DAC8 och CARF kryptorapportering: vad kryptotillgångsföretag i Cypern måste göra före den första rapporten den 30 juni 2027

Den kommersiella verklighet som de flesta cypriotiska kryptoföretag ännu inte har tagit till sig är denna: rapporteringen är retroaktiv till den 1 januari 2026, så varje leverantör vars onboarding och insamling av transaktionsdata inte redan är igång har ett dataglapp som inte lagligt kan fyllas i efterhand före deadline. Denna guide anger vem som omfattas, exakt vad som måste samlas in och en konkret färdplan fram till inlämningen den 30 juni 2027.

Senast uppdaterad: augusti 2026

Vad är DAC8 och CARF, och varför är de viktiga för cypriotiska kryptoföretag?

DAC8 och CARF är de skattetransparensregler som tvingar kryptotillgångsföretag att varje år rapportera sina användares identiteter och transaktionsvärden till skattemyndigheterna. För ett cypriotiskt företag förvandlar DAC8 kryptorapportering från frivillig god praxis till en obligatorisk årlig skyldighet gentemot Cyperns skattemyndighet, med stöd av EU-rätten och en internationell standard. Om du växlar, förvarar, förmedlar eller behandlar kryptotillgångar för kunder med anknytning till Cypern gäller dessa regler nästan säkert dig.

Vad är ramverket för rapportering av kryptotillgångar (CARF)?

Ramverket för rapportering av kryptotillgångar (CARF) är OECD:s globala standard för automatiskt utbyte av skatteinformation om transaktioner med kryptotillgångar, färdigställd av OECD tillsammans med G20 år 2023. CARF kräver att leverantörer av kryptotillgångstjänster identifierar sina användare, fastställer varje användares jurisdiktion för skatterättslig hemvist och rapporterar årliga transaktionsdata till sin hemvistmyndighet, som sedan utbyter dessa med partnerjurisdiktioner. CARF gör samma sak för krypto som den gemensamma rapporteringsstandarden (CRS) har gjort för bankkonton sedan 2016.

CARF är avsiktligt brett utformat. Det inför inget lägsta rapporteringströskelvärde, så i princip fångas varje rapporteringspliktig transaktion oavsett storlek, och det når växlingsplattformar, mäklare, förvaringsinstitut och vissa plånboksleverantörer.

Vad är DAC8 och hur för det in CARF i EU-rätten?

DAC8 är rådets direktiv (EU) 2023/2226 av den 17 oktober 2023, som ändrar direktiv 2011/16/EU om administrativt samarbete i fråga om beskattning (DAC) och för in CARF i bindande EU-rätt. DAC8 gör CARF-liknande kryptorapportering obligatorisk i alla EU:s medlemsstater på en harmoniserad rättslig grund, i stället för att låta varje stat frivilligt anta OECD-standarden. Direktivet offentliggjordes i Europeiska unionens officiella tidning och dess officiella text finns tillgänglig på EUR-Lex.

Eftersom DAC8 är ett direktiv var varje medlemsstat tvungen att införliva det i nationell lagstiftning. Fristen för införlivande var den 31 december 2025, och reglerna tillämpas från och med den 1 januari 2026, vilket gör 2026 till det första rapporteringsåret i hela unionen.

Hur DAC8/CARF förhåller sig till CRS, MiCAR och FATF:s Travel Rule

DAC8, CRS, MiCAR och FATF:s Travel Rule är fyra överlappande men separata regelverk, och ett cypriotiskt kryptoföretag befinner sig normalt inom samtliga samtidigt. Att hålla isär dem i din regelefterlevnadsdesign undviker dubbelarbete och farliga luckor.

Den praktiska kopplingen är att DAC8 återanvänder en stor del av de kunduppgifter du redan innehar för MiCAR-auktorisation och åtgärder mot penningtvätt (AML). Om du fortfarande befinner dig i licensieringsfasen förklarar vår guide om registrering av en leverantör av kryptotillgångstjänster i Cypern det ramverk kring CySEC och MiCAR som ligger vid sidan av dessa rapporteringsskyldigheter.

