21. pakiet sankcji UE: zakaz kryptowalut dla krajów trzecich i co oznacza dla Twojej firmy

Opublikowany w sierpniu 2026 r. 21. pakiet sankcji Unii Europejskiej wyznacza nowe standardy. Po raz pierwszy przepisy sankcyjne UE wprowadzają tzw. „zakaz dla krajów trzecich” dotyczący działalności kryptowalutowej, czyli ograniczenia, które celują w geografię usługi, a nie tylko w tożsamość kontrahenta. Dla firm księgowych, audytorów i dyrektorów finansowych mających jakąkolwiek styczność z aktywami cyfrowymi nie jest to jedynie aktualizacja przepisów w tle. To zmienia granice tego, jakie transakcje mogą być księgowane, jakie salda mogą być utrzymywane i jakie ujawnienia są wymagane.

Co dokładnie mówi 21. pakiet sankcji

Poprzednie pakiety sankcji UE dotyczące kryptowalut w dużej mierze opierały się na konwencjonalnym schemacie: zamrożenie aktywów wskazanych osób i podmiotów, zakaz transakcji z nimi przez osoby z UE oraz obowiązek ich identyfikacji i blokowania przez dostawców usług kryptowalutowych (CASP). 21. pakiet zachowuje to wszystko, ale nakłada na to dodatkowo ograniczenie geograficzne, które jest strukturalnie inne.

Wymiar krajów trzecich

Nowe przepisy zakazują CASP z autoryzacją UE świadczenia usług na terenie lub do określonych krajów trzecich, jeśli usługi te dotyczą aktywów kryptowalutowych i istnieje obawa, że jurysdykcja ta stanowi kanał do obchodzenia sankcji. Logika jest prosta: jeśli CASP może swobodnie pozyskiwać użytkowników lub przetwarzać transakcje rutingowane przez jurysdykcję spoza UE, która nie ma równoważnych zabezpieczeń, cały system sankcji UE może zostać ominięty jedną decyzją routingu. Pakiet bezpośrednio wypełnia tę lukę.

Ta warstwa geograficzna oznacza, że zgodność nie jest już zapewniona wyłącznie poprzez sprawdzanie kontrahentów na skonsolidowanych listach UE. Firmy muszą również ocenić, gdzie transakcja się zaczyna lub kończy i czy sama geografia nie wywołuje ograniczenia, niezależnie od tego, czy konkretny kontrahent znajduje się na jakiejkolwiek liście.

Interakcja z istniejącymi obowiązkami CASP

CASP z autoryzacją UE już działają w ramach ram autoryzacyjnych MiCA i wymogów zasady podróży wynikających z Rozporządzenia o transferze środków. 21. pakiet nakłada się na oba te elementy. CASP zgodny z MiCA i zasadą podróży nie jest automatycznie zgodny z sankcjami w świetle nowych przepisów geograficznych. Te trzy reżimy są kumulatywne, a nie alternatywne. Dla firm doradzających CASP lub posiadających inwestycje w CASP w bilansie to nakładanie się ma bezpośrednie implikacje dla tego, jak oceniasz profil ryzyka regulacyjnego klienta lub spółki portfelowej.

Kogo dotyczy to bezpośrednio

Najbardziej natychmiastowy wpływ odczuwają regulowane CASP działające na podstawie autoryzacji MiCA w krajach członkowskich UE. Ale skutki w dalszej kolejności sięgają znacznie dalej.

Firmy księgowe i audytorzy

Firmy audytujące CASP lub firmy z istotnymi pozycjami kryptowalut w skarbcu muszą teraz uwzględnić zakaz dla krajów trzecich w swojej ocenie zdolności do kontynuacji działalności i ryzyka. Jeśli klient audytowy rutinguje znaczącą część swojego wolumenu kryptowalut przez jurysdykcję objętą zakazem, ma on ekspozycję regulacyjną, którą należy ocenić, ujawnić i potencjalnie zakwalifikować. To samo dotyczy firm świadczących outsourcing compliance lub funkcje związane z ryzykiem przestępczości finansowej dla CASP: zakres zaangażowania może wymagać rozszerzenia o screening geograficzny, nie tylko screening kontrahentów.

Z punktu widzenia zgodności z MiCA i jakości instytucjonalnej w europejskich finansach cyfrowych, 21. pakiet przyspiesza trend, który już był widoczny: poprzeczka tego, co oznacza odpowiednia zgodność kryptograficzna w Europie, stale rośnie, a firmy, których wewnętrzne ramy były skalibrowane do wymogów wcześniejszej generacji, są już w tyle.

