DAC8 e CARF: la rendicontazione cripto che le società di cripto-attività a Cipro devono predisporre prima della prima comunicazione del 30 giugno 2027

La realtà commerciale che la maggior parte delle società cripto cipriote non ha ancora interiorizzato è questa: la comunicazione è retroattiva al 1 gennaio 2026, quindi qualsiasi prestatore il cui onboarding e la cui raccolta dei dati sulle operazioni non siano già operativi presenta una lacuna di dati che non può colmare legalmente prima della scadenza. Questa guida illustra chi rientra nell'ambito, cosa esattamente deve essere raccolto e una tabella di marcia concreta verso la presentazione del 30 giugno 2027.

Ultimo aggiornamento: agosto 2026

Cosa sono la DAC8 e il CARF e perché contano per le società cripto cipriote?

La DAC8 e il CARF sono le norme di trasparenza fiscale che obbligano le società di cripto-attività a comunicare ogni anno alle autorità fiscali l'identità dei propri utenti e i valori delle operazioni. Per una società cipriota, la DAC8 trasforma la rendicontazione cripto da buona prassi volontaria in un obbligo annuale vincolante nei confronti del Cyprus Tax Department, sorretto dal diritto dell'UE e da uno standard internazionale. Se scambi, custodisci, intermedi o tratti cripto-attività per clienti con un nesso cipriota, queste norme quasi certamente ti riguardano.

Cos'è il Crypto-Asset Reporting Framework (CARF)?

Il Crypto-Asset Reporting Framework (CARF) è lo standard globale dell'OCSE per lo scambio automatico di informazioni fiscali sulle operazioni in cripto-attività, completato dall'OCSE insieme al G20 nel 2023. Il CARF impone ai prestatori di servizi per le cripto-attività di identificare i propri utenti, di determinare la giurisdizione di residenza fiscale di ciascun utente e di comunicare i dati annuali sulle operazioni alla propria autorità fiscale nazionale, che li scambia poi con le giurisdizioni partner. Il CARF svolge per le cripto lo stesso compito che il Common Reporting Standard (CRS) svolge per i conti bancari dal 2016.

Il CARF è deliberatamente ampio. Non impone alcuna soglia minima di comunicazione, quindi in linea di principio ogni operazione oggetto di comunicazione viene catturata indipendentemente dall'importo, e comprende exchange, broker, custodi e determinati fornitori di wallet.

Cos'è la DAC8 e come recepisce il CARF nel diritto dell'UE?

La DAC8 è la Direttiva (UE) 2023/2226 del Consiglio del 17 ottobre 2023, che modifica la Direttiva 2011/16/UE relativa alla cooperazione amministrativa nel settore fiscale (la DAC) e recepisce il CARF nel diritto vincolante dell'UE. La DAC8 rende obbligatoria la rendicontazione cripto in stile CARF in tutti gli Stati membri dell'UE su una base giuridica armonizzata, anziché lasciare a ciascuno Stato la facoltà di adottare volontariamente lo standard OCSE. La Direttiva è stata pubblicata nella Gazzetta ufficiale e il suo testo ufficiale è disponibile su EUR-Lex.

Poiché la DAC8 è una Direttiva, ogni Stato membro ha dovuto recepirla nel diritto nazionale. Il termine di recepimento era il 31 dicembre 2025 e le norme si applicano dal 1 gennaio 2026, rendendo il 2026 il primo anno di comunicazione in tutta l'Unione.

Come la DAC8/CARF si rapportano a CRS, MiCAR e alla Travel Rule del FATF

DAC8, CRS, MiCAR e la Travel Rule del FATF sono quattro regimi che si sovrappongono ma restano distinti, e una società cripto cipriota tipicamente si colloca dentro tutti e quattro contemporaneamente. Tenerli separati nella progettazione della compliance evita duplicazioni di lavoro e lacune pericolose.

Il collegamento pratico è che la DAC8 riutilizza gran parte dei dati sulla clientela che già detieni ai fini dell'autorizzazione MiCAR e dell'antiriciclaggio (AML). Se sei ancora nella fase di autorizzazione, la nostra guida sulla registrazione di un Prestatore di servizi per le cripto-attività a Cipro illustra il quadro CySEC e MiCAR che affianca questi obblighi di comunicazione.

