DAC8 og CARF krypto-rapportering: hvad kryptovirksomheder i Cypern skal gøre inden den første rapport den 30 June 2027

Den forretningsmæssige realitet, som de fleste cypriotiske kryptovirksomheder endnu ikke har taget til sig, er denne: rapporteringen er tilbagevirkende til 1 January 2026, så enhver udbyder, hvis onboarding og indsamling af transaktionsdata ikke allerede kører, har et datahul, som den ikke lovligt kan udfylde inden fristen. Denne guide gennemgår, hvem der er omfattet, præcis hvad der skal indsamles, og en konkret køreplan frem til indgivelsen den 30 June 2027.

Sidst opdateret: august 2026

Hvad er DAC8 og CARF, og hvorfor er de vigtige for cypriotiske kryptovirksomheder?

DAC8 og CARF er de skattetransparensregler, der pålægger kryptoaktivvirksomheder at rapportere deres brugeres identitet og transaktionsværdier til skattemyndighederne hvert år. For en cypriotisk virksomhed gør DAC8 kryptorapportering fra en frivillig bedste praksis til en obligatorisk årlig forpligtelse over for Cyprus Tax Department, understøttet af EU-retten og en international standard. Hvis du veksler, opbevarer, formidler eller behandler kryptoaktiver for kunder med tilknytning til Cypern, gælder disse regler næsten med sikkerhed for dig.

Hvad er Crypto-Asset Reporting Framework (CARF)?

Crypto-Asset Reporting Framework (CARF) er OECD's globale standard for den automatiske udveksling af skatteoplysninger om transaktioner med kryptoaktiver, færdiggjort af OECD sammen med G20 i 2023. CARF kræver, at udbydere af kryptoaktivtjenester identificerer deres brugere, fastlægger hver brugers jurisdiktion for skattemæssigt hjemsted og rapporterer årlige transaktionsdata til deres hjemlands skattemyndighed, som derefter udveksler dem med partnerjurisdiktioner. CARF udfører for krypto den samme opgave, som Common Reporting Standard (CRS) har udført for bankkonti siden 2016.

CARF er bevidst bredt formuleret. Det opstiller ingen minimumstærskel for rapportering, så i princippet er hver rapporteringspligtig transaktion omfattet uanset størrelse, og det rækker ud til vekseltjenester, mæglere, depotforvaltere og visse wallet-udbydere.

Hvad er DAC8, og hvordan bringer det CARF ind i EU-retten?

DAC8 er Rådets direktiv (EU) 2023/2226 af 17 October 2023, som ændrer direktiv 2011/16/EU om administrativt samarbejde på beskatningsområdet (DAC) og indfører CARF i bindende EU-ret. DAC8 gør CARF-lignende kryptorapportering obligatorisk i alle EU-medlemsstater på et harmoniseret retsgrundlag i stedet for at overlade det til den enkelte stat frivilligt at vedtage OECD-standarden. Direktivet blev offentliggjort i Den Europæiske Unions Tidende, og dets officielle tekst er tilgængelig på EUR-Lex.

Fordi DAC8 er et direktiv, skulle hver medlemsstat gennemføre det i national ret. Gennemførelsesfristen var 31 December 2025, og reglerne finder anvendelse fra 1 January 2026, hvilket gør 2026 til det første rapporteringsår i hele Unionen.

Hvordan DAC8/CARF forholder sig til CRS, MiCAR og FATF Travel Rule

DAC8, CRS, MiCAR og FATF Travel Rule er fire overlappende, men adskilte regelsæt, og en cypriotisk kryptovirksomhed befinder sig typisk inden for dem alle på én gang. At holde dem adskilt i dit compliance-design undgår dobbeltarbejde og farlige huller.

Den praktiske sammenhæng er, at DAC8 genbruger meget af de kundedata, du allerede besidder til MiCAR-tilladelse og til bekæmpelse af hvidvask (AML). Hvis du fortsat er på licensstadiet, forklarer vores guide om registrering af en Crypto-Asset Service Provider i Cypern den CySEC- og MiCAR-ramme, der ligger side om side med disse rapporteringspligter.

