Hva gjør en kryptobørs trygg? Sjekklisten

Det viktigste kravet er ikke kapital, ikke revisjon og ikke forsikring. Det er at kundenes eiendeler skal være juridisk og operasjonelt atskilt fra børsens egne, slik at børsens kreditorer ikke får tilgang til dem hvis børsen går overende. MiCA artikkel 75 nr. 7 sier det ordrett, og det er nøyaktig det kravet FTX brøt.

Under står ti punkter du kan gå gjennom for en hvilken som helst tjeneste, før du følger framgangsmåten for å kjøpe bitcoin i Norge. Ingen av dem er en anbefaling, og ingen av dem rangerer noen. De er kontrollspørsmål med en paragraf bak.

1. Har tjenesten tillatelse — og fra hvem?

Dette er det eneste punktet som ikke kan repareres i ettertid. Etter at overgangsordningen løp ut 1. juli 2026, finnes det ingen mellomkategori: en tjeneste som markedsfører seg mot norske kunder uten MiCA-tillatelse, driver uten konsesjon.

Slå opp foretaket i Finanstilsynets virksomhetsregister, filtrert på konsesjonstype CASP. Legger du til landfilteret NOR, får du de norske. Seks norske foretak sto der 3. september 2026: Firi, Norwegian Block Exchange, Bare Bitcoin, K33 Markets, Týr Markets og AK Jensen Norway. I tillegg hadde 100 utenlandske foretak meldt Norge som vertsland etter reglene om grensekryssende virksomhet.

Merk at tillatelsen ikke er én ting. MiCA lister ti tjenester, og registeret viser hvilke bokstaver foretaket faktisk har. Skal du la beholdningen ligge hos dem, er det bokstav a — oppbevaring og administrasjon på vegne av kunder — du må se etter. Skal du kunne sende ut igjen, er det bokstav j, overføringstjenester på vegne av kunder. Et foretak kan ha lov til å veksle for deg uten å ha lov til å oppbevare for deg.

Slik leser du en registeroppføring

Oppslaget gir deg mer enn et ja eller nei. Feltene betyr dette:

Felt	Hva du kan lese ut av det
Foretaksnavn og organisasjonsnummer	Hvilken juridisk enhet du faktisk blir kunde av. Merkenavnet i appen er ofte et annet enn selskapsnavnet i registeret
Konsesjonstype	CASP er MiCA-tillatelsen. Den gamle typen for veksling og oppbevaring av virtuell valuta er ikke lenger tilstrekkelig grunnlag
Tilsynsmyndighet	Hvilket lands tilsyn som har gitt tillatelsen, og som følger opp klager og en eventuell insolvensbehandling
Registreringsdato	Når tillatelsen ble gitt. En dato etter 1. juli 2026 betyr at foretaket kom gjennom nåløyet etter at overgangsordningen løp ut
Tjenester (bokstav a–j)	Nettopp det foretaket har lov til å gjøre. Alt annet ligger utenfor tillatelsen
Merknader	Her står grunnlaget. Et foretak kan være inne på melding etter MiCA artikkel 60, ikke på full tillatelse etter artikkel 63 — det står i klartekst

Merk hva som ikke følger av oppføringen: at foretaket er solid, at det er godt drevet, eller at Finanstilsynet har vurdert produktene deres. Registeret sier hva de har lov til. Ikke noe mer.

2. Holdes kundemidlene atskilt?

Regelverket skiller mellom kronene dine og kryptoen din, og kravene er ulike.

Hva	Kravet	Hjemmel
Kontanter du har satt inn	Skal plasseres i en kredittinstitusjon eller sentralbank innen utgangen av virkedagen etter at de ble mottatt, på en konto som kan identifiseres atskilt fra børsens egne	MiCA art. 70 nr. 3
Kryptoeiendelene dine	Skal skilles fra børsens egne, også i det desentraliserte registeret — altså på kjeden, ikke bare i regnskapet	MiCA art. 75 nr. 7
Ved konkurs	Eiendelene i depot skal være juridisk atskilt fra børsens formue, slik at børsens kreditorer ikke har tilgang til dem	MiCA art. 75 nr. 7
Bruk for egen regning	Børsen skal treffe tiltak for å hindre at kundenes kryptoeiendeler brukes for egen regning	MiCA art. 70 nr. 1

Dette er hele forskjellen på før og etter MiCA, og det er derfor punktet står øverst sammen med tillatelsen. En børs uten tillatelse er heller ikke bundet av kravet.

3. Får du posisjonsoversikt — og hva skal stå i den?

Børsen skal føre et register over posisjonene som er åpnet i ditt navn, og gi deg en oversikt minst hvert kvartal, og ellers når du ber om det. Oversikten skal identifisere hvilke kryptoeiendeler det gjelder, saldoen, verdien og overføringene i perioden.

Får du ikke en slik oversikt, mangler noe som er et lovkrav for en tilbyder med tillatelse. Og oversikten er ikke bare formalia: den er dokumentasjonen du trenger til skattemeldingen, og den er beviset ditt hvis børsen senere skulle bestride hva du hadde stående.