Cipro ha già effettivamente attuato la DAC8?

Sì. Cipro ha recepito la DAC8 nel diritto nazionale e l'obbligo è già operativo, non pendente. Le norme si applicano retroattivamente dal 1 gennaio 2026, ragione per cui la raccolta dei dati non può attendere.

La legge cipriota di recepimento e la sua entrata in vigore

Cipro ha recepito la DAC8 con la Legge sulla cooperazione amministrativa nel settore fiscale (di modifica) del 2026, Legge 38(I)/2026, pubblicata nella Gazzetta ufficiale della Repubblica di Cipro il 27 marzo 2026 ed entrata in vigore in tale data con applicazione retroattiva dal 1 gennaio 2026. Il provvedimento modifica la Legge principale 205(I)/2012 e contiene le norme di comunicazione e di adeguata verifica nel suo Articolo 7ΣΤ e nell'Allegato VI, e fissa il termine di prima comunicazione del 30 giugno 2027 per i dati dell'anno solare 2026. Il Cyprus Tax Department è designato come autorità competente per la ricezione delle comunicazioni e lo scambio di informazioni con le controparti dell'UE.

Perché la data di decorrenza retroattiva del 1 gennaio 2026 è rilevante

La data di decorrenza retroattiva è rilevante perché significa che il primo periodo di comunicazione era già in corso prima ancora che la legge cipriota fosse pubblicata in Gazzetta. La comunicazione copre tutto l'anno solare 2026, quindi le operazioni dal 1 gennaio 2026 in poi rientrano nell'ambito anche se la Legge 38(I)/2026 è entrata in vigore solo il 27 marzo 2026. Una società che ha attivato un onboarding conforme, poniamo, ad aprile 2026 è comunque tenuta a comunicare l'intero anno, incluso il primo trimestre che potrebbe non aver correttamente catturato.

Questa retroattività è il dato operativo più importante di questo articolo e determina il problema della lacuna di dati affrontato più avanti.

Il contesto della procedura di infrazione della Commissione europea del gennaio 2026

Il 30 gennaio 2026 la Commissione europea ha avviato procedure di infrazione contro 12 Stati membri, tra cui Cipro, per non aver attuato la DAC8 entro il termine del 31 dicembre 2025. Questo contesto spiega perché la legge cipriota sia arrivata solo a marzo 2026 con effetto retroattivo: lo Stato stava colmando una lacuna che la Commissione aveva formalmente segnalato. La Commissione ha inviato lettere di costituzione in mora ai sensi dell'Articolo 258 del Trattato sul funzionamento dell'Unione europea, concedendo a ciascuno Stato due mesi per rispondere, e poiché Cipro ha completato il recepimento con la Legge 38(I)/2026 a marzo 2026 ha da allora sanato la carenza individuata dalla lettera, essendo prassi della Commissione archiviare tali procedure una volta notificato il recepimento completo. Per le società, la conclusione è che né la legislazione nazionale tardiva né la controversia di infrazione ritardano il tuo obbligo di comunicazione per i dati 2026.

Chi è un Prestatore di servizi per le cripto-attività tenuto alla comunicazione (RCASP) a Cipro?

Un Prestatore di servizi per le cripto-attività tenuto alla comunicazione (RCASP) a Cipro è qualsiasi prestatore di servizi per le cripto-attività autorizzato a Cipro ai sensi della MiCAR, o qualsiasi Operatore di cripto-attività con un nesso cipriota, ossia residenza fiscale, costituzione, sede di direzione effettiva o sede abituale di attività a Cipro. Se ricorre anche uno solo di questi elementi di collegamento, la comunicazione DAC8 al Cyprus Tax Department è obbligatoria. La definizione è deliberatamente ampia affinché le società non possano sottrarsi alla comunicazione semplicemente detenendo la loro licenza altrove pur operando da Cipro.

