Kantory kryptowalut i ich obowiązki z perspektywy 2026 roku

Podsumowanie najważniejszych punktów

• Autoryzacja MiCA jest obowiązkowa, a ostateczny termin się zbliża: Wszystkie kantory kryptowalut i dostawcy usług w zakresie kryptoaktywów muszą do 1 lipca 2026 posiadać aktywną licencję Czeskiego Banku Narodowego (ČNB). Okres przejściowy dla podmiotów, które złożyły wniosek w terminie, dobiega końca, a podmioty bez ważnej autoryzacji nie mogą dalej świadczyć usług.
• Obowiązki AML/CFT mają obecnie kluczowe znaczenie: Kantory kryptowalut muszą wdrożyć kompleksowe systemy Know your customer (KYC), monitorowanie transakcji, screening sankcyjny i zgłaszanie podejrzanych działań. Naruszenia tych obowiązków prowadziły w niedawnej przeszłości do wysokich kar, które w poważnych przypadkach sięgały setek milionów, a nawet miliardów euro w przypadku największych globalnych podmiotów.
• Raportowanie DAC 8: Dyrektywa DAC 8 miała być stosowana od 1 stycznia 2026, jednak czeska ustawa, która ją transponuje (druk Izby Poselskiej nr 98, sněmovní tisk 98), nie została dotąd uchwalona. Termin i formę raportowania określi dopiero ta ustawa.
• DORA i odporność techniczna nie podlegają dyskusji: Rozporządzenie w sprawie operacyjnej odporności cyfrowej (DORA) wymaga od kantorów kryptowalut solidnych zabezpieczeń cybernetycznych, monitorowania incydentów bezpieczeństwa i zgodności z rygorystycznymi standardami ochrony danych, przy czym wymogi obowiązują w pełni od 17 stycznia 2025.

MiCA i jej wpływ na czeskie kantory kryptowalut

Rozporządzenie MiCA (Markets in Crypto-Assets Regulation) wprowadza jednolite ramy regulacyjne dla wszystkich dostawców usług w zakresie kryptoaktywów (CASP – Crypto-Asset Service Providers) w całej Unii Europejskiej. W Republice Czeskiej rolę właściwego organu przejął Czeski Bank Narodowy (ČNB), który od 30 grudnia 2024 zaczął wydawać autoryzacje zgodnie ze zharmonizowanymi standardami europejskimi. Każdy kantor kryptowalut, który chce legalnie świadczyć usługi na rzecz klientów z Czech lub dowolnego państwa UE, musi obecnie przejść rygorystyczny proces autoryzacji.

Choć może się to wydawać wymogiem formalnym, rzeczywistość jest bardziej złożona. Proces autoryzacji jest wysoce selektywny i wymaga spełnienia bardzo surowych kryteriów. W przygotowaniu procedury i dokumentacji do autoryzacji MiCA może pomóc również zespół ds. licencji ČNB & inwestycji. Podmioty, które świadczyły usługi przed 30 grudnia 2024 i złożyły wniosek o zezwolenie do 31 lipca 2025, mogły kontynuować działalność w ramach okresu przejściowego, jednak okres ten kończy się najpóźniej 1 lipca 2026. Po tej dacie każdy dostawca usług musi już mieć ważną licencję.

Obowiązkowa autoryzacja i proces licencjonowania

Co konkretnie ocenia regulator? Na pierwszym miejscu systemy zarządzania i kontroli – jak spółka ma ustawione procesy decyzyjne, jaka jest jej polityka AML/CFT, jak zarządza ryzykiem i kto ponosi odpowiedzialność. Na drugim miejscu wyposażenie kapitałowe – minimalny kapitał początkowy różni się w zależności od świadczonych usług.

Minimalny kapitał zgodnie z art. 67 i załącznikiem IV MiCA wynosi 50 000 EUR (np. przyjmowanie i przekazywanie zleceń, doradztwo, transfery), 125 000 EUR (przechowywanie i administrowanie, wymiana kryptoaktywów na środki pieniężne lub inne kryptoaktywa) oraz 150 000 EUR (prowadzenie platformy obrotu).

Na trzecim miejscu są środki bezpieczeństwa, które podlegają rozporządzeniu DORA. Praktyczne skutki wymogów dotyczących IT i cyberbezpieczeństwa, w tym odpowiedzialność kierownictwa, podsumowuje także artykuł Gdy firma traci pieniądze przez phishing: odpowiedzialność prawna menedżerów i zarządu spółki. Czwartym elementem jest weryfikacja beneficjentów rzeczywistych i ich odpowiedniości. Bez rozwiązania wszystkich tych kwestii ČNB autoryzacji nie udzieli.

