01 · ВведениеVASP-режим Cayman после 1 апреля 2025
1 апреля 2025 года стало водоразделом для всей крипто-индустрии Каймановых островов. С этой даты вступила в силу Phase 2 Virtual Asset Service Provider Act — расширенный лицензионный режим для providers, имеющих дело с custody клиентских активов или operating trading platforms. До этой даты VASPs могли работать в упрощённом режиме регистрации; теперь же два самых рискованных segment крипто-индустрии — кастодианы и биржи — требуют полноценной лицензии CIMA.
Это не просто бюрократическое изменение. Phase 2 means реальная институциональная зрелость: minimum capital требования, mandatory independent directors, расширенный AML/CFT framework, обязательный cybersecurity policy, customer protection provisions. Cayman становится Tier-1 jurisdiction для регулируемых VASPs наравне с Сингапуром (MAS), Швейцарией (FINMA) и Японией (JFSA).
К февралю 2026 года в реестре CIMA — 19 действующих VASPs Phase 2. Это намеренно ограниченное число — регулятор approves только серьёзных players с established track record и реальным capital. Для emerging crypto businesses путь — через Phase 1 registration или sandbox license с последующим upgrade.
VASP Act — это не «крипто-разрешение». Это полноценный регуляторный режим для virtual asset services, аналогичный banking или fund regulation. С теми же compliance burdens, но и с теми же легитимирующими преимуществами.
Главное изменение Phase 2
До 1 апреля 2025 любой VASP мог работать через registration (notification-style режим). После этой даты custody providers и trading platforms обязаны получить полноценную VASP License с capital, governance и compliance requirements. Все остальные VASP-виды деятельности (transfer, advisory, issuance) остаются в registration regime.
02 · VASP Act 2024 и подзаконные акты
Главный закон — Virtual Asset (Service Providers) Act (2024 Revision). Базовая редакция принята в 2020 году, существенно расширена в 2024. Дополнительно действуют:
- Virtual Asset (Service Providers) Regulations 2025 — детализированные правила Phase 2 licensing
- Virtual Asset (Service Providers) AML/CFT Rules — специфические AML требования
- Travel Rule Regulations 2025 — implementation FATF Recommendation 16 для transfers свыше threshold
- Cybersecurity Rules for VASPs 2025 — обязательные технические requirements
Кто считается VASP
VASP — это любое лицо, оказывающее в качестве business следующие services:
- Exchange — обмен virtual assets между собой или на fiat currency
- Transfer — перевод virtual assets от одного лица другому
- Custody — safekeeping или administration of virtual assets от имени clients (включая private keys)
- Issuance — public issuance of virtual assets (ICO, IEO, public token sales)
- Trading platform operation — operating инфраструктуру для trading virtual assets
- Financial services related to virtual assets — broking, dealing, advising, managing investments в virtual assets
Что НЕ считается VASP
- Развитие software protocols без operational involvement (например, smart contract development, open-source code maintenance)
- Personal use крипты (your own wallets, personal trading)
- Crypto-фонд под MFA/PFA, где crypto-активность incidental к фондовой деятельности
- Mining как technical activity (проблема — если вы предоставляете mining-as-a-service другим, это VASP)
- Pure NFT-creation без secondary trading services
- Foundation Companies без commercial provision of VASP services третьим лицам
03 · Phase 1 vs Phase 2Два уровня регулирования
Phase 1 — VASP Registration
Notification-style режим для VASP-видов деятельности с lower risk profile: transfer, advisory services, issuance не-securities tokens. Не требует полноценной лицензии, но всё ещё подвержен CIMA supervision и AML/CFT requirements.
Требования:
- Cayman entity (Exempted Company / LLC / Foundation)
- Registered office, registered agent
- Минимум 1 director (с CIMA awareness, но без обязательной registration)
- MLRO appointed
- Basic AML/CFT policies
- Annual filing
Стоимость: $1 000 application + $5 000-15 000 annual fees. Process — 2-4 месяца.
Phase 2 — Full VASP License
Обязательно с 01.04.2025 для custody providers и trading platforms. Полноценная лицензия с прудентным надзором CIMA, capital requirements, governance standards.
Требования:
- Cayman entity с adequate substance
- Минимум 3 директора, из них 1 независимый — все с CIMA Director Registration
- Минимум $100 000 paid-up capital (документально подтверждённый)
- Senior management — fit & proper assessment
- Local AML-officer на островах (full-time)
- Business Plan, Risk Framework, AML/CFT Manual, Cybersecurity Policy, Business Continuity Plan
- Customer protection: segregation of client assets, complaints procedure, disclosure requirements
- Quarterly + annual reporting в CIMA
- External audit annually
Стоимость: $1 000 application + $5 000-200 000 annual fees (зависит от scale). Process — 6-10 месяцев.