CASP autorizzati MiCAR con sede a Cipro

Qualsiasi ente titolare di un'autorizzazione MiCAR rilasciata dalla CySEC e con sede a Cipro è un RCASP. Questa è la categoria più chiara: exchange, broker, fornitori di wallet in custodia, gestori di portafoglio e consulenti autorizzati ai sensi del Regolamento sui mercati delle cripto-attività sono direttamente compresi. Se la tua società ha ottenuto l'autorizzazione CySEC per prestare servizi per le cripto-attività, dovresti presumere lo status di RCASP e strutturare di conseguenza la rendicontazione.

Operatori di cripto-attività con un nesso cipriota

Un Operatore di cripto-attività non autorizzato MiCAR può comunque essere un RCASP se ha un nesso cipriota. Gli elementi di collegamento sono la residenza fiscale a Cipro, la costituzione a Cipro, la sede di direzione effettiva a Cipro o la sede abituale di attività a Cipro. Questo comprende gli operatori che prestano servizi per le cripto-attività senza detenere una licenza MiCAR, incluse alcune società che ritenevano di essere al di fuori del perimetro. Una holding o società operativa costituita a Cipro che facilita operazioni cripto dovrebbe verificarsi attentamente rispetto a questi elementi, perché la sola costituzione può far scattare l'obbligo.

Come effettuare e documentare una determinazione positiva dello status di RCASP

Per determinare lo status di RCASP, verifica il tuo ente rispetto a ciascun elemento di collegamento a turno e registra il ragionamento in un fascicolo datato. Una determinazione difendibile protegge il consiglio di amministrazione se l'analisi viene poi messa in discussione.

1. Verifica se l'ente detiene, o dovrebbe detenere, un'autorizzazione MiCAR a Cipro.
2. Valuta la residenza fiscale a Cipro e la sede di direzione effettiva, avvalendoti della tua analisi sulla residenza fiscale a Cipro e lo status di non domiciliato.
3. Controlla il luogo di costituzione e la sede abituale di attività.
4. Registra una conclusione scritta, la data e la persona responsabile, e aggiornala se l'attività cambia.
5. Dove l'esito è positivo, iscriviti presso il Cyprus Tax Department e avvia la comunicazione per il 2026.

Se stai ancora strutturando l'ente, come aprire una società a Cipro illustra le fasi di costituzione che di per sé creano un nesso cipriota a questi fini.

Cos'è la prima scadenza di comunicazione del 30 giugno 2027 e cosa copre?

La prima scadenza di comunicazione del 30 giugno 2027 è la data entro la quale ogni RCASP cipriota deve presentare la sua prima comunicazione DAC8, riferita a tutta l'attività in cripto-attività oggetto di comunicazione per l'anno solare 2026, al Cyprus Tax Department. Se la manchi, sei in violazione della Legge 38(I)/2026 per l'intero primo anno del regime. La scadenza è fissa e si applica in modo uniforme indipendentemente da quando nel 2026 la tua società ha iniziato a operare.

Il periodo di comunicazione: anno solare 2026

Il primo periodo di comunicazione è l'intero anno solare dal 1 gennaio 2026 al 31 dicembre 2026. Ogni operazione di scambio, trasferimento e operazione di pagamento al dettaglio da comunicare eseguita per un utente oggetto di comunicazione durante tale anno deve essere catturata e aggregata. Poiché l'anno è già ben avanzato, la finestra per correggere eventuali mancanze di raccolta si sta chiudendo.

Presentazione al Cyprus Tax Department entro il 30 giugno 2027

La comunicazione è presentata al Cyprus Tax Department (CTA), l'autorità competente designata, entro il 30 giugno 2027. Si prevede che il CTA pubblichi uno schema tecnico di comunicazione che specifichi il formato del file e i campi dati, ma il catalogo sostanziale degli elementi da comunicare è già fissato dall'Allegato VI della Legge 38(I)/2026, che riproduce i modelli CARF e DAC8: per ciascun utente oggetto di comunicazione e ciascuna cripto-attività oggetto di comunicazione, l'RCASP comunica gli importi lordi e il numero di unità per acquisizioni, cessioni, trasferimenti in entrata, trasferimenti in uscita e operazioni di pagamento al dettaglio da comunicare. Le società non dovrebbero attendere lo schema prima di raccogliere i dati, perché i campi sottostanti sono già definiti dal CARF e dalla DAC8.

