Przejdź do głównej treści

MiCA a AML - jak nowe unijne przepisy zmieniają obowiązki VASP?

Data publikacji
Ostatnia aktualizacja
Czas czytania
8 min

W skrócie

Jak MiCA, Travel Rule i AMLR zmieniają obowiązki VASP i CASP? Poznaj obecne wymagania AML, zasady transferów kryptoaktywów i zmiany od lipca 2027 r.

Załóż darmowe konto

Stan danych i weryfikacji

Stan danych
19 października 2026
Podstawa prawna zweryfikowana
19 października 2026
W tym artykule

Aktualizacja: 19 października 2026 r. Dodaliśmy sekcję o zapytaniu GIIF z 1 października 2026 r. do podmiotów z rejestru walut wirtualnych. Stan polskich prac legislacyjnych opisano na podstawie datowanych źródeł wskazanych w tekście.

MiCA zmieniło zasady dostępu do europejskiego rynku kryptoaktywów i prowadzenia działalności przez dostawców usług. Dla firm określanych dotychczas jako VASP oznacza to konieczność ustalenia, czy świadczone usługi wymagają zezwolenia CASP, oraz przygotowania organizacji do szerszych wymagań nadzorczych. Procesy AML są częścią tej zmiany: ich dostosowanie do działalności firmy trzeba wykazać już przy ubieganiu się o zezwolenie.

Obowiązki dotyczące klientów i transakcji wynikają jednak z kilku regulacji. Część jest stosowana już dziś, a kolejne zmiany przyniesie AMLR od lipca 2027 r. Ich rozróżnienie pozwala ustalić, co firma musi wykonywać obecnie i do czego powinna się przygotować.

MiCA a AML - co zmienia się dla VASP i CASP?

MiCA reguluje przede wszystkim dostęp do rynku, organizację działalności i ochronę klientów. Obowiązki przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu wynikają również z przepisów AML oraz regulacji dotyczącej informacji towarzyszących transferom. Poniższe zestawienie pokazuje, jak te wymagania się uzupełniają.

RegulacjaZnaczenie dla firmy krypto
MiCA — 2023/1114Zezwolenie CASP lub właściwy tryb z art. 60, organizacja działalności, zarządzanie i ochrona klientów.
Polska ustawa AMLObecne obowiązki podmiotów objętych ustawą: środki bezpieczeństwa finansowego, ocena ryzyka, monitoring, dokumentacja i zawiadomienia do GIIF.
TFR — 2023/1113Travel Rule: informacje o stronach transferu kryptoaktywów, w tym obowiązki związane z adresami self-hosted; przepisy stosowane od 30 grudnia 2024 r.
AMLR — 2024/1624Od 10 lipca 2027 r. wspólne podstawowe zasady AML/CFT w UE, obejmujące również szczególne wymagania dla CASP.

Od VASP do CASP: zakres usług i zezwolenia

Określenie VASP — Virtual Asset Service Provider wywodzi się przede wszystkim ze standardów FATF. MiCA posługuje się pojęciem CASP — Crypto-Asset Service Provider, czyli dostawcy usług w zakresie kryptoaktywów. Zakresów tych pojęć nie należy automatycznie utożsamiać; kwalifikacja działalności wymaga analizy rzeczywiście świadczonych usług.

MiCA obejmuje m.in. przechowywanie kryptoaktywów i administrowanie nimi w imieniu klientów, prowadzenie platformy obrotu, wymianę kryptoaktywów na środki pieniężne lub inne kryptoaktywa, wykonywanie, przyjmowanie i przekazywanie zleceń, plasowanie kryptoaktywów, doradztwo, zarządzanie portfelem oraz transfery w imieniu klientów. Katalog usług określa art. 3 ust. 1 pkt 16 MiCA.

Co do zasady świadczenie usług objętych MiCA wymaga zezwolenia CASP. Art. 60 przewiduje odrębny tryb dla określonych instytucji finansowych, po spełnieniu odpowiednich warunków i dokonaniu powiadomienia. Świadczenie usług w innych państwach członkowskich wymaga zastosowania właściwej procedury transgranicznej.

