Cripto-attività: nuove regole dal 2026 su obblighi, controlli e sanzioni

Il Consiglio dei Ministri, l'8 ottobre 2025, ha approvato uno schema di decreto legislativo che adegua la normativa italiana alla direttiva UE 2023/2226 (DAC8), con l'obiettivo di rafforzare la cooperazione amministrativa internazionale e contrastare l'evasione e l'elusione nel settore delle criptovalute.

Chi è coinvolto e cosa viene monitorato

L'articolo 6 dello schema di decreto in commento chiarisce cosa si intende per cripto-attività, includendo tutte le tipologie diverse dalla valuta digitale della banca centrale, dalla moneta elettronica o da quelle che non possono essere utilizzate a fini di pagamento o investimento.

Sono inoltre specificati i concetti di prestatore di servizi per le cripto-attività, gestore di cripto-attività, operazione oggetto di comunicazione e utente oggetto di comunicazione. Centrale è anche la definizione di  giurisdizione oggetto di comunicazione, che comprende sia gli Stati membri dell'Unione Europea sia le giurisdizioni qualificate extra-UE con cui siano in vigore accordi di scambio automatico di informazioni.

Prestatori di servizi con obbligo di comunicazione

L'articolo 7 stabilisce in modo dettagliato quali soggetti sono obbligati a rispettare la nuova disciplina. Si tratta di:

• prestatori di servizi per le cripto-attività autorizzati in Italia o in altri Stati UE ai sensi del Regolamento (UE) 2023/1114;
• gestori di cripto-attività che forniscono servizi di scambio per conto di utenti oggetto di comunicazione.

Sono previste importanti esenzioni, ad esempio per soggetti che già adempiono ad analoghi obblighi in giurisdizioni oggetto di comunicazione, o che operano tramite succursali estere.

Il cuore operativo del decreto si trova negli articoli 8-12, che regolano le procedure di adeguata verifica in materia fiscale. I prestatori di servizi devono ottenere dagli utenti di cripto-attività un'autocertificazione sulla residenza fiscale e verificarne la ragionevolezza anche sulla base della documentazione raccolta per la normativa antiriciclaggio.

Le procedure distinguono tra persone fisiche ed entità (società, trust, ecc.), prevedendo per ciascuna categoria requisiti stringenti di identificazione, aggiornamento e verifica delle informazioni, comprese le situazioni di cambiamento delle circostanze o di autocertificazione non valida.

Requisiti e validità delle autocertificazioni

L'articolo 11 dettaglia i requisiti per la validità delle autocertificazioni, che devono essere firmate e contenere informazioni complete su nome, indirizzo, giurisdizione fiscale, NIF e data di nascita per le persone fisiche, e dati societari specifici per le entità.

In caso di mancata emissione del NIF da parte della giurisdizione, è previsto l'esonero dalla comunicazione di tale dato.

Comunicazione delle informazioni

A partire dal 2026, come stabilito dall'articolo 13, i prestatori di servizi per le cripto-attività dovranno comunicare all'Agenzia delle Entrate, entro il 30 giugno dell'anno successivo, una mole significativa di dati:

• informazioni anagrafiche e fiscali degli utenti e delle persone che esercitano il controllo sulle entità;
• dati sulle operazioni effettuate, con dettaglio su tipologia di cripto-attività, importi, numero di unità e tipologia di transazione (acquisizioni, cessioni, pagamenti al dettaglio, trasferimenti);
• riferimenti identificativi del prestatore stesso.

Le informazioni devono essere trasmesse in modo conforme alle specifiche tecniche che saranno definite dall'Agenzia delle Entrate, anche in relazione alla moneta utilizzata per la conversione degli importi e alla gestione delle autocertificazioni.

Registrazione e vigilanza sui gestori di cripto-attività

L'articolo 15 introduce l'obbligo di registrazione presso l'Agenzia delle Entrate per tutti i gestori di cripto-attività soggetti agli obblighi di comunicazione in Italia. Il registro sarà costantemente aggiornato, prevedendo la cancellazione in caso di mancato rispetto del quadro normativo o di cessazione dell'attività.

La registrazione è inoltre collegata all'effettivo rispetto degli obblighi di comunicazione, con la possibilità di revoca della stessa in caso di violazioni, dopo un doppio sollecito e decorsi almeno novanta giorni.

Obblighi di conservazione

L'apparato sanzionatorio, delineato nell'articolo 14, è particolarmente severo: in caso di violazioni degli obblighi di adeguata verifica o di comunicazione, si applicano le sanzioni amministrative previste per gli operatori finanziari, con rinvio alle discipline generali sulle sanzioni tributarie.

Gli operatori sono inoltre tenuti a conservare i dati e la documentazione relativa alle operazioni per dieci anni, garantendo la tracciabilità e la possibilità di controllo da parte delle autorità.

Coordinamento con le autorità di vigilanza e altre disposizioni

L'articolo 16 prevede uno stretto coordinamento tra Agenzia delle Entrate, Banca d'Italia e CONSOB per la trasmissione e l'aggiornamento degli elenchi dei prestatori di servizi autorizzati nel settore delle cripto-attività.

Gli articoli 17-19 disciplinano infine le modalità di esecuzione delle nuove disposizioni, la pubblicazione degli elenchi delle giurisdizioni qualificate non-UE e la fondamentale clausola di invarianza finanziaria, che garantisce l'assenza di nuovi o maggiori oneri per la finanza pubblica.

La decorrenza delle nuove regole è fissata al 1° gennaio 2026.