Sandbox License
12-месячный режим для innovative business models, не вписывающихся в стандартные categories. Введён в 2025 году чтобы поддержать experimentation в Web3 — DeFi protocols, новые consensus mechanisms, novel financial instruments.
Direct CIMA supervision, ограниченный scope of operations (по согласованию), pre-defined exit criteria. После 12 мес — переход на permanent license или registration (или wind-down).
Используется относительно редко — за 2025 год выдано 4 sandbox licenses. Подходит для truly novel concepts, где normal VASP categories не applicable.
DAO Foundation Company
Альтернативный путь для DeFi protocols и DAO. Foundation Company как legal wrapper — не требует VASP лицензии, если protocol не предоставляет custody/exchange-услуг непосредственно.
1700+ зарегистрировано на февраль 2026. Foundation владеет treasury, директора исполняют on-chain governance decisions, members DAO защищены от персональной ответственности.
Если DAO operates AMM или provides custody — нужен VASP-анализ для конкретного use case. Линия между «protocol» и «VASP» иногда тонкая — требует case-by-case legal opinion.
04 · Получение Full VASP License4 фазы реального процесса
Реальный срок получения Full VASP License — 6-10 месяцев от первой консультации до approval. Это значительная инвестиция времени и ресурсов, которая окупается институциональной репутацией и доступом к Tier-1 banking partners.
Фаза 1. Scoping и structuring (недели 1-4)
Главные decisions на этом этапе:
- Точная classification бизнеса под VASP Act (Phase 1 vs Phase 2 vs sandbox vs DAO Foundation)
- Cayman entity structure: Exempted Company / LLC / SPC
- Initial KYC директоров и UBO
- Capital structure и documentation source of capital
- Local AML-officer recruitment plan
- Office space planning (substance requirements)
Фаза 2. Documentation (недели 4-12)
Обязательный пакет документов:
- Business Plan — описание operations, target market, revenue model, growth projections (минимум 3 года financials)
- Risk Assessment — comprehensive analysis всех risks (operational, financial, AML, cyber, market, legal)
- AML/CFT Manual — detailed procedures для customer onboarding, transaction monitoring, suspicious activity reporting, enhanced due diligence
- Cybersecurity Policy — technical infrastructure, key management (для custody), incident response, penetration testing schedule
- Business Continuity Plan — disaster recovery, data backup, alternate operations sites
- Customer Protection Framework — segregation of client assets, complaints procedure, disclosure requirements, client agreements
- Travel Rule Compliance — implementation FATF Recommendation 16, integration с industry tools (Sumsub, Notabene, ChainAlysis)
- Director questionnaires — fit & proper applications для всех directors
Фаза 3. CIMA submission (недели 12-28)
Подача через REEFS-portal. Cayman Atlas Partners experience: 100% наших VASP applications проходят 2-3 раунда RFI (request for information) от CIMA. Стандартные areas of inquiry:
- Source of capital documentation (банковские statements, SPA от investors)
- Senior management background (criminal records, professional history)
- Technical infrastructure (key management, multi-sig setup, cold storage procedures)
- Customer onboarding procedures (KYC tools, sanctions screening)
- Local substance (office, employees, decision-making)
Время на ответы CIMA: каждый round RFI — 4-8 недель response time. Качество ответов critical — недостаточные ответы означают decline или extended process.
Фаза 4. Approval и launch (недели 28-40)
После approval CIMA выдаёт VASP License. Дополнительные шаги:
- Banking introductions (Cayman National для local, международные partners для USD volume)
- Integration с custody/wallet infrastructure (если custody provider)
- Travel Rule integration с industry tools
- External audit firm engagement
- Public launch coordination
- Точная VASP classification определена
- Cayman entity создана с adequate substance
- 3 директора (включая 1 независимого) с CIMA registration
- $100k+ capital задокументирован
- Все 7 policies подготовлены и подписаны
- REEFS submission с complete documentation
- RFI rounds успешно отвечены
- License approved и operations launched
05 · Экономика VASP LicenseСтоимость путь к Phase 2
Setup costs (year 1)
- Entity setup (Exempted Company / LLC): $5 000 — 8 000
- Professional services (legal, AML consulting, cybersecurity audit): $80 000 — 150 000
- CIMA application fee: $1 000
- 3 Directors (CIMA registered): $30 000 — 60 000 first year
- MLRO local hire (full-time): $40 000 — 80 000 / year
- Office space на островах: $24 000+ / year
- Capital documentation и transfer: $100 000+ paid-up
- Banking onboarding: $10 000 — 20 000
Итого year 1 cost: $290 000 — 450 000 (включая $100k capital). Excluding capital: $190 000 — 350 000 в operational expenses.