Har Cypern faktisk gennemført DAC8 endnu?

Ja. Cypern har gennemført DAC8 i national ret, og forpligtelsen er i kraft nu snarere end afventende. Reglerne finder anvendelse med tilbagevirkende kraft fra 1 January 2026, hvilket er grunden til, at dataindsamlingen ikke kan vente.

Den cypriotiske gennemførelseslov og dens ikrafttræden

Cypern gennemførte DAC8 med Administrative Cooperation in the Field of Taxation (Amending) Law of 2026, Law 38(I)/2026, offentliggjort i Republikken Cyperns officielle tidende den 27 March 2026 og trådt i kraft samme dato med tilbagevirkende anvendelse fra 1 January 2026. Instrumentet ændrer den principale Law 205(I)/2012 og indeholder rapporterings- og due diligence-reglerne i sin Article 7ΣΤ og Annex VI, og det fastsætter den første rapporteringsfrist den 30 June 2027 for data fra kalenderåret 2026. Cyprus Tax Department er udpeget som den kompetente myndighed, der modtager rapporter og udveksler oplysninger med sine EU-modparter.

Hvorfor den tilbagevirkende startdato 1 January 2026 er vigtig

Den tilbagevirkende startdato er vigtig, fordi den betyder, at den første rapporteringsperiode allerede var i gang, før den cypriotiske lov overhovedet blev offentliggjort. Rapporteringen dækker hele kalenderåret 2026, så transaktioner fra 1 January 2026 og frem er omfattet, selv om Law 38(I)/2026 først trådte i kraft den 27 March 2026. En virksomhed, der aktiverede compliant onboarding i, lad os sige, april 2026, forventes stadig at rapportere for hele året, herunder det første kvartal, som den muligvis ikke har registreret korrekt.

Denne tilbagevirkende kraft er det enkeltstående vigtigste operationelle faktum i denne artikel, og den driver det datahulsproblem, der behandles nedenfor.

Konteksten om Europa-Kommissionens traktatbrudssag i January 2026

Den 30 January 2026 indledte Europa-Kommissionen traktatbrudsprocedurer mod 12 medlemsstater, herunder Cypern, for ikke at have gennemført DAC8 inden fristen den 31 December 2025. Denne kontekst forklarer, hvorfor den cypriotiske lov først kom i marts 2026 med tilbagevirkende kraft: staten lukkede et hul, som Kommissionen formelt havde påpeget. Kommissionen sendte åbningsskrivelser efter Article 258 i traktaten om Den Europæiske Unions funktionsmåde og gav hver stat to måneder til at svare, og fordi Cypern fuldførte gennemførelsen med Law 38(I)/2026 i marts 2026, har landet siden afhjulpet den mangel, skrivelsen identificerede, idet Kommissionens praksis er at indstille sådanne procedurer, når fuld gennemførelse er meddelt. For virksomheder er pointen, at hverken forsinket national lovgivning eller traktatbrudstvisten udsætter din egen rapporteringspligt for 2026-data.

Hvem er en Reporting Crypto-Asset Service Provider (RCASP) i Cypern?

En Reporting Crypto-Asset Service Provider (RCASP) i Cypern er enhver udbyder af kryptoaktivtjenester, der er licenseret i Cypern efter MiCAR, eller enhver Crypto-Asset Operator med tilknytning til Cypern, hvilket betyder cypriotisk skattemæssigt hjemsted, stiftelse, sted for den faktiske ledelse eller sædvanligt forretningssted. Hvis blot ét af disse tilknytningskriterier gælder, er DAC8-rapportering til Cyprus Tax Department obligatorisk. Definitionen er bevidst bred, så virksomheder ikke kan undgå rapportering blot ved at have deres licens andetsteds, mens de opererer fra Cypern.