Pierwsze autoryzacje ČNB wydał w ciągu 2025 roku i na początku 2026 roku. Oznacza to, że proces jest wymagający, a liczba licencjonowanych operatorów jest na razie niewielka. Dla przedsiębiorców płynie z tego jasny przekaz: proces autoryzacji trwa miesiącami, wymaga starannego przygotowania prawnego i compliance i nie może być prowadzony w sposób improwizowany. W praktyce warto więc zawczasu zadbać o regulacyjne i transakcyjne ustawienie projektu, zazwyczaj także w ramach specjalizacji w zakresie kryptowalut.

Spółki, które zdały sobie z tego sprawę wcześniej i zaczęły się przygotowywać już w 2024 roku, mają teraz przewagę. Te, które zwlekały, stoją w obliczu realnego ryzyka konieczności zawieszenia działalności.

Zawartość wniosku autoryzacyjnego i praktyczne przeszkody

Jakie konkretne dokumenty i informacje musi przedłożyć kantor kryptowalut? Rozporządzenie MiCA określa długą listę. Do podstawowych należy szczegółowy opis struktury organizacyjnej obejmujący organy zarządzające, wyjaśnienie, kto za co odpowiada, oraz sposób zapewnienia niezależności funkcji compliance i zarządzania ryzykiem.

Nie chodzi o dokument, który jedynie formalnie „odnotowuje” strukturę, lecz o wykazanie jej rzeczywistego funkcjonowania. Kolejnymi ważnymi elementami są modele finansowe i plan na trzy lata. Podatkowe aspekty planowania i przyszłego raportowania (w tym skutki DAC 8) omawia również artykuł Korekta zeznania podatkowego: jak postępować po wykryciu błędu w księgowości i wyeliminować ryzyko wysokich sankcji. Kantor kryptowalut musi wykazać, że ma realistyczne przychody, nie jest uzależniony od jednego klienta i dysponuje środkami na wypełnienie obowiązków regulacyjnych.

Prawnicy kancelarii prawnej ARROWS często spotykają się z sytuacjami, w których małe podmioty nie doceniają, jakich kosztów rzeczywiście wymagają działy compliance, audyt czy infrastruktura techniczna. Niezbędna jest również polityka AML/CFT oparta na podejściu „risk-based”, co oznacza inne poziomy weryfikacji dla klientów z krajów wysokiego ryzyka, a inne dla zwykłych klientów lokalnych.

Nie może być jednakowa dla wszystkich. Konieczny jest audyt bezpieczeństwa IT przeprowadzony przez podmiot zewnętrzny, który musi obejmować testy penetracyjne, testy podatności oraz zgodność z DORA.

Istotne są także stosunki właścicielskie i uprawnienia współdecydowania wraz z informacjami o wszystkich osobach mających wpływ na podejmowanie decyzji. Jeśli za spółką stoją cudzoziemcy, ich przeszłość musi zostać zweryfikowana. Wielu przedsiębiorców sądzi, że przygotowanie takiego wniosku pójdzie szybko.

W praktyce trwa to 6–12 miesięcy, jeśli spółka jest już częściowo przygotowana. Jeżeli dopiero zaczyna, należy liczyć się z jeszcze dłuższymi terminami. Prawnicy kancelarii prawnej ARROWS pomagają klientom tak ustrukturyzować wniosek, aby spełniał oczekiwania ČNB i był zgodny z pozostałymi obowiązkami prawnymi (np. podatkowymi, z zakresu corporate governance itp.).

Paszportowanie i działalność w pozostałych państwach UE

Jedną z dużych zalet MiCA jest tzw. paszportowanie. Jeśli kantor kryptowalut uzyska autoryzację w Republice Czeskiej (lub w dowolnym innym państwie UE), może następnie świadczyć usługi w całej Unii bez konieczności uzyskiwania licencji w każdym państwie z osobna.

Wystarczy zgłosić ČNB zamiar świadczenia usług, co skutkuje notyfikacją w rejestrze ESMA. Brzmi to jak duża zaleta przy ekspansji i pod wieloma względami nią jest. W praktyce istnieją jednak ograniczenia.

Kantor kryptowalut może paszportować wyłącznie te usługi, na które ma autoryzację w państwie macierzystym – nie może rozszerzać oferty za granicą bez zgody krajowego regulatora. Ponadto dostawca mający co najmniej 15 milionów aktywnych użytkowników w UE jest uważany za istotnego (art. 85 MiCA); nadzór nad nim pozostaje w gestii organu krajowego, a ESMA otrzymuje regularne informacje.

Niektóre państwa mogą ponadto utrzymać dodatkowe wymogi dotyczące informacji i gromadzenia danych. Dla czeskich podmiotów oznacza to realistyczny plan: najpierw uzyskać czeską autoryzację, a następnie stopniowo i starannie rozszerzać działalność na inne państwa.

Prawnicy kancelarii prawnej ARROWS zajmują się właśnie tymi aspektami transgranicznymi i znają specyfikę poszczególnych państw. Dysponujemy w tym celu partnerami w sieci ARROWS International, co przydaje się przy bardziej złożonych strukturach z elementem zagranicznym.

