27 Agosto, 2025

Il Lussemburgo prepara lo scambio internazionale di informazioni sui crypto-asset

Il Lussemburgo ha pubblicato un disegno di legge (n. 8592) per recepire nella normativa nazionale la Direttiva (UE) 2023/2226 (DAC8), con l’obiettivo di implementare il nuovo quadro europeo di rendicontazione sui crypto-asset e le relative estensioni allo scambio automatico di informazioni fiscali. Il disegno di legge è stato presentato al Parlamento il 24 luglio 2025 e stabilisce obblighi di registrazione, due diligence e rendicontazione per i fornitori di servizi relativi a crypto-asset (CASP).

Contenuto del disegno di legge (sintesi rapida)

Soggetti interessati: i fornitori di servizi di rendicontazione sui crypto-asset (RCASP) — cioè entità che custodiscono, gestiscono, negoziano, scambiano, gestiscono piattaforme di trading o eseguono ordini in crypto-asset per conto terzi — dovranno raccogliere e comunicare informazioni sui propri utenti. La bozza si applica ai CASP autorizzati ai sensi di MiCAR e ad altri fornitori con un sufficiente collegamento con il Lussemburgo (residenza fiscale, stabile organizzazione, ecc.).
Definizione di crypto-asset: il testo si allinea in gran parte alla definizione prevista da MiCAR, ma adotta espressamente una definizione più ampia ai fini della rendicontazione, in modo da ricomprendere tutti i crypto-asset utilizzati per pagamento o investimento.
Tempistiche: il nuovo regime di rendicontazione si applicherà dal 1° gennaio 2026. Il primo anno di rendicontazione sarà il 2026; i primi scambi automatici tra autorità fiscali sono attesi entro il 30 settembre 2027. Gli Stati membri dovevano recepire la DAC8 entro il 31 dicembre 2025.

Obblighi pratici per i CASP

Il disegno di legge riprende il Crypto-Asset Reporting Framework (CARF) sviluppato dall’OCSE e incorporato nella DAC8. In pratica, i CASP soggetti alla rendicontazione dovranno:

registrarsi presso l’Amministrazione fiscale lussemburghese (LTA) prima della scadenza annuale per la trasmissione delle informazioni. I CASP autorizzati secondo MiCAR potranno beneficiare di procedure di registrazione semplificate;
applicare procedure di due diligence in fase di onboarding e, per molti clienti già esistenti, in via retroattiva: ottenere e verificare informazioni su identità e residenza fiscale (autocertificazioni), identificare le persone che esercitano il controllo, ove necessario, ed escludere alcune categorie (enti pubblici, banche centrali, società quotate e correlate, determinate istituzioni finanziarie);
raccogliere dati transazionali e patrimoniali richiesti dal CARF (tipologia e quantità di crypto-asset detenuti o trasferiti, identificativi di conti/wallet ove disponibili, date e controparti, redditi derivanti da determinati strumenti);
effettuare una rendicontazione annuale (obbligatoria anche con dichiarazione “nil” se non vi sono utenti o transazioni da segnalare). La tempistica è allineata alla DAC8 per garantire lo scambio internazionale nei termini stabiliti.

Sanzioni e controlli

Il disegno di legge introduce sanzioni amministrative in caso di inadempimento. Gli operatori che non si registrano o non trasmettono i dati nei termini previsti rischiano una sanzione fissa (indicate €5.000 per mancata registrazione o invio tardivo), mentre violazioni più gravi degli obblighi di due diligence e rendicontazione possono comportare multe fino a €250.000. Le autorità di vigilanza potranno inoltre applicare ulteriori misure amministrative.

Estensioni allo scambio automatico oltre i crypto

DAC8 e il disegno di legge lussemburghese non riguardano solo i crypto-asset. L’iniziativa estende lo scambio automatico anche ad alcuni redditi da polizze vita e a ruling fiscali preventivi transfrontalieri relativi a persone fisiche (quando riguardano operazioni sopra soglie definite o determinano la residenza fiscale). La bozza aggiorna inoltre le norme interne di recepimento di DAC6, DAC7, lo Standard comune di rendicontazione (CRS) e il country-by-country reporting, per garantire coerenza tra i vari regimi.