MiCAR-licenserede CASP'er med base i Cypern

Enhver enhed, der har en MiCAR-tilladelse fra CySEC og har base i Cypern, er en RCASP. Dette er den klareste kategori: vekseltjenester, mæglere, udbydere af depotwallets, porteføljeforvaltere og rådgivere licenseret efter Markets in Crypto-Assets Regulation er direkte omfattet. Hvis din virksomhed har gennemgået CySEC-tilladelse for at levere kryptoaktivtjenester, bør du antage RCASP-status og opbygge rapporteringen derefter.

Crypto-Asset Operators med tilknytning til Cypern

En Crypto-Asset Operator, der ikke er MiCAR-licenseret, kan stadig være en RCASP, hvis den har tilknytning til Cypern. Tilknytningskriterierne er cypriotisk skattemæssigt hjemsted, stiftelse i Cypern, sted for den faktiske ledelse i Cypern eller sædvanligt forretningssted i Cypern. Dette omfatter operatører, der leverer kryptoaktivtjenester uden at have en MiCAR-licens, herunder nogle virksomheder, der antog, at de lå uden for perimeteren. Et cypriotisk stiftet holding- eller driftsselskab, der faciliterer kryptotransaktioner, bør nøje teste sig selv op imod disse kriterier, fordi selve stiftelsen alene kan udløse forpligtelsen.

Sådan foretager du en positiv RCASP-vurdering og dokumenterer den

For at fastlægge RCASP-status skal du teste din enhed op imod hvert tilknytningskriterium efter tur og registrere begrundelsen i en dateret fil. En holdbar vurdering beskytter bestyrelsen, hvis analysen senere bliver anfægtet.

1. Bekræft, om enheden har, eller bør have, en MiCAR-tilladelse i Cypern.
2. Vurdér cypriotisk skattemæssigt hjemsted og sted for den faktiske ledelse med udgangspunkt i din analyse af cypriotisk skattemæssigt hjemsted og status som non-domiciled.
3. Kontrollér stiftelsesstedet og det sædvanlige forretningssted.
4. Registrér en skriftlig konklusion, datoen og den ansvarlige person, og opdatér den, hvis virksomheden ændrer sig.
5. Hvor resultatet er positivt, registrér dig hos Cyprus Tax Department og begynd at rapportere for 2026.

Hvis du fortsat er ved at strukturere enheden, gennemgår hvordan man åbner et selskab i Cypern de stiftelsestrin, der i sig selv skaber tilknytning til Cypern i denne sammenhæng.

Hvad er den første rapporteringsfrist den 30 June 2027, og hvad dækker den?

Den første rapporteringsfrist den 30 June 2027 er den dato, hvor hver cypriotisk RCASP skal indgive sin første DAC8-rapport, som dækker al rapporteringspligtig kryptoaktivitet for kalenderåret 2026, til Cyprus Tax Department. Overskrider du den, er du i strid med Law 38(I)/2026 for hele regimets første år. Fristen er fast og gælder ensartet uanset, hvornår i 2026 din virksomhed begyndte at operere.

Rapporteringsperioden: kalenderåret 2026

Den første rapporteringsperiode er hele kalenderåret fra 1 January 2026 til 31 December 2026. Hver rapporteringspligtig vekseltransaktion, overførsel og rapporteringspligtig detailbetalingstransaktion, der er udført for en rapporteringspligtig bruger i løbet af det år, skal registreres og aggregeres. Fordi året allerede er langt fremskredet, lukker vinduet for at rette eventuelle fejl i indsamlingen.

Indgivelse til Cyprus Tax Department senest 30 June 2027

Rapporten indgives til Cyprus Tax Department (CTA), den udpegede kompetente myndighed, senest 30 June 2027. CTA forventes at offentliggøre et teknisk rapporteringsskema, der specificerer filformatet og datafelterne, men den materielle liste over rapporteringspligtige elementer er allerede fastlagt i Annex VI til Law 38(I)/2026, som afspejler CARF- og DAC8-skabelonerne: for hver rapporteringspligtig bruger og hvert rapporteringspligtigt kryptoaktiv rapporterer RCASP'en bruttobeløbene og antallet af enheder for erhvervelser, afhændelser, overførsler ind, overførsler ud og rapporteringspligtige detailbetalingstransaktioner. Virksomheder bør ikke vente på skemaet, før de indsamler data, fordi de underliggende felter allerede er defineret af CARF og DAC8.