Regulacja wprowadza także wymagania dotyczące zarządzania, kwalifikacji i reputacji osób zarządzających, kontroli wewnętrznej, ochrony aktywów klientów, konfliktów interesów, outsourcingu i reklamacji. Wniosek o zezwolenie CASP musi obejmować opis mechanizmów kontroli, polityk i procedur zarządzania ryzykiem, w tym ryzykiem prania pieniędzy i finansowania terroryzmu (ML/TF).

Dokumentacja obejmuje m.in. ocenę ryzyka, procedury należytej staranności wobec klienta (CDD), wykrywanie i zgłaszanie podejrzanych transakcji, wskazanie osoby odpowiedzialnej za AML oraz zasoby i szkolenia. Powinna pokazywać, jak proces odpowiada klientom, usługom, kanałom dystrybucji i obszarom działalności firmy. Szczegóły określa art. 6 rozporządzenia delegowanego 2025/305.

MiCA w Polsce po zakończeniu okresu przejściowego

Maksymalny okres przejściowy z art. 143 ust. 3 MiCA zakończył się 1 lipca 2026 r. Sam wpis do Rejestru Działalności w zakresie Walut Wirtualnych nie stanowi zezwolenia MiCA i po zakończeniu tego okresu nie uprawnia do dalszego świadczenia usług objętych rozporządzeniem. Wskazał to Dyrektor Izby Administracji Skarbowej w Katowicach w komunikacie z 19 czerwca 2026 r., przywołanym w komunikacie UKNF z 23 czerwca 2026 r..

W tym komunikacie UKNF wskazał również, że z powodu braku wejścia w życie polskiej ustawy nie wyznaczono krajowego właściwego organu w zakresie objętym MiCA, z wyjątkiem działalności emitentów tokenów będących e-pieniądzem. Jest to opis stanu przedstawionego przez UKNF na datę komunikatu.

Ustawa o rynku kryptoaktywów uchwalona 15 maja 2026 r. została zawetowana 11 czerwca, a 4 września Sejm nie uzyskał większości wymaganej do jej ponownego uchwalenia. Nowy projekt prezydencki wpłynął 8 września i 17 września został skierowany do zaopiniowania. W Sejmie jest także poselski projekt ustawy o rynku kryptoaktywów z 18 czerwca 2026 r. (druk nr 3173). Na 19 października 2026 r. żadna z tych ustaw nie została uchwalona.

Brak krajowych przepisów organizujących nadzór nie zawiesza stosowania MiCA ani nie przedłuża okresu przejściowego. Zezwolenie CASP uzyskane w innym państwie członkowskim umożliwia świadczenie usług w Polsce po spełnieniu warunków procedury transgranicznej. Przed rozpoczęciem lub kontynuowaniem działalności trzeba sprawdzić aktualne przepisy krajowe i podstawę uprawnienia do świadczenia konkretnych usług.

Zapytanie GIIF do podmiotów z rejestru walut wirtualnych (październik 2026 r.)

Pismem z 1 października 2026 r. (znak sprawy IF17.716.2.3.2026), skierowanym przez e-Doręczenia do instytucji obowiązanych z art. 2 ust. 1 pkt 12 ustawy AML, Generalny Inspektor Informacji Finansowej zapytał, czy nadal prowadzą działalność w zakresie walut wirtualnych. Podmioty, które ją prowadzą, mają wskazać planowaną datę jej zakończenia w 2026 r., a te, które już ją zakończyły — datę zakończenia. Odpowiedź przekazuje się w terminie 5 dni od otrzymania pisma, na załączonym formularzu „Formularz_VASP”, przez e-Doręczenia ze wskazaniem znaku sprawy.

GIIF przypomniał w piśmie, że okres przejściowy z art. 143 ust. 3 MiCA upłynął 1 lipca 2026 r., i ocenił, że ponad trzy miesiące od tej daty to czas wystarczający do wdrożenia planu wygaszenia działalności (ang. wind-down arrangements). Odesłał przy tym do komunikatów ESMA oraz do komunikatów Izby Administracji Skarbowej w Katowicach, która prowadzi rejestr działalności w zakresie walut wirtualnych.