Har Cypern faktiskt redan implementerat DAC8?

Ja. Cypern har införlivat DAC8 i nationell lagstiftning, och skyldigheten är i kraft nu snarare än väntande. Reglerna tillämpas retroaktivt från och med den 1 januari 2026, vilket är anledningen till att datainsamlingen inte kan vänta.

Den cypriotiska införlivandelagen och dess ikraftträdande

Cypern införlivade DAC8 genom lagen om administrativt samarbete i fråga om beskattning (ändring) av 2026, lag 38(I)/2026, offentliggjord i Republiken Cyperns officiella tidning den 27 mars 2026 och i kraft från det datumet med retroaktiv tillämpning från den 1 januari 2026. Instrumentet ändrar den ursprungliga lagen 205(I)/2012 och innehåller reglerna om rapportering och kundkännedom i sin artikel 7ΣΤ och bilaga VI, och det fastställer den första rapporteringsdeadlinen till den 30 juni 2027 för data avseende kalenderåret 2026. Cyperns skattemyndighet utses till behörig myndighet för att ta emot rapporter och utbyta information med EU-partner.

Varför det retroaktiva startdatumet den 1 januari 2026 är viktigt

Det retroaktiva startdatumet är viktigt eftersom det innebär att den första rapporteringsperioden redan löpte innan den cypriotiska lagen ens hade offentliggjorts. Rapporteringen omfattar hela kalenderåret 2026, så transaktioner från och med den 1 januari 2026 omfattas trots att lag 38(I)/2026 trädde i kraft först den 27 mars 2026. Ett företag som satte igång regelefterlevande onboarding i exempelvis april 2026 förväntas ändå rapportera för hela året, inklusive det första kvartal det kanske inte har fångat korrekt.

Denna retroaktivitet är det enskilt viktigaste operativa faktumet i denna artikel, och den driver det dataglappsproblem som behandlas nedan.

Sammanhanget med Europeiska kommissionens överträdelseförfarande i januari 2026

Den 30 januari 2026 inledde Europeiska kommissionen överträdelseförfaranden mot 12 medlemsstater, däribland Cypern, för att de inte hade implementerat DAC8 till fristen den 31 december 2025. Detta sammanhang förklarar varför den cypriotiska lagen kom först i mars 2026 med retroaktiv verkan: staten stängde en lucka som kommissionen formellt hade uppmärksammat. Kommissionen skickade formella underrättelser enligt artikel 258 i fördraget om Europeiska unionens funktionssätt, med två månaders svarsfrist för varje stat, och eftersom Cypern slutförde införlivandet med lag 38(I)/2026 i mars 2026 har landet sedan dess åtgärdat den brist som underrättelsen identifierade, med kommissionens praxis att avsluta sådana förfaranden när fullständigt införlivande har anmälts. För företag är slutsatsen att varken sen nationell lagstiftning eller överträdelsetvisten fördröjer din egen rapporteringsskyldighet för 2026 års data.

Vem är en rapporteringsskyldig leverantör av kryptotillgångstjänster (RCASP) i Cypern?

En rapporteringsskyldig leverantör av kryptotillgångstjänster (RCASP) i Cypern är varje leverantör av kryptotillgångstjänster som är licensierad i Cypern enligt MiCAR, eller varje operatör av kryptotillgångar (Crypto-Asset Operator) med anknytning till Cypern, det vill säga skatterättslig hemvist i Cypern, registrering, plats för faktisk ledning eller sedvanlig verksamhetsort. Om någon av dessa anknytningsfaktorer föreligger är DAC8-rapportering till Cyperns skattemyndighet obligatorisk. Definitionen är avsiktligt vid så att företag inte kan undgå rapportering enbart genom att inneha sin licens någon annanstans samtidigt som de bedriver verksamhet från Cypern.