Najczęstsze pytania dotyczące procesu autoryzacji MiCA

1. Ile czasu zajmuje uzyskanie autoryzacji MiCA w Republice Czeskiej?

Według doświadczeń prawników ARROWS i samego ČNB proces trwa zazwyczaj 6–12 miesięcy od złożenia kompletnego wniosku. Jeżeli wniosek jest niekompletny lub zawiera błędy, regulator zwraca go do uzupełnienia, a proces się wydłuża. W niektórych przypadkach ČNB żąda dodatkowych wyjaśnień lub audytu. Najbardziej krytyczne jest przygotowanie, które powinno trwać co najmniej 3–6 miesięcy. Dlatego zaleca się rozpocząć jak najwcześniej – każdy miesiąc zwłoki oznacza ryzyko, że podmiot po 1 lipca 2026 znajdzie się poza legalnym rynkiem.

2. Czy można kontynuować działalność bez autoryzacji do 1 lipca 2026?

Nie. Okres przejściowy kończy się 1 lipca 2026. Podmioty, które świadczyły usługi przed 30 grudnia 2024 i złożyły wniosek o zezwolenie do 31 lipca 2025, mogły kontynuować działalność do 1 lipca 2026, o ile wcześniej nie udzielono im autoryzacji lub jej nie odmówiono. Po 1 lipca 2026 świadczenie usług bez autoryzacji nie jest jednak legalne. Najlepiej skontaktuj się z kancelarią prawną ARROWS (konsultacja@arws.cz) i zweryfikuj swoją sytuację.

3. Jakie są główne powody, dla których ČNB odmawia autoryzacji?

Najczęściej chodzi o: (a) niewystarczające polityki AML/CFT, które nie są realistyczne dla danego rodzaju działalności, (b) słabe zarządzanie ryzykiem – nie jest jasne, kto za co odpowiada, (c) audyt bezpieczeństwa ujawnia krytyczne błędy w infrastrukturze IT, (d) właściciele lub menedżerowie nie spełniają testu odpowiedniości (fit-and-proper test), (e) niewystarczający kapitał lub niedoszacowanie kosztów operacyjnych. Prawnicy ARROWS pomogą wyeliminować te ryzyka już na etapie przygotowań.

Rozporządzenie DORA i bezpieczeństwo cyfrowe

Choć DORA (Digital Operational Resilience Act) nie jest regulacją stricte kryptowalutową, lecz ogólną regulacją sektora finansowego, ma zastosowanie również do kantorów kryptowalut. Weszła w życie 16 stycznia 2023, ale jej wymogi są stosowane i w pełni egzekwowalne od 17 stycznia 2025 (art. 64 DORA).

Czego konkretnie wymaga DORA? Przede wszystkim trzech filarów: (1) zarządzania ryzykiem ICT – procesu, w ramach którego kantor kryptowalut zajmuje się ryzykami cybernetycznymi, określenia, kto za to odpowiada i jak ryzyka są rozwiązywane.

(2) Zarządzanie ryzykiem związanym z podmiotami trzecimi – jeżeli kantor kryptowalut korzysta z usług podmiotów trzecich (dużych platform chmurowych, bramek płatniczych itp.), musi wiedzieć, jakie ryzyka tym samym przejął. (3) Zgłaszanie incydentów – w przypadku poważnego incydentu cybernetycznego kantor kryptowalut musi bez zbędnej zwłoki zgłosić go ČNB i zapewnić minimalizację szkód.

Z perspektywy kantorów kryptowalut szczególnie złożone jest kryterium „critical third-party providers” (CTPPs). Jeśli kantor kryptowalut polega na dużej platformie chmurowej lub bramce płatniczej i ta zawiedzie, regulatorzy starają się zapobiec rozprzestrzenieniu się ryzyka systemowego.

Oznacza to, że każdy taki krytyczny podmiot trzeci musi zostać oceniony, zabezpieczony umownie (z prawem do audytu i dostępu), a w miarę możliwości powinny istnieć rozwiązania awaryjne. W praktyce oznacza to, że kantory kryptowalut działające „na tanim hostingu” i posiadające prostą infrastrukturę IT bez redundancji nie mogą być zgodne z DORA. Muszą inwestować w całodobowy monitoring zagrożeń i incydentów bezpieczeństwa.

Niezbędne są testy penetracyjne co najmniej raz w roku oraz dokumentacja ryzyk IT z macierzą zagrożeń i środków łagodzących. Kluczowe jest ponadto zarządzanie incydentami, które określa, co się dzieje w razie ataku ransomware lub wycieku danych.

Konieczne są rozwiązania redundantne, które zapewnią funkcjonowanie systemu w razie awarii jednego z komponentów. Ważne są także szkolenia pracowników w zakresie bezpieczeństwa.

