Raportowanie kryptoaktywów w ramach DAC8 i CARF: co cypryjskie firmy kryptoaktywów muszą zrobić przed pierwszym raportem z 30 czerwca 2027

Realia biznesowe, których większość cypryjskich firm krypto jeszcze sobie nie uświadomiła, są następujące: raportowanie ma moc wsteczną do 1 stycznia 2026, więc każdy dostawca, którego proces onboardingu i zbierania danych transakcyjnych jeszcze nie działa, ma lukę w danych, której nie może zgodnie z prawem uzupełnić przed upływem terminu. Ten przewodnik określa, kto jest objęty przepisami, co dokładnie należy zbierać oraz konkretny plan działania prowadzący do złożenia raportu 30 czerwca 2027.

Ostatnia aktualizacja: sierpień 2026

Czym są DAC8 i CARF i dlaczego mają znaczenie dla cypryjskich firm krypto?

DAC8 i CARF to przepisy o przejrzystości podatkowej, które zmuszają firmy kryptoaktywów do corocznego raportowania organom podatkowym tożsamości swoich użytkowników i wartości transakcji. Dla cypryjskiej firmy DAC8 zmienia raportowanie krypto z dobrowolnej dobrej praktyki w obowiązkowy coroczny obowiązek wobec cypryjskiego Departamentu Podatkowego, oparty na prawie UE i standardzie międzynarodowym. Jeżeli wymieniasz, przechowujesz, pośredniczysz w obrocie lub przetwarzasz kryptoaktywa dla klientów mających powiązanie z Cyprem, przepisy te niemal na pewno mają do ciebie zastosowanie.

Czym są ramy raportowania kryptoaktywów (CARF)?

Ramy raportowania kryptoaktywów (CARF) to globalny standard OECD dotyczący automatycznej wymiany informacji podatkowych o transakcjach kryptoaktywami, opracowany przez OECD wspólnie z G20 w 2023 roku. CARF wymaga od dostawców usług w zakresie kryptoaktywów zidentyfikowania swoich użytkowników, ustalenia jurysdykcji rezydencji podatkowej każdego użytkownika oraz raportowania rocznych danych transakcyjnych do macierzystego organu podatkowego, który następnie wymienia je z jurysdykcjami partnerskimi. CARF pełni dla krypto tę samą funkcję, jaką wspólny standard do wymiany informacji (CRS) pełni dla rachunków bankowych od 2016 roku.

CARF jest celowo szeroki. Nie nakłada żadnego minimalnego progu raportowania, więc co do zasady każda podlegająca raportowaniu transakcja jest objęta niezależnie od wielkości, i obejmuje giełdy, brokerów, depozytariuszy oraz niektórych dostawców portfeli.

Czym jest DAC8 i jak wprowadza CARF do prawa UE?

DAC8 to dyrektywa Rady (UE) 2023/2226 z dnia 17 października 2023, która zmienia dyrektywę 2011/16/UE w sprawie współpracy administracyjnej w dziedzinie opodatkowania (DAC) i wprowadza CARF do wiążącego prawa UE. DAC8 czyni raportowanie krypto w stylu CARF obowiązkowym we wszystkich państwach członkowskich UE na zharmonizowanej podstawie prawnej, zamiast pozostawiać każdemu państwu dobrowolne przyjęcie standardu OECD. Dyrektywa została opublikowana w Dzienniku Urzędowym, a jej oficjalny tekst jest dostępny w EUR-Lex.

Ponieważ DAC8 jest dyrektywą, każde państwo członkowskie musiało transponować ją do prawa krajowego. Termin transpozycji upłynął 31 grudnia 2025, a przepisy obowiązują od 1 stycznia 2026, co czyni rok 2026 pierwszym rokiem raportowym w całej Unii.

Jak DAC8/CARF odnoszą się do CRS, MiCAR i reguły podróży FATF

DAC8, CRS, MiCAR i reguła podróży FATF to cztery nakładające się, ale odrębne reżimy, a cypryjska firma krypto zazwyczaj mieści się w nich wszystkich jednocześnie. Ich rozróżnienie w projekcie zgodności pozwala uniknąć zdublowanej pracy i niebezpiecznych luk.

Praktyczny związek polega na tym, że DAC8 ponownie wykorzystuje znaczną część danych klientów, które już posiadasz na potrzeby autoryzacji MiCAR i przeciwdziałania praniu pieniędzy (AML). Jeżeli wciąż jesteś na etapie licencjonowania, nasz przewodnik dotyczący rejestracji dostawcy usług w zakresie kryptoaktywów na Cyprze wyjaśnia ramy CySEC i MiCAR, które współistnieją z tymi obowiązkami raportowymi.