Scambio di informazioni a livello UE entro il 30 settembre 2027

Dopo aver ricevuto le comunicazioni, il Cyprus Tax Department scambia le informazioni con le altre autorità fiscali dell'UE entro il 30 settembre 2027. A livello UE, i primi scambi DAC8 per l'anno di comunicazione 2026 avvengono entro nove mesi dalla fine dell'anno, ossia tra il 1 gennaio e il 30 settembre 2027. Ciò significa che i dati che presenti a Cipro su un utente residente in Germania o in Francia sono instradati all'autorità fiscale nazionale di quell'utente nel giro di mesi, quindi l'accuratezza ha conseguenze transfrontaliere.

Perché la tua raccolta dei dati deve essere già operativa ora?

La tua raccolta dei dati deve essere già operativa perché la comunicazione DAC8 è retroattiva al 1 gennaio 2026 e i dati richiesti sulle operazioni e sulle autocertificazioni generalmente non possono essere ricostruiti a posteriori. Ogni giorno di operatività senza una raccolta conforme crea un buco permanente nella tua comunicazione 2026. Questo è il cuore operativo dell'intero regime per le società cipriote.

Il problema della lacuna di dati retroattiva che non puoi colmare

Il problema della lacuna di dati è che i dettagli a livello di operazione e le autocertificazioni validamente raccolte perdono integrità una volta trascorso il momento. Non puoi ricreare in modo credibile a metà 2027 un'autocertificazione di residenza fiscale del gennaio 2026, e non puoi ricostruire valori di scambio e controparti che non sono mai stati registrati secondo lo standard CARF. Un RCASP che ha iniziato tardi a raccogliere i dati DAC8 affronta pertanto una lacuna che non è una semplice correzione di formato, bensì una carenza probatoria sostanziale.

Cosa dovrebbe già raccogliere un flusso di onboarding conforme

Un flusso di onboarding conforme dovrebbe già raccogliere, all'apertura del conto, un'autocertificazione valida di residenza fiscale oltre all'intero set di dati identificativi, e dovrebbe convalidare tali dati rispetto ai tuoi archivi antiriciclaggio e di adeguata verifica della clientela (KYC). Se dal tuo flusso attuale manca uno dei seguenti elementi, hai lavoro da fare immediatamente:

• Un'autocertificazione strutturata che catturi ogni giurisdizione di residenza fiscale e il Codice di identificazione fiscale (TIN) per ciascuna.
• Nome e cognome completo, indirizzo di residenza, data di nascita e, per le persone fisiche, luogo di nascita.
• Dati sulle persone che esercitano il controllo per gli utenti enti.
• Un controllo di ragionevolezza che riconcili l'autocertificazione con i dati AML/KYC esistenti.
• Una registrazione delle operazioni che rilevi i dati necessari per l'aggregazione annuale.

Rimediare a una lacuna di dati 2026 prima della presentazione

Se hai già una lacuna 2026, il rimedio significa muoversi rapidamente per raccogliere nuove autocertificazioni, ricostruire ciò che può essere documentato e documentare i limiti di ciò che non può esserlo. Una consulenza legale tempestiva è essenziale, perché il modo in cui qualifichi e comunichi una lacuna al Cyprus Tax Department incide sulla tua esposizione. Non attendere il 2027 per scoprire il buco, quando la finestra di rimedio si è di fatto chiusa.

Quali cripto-attività e operazioni sono oggetto di comunicazione?

Le cripto-attività oggetto di comunicazione sono, in senso ampio, le attività che possono essere detenute e trasferite in modo decentralizzato utilizzando la tecnologia a registro distribuito, e le operazioni oggetto di comunicazione sono gli scambi tra cripto e valuta legale, gli scambi tra diverse cripto-attività e determinati trasferimenti, compresi i pagamenti al dettaglio da comunicare. L'ambito è ampio per impostazione, sebbene esistano specifiche esclusioni per le attività che non possono essere utilizzate per pagamenti o investimenti e per le valute digitali delle banche centrali.