Czeski Bank Narodowy wydaje i będzie wydawał szczegółowe zalecenia i wymogi dotyczące nadzoru nad bezpieczeństwem cyfrowym. Nie wystarczy mieć politykę bezpieczeństwa „na papierze” – musi ona zostać rzeczywiście wdrożona.

DAC 8 i obowiązki raportowania transakcji podatkowych

Dyrektywa DAC 8 (Directive on Administrative Cooperation – ósma zmiana) otwiera nowy rozdział przejrzystości i identyfikowalności transakcji kryptowalutowych. Dyrektywa ta, przyjęta przez UE w ramach walki z uchylaniem się od opodatkowania i praniem pieniędzy, rozszerza obowiązki raportowe na kantory kryptowalut i ich klientów.

Czego konkretnie wymaga DAC 8?

Dyrektywa DAC 8 miała być stosowana od 1 stycznia 2026. Czeska ustawa, która ją transponuje (druk Izby Poselskiej nr 98, sněmovní tisk 98), nie została jednak dotąd uchwalona – i dopiero ona określi, od kiedy, komu i w jakiej formie kantory kryptowalut będą składać raporty. Zgodnie z dyrektywą raportowana będzie przede wszystkim rezydencja podatkowa klienta, czyli w jakim państwie ma on obowiązki podatkowe.

Ważne są dane transakcyjne – kto wysłał, komu, w jakiej kwocie, w jakiej kryptowalucie i kiedy. Raportowany jest także rodzaj transakcji – wymiana kryptowaluty na walutę fiat, kryptowaluty na kryptowalutę, zakup towarów/usług, staking, lending itp.

Kluczowe są kursy i równowartość w CZK – jaki był kurs w dniu transakcji i ile wynosiła kwota w koronach czeskich. Raportowane będą transakcje z kryptoaktywami, które spełniają definicję zawartą w DAC 8.

Kantory kryptowalut muszą przechowywać zapisy o wszystkich transakcjach na wypadek późniejszej kontroli, niezależnie od tego, czy podlegają one centralnemu raportowaniu.

Kiedy i komu składa się raporty?

Termin i formę raportowania określi dopiero ustawa transponująca dyrektywę DAC 8 (druk Izby Poselskiej nr 98). Raporty będą składane czeskiej administracji finansowej (finanční správa); konkretny urząd i procedurę również wskaże ta ustawa.

Informacje są następnie automatycznie udostępniane między organami podatkowymi poszczególnych państw UE oraz innych państw, które przystąpiły do ram OECD dotyczących wymiany informacji o kryptoaktywach (CARF). Oznacza to, że jeśli czeski podmiot ma część środków zakupionych w Czechach, a część na giełdzie na przykład w Singapurze lub w Wielkiej Brytanii (o ile państwa te uczestniczą w automatycznej wymianie informacji w ramach CARF lub innych umów), organy podatkowe tych państw otrzymają informacje o tym kliencie.

Wpływ na klientów

Dla klientów kantorów kryptowalut oznaczać to będzie po uchwaleniu czeskiej ustawy zupełnie nowy reżim przejrzystości. Nie będą już mogli „anonimowo” kupować kryptowalut i liczyć, że nikt się o tym nie dowie.

Jeżeli klient mimo upomnień nie przekaże kantorowi kryptowalut wymaganych danych (np. rezydencji podatkowej), kantor powinien zgodnie z dyrektywą uniemożliwić mu dalsze transakcje. Tworzy to również nową sytuację dla przedsiębiorców i inwestorów, którzy wcześniej uważali, że mają „przynajmniej kryptowaluty dla siebie, bez raportowania”.

Z chwilą uchwalenia czeskiej ustawy przestanie to być prawdą. Odpowiada to globalnemu trendowi. FATF i UE uznały, że „krypto nie pozostanie na zawsze poza zasięgiem prawa”, i stopniowo włączają je do standardowego nadzoru finansowego.

Najczęstsze pytania dotyczące raportowania DAC 8 i obowiązków podatkowych

1. W jaki sposób kantor kryptowalut będzie raportować dane zgodnie z DAC 8?

Termin i formę raportowania określi dopiero ustawa transponująca dyrektywę DAC 8 (druk Izby Poselskiej nr 98), która nie została dotąd uchwalona. Zgodnie z dyrektywą kantor kryptowalut będzie przekazywać czeskiej administracji finansowej dane o odpowiednich transakcjach, rezydencji podatkowej klienta, rodzaju transakcji i kursie. Dane są następnie automatycznie udostępniane między państwami UE i innymi uczestniczącymi państwami. Będzie to raportowanie elektroniczne w ustrukturyzowanej formie, a nie formularz papierowy.