Czy Cypr faktycznie wdrożył już DAC8?

Tak. Cypr transponował DAC8 do prawa krajowego, a obowiązek obowiązuje już teraz, a nie dopiero w przyszłości. Przepisy obowiązują z mocą wsteczną od 1 stycznia 2026, dlatego zbieranie danych nie może czekać.

Cypryjska ustawa transponująca i jej wejście w życie

Cypr transponował DAC8 poprzez ustawę o współpracy administracyjnej w dziedzinie opodatkowania (nowelizującą) z 2026 roku, ustawę 38(I)/2026, opublikowaną w Dzienniku Urzędowym Republiki Cypryjskiej w dniu 27 marca 2026 i wchodzącą w życie tego samego dnia z zastosowaniem wstecznym od 1 stycznia 2026. Akt ten nowelizuje główną ustawę 205(I)/2012 i zawiera przepisy dotyczące raportowania i należytej staranności w swoim Artykule 7ΣΤ oraz Załączniku VI, a także ustala termin 30 czerwca 2027 dla pierwszego raportu za dane roku kalendarzowego 2026. Cypryjski Departament Podatkowy został wyznaczony jako właściwy organ do odbioru raportów i wymiany informacji z partnerami z UE.

Dlaczego wsteczna data rozpoczęcia 1 stycznia 2026 ma znaczenie

Wsteczna data rozpoczęcia ma znaczenie, ponieważ oznacza, że pierwszy okres raportowy już trwał, zanim cypryjska ustawa została w ogóle opublikowana. Raportowanie obejmuje cały rok kalendarzowy 2026, więc transakcje od 1 stycznia 2026 są objęte zakresem, mimo że ustawa 38(I)/2026 weszła w życie dopiero 27 marca 2026. Firma, która uruchomiła zgodny proces onboardingu, powiedzmy, w kwietniu 2026, nadal ma obowiązek raportować cały rok, w tym pierwszy kwartał, którego mogła nie objąć prawidłowo.

Ta retroaktywność jest najważniejszym faktem operacyjnym w tym artykule i to ona napędza problem luki w danych omawiany poniżej.

Kontekst postępowania Komisji Europejskiej w sprawie uchybienia zobowiązaniom ze stycznia 2026

W dniu 30 stycznia 2026 Komisja Europejska wszczęła postępowania w sprawie uchybienia zobowiązaniom przeciwko 12 państwom członkowskim, w tym Cyprowi, za niewdrożenie DAC8 do terminu 31 grudnia 2025. Ten kontekst wyjaśnia, dlaczego cypryjska ustawa pojawiła się dopiero w marcu 2026 z mocą wsteczną: państwo zamykało lukę, którą Komisja formalnie zasygnalizowała. Komisja wysłała wezwania do usunięcia uchybienia na podstawie Artykułu 258 Traktatu o funkcjonowaniu Unii Europejskiej, dając każdemu państwu dwa miesiące na odpowiedź, a ponieważ Cypr zakończył transpozycję ustawą 38(I)/2026 w marcu 2026, od tego czasu usunął uchybienie wskazane w wezwaniu, przy czym praktyką Komisji jest umarzanie takich postępowań po powiadomieniu o pełnej transpozycji. Dla firm wniosek jest taki, że ani opóźnione ustawodawstwo krajowe, ani spór w sprawie uchybienia nie opóźniają twojego własnego obowiązku raportowania za dane z 2026 roku.

Kto jest raportującym dostawcą usług w zakresie kryptoaktywów (RCASP) na Cyprze?

Raportujący dostawca usług w zakresie kryptoaktywów (RCASP) na Cyprze to każdy dostawca usług w zakresie kryptoaktywów licencjonowany na Cyprze zgodnie z MiCAR lub każdy operator kryptoaktywów mający powiązanie z Cyprem, czyli cypryjską rezydencję podatkową, rejestrację, miejsce faktycznego zarządu lub zwykłe miejsce prowadzenia działalności. Jeżeli którykolwiek z tych czynników łączących ma zastosowanie, raportowanie w ramach DAC8 do cypryjskiego Departamentu Podatkowego jest obowiązkowe. Definicja jest celowo szeroka, tak aby firmy nie mogły uniknąć raportowania, po prostu posiadając licencję gdzie indziej, prowadząc jednocześnie działalność z Cypru.