Udveksling af oplysninger på EU-plan senest 30 September 2027

Efter at have modtaget rapporterne udveksler Cyprus Tax Department oplysningerne med andre EU-skattemyndigheder senest 30 September 2027. På EU-plan finder de første DAC8-udvekslinger for rapporteringsåret 2026 sted inden for ni måneder efter årets udgang, det vil sige mellem 1 January og 30 September 2027. Det betyder, at data, du indgiver i Cypern om en bruger hjemmehørende i Tyskland eller Frankrig, videresendes til den pågældende brugers hjemlands skattemyndighed inden for få måneder, så nøjagtighed har grænseoverskridende konsekvenser.

Hvorfor skal din dataindsamling allerede være i drift nu?

Din dataindsamling skal allerede være i drift, fordi DAC8-rapporteringen er tilbagevirkende til 1 January 2026, og de påkrævede transaktions- og selvcertificeringsdata generelt ikke kan rekonstrueres bagefter. Hver dag med handel uden compliant indsamling skaber et permanent hul i din 2026-rapport. Dette er det operationelle kernepunkt i hele regimet for cypriotiske virksomheder.

Det tilbagevirkende datahulsproblem, du ikke kan udfylde

Datahulsproblemet er, at transaktionsniveaudetaljer og gyldigt indsamlede selvcertificeringer mister integritet, når øjeblikket er passeret. Du kan ikke troværdigt genskabe en selvcertificering af skattemæssigt hjemsted fra January 2026 midt i 2027, og du kan ikke rekonstruere vekselværdier og modparter, der aldrig blev registreret efter CARF-standarden. En RCASP, der begyndte at indsamle DAC8-data for sent, står derfor over for et hul, der ikke blot er en formateringsrettelse, men en materiel bevismæssig mangel.

Hvad et compliant onboarding-flow allerede bør indsamle

Et compliant onboarding-flow bør allerede ved kontooprettelsen indsamle en gyldig selvcertificering af skattemæssigt hjemsted plus det fulde identitetsdatasæt og bør validere disse data op imod dine AML- og know-your-customer (KYC)-oplysninger. Hvis nogen af følgende mangler i dit nuværende flow, har du et arbejde at gøre med det samme:

• En struktureret selvcertificering, der registrerer hver jurisdiktion for skattemæssigt hjemsted og skatteidentifikationsnummeret (TIN) for hver.
• Fuldt juridisk navn, bopælsadresse, fødselsdato og, for fysiske personer, fødested.
• Data om kontrollerende personer for enhedsbrugere.
• En rimelighedskontrol, der afstemmer selvcertificeringen op imod eksisterende AML/KYC-data.
• Transaktionslogning, der registrerer de datapunkter, der er nødvendige for den årlige aggregering.

Udbedring af et 2026-datahul inden indgivelsen

Hvis du allerede har et 2026-hul, betyder udbedring at handle hurtigt for at indsamle friske selvcertificeringer, rekonstruere det, der kan dokumenteres, og dokumentere grænserne for det, der ikke kan. Tidlig juridisk rådgivning er afgørende, fordi den måde, du karakteriserer og oplyser et hul til Cyprus Tax Department på, påvirker din eksponering. Vent ikke til 2027 med at opdage hullet, hvor udbedringsvinduet reelt er lukket.

Hvilke kryptoaktiver og transaktioner er rapporteringspligtige?

Rapporteringspligtige kryptoaktiver er, groft sagt, aktiver, der kan besiddes og overføres på en decentraliseret måde ved hjælp af distributed-ledger-teknologi, og rapporteringspligtige transaktioner er veksling mellem krypto og fiat, veksling mellem forskellige kryptoaktiver og visse overførsler, herunder rapporteringspligtige detailbetalinger. Anvendelsesområdet er bevidst bredt, selv om der findes specifikke undtagelser for aktiver, der ikke kan bruges til betaling eller investering, og for centralbankers digitale valutaer.