CFO i zespoły skarbowe

Korporacyjne zespoły skarbowe posiadające aktywa kryptowalutowe lub korzystające z kryptowalutowych szyn do płatności transgranicznych stoją przed dwoma odrębnymi pytaniami. Po pierwsze, czy obecna infrastruktura kontrahentów lub routingu skarbu przechodzi przez objęty zakazem kraj trzeci? Po drugie, czy dostawca CASP firmy ma odpowiednie zabezpieczenia, aby zapewnić, że transakcje firmy nie naruszają przepisów przypadkowo? Drugie pytanie jest ważne, ponieważ przepisy nakładają obowiązki zarówno na CASP, jak i, w niektórych okolicznościach, na jednostkę klienta. Nieznajomość geografii routingu nie jest obroną.

CFO powinni również rozważyć, czy istniejące ujawnienia w sprawozdaniach rocznych i śródrocznych odpowiednio odzwierciedlają tę nową warstwę regulacyjną. Jeśli istotna część działalności kryptograficznej firmy podlega obecnie ograniczeniom geograficznym, jest to zobowiązanie warunkowe i czynnik zdolności do kontynuacji działalności, o który będą pytać audytorzy.

Zarządzający funduszami i inwestorzy instytucjonalni

Zarządzający funduszami z alokacjami w aktywa cyfrowe muszą zweryfikować, czy którekolwiek z ich pozycji jest przechowywane lub administrowane przez struktury dotykające jurysdykcji objętych zakazem. Obejmuje to fundusze funduszy i produkty strukturyzowane, gdzie ekspozycja na podstawowy CASP może nie być natychmiast widoczna w dokumentach funduszu najwyższego poziomu. Pozycja, która wygląda na czystą na poziomie funduszu, może nieść naruszenie na poziomie subfunduszu lub depozytariusza.

Implikacje księgowe i sprawozdawcze

Utrata wartości aktywów i wartość godziwa

Zgodnie zarówno z MSSF, jak i US GAAP, aktywa kryptograficzne wyceniane w wartości godziwej wymagają ciągłej oceny, czy warunki rynkowe lub zdarzenia regulacyjne wpłynęły na tę wartość. Zakaz dla krajów trzecich, który ogranicza możliwość handlu, transferu lub likwidacji pozycji w określonej geografii, jest czynnikiem wartości godziwej Poziomu 3: wpływa na główny rynek danego składnika aktywów i zdolność firmy do wyjścia z pozycji po notowanej cenie. Zespoły finansowe powinny przejrzeć swoje ujawnienia hierarchii wartości godziwej i rozważyć, czy konieczne są jakiekolwiek korekty.

W przypadku aktywów prowadzonych według modelu kosztu pomniejszonego o utratę wartości pytanie brzmi, czy nowe ograniczenia stanowią przesłankę utraty wartości. Jeśli pozycja kryptowalut jest utrzymywana przez CASP, który sam jest ograniczony w działaniu na swoim głównym rynku, możliwość odzyskania tej pozycji jest istotnie naruszona.

Rezerwy i zobowiązania warunkowe

Jeśli firma już transagowała w geografii, która może być obecnie objęta zakazem, lub istnieje niepewność co do zgodności wcześniejszej działalności z nowymi przepisami, może być wymagana rezerwa lub ujawnienie zobowiązania warunkowego zgodnie z MSR 37. Próg to obecny obowiązek wynikający ze zdarzeń przeszłych, z prawdopodobieństwem wypływu środków. Kary regulacyjne lub wymagany przepadek dochodów z działalności objętej zakazem mogą spełnić ten test.

Jak oprogramowanie księgowe krypto powinno zareagować

Geograficzny wymiar 21. pakietu tworzy bezpośrednie wymaganie, aby oprogramowanie księgowe krypto przechwytywało i oznaczało geografię transakcji, a nie tylko tożsamość kontrahenta. Firmy korzystające z oprogramowania do rachunkowości aktywów cyfrowych zbudowanego wokół screenowania sankcji na poziomie kontrahenta muszą ocenić, czy to oprogramowanie można skonfigurować do flagowania transakcji według jurysdykcji routingu. Jeśli nie, tymczasowo potrzebny jest ręczny proces nadrzędny, a w średnim okresie plan modernizacji technologii.