MiCAR-licensierade CASP:er baserade i Cypern

Varje enhet som innehar en MiCAR-auktorisation från CySEC och är baserad i Cypern är en RCASP. Detta är den tydligaste kategorin: växlingsplattformar, mäklare, förvaringsplånboksleverantörer, portföljförvaltare och rådgivare som är licensierade enligt förordningen om marknader för kryptotillgångar fångas direkt. Om ditt företag genomgick CySEC-auktorisation för att tillhandahålla kryptotillgångstjänster bör du utgå från RCASP-status och bygga rapporteringen därefter.

Operatörer av kryptotillgångar med anknytning till Cypern

En operatör av kryptotillgångar som inte är MiCAR-licensierad kan ändå vara en RCASP om den har anknytning till Cypern. Anknytningsfaktorerna är skatterättslig hemvist i Cypern, registrering i Cypern, plats för faktisk ledning i Cypern eller sedvanlig verksamhetsort i Cypern. Detta fångar in operatörer som tillhandahåller kryptotillgångstjänster utan att inneha en MiCAR-licens, inklusive vissa företag som antog att de låg utanför tillämpningsområdet. Ett i Cypern registrerat holding- eller driftbolag som underlättar kryptotransaktioner bör noggrant pröva sig mot dessa faktorer, eftersom enbart registrering kan utlösa skyldigheten.

Hur du gör en positiv RCASP-bedömning och dokumenterar den

För att fastställa RCASP-status prövar du din enhet mot varje anknytningsfaktor i tur och ordning och dokumenterar resonemanget i en daterad akt. En försvarbar bedömning skyddar styrelsen om analysen senare ifrågasätts.

1. Bekräfta huruvida enheten innehar, eller bör inneha, en MiCAR-auktorisation i Cypern.
2. Bedöm skatterättslig hemvist i Cypern och plats för faktisk ledning, med stöd av din analys av skatterättslig hemvist och non-domiciled-status i Cypern.
3. Kontrollera registreringsorten och den sedvanliga verksamhetsorten.
4. Dokumentera en skriftlig slutsats, datumet och den ansvariga personen, och uppdatera den om verksamheten förändras.
5. Där resultatet är positivt, registrera dig hos Cyperns skattemyndighet och påbörja rapportering för 2026.

Om du fortfarande strukturerar enheten anger hur du öppnar ett företag i Cypern de registreringssteg som i sig skapar en anknytning till Cypern i detta hänseende.

Vad innebär den första rapporteringsdeadlinen den 30 juni 2027 och vad omfattar den?

Den första rapporteringsdeadlinen den 30 juni 2027 är det datum då varje cypriotisk RCASP måste lämna in sin första DAC8-rapport, som omfattar all rapporteringspliktig kryptotillgångsverksamhet för kalenderåret 2026, till Cyperns skattemyndighet. Missa den och du bryter mot lag 38(I)/2026 för hela regelverkets första år. Deadlinen är fast och tillämpas enhetligt oavsett när under 2026 ditt företag inledde verksamheten.

Rapporteringsperioden: kalenderåret 2026

Den första rapporteringsperioden är hela kalenderåret från den 1 januari 2026 till den 31 december 2026. Varje rapporteringspliktig växlingstransaktion, överföring och rapporteringspliktig detaljhandelsbetalningstransaktion som utförs för en rapporteringspliktig användare under det året måste fångas och aggregeras. Eftersom året redan är långt framskridet håller fönstret för att åtgärda eventuella insamlingsbrister på att stängas.

Inlämning till Cyperns skattemyndighet senast den 30 juni 2027

Rapporten lämnas in till Cyperns skattemyndighet (CTA), den utsedda behöriga myndigheten, senast den 30 juni 2027. CTA förväntas offentliggöra ett tekniskt rapporteringsschema som anger filformat och datafält, men den materiella katalogen över rapporteringspliktiga poster är redan fastställd i bilaga VI till lag 38(I)/2026, som speglar CARF- och DAC8-mallarna: för varje rapporteringspliktig användare och varje rapporteringspliktig kryptotillgång rapporterar RCASP:en bruttobeloppen och antalet enheter för förvärv, avyttringar, inkommande överföringar, utgående överföringar och rapporteringspliktiga detaljhandelsbetalningstransaktioner. Företag bör inte vänta på schemat innan de samlar in data, eftersom de underliggande fälten redan är definierade av CARF och DAC8.

