Ответственность участников рынка цифровых валют: KYC/AML и требования с 1 сентября 2026 года

Ответственность участников рынка цифровых валют — это административные и надзорные последствия за нарушение требований ПОД/ФТ и отраслевых обязанностей криптоинфраструктуры. В России регулируется законами № 282-ФЗ и № 283-ФЗ, 115-ФЗ и ст. 15.27 КоАП РФ. Применяется к организациям обмена цифровых валют, организаторам торговли, цифровым депозитариям и операторам отдельных видов.

Кратко:

• Основная часть законов № 282-ФЗ и № 283-ФЗ вступила в силу 1 сентября 2026 года, законы подписаны 4 августа 2026 года.
• Штраф для юридического лица по ч. 3 и ч. 4 ст. 15.27 КоАП РФ достигает 1 млн рублей, приостановление деятельности — до 90 суток.
• Операция с цифровой валютой по внешнеторговому договору между резидентом и нерезидентом подлежит обязательному контролю от 10 млн рублей (п. 1.12 ст. 6 115-ФЗ).
• Статус определяется по фактическим функциям: обозначения P2P и OTC самостоятельного правового статуса не образуют.
• Статья 45 закона № 282-ФЗ с порогами 100 и 300 тыс. рублей вступает в силу 1 сентября 2027 года, ст. 21 — 1 июля 2027 года.

С 1 сентября заработала основная часть законов №282-ФЗ и №283-ФЗ, подписанных 4 августа. Организации обмена цифровых валют, организаторы торговли и цифровые депозитарии впервые оказались в периметре 115-ФЗ со всем набором обязанностей — от идентификации клиента до замораживания активов по перечням. Цена ошибки для юрлица — до 1 млн руб. штрафа по ст. 15.27 КоАП РФ и приостановление деятельности на срок до 90 суток. Самые чувствительные для рынка нормы законодатель при этом отложил: проверка реквизитов плательщика заработает только с 1 сентября 2027 года, обязанность банка отказывать в переводе — с 1 июля 2027 года.

В отраслевой практике криптоплатформами называют разные сервисы, работающие с цифровыми валютами. Требования распространяются не на любую площадку, называющую себя криптобиржей или обменником, а на прямо указанные законом категории. Статус определяется по фактическим функциям: от чьего имени, за чей счёт и в чьих интересах совершаются сделки, кто учитывает активы, организует торги, предоставляет инфраструктуру и принимает решения по операциям.

Помимо KYC/AML-нарушений рассмотрим смежные риски организации обращения и расчётов цифровой валютой. Это самостоятельные основания, которые нельзя автоматически квалифицировать по ст. 15.27 КоАП РФ.

Какие законы регулируют ответственность криптоплатформ

Акт	Предмет	Роль
Закон № 282-ФЗ	Статусы, деятельность, цифровой анализ, хранение, реестры и надзор	Отраслевые обязанности и меры
Закон № 283-ФЗ	Изменения в 115-ФЗ и других актах	Связь отраслевого режима с
115-ФЗ	Идентификация, внутренний контроль, сообщения, блокирование и иные меры	Обязанности соответствующего субъекта
Ст. 15.27 КоАП РФ	Административные составы и санкции	Ответственность при наличии состава и вины

Статья 7 закона № 283-ФЗ внесла изменения в 115-ФЗ. Операция с цифровой валютой или предусмотренными нормой цифровыми правами, используемыми как встречное предоставление по внешнеторговому договору между резидентом и нерезидентом, подлежит обязательному контролю, если сумма равна 10 млн рублей или превышает её. Для применения правила проверяют полный состав условий п. 1.12 ст. 6 115-ФЗ, субъекта представления сведений и порядок информационного взаимодействия.

Чтобы определить, подлежит ли операция обязательному контролю, нужно проверить все условия п. 1.12 ст. 6 115-ФЗ. Затем установить, кто и в каком порядке должен передать сведения об операции.