2. Co będzie grozić kantorowi kryptowalut, który nie będzie raportować?

Konkretne sankcje określi dopiero czeska ustawa transponująca DAC 8; dyrektywa wymaga od państw, aby były one skuteczne, proporcjonalne i odstraszające. Kantor kryptowalut powinien zatem już teraz przygotować gromadzenie niezbędnych danych od klientów, aby po uchwaleniu ustawy nie musiał ich w pośpiechu uzupełniać. Brak raportu lub raport błędny może prowadzić także do zapytań administracji finansowej kierowanych do samych klientów.

3. Czy indywidualny inwestor/trader ma wpływ na raportowanie podatkowe kantoru kryptowalut?

Tak. Inwestor będzie musiał przekazać kantorowi kryptowalut swoją rezydencję podatkową i inne dane. Jeżeli mimo upomnień ich nie dostarczy, kantor powinien zgodnie z dyrektywą uniemożliwić mu dalsze transakcje. Nieprawdziwe dane (np. deklarowanie zagranicznej rezydencji przez czeskiego rezydenta) mogą prowadzić do wymiaru dodatkowego podatku i sankcji. W praktyce oznacza to koniec anonimowego handlu kryptowalutami u regulowanych dostawców.

Obowiązki AML/CFT i compliance

Przeciwdziałanie praniu pieniędzy (AML – Anti-Money Laundering) i finansowaniu terroryzmu (CFT – Counter-Terrorist Financing) staje się w kantorach kryptowalut jednym z najbardziej newralgicznych obszarów regulacji. W ostatnich latach niektóre z największych giełd na świecie zostały ukarane za uchybienia w systemach AML/CFT.

Przykładowo jedna z największych giełd na świecie zapłaciła wysokie kary rzędu miliardów dolarów, a inne podmioty zostały ukarane kwotami liczonymi w milionach euro. Pokazuje to, jak poważnie regulatorzy podchodzą do egzekwowania tych obowiązków.

Know your customer (KYC) – kamień węgielny

KYC to podstawowy element compliance. Zanim kantor kryptowalut otworzy klientowi rachunek, musi ustalić jego tożsamość, zweryfikować ją na podstawie dokumentu, a także ustalić źródło jego środków (Source of Funds). W minimalnym zakresie chodzi o imię i nazwisko – muszą to być prawdziwe dane.

Ponadto potrzebna jest data urodzenia – w celu weryfikacji wieku, a w niektórych państwach również do rejestracji w centralnych bazach danych. Niezbędny jest adres – miejsce stałego pobytu lub adres służbowy.

Ważny jest także rodzaj rachunku – osoba fizyczna, osoba prawna lub inny podmiot. I wreszcie cel korzystania – w jakim celu klient zakłada rachunek (trading, długoterminowe inwestowanie, zakup towarów itp.).

W praktyce oznacza to, że każdy klient musi przejść weryfikację, która w trybie online często obejmuje test liveness (selfie z dokumentem), test OCR (optyczny odczyt dokumentu) oraz sprawdzenie na listach PEP (Politically Exposed Persons) i listach sankcyjnych.

Monitorowanie transakcji i reguła podróży

Gdy klient przejdzie weryfikację KYC, kantor kryptowalut musi stale monitorować jego transakcje. Reguła podróży (Travel Rule), ustanowiona przez FATF i obecnie wdrożona w ramach MiCA, wymaga, aby przy każdym transferze powyżej 1 000 EUR (lub równowartości w USD) między kantorami kryptowalut lub do portfela niehostowanego (unhosted wallet) została utrwalona i zweryfikowana tożsamość zarówno nadawcy, jak i odbiorcy.

W praktyce działa to tak, że gdy klient wysyła kryptowaluty z jednej giełdy na drugą, giełda wysyłająca musi wraz z transakcją przesłać informację „odbiorcą jest osoba XYZ, numer paszportu ABC, miejsce zamieszkania DEF”. Giełda odbiorcy weryfikuje i archiwizuje tę informację. Gdyby odbiorcą była osoba z listy sankcyjnej, giełda powinna transakcję wstrzymać.

Brzmi to prosto, ale w praktyce oznacza, że każda giełda musi mieć ustanowione kanały komunikacji z innymi giełdami, infrastrukturę cyfrową do wymiany informacji oraz personel, który tym zarządza. Wiele mniejszych giełd, które nie wdrożyły tych systemów na czas, napotyka trudności z egzekwowaniem tych wymogów.

Zgłaszanie podejrzanych działań (SAR/STR)

Jeśli kantor kryptowalut wykryje transakcję, która wygląda podejrzanie – na przykład nagły napływ środków od osoby bez uzasadnienia, transakcję z osobą z listy sankcyjnej lub ustrukturyzowane drobne transakcje, które łącznie tworzą kwotę mającą na celu obejście limitów – musi to zgłosić.