Licencjonowani przez MiCAR dostawcy CASP z siedzibą na Cyprze

Każdy podmiot posiadający autoryzację MiCAR od CySEC i mający siedzibę na Cyprze jest RCASP. To najbardziej oczywista kategoria: giełdy, brokerzy, dostawcy portfeli powierniczych, zarządzający portfelami i doradcy licencjonowani zgodnie z rozporządzeniem w sprawie rynków kryptoaktywów są objęci bezpośrednio. Jeżeli twoja firma przeszła autoryzację CySEC w celu świadczenia usług w zakresie kryptoaktywów, powinieneś założyć status RCASP i odpowiednio zbudować raportowanie.

Operatorzy kryptoaktywów mający powiązanie z Cyprem

Operator kryptoaktywów, który nie jest licencjonowany przez MiCAR, może mimo to być RCASP, jeżeli ma powiązanie z Cyprem. Czynnikami łączącymi są cypryjska rezydencja podatkowa, rejestracja na Cyprze, miejsce faktycznego zarządu na Cyprze lub zwykłe miejsce prowadzenia działalności na Cyprze. Obejmuje to operatorów, którzy świadczą usługi w zakresie kryptoaktywów bez posiadania licencji MiCAR, w tym niektóre firmy, które zakładały, że znajdują się poza zakresem regulacji. Spółka holdingowa lub operacyjna zarejestrowana na Cyprze, która ułatwia transakcje krypto, powinna starannie sprawdzić się pod kątem tych czynników, ponieważ sama rejestracja może uruchomić obowiązek.

Jak przeprowadzić pozytywne ustalenie statusu RCASP i udokumentować je

Aby ustalić status RCASP, sprawdź swój podmiot pod kątem każdego czynnika łączącego po kolei i zapisz uzasadnienie w opatrzonym datą pliku. Możliwe do obrony ustalenie chroni zarząd, jeżeli analiza zostanie później zakwestionowana.

1. Potwierdź, czy podmiot posiada lub powinien posiadać autoryzację MiCAR na Cyprze.
2. Oceń cypryjską rezydencję podatkową i miejsce faktycznego zarządu, opierając się na swojej analizie cypryjskiej rezydencji podatkowej i statusu non-domiciled.
3. Sprawdź miejsce rejestracji i zwykłe miejsce prowadzenia działalności.
4. Zapisz pisemny wniosek, datę i osobę odpowiedzialną oraz aktualizuj go w razie zmian w działalności.
5. Tam, gdzie wynik jest pozytywny, zarejestruj się w cypryjskim Departamencie Podatkowym i rozpocznij raportowanie za rok 2026.

Jeżeli wciąż tworzysz strukturę podmiotu, jak otworzyć spółkę na Cyprze opisuje kroki rejestracji, które same w sobie tworzą powiązanie z Cyprem dla tych celów.

Czym jest termin pierwszego raportu 30 czerwca 2027 i co obejmuje?

Termin pierwszego raportu 30 czerwca 2027 to data, do której każdy cypryjski RCASP musi złożyć swój pierwszy raport DAC8, obejmujący całą podlegającą raportowaniu działalność w zakresie kryptoaktywów za rok kalendarzowy 2026, w cypryjskim Departamencie Podatkowym. Przekroczenie tego terminu oznacza naruszenie ustawy 38(I)/2026 za cały pierwszy rok obowiązywania reżimu. Termin jest stały i obowiązuje jednolicie, niezależnie od tego, kiedy w 2026 roku twoja firma rozpoczęła działalność.

Okres raportowy: rok kalendarzowy 2026

Pierwszy okres raportowy to pełny rok kalendarzowy od 1 stycznia 2026 do 31 grudnia 2026. Każda podlegająca raportowaniu transakcja wymiany, przelew i podlegająca raportowaniu transakcja płatności detalicznej wykonana na rzecz podlegającego raportowaniu użytkownika w tym roku musi zostać zebrana i zagregowana. Ponieważ rok jest już mocno zaawansowany, okno na naprawienie ewentualnych błędów w zbieraniu danych się zamyka.

Złożenie raportu w cypryjskim Departamencie Podatkowym do 30 czerwca 2027

Raport składa się w cypryjskim Departamencie Podatkowym (CTA), wyznaczonym właściwym organie, do 30 czerwca 2027. Oczekuje się, że CTA opublikuje techniczny schemat raportowania określający format pliku i pola danych, ale merytoryczny katalog podlegających raportowaniu pozycji jest już ustalony w Załączniku VI ustawy 38(I)/2026, który odzwierciedla szablony CARF i DAC8: dla każdego podlegającego raportowaniu użytkownika i każdego podlegającego raportowaniu kryptoaktywa RCASP raportuje kwoty brutto i liczbę jednostek dla nabyć, zbyć, przelewów przychodzących, przelewów wychodzących oraz podlegających raportowaniu transakcji płatności detalicznych. Firmy nie powinny czekać na schemat przed rozpoczęciem zbierania danych, ponieważ leżące u podstaw pola są już zdefiniowane przez CARF i DAC8.