Когда вступают в силу требования 282-ФЗ и 283-ФЗ

Как закон о цифровых валютах и цифровых правах распределяет статусы, допуск и KYC/AML-обязанности между участниками рынка, разобрано в обзоре 282-ФЗ и 283-ФЗ.

Дата	Событие
4 августа 2026 года	Подписаны законы № 282-ФЗ и № 283-ФЗ
1 сентября 2026 года	Вступила в силу основная часть законов
5 октября 2026 года	Вступают в силу Положение Банка России № 890-П и Указание № 7429-У: порядок допуска в реестры, основания отказа, ведение реестров
1 июля 2027 года	Вступят в силу ч. 3 ст. 1, ст. 21 и ч. 1 ст. 30 закона № 282-ФЗ
1 сентября 2027 года	Вступят в силу ст. 45 и ряд иных отдельно перечисленных норм

Статья 56 закона № 282-ФЗ и заключительные положения закона № 283-ФЗ устанавливают специальные сроки для отдельных норм. Дату каждой обязанности следует проверять по соответствующей отсылке в статье 56; сводные даты для комплаенс-службы собраны в календаре 282-ФЗ и 283-ФЗ.

Кто относится к участникам рынка цифровых валют по 282-ФЗ

Ответственность по ст. 15.27 возможна, если лицо относится к обязанным субъектам, на него распространялась конкретная норма 115-ФЗ, установлен факт её нарушения и вина. Обозначения P2P и OTC самостоятельного статуса не образуют, требуется анализ роли в сделках, денежных потоков, учёта активов и полномочий.

Категория	Основная функция	Что проверить
Организация обмена цифровых валют	Совершает установленные ст. 18 сделки либо оказывает предусмотренные ею услуги	Право на деятельность и реестр
Организатор торговли	Организует торги цифровыми валютами и цифровыми правами	Правила торгов и контроля операций
Цифровой депозитарий	Учитывает цифровые валюты и цифровые права	Специальные обязанности, учёт и хранение
Оператор конкретного вида	Выполняет функции соответствующей нормативной категории	Полное наименование и объём полномочий
P2P- или OTC-сервис	Использует коммерческую модель	Фактическое соответствие нормативной категории

Статья 18 закона № 282-ФЗ определяет деятельность организации обмена. Количественный критерий систематичности и остальные условия применяют в точной редакции статьи.

Что обязана делать криптоплатформа по 115-ФЗ

Статья 5 115-ФЗ определяет круг организаций, совершающих операции с денежными средствами или иным имуществом. После установления категории участника проверяют общие обязанности ст. 7 и специальные правила, включая ст. 7.7. Объём требований зависит от субъекта, операции и способа обслуживания.

Идентификация

Идентификация по 115-ФЗ охватывает применимые действия в отношении клиента, его представителя, выгодоприобретателя и бенефициарного владельца. Организация проверяет достоверность сведений, оценивает риск и обновляет информацию в установленных случаях. Проверка документа и видеоселфи выполняют отдельные технические задачи внутри процедуры.

Внутренний контроль

Организация разрабатывает правила внутреннего контроля в объёме, установленном для её категории. ПВК закрепляют программы идентификации, оценки риска, выявления контролируемых и подозрительных операций, работы с перечнями, представления сведений, хранения информации, подготовки работников и документирования решений. Конкретное содержание сверяют с применимым актом Банка России или Росфинмониторинга.

Перечни и блокирование

Статья 7.5 115-ФЗ предусматривает специальные обязанности при обслуживании лиц из соответствующих перечней. Организация проверяет клиентскую базу с установленной периодичностью и применяет замораживание (блокирование) денежных средств или иного имущества в предусмотренных законом случаях. Проверка клиентской базы дополняет проверки при приёме на обслуживание и совершении операций.