Annual operating (year 2+)
- CIMA annual license fee: $5 000 — 200 000 (зависит от scale)
- Directors annual: $30 000 — 60 000
- MLRO + AMLCO + DMLRO: $80 000 — 150 000
- Office space: $24 000+
- External audit: $30 000 — 80 000
- Cybersecurity (penetration testing, monitoring): $30 000 — 80 000
- Travel Rule tooling: $24 000+
- Compliance technology (KYC, transaction monitoring): $50 000 — 200 000
- Legal annual: $40 000 — 100 000
Annual operating: $280 000 — 700 000 / год. Это объясняет, почему VASP Phase 2 экономически жизнеспособен только для бизнесов с serious revenue ($5M+ annually) или в роли gateway для bigger operations.
Cost of VASP Phase 2 не должен пугать. Это инвестиция в институциональную легитимность. Для нашего клиента — crypto custody provider — VASP License открыла banking relationships в JP Morgan и Goldman Sachs, недоступные для unregulated competitors. Это transformative для business viability.
— Партнёр, специалист по VASP licensing06 · Mini-кейсПолучение VASP Phase 2 для exchange
Crypto exchange запускает Cayman VASP License
Мid-tier crypto exchange с операциями в Asia-Pacific принял решение получить Tier-1 license для расширения institutional client base. До этого работал на упрощённой licence в одной из APAC юрисдикций. Цели: открыть doors для US/EU institutional flow, получить banking relationships с major prime brokers.
Решение: Cayman Exempted Company applying для Full VASP License (Phase 2 — trading platform). 3 директора: 2 founders + 1 independent (former central bank regulator). Local MLRO recruited из Cayman professional services. Office space leased в Cricket Square. Capital $200k paid-up (above minimum $100k). Полный пакет документов готов за 11 недель, REEFS submission в неделю 13. Прошло 3 раунда RFI с CIMA — главным образом по cybersecurity (key management procedures) и AML (transaction monitoring thresholds).
07 · СравнениеCayman VASP vs другие jurisdictions
| Параметр | Cayman VASP Phase 2 | Singapore MAS | Switzerland FINMA | EU MiCA CASP |
|---|---|---|---|---|
| Min capital | $100k | $200k SGD | CHF 100k - 1.5M | €50k — 150k |
| Process duration | 6-10 месяцев | 9-15 месяцев | 12-18 месяцев | 9-15 месяцев |
| Total cost | $200-450k | $250-600k | $300-700k | $200-500k |
| Reputation tier | Tier-1 | Tier-1 | Tier-1 | Tier-1 (EU) |
| Tax neutrality | 0% | 17% | ~12-15% | 20-30% |
| Banking access | Excellent global | Excellent APAC | Excellent EU/Swiss | Excellent EU |
| EU passporting | Нет | Нет | Нет (private placement) | Да |
| Best for | Global institutional | APAC-focused | Banking integration | EU retail + institutional |
Cayman VASP — оптимальный выбор для globally-focused VASPs с institutional clients. Singapore — для APAC primary market. Switzerland — для tight banking integration. EU MiCA — для retail-passporting в Европе.
Многие крупные players имеют parallel structures: Cayman VASP + Cyprus MiCA CASP — combined coverage global institutional + EU retail. Это экспensive но дает comprehensive market access.
08 · Риски и нюансы
8.1. CARF — automatic information exchange
С 1 января 2026 Cayman имплементировал Crypto-Asset Reporting Framework (CARF) — analog CRS для crypto. VASPs обязаны идентифицировать tax residency clients и annually report transactions в DITC. Это existential change для anonymous-style VASPs — обмен информацией с tax authorities стран резидентства clients автоматический.
8.2. Travel Rule compliance
Для transfers свыше USD 1 000 (CIMA threshold) VASPs обязаны exchange originator/beneficiary information. Implementation требует integration с industry tools (Sumsub, Notabene, ChainAlysis). Standalone solutions не приемлемы — нужны standardised protocols с counterparty VASPs. Это $24-80k annual investment.
8.3. Cybersecurity rigour
CIMA требует comprehensive cybersecurity framework, особенно для custody providers. Требования включают:
- Multi-signature wallet architecture
- Cold storage минимум 95% of client funds
- Annual penetration testing
- SOC 2 Type II compliance recommended
- Key management procedures с roles separation
- Insurance coverage для custody operations
Cybersecurity costs могут exceed $100k/year для serious custody operations.
