Ответственность участников рынка цифровых валют: KYC/AML и требования с 1 сентября 2026 года

Ответственность участников рынка цифровых валют — это административные и надзорные последствия за нарушение требований ПОД/ФТ и отраслевых обязанностей криптоинфраструктуры. В России регулируется законами № 282-ФЗ и № 283-ФЗ, 115-ФЗ и ст. 15.27 КоАП РФ. Применяется к организациям обмена цифровых валют, организаторам торговли, цифровым депозитариям и операторам отдельных видов.

Кратко:

• Основная часть законов № 282-ФЗ и № 283-ФЗ вступила в силу 1 сентября 2026 года, публикация состоялась 4 августа 2026 года.
• Штраф для юридического лица по ч. 3 и ч. 4 ст. 15.27 КоАП достигает 1 млн рублей, приостановление деятельности — до 90 суток.
• Операция с цифровой валютой по внешнеторговому договору между резидентом и нерезидентом подлежит обязательному контролю от 10 млн рублей (п. 1.12 ст. 6 115-ФЗ).
• Статус определяется по фактическим функциям: обозначения P2P и OTC самостоятельного правового статуса не образуют.
• Статья 45 закона № 282-ФЗ с порогами 100 и 300 тыс. рублей вступает в силу 1 сентября 2027 года, ст. 21 — 1 июля 2027 года.

С 1 сентября заработала основная часть законов №282-ФЗ и №283-ФЗ, опубликованных 4 августа. Организации обмена цифровых валют, организаторы торговли и цифровые депозитарии впервые оказались в периметре 115-ФЗ со всем набором обязанностей — от идентификации клиента до замораживания активов по перечням. Цена ошибки для юрлица — до 1 млн руб. штрафа по ст. 15.27 КоАП и приостановление деятельности на срок до 90 суток. Самые чувствительные для рынка нормы законодатель при этом отложил: проверка реквизитов плательщика заработает только с 1 сентября 2027 года, обязанность банка отказывать в переводе — с 1 июля 2027 года.

В отраслевой практике криптоплатформами называют разные сервисы, работающие с цифровыми валютами. Требования распространяются не на любую площадку, называющую себя криптобиржей или обменником, а на прямо указанные законом категории. Статус определяется по фактическим функциям: от чьего имени, за чей счёт и в чьих интересах совершаются сделки, кто учитывает активы, организует торги, предоставляет инфраструктуру и принимает решения по операциям.

Помимо KYC/AML-нарушений рассмотрим смежные риски организации обращения и расчётов цифровой валютой. Это самостоятельные основания, которые нельзя автоматически квалифицировать по ст. 15.27 КоАП.

Какие законы регулируют ответственность криптоплатформ

Статья 7 закона № 283-ФЗ внесла изменения в 115-ФЗ. Операция с цифровой валютой или предусмотренными нормой цифровыми правами, используемыми как встречное предоставление по внешнеторговому договору между резидентом и нерезидентом, подлежит обязательному контролю, если сумма равна 10 млн рублей или превышает её. Для применения правила проверяют полный состав условий п. 1.12 ст. 6 115-ФЗ, субъекта представления сведений и порядок информационного взаимодействия.

Чтобы определить, подлежит ли операция обязательному контролю, нужно проверить все условия п. 1.12 ст. 6 115-ФЗ. Затем установить, кто и в каком порядке должен передать сведения об операции.

Когда вступают в силу требования 282-ФЗ и 283-ФЗ

Статья 56 закона № 282-ФЗ и заключительные положения закона № 283-ФЗ устанавливают специальные сроки для отдельных норм. Дату каждой обязанности следует проверять по соответствующей отсылке в статье 56.

Кто относится к участникам рынка цифровых валют по 282-ФЗ

Ответственность по ст. 15.27 возможна, если лицо относится к обязанным субъектам, на него распространялась конкретная норма 115-ФЗ, установлен факт её нарушения и вина. Обозначения P2P и OTC самостоятельного статуса не образуют, требуется анализ роли в сделках, денежных потоков, учёта активов и полномочий.