Cripto-attività dentro e fuori dall'ambito (stablecoin, NFT, CBDC, moneta elettronica)

La maggior parte delle cripto-attività negoziabili rientra nell'ambito, mentre le valute digitali delle banche centrali (CBDC) e determinati prodotti di moneta elettronica sono trattati separatamente e possono cadere al di fuori delle norme cripto. Le stablecoin rientrano generalmente nell'ambito come cripto-attività, e i token non fungibili (NFT) rientrano nell'ambito quando sono utilizzati per pagamenti o investimenti anziché essere autentici oggetti da collezione unici. Cipro segue direttamente le definizioni della DAC8 contenute nell'Allegato VI della Legge 38(I)/2026: le valute digitali delle banche centrali e i prodotti di moneta elettronica specificati sono esclusi dal flusso di comunicazione delle cripto-attività e invece catturati nell'ambito delle norme modificate sui conti finanziari del Common Reporting Standard, mentre le stablecoin che non sono prodotti di moneta elettronica restano nell'ambito come cripto-attività. Poiché la classificazione di un determinato token può essere finemente bilanciata, le attività al limite dovrebbero essere valutate caso per caso.

Operazioni di scambio: cripto-verso-valuta legale e cripto-verso-cripto

Le operazioni di scambio sono oggetto di comunicazione in entrambe le direzioni: cripto-verso-valuta legale e cripto-verso-cripto. Ciò significa che un utente che scambia Bitcoin per euro e un utente che scambia Bitcoin per Ether generano entrambi eventi da comunicare. Per ciascuno, l'RCASP comunica il numero annuo aggregato di operazioni e i valori lordi, distinguendo le acquisizioni dalle cessioni, quindi la tua registrazione delle operazioni deve rilevare dettagli sufficienti per costruire tali aggregati per utente e per tipo di attività.

Trasferimenti e operazioni di pagamento al dettaglio da comunicare

Anche i trasferimenti di cripto-attività da e verso un utente, e le operazioni di pagamento al dettaglio da comunicare trattate per conto di un esercente, rientrano nell'ambito. Le operazioni di pagamento al dettaglio diventano oggetto di comunicazione quando superano la soglia di EUR 50,000, discussa più avanti. Quando un utente preleva cripto verso un wallet esterno, l'RCASP comunica il trasferimento, e quando la destinazione non è un altro RCASP, possono essere richiesti ulteriori dettagli.

Quale adeguata verifica e autocertificazione devono effettuare gli RCASP?

Gli RCASP devono effettuare un'adeguata verifica in stile CARF: ottenere un'autocertificazione valida di residenza fiscale da ogni utente, verificarne la ragionevolezza rispetto alle informazioni AML/KYC esistenti e applicare conseguenze quando un utente non ne fornisce una. Questa adeguata verifica non è documentazione facoltativa; è il meccanismo che rende la comunicazione annuale accurata e giuridicamente difendibile.

Raccogliere autocertificazioni valide di residenza fiscale

Un'autocertificazione valida di una persona fisica deve includere il nome e cognome completo dell'utente, l'indirizzo di residenza, ogni giurisdizione di residenza fiscale, il TIN per ciascuna giurisdizione oggetto di comunicazione e la data di nascita. Un'autocertificazione priva di un campo richiesto non è valida e non assolve il tuo obbligo. Raccoglila all'onboarding per i nuovi utenti e retroattivamente per gli utenti preesistenti entro i termini fissati dal framework.

Il test di ragionevolezza rispetto ai dati AML/KYC esistenti

Il test di ragionevolezza richiede che l'RCASP confermi che un'autocertificazione sia coerente con i dati AML e KYC già detenuti sull'utente. Se un utente certifica la residenza fiscale in un paese mentre il tuo fascicolo KYC mostra un indirizzo e documenti di identità che indicano un altro luogo, l'autocertificazione non supera il test di ragionevolezza e deve essere sanata prima di potervi fare affidamento. Poiché detieni già questi dati ai fini MiCAR e AML, il controllo è in gran parte un esercizio di riconciliazione, e le società che trattano dati sulla titolarità effettiva dovrebbero allinearlo con gli obblighi del registro cipriota dei titolari effettivi (UBO) e la compliance in materia di titolarità effettiva.

