EU har vedtaget en hvidvaskpakke, der samler hvidvaskreglerne i én forordning, opretter en fælles tilsynsmyndighed og udvider anvendelsesområdet til flere virksomheder, der arbejder med kryptoaktiver. Pakken bygger videre på Kommissionens initiativer om digital finans fra september 2020, som også indeholdt forslaget til MiCA-forordningen samt omarbejdelse af pengeoverførselsforordningen, så kravet om oplysninger om afsender og modtager (travel rule) også gælder overførsler af kryptoaktiver. Artiklen gennemgår hvidvaskpakken med fokus på kryptoaktiver.
Artiklen blev offentliggjort den 30. december 2022 og er opdateret i september 2026, så den afspejler de vedtagne retsakter og deres anvendelsesdatoer.
Kommissionen fremsatte den 20. juli 2021 forslag til en hvidvaskpakke. Pakken skal harmonisere EU-reglerne på hvidvaskområdet, etablere en fælles EU-tilsynsmyndighed og styrke samarbejdet og udvekslingen af oplysninger mellem medlemslandenes finansielle efterretningsenheder (”FIU'er”). Den danske FIU er Hvidvasksekretariatet hos National Enhed for Særlig Kriminalitet, jf. hvidvasklovens § 29. Pengeoverførselsforordningen blev vedtaget i maj 2023, og de tre øvrige retsakter blev vedtaget den 31. maj 2024 og offentliggjort i EU-Tidende den 19. juni 2024.
Pakken skal løse tre problemer, som Kommissionen havde identificeret i den hidtidige regulering.
Hvidvaskforordningen indfører fælles regler for politikker, procedurer og kontroller på hvidvaskområdet i alle medlemslande. Fra den 10. juli 2027 gælder de samme krav for alle forpligtede enheder, uanset i hvilket medlemsland de har tilladelse eller er registreret. Kravene bliver mere detaljerede, hvilket kan gøre det sværere for mindre virksomheder at opfylde dem.
Et af de centrale tiltag er oprettelsen af EU's hvidvasktilsynsmyndighed, Myndigheden for Bekæmpelse af Hvidvask af Penge og Finansiering af Terrorisme (”AMLA”). AMLA har været i funktion siden den 1. juli 2025 og har sæde i Frankfurt. Myndigheden fører fra 2028 direkte tilsyn med udvalgte kreditinstitutter og finansielle institutter, koordinerer samarbejdet mellem de nationale tilsynsmyndigheder og understøtter FIU'erne, blandt andet ved at drive FIU.net.
Udbydere af kryptoaktivtjenester skal ved overførsler af kryptoaktiver indsamle og medsende oplysninger om afsender og modtager, jf. pengeoverførselsforordningens artikel 14-16. Kravet har været gældende siden den 30. december 2024. Oplysningerne svarer til dem, betalingstjenesteudbydere medsender ved elektroniske pengeoverførsler.
Indtil hvidvaskforordningen finder anvendelse, er hvidvaskområdet i Danmark reguleret af hvidvaskloven, jf. lovbekendtgørelse nr. 433 af 17. april 2026. Loven gennemfører 4. hvidvaskdirektiv, direktiv (EU) 2015/849, som ændret ved 5. hvidvaskdirektiv, direktiv (EU) 2018/843. Direktivet fastsætter minimumskrav, og medlemslandene kan fastsætte strengere regler. Det har medført en uensartet regulering på tværs af medlemslandene.
Det er overladt til de nationale myndigheder at fastsætte standarder og vejledninger om de procedurer, direktivet foreskriver. Ifølge Kommissionen har det medført for store forskelle mellem medlemslandenes lovgivning og gjort det sværere for virksomheder at tilbyde tjenesteydelser i flere medlemslande og samtidig opfylde de nationale regler.
Før AMLA blev oprettet, fandtes der ingen EU-myndighed med direkte tilsynskompetence på hvidvaskområdet, og koordinationen mellem nationale tilsynsmyndigheder og FIU'er i grænseoverskridende sager var ifølge Kommissionen utilstrækkelig.