8.4. Substance requirements
VASP попадает под Economic Substance Act как «relevant activity». Требуется:
- Adequate physical office на островах
- Key decisions made by Cayman-based directors
- Local employees или contracted personnel performing CIGA
- Adequate operating expenditure на островах
Без real substance — non-compliance с штрафами до $250k и потенциальным delisting.
8.5. Customer protection scrutiny
CIMA имеет low tolerance для customer protection failures. VASP rules требуют:
- Strict segregation client assets от proprietary
- Complaints handling procedure с time limits
- Clear disclosure всех fees и risks
- Suitability assessments для retail clients
- Whistleblower protections для employees
Material breach создаёт regulatory action — от warning letters до license suspension.
09 · FAQСамые частые вопросы про VASP
Можно ли запустить crypto-проект без VASP лицензии?
Да, в нескольких сценариях. Первое — non-custodial protocols без operational involvement (DeFi smart contracts, где users контролируют свои keys). Второе — crypto fund под MFA/PFA (см. отдельные статьи), где crypto-активность incidental к фондовой деятельности. Третье — DAO Foundation без commercial provision VASP services третьим лицам. Четвёртое — pure software development без operational control. Custody, exchange, public token issuance — обязательно лицензируются.
Что произойдёт, если работать без VASP лицензии после 1 апреля 2025?
Operating без license, когда она требуется — серьёзное regulatory violation. CIMA имеет полномочия: cease & desist orders (immediate stop operations), criminal prosecution senior management (до 7 лет тюрьмы под VASP Act), fines до $1M+, asset freezing, public naming в violation lists. Banking partners немедленно closing accounts upon публичного listing.
Как лицензия Cayman VASP признается в других юрисдикциях?
Cayman VASP — institutional Tier-1 recognition. Принимается major banks (Goldman, JP Morgan, BNY Mellon), prime brokers, institutional custodians. Для retail-passporting в EU — нужна отдельная MiCA CASP-license. Для US — отдельные state money transmitter licenses + потенциально BitLicense (NY). Cayman + Cyprus MiCA — частая dual structure для comprehensive market access.
Что такое incidental virtual asset activity?
Это term из VASP Act, exempting crypto activity, которая не main business. Например, fund инвестирующий в crypto — crypto-активность incidental к investment management business. SPV holding crypto на behalf от parent company — incidental к holding business. Foundation Company managing treasury — incidental к governance functions. Точная line требует case-by-case analysis с legal opinion.
Сколько занимает RFI process с CIMA?
В среднем 2-3 раунда RFI после initial submission. Каждый round: CIMA формирует questions (1-3 недели), applicant отвечает (4-8 недель), CIMA reviews (2-4 недели). Total RFI process — 12-24 недель. Качество initial submission критично: comprehensive, well-organised package сокращает RFI rounds. Бюро с experience в VASP applications обычно сокращает process к 2 RFI rounds (vs 4-5 для firms без specialised experience).
Могу ли я обновить регистрацию этапа 1 до лицензии этапа 2?
Да, через formal application к CIMA. Phase 1 registration не automatically converts — нужен new application с full Phase 2 documentation. Existing operations может продолжаться during transition (если activity не requires Phase 2). Multi-year customers, established compliance track record — это plus в Phase 2 application. Practical: для emerging businesses часто сначала Phase 1 (быстрее, дешевле) с Phase 2 upgrade через 1-2 года когда operations matured.
10 · ЗаключениеКогда VASP License — правильный выбор
Cayman VASP License — это серьёзная investment в институциональную легитимность. Это не для emerging projects — это для established businesses с реальным revenue и long-term commitment к compliance.
Подойдёт, если:
- Operating crypto custody, exchange, или trading platform с serious volumes
- Target market — institutional clients (HF, asset managers, family offices)
- Need access к Tier-1 banking partners
- Annual revenue $5M+ для economic viability
- Long-term commitment (5+ лет в indust业)
- Compliance budget $300k+ annually
Не подойдёт, если:
- Pre-revenue stage или early MVP testing — sandbox или unregulated jurisdiction first
- Bootstrapped с minimal capital — Phase 1 registration или DAO Foundation cheaper
- Pure DeFi protocol без custody/exchange operations — Foundation Company sufficient
- Retail EU focus — MiCA CASP license необходим anyway
VASP licensing — комплексный многомесячный process с множеством moving parts. Но для serious VASP businesses это inevitable step toward institutional legitimacy. Мы участвовали в 8 successful VASP applications с 2022 года, включая 3 Phase 2 licenses since April 2025. Партнёр-юрист может проанализировать ваш business model и предложить optimal regulatory path на бесплатной первой встрече.