Interazione con MiCAR, AML e altre normative

L’attuazione del CARF in Lussemburgo si intreccia con MiCAR e con gli obblighi esistenti in materia di antiriciclaggio (AML/KYC). Le imprese autorizzate ai sensi di MiCAR e soggette alla vigilanza della CSSF dovranno prestare particolare attenzione ad allineare i propri programmi di compliance, evitando duplicazioni o conflitti nei processi di gestione dei dati. Il disegno di legge prevede semplificazioni per ridurre la duplicazione di rendicontazioni quando un soggetto è già tenuto al CRS o ad altri regimi.

Segreto professionale legale e modifiche alla DAC6

Il testo modifica anche l’attuazione lussemburghese della DAC6 alla luce della recente giurisprudenza della Corte di Giustizia dell’Unione Europea (CGUE), in particolare le sentenze che limitano gli obblighi nei casi coperti dal segreto professionale legale. In sostanza, gli avvocati non saranno più tenuti a notificare altri intermediari riguardo ad operazioni potenzialmente segnalabili, pur restando obbligati a informare i propri clienti; gli altri intermediari manterranno invece i loro obblighi di notifica.

Implicazioni pratiche e rischi

Carico operativo: i CASP dovranno aggiornare rapidamente procedure di onboarding, sistemi di raccolta dati, back-office e pipeline di reporting, con investimenti significativi in IT e processi.
Privacy e sicurezza: la raccolta di dati fiscali e identificativi di wallet/conti comporta rilevanti profili GDPR e trasferimenti transfrontalieri di dati; sarà necessario garantire basi giuridiche adeguate e misure di sicurezza rafforzate.
Compliance transfrontaliera: gli operatori con attività in più giurisdizioni dovranno coordinare la rendicontazione per evitare duplicazioni (il disegno include meccanismi specifici per mitigare doppie segnalazioni nell’UE).
Rischio di controlli fiscali: lo scambio automatico incrementa la probabilità che le autorità fiscali individuino redditi e patrimoni in crypto non dichiarati. Investitori e privati devono attendersi una maggiore attenzione da parte delle autorità.

Prossimi passi raccomandati per CASP, gestori di fondi e consulenti legali

Gap analysis: mappare l’attuale onboarding clienti, la conservazione dei dati e la rendicontazione rispetto ai requisiti CARF/DAC8.
Pianificazione registrazione: predisporre la registrazione presso le autorità fiscali lussemburghesi, verificando se l’autorizzazione MiCAR semplifichi in concreto la procedura.
Onboarding & remediation: aggiornare i moduli di onboarding per raccogliere residenza fiscale e informazioni sugli utenti segnalabili; pianificare attività di regolarizzazione per clienti già acquisiti.
IT & reporting: progettare flussi sicuri di dati e pipeline di rendicontazione, inclusa la cattura di identificativi wallet/conto, crittografia e esportazioni automatizzate nei formati tecnici/XML previsti.
Revisione legale e privacy: coordinarsi con consulenti fiscali e privacy per assicurare conformità al GDPR e documentare basi legali per il trattamento.
Formazione e governance: formare lo staff di compliance e implementare controlli e audit trail per ridurre il rischio di sanzioni.

Considerazioni finali

Il disegno di legge lussemburghese n. 8592 allinea il Granducato all’ambiziosa agenda europea di trasparenza fiscale sotto DAC8 e all’OCSE/CARF. Per CASP, gestori di fondi e intermediari, i prossimi 6–12 mesi saranno cruciali per trasformare gli obblighi legali in controlli pratici. Investire subito in architetture di dati, procedure di due diligence documentate e coordinamento tra funzioni (fiscale, compliance, legale, IT) sarà essenziale per rispettare i nuovi requisiti e limitare i rischi regolamentari.