Статья 18 закона № 282-ФЗ определяет деятельность организации обмена. Количественный критерий систематичности и остальные условия применяют в точной редакции статьи.

Что обязана делать криптоплатформа по 115-ФЗ

Статья 5 115-ФЗ определяет круг организаций, совершающих операции с денежными средствами или иным имуществом. После установления категории участника проверяют общие обязанности ст. 7 и специальные правила, включая ст. 7.7. Объём требований зависит от субъекта, операции и способа обслуживания.

Идентификация

Идентификация по 115-ФЗ охватывает применимые действия в отношении клиента, его представителя, выгодоприобретателя и бенефициарного владельца. Организация проверяет достоверность сведений, оценивает риск и обновляет информацию в установленных случаях. Проверка документа и видеоселфи выполняют отдельные технические задачи внутри процедуры.

Внутренний контроль

Организация разрабатывает правила внутреннего контроля в объёме, установленном для её категории. ПВК закрепляют программы идентификации, оценки риска, выявления контролируемых и подозрительных операций, работы с перечнями, представления сведений, хранения информации, подготовки работников и документирования решений. Конкретное содержание сверяют с применимым актом Банка России или Росфинмониторинга.

Перечни и блокирование

Статья 7.5 115-ФЗ предусматривает специальные обязанности при обслуживании лиц из соответствующих перечней. Организация проверяет клиентскую базу с установленной периодичностью и применяет замораживание (блокирование) денежных средств или иного имущества в предусмотренных законом случаях. Проверка клиентской базы дополняет проверки при приёме на обслуживание и совершении операций.

Публичные должностные лица

Статья 7.3 115-ФЗ устанавливает специальные меры для предусмотренных ею категорий публичных должностных лиц. Организация выявляет таких лиц, получает требуемые решения, устанавливает источники происхождения средств в применимых случаях и обновляет сведения. Порядок выстраивания регулярной сверки по реестрам и минимизации рисков при обслуживании таких клиентов описан в статье о санкционном скрининге и проверке PEP.

Поручение отдельных действий

Статья 7 115-ФЗ разрешает организации обмена цифровых валют поручать на основании договора определённые действия указанным в норме организациям. Договор фиксирует правовое основание, перечень действий, передачу результатов и контроль исполнения. Технологический подрядчик и субъект, которому 115-ФЗ разрешает поручить юридически значимые действия, имеют разный правовой статус.

Какие отраслевые обязанности вводит закон № 282-ФЗ

Статья 45 закона № 282-ФЗ требует от организации обмена и цифрового депозитария выполнять проверки для предотвращения операций без добровольного согласия клиента: перед операцией проверяется принадлежность клиенту предусмотренных нормой реквизитов, а при установленном несовпадении организация отказывает в операции. Норма содержит количественные пороги: при нахождении сведений о клиенте в базе данных о случаях мошеннических операций организация обмена вправе совершать с ним сделки на сумму не более 100 тыс. рублей в месяц, а цифровой депозитарий обязан задерживать на 48 часов перевод на неадминистрируемый адрес-идентификатор свыше 100 тыс. рублей или в пользу третьего лица свыше 300 тыс. рублей. Статья 45 вступает в силу не с общей даты закона, а с 1 сентября 2027 года (ст. 56 ч. 3 закона № 282-ФЗ), что необходимо учитывать при определении применимого срока обязанности.

Статья 35 закона № 282-ФЗ определяет цифровой анализ цифровых валют, предусмотренных цифровых прав и адресов-идентификаторов. Обязанные участники проводят анализ в установленных статьёй случаях. Идентификация, обязательный контроль и передача сведений сохраняются как самостоятельные процедуры при наличии оснований по 115-ФЗ.

