette appréciation appartient à votre entité et aux autorités compétentes. Un audit de sécurité n'est ni une attestation ni une assurance.

Les missions d'assistance sont réalisées par des intervenants d'Optédif, sous notre responsabilité et notre direction, dans le cadre d'un contrat de prestation de services portant sur un objectif, un livrable ou un périmètre défini avec vous. Lorsque la prestation relève d'un prestataire de services TIC d'une entité financière, les clauses de l'article 30 du règlement DORA peuvent s'appliquer au contrat. Pour toute demande, une première réponse vous est apportée sous 48 heures ouvrées et un devis est établi après un échange sur votre besoin. Nos écrits ne constituent pas une consultation juridique : faites valider vos décisions par un conseil spécialisé.