Podstawa zapytania: art. 76 ustawy AML

Pismo jest sformułowane jako prośba, ale jego podstawą jest art. 76 ustawy AML. Zgodnie z nim instytucja obowiązana na żądanie GIIF niezwłocznie przekazuje lub udostępnia posiadane informacje lub dokumenty niezbędne do realizacji jego zadań, a GIIF może w żądaniu wskazać termin i formę ich przekazania (art. 76 ust. 3 pkt 1). Niedopełnienie obowiązku przekazania lub udostępnienia informacji z art. 76 jest wymienione w art. 147 pkt 12 wśród naruszeń, za które grozi kara administracyjna. Dla instytucji z art. 2 ust. 1 pkt 12 kara pieniężna wynosi do dwukrotności osiągniętej korzyści lub unikniętej straty, a gdy nie można ich ustalić — do równowartości 1 000 000 euro (art. 150 ust. 2).

Odpowiedź powinna odpowiadać rzeczywistemu stanowi działalności. Podmiot, który uzyskał zezwolenie CASP w innym państwie członkowskim, nie prowadzi już działalności na podstawie wpisu do rejestru, ale nadal może mieć obowiązki AML związane z usługami świadczonymi w Polsce. Jego sytuację trzeba ocenić indywidualnie.

Samo pismo nie wprowadza nowej sankcji za kontynuowanie działalności bez zezwolenia MiCA. Kary za naruszenia MiCA muszą określić przepisy krajowe (art. 111 MiCA), a na 19 października 2026 r. polska ustawa w tym zakresie nie weszła w życie. Odpowiedź na zapytanie jest jednak oświadczeniem samego podmiotu o tym, czy i do kiedy działa, a GIIF może ją wykorzystać przy planowaniu dalszych czynności. Podmiot, który nadal świadczy usługi z art. 2 ust. 1 pkt 12, pozostaje instytucją obowiązaną i podlega kontroli przestrzegania ustawy AML. Jeżeli kontrola wykaże naruszenia, GIIF może nakazać zaprzestanie określonych czynności (art. 150 ust. 1 pkt 2) i wystąpić o wykreślenie podmiotu z rejestru (art. 129w pkt 4), a wykonywanie działalności bez wpisu zagrożone jest karą pieniężną do 100 000 zł (art. 153b). Dodatkowym czynnikiem jest ocena ryzyka dokonywana przez banki i instytucje płatnicze, które prowadzą rachunki takich podmiotów — omawiamy ją niżej.

Wygaszanie działalności a obowiązki AML

W komunikacie z 23 czerwca 2026 r. ESMA określiła, czego oczekuje od dostawców bez zezwolenia MiCA. Powinni oni natychmiast zaprzestać przyjmowania nowych klientów z UE i działań marketingowych, ograniczyć usługi do czynności potrzebnych do sprzedaży lub przeniesienia kryptoaktywów albo zamknięcia pozycji, a przechowywanie aktywów klientów kontynuować tylko przez czas niezbędny do uporządkowanego wyjścia z rynku. Klienci powinni otrzymywać jasne i powtarzane informacje o planie wygaszenia, w tym o terminie, po którym pozostałe pozycje zostaną zamknięte automatycznie. Według ESMA oczekiwania te obowiązują niezależnie od tego, czy prawo krajowe zostało dostosowane do MiCA.

ESMA podkreśla, że skuteczne mechanizmy AML/CFT trzeba utrzymać przez cały okres wygaszania. Dotyczy to należytej staranności wobec klienta, monitorowania transakcji, sprawdzania list sankcyjnych, zgłaszania podejrzanych transakcji, przechowywania dokumentacji oraz Travel Rule. Masowe wypłaty i przenoszenie aktywów przed zamknięciem działalności to moment, w którym monitoring jest szczególnie potrzebny. CASP, do którego przechodzą klienci, stosuje wobec nich własne procedury przyjęcia klienta, w tym środki należytej staranności.