Kryptoaktiver inden for og uden for anvendelsesområdet (stablecoins, NFT'er, CBDC'er, e-penge)

De fleste omsættelige kryptoaktiver er omfattet, mens centralbankers digitale valutaer (CBDC'er) og visse e-pengeprodukter behandles særskilt og kan falde uden for kryptoreglerne. Stablecoins er generelt omfattet som kryptoaktiver, og non-fungible tokens (NFT'er) er omfattet, hvor de bruges til betaling eller investering, snarere end at være ægte unikke samlerobjekter. Cypern følger DAC8-definitionerne i Annex VI til Law 38(I)/2026 direkte: centralbankers digitale valutaer og specificerede e-pengeprodukter er skåret ud af kryptoaktivrapporteringsstrømmen og i stedet omfattet af de ændrede Common Reporting Standard-regler om finansielle konti, mens stablecoins, der ikke er e-pengeprodukter, forbliver omfattet som kryptoaktiver. Fordi klassificeringen af en specifik token kan være fint afvejet, bør grænsetilfælde vurderes fra sag til sag.

Vekseltransaktioner: krypto-til-fiat og krypto-til-krypto

Vekseltransaktioner er rapporteringspligtige i begge retninger: krypto-til-fiat og krypto-til-krypto. Det betyder, at en bruger, der bytter Bitcoin til euro, og en bruger, der bytter Bitcoin til Ether, begge genererer rapporteringspligtige begivenheder. For hver rapporterer RCASP'en det samlede årlige antal transaktioner og bruttoværdier og skelner mellem erhvervelser og afhændelser, så din transaktionslog skal registrere tilstrækkelig detalje til at opbygge disse aggregater pr. bruger pr. aktivtype.

Overførsler og rapporteringspligtige detailbetalingstransaktioner

Overførsler af kryptoaktiver til og fra en bruger og rapporteringspligtige detailbetalingstransaktioner, der behandles på vegne af en forhandler, er også omfattet. Detailbetalingstransaktioner bliver rapporteringspligtige, når de overskrider tærsklen på EUR 50,000, som drøftes nedenfor. Hvor en bruger hæver krypto til en ekstern wallet, rapporterer RCASP'en overførslen, og hvor destinationen ikke er en anden RCASP, kan yderligere detalje være påkrævet.

Hvilken due diligence og selvcertificering skal RCASP'er udføre?

RCASP'er skal udføre CARF-lignende due diligence: indhente en gyldig selvcertificering af skattemæssigt hjemsted fra hver bruger, teste den for rimelighed op imod eksisterende AML/KYC-oplysninger og håndhæve konsekvenser, når en bruger undlader at afgive en. Denne due diligence er ikke valgfrit papirarbejde; det er den mekanisme, der gør den årlige rapport nøjagtig og juridisk holdbar.

Indsamling af gyldige selvcertificeringer af skattemæssigt hjemsted

En gyldig selvcertificering for en fysisk person skal omfatte brugerens fulde navn, bopælsadresse, hver jurisdiktion for skattemæssigt hjemsted, TIN for hver rapporteringspligtig jurisdiktion og fødselsdato. En selvcertificering, der mangler et påkrævet felt, er ikke gyldig og opfylder ikke din forpligtelse. Indsaml den ved onboarding for nye brugere og med tilbagevirkende kraft for allerede eksisterende brugere inden for de tidsfrister, der er fastsat i regelsættet.

Rimelighedstesten op imod eksisterende AML/KYC-data

Rimelighedstesten kræver, at RCASP'en bekræfter, at en selvcertificering er i overensstemmelse med de AML- og KYC-data, der allerede besiddes om brugeren. Hvis en bruger certificerer skattemæssigt hjemsted i ét land, mens din KYC-fil viser en adresse og identitetsdokumenter, der peger andetsteds, består selvcertificeringen ikke rimelighedstesten og skal berigtiges, før der kan lægges vægt på den. Fordi du allerede besidder disse data til MiCAR- og AML-formål, er kontrollen i vid udstrækning en afstemningsøvelse, og virksomheder, der håndterer data om reelle ejere, bør afstemme dem med forpligtelserne i det cypriotiske UBO-register og compliance vedrørende reelle ejere.