Публичные должностные лица

Статья 7.3 115-ФЗ устанавливает специальные меры для предусмотренных ею категорий публичных должностных лиц. Организация выявляет таких лиц, получает требуемые решения, устанавливает источники происхождения средств в применимых случаях и обновляет сведения. Порядок выстраивания регулярной сверки по реестрам и минимизации рисков при обслуживании таких клиентов описан в статье о санкционном скрининге и проверке PEP.

Поручение отдельных действий

Статья 7 115-ФЗ разрешает организации обмена цифровых валют поручать на основании договора определённые действия указанным в норме организациям. Договор фиксирует правовое основание, перечень действий, передачу результатов и контроль исполнения. Технологический подрядчик и субъект, которому 115-ФЗ разрешает поручить юридически значимые действия, имеют разный правовой статус.

Какие отраслевые обязанности вводит закон № 282-ФЗ

Статья 45 закона № 282-ФЗ требует от организации обмена и цифрового депозитария выполнять проверки для предотвращения операций без добровольного согласия клиента: перед операцией проверяется принадлежность клиенту предусмотренных нормой реквизитов, а при установленном несовпадении организация отказывает в операции. Норма содержит количественные пороги: при наличии сведений о клиенте в базе о случаях и попытках переводов без добровольного согласия клиента организация обмена вправе совершать сделки на сумму не более 100 тыс. рублей в месяц, а цифровой депозитарий обязан задерживать на 48 часов перевод на неадминистрируемый адрес-идентификатор свыше 100 тыс. рублей или в пользу третьего лица свыше 300 тыс. рублей. Статья 45 вступает в силу не с общей даты закона, а с 1 сентября 2027 года (ст. 56 ч. 3 закона № 282-ФЗ), что необходимо учитывать при определении применимого срока обязанности. Та же база о случаях и попытках переводов без добровольного согласия клиента, которую ведёт Банк России, применяется к руководителю заявителя уже при допуске: если в ней есть сведения о лице, осуществляющем функции единоличного исполнительного органа, Банк России отказывает во внесении в реестр (п. 4.3.12 Положения № 890-П). Это правило применяется с 5 октября 2026 года — почти за год до того, как ст. 45 начнёт применяться к клиентам.

Статья 35 закона № 282-ФЗ определяет цифровой анализ цифровых валют, предусмотренных цифровых прав и адресов-идентификаторов. Обязанные участники проводят анализ в установленных статьёй случаях. Идентификация, обязательный контроль и передача сведений сохраняются как самостоятельные процедуры при наличии оснований по 115-ФЗ.

Статья 40 закона № 282-ФЗ обязывает брокера, организатора торговли, организацию обмена и цифровой депозитарий хранить в России предусмотренную информацию пять лет со дня прекращения отношений с клиентом. Сроки удаления персональных данных определяют отдельно по 152-ФЗ и другим применимым нормам.

Как определить состав нарушения: шесть шагов квалификации

Этап	Вопрос	Опора	Результат
Статус	Какие функции выполняет лицо?	Закон № 282-ФЗ	Нормативная категория
Субъект	Входит ли лицо в круг субъектов?	Ст. 5 и специальные нормы 115-ФЗ	Объём ПОД/ФТ
Обязанность	Какое действие, срок или запрет установлены?	Конкретная статья и пункт	Проверяемое требование
Событие	Какой факт подтверждён?	Документы, журналы, сообщения	Фактическая основа
Состав	Какая часть КоАП РФ описывает событие?	Ст. 15.27 КоАП РФ	Возможная квалификация
Санкция	Какое наказание допускается?	Санкция соответствующей части	Диапазон последствий

Какие штрафы предусматривает ст. 15.27 КоАП РФ

Статья 15.27 КоАП РФ применяется при наличии действовавшей обязанности, подтверждённого нарушения и вины. Сокращённые формулировки ниже служат для навигации; квалификацию проводят по полному тексту нормы.