Przy zakończeniu działalności warto sprawdzić w szczególności:

  • odpowiedź na zapytanie GIIF — w terminie i formie wskazanych w piśmie;
  • wykreślenie z rejestru — organ prowadzący rejestr wykreśla podmiot m.in. na jego wniosek złożony w formie elektronicznej (art. 129w pkt 1); wzór wniosku udostępnia IAS w Katowicach;
  • przechowywanie dokumentacji — kopie dokumentów i informacje uzyskane w ramach środków bezpieczeństwa finansowego oraz dowody i ewidencje transakcji przechowuje się przez 5 lat od zakończenia stosunków gospodarczych z klientem lub od transakcji okazjonalnej (art. 49 ust. 1). Zamknięcie relacji w trakcie wygaszania rozpoczyna więc bieg tego okresu;
  • zawiadomienia do GIIF — okoliczności wskazujące na podejrzenie prania pieniędzy lub finansowania terroryzmu, ujawnione także w trakcie wygaszania, wymagają zawiadomienia na zasadach art. 74 i art. 86 ustawy AML.

Znaczenie dla innych instytucji obowiązanych

W komunikacie dla klientów podmiotów z rejestru, przekazanym do wiadomości przez GIIF jako komunikat nr 112, IAS w Katowicach wskazała, że podmioty, które do 1 lipca 2026 r. nie uzyskały zezwolenia MiCA, należy traktować jako podmioty wysokiego ryzyka, a ich działalność może wiązać się m.in. z wyższym ryzykiem prania pieniędzy oraz finansowania terroryzmu. Komunikat jest skierowany do klientów tych podmiotów, ale banki, instytucje płatnicze i inne instytucje obowiązane, które je obsługują, mogą uwzględnić tę informację w ocenie ryzyka klienta. Sam wpis do rejestru działalności w zakresie walut wirtualnych nie potwierdza uprawnienia do świadczenia usług; status zezwolenia MiCA można sprawdzić w rejestrze prowadzonym przez ESMA.

Jakie obowiązki AML obowiązują już dziś?

Do rozpoczęcia stosowania AMLR podstawowe obowiązki polskich podmiotów objętych ustawą AML wynikają z ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Uzupełniają je bezpośrednio stosowane przepisy unijne, w szczególności TFR. Zakres wymagań wobec konkretnego podmiotu zależy od jego statusu prawnego i świadczonych usług.

KYC, ocena ryzyka i monitoring

Weryfikacja tożsamości klienta rozpoczyna proces, który trwa przez całą relację. Instytucja obowiązana powinna znać cel i charakter współpracy, ustalać beneficjenta rzeczywistego i podejmować odpowiednie czynności w celu weryfikacji jego tożsamości, oceniać ryzyko oraz monitorować transakcje i aktualizować dane. Proces obejmuje również sprawdzenia dotyczące PEP i sankcji, z uwzględnieniem właściwych przepisów. Obowiązki sankcyjne w branży, w tym zakazy wobec Rosji i zasady zamrażania kryptoaktywów, opisujemy w artykule AML i sankcje w branży kryptowalut.

Ocena ryzyka, monitoring i dokumentowanie działań były wymagane już przed MiCA. Ustawa przewiduje również obowiązki dotyczące procedury wewnętrznej, szkolenia pracowników oraz zawiadamiania GIIF. Nowe regulacje zwiększają znaczenie organizacyjne i nadzorcze tych procesów.

Próg 1000 EUR dla transakcji okazjonalnych z wykorzystaniem waluty wirtualnej również już istnieje. Art. 35 ust. 1 pkt 2 lit. c ustawy nakazuje stosowanie środków bezpieczeństwa finansowego przy takich transakcjach o równowartości 1000 EUR lub większej przez instytucje wskazane w art. 2 ust. 1 pkt 12. Nawiązanie stosunków gospodarczych, podejrzenie ML/TF i wątpliwości dotyczące danych identyfikacyjnych stanowią odrębne przesłanki, niezależne od tego progu.

Travel Rule - informacje towarzyszące transferom

Rozporządzenie 2023/1113, określane jako TFR, jest stosowane od 30 grudnia 2024 r. Wprowadza unijną Travel Rule dla transferów kryptoaktywów: wymagania dotyczące informacji pozwalających ustalić ich strony. Obejmuje transfery, w których CASP lub pośredniczący CASP inicjatora albo beneficjenta ma siedzibę w UE. Transfery między osobami bez udziału CASP są wyłączone z jego zakresu.