Warto to również rozważyć przy ocenie oprogramowania do księgowości kryptowalut dla klientów CASP: zdolność screenowania geograficznego jest teraz funkcją krytyczną dla zgodności, a nie „miłym dodatkiem”. Firmy, które pomagają klientom wybierać lub konfigurować takie oprogramowanie, mają obowiązek zwrócić uwagę na tę lukę.

Zgodność AML i przeciwdziałanie przestępczości finansowej

Implikacje AML zakazu dla krajów trzecich ściśle współdziałają z istniejącymi ramami zasady podróży z Rozporządzenia o transferze środków. Zasada podróży wymaga, aby informacje o zleceniodawcy i beneficjencie towarzyszyły każdemu transferowi kryptowalut powyżej progu. Ograniczenia geograficzne 21. pakietu dodają kolejne pytanie: nawet jeśli dane zasady podróży są kompletne, czy sama geografia routingu nie powoduje naruszenia?

Re konfiguracja monitorowania transakcji

Zespoły compliance powinny spodziewać się konieczności re konfiguracji zasad monitorowania transakcji w celu dodania flag geograficznych obok istniejących alertów opartych na kontrahentach i progach. To nie jest trywialne zadanie. Wiele systemów monitorowania transakcji w sektorze kryptowalut zostało zbudowanych z ekranowaniem adresów blockchain jako podstawową kontrolą, a logika na poziomie jurysdykcji była dodana jako warstwa drugorzędna. Odwrócenie tego priorytetu, lub przynajmniej nadanie warstwie geograficznej równej wagi, wymaga formalnego przeglądu zestawu zasad i w wielu przypadkach zaangażowania dostawcy.

Interakcja z jak przestępczość kryptowalutowa napędzana przez AI zmienia obowiązki AML firm księgowych jest tutaj również istotna: wyrafinowani aktorzy próbujący wykorzystać objęte zakazem geografie coraz częściej używają wspieranego przez AI strukturyzowania transakcji, aby zaciemnić ścieżki routingu. Firmy potrzebują systemów monitorowania, które mogą wykrywać layerowanie przez wiele jurysdykcji, nie tylko bezpośrednie transfery do objętych zakazem geografii.

Raportowanie podejrzanych transakcji

Jeśli firma zidentyfikuje transakcję, która mogła dotknąć objętej zakazem jurysdykcji, nawet historycznie, może to wywołać obowiązek zgłoszenia podejrzanej transakcji (STR) na mocy krajowych przepisów AML transponujących dyrektywy UE w sprawie przeciwdziałania praniu pieniędzy. Próg zgłoszenia to uzasadnione podejrzenie, a nie pewność. Oficerowie compliance powinni przyjąć ostrożne podejście w okresie bezpośrednio po przyjęciu pakietu, podczas gdy wytyczne egzekwowania od krajowych właściwych organów są wciąż wydawane.

Praktyczne kroki dla firm: uszeregowana lista kontrolna

Biorąc pod uwagę nowość ograniczenia geograficznego, najbardziej pilną potrzebą jest jasny wewnętrzny plan działania. Poniższe kroki odzwierciedlają obszary najwyższego natychmiastowego ryzyka.

Krok 1: Mapowanie jurysdykcyjne

Zanim cokolwiek innego, firmy muszą wiedzieć, które kraje trzecie są wskazane w 21. pakiecie i zmapować swoją obecną bazę klientów, przepływy transakcyjne i ustalenia dotyczące przechowywania w stosunku do tej listy. To mapowanie powinno obejmować nie tylko bezpośrednich kontrahentów, ale także pośredniczące CASP i sub-kustodiuszy. Transakcja, która przechodzi przez objętą zakazem jurysdykcję na jakimkolwiek etapie routingu, może być w zakresie.

Krok 2: Ocena luki technologicznej

Przejrzyj, czy obecne oprogramowanie księgowe krypto, systemy monitorowania transakcji i platformy onboardingowe mogą screenować według jurysdykcji routingu. Jeśli nie, udokumentuj lukę, wdroż tymczasowe kontrole ręczne i zainicjuj rozmowę z dostawcą w sprawie harmonogramu naprawy. Organy regulacyjne będą oczekiwać, że firmy wykażą, że zidentyfikowały lukę i działały w tej sprawie niezwłocznie.