Reglen om to påmindelser / 60 dage og blokering af ikke-compliant brugere

Efter CARF og DAC8 skal RCASP'en, hvis en bruger ikke afgiver en gyldig selvcertificering efter to påmindelser inden for 60 dage, blokere den pågældende bruger fra at gennemføre rapporteringspligtige transaktioner på platformen, indtil en gyldig selvcertificering er afgivet og valideret. Denne blokeringsregel er et hårdt krav, ikke en skønsmæssig sanktion. Dine systemer skal derfor kunne spore antallet af påmindelser, køre 60-dages uret og automatisk begrænse en ikke-compliant konto. Byg dette workflow nu, fordi manuel håndhævelse på tværs af en aktiv brugerbase ikke skalerer.

Præcis hvilke data skal du indsamle og rapportere pr. bruger?

Pr. bruger skal en RCASP indsamle og rapportere brugerens fulde identitets- og hjemstedsoplysninger sammen med aggregerede årlige værdier for deres rapporteringspligtige transaktioner. Datasættet afspejler CRS, men er tilpasset til krypto, og at få felterne rigtige ved indsamlingen er det, der gør den endelige indgivelse ligetil.

Datafelter for fysiske brugere (navn, adresse, TIN, fødselsdato og fødested)

For en fysisk bruger skal du indsamle og rapportere det fulde juridiske navn, bopælsadressen, hver jurisdiktion for skattemæssigt hjemsted, TIN for hver sådan jurisdiktion og fødselsdatoen, hvor også fødested er påkrævet i definerede tilfælde. Disse felter skal valideres op imod AML/KYC-oplysninger under rimelighedstesten. Manglende eller ikke-verificerede TIN'er er et almindeligt svigtpunkt, så behandl TIN-indsamling som et gatende trin ved onboarding snarere end som en eftertanke.

Enhedsbrugere og kontrollerende personer

For en enhedsbruger skal du indsamle enhedens identitets- og hjemstedsdata og, hvor enheden er et passivt vehikel, se igennem til dens kontrollerende personer og rapportere dem også. Denne gennemsigtsvurdering forhindrer, at enkeltpersoner gemmer sig bag selskabswallets. Identifikationen af kontrollerende personer trækker direkte på den analyse af reelle ejere, som din virksomhed allerede foretager, så integrér de to datasæt i stedet for at køre dem hver for sig.

Aggregerede årlige transaktionsværdier rapporteret pr. bruger

Rapporten indeholder aggregerede årlige værdier pr. bruger: for hvert rapporteringspligtigt kryptoaktiv bruttobeløbene og antallet af enheder for erhvervelser, afhændelser, overførsler ind, overførsler ud og rapporteringspligtige detailbetalinger. Du rapporterer ikke hver enkelt transaktionslinje, men du skal have registreret hver linje for at kunne opbygge aggregaterne nøjagtigt. Dette er grunden til, at granulær transaktionslogning fra 1 January 2026 ikke er til forhandling.

Hvordan adskiller DAC8 sig fra den globale CARF-standard?

DAC8 adskiller sig fra den globale CARF-standard hovedsageligt i sine EU-specifikke elementer, mest markant en tærskel på EUR 50,000 for rapporteringspligtige detailbetalingstransaktioner og integrationen med den bredere DAC-udvekslingsmekanisme. I substansen er de to på linje, så et CARF-compliant system er det meste af vejen til DAC8-compliance, men de EU-specifikke detaljer har betydning for en cypriotisk virksomhed, der rapporterer efter Law 38(I)/2026.

