Le 2 octobre 2026, la CSSF a publié sa première FAQ sur la tokenisation. Pour les gestionnaires de fonds luxembourgeois, elle précise surtout le modèle opérationnel : la tenue du registre, l’articulation entre parts traditionnelles et tokenisées, ainsi que les obligations de l’agent de contrôle et de ses prestataires technologiques.
Cet article traite de l’émission et de l’administration de parts ou actions de fonds tokenisées. L’investissement d’un fonds dans des crypto-actifs soulève d’autres questions. Utiliser une technologie de registre distribué (DLT) pour enregistrer la propriété des parts ne décrit pas, en soi, les actifs détenus en portefeuille.
Un fonds luxembourgeois peut-il émettre des tokens natifs ?
Oui. La Q1 confirme qu’un organisme de placement collectif (OPC) luxembourgeois peut émettre nativement ses parts ou actions sur DLT, à condition que son modèle respecte le cadre réglementaire qui lui est applicable. Ces parts peuvent être nominatives ou dématérialisées. Leur forme juridique ne découle pas de la technologie employée.
Pour des parts nominatives, l’administrateur d’OPC chargé de la fonction de teneur de registre peut utiliser la DLT. Pour des parts dématérialisées, les exigences de la loi du 6 avril 2013 relative aux titres dématérialisés s’appliquent également. Un administrateur d’OPC qui prévoit une modification substantielle de son modèle opérationnel doit en demander l’autorisation à la CSSF conformément au point 5 de la circulaire 22/811 (FAQ, Q1).
Le premier livrable d’un comité de lancement devrait donc décrire les droits juridiques et l’organisation retenue. Une démonstration technique réussie ne constitue qu’une partie du dossier. La FAQ répond à des questions récurrentes ; elle ne crée pas un régime complet et ne vaut pas approbation d’un projet particulier.
L’agent de contrôle ne remplace pas la fonction de teneur de registre
La distinction concerne particulièrement les parts dématérialisées. La Q2 confirme que la nomination d’un agent de contrôle ne supprime pas la nécessité d’un administrateur d’OPC (UCIA) chargé de la fonction de teneur de registre. Les tâches prévues aux points 19 et 20 de la circulaire 22/811 dépassent les missions légales de l’agent de contrôle.
Une même entité peut exercer les deux fonctions si elle dispose des agréments et autorisations appropriés. Sinon, les tâches restantes doivent être attribuées à une entité éligible. Le contrat devrait permettre de comprendre cette répartition sans avoir participé à la conception de l’architecture blockchain.
Pour chaque événement concernant un investisseur, identifiez qui exécute l’opération, qui l’enregistre, qui en contrôle le résultat et qui traite une anomalie. Appliquez cette lecture aux souscriptions, transferts, rachats et corrections. Il s’agit d’une méthode pratique de revue, pas d’un modèle supplémentaire imposé par la CSSF.
Parts traditionnelles et tokenisées : conserver une vue consolidée
La Q3 permet à plusieurs UCIAs d’exercer la fonction de teneur de registre lorsqu’un fonds émet des parts traditionnelles et tokenisées. La répartition doit rester maîtrisable. Les investisseurs doivent recevoir une information adéquate sur le modèle et ses risques, et les documents d’offre doivent identifier les UCIAs et leurs fonctions.
Une entité, le GFI et/ou l’un des UCIAs, doit maintenir une vue consolidée des parts émises afin de permettre les autres tâches d’administration, notamment le calcul de la VNI par part, les distributions et les appels de capitaux. Les risques supplémentaires liés à la répartition des responsabilités doivent être gérés. Les obligations légales relatives aux registres restent applicables, y compris, le cas échéant, la tenue du registre des actions nominatives au siège de l’OPC (FAQ, Q3).
Prenons un fonds avec une classe traditionnelle et une classe émise sur DLT. Chaque registre peut sembler correct alors qu’un transfert, une annulation ou un décalage de traitement rend la position consolidée incohérente. La revue devrait établir qui rapproche les registres, quels écarts bloquent le traitement et comment les corrections parviennent à l’administrateur qui utilise les données consolidées.
DORA couvre l’activité de l’agent de contrôle
La Q5 précise que les entités éligibles concernées relèvent de DORA et doivent appliquer leur cadre DORA à leur activité d’agent de contrôle. La Q6 autorise le recours à des prestataires techniques, notamment pour développer ou administrer des smart contracts. La CSSF estime très probable que l’activité d’agent de contrôle constitue une fonction critique ou importante.
Lorsque des accords avec des prestataires tiers de services TIC soutiennent cette activité, la Q6 renvoie à la circulaire CSSF 25/882 ainsi qu’au formulaire et aux délais de notification applicables. Un candidat qui conclut autrement dans son autoévaluation est invité à présenter une justification solide à la CSSF avant la notification formelle.