Часть	Субъект	Нарушение в сокращении	Для юридического лица
1	Субъект требований ПОД/ФТ	Неисполнение требований к организации и выполнению внутреннего контроля вне специальных составов	Предупреждение или 50–100 тыс. руб.
1.1	Кредитная организация	Неразработка ПВК или неназначение специального должностного лица	Предупреждение или 100–200 тыс. руб.
2	Обязанный субъект	Непредставление предусмотренных сведений либо недостоверные сведения	200–400 тыс. руб. или приостановление до 60 суток
2.1	Обязанный субъект	Нарушение требований о замораживании (блокировании) имущества или приостановлении операции	300–500 тыс. руб. или приостановление до 60 суток
2.2	Субъект нормы	Непредставление сведений о предусмотренных 115-ФЗ отказах	300–500 тыс. руб. или приостановление до 60 суток
2.3	Субъект запроса	Непредставление установленной информации по запросу	300–500 тыс. руб.
3	Проверяемое лицо	Воспрепятствование проверке или неисполнение предписания	700 тыс.–1 млн руб. или приостановление до 90 суток
4	Субъект требований ПОД/ФТ	Неисполнение требований с установленными приговором последствиями при отсутствии уголовно наказуемого деяния	500 тыс.–1 млн руб. или приостановление до 90 суток

Часть 4 охватывает последствия, установленные вступившим в силу приговором суда: легализацию преступных доходов, финансирование терроризма или финансирование экстремистской деятельности. Для кредитных организаций ст. 15.27 применяется в случаях по ч. 1.1 и 4.

Статья 15.27.3 КоАП РФ предусматривает самостоятельный состав для операций в интересах юридического лица с имуществом, заведомо полученным преступным путём. Его оценивают отдельно.

Чем надзорные меры отличаются от административного штрафа

Статья 53 закона № 282-ФЗ регулирует прекращение права на деятельность для указанных в ней участников. Дата прекращения права публикуется в реестре на сайте Банка России в сроки, установленные ч. 7 ст. 53 (пп. 1.2 п. 1 и п. 6 Указания № 7429-У). Если сведения об организации исключены из реестра по пунктам 2–11 ч. 1 ст. 53, повторно подать документы до истечения срока, предусмотренного ч. 16 ст. 53, нельзя: такая заявка — основание для отказа (п. 4.3.16 Положения № 890-П). Статья 54 закрепляет полномочия Банка России по регулированию, контролю и надзору. Административный штраф, надзорная мера, прекращение права, отказ во внесении в реестр и отказ банка в переводе применяются по разным основаниям.

Когда Банк России откажет во внесении в реестр

Отказ во внесении в реестр — не санкция, а решение на этапе допуска. Основания для него установлены ч. 8 ст. 52 закона № 282-ФЗ и дополнены пунктом 4.3 Положения Банка России № 890-П, которое применяется с 5 октября 2026 года. Эти основания касаются организаций обмена цифровых валют, цифровых депозитариев и операторов информационных систем, которые подают документы в общем порядке.

Группа оснований	Что проверяет Банк России	Пункт 890-П
Документы	Недостоверная информация в документах заявителя	4.3.1
Соответствие требованиям	Несоответствие заявителя, документов, руководителей и владельцев требованиям законодательства и актов Банка России, включая квалификационные требования (гл. 1) и требования к защите информации и операционной надёжности (гл. 2)	4.3.2
Финансовое состояние и статус	Банкротство или решение о ликвидации; временная администрация; аннулирование или отзыв банковской лицензии; аннулирование лицензии НФО или исключение из реестра НФО за нарушения законодательства менее трёх лет назад; классификационная группа банка ниже 2; приостановление лицензии НФО в течение 12 месяцев	4.3.3–4.3.8
Неисполненные предписания	Предписания Банка России о несоответствии руководителей, владельцев 10% и более и контролирующих лиц требованиям к квалификации, деловой репутации и финансовому положению; предписания по защите информации, операционной надёжности и противодействию операциям без согласия клиента	4.3.9–4.3.11, 4.3.13
Руководитель в базе	Сведения о лице, осуществляющем функции единоличного исполнительного органа заявителя, в базе о случаях и попытках переводов без добровольного согласия клиента	4.3.12
Проверка и инфраструктура	Акт о противодействии выездным проверочным мероприятиям; отсутствие основного и резервного комплексов программно-технических средств, а для депозитария и оператора — и системы резервного копирования	4.3.14–4.3.15
Повторная подача	Документы поданы до истечения срока ч. 16 ст. 53 после исключения из реестра по пунктам 2–11 ч. 1 ст. 53	4.3.16