Статья 40 закона № 282-ФЗ обязывает брокера, организатора торговли, организацию обмена и цифровой депозитарий хранить в России предусмотренную информацию пять лет со дня прекращения отношений с клиентом. Сроки удаления персональных данных определяют отдельно по 152-ФЗ и другим применимым нормам.

Как определить состав нарушения: шесть шагов квалификации

Какие штрафы предусматривает ст. 15.27 КоАП РФ

Статья 15.27 КоАП РФ применяется при наличии действовавшей обязанности, подтверждённого нарушения и вины. Сокращённые формулировки ниже служат для навигации; квалификацию проводят по полному тексту нормы.

Часть 4 охватывает последствия, установленные вступившим в силу приговором суда: легализацию преступных доходов, финансирование терроризма или финансирование экстремистской деятельности. Для кредитных организаций ст. 15.27 применяется в случаях по ч. 1.1 и 4.

Статья 15.27.3 КоАП РФ предусматривает самостоятельный состав для операций в интересах юридического лица с имуществом, заведомо полученным преступным путём. Его оценивают отдельно.

Чем надзорные меры отличаются от административного штрафа

Статья 53 закона № 282-ФЗ регулирует прекращение права на деятельность для указанных в ней участников. Статья 54 закрепляет полномочия Банка России по регулированию, контролю и надзору. Административный штраф, надзорная мера, прекращение права и отказ банка в переводе применяются по разным основаниям.

Когда банк обязан отказать в переводе по ст. 21

Статья 21 закона № 282-ФЗ вступит в силу 1 июля 2027 года. С этой даты обслуживающий плательщика-резидента банк или филиал иностранного банка должен будет отказать в переводе при выполнении условий статьи. До указанной даты банк применяет другие действующие основания, включая подходящие к операции положения 115-ФЗ.

Что разрешает переходный режим до 30 июня 2027 года

Статья 55 закона № 282-ФЗ предусматривает временный режим до 30 июня 2027 года. Резидент вправе систематически совершать установленные сделки в собственных интересах, от своего имени и за свой счёт до включения сведений о нём в реестр организаций обмена. Другие применимые обязанности сохраняются.

Обязателен ли liveness и что остаётся на стороне заказчика

115-ФЗ не устанавливает самостоятельную liveness-проверку как универсальное требование для каждой организации. Набор технических проверок зависит от способа идентификации, подзаконных требований и внутренних процедур. Правовой режим видеоселфи зависит от состава данных, цели обработки и использования сведений для установления личности.

Передача технических операций сохраняет за заказчиком обязанности по 115-ФЗ, возложенные на него законом. KYC-провайдер автоматизирует отдельные проверки, но не переносит на себя регуляторный риск. Обязанная организация отвечает за правовое основание, внутренние процедуры, решение по клиенту и контроль порученной обработки.

Как подготовить криптоплатформу к требованиям: 7 шагов

1. Определить статус организации. Зафиксировать функции, роли, денежные потоки, учёт активов и применимые реестры.
2. Составить карту норм. Сопоставить закон № 282-ФЗ, новую редакцию 115-ФЗ и подзаконные акты, проверить дату вступления в силу каждой обязанности по ст. 56.
3. Настроить процессы ПОД/ФТ. Разделить идентификацию, оценку риска, обязательный контроль, подозрительные операции, перечни, блокирование и сообщения.
4. Обновить правила внутреннего контроля. Назначить ответственных, закрепить программы контроля, обучение, хранение и доказательства исполнения.
5. Проверить отраслевые обязанности. Настроить цифровой анализ по ст. 35, проверку реквизитов по ст. 45 и хранение информации по ст. 40.
6. Разграничить функции участников. Зафиксировать действия заказчика, кредитной организации и технологического провайдера.
7. Урегулировать обработку данных. Определить цели, основания, роли, защиту, локализацию, сроки хранения и удаления.