Informationsutbyte på EU-nivå senast den 30 september 2027

Efter att ha tagit emot rapporterna utbyter Cyperns skattemyndighet informationen med andra skattemyndigheter inom EU senast den 30 september 2027. På EU-nivå äger de första DAC8-utbytena för rapporteringsåret 2026 rum inom nio månader efter årets slut, det vill säga mellan den 1 januari och den 30 september 2027. Detta innebär att data du lämnar in i Cypern om en användare med hemvist i Tyskland eller Frankrike vidarebefordras till den användarens hemvistmyndighet inom månader, så noggrannhet har gränsöverskridande konsekvenser.

Varför måste din datainsamling redan vara i drift nu?

Din datainsamling måste redan vara i drift eftersom DAC8-rapporteringen är retroaktiv till den 1 januari 2026 och de transaktions- och självcertifieringsdata som krävs generellt inte kan rekonstrueras i efterhand. Varje handelsdag utan regelefterlevande insamling skapar ett permanent hål i din rapport för 2026. Detta är den operativa kärnan i hela regelverket för cypriotiska företag.

Det retroaktiva dataglappsproblemet som du inte kan fylla i efterhand

Dataglappsproblemet är att detaljer på transaktionsnivå och giltigt insamlade självcertifieringar förlorar sin integritet när ögonblicket har passerat. Du kan inte trovärdigt återskapa en självcertifiering av skatterättslig hemvist från januari 2026 i mitten av 2027, och du kan inte rekonstruera växlingsvärden och motparter som aldrig registrerades enligt CARF-standarden. En RCASP som började samla in DAC8-data för sent står därför inför ett glapp som inte är en ren formateringsfråga utan en materiell bevismässig brist.

Vad ett regelefterlevande onboarding-flöde redan bör samla in

Ett regelefterlevande onboarding-flöde bör redan vid kontoöppningen samla in en giltig självcertifiering av skatterättslig hemvist tillsammans med det fullständiga identitetsdatasetet, och bör validera dessa uppgifter mot dina AML- och kundkännedomsregister (KYC). Om något av följande saknas i ditt nuvarande flöde har du arbete att göra omedelbart:

• En strukturerad självcertifiering som fångar varje jurisdiktion för skatterättslig hemvist och skatteregistreringsnumret (TIN) för var och en.
• Fullständigt juridiskt namn, bostadsadress, födelsedatum och, för privatpersoner, födelseort.
• Uppgifter om personer med bestämmande inflytande för enhetsanvändare.
• En skälighetskontroll som stämmer av självcertifieringen mot befintliga AML/KYC-data.
• Transaktionsloggning som registrerar de datapunkter som behövs för årlig aggregering.

Åtgärda ett dataglapp för 2026 före inlämningen

Om du redan har ett glapp för 2026 innebär åtgärdande att snabbt samla in nya självcertifieringar, rekonstruera det som kan styrkas och dokumentera gränserna för det som inte kan det. Tidig juridisk rådgivning är avgörande, eftersom hur du karakteriserar och redovisar ett glapp för Cyperns skattemyndighet påverkar din exponering. Vänta inte till 2027 med att upptäcka hålet, då åtgärdsfönstret i praktiken har stängts.

Vilka kryptotillgångar och transaktioner är rapporteringspliktiga?

Rapporteringspliktiga kryptotillgångar är, i stort sett, tillgångar som kan innehas och överföras på ett decentraliserat sätt med hjälp av distribuerad liggarteknik, och rapporteringspliktiga transaktioner är växlingar mellan krypto och fiat, växlingar mellan olika kryptotillgångar samt vissa överföringar inklusive rapporteringspliktiga detaljhandelsbetalningar. Tillämpningsområdet är brett utformat, även om specifika undantag finns för tillgångar som inte kan användas för betalning eller investering och för centralbanksdigitala valutor.