La regola dei due solleciti / 60 giorni e il blocco degli utenti non conformi

Ai sensi del CARF e della DAC8, se un utente non fornisce un'autocertificazione valida dopo due solleciti entro 60 giorni, l'RCASP deve impedire a quell'utente di effettuare operazioni oggetto di comunicazione sulla piattaforma fino a quando un'autocertificazione valida non viene fornita e convalidata. Questa regola di blocco è un requisito vincolante, non una sanzione discrezionale. I tuoi sistemi devono pertanto essere in grado di tracciare il conteggio dei solleciti, far scorrere il termine di 60 giorni e limitare automaticamente un conto non conforme. Costruisci questo flusso di lavoro ora, perché un'applicazione manuale su una base utenti attiva non è scalabile.

Quali dati esattamente devi raccogliere e comunicare per ciascun utente?

Per ciascun utente, un RCASP deve raccogliere e comunicare l'identità completa dell'utente e i dettagli di residenza fiscale insieme ai valori annui aggregati delle sue operazioni oggetto di comunicazione. Il set di dati riproduce il CRS ma è adattato alle cripto, e impostare correttamente i campi al momento della raccolta è ciò che rende semplice la presentazione finale.

Campi dati degli utenti persone fisiche (nome, indirizzo, TIN, data e luogo di nascita)

Per un utente persona fisica devi raccogliere e comunicare il nome e cognome completo, l'indirizzo di residenza, ogni giurisdizione di residenza fiscale, il TIN per ciascuna di tali giurisdizioni e la data di nascita, con il luogo di nascita richiesto anch'esso in casi definiti. Questi campi devono essere convalidati rispetto agli archivi AML/KYC nell'ambito del test di ragionevolezza. I TIN mancanti o non verificati sono un punto di errore frequente, quindi tratta la raccolta del TIN come una fase di sbarramento all'onboarding anziché come un ripensamento.

Utenti enti e persone che esercitano il controllo

Per un utente ente devi raccogliere i dati di identità e di residenza fiscale dell'ente e, quando l'ente è un veicolo passivo, guardare oltre fino alle persone che esercitano il controllo e comunicarle anch'esse. Questo esame in trasparenza impedisce alle persone fisiche di nascondersi dietro wallet societari. L'identificazione delle persone che esercitano il controllo attinge direttamente all'analisi sulla titolarità effettiva che la tua società già svolge, quindi integra i due set di dati anziché gestirli separatamente.

Valori aggregati annui delle operazioni comunicati per utente

La comunicazione contiene i valori annui aggregati per utente: per ciascuna cripto-attività oggetto di comunicazione, gli importi lordi e il numero di unità per acquisizioni, cessioni, trasferimenti in entrata, trasferimenti in uscita e pagamenti al dettaglio da comunicare. Non comunichi ogni singola riga di operazione, ma devi aver catturato ogni riga per costruire accuratamente gli aggregati. È per questo che la registrazione granulare delle operazioni dal 1 gennaio 2026 non è negoziabile.

In cosa differisce la DAC8 dallo standard globale CARF?

La DAC8 differisce dallo standard globale CARF principalmente nei suoi elementi specifici dell'UE, in particolare una soglia di EUR 50,000 per le operazioni di pagamento al dettaglio da comunicare e la sua integrazione con il più ampio meccanismo di scambio della DAC. Nella sostanza i due sono allineati, quindi un sistema conforme al CARF è a buon punto verso la compliance DAC8, ma i dettagli specifici dell'UE contano per una società cipriota che rendiconta ai sensi della Legge 38(I)/2026.

Soglie: la regola dei pagamenti al dettaglio di EUR 50,000

La DAC8 applica una soglia di EUR 50,000 per le operazioni di pagamento al dettaglio da comunicare trattate da un prestatore di servizi per le cripto-attività, al di sopra della quale l'operazione rientra nell'ambito anche se il destinatario non è altrimenti un utente oggetto di comunicazione. Il CARF, al contrario, non impone alcuna soglia minima generale di comunicazione, quindi ogni operazione viene catturata indipendentemente dall'importo. Cipro adotta questa cifra di EUR 50,000 esattamente come stabilita dall'Allegato VI della Direttiva, recepita senza deviazioni locali nella Legge 38(I)/2026, quindi la stessa soglia che si applica in tutta l'Unione si applica a Cipro. Per le società cipriote ciò significa che il trattamento dei pagamenti al dettaglio necessita di una propria logica di soglia sovrapposta alla comunicazione generale.