Hvidvaskpakken skal løse disse problemer. Den ændrer reguleringens form fra direktiv til forordning og flytter dele af tilsynet fra nationalt niveau til EU-niveau.
Hvidvaskpakken består af fire retsakter.
FIU'er, tilsynsmyndigheder og registre over reelle ejere reguleres fortsat i et direktiv, nu AMLD6. De forpligtelser, der påhviler de forpligtede enheder, herunder reglerne om kundekendskabsprocedurer, underretning og beløbsgrænser, er derimod samlet i hvidvaskforordningen, som gælder direkte i medlemslandene uden national gennemførelse.
AMLA er oprettet ved AMLA-forordningen. Myndigheden skal ensrette de nationale tilsynsmyndigheders arbejdsgange og fremme en fælles tilsynskultur, udarbejde tekniske standarder og retningslinjer efter hvidvaskforordningen og AMLD6, fastlægge formater for indberetning og udveksling af oplysninger og understøtte FIU'ernes fælles analyser.
AMLA skal udarbejde en fælles skabelon for underretninger om mistænkelige transaktioner, jf. hvidvaskforordningens artikel 69, stk. 3, og sendte et udkast i høring i juli 2026. Underretningerne får dermed samme format i hele EU.
De nationale tilsynsmyndigheder og FIU'erne videreføres. AMLA overtager dog det direkte tilsyn med op til 40 kreditinstitutter, finansielle institutter eller koncerner, der driver virksomhed i mindst seks medlemslande og har den højeste residualrisiko for hvidvask, jf. AMLA-forordningens artikel 12 og 13. Udvælgelsen sker i andet halvår af 2027, og det direkte tilsyn begynder den 1. januar 2028. AMLA kan herudover overtage tilsynet med en virksomhed, der ikke er udvalgt, på anmodning fra den nationale tilsynsmyndighed. Kommissionen kan desuden træffe afgørelse om, at AMLA overtager tilsynet, hvis virksomheden systematisk overtræder reglerne, og den nationale tilsynsmyndighed ikke griber ind.
Hvidvaskforordningen samler hvidvaskreglerne i ét regelsæt for alle medlemslande (”single rulebook”).
Forordningen udvider anvendelsesområdet for hvidvaskreglerne og knytter definitionerne til MiCA-forordningen. Udbydere af kryptoaktivtjenester er omfattet som finansielle institutter, jf. hvidvaskforordningens artikel 2, stk. 1, nr. 6, litra i, og artikel 3, nr. 2. Begreberne kryptoaktiv, kryptoaktivtjeneste og udbyder af kryptoaktivtjenester defineres ved henvisning til MiCA-forordningens artikel 3, stk. 1, nr. 5, 16 og 15, jf. hvidvaskforordningens artikel 2, stk. 1, nr. 7-9.
Rådgivning om kryptoaktiver er dog undtaget fra definitionen af kryptoaktivtjenester, jf. hvidvaskforordningens artikel 2, stk. 1, nr. 8. Personer og virksomheder, der alene rådgiver om kryptoaktiver, herunder konsulenter, bliver derfor ikke forpligtede enheder efter hvidvaskforordningen.
Hvidvaskforordningens artikel 79 forbyder kreditinstitutter, finansielle institutter og udbydere af kryptoaktivtjenester at føre anonyme kryptoaktivkonti. Forbuddet omfatter også konti, der på anden måde muliggør anonymisering af kontohaverens identitet eller sløring af transaktioner, herunder gennem anonymitetsfremmende kryptoaktiver (”anonymity-enhancing coins”) som Monero og Zcash. Forbuddet retter sig mod de forpligtede enheder og omfatter ikke udbydere af hardware eller software til selvhostede wallets, når de ikke har adgang til eller kontrol over kundens wallet, jf. betragtning 160. Kryptoaktiverne som sådan forbydes ikke.