Kryptotillgångar inom och utanför tillämpningsområdet (stablecoins, NFT:er, CBDC:er, e-pengar)

De flesta handelsbara kryptotillgångar omfattas, medan centralbanksdigitala valutor (CBDC:er) och vissa e-penningprodukter behandlas separat och kan falla utanför kryptoreglerna. Stablecoins omfattas i allmänhet som kryptotillgångar, och icke-utbytbara token (NFT:er) omfattas där de används för betalning eller investering snarare än att vara genuint unika samlarobjekt. Cypern följer DAC8-definitionerna i bilaga VI till lag 38(I)/2026 direkt: centralbanksdigitala valutor och angivna e-penningprodukter undantas från rapporteringsströmmen för kryptotillgångar och fångas i stället under de ändrade reglerna om finansiella konton enligt den gemensamma rapporteringsstandarden, medan stablecoins som inte är e-penningprodukter kvarstår inom tillämpningsområdet som kryptotillgångar. Eftersom klassificeringen av en specifik token kan vara fint balanserad bör gränsfallstillgångar bedömas från fall till fall.

Växlingstransaktioner: krypto-till-fiat och krypto-till-krypto

Växlingstransaktioner är rapporteringspliktiga i båda riktningarna: krypto-till-fiat och krypto-till-krypto. Detta innebär att en användare som växlar Bitcoin mot euro och en användare som växlar Bitcoin mot Ether båda genererar rapporteringspliktiga händelser. För var och en rapporterar RCASP:en det aggregerade årliga antalet transaktioner och bruttovärden, med åtskillnad mellan förvärv och avyttringar, så din transaktionslogg måste registrera tillräckligt med detaljer för att bygga dessa aggregat per användare per tillgångstyp.

Överföringar och rapporteringspliktiga detaljhandelsbetalningstransaktioner

Överföringar av kryptotillgångar till och från en användare, och rapporteringspliktiga detaljhandelsbetalningstransaktioner som behandlas för en handlares räkning, omfattas också. Detaljhandelsbetalningstransaktioner blir rapporteringspliktiga när de överskrider tröskelvärdet på 50 000 euro, som diskuteras nedan. Där en användare tar ut krypto till en extern plånbok rapporterar RCASP:en överföringen, och där destinationen inte är en annan RCASP kan ytterligare detaljer krävas.

Vilken kundkännedom och självcertifiering måste RCASP:er utföra?

RCASP:er måste utföra CARF-liknande kundkännedom: inhämta en giltig självcertifiering av skatterättslig hemvist från varje användare, pröva den för skälighet mot befintlig AML/KYC-information och verkställa konsekvenser när en användare underlåter att lämna en. Denna kundkännedom är inte valfritt pappersarbete; det är den mekanism som gör den årliga rapporten korrekt och juridiskt försvarbar.

Insamling av giltiga självcertifieringar av skatterättslig hemvist

En giltig självcertifiering för en privatperson måste innehålla användarens fullständiga namn, bostadsadress, varje jurisdiktion för skatterättslig hemvist, TIN för varje rapporteringspliktig jurisdiktion samt födelsedatum. En självcertifiering som saknar något obligatoriskt fält är inte giltig och fullgör inte din skyldighet. Samla in den vid onboarding för nya användare och retroaktivt för befintliga användare inom de tidsfrister som fastställs i ramverket.

Skälighetstestet mot befintliga AML/KYC-data

Skälighetstestet kräver att RCASP:en bekräftar att en självcertifiering är förenlig med de AML- och KYC-data som redan innehas om användaren. Om en användare certifierar skatterättslig hemvist i ett land medan din KYC-akt visar en adress och identitetshandlingar som pekar någon annanstans, misslyckas självcertifieringen med skälighetstestet och måste åtgärdas innan den kan ligga till grund för bedömning. Eftersom du redan innehar dessa data för MiCAR- och AML-ändamål är kontrollen till stor del en avstämningsövning, och företag som hanterar data om verkligt huvudmannaskap bör anpassa den till skyldigheterna enligt Cyperns UBO-register och regelefterlevnad för verkligt huvudmannaskap.