Wymiana informacji na poziomie UE do 30 września 2027

Po otrzymaniu raportów cypryjski Departament Podatkowy wymienia informacje z innymi organami podatkowymi UE do 30 września 2027. Na poziomie UE pierwsze wymiany DAC8 za rok raportowy 2026 odbywają się w ciągu dziewięciu miesięcy od końca roku, czyli między 1 stycznia a 30 września 2027. Oznacza to, że dane, które składasz na Cyprze na temat użytkownika będącego rezydentem Niemiec lub Francji, są kierowane do macierzystego organu podatkowego tego użytkownika w ciągu kilku miesięcy, więc dokładność ma konsekwencje transgraniczne.

Dlaczego zbieranie danych musi już teraz działać?

Zbieranie danych musi już działać, ponieważ raportowanie w ramach DAC8 ma moc wsteczną do 1 stycznia 2026, a wymaganych danych transakcyjnych i samocertyfikacji zasadniczo nie da się odtworzyć po fakcie. Każdy dzień handlu bez zgodnego zbierania danych tworzy trwałą dziurę w twoim raporcie za 2026 rok. To operacyjne sedno całego reżimu dla cypryjskich firm.

Problem wstecznej luki w danych, której nie da się uzupełnić

Problem luki w danych polega na tym, że szczegóły na poziomie transakcji i prawidłowo zebrane samocertyfikacje tracą integralność, gdy dana chwila przeminie. Nie da się wiarygodnie odtworzyć styczniowej samocertyfikacji rezydencji podatkowej z 2026 roku w połowie 2027 roku i nie da się odtworzyć wartości wymiany oraz kontrahentów, którzy nigdy nie zostali zapisani zgodnie ze standardem CARF. RCASP, który zaczął zbierać dane DAC8 z opóźnieniem, staje więc przed luką, która nie jest zwykłą poprawką formatowania, lecz istotnym niedoborem dowodowym.

Co zgodny proces onboardingu powinien już zbierać

Zgodny proces onboardingu powinien już przy otwarciu rachunku zbierać ważną samocertyfikację rezydencji podatkowej wraz z pełnym zestawem danych identyfikacyjnych oraz powinien weryfikować te dane względem twoich rejestrów AML i zasad poznaj swojego klienta (KYC). Jeżeli któregokolwiek z poniższych brakuje w twoim obecnym procesie, masz do wykonania pilną pracę:

• Ustrukturyzowaną samocertyfikację obejmującą każdą jurysdykcję rezydencji podatkowej i numer identyfikacji podatkowej (TIN) dla każdej z nich.
• Pełne imię i nazwisko, adres zamieszkania, datę urodzenia oraz, w przypadku osób fizycznych, miejsce urodzenia.
• Dane osób kontrolujących dla użytkowników będących podmiotami.
• Kontrolę rozsądności, która uzgadnia samocertyfikację z istniejącymi danymi AML/KYC.
• Rejestrowanie transakcji zapisujące punkty danych potrzebne do rocznej agregacji.

Naprawienie luki w danych za 2026 rok przed złożeniem raportu

Jeżeli masz już lukę za 2026 rok, naprawa oznacza szybkie działanie w celu zebrania świeżych samocertyfikacji, odtworzenia tego, co da się udowodnić, oraz udokumentowania granic tego, czego się nie da. Wczesne doradztwo prawne jest niezbędne, ponieważ sposób, w jaki scharakteryzujesz i ujawnisz lukę cypryjskiemu Departamentowi Podatkowemu, wpływa na twoją ekspozycję. Nie czekaj do 2027 roku z odkryciem dziury, gdy okno naprawcze już się faktycznie zamknie.

Jakie kryptoaktywa i transakcje podlegają raportowaniu?

Podlegające raportowaniu kryptoaktywa to, ogólnie rzecz biorąc, aktywa, które można posiadać i przenosić w sposób zdecentralizowany z użyciem technologii rozproszonego rejestru, a podlegające raportowaniu transakcje to wymiany między krypto a walutą fiducjarną, wymiany między różnymi kryptoaktywami oraz niektóre przelewy, w tym podlegające raportowaniu płatności detaliczne. Zakres jest z założenia szeroki, choć istnieją szczególne wyłączenia dla aktywów, których nie można wykorzystać do płatności lub inwestycji, oraz dla walut cyfrowych banków centralnych.