Zgłoszenie (Suspicious Activity Report – SAR, lub w UE Suspicious Transaction Report – STR) przesyła się do czeskiego Urzędu Analiz Finansowych (Finanční analytický úřad, FAÚ) w Republice Czeskiej lub do właściwej jednostki analityki finansowej (Financial Intelligence Unit, FIU) w innych państwach UE. Jeżeli giełda stwierdzi, że przyjęła transakcję od osoby, która już figuruje na liście sankcyjnej, ma obowiązek tę transakcję zablokować, zamrozić aktywa i poinformować ČNB oraz FAÚ.

W rzeczywistości regulatorzy w przeszłości koncentrowali się na przypadkach, w których giełdy miały ogromną liczbę nieprzetworzonych lub niedostatecznie przeanalizowanych podejrzanych transakcji, które nie zostały zgłoszone na czas. ČNB podczas kontroli sprawdza właśnie ten punkt: jak długo trwa analiza transakcji, jak dokumentowany jest proces decyzyjny i czy SAR/STR są przesyłane bez zbędnej zwłoki.

Screening sankcyjny i szczególne zagrożenia w 2026 roku

W 2025 roku doszło do znacznego wzrostu liczby sankcji i ich stosowania w sektorze kryptowalut. Według dostępnych raportów i analiz wartość transakcji podmiotów objętych sankcjami znacząco wzrosła. Rosja, Iran i KRLD aktywnie wykorzystują kantory kryptowalut do obchodzenia sankcji, a regulatorzy uważnie to śledzą i reagują.

OFAC (Office of Foreign Assets Control) objął w przeszłości sankcjami wiele kantorów kryptowalut, które ułatwiały transakcje z podmiotami z Rosji, Iranu i KRLD. Unia Europejska przyjęła pakiety sankcji wymierzone specjalnie w usługi kryptowalutowe.Podobnie postępuje brytyjski Urząd ds. Wdrażania Sankcji Finansowych (OFSI).

Co to oznacza dla czeskiego kantoru kryptowalut? Oznacza to, że nie może on przyjmować klientów z określonych państw, nie może wysyłać ani przyjmować transakcji z/do określonych państw i nie może zawierać transakcji z określonymi osobami wpisanymi na listę sankcyjną.

Zarządzanie sankcjami wymaga co najmniej jednego screeningu przed onboardingiem – sprawdzenia, czy klient nie figuruje na liście OFAC, UE, Wielkiej Brytanii lub innych właściwych instytucji. Konieczny jest także bieżący screening – monitorowanie, czy w trakcie relacji z klientem nie zostanie on wpisany na listę.

Kluczowe jest prowadzenie dokumentacji – archiwizowanie, kiedy screening przeprowadzono, jaki był jego wynik i kto go wykonał. Wreszcie blokowanie transakcji – w przypadku wykrycia podejrzanego transferu musi on zostać wstrzymany.

Wszystko to wymaga nowoczesnego oprogramowania compliance i odpowiednich procesów. Kantor kryptowalut, który próbuje robić wszystko ręcznie lub korzysta z przestarzałych systemów, bardzo szybko narazi się na ryzyko kary i szkód wizerunkowych.

Praktyczne problemy, z którymi kantory kryptowalut mierzą się w 2026 roku

Do 1 lipca 2026 kantory kryptowalut, które świadczyły usługi przed 30 grudnia 2024 i złożyły wniosek o zezwolenie do 31 lipca 2025, mogły kontynuować działalność w ramach tzw. reżimu przejściowego, nawet jeśli nie miały jeszcze ostatecznej autoryzacji. Po tej dacie kończy się to całkowicie – bez autoryzacji nie ma działalności.

ESMA jednoznacznie stwierdziła, że każdy podmiot świadczący usługi bez licencji będzie od 1 lipca 2026 naruszał prawo UE i podlegał egzekucji. Tworzy to bardzo stresującą sytuację.

Spółki, które w ocenie prawników zasługują na autoryzację, ale których wnioski ČNB jeszcze nie rozpatrzył, będą musiały albo aktywnie uporać się z sytuacją klientów i wstrzymać przyjmowanie nowych, albo ryzykować sankcje prawne.

Przedsiębiorcy kryptowalutowi zmagają się z ograniczonym dostępem do usług bankowych

Jednym z dużych problemów kantorów kryptowalut w Czechach jest to, że tradycyjne banki (np. powiązane ze starszymi grupami kanadyjskimi lub skandynawskimi) nie chcą zajmować się kryptowalutami. Zwykle odmawiają otwarcia kantorom kryptowalut zwykłych rachunków bankowych lub je zamykają, nawet jeśli kantory działają zgodnie z regulacjami.

Jest to paradoksalne, ponieważ MiCA właśnie przyznaje kantorom kryptowalut licencję na działalność – ale bez rachunku bankowego nie mogą one w pełni z niej korzystać. Wiele czeskich kantorów kryptowalut szuka więc partnerów bankowych za granicą – na Litwie, w Estonii, na Malcie lub w Stanach Zjednoczonych (jeżeli mają podmioty zależne w UE).