Ces précisions concernent l’agent de contrôle et ses accords. Elles n’attribuent pas automatiquement le même statut réglementaire à tous les participants du projet. Le GFI doit comprendre les dépendances de sa chaîne de prestataires et identifier l’entité responsable de chaque obligation. Notre article sur l’externalisation après DORA développe la distinction entre services TIC et autres externalisations.
Construire le calendrier à partir d’un dossier complet
La CSSF invite à un dialogue précoce présentant l’ensemble du cycle de vie : émission, négociation, règlement et distribution, qualification juridique et droits attachés aux tokens, activités des intervenants, contrats, externalisations et première analyse des agréments et procédures nécessaires.
Pour l’activité d’agent de contrôle, la Q4 prévoit une notification au moins deux mois avant le démarrage. Le délai légal ne commence toutefois qu’après confirmation par la CSSF du caractère complet du dossier. La date du premier envoi ne permet donc pas, à elle seule, de calculer une date de lancement fiable.
Les notifications d’externalisation ou d’accords TIC peuvent également influencer ce calendrier. La Q4 mentionne, pour les notifications applicables, un délai d’au moins trois mois avant le début de l’externalisation, réduit à un mois pour un PSF de support luxembourgeois. Il faut identifier la procédure et son périmètre avant de fixer les jalons. Les candidats établis dans l’EEE doivent également tenir compte des conditions relatives à leur autorité d’origine et à la coopération entre autorités décrites en Q4.
Que reprendre dans le CRA et le CMP ?
La FAQ n’impose ni cotation spécifique ni calendrier standard de contrôles. Le tableau suivant propose une traduction pratique pour la deuxième ligne d’une entité concernée. Les équipes responsables exécutent les opérations ; le plan de contrôle compliance permet de tester les dispositifs pertinents.
| Risque à évaluer dans le CRA | Revue possible dans le CMP | Pièces justificatives |
|---|---|---|
| Une tâche non attribuée entre teneur de registre et agent de contrôle | Retracer une sélection d’événements à travers la répartition convenue. | Contrats, cartographie des responsabilités, opérations sélectionnées et suivi des anomalies. |
| Des registres traditionnels et DLT incohérents | Examiner les rapprochements et la résolution des écarts affectant la vue consolidée. | Rapprochements datés, journal des écarts, corrections et validations. |
| Une information incomplète des investisseurs | Comparer le modèle réel et ses prestataires aux documents d’offre. | Informations approuvées, inventaire des prestataires et historique des changements. |
| Une dépendance technologique ou un changement non évalué | Vérifier les évaluations, notifications et autorisations applicables avant mise en œuvre. | Justification des risques, due diligence, échanges CSSF et décision de mise en œuvre. |
Le périmètre et la fréquence dépendent de l’exposition réelle. Un gestionnaire sans fonds tokenisé peut documenter son analyse d’applicabilité et suivre les évolutions de son activité. Un gestionnaire qui prépare un lancement a besoin d’une évaluation plus détaillée avant de s’appuyer sur les nouveaux dispositifs. Notre guide reliant CRA et CMP explique comment transformer ce raisonnement en contrôles exécutables.
Cinq questions pour le prochain comité projet
- La forme juridique des parts et les droits attachés aux tokens sont-ils documentés ?
- Chaque tâche est-elle attribuée à une entité disposant des autorisations appropriées ?
- Qui porte la responsabilité de la position consolidée et comment les écarts sont-ils résolus ?
- Les informations investisseurs, contrats et dépendances technologiques décrivent-ils le même modèle ?
- Quelles procédures CSSF s’appliquent et quelles pièces établissent que leurs conditions sont remplies ?
Ces questions donnent à la direction une base concrète pour décider et préparer le premier cycle de contrôle après le lancement.
La place de Klavius
Klavius aide à relier les évolutions réglementaires à l’évaluation des risques de compliance, au plan de contrôle et aux plans d’action. Pour un projet de tokenisation, le dossier utile relie la FAQ, la décision d’applicabilité, les risques examinés, les contrôles prévus et les actions ouvertes. Klavius n’émet pas de tokens et n’exerce pas la fonction de teneur de registre ou d’agent de contrôle.
Pour examiner les conséquences d’un projet sur la deuxième ligne, réservez une séance de travail autour de votre CRA et de votre CMP.
Sources et périmètre
CSSF, FAQ – Tokenisation, version 1 du 2 octobre 2026 ; document complet, introduction et Q1 à Q6. La FAQ réserve expressément les autres obligations applicables, dont la LBC/FT. Cet article reflète cette version, examinée le 12 octobre 2026. Les exemples de contrôles constituent l’analyse pratique de Klavius et non des règles supplémentaires de la CSSF.