Kryptoaktywa w zakresie i poza nim (stablecoiny, NFT, CBDC, e-pieniądz)

Większość zbywalnych kryptoaktywów jest objęta zakresem, natomiast waluty cyfrowe banków centralnych (CBDC) i niektóre produkty e-pieniądza są traktowane odrębnie i mogą znaleźć się poza przepisami o krypto. Stablecoiny są zasadniczo objęte zakresem jako kryptoaktywa, a tokeny niewymienialne (NFT) są objęte zakresem tam, gdzie są wykorzystywane do płatności lub inwestycji, a nie stanowią autentycznie unikatowych przedmiotów kolekcjonerskich. Cypr stosuje definicje DAC8 z Załącznika VI ustawy 38(I)/2026 bezpośrednio: waluty cyfrowe banków centralnych i określone produkty pieniądza elektronicznego są wyłączone ze strumienia raportowania kryptoaktywów i zamiast tego objęte znowelizowanymi zasadami dotyczącymi rachunków finansowych wspólnego standardu do wymiany informacji, natomiast stablecoiny niebędące produktami e-pieniądza pozostają w zakresie jako kryptoaktywa. Ponieważ klasyfikacja konkretnego tokena może być bardzo wyważona, aktywa graniczne należy oceniać indywidualnie.

Transakcje wymiany: krypto na walutę fiducjarną i krypto na krypto

Transakcje wymiany podlegają raportowaniu w obu kierunkach: krypto na walutę fiducjarną i krypto na krypto. Oznacza to, że użytkownik wymieniający Bitcoin na euro oraz użytkownik wymieniający Bitcoin na Ether obaj generują zdarzenia podlegające raportowaniu. Dla każdego z nich RCASP raportuje zagregowaną roczną liczbę transakcji i wartości brutto, odróżniając nabycia od zbyć, więc twój rejestr transakcji musi zapisywać wystarczająco dużo szczegółów, aby zbudować te agregaty na użytkownika i na rodzaj aktywa.

Przelewy i podlegające raportowaniu transakcje płatności detalicznych

Przelewy kryptoaktywów do i od użytkownika oraz podlegające raportowaniu transakcje płatności detalicznych przetwarzane w imieniu sprzedawcy również mieszczą się w zakresie. Transakcje płatności detalicznych stają się podlegające raportowaniu, gdy przekraczają próg 50 000 EUR, omówiony poniżej. Tam, gdzie użytkownik wypłaca krypto do zewnętrznego portfela, RCASP raportuje przelew, a tam, gdzie miejscem docelowym nie jest inny RCASP, mogą być wymagane dodatkowe szczegóły.

Jaką należytą staranność i samocertyfikację muszą wykonać RCASP?

RCASP muszą wykonać należytą staranność w stylu CARF: uzyskać ważną samocertyfikację rezydencji podatkowej od każdego użytkownika, sprawdzić ją pod kątem rozsądności względem istniejących informacji AML/KYC oraz egzekwować konsekwencje, gdy użytkownik jej nie dostarczy. Ta należyta staranność nie jest opcjonalną papierologią, lecz mechanizmem, który sprawia, że coroczny raport jest dokładny i możliwy do obrony prawnej.

Zbieranie ważnych samocertyfikacji rezydencji podatkowej

Ważna samocertyfikacja osoby fizycznej musi zawierać pełne imię i nazwisko użytkownika, adres zamieszkania, każdą jurysdykcję rezydencji podatkowej, TIN dla każdej podlegającej raportowaniu jurysdykcji oraz datę urodzenia. Samocertyfikacja pozbawiona któregokolwiek wymaganego pola nie jest ważna i nie zwalnia z twojego obowiązku. Zbieraj ją przy onboardingu dla nowych użytkowników oraz z mocą wsteczną dla użytkowników istniejących w terminach określonych przez ramy prawne.

Test rozsądności względem istniejących danych AML/KYC

Test rozsądności wymaga od RCASP potwierdzenia, że samocertyfikacja jest spójna z danymi AML i KYC już posiadanymi na temat użytkownika. Jeżeli użytkownik certyfikuje rezydencję podatkową w jednym kraju, podczas gdy twój plik KYC wskazuje adres i dokumenty tożsamości wskazujące gdzie indziej, samocertyfikacja nie przechodzi testu rozsądności i musi zostać skorygowana, zanim będzie można się na niej oprzeć. Ponieważ już posiadasz te dane na potrzeby MiCAR i AML, kontrola jest w dużej mierze ćwiczeniem uzgadniania, a firmy przetwarzające dane o własności rzeczywistej powinny dostosować je do obowiązków cypryjskiego rejestru UBO i zgodności w zakresie własności rzeczywistej.