Regeln om två påminnelser/60 dagar och spärrning av icke regelefterlevande användare

Enligt CARF och DAC8 gäller att om en användare inte lämnar en giltig självcertifiering efter två påminnelser inom 60 dagar måste RCASP:en spärra den användaren från att genomföra rapporteringspliktiga transaktioner på plattformen tills en giltig självcertifiering har lämnats och validerats. Denna spärrregel är ett hårt krav, inte en skönsmässig sanktion. Dina system måste därför kunna spåra antalet påminnelser, köra 60-dagarsklockan och automatiskt begränsa ett icke regelefterlevande konto. Bygg detta arbetsflöde nu, eftersom manuell tillämpning över en aktiv användarbas inte är skalbar.

Exakt vilka uppgifter måste du samla in och rapportera per användare?

Per användare måste en RCASP samla in och rapportera användarens fullständiga identitets- och hemvistuppgifter tillsammans med aggregerade årliga värden för dennes rapporteringspliktiga transaktioner. Datasetet speglar CRS men är anpassat för krypto, och att få fälten rätt vid insamlingen är det som gör den slutliga inlämningen enkel.

Datafält för privatpersoner (namn, adress, TIN, födelsedatum och födelseort)

För en privatperson måste du samla in och rapportera det fullständiga juridiska namnet, bostadsadressen, varje jurisdiktion för skatterättslig hemvist, TIN för varje sådan jurisdiktion samt födelsedatum, med födelseort också obligatorisk i vissa fall. Dessa fält måste valideras mot AML/KYC-register enligt skälighetstestet. Saknade eller overifierade TIN är en vanlig felkälla, så behandla insamling av TIN som ett grindsteg vid onboarding snarare än en eftertanke.

Enhetsanvändare och personer med bestämmande inflytande

För en enhetsanvändare måste du samla in enhetens identitets- och hemvistuppgifter och, där enheten är ett passivt instrument, se igenom till dess personer med bestämmande inflytande och rapportera dem också. Denna genomsyn förhindrar att privatpersoner gömmer sig bakom företagsplånböcker. Att identifiera personer med bestämmande inflytande bygger direkt på den analys av verkligt huvudmannaskap som ditt företag redan utför, så integrera de två datamängderna snarare än att köra dem separat.

Aggregerade årliga transaktionsvärden rapporterade per användare

Rapporten innehåller aggregerade årliga värden per användare: för varje rapporteringspliktig kryptotillgång, bruttobeloppen och antalet enheter för förvärv, avyttringar, inkommande överföringar, utgående överföringar och rapporteringspliktiga detaljhandelsbetalningar. Du rapporterar inte varje enskild transaktionsrad, men du måste ha fångat varje rad för att bygga aggregaten korrekt. Detta är anledningen till att granulär transaktionsloggning från och med den 1 januari 2026 inte är förhandlingsbar.

Hur skiljer sig DAC8 från den globala CARF-standarden?

DAC8 skiljer sig från den globala CARF-standarden främst i sina EU-specifika inslag, framför allt ett tröskelvärde på 50 000 euro för rapporteringspliktiga detaljhandelsbetalningstransaktioner och dess integrering med det bredare DAC-utbytesmaskineriet. I sak är de två anpassade, så ett CARF-regelefterlevande system är större delen av vägen till DAC8-efterlevnad, men de EU-specifika detaljerna är viktiga för ett cypriotiskt företag som rapporterar enligt lag 38(I)/2026.

Tröskelvärden: regeln om 50 000 euro för detaljhandelsbetalningar

DAC8 tillämpar ett tröskelvärde på 50 000 euro för rapporteringspliktiga detaljhandelsbetalningstransaktioner som behandlas av en leverantör av kryptotillgångstjänster, över vilket transaktionen omfattas även om mottagaren annars inte är en rapporteringspliktig användare. CARF inför däremot inget allmänt lägsta rapporteringströskelvärde, så varje transaktion fångas oavsett storlek. Cypern antar detta belopp på 50 000 euro exakt så som det fastställts i bilaga VI till direktivet, införlivat utan lokal avvikelse i lag 38(I)/2026, så samma tröskelvärde som gäller i hela unionen gäller i Cypern. För cypriotiska företag innebär detta att behandling av detaljhandelsbetalningar behöver sin egen tröskelvärdeslogik lagrad ovanpå den allmänna rapporteringen.