Zazwyczaj oznacza to jednak dodatkowe compliance, dodatkowe obowiązki AML i wyższe koszty.

Problem tokenizacji i klasyfikacji aktywów

MiCA ściśle rozróżnia poszczególne rodzaje kryptoaktywów: zwykłe kryptowaluty (np. Bitcoin, Ethereum), tokeny powiązane z aktywami (ARTs), tokeny będące e-pieniądzem (EMTs) oraz pozostałe kryptoaktywa. Każda kategoria podlega innym wymogom.

Problem polega na tym, że wiele projektów (np. tokeny typu wrapped, różne protokoły DeFi) mieści się w szarej strefie. Czy to papier wartościowy, towar, czy coś zupełnie innego?

UE próbuje to wyjaśnić, ale dla czeskiego kantoru kryptowalut oznacza to, że musi sam poradzić sobie z klasyfikacją i związanymi z nią obowiązkami regulacyjnymi. Prawnicy kancelarii prawnej ARROWS zajmują się właśnie tymi kwestiami klasyfikacyjnymi i mogą pomóc klientom ustrukturyzować ofertę tak, aby była zgodna z regulacjami poszczególnych państw.

Podsumowanie końcowe

Rok 2026 to moment transformacji dla wszystkich, którzy w Republice Czeskiej prowadzą działalność związaną z kryptowalutami. Rozporządzenie MiCA z ostatecznym terminem zakończenia okresu przejściowego 1 lipca 2026, przygotowywane obowiązki wynikające z DAC 8, wymogi compliance zgodnie z FATF Travel Rule oraz rozporządzenie DORA dotyczące bezpieczeństwa cyfrowego – wszystko to oznacza, że prowadzenie kantoru kryptowalut nie jest już sprawą kilku komputerów i paru osób.

Chodzi o złożoną działalność wymagającą infrastruktury prawnej, systemów compliance, bezpieczeństwa IT, audytu i stałego monitoringu. Dla kantorów kryptowalut oznacza to realne skutki: bez autoryzacji po 1 lipca 2026 nie mogą działać na rynku, bez prawidłowego AML/CFT ryzykują wysokie kary (rzędu dziesiątek, a nawet setek milionów koron czeskich za poważne naruszenia), a bez zgodności z DORA ryzykują awarię systemu i sankcje.

Obecnie pozostało już bardzo niewiele czasu, aby podmioty, które dotąd nie mają autoryzacji, miały szansę ją uzyskać. Pozostałe realnie znajdą się poza legalnym rynkiem. To nie pesymizm, lecz rzeczywistość rozwoju regulacji.

W pozytywnym sensie oznacza to, że sektor kryptowalut stopniowo się „normalizuje” i przestaje być szarą strefą. Klienci mają większą ochronę, giełdy podlegają nadzorowi, a system jako całość jest bezpieczniejszy. W negatywnym sensie oznacza to wyższe koszty, bardziej złożone operacje i rygorystyczne compliance.

Jeśli prowadzisz kantor kryptowalut lub świadczysz usługi w zakresie kryptoaktywów i nie wiesz, jak się do tego zabrać, nie wahaj się zwrócić do prawników kancelarii prawnej ARROWS (konsultacja@arws.cz). Oferujemy kompleksowe doradztwo prawne w zakresie regulacji kryptoaktywów, przygotowanie wniosków autoryzacyjnych dla ČNB, ustawienie systemów AML/CFT, wdrożenie DORA i pomoc przy raportowaniu DAC 8.

Jeśli Twoja działalność ma element międzynarodowy – np. masz klientów w innych państwach UE lub planujesz ekspansję – dysponujemy siecią partnerską ARROWS International, która zajmuje się takimi kwestiami transgranicznymi.

Najczęstsze pytania dotyczące kantorów kryptowalut i ich obowiązków w 2026 roku

1. Czym dokładnie jest kantor kryptowalut według MiCA i kiedy mają zastosowanie obowiązki wynikające z MiCA?

Kantor kryptowalut to w terminologii MiCA „Crypto-Asset Service Provider” (CASP), który świadczy usługi takie jak kupno i sprzedaż kryptowalut za walutę fiat, wymiana między różnymi kryptowalutami, custody (przechowywanie) lub doradztwo. MiCA ma zastosowanie do każdego podmiotu, który prowadzi taką działalność i ma klientów w UE. Jeśli więc czeski podmiot prowadzi giełdę i ma klientów z Czech lub dowolnego państwa UE, musi spełniać obowiązki wynikające z MiCA. Bez autoryzacji ČNB nie jest to możliwe. Prawnicy ARROWS pomogą dokładnie określić, które z Twoich działań wchodzą w zakres MiCA i jakie obowiązki Cię w związku z tym dotyczą.