Differenze di ambito e trattamento di stablecoin/moneta elettronica

La DAC8 contiene un trattamento specifico dell'UE per stablecoin e moneta elettronica che può divergere nei dettagli dal testo OCSE, e la posizione esatta dipende dalla legge cipriota di attuazione. Dove la DAC8 offre opzioni su quanto ampiamente sono coperti i prodotti di moneta elettronica e affini alle CBDC, prevalgono le scelte di Cipro nella Legge 38(I)/2026, e l'Allegato VI di tale legge colloca le valute digitali delle banche centrali e i prodotti di moneta elettronica specificati nel regime modificato dei conti finanziari del CRS anziché nel flusso cripto. Fino alla pubblicazione dello schema e delle linee guida cipriote, tratta le altre stablecoin come rientranti nell'ambito e documenta il tuo ragionamento per qualsiasi esclusione.

Sovrapposizione con gli obblighi fiscali cripto esistenti a Cipro

La comunicazione DAC8 è distinta e aggiuntiva rispetto all'imposizione fiscale cripto cipriota. Dal 1 gennaio 2026 Cipro tassa le plusvalenze derivanti dalle cessioni di cripto-attività con un'aliquota fissa dell'8% nell'ambito di un regime statutario dedicato, e tale obbligazione grava sull'utente, mentre la comunicazione DAC8 grava sull'RCASP. I due interagiscono ma non si sostituiscono a vicenda, come spiega la nostra guida sulla tassazione delle criptovalute a Cipro per persone fisiche e società, insieme alle più ampie modifiche della riforma fiscale di Cipro 2026.

Quali sono le sanzioni e i rischi di gestire male la DAC8 a Cipro?

Le sanzioni e i rischi di gestire male la DAC8 a Cipro spaziano dalle sanzioni pecuniarie per le omesse comunicazioni, al danno reputazionale e in materia di licenza con CySEC e MiCAR, fino alla responsabilità personale del consiglio di amministrazione e dei responsabili della compliance. Al di là delle sanzioni pecuniarie dirette previste dalla legge, il rischio strategico per un'impresa cripto regolamentata è sufficientemente significativo da giustificare un investimento tempestivo nella compliance.

Esposizione per non conformità e omessa comunicazione

L'esposizione per non conformità comprende le sanzioni per omessa presentazione, presentazione tardiva, presentazione di dati inesatti o omessa raccolta di autocertificazioni valide. Ai sensi della Legge 38(I)/2026 il Cyprus Tax Department può irrogare sanzioni amministrative fino a EUR 5,000 per carenze di adeguata verifica, come l'omessa raccolta o verifica di un'autocertificazione valida, e fino a EUR 10,000 per carenze in materia di conservazione dei registri, comunicazione e registrazione, comprese l'omessa presentazione, la presentazione tardiva o la presentazione di dati inesatti. Le società dovrebbero presumere che l'omessa raccolta delle autocertificazioni e la mancata applicazione della regola di blocco costituiscano di per sé una violazione distinta, non un mero problema di qualità dei dati.

Rischio reputazionale e in materia di licenza con CySEC/MiCAR

Una carenza DAC8 comporta un rischio reputazionale e in materia di licenza perché la tua autorizzazione MiCAR è concessa e vigilata dalla CySEC, che si attende una solida cultura della compliance. Una violazione della trasparenza fiscale può confluire nella valutazione di vigilanza sull'idoneità e sulla governance di una società, anche se la DAC8 stessa è amministrata dal Cyprus Tax Department. Per un CASP autorizzato, la conseguenza regolamentare indiretta può superare qualsiasi sanzione pecuniaria diretta.