Skillnader i tillämpningsområde och behandling av stablecoins/e-pengar

DAC8 innehåller EU-specifik behandling av stablecoins och e-pengar som i detalj kan avvika från OECD-texten, och den exakta ställningen beror på den cypriotiska genomförandelagen. Där DAC8 erbjuder valmöjligheter för hur långt e-pengar och CBDC-närliggande produkter omfattas, styr Cyperns val i lag 38(I)/2026, och bilaga VI till den lagen placerar centralbanksdigitala valutor och angivna e-penningprodukter under det ändrade CRS-regelverket för finansiella konton snarare än kryptoströmmen. Fram till dess att det cypriotiska schemat och vägledningen offentliggörs, behandla andra stablecoins som omfattade och dokumentera ditt resonemang för varje undantag.

Överlappning med befintliga cypriotiska kryptoskatteskyldigheter

DAC8-rapportering är skild från, och ett tillägg till, cypriotisk kryptoskattskyldighet. Från och med den 1 januari 2026 beskattar Cypern vinster från avyttringar av kryptotillgångar med en fast skattesats på 8 % enligt ett dedikerat lagstadgat regelverk, och den skattskyldigheten ligger på användaren, medan DAC8-rapporteringen ligger på RCASP:en. De två samverkar men ersätter inte varandra, vilket vår guide om beskattning av kryptovalutor i Cypern för privatpersoner och företag förklarar, tillsammans med de bredare ändringarna i den cypriotiska skattereformen 2026.

Vilka är sanktionerna och riskerna med att göra DAC8 fel i Cypern?

Sanktionerna och riskerna med att göra DAC8 fel i Cypern spänner över ekonomiska sanktioner för rapporteringsbrister, licens- och anseendeskada gentemot CySEC och MiCAR, och personligt ansvar för styrelsen och regelefterlevnadsansvariga. Utöver de direkta ekonomiska sanktioner som är inskrivna i lagen är den strategiska risken för en reglerad kryptoverksamhet betydande nog att motivera tidig investering i regelefterlevnad.

Exponering vid bristande efterlevnad och rapporteringsmisslyckanden

Exponering vid bristande efterlevnad inkluderar sanktioner för underlåtenhet att lämna in, sen inlämning, inlämning av felaktiga uppgifter eller underlåtenhet att samla in giltiga självcertifieringar. Enligt lag 38(I)/2026 kan Cyperns skattemyndighet ålägga administrativa sanktioner på upp till 5 000 euro för brister i kundkännedom, såsom underlåtenhet att samla in eller verifiera en giltig självcertifiering, och upp till 10 000 euro för brister i journalföring, rapportering och registrering, inklusive underlåtenhet att lämna in, sen inlämning eller inlämning av felaktiga uppgifter. Företag bör utgå från att en underlåtenhet att inhämta självcertifieringar och att tillämpa spärrregeln i sig är ett separat brott, inte enbart en fråga om datakvalitet.

Anseende- och licensrisk gentemot CySEC/MiCAR

Ett DAC8-misslyckande medför anseende- och licensrisk eftersom din MiCAR-auktorisation beviljas och övervakas av CySEC, som förväntar sig en stark regelefterlevnadskultur. Ett brott mot skattetransparensen kan flöda in i den tillsynsmässiga bedömningen av ett företags lämplighet och styrning, även om DAC8 i sig administreras av Cyperns skattemyndighet. För en licensierad CASP kan den indirekta regulatoriska konsekvensen väga tyngre än varje direkt ekonomisk sanktion.