Krok 3: Powiadomienie klientów i kontrahentów

W przypadku, gdy CASP ma klientów, których działalność może być dotknięta zakazem dla krajów trzecich, tych klientów należy powiadomić, a w razie potrzeby wyłączyć lub ograniczyć im odpowiednie działania. Ma to zarówno wymiar umowny, jak i regulacyjny: umowy z klientami mogą wymagać przeglądu pod kątem klauzul siły wyższej lub zmiany przepisów, które regulują, w jaki sposób CASP może ograniczać usługi.

Krok 4: Przegląd sprawozdań finansowych

Zespoły finansowe powinny przejrzeć sprawozdania finansowe bieżącego i poprzednich okresów pod kątem wszelkich ujawnień, wycen lub rezerw, które mogą wymagać aktualizacji w świetle nowych ograniczeń. Audytorzy powinni być poinformowani proaktywnie, a nie czekać na następny zaplanowany przegląd.

Krok 5: Monitorowanie wytycznych egzekwowania

21. pakiet jest przyjętym ustawodawstwem, ale wytyczne egzekwowania od Komisji Europejskiej i krajowych właściwych organów będą się nadal rozwijać. Firmy powinny wyznaczyć osobę do śledzenia tych wytycznych i niezwłocznego eskalowania istotnych wydarzeń do kierownictwa wyższego szczebla i komitetów audytu.

Często zadawane pytania

Czy zakaz dla krajów trzecich dotyczy wszystkich aktywów kryptograficznych, czy tylko niektórych rodzajów?

Ograniczenia dotyczą szeroko aktywów kryptograficznych, zgodnie z tym, jak ramy sankcji i MiCA UE definiują tę klasę aktywów. Na tym etapie nie ma wyłączeń dla konkretnych rodzajów aktywów, takich jak stablecoiny czy tokeny użytkowe. Firmy powinny stosować ograniczenia do całego swojego portfela aktywów cyfrowych, dopóki dalsze wytyczne egzekwowania nie zawężą lub nie wyjaśnią zakresu.

Jeśli oprogramowanie księgowe krypto firmy oznaczy transakcję po fakcie, czy firma nadal ponosi odpowiedzialność?

Tak. Obowiązkiem jest zapobieżenie wystąpieniu objętej zakazem transakcji, a nie tylko jej wykrycie z mocą wsteczną. Wykrycie po fakcie może złagodzić karę, szczególnie jeśli firma dokona samozgłoszenia i współpracuje z właściwym organem, ale nie eliminuje odpowiedzialności. Celem każdej modernizacji technologii powinien być screening geograficzny przed transakcją, a nie tylko raportowanie po transakcji.

Jak zakaz dla krajów trzecich współdziała z reżimem autoryzacji MiCA?

Autoryzacja MiCA pozwala CASP działać w państwach członkowskich UE w ramach reżimu paszportowania, ale nie autoryzuje działalności w krajach trzecich. Ograniczenia 21. pakietu dodają dodatkowy zakaz niektórych usług w krajach trzecich na wierzch istniejących ograniczeń zakresu MiCA. CASP z autoryzacją MiCA, który nie świadczył usług w objętych zakazem jurysdykcjach, jest w dużej mierze bez wpływu operacyjnego, ale musi nadal weryfikować, czy jego ruting transakcji nie przechodzi przez objęte zakazem geografie.

Czy firmy spoza UE są dotknięte, jeśli przetwarzają transakcje pochodzące z UE?

Zasięg terytorialny sankcji UE to złożone pytanie prawne, ale jako ogólna zasada każda firma, która przetwarza transakcje z udziałem osób z UE lub środków pochodzących z UE, może podlegać obowiązkom sankcyjnym UE. CASP spoza UE obsługujące klientów z UE powinni zasięgnąć porady prawnej w sprawie swojej ekspozycji na 21. pakiet, szczególnie jeśli jakakolwiek ich infrastruktura routingu dotyka objętych zakazem krajów trzecich.

O co komitet audytu powinien teraz pytać kierownictwo?

Komitety audytu powinny poprosić kierownictwo o potwierdzenie: które kraje trzecie są wymienione w 21. pakiecie; czy firma ma jakąkolwiek bezpośrednią lub pośrednią ekspozycję na te jurysdykcje przez działalność klientów, ustalenia dotyczące przechowywania lub ruting transakcji; czy obecne systemy technologiczne mogą screenować na poziomie geograficznym; oraz czy jakiekolwiek rezerwy lub ujawnienia zobowiązań warunkowych są wymagane w następnym okresie sprawozdawczym. Kierownictwo powinno być w stanie odpowiedzieć na te pytania w ciągu dni, a nie tygodni.

Źródło: Elliptic