Reguła dwóch przypomnień / 60 dni i blokowanie niezgodnych użytkowników

Zgodnie z CARF i DAC8, jeżeli użytkownik nie dostarczy ważnej samocertyfikacji po dwóch przypomnieniach w ciągu 60 dni, RCASP musi zablokować temu użytkownikowi możliwość przeprowadzania podlegających raportowaniu transakcji na platformie do czasu dostarczenia i zweryfikowania ważnej samocertyfikacji. Ta reguła blokowania jest twardym wymogiem, a nie uznaniową sankcją. Twoje systemy muszą zatem być w stanie śledzić liczbę przypomnień, prowadzić 60-dniowy zegar oraz automatycznie ograniczać niezgodne konto. Zbuduj ten przepływ już teraz, ponieważ ręczne egzekwowanie w obrębie żywej bazy użytkowników nie skaluje się.

Jakie dokładnie dane musisz zbierać i raportować dla każdego użytkownika?

Dla każdego użytkownika RCASP musi zbierać i raportować pełne dane dotyczące tożsamości i rezydencji podatkowej użytkownika wraz z zagregowanymi wartościami rocznymi dla jego podlegających raportowaniu transakcji. Zestaw danych odzwierciedla CRS, lecz jest dostosowany do krypto, a właściwe ujęcie pól przy zbieraniu jest tym, co czyni ostateczne złożenie raportu prostym.

Pola danych użytkownika indywidualnego (imię i nazwisko, adres, TIN, data i miejsce urodzenia)

W przypadku użytkownika indywidualnego musisz zbierać i raportować pełne imię i nazwisko, adres zamieszkania, każdą jurysdykcję rezydencji podatkowej, TIN dla każdej takiej jurysdykcji oraz datę urodzenia, przy czym w określonych przypadkach wymagane jest także miejsce urodzenia. Pola te muszą być weryfikowane względem rejestrów AML/KYC w ramach testu rozsądności. Brakujące lub niezweryfikowane numery TIN to częsty punkt awarii, więc traktuj zbieranie TIN jako etap warunkujący przy onboardingu, a nie jako czynność drugorzędną.

Użytkownicy będący podmiotami i osoby kontrolujące

W przypadku użytkownika będącego podmiotem musisz zbierać dane dotyczące tożsamości i rezydencji podatkowej podmiotu oraz, gdy podmiot jest wehikułem pasywnym, prześledzić jego strukturę aż do osób kontrolujących i również je zaraportować. To prześwietlenie zapobiega ukrywaniu się osób fizycznych za portfelami korporacyjnymi. Identyfikacja osób kontrolujących opiera się bezpośrednio na analizie własności rzeczywistej, którą twoja firma już wykonuje, więc zintegruj oba zestawy danych, zamiast prowadzić je oddzielnie.

Zagregowane roczne wartości transakcji raportowane dla każdego użytkownika

Raport zawiera zagregowane wartości roczne dla każdego użytkownika: dla każdego podlegającego raportowaniu kryptoaktywa kwoty brutto i liczbę jednostek dla nabyć, zbyć, przelewów przychodzących, przelewów wychodzących oraz podlegających raportowaniu płatności detalicznych. Nie raportujesz każdej pojedynczej pozycji transakcyjnej, ale musisz mieć zebraną każdą pozycję, aby dokładnie zbudować agregaty. Dlatego szczegółowe rejestrowanie transakcji od 1 stycznia 2026 jest nienegocjowalne.

Czym DAC8 różni się od globalnego standardu CARF?

DAC8 różni się od globalnego standardu CARF głównie swoimi elementami specyficznymi dla UE, przede wszystkim progiem 50 000 EUR dla podlegających raportowaniu transakcji płatności detalicznych oraz swoją integracją z szerszym mechanizmem wymiany DAC. Merytorycznie oba są ze sobą zgodne, więc system zgodny z CARF jest w większości gotowy do zgodności z DAC8, ale szczegóły specyficzne dla UE mają znaczenie dla cypryjskiej firmy raportującej zgodnie z ustawą 38(I)/2026.

Progi: reguła 50 000 EUR dla płatności detalicznych

DAC8 stosuje próg 50 000 EUR dla podlegających raportowaniu transakcji płatności detalicznych przetwarzanych przez dostawcę usług w zakresie kryptoaktywów, powyżej którego transakcja jest objęta zakresem, nawet jeżeli odbiorca nie jest w innych okolicznościach podlegającym raportowaniu użytkownikiem. CARF natomiast nie nakłada żadnego ogólnego minimalnego progu raportowania, więc każda transakcja jest objęta niezależnie od wielkości. Cypr przyjmuje tę kwotę 50 000 EUR dokładnie tak, jak ustalono w Załączniku VI dyrektywy, transponowaną bez lokalnych odstępstw do ustawy 38(I)/2026, więc ten sam próg, który obowiązuje w całej Unii, obowiązuje na Cyprze. Dla cypryjskich firm oznacza to, że przetwarzanie płatności detalicznych wymaga własnej logiki progowej nałożonej na ogólne raportowanie.