Ansvar för styrelse och regelefterlevnadsansvarig

Det yttersta ansvaret för DAC8-efterlevnad vilar på styrelsen och den utsedda regelefterlevnadsansvarige, som ansvarar för att säkerställa att system, självcertifieringsarbetsflöden och rapportering finns på plats. Styrelseledamöter bör protokollföra sin tillsyn av DAC8-beredskapen och förvissa sig om att den retroaktiva datainsamlingssituationen är under kontroll. Dokumenterad styrning är både ett försvar och en genuin riskreducerande åtgärd.

Vad är din praktiska färdplan för DAC8/CARF-efterlevnad fram till den 30 juni 2027?

Din praktiska färdplan fram till den 30 juni 2027 är att bekräfta RCASP-status, omedelbart täppa till varje aktivt datainsamlingsglapp, bygga arbetsflödena för självcertifiering och rapportering, kartlägga dina data mot rapporteringsschemat och lämna in i tid med juridiskt och skattemässigt stöd. Ordningsföljden är viktig, eftersom det retroaktiva datainsamlingssteget är tidskritiskt och allt annat bygger på rena data.

En checklista för beredskap steg för steg

1. Genomför och dokumentera en positiv eller negativ RCASP-bedömning för varje cypriotisk enhet.
2. Bekräfta att din onboarding samlar in giltiga självcertifieringar nu, och åtgärda varje glapp tillbaka till den 1 januari 2026.
3. Implementera arbetsflödet för självcertifiering med två påminnelser och 60 dagar samt automatisk spärrning.
4. Stäm av självcertifieringar mot AML/KYC-data enligt skälighetstestet.
5. Fånga granulära transaktionsdata som är tillräckliga för att bygga årliga aggregat per användare.
6. Registrera dig hos Cyperns skattemyndighet och förbered rapporteringsfilen.
7. Lämna in rapporten för kalenderåret 2026 senast den 30 juni 2027.

System, datakartläggning och uppbyggnad av rapporteringsschema

Systemarbetsströmmen är att kartlägga varje obligatoriskt fält mot ett källsystem och bygga extrahering in i Cyperns skattemyndighets rapporteringsschema när det har offentliggjorts. Behandla datakartläggning som bryggan mellan dina aktiva KYC- och transaktionssystem och den slutliga XML- eller strukturerade fil som CTA kräver. Där holdingstrukturer är inblandade, samordna detta med varje planering kring att inneha krypto genom en cypriotisk internationell trust så att rapporterings- och tillgångsskyddsdesign är förenliga.

När du bör ta in cypriotiska juridiska och skattemässiga rådgivare

Ta in cypriotiska juridiska och skattemässiga rådgivare nu om du har något aktivt dataglapp, någon tvekan kring RCASP-status eller någon komplexitet i din token- eller användarbas. Kostnaden för tidig rådgivning är liten mot exponeringen för en bristfällig första inlämning eller ett oåtgärdat dataglapp för 2026. Rådgivare kan också anpassa din DAC8-uppbyggnad till dina bredare skyldigheter enligt en översikt över skatter i Cypern.

Hur Philippou Law Firm kan hjälpa till

Philippou Law Firm ger cypriotiska kryptotillgångsföretag rådgivning om hela livscykeln för DAC8- och CARF-efterlevnad, från att bekräfta RCASP-status och diagnostisera retroaktiva dataglapp till att bygga regelefterlevande arbetsflöden för självcertifiering och förbereda den första inlämningen till Cyperns skattemyndighet. Våra jurister arbetar tillsammans med dina team för regelefterlevnad och teknik så att rapportering, MiCAR-licensiering och cypriotisk kryptoskatteplanering passar ihop snarare än att dra åt olika håll. Om du driver en kryptoverksamhet med någon anknytning till Cypern, kontakta oss nu, i god tid före deadline den 30 juni 2027, så att varje datainsamlingsproblem kan hanteras medan det fortfarande går att åtgärda.

Denna artikel utgör allmän information, inte juridisk rådgivning. Sök rådgivning om dina specifika omständigheter innan du agerar.