Przy transferze między dostawcami CASP obsługujący inicjatora musi zapewnić przekazanie wymaganych informacji o inicjatorze i beneficjencie. Dane inicjatora obejmują m.in. imię i nazwisko lub nazwę oraz dane dotyczące rachunku i adresu DLT, odpowiednio do sposobu wykonania transferu. Informacje mają być przekazane w bezpieczny sposób przed transferem, wraz z nim lub równocześnie z nim. CASP beneficjenta musi posiadać procedury wykrywania brakujących lub niekompletnych informacji oraz postępowania z takimi transferami.

1000 EUR nie stanowi ogólnego progu zwolnienia z Travel Rule. Obowiązki informacyjne obejmują również transfery o niższej wartości, jeżeli mieszczą się one w zakresie rozporządzenia. Kwota ta ma natomiast znaczenie dla dodatkowej oceny adresów self-hosted.

Portfele self-hosted i znaczenie progu 1000 EUR

Adres self-hosted to w tym kontekście adres niepowiązany z CASP ani podmiotem spoza UE świadczącym podobne usługi. Przy transferze do lub z takiego adresu CASP zbiera i przechowuje wymagane informacje o obu stronach oraz zapewnia możliwość identyfikacji transferu. Obowiązki te dotyczą także transferów nieprzekraczających 1000 EUR.

Przy transferze przekraczającym 1000 EUR CASP musi dodatkowo podjąć odpowiednie środki, aby ocenić, czy adres należy do jego klienta lub pozostaje pod jego kontrolą: inicjatora przy transferze wychodzącym albo beneficjenta przy transferze przychodzącym.

Unijne regulacje nie wprowadzają generalnego zakazu korzystania z prywatnych portfeli. Ustalenie, że adres należy do osoby trzeciej, także nie oznacza automatycznie zakazu transferu. Potrzebna jest ocena ryzyka i zastosowanie odpowiednich środków, np. zebranie informacji o pochodzeniu lub przeznaczeniu kryptoaktywów, dodatkowa identyfikacja i weryfikacja stron albo wzmożone monitorowanie.

Wymagania dotyczące ograniczania ryzyka takich transferów przewiduje już art. 19a dyrektywy 2015/849, dodany przez art. 38 TFR. Przy ich stosowaniu należy uwzględnić wdrożenie dyrektywy do prawa krajowego. Od lipca 2027 r. zagadnienie to będzie regulował bezpośrednio art. 40 AMLR.

Moneta bitcoin obok laptopa na ciemnym tle - MiCA a obowiązki AML dostawców kryptoaktywów

Co zmieni AMLR od lipca 2027 r.?

Rozporządzenie AMLR 2024/1624 będzie w zasadniczej części stosowane od 10 lipca 2027 r., bezpośrednio w państwach członkowskich. Ujednolici dużą część zasad dotyczących identyfikacji klientów, beneficjentów rzeczywistych, ryzyka, monitorowania, PEP i dokumentacji. Nie zastąpi wszystkich przepisów krajowych ani odrębnych regulacji sankcyjnych. Dla CASP przewiduje również rozwiązania odpowiadające specyfice usług krypto.

Identyfikacja klienta przy transakcjach okazjonalnych

Zgodnie z art. 19 ust. 3 AMLR CASP będą zobowiązane stosować:

  • przy transakcji okazjonalnej o wartości co najmniej 1000 EUR — środki należytej staranności wobec klienta (CDD);
  • przy transakcji okazjonalnej poniżej 1000 EUR — co najmniej identyfikację klienta i weryfikację jego tożsamości.

Przy ustalaniu progu uwzględnia się także transakcje powiązane. Nawiązanie stosunków gospodarczych, podejrzenie ML/TF oraz wątpliwości dotyczące danych identyfikacyjnych pozostają odrębnymi przesłankami CDD, niezależnymi od kwoty. Są to zasady należytej staranności wobec klienta, odrębne od obowiązków informacyjnych Travel Rule.