2. Mamy mniejszą giełdę – czy MiCA dotyczy nas, nawet jeśli mamy tylko kilkudziesięciu klientów?

Tak, bezwzględnie. MiCA ma zastosowanie do wszystkich CASP niezależnie od ich wielkości. Jedynym wyjątkiem są w pełni zdecentralizowane platformy bez zidentyfikowanego operatora, ale te są bardzo rzadkie. Jeśli jesteś zidentyfikowanym podmiotem i prowadzisz działalność objętą MiCA, musisz spełniać wymogi. Nawet mała giełda nie może zakładać, że jest „zbyt mała” na regulację. Prawnicy ARROWS pracują z klientami każdej wielkości i potrafią proporcjonalnie dostosować wymogi do skali działalności, jednak całkowite odstąpienie od nich nie jest możliwe.

3. Czy nie dałoby się „wyemigrować” za granicę i w ten sposób uniknąć regulacji?

To pytanie zadaje sobie wiele podmiotów. Odpowiedź brzmi jednak: nie. Jeśli Twoja giełda ma choćby jednego klienta z Czech lub UE, podlegasz MiCA, nawet jeśli Twoja osoba prawna jest zarejestrowana poza UE. ESMA i ČNB to monitorują i egzekwują. Jeśli spróbujesz obejść regulację (np. poprzez ukrycie rzeczywistej siedziby), grożą Ci wysokie kary, a potencjalnie także odpowiedzialność karna. Znacznie lepiej działać proaktywnie, uzyskać autoryzację i mieć „paszport” do całej UE. Prawnicy ARROWS pomogą ustrukturyzować to bezpiecznie i zgodnie z prawem.

4. Ile mniej więcej będzie kosztować zespół compliance, bezpieczeństwo IT i postępowanie autoryzacyjne?

Trudno to uogólniać, ale orientacyjnie: przygotowanie wniosku autoryzacyjnego (prawne, audyt, bezpieczeństwo) kosztuje zazwyczaj setki tysięcy koron czeskich (300 000 – 800 000 CZK, ok. 12 300 – 32 900 EUR) i wymaga inwestycji w wykwalifikowanych doradców. Roczne operacje compliance (KYC, monitoring, SAR/STR, raportowanie) kosztują od setek tysięcy do milionów koron czeskich (500 000 – 2 mln CZK, ok. 20 600 – 82 300 EUR) rocznie, w zależności od liczby klientów i złożoności. Infrastruktura IT z zabezpieczeniami i zgodnością z DORA może wymagać inwestycji rzędu kilku milionów koron czeskich rocznie. Koszty te są realne i trzeba je uwzględnić w modelach biznesowych. Podmioty, które sobie tego nie uświadomiły, wkrótce przekonają się, że biznes kryptowalutowy nie jest tak tani, jak się wydaje. Prawnicy ARROWS pomogą w opracowaniu prognoz i dopilnują, aby koszty nie „wymknęły się spod kontroli” przez niepotrzebne błędy.

5. Jakie są główne punkty kontrolne, które ČNB sprawdza podczas kontroli?

ČNB koncentruje się przede wszystkim na: (a) polityce AML/CFT i jej praktycznym wdrożeniu – nie chodzi tylko o dokument, ale o rzeczywiste procesy, (b) procedurach KYC – losowo wybiera klientów i sprawdza, czy KYC zostało przeprowadzone prawidłowo, (c) monitorowaniu transakcji – czy wykryte podejrzane transakcje są prawidłowo przetwarzane i zgłaszane, (d) zgłoszeniach SAR/STR – czy zostały dokonane bez zbędnej zwłoki, (e) bezpieczeństwie IT i zarządzaniu incydentami – czy są realizowane zgodnie z DORA, (f) strukturze właścicielskiej i kierownictwie – czy członkowie kierownictwa są odpowiedni (fit-and-proper test). W każdej kategorii ČNB pobiera próbkę i szczegółowo ją bada. Jeśli wykryje istotne uchybienia, następują ostrzeżenia i kara.

6. Co się stanie, jeśli stracę klientów lub pieniądze w wyniku ataku hakerskiego – czy odpowiadam ja?

Zgodnie z MiCA i DORA odpowiadasz Ty. Kantor kryptowalut musi przechowywać kryptoaktywa klientów oddzielnie (segregacja aktywów), nie może ich wykorzystywać na własny rachunek i musi chronić je przed cyberatakami. Jeśli dojdzie do ataku hakerskiego i klienci stracą pieniądze, odpowiadasz Ty. Dotyczy to także podmiotów trzecich – jeśli wynajmiesz dostawcę chmury, a ten zawiedzie w zakresie bezpieczeństwa, nadal odpowiadasz Ty. Dlatego MiCA (art. 67) wymaga, aby CASP dysponował środkami własnymi lub ubezpieczeniem albo ich kombinacją. Prawnicy ARROWS pomogą prawidłowo ustrukturyzować ochronę ubezpieczeniową i ryzyka.