Tærskler: reglen om EUR 50,000 for detailbetalinger

DAC8 anvender en tærskel på EUR 50,000 for rapporteringspligtige detailbetalingstransaktioner, der behandles af en udbyder af kryptoaktivtjenester, over hvilken transaktionen er omfattet, selv om modtageren ikke ellers er en rapporteringspligtig bruger. CARF opstiller derimod ingen generel minimumstærskel for rapportering, så hver transaktion er omfattet uanset størrelse. Cypern indfører dette tal på EUR 50,000 nøjagtigt som fastsat i Annex VI til direktivet, gennemført uden lokal afvigelse i Law 38(I)/2026, så den samme tærskel, der gælder i hele Unionen, gælder i Cypern. For cypriotiske virksomheder betyder det, at behandling af detailbetalinger kræver sin egen tærskellogik oven på den generelle rapportering.

Forskelle i anvendelsesområde og behandling af stablecoins/e-penge

DAC8 indeholder en EU-specifik behandling af stablecoins og e-penge, der kan afvige i detaljen fra OECD-teksten, og den præcise position afhænger af den cypriotiske gennemførelseslov. Hvor DAC8 giver valgmuligheder for, hvor langt e-penge og CBDC-nære produkter er omfattet, er Cyperns valg i Law 38(I)/2026 afgørende, og Annex VI til den lov placerer centralbankers digitale valutaer og specificerede e-pengeprodukter under det ændrede CRS-regime for finansielle konti snarere end kryptostrømmen. Indtil det cypriotiske skema og vejledning er offentliggjort, behandl andre stablecoins som omfattet og dokumentér din begrundelse for enhver udelukkelse.

Overlap med eksisterende cypriotiske kryptoskatteforpligtelser

DAC8-rapportering er adskilt fra og kommer i tillæg til cypriotisk kryptoskattepligt. Fra 1 January 2026 beskatter Cypern gevinster ved afhændelse af kryptoaktiver med en flad sats på 8% under et dedikeret lovbestemt regime, og den skattepligt påhviler brugeren, hvorimod DAC8-rapportering påhviler RCASP'en. De to interagerer, men erstatter ikke hinanden, som vores guide til kryptobeskatning i Cypern for personer og selskaber forklarer, sammen med de bredere ændringer i den cypriotiske skattereform 2026.

Hvad er sanktionerne og risiciene ved at gøre DAC8 forkert i Cypern?

Sanktionerne og risiciene ved at gøre DAC8 forkert i Cypern spænder over økonomiske sanktioner for rapporteringssvigt, licens- og omdømmeskade over for CySEC og MiCAR og personligt ansvar for bestyrelsen og compliance-ansvarlige. Ud over de direkte økonomiske sanktioner, der er skrevet ind i loven, er den strategiske risiko for en reguleret kryptovirksomhed betydelig nok til at retfærdiggøre tidlig investering i compliance.

Eksponering for manglende overholdelse og rapporteringssvigt

Eksponeringen for manglende overholdelse omfatter sanktioner for at undlade at indgive, for at indgive for sent, for at indgive unøjagtige data eller for at undlade at indsamle gyldige selvcertificeringer. Efter Law 38(I)/2026 kan Cyprus Tax Department pålægge administrative sanktioner på op til EUR 5,000 for due diligence-svigt, såsom at undlade at indsamle eller verificere en gyldig selvcertificering, og op til EUR 10,000 for svigt vedrørende registrering af optegnelser, rapportering og registrering, herunder at undlade at indgive, at indgive for sent eller at indgive unøjagtige data. Virksomheder bør antage, at et svigt med at indhente selvcertificeringer og håndhæve blokeringsreglen i sig selv er et særskilt brud, ikke blot et datakvalitetsspørgsmål.

Omdømme- og licensrisiko over for CySEC/MiCAR

Et DAC8-svigt indebærer omdømme- og licensrisiko, fordi din MiCAR-tilladelse er givet og tilsynsført af CySEC, som forventer en stærk compliance-kultur. Et brud på skattetransparens kan indgå i tilsynets vurdering af en virksomheds egnethed og ledelse, selv om DAC8 selv administreres af Cyprus Tax Department. For en licenseret CASP kan den indirekte tilsynsmæssige konsekvens veje tungere end enhver direkte økonomisk sanktion.