Różnice w zakresie oraz w traktowaniu stablecoinów/e-pieniądza

DAC8 zawiera specyficzne dla UE traktowanie stablecoinów i e-pieniądza, które w szczegółach może odbiegać od tekstu OECD, a dokładne stanowisko zależy od cypryjskiej ustawy wdrażającej. Tam, gdzie DAC8 oferuje opcje co do tego, jak dalece objęte są produkty e-pieniądza i produkty zbliżone do CBDC, decyzje Cypru w ustawie 38(I)/2026 mają charakter rozstrzygający, a Załącznik VI tej ustawy umieszcza waluty cyfrowe banków centralnych i określone produkty pieniądza elektronicznego w znowelizowanym reżimie rachunków finansowych CRS, a nie w strumieniu krypto. Do czasu opublikowania cypryjskiego schematu i wytycznych traktuj pozostałe stablecoiny jako objęte zakresem i dokumentuj swoje uzasadnienie dla wszelkich wyłączeń.

Nakładanie się z istniejącymi cypryjskimi obowiązkami podatkowymi dotyczącymi krypto

Raportowanie w ramach DAC8 jest odrębne od cypryjskiego zobowiązania podatkowego dotyczącego krypto i dodatkowe wobec niego. Od 1 stycznia 2026 Cypr opodatkowuje zyski ze zbycia kryptoaktywów zryczałtowaną stawką 8% w ramach dedykowanego reżimu ustawowego, a to zobowiązanie spoczywa na użytkowniku, podczas gdy raportowanie w ramach DAC8 spoczywa na RCASP. Oba oddziałują na siebie, ale nie zastępują się nawzajem, co wyjaśnia nasz przewodnik po opodatkowaniu kryptowalut na Cyprze dla osób fizycznych i firm, obok szerszych zmian w reformie podatkowej Cypru 2026.

Jakie są kary i ryzyka związane z błędnym stosowaniem DAC8 na Cyprze?

Kary i ryzyka związane z błędnym stosowaniem DAC8 na Cyprze obejmują kary finansowe za uchybienia w raportowaniu, szkody licencyjne i reputacyjne wobec CySEC i MiCAR oraz osobistą odpowiedzialność zarządu i inspektorów ds. zgodności. Poza bezpośrednimi karami finansowymi zapisanymi w ustawie ryzyko strategiczne dla regulowanej firmy krypto jest na tyle istotne, że uzasadnia wczesną inwestycję w zgodność.

Ekspozycja z tytułu niezgodności i uchybień w raportowaniu

Ekspozycja z tytułu niezgodności obejmuje kary za niezłożenie raportu, złożenie z opóźnieniem, złożenie niedokładnych danych lub niezebranie ważnych samocertyfikacji. Zgodnie z ustawą 38(I)/2026 cypryjski Departament Podatkowy może nałożyć kary administracyjne do 5 000 EUR za uchybienia w należytej staranności, takie jak niezebranie lub niezweryfikowanie ważnej samocertyfikacji, oraz do 10 000 EUR za uchybienia w prowadzeniu dokumentacji, raportowaniu i rejestracji, w tym niezłożenie raportu, złożenie z opóźnieniem lub złożenie niedokładnych danych. Firmy powinny zakładać, że niepozyskanie samocertyfikacji i niewyegzekwowanie reguły blokowania samo w sobie stanowi odrębne naruszenie, a nie jedynie kwestię jakości danych.

Ryzyko reputacyjne i licencyjne wobec CySEC/MiCAR

Uchybienie w zakresie DAC8 niesie ryzyko reputacyjne i licencyjne, ponieważ twoja autoryzacja MiCAR jest udzielana i nadzorowana przez CySEC, która oczekuje silnej kultury zgodności. Naruszenie przejrzystości podatkowej może wpływać na nadzorczą ocenę odpowiedniości i ładu korporacyjnego firmy, mimo że sam DAC8 jest administrowany przez cypryjski Departament Podatkowy. Dla licencjonowanego CASP pośrednia konsekwencja regulacyjna może przeważyć nad jakąkolwiek bezpośrednią karą finansową.