4. Hva står i kundeavtalen?

MiCA art. 75 nr. 1 lister hva avtalen om oppbevaring minst skal inneholde. Det gir deg en ferdig liste å lete etter:

• Hvem partene er
• Hva slags tjeneste som ytes, med en beskrivelse av den
• Retningslinjene for oppbevaring
• Hvordan dere kommuniserer, og hvordan du autentiseres
• En beskrivelse av sikkerhetssystemene børsen bruker
• Gebyrer, kostnader og avgifter
• Gjeldende lovgivning

Det siste punktet er det folk hopper over, og det er ofte det dyreste. Står det at avtalen reguleres av retten i et land utenfor Norden, betyr det at en tvist skal føres der, på det språket, etter de reglene.

5. Hvem eier det som blir skapt underveis?

Deler et nettverk seg, eller skapes det nye enheter knyttet til beholdningen din, sier MiCA art. 75 nr. 4 at du har rett til det som blir skapt og som svarer til posisjonen din på tidspunktet — med mindre noe annet uttrykkelig er avtalt på forhånd. Nettopp derfor er det verdt å lese vilkårene: unntaket krever en uttrykkelig avtale, og den kan ligge der.

6. Kapitalkravet — og hvorfor det betyr mindre enn du tror

En CASP skal til enhver tid ha sikkerhetstiltak minst tilsvarende det høyeste av minstekapitalen i MiCA vedlegg IV, eller en firedel av foregående års faste kostnader.

Klasse	Tjenester foretaket har tillatelse til	Minstekapital
1	Ordreutførelse, plassering, overføringstjenester, ordreformidling, rådgivning, porteføljeforvaltning	50 000 euro
2	Alt i klasse 1, pluss oppbevaring, veksling mot midler og veksling mot annen krypto	125 000 euro
3	Alt i klasse 2, pluss drift av handelsplattform	150 000 euro

Se på beløpene. En børs med tusenvis av kunder kan oppfylle kravet med 150 000 euro. Kapitalkravet er et konsesjonsvilkår, ikke en garanti for pengene dine. Den reelle beskyttelsen ligger i punkt 2, i segregeringen.

Kravet kan også oppfylles med en forsikringspolise i stedet for egenkapital. Gjør børsen det, skal polisen være offentliggjort på nettstedet, ha minst ett års løpetid og minst 90 dagers oppsigelsesvarsel. Finner du den ikke, oppfylles kravet enten med egenkapital — eller så er noe galt.

7. Det finnes ingen innskuddsgaranti. Punktum.

Finanstilsynet skriver at beskyttelsen «ikke er like omfattende som for tradisjonelle finansielle produkter», og at du ikke kan regne med å være dekket av kompensasjonsordninger. Det er bokstavelig ment.

Krypto på en børs er ikke dekket av Bankenes sikringsfond og ikke av Verdipapirforetakenes sikringsfond. Det finnes ingen tilsvarende ordning for kryptoeiendeler. Sammenlign med den norske innskuddsgarantien på to millioner kroner per innskyter per bank: den gjelder bankinnskudd, ikke dette.

8. Proof of reserves: hva det viser, og hva det ikke viser

Proof of reserves er et kryptografisk bevis for at børsen holder minst så mye som kundene har til gode. Det er en frivillig bransjepraksis som vokste fram etter FTX, og det er verdt å være tydelig på én ting: denne gjennomgangen har ikke funnet noe krav om proof of reserves i MiCA eller i kryptoeiendelsloven. En børs som ikke publiserer et slikt bevis, bryter altså ingen regel.

Publiserer den ett, er det heller ikke et fullgodt svar. Et reservebevis viser eiendelssiden på et gitt tidspunkt. Det viser i seg selv ikke gjeldssiden — om børsen har lånt ut eller pantsatt noe. Uten en uavhengig revisor og uten samtidig verifikasjon av forpliktelsene gir det begrenset trygghet.

Det lovpålagte alternativet er noe annet, og mer nyttig for deg personlig: den kvartalsvise posisjonsoversikten i punkt 3. Den viser din egen beholdning, ikke børsens samlede dekning.

9. Klageordning og tilsyn

Etter MiCA art. 71 skal børsen ha effektive og gjennomsiktige klageprosedyrer, offentliggjøre en beskrivelse av dem, stille et standard klageskjema til rådighet, og behandle klager vederlagsfritt. Alle mottatte klager og tiltak skal registreres.

Er tilbyderen norsk, fører Finanstilsynet tilsyn etter kryptoeiendelsloven § 2, og kan gi pålegg, forby tjenesteyting midlertidig og tilbakekalle tillatelsen. Er tilbyderen utenlandsk, ligger tilsynet i hjemstaten — og det er dit en klage til slutt går. Forskjellene er behandlet i norske mot utenlandske kryptobørser.