Responsabilità del consiglio di amministrazione e del responsabile della compliance

La responsabilità ultima per la compliance DAC8 spetta al consiglio di amministrazione e al responsabile della compliance designato, cui compete garantire che sistemi, flussi di autocertificazione e comunicazione siano in essere. Gli amministratori dovrebbero verbalizzare la propria supervisione sulla prontezza DAC8 e accertarsi che la posizione sulla raccolta retroattiva dei dati sia sotto controllo. Una governance documentata è al contempo una difesa e un'autentica misura di riduzione del rischio.

Qual è la tua tabella di marcia pratica di compliance DAC8/CARF verso il 30 giugno 2027?

La tua tabella di marcia pratica verso il 30 giugno 2027 consiste nel confermare lo status di RCASP, colmare immediatamente qualsiasi lacuna attiva nella raccolta dei dati, costruire i flussi di autocertificazione e comunicazione, mappare i tuoi dati sullo schema di comunicazione e presentare in tempo con il supporto legale e fiscale. La sequenza conta, perché la fase di raccolta retroattiva dei dati è critica sul piano temporale e tutto il resto si costruisce su dati puliti.

Una checklist di prontezza passo dopo passo

1. Effettua e documenta una determinazione positiva o negativa dello status di RCASP per ciascun ente cipriota.
2. Conferma che il tuo onboarding stia raccogliendo autocertificazioni valide ora, e rimedia a qualsiasi lacuna a ritroso fino al 1 gennaio 2026.
3. Implementa il flusso di autocertificazione dei due solleciti in 60 giorni con blocco automatico.
4. Riconcilia le autocertificazioni rispetto ai dati AML/KYC nell'ambito del test di ragionevolezza.
5. Cattura dati granulari sulle operazioni sufficienti a costruire gli aggregati annui per utente.
6. Iscriviti presso il Cyprus Tax Department e prepara il file di comunicazione.
7. Presenta la comunicazione dell'anno solare 2026 entro il 30 giugno 2027.

Sistemi, mappatura dei dati e costruzione dello schema di comunicazione

Il flusso di lavoro sui sistemi consiste nel mappare ogni campo richiesto a un sistema di origine e costruire l'estrazione verso lo schema di comunicazione del Cyprus Tax Department una volta pubblicato. Tratta la mappatura dei dati come il ponte tra i tuoi sistemi KYC e delle operazioni attivi e l'eventuale file XML o strutturato richiesto dal CTA. Dove sono coinvolte strutture di detenzione, coordina questo aspetto con qualsiasi pianificazione relativa alla detenzione di cripto tramite un Trust Internazionale Cipriota affinché la comunicazione e la progettazione di protezione patrimoniale siano coerenti.

Quando coinvolgere consulenti legali e fiscali ciprioti

Coinvolgi consulenti legali e fiscali ciprioti ora se hai una qualsiasi lacuna attiva di dati, un qualsiasi dubbio sullo status di RCASP o una qualsiasi complessità nella tua base di token o utenti. Il costo di una consulenza tempestiva è modesto a fronte dell'esposizione di una prima presentazione difettosa o di una lacuna di dati 2026 non sanata. I consulenti possono inoltre allineare la tua struttura DAC8 con i tuoi obblighi più ampi nell'ambito di una panoramica delle imposte a Cipro.

Come può aiutare Philippou Law Firm

Philippou Law Firm assiste le società cipriote di cripto-attività nell'intero ciclo di vita della compliance DAC8 e CARF, dalla conferma dello status di RCASP e dalla diagnosi delle lacune retroattive di dati alla costruzione di flussi di autocertificazione conformi e alla preparazione della prima presentazione al Cyprus Tax Department. I nostri avvocati lavorano al fianco dei tuoi team di compliance e tecnologia affinché comunicazione, autorizzazione MiCAR e pianificazione fiscale cripto a Cipro si integrino anziché tirare in direzioni diverse. Se gestisci un'impresa cripto con un qualsiasi nesso cipriota, contattaci ora, con largo anticipo rispetto alla scadenza del 30 giugno 2027, affinché qualsiasi problema di raccolta dei dati possa essere affrontato mentre è ancora risolvibile.

Il presente articolo contiene informazioni generali, non consulenza legale. Si prega di richiedere una consulenza sulle proprie specifiche circostanze prima di agire.