Odpowiedzialność zarządu i inspektora ds. zgodności

Ostateczna odpowiedzialność za zgodność z DAC8 spoczywa na zarządzie i wyznaczonym inspektorze ds. zgodności, którzy odpowiadają za zapewnienie, że systemy, przepływy samocertyfikacji i raportowanie są wdrożone. Członkowie zarządu powinni protokołować swój nadzór nad gotowością do DAC8 i upewnić się, że wsteczne zbieranie danych jest pod kontrolą. Udokumentowany ład korporacyjny jest zarówno linią obrony, jak i realnym środkiem ograniczania ryzyka.

Jaki jest twój praktyczny plan zgodności z DAC8/CARF do 30 czerwca 2027?

Twój praktyczny plan działania do 30 czerwca 2027 to potwierdzenie statusu RCASP, natychmiastowe zamknięcie wszelkich bieżących luk w zbieraniu danych, zbudowanie przepływów samocertyfikacji i raportowania, zmapowanie danych do schematu raportowania oraz terminowe złożenie raportu przy wsparciu prawnym i podatkowym. Kolejność ma znaczenie, ponieważ krok wstecznego zbierania danych jest krytyczny czasowo, a wszystko inne opiera się na czystych danych.

Lista kontrolna gotowości krok po kroku

1. Przeprowadź i udokumentuj pozytywne lub negatywne ustalenie statusu RCASP dla każdego cypryjskiego podmiotu.
2. Potwierdź, że twój onboarding zbiera obecnie ważne samocertyfikacje, i napraw wszelką lukę wstecz do 1 stycznia 2026.
3. Wdróż przepływ dwóch przypomnień i 60 dni dla samocertyfikacji z automatycznym blokowaniem.
4. Uzgodnij samocertyfikacje względem danych AML/KYC w ramach testu rozsądności.
5. Zbieraj szczegółowe dane transakcyjne wystarczające do zbudowania rocznych agregatów na użytkownika.
6. Zarejestruj się w cypryjskim Departamencie Podatkowym i przygotuj plik raportowy.
7. Złóż raport za rok kalendarzowy 2026 do 30 czerwca 2027.

Systemy, mapowanie danych i budowa schematu raportowania

Nurt prac dotyczący systemów polega na zmapowaniu każdego wymaganego pola do systemu źródłowego i zbudowaniu eksportu do schematu raportowania cypryjskiego Departamentu Podatkowego po jego opublikowaniu. Traktuj mapowanie danych jako pomost między twoimi żywymi systemami KYC i transakcyjnymi a ostatecznym plikiem XML lub ustrukturyzowanym, którego wymaga CTA. Tam, gdzie w grę wchodzą struktury holdingowe, koordynuj to z wszelkim planowaniem wokół posiadania krypto poprzez cypryjski trust międzynarodowy, tak aby projekt raportowania i ochrony aktywów był spójny.

Kiedy zaangażować cypryjskich doradców prawnych i podatkowych

Zaangażuj cypryjskich doradców prawnych i podatkowych już teraz, jeżeli masz jakąkolwiek bieżącą lukę w danych, jakiekolwiek wątpliwości co do statusu RCASP lub jakąkolwiek złożoność w swoich tokenach czy bazie użytkowników. Koszt wczesnego doradztwa jest niewielki wobec ekspozycji z tytułu wadliwego pierwszego raportu lub nienaprawionej luki w danych za 2026 rok. Doradcy mogą także dostosować twoją budowę DAC8 do szerszych obowiązków w ramach przeglądu podatków na Cyprze.

Jak może pomóc Philippou Law Firm

Philippou Law Firm doradza cypryjskim firmom kryptoaktywów w zakresie pełnego cyklu zgodności z DAC8 i CARF, od potwierdzenia statusu RCASP i zdiagnozowania wstecznych luk w danych po zbudowanie zgodnych przepływów samocertyfikacji i przygotowanie pierwszego raportu do cypryjskiego Departamentu Podatkowego. Nasi prawnicy współpracują z twoimi zespołami ds. zgodności i technologii, tak aby raportowanie, licencjonowanie MiCAR i planowanie cypryjskiego podatku od krypto pasowały do siebie, zamiast ciągnąć w różnych kierunkach. Jeżeli prowadzisz firmę krypto mającą jakiekolwiek powiązanie z Cyprem, skontaktuj się z nami już teraz, z dużym wyprzedzeniem przed terminem 30 czerwca 2027, aby każdy problem ze zbieraniem danych mógł zostać rozwiązany, póki wciąż da się go naprawić.

Ten artykuł stanowi informację ogólną, a nie poradę prawną. Przed podjęciem działań prosimy o zasięgnięcie porady dotyczącej twojej konkretnej sytuacji.