Interessekonflikter: hva børsen selv skal fortelle deg

En handelsplass som samtidig handler for egen regning, eier tokener den lister, eller tjener på at du handler ofte, har interesser som ikke nødvendigvis er dine. MiCA art. 72 krever at foretaket har retningslinjer for å identifisere, forebygge og håndtere slike konflikter — og at det på et framtredende sted på nettstedet opplyser kunder og potensielle kunder om kildene til konfliktene og hva som er gjort for å redusere dem.

Det gir deg et konkret sted å lete. Finner du ingen slik side hos en tilbyder med tillatelse, mangler noe regelverket krever. Finner du den, les den: det står ofte mer der enn i markedsføringen.

Hva skjer hvis noe faktisk går galt?

For et norsk foretak har Finanstilsynet et gradert sett med virkemidler etter kryptoeiendelsloven. Tilsynet kan kreve opplysninger (§ 3), gi pålegg om retting (§ 5), treffe midlertidige tiltak (§ 6), pålegge at nettinnhold fjernes og at domenenavn slettes (§ 8), ilegge administrativ inndragning (§ 11) og tilbakekalle tillatelsen (§ 12). Grove overtredelser er straffbare etter § 18.

Det er verdt å vite hva dette betyr for deg som kunde: virkemidlene retter seg mot foretaket, ikke mot kundeforholdet ditt. Blir en tillatelse tilbakekalt, er det segregeringskravet i punkt 2 som avgjør om beholdningen din er trygg — ikke tilsynsvedtaket.

10. Kommer du ut igjen?

En børs du ikke kan ta ut fra, er ikke en trygg børs uansett hvor mange av punktene over som er i orden. Tre ting å kontrollere før du setter inn:

• Har tjenesten bokstav j i registeret, altså tillatelse til overføringstjenester på vegne av kunder? Uten den kan de ikke sende kryptoeiendeler ut for deg.
• Hvilke kryptovalutaer og nettverk støttes for uttak? Dette varierer, også hos store aktører, og det står sjelden i markedsføringen.
• Hvilken dokumentasjon kreves? Overføring til en lommebok du styrer selv utløser forsterkede kundetiltak etter hvitvaskingsloven § 17 a, og børsen skal gjennomføre minst ett av tiltakene loven lister. Eierskapsbekreftelse er ett av dem. Det er ikke børsens påfunn.

Merk også MiCA art. 75 nr. 6: børsen skal ha prosedyrer for å returnere kryptoeiendelene, eller tilgangsmetodene, så raskt som mulig. Og art. 75 nr. 8: børsen har ansvar for tap som kan tilskrives den — men ansvaret er begrenset til markedsverdien på tidspunktet da tapet oppsto, ikke til hva det ville vært verdt i dag.

Sjekklisten — ta den punkt for punkt

#	Spørsmål	Hvor du finner svaret
1	Står foretaket i Finanstilsynets register med konsesjonstype CASP?	Virksomhetsregisteret
2	Hvilke av tjenestene a–j har det tillatelse til? Er a og j med?	Samme oppføring
3	Hvilket tilsyn har gitt tillatelsen?	Kolonnen for tilsynsmyndighet
4	Er foretaket ført opp på markedsadvarsler?	Finanstilsynets markedsadvarsler
5	Får du sammendraget av oppbevaringsretningslinjene på forespørsel?	Kundeservice, art. 75 nr. 3
6	Får du kvartalsvis posisjonsoversikt?	Kontoen din, art. 75 nr. 5
7	Hvilket lands rett gjelder for avtalen?	Kundeavtalen, art. 75 nr. 1 bokstav g
8	Er forsikringspolisen publisert, hvis kapitalkravet dekkes slik?	Nettstedet, art. 67 nr. 5
9	Er klageprosedyren publisert og gratis?	Nettstedet, art. 71
10	Er du klar over at ingen innskuddsgaranti dekker beholdningen?	Finanstilsynets forbrukerinformasjon

Skal du vurdere om beholdningen i det hele tatt bør ligge hos en tredjepart, ta veiviseren for oppbevaring først. Gebyrene sammenligner du i kryptogebyrkalkulatoren.

Hva sjekklisten ikke fanger

Ti grønne haker betyr at de kontrollerbare kravene er på plass. Det betyr ikke at ingenting kan gå galt.

• Tilsyn er ikke garanti. Finanstilsynet tar selv forbehold om at registeret kan inneholde feil, og en tillatelse sier hva foretaket har lov til, ikke hva det faktisk gjør hver dag.
• Konsesjonsbildet endrer seg raskt, særlig nå, rett etter at overgangsordningen løp ut. Sjekk på nytt før du flytter et større beløp, ikke bare første gang.
• Kontoen din kan sperres uten begrunnelse. Hvitvaskingsloven § 28 forbyr foretaket å fortelle deg at det undersøkes eller er rapportert. Hva du gjør da, står i KYC, innskudd og uttak.
• Den største enkeltrisikoen er fortsatt svindel, ikke at en lovlig børs går konkurs. Se kryptosvindel og når børsen går konkurs.