Ansvar for bestyrelse og compliance-ansvarlig

Det endelige ansvar for DAC8-compliance ligger hos bestyrelsen og den udpegede compliance-ansvarlige, som er ansvarlige for at sikre, at systemer, selvcertificeringsworkflows og rapportering er på plads. Direktører bør protokollere deres tilsyn med DAC8-parathed og forvisse sig om, at den tilbagevirkende dataindsamlingsposition er under kontrol. Dokumenteret governance er både et forsvar og en reel risikoreducerende foranstaltning.

Hvad er din praktiske DAC8/CARF compliance-køreplan frem til 30 June 2027?

Din praktiske køreplan frem til 30 June 2027 er at bekræfte RCASP-status, lukke ethvert aktivt dataindsamlingshul med det samme, opbygge selvcertificerings- og rapporteringsworkflows, mappe dine data til rapporteringsskemaet og indgive til tiden med juridisk og skattemæssig støtte. Rækkefølgen har betydning, fordi det tilbagevirkende dataindsamlingstrin er tidskritisk, og alt andet bygger på rene data.

En trin-for-trin parathedstjekliste

1. Udfør og dokumentér en positiv eller negativ RCASP-vurdering for hver cypriotisk enhed.
2. Bekræft, at din onboarding indsamler gyldige selvcertificeringer nu, og udbedr ethvert hul tilbage til 1 January 2026.
3. Implementér workflowet med to påmindelser og 60 dage til selvcertificering med automatisk blokering.
4. Afstem selvcertificeringer op imod AML/KYC-data under rimelighedstesten.
5. Indsaml granulære transaktionsdata, der er tilstrækkelige til at opbygge årlige aggregater pr. bruger.
6. Registrér dig hos Cyprus Tax Department og forbered rapporteringsfilen.
7. Indgiv rapporten for kalenderåret 2026 senest 30 June 2027.

Systemer, datamapning og opbygning af rapporteringsskema

Systemarbejdsstrømmen er at mappe hvert påkrævet felt til et kildesystem og bygge udtræk ind i Cyprus Tax Departments rapporteringsskema, når det er offentliggjort. Behandl datamapning som broen mellem dine aktive KYC- og transaktionssystemer og den endelige XML- eller strukturerede fil, som CTA kræver. Hvor holdingstrukturer er involveret, koordinér dette med enhver planlægning omkring besiddelse af krypto gennem en Cyprus International Trust, så rapportering og formuebeskyttelsesdesign er konsistente.

Hvornår du skal inddrage cypriotiske juridiske og skattemæssige rådgivere

Inddrag cypriotiske juridiske og skattemæssige rådgivere nu, hvis du har et aktivt datahul, tvivl om RCASP-status eller kompleksitet i din token- eller brugerbase. Omkostningen ved tidlig rådgivning er lille i forhold til eksponeringen ved en mangelfuld første indgivelse eller et uberigtiget 2026-datahul. Rådgivere kan også afstemme din DAC8-opbygning med dine bredere forpligtelser under et overblik over skatter i Cypern.

Hvordan Philippou Law Firm kan hjælpe

Philippou Law Firm rådgiver cypriotiske kryptoaktivvirksomheder om hele DAC8- og CARF-compliancecyklussen, fra bekræftelse af RCASP-status og diagnosticering af tilbagevirkende datahuller til opbygning af compliant selvcertificeringsworkflows og forberedelse af den første indgivelse til Cyprus Tax Department. Vores advokater arbejder side om side med dine compliance- og teknologiteams, så rapportering, MiCAR-licensering og cypriotisk kryptoskatteplanlægning passer sammen i stedet for at trække i hver sin retning. Hvis du driver en kryptovirksomhed med enhver form for tilknytning til Cypern, kontakt os nu, i god tid inden fristen den 30 June 2027, så ethvert dataindsamlingsproblem kan håndteres, mens det stadig kan rettes.

Denne artikel er generel information, ikke juridisk rådgivning. Søg venligst rådgivning om dine specifikke forhold, før du handler.