Medlemslandene kan kræve, at udbydere af kryptoaktivtjenester, der har hovedsæde i et andet medlemsland, og som er etableret på det pågældende medlemslands område på anden måde end ved en filial, udpeger et centralt kontaktpunkt, jf. hvidvaskforordningens artikel 8, stk. 6, og AMLD6 artikel 41. Muligheden gælder allerede for udstedere af elektroniske penge og betalingstjenesteudbydere. Finanstilsynet har efter hvidvasklovens § 33 hjemmel til at fastsætte sådanne regler.
Reglerne i hvidvaskforordningen er mere udførlige end hvidvasklovens og suppleres af tekniske standarder og retningslinjer, som AMLA udarbejder løbende frem mod 2027. Nedenfor gennemgår vi de ændringer, der har størst betydning for udbydere af kryptoaktivtjenester.
Forordningen omfatter udbydere af kryptoaktivtjenester som defineret i MiCA.
Forordningens betragtninger fastholder proportionalitetsprincippet. Kravene skal stå i forhold til virksomhedens art, størrelse, kompleksitet og risici, jf. betragtning 28, 29 og 32, og AMLA skal efter artikel 9, stk. 4, udstede retningslinjer om proportionale interne politikker og kontroller.
Kundekendskabsprocedurer (customer due diligence, ”CDD”) skal udføres af personer med de rette kompetencer. Ansatte, agenter og distributører, der direkte medvirker til, at virksomheden overholder forordningen, skal vurderes med hensyn til faglige evner, viden og ekspertise samt omdømme, hæderlighed og integritet, jf. artikel 13, stk. 1. Vurderingen skal stå i forhold til risikoen ved opgaverne, foretages inden tiltrædelsen og gentages regelmæssigt, og dens indhold skal godkendes af virksomhedens compliance officer. Hvidvaskloven kræver i dag politikker for screening af medarbejdere og undervisning af ansatte, jf. hvidvasklovens § 8, stk. 1 og 6. Kravet om en egentlig vurdering følger nu direkte af forordningen.
Forordningen angiver i lighed med hvidvaskloven de situationer, hvor der skal gennemføres CDD, jf. artikel 19, stk. 1. Det gælder blandt andet ved etablering af en forretningsforbindelse, ved enkeltstående transaktioner over beløbsgrænsen, ved mistanke om hvidvask eller terrorfinansiering og ved tvivl om rigtigheden eller tilstrækkeligheden af tidligere indhentede kundeoplysninger. Den generelle beløbsgrænse for enkeltstående transaktioner nedsættes fra EUR 15.000 til EUR 10.000.
For udbydere af kryptoaktivtjenester er beløbsgrænsen EUR 1.000 for alle enkeltstående transaktioner. Under grænsen skal kunden som minimum identificeres, og identiteten kontrolleres, jf. artikel 19, stk. 3. Hvidvaskloven har i dag en grænse på EUR 1.000 for veksling mellem kryptoaktiver, overførsel af kryptoaktiver og tjenester i forbindelse med udstedelse af kryptoaktiver samt EUR 500 for veksling mellem kryptoaktiver og fiatvaluta, jf. hvidvasklovens § 10, nr. 2, litra c og d.
AMLA skulle senest den 10. juli 2026 udarbejde udkast til tekniske standarder om, hvilke forpligtede enheder, sektorer og transaktioner der er forbundet med højere risiko, og for hvilke der derfor skal gælde en lavere beløbsgrænse, jf. artikel 19, stk. 9. AMLA sendte udkastet i høring i februar 2026 sammen med udkastet til standarder om CDD-oplysninger efter artikel 28. De endelige standarder er ved denne artikels opdatering i september 2026 endnu ikke offentliggjort.