Самое чувствительное для рынка основание — п. 4.3.12. Оно касается только лица, осуществляющего функции единоличного исполнительного органа заявителя: сведения о других руководителях и владельцах в базе о случаях и попытках переводов без добровольного согласия клиента по этому пункту отказом не оборачиваются. Кандидата на должность единоличного исполнительного органа стоит проверить до подачи документов, а не после.

Для организаций, которые входят в реестр в ускоренном порядке по главе 5 Положения (участники ЭПР, прежние ОИС, кредитные организации и брокеры по ст. 55 282-ФЗ), дополнительные основания п. 4.3 не применяются (п. 4.5); неполный пакет документов в этом случае оставляется без рассмотрения (п. 5.4).

Отказ во внесении в реестр не заменяет административную ответственность и не является ею: штраф по ст. 15.27 КоАП РФ назначается за нарушение уже действующей обязанности, а отказ закрывает вход на рынок до её возникновения. Как подготовить заявку на включение в реестр криптообменников ЦБ так, чтобы оснований для отказа не возникло, разобрано в отдельном материале.

Когда банк обязан отказать в переводе по ст. 21

Статья 21 закона № 282-ФЗ вступит в силу 1 июля 2027 года. С этой даты обслуживающий плательщика-резидента банк или филиал иностранного банка должен будет отказать в переводе при выполнении условий статьи. До указанной даты банк применяет другие действующие основания, включая подходящие к операции положения 115-ФЗ.

Что разрешает переходный режим до 30 июня 2027 года

Статья 55 закона № 282-ФЗ предусматривает временный режим до 30 июня 2027 года. Резидент вправе систематически совершать установленные сделки в собственных интересах, от своего имени и за свой счёт до включения сведений о нём в реестр организаций обмена. Другие применимые обязанности сохраняются.

Обязателен ли liveness и что остаётся на стороне заказчика

115-ФЗ не устанавливает самостоятельную liveness-проверку как универсальное требование для каждой организации. Набор технических проверок зависит от способа идентификации, подзаконных требований и внутренних процедур. Правовой режим видеоселфи зависит от состава данных, цели обработки и использования сведений для установления личности.

Передача технических операций сохраняет за заказчиком обязанности по 115-ФЗ, возложенные на него законом. KYC-провайдер автоматизирует отдельные проверки, но не переносит на себя регуляторный риск. Обязанная организация отвечает за правовое основание, внутренние процедуры, решение по клиенту и контроль порученной обработки.

Как подготовить криптоплатформу к требованиям: 7 шагов

1. Определить статус организации. Зафиксировать функции, роли, денежные потоки, учёт активов и применимые реестры.
2. Составить карту норм. Сопоставить закон № 282-ФЗ, новую редакцию 115-ФЗ и подзаконные акты, проверить дату вступления в силу каждой обязанности по ст. 56.
3. Настроить процессы ПОД/ФТ. Разделить идентификацию, оценку риска, обязательный контроль, подозрительные операции, перечни, блокирование и сообщения.
4. Обновить правила внутреннего контроля. Назначить ответственных, закрепить программы контроля, обучение, хранение и доказательства исполнения.
5. Проверить отраслевые обязанности. Настроить цифровой анализ по ст. 35, проверку реквизитов по ст. 45 и хранение информации по ст. 40.
6. Разграничить функции участников. Зафиксировать действия заказчика, кредитной организации и технологического провайдера.
7. Урегулировать обработку данных. Определить цели, основания, роли, защиту, локализацию, сроки хранения и удаления.