Relacje korespondenckie z podmiotami spoza UE

AMLR będzie bezpośrednio regulował szczególne obowiązki dotyczące transgranicznych relacji korespondenckich CASP z podmiotami spoza UE świadczącymi podobne usługi. Rozwija rozwiązania przewidziane już w art. 19b dyrektywy 2015/849, dodanym przez art. 38 TFR. Wcześniejsze wymagania należy rozpatrywać wraz z ich implementacją krajową.

CASP ma m.in. ustalić, czy taki podmiot jest licencjonowany lub zarejestrowany, zebrać informacje o jego działalności i jakości nadzoru, ocenić mechanizmy AML/CFT, uzyskać zatwierdzenie kadry kierowniczej wyższego szczebla przed nawiązaniem nowej relacji oraz udokumentować podział odpowiedzialności między stronami. Ocena instytucji uzupełnia więc KYC użytkownika końcowego. Szerszy kontekst przyszłego nadzoru opisujemy w artykule o AMLA, nowym unijnym urzędzie AML. Wymagania te dotyczą relacji korespondenckich, a nie automatycznie każdej współpracy z zagranicznym dostawcą.

Anonimowe rachunki i privacy coins

Od 10 lipca 2027 r. CASP nie będą mogły prowadzić anonimowych rachunków kryptoaktywów ani rachunków pozwalających na anonimizację klienta lub zwiększone ukrywanie transakcji, w tym poprzez wykorzystanie kryptoaktywów posiadających funkcje zwiększające anonimowość. Zakaz dotyczy rachunków prowadzonych przez objęte nim instytucje i nie jest generalnym zakazem posiadania prywatnego portfela przez osobę fizyczną.

Jak uporządkować proces AML w firmie krypto?

Przygotowanie warto zacząć od ustalenia podstawy prawnej świadczenia usług, a następnie przeglądu procedur, odpowiedzialności pracowników i narzędzi. W tym przeglądzie trzeba uwzględnić zarówno obecne wymagania, w tym Travel Rule, jak i zmiany wynikające z AMLR. Pozwala to wskazać konkretne braki oraz przypisać terminy i osoby odpowiedzialne za ich usunięcie.

Dokumentowanie czynności i decyzji

Dokumentacja powinna umożliwiać odtworzenie przebiegu oceny klienta i obsługi zdarzeń wymagających wyjaśnienia. Sam zapis „klient sprawdzony” nie pokazuje, na jakiej podstawie instytucja podjęła decyzję. Warto zadbać o powiązanie:

  • danych i źródeł wykorzystanych przy identyfikacji oraz weryfikacji klienta i beneficjenta rzeczywistego;
  • wyników sprawdzeń, oceny ryzyka i uzasadnienia zastosowanych środków;
  • informacji z monitoringu z analizą nietypowych transakcji;
  • decyzji, dat wykonania czynności i osób za nie odpowiedzialnych.

Proces powinien obejmować również przekazywanie podejrzeń osobom odpowiedzialnym za AML oraz zawiadamianie właściwej jednostki analityki finansowej, w Polsce GIIF. Udokumentowanie tych działań pozwala wykazać, jak instytucja realizowała swoje obowiązki.

Zakres wsparcia SystemAML

SystemAML może wspierać prowadzenie danych klientów i osób powiązanych, KYC, screening sankcyjny i PEP, ocenę ryzyka oraz rejestrowanie transakcji i zdarzeń. Pozwala także gromadzić dane dotyczące beneficjentów rzeczywistych oraz dokumentować zastosowane środki, wykonane czynności i zmiany oceny ryzyka. Dzięki temu informacje potrzebne do obsługi klienta i uzasadnienia decyzji AML można uporządkować w jednym systemie.

SystemAML nie zastępuje infrastruktury do realizacji Travel Rule ani systemów blockchain analytics. Wspiera szerszy proces AML i jego dokumentowanie. Ustalenie beneficjenta rzeczywistego, weryfikacja informacji, ocena ryzyka i decyzje pozostają odpowiedzialnością instytucji obowiązanej; samo korzystanie z aplikacji nie zapewnia zgodności z przepisami.

Załóż bezpłatne konto w SystemAML i sprawdź, jak uporządkować dokumentację AML w swojej organizacji.

Podstawy prawne i źródła