Forordningen fastlægger, hvilke foranstaltninger CDD omfatter, jf. artikel 20, stk. 1. Det er blandt andet identifikation af kunden og kontrol af kundens identitet, identifikation af reelle ejere, afklaring af formålet med og den tilsigtede karakter af forretningsforbindelsen, kontrol af, om kunden er omfattet af målrettede finansielle sanktioner, og løbende overvågning. Artikel 22 opregner de identitetsoplysninger, der skal indhentes, og artikel 25 oplysningerne om forretningsforbindelsens formål og midlernes oprindelse.
Pligten til at underrette FIU'en fremgår af artikel 69. Der skal underrettes om alle mistænkelige transaktioner uanset beløb, herunder forsøg på transaktioner og tilfælde, hvor mistanken opstår, fordi CDD ikke kan gennemføres. FIU'ens anmodninger om oplysninger skal besvares inden for fem arbejdsdage, i hastende tilfælde hurtigere.
For danske udbydere af kryptoaktivtjenester, som allerede er underlagt hvidvaskloven, er der efter vores vurdering i vidt omfang tale om en videreførelse af kendte krav. Politikker og procedurer skal dog gennemgås og tilpasses forordningens mere detaljerede krav og AMLA's tekniske standarder inden den 10. juli 2027.
Hvidvaskforordningen giver mulighed for at kontrollere kundens identitet med elektroniske identifikationsmidler, der opfylder eIDAS-forordningens krav til sikringsniveau ”betydelig” eller ”høj”, og med kvalificerede tillidstjenester, jf. artikel 22, stk. 6, litra b. Reglen skal ses i sammenhæng med EU's ramme for en europæisk digital identitet.
Formålet er at understøtte sikker digital onboarding og gøre det lettere at kontrollere identiteten uden fysisk fremmøde. Ifølge hvidvaskforordningens betragtning 66 kan brugen af sådanne identifikationsmidler nedbringe risikoniveauet til normalt eller lavt, når passende risikobegrænsende foranstaltninger er iværksat.
Den europæiske digitale identitet har hjemmel i forordning (EU) 2024/1183 (”eIDAS 2.0”), der ændrer eIDAS-forordningen og trådte i kraft den 20. maj 2024. Medlemslandene skal senest ved udgangen af 2026 stille mindst én europæisk digital identitetstegnebog (EUDI Wallet) til rådighed for borgere og virksomheder. Rammen skal give adgang på tværs af grænser til pålidelige elektroniske identitetsløsninger, som både offentlige og private tjenester kan benytte. Identitetsdata skal kunne deles som attributter, så den enkelte tjeneste kun modtager de oplysninger, den har behov for, og kvalificerede tillidstjenester skal anerkendes i hele EU på lige vilkår.
Digitaliseringsstyrelsen er ansvarlig for den danske tegnebog, der indføres i etaper i 2026.
Hvidvaskforordningens anerkendelse af elektroniske identifikationsmidler betyder, at en tegnebog udstedt i ét medlemsland kan anvendes til onboarding hos forpligtede enheder i et andet. AMLA skal i tekniske standarder efter artikel 28, stk. 1, litra e, fastlægge, hvilke attributter der skal indgå i identifikationsmidlerne og tillidstjenesterne.
Pengeoverførselsforordningen omfatter ud over pengeoverførsler også overførsler af kryptoaktiver og gennemfører dermed FATF's travel rule i EU. Forordningen har fundet anvendelse siden den 30. december 2024, jf. artikel 40, den dato, hvor MiCA-forordningen fandt anvendelse i sin helhed. EBA har udstedt retningslinjer om reglerne (EBA/GL/2024/11). De finder anvendelse fra samme dato.
Travel rule indebærer, at udbydere af kryptoaktivtjenester, der medvirker ved overførsler af kryptoaktiver, skal indsamle, medsende og opbevare oplysninger om afsender og modtager, jf. artikel 14-16. Kravene gælder for overførsler af kryptoaktiver, hvor afsenderens eller modtagerens udbyder af kryptoaktivtjenester har hjemsted i EU, jf. artikel 2, stk. 1. Overførsler direkte mellem to personer uden medvirken af en udbyder af kryptoaktivtjenester er undtaget, jf. artikel 2, stk. 4.
Om afsenderen skal der medsendes navn, distributed ledger-adresse eller kontonummer samt adresse eller identifikationsnummer. Om modtageren skal der medsendes navn og distributed ledger-adresse eller kontonummer, jf. artikel 14, stk. 1 og 2. I modsætning til pengeoverførsler gælder der ingen bagatelgrænse for overførsler af kryptoaktiver. Ved overførsler til eller fra en selvhostet adresse skal udbyderen indsamle og opbevare oplysningerne, og ved overførsler over EUR 1.000 skal udbyderen vurdere, om adressen ejes eller kontrolleres af kunden, jf. artikel 14, stk. 5, og artikel 16, stk. 2.
Formålet er det samme som for forordning (EU) 2015/847, nemlig at identificere afsender og modtager for at bekæmpe hvidvask og terrorfinansiering og at opdage og standse mistænkelige overførsler.
Pakkens retsakter finder anvendelse fra forskellige tidspunkter. Pengeoverførselsforordningen har fundet anvendelse siden den 30. december 2024 og AMLA-forordningen siden den 1. juli 2025. Hvidvaskforordningen finder anvendelse fra den 10. juli 2027, for fodboldagenter og professionelle fodboldklubber dog først fra den 10. juli 2029, jf. artikel 90. AMLA udvælger i andet halvår af 2027 de virksomheder, som myndigheden fører direkte tilsyn med fra den 1. januar 2028.
Hvidvaskforordningens treårige periode fra ikrafttræden til anvendelse skal give AMLA tid til at udarbejde de tekniske standarder og retningslinjer, som forordningen forudsætter. AMLD6 skal være gennemført i national ret senest den 10. juli 2027, hvor 4. hvidvaskdirektiv ophæves. Reglerne om adgang til oplysninger om reelle ejere, jf. AMLD6 artikel 74, skulle gennemføres senest den 10. juli 2025, hvilket i Danmark skete ved lov nr. 710 af 20. juni 2025.
Hvidvaskloven gælder, indtil hvidvaskforordningen finder anvendelse. Erhvervsministeriet oplyste i 2025, at et lovforslag om gennemførelse af AMLD6 og tilpasning af hvidvaskloven til forordningen tidligst ville blive sendt i høring i 2026, og at det ikke var afgjort, om hvidvaskloven videreføres i ændret form eller erstattes af en ny lov. Ved denne artikels opdatering i september 2026 er der endnu ikke offentliggjort et lovforslag eller et høringsudkast. Finanstilsynet har opfordret virksomhederne til at påbegynde forberedelserne og deltager i arbejdet med de tekniske standarder.
Hvidvaskforordningen finder anvendelse fra den 10. juli 2027, men de fleste krav bygger videre på forpligtelser, som allerede gælder efter hvidvaskloven og pengeoverførselsforordningen. Udbydere af kryptoaktivtjenester kan med fordel allerede nu tage følgende skridt.
Efter vores vurdering giver hvidvaskpakken sammen med MiCA-forordningen kryptoaktivsektoren en harmoniseret retlig ramme i hele EU. Det kan gøre det lettere for etablerede finansielle virksomheder, herunder banker, at samarbejde med udbydere af kryptoaktivtjenester.
Vi forventer, at en fælles europæisk digital identitet vil gøre det lettere at onboarde kunder fra andre medlemslande. Vores erfaring fra sager for klienter med grænseoverskridende aktivitet er, at underretning til FIU'er i andre medlemslande fortsat er vanskelig, fordi den ofte skal ske på det nationale sprog og med nationale logintjenester. AMLA's fælles skabelon for underretninger og de europæiske digitale identitetstegnebøger kan afhjælpe dette.
Samar Law følger udviklingen frem mod den 10. juli 2027. Har du spørgsmål til reglerne, er du velkommen til at kontakte os.
.svg){kind=icon}
