Регистрация VASP в Грузии: технические требования НБГ и документирование систем

Грузия не выдаёт криптолицензий. Здесь действует режим регистрации: компания, которая оказывает другим лицам услуги с виртуальными активами, должна до начала работы зарегистрироваться в Национальном банке Грузии (НБГ). Обязанность установлена статьёй 52⁵ Органического закона Грузии «О Национальном банке Грузии», а правило регистрации НБГ (приказ № 94/04) применяется с 1 июля 2023 года. В реестре НБГ от 23 октября 2026 года 43 поставщика.

Сегодня для регистрации требуется гораздо больше, чем в 2023 году. Приказ НБГ № 207/04 вступил в силу 27 августа 2026 года. Он ввёл требования к минимальному надзорному капиталу, системе управления рисками, ежегодным тестам на проникновение и независимому аудиту. Поставщики, зарегистрированные до этой даты, должны выполнить требования к управлению рисками до 1 июля 2027 года, а к капиталу — до 1 сентября 2027 года. Задача технической команды — точно описать фактическую работу системы и документально подтвердить каждую меру контроля.

В статье каждому проверенному требованию сопоставлены мера контроля на платформе, подтверждающие материалы, которые может запросить НБГ, и ответственный. Это технический разбор, а не юридическая консультация. Действующую редакцию правила мы восстановили по исходному грузинскому тексту и пяти приказам о внесении изменений в официальной правовой базе Matsne («Законодательный вестник Грузии»); доступа к платной консолидированной версии у нас не было. Номера статей относятся к правилу регистрации, если не указано иное.

Какие даты важны?

Дата	Что произошло
9 сентября 2022	Парламент включает надзор за VASP в Органический закон и устанавливает регистрационный сбор 5 000 лари; обе нормы действуют с 1 января 2023
1 июля 2023	Вступает в силу правило регистрации НБГ (приказ 94/04 от 13 июня 2023)
90 дней с 1 июля 2023	По данным НБГ, компании, работавшие до 1 января 2023 года, должны были подать заявку в этот срок и могли работать до решения НБГ
Декабрь 2025	Поправки в Органический закон: НБГ может устанавливать для VASP правила о капитале, хранении активов, управлении рисками и защите потребителей
1 января 2026	Поставщики обязаны размещать акт о регистрации в НБГ во всех каналах, включая сайты и приложения (статья 7(15))
27 августа 2026	Вступает в силу приказ 207/04: капитал, управление рисками, тесты на проникновение, аудит
1 июля 2027	Поставщики, зарегистрированные до 27 августа 2026, выполняют требования к управлению рисками (статья 7¹)
1 сентября 2027	Те же поставщики выполняют требования к капиталу (статья 7²)
31 декабря 2027	Поставщики полностью выполняют положение о Travel Rule (приказ 253/04, статья 17(2))

Какая деятельность требует регистрации в НБГ?

Статья 3(11¹) перечисляет услуги: обмен конвертируемых виртуальных активов на деньги, другие виртуальные активы или финансовые инструменты, в том числе через киоски; перевод; хранение или администрирование, в том числе средств, дающих контроль над активами; управление портфелем; администрирование торговой платформы; кредитование; первичное размещение и связанные с ним услуги.

Правило также запрещает кредитовать физических лиц виртуальными активами и работать через агентов (статья 1(6) и (9)). Другие ограничения:

• Поставщиком может быть только грузинское общество с ограниченной ответственностью или акционерное общество (статья 1(5)).
• Заниматься другой деятельностью он не вправе, кроме вспомогательной и обмена собственных виртуальных активов (Органический закон, статья 52⁵(4)).
• По разъяснению НБГ, требование о регистрации действует и в свободных индустриальных зонах.
• Расчёты виртуальными активами запрещены, кроме случаев, разрешённых НБГ (Органический закон, статья 39¹). В FAQ НБГ сказано, что грузинские компании не могут принимать виртуальные активы в оплату товаров и услуг, поэтому проект криптоплатёжного шлюза для грузинских мерчантов требует юридической проверки ещё до начала технических работ.

Это по-прежнему регистрация или уже лицензия?

Формально это по-прежнему регистрация, но с августа 2026 года она даёт право оказывать конкретные услуги и предполагает соблюдение пруденциальных требований. С момента вступления в силу приказа 207/04 в акте о регистрации перечисляются все услуги, которые вправе оказывать поставщик (статья 3(12)). НБГ может аннулировать регистрацию или согласие на отдельную услугу, если аудит или тест на проникновение выявит уязвимости критического или высокого уровня риска (статья 7¹(14)). Есть и требование к минимальному капиталу:

Услуга (статья 7²(1))	Минимальный надзорный капитал	Примерно в евро, курс НБГ на 30 октября 2026
Обмен (включая киоски) и/или перевод	150 000 лари	€51 800
Администрирование торговой платформы	350 000 лари	€121 000
Прочие услуги, кроме размещения стейблкоинов	250 000 лари	€86 400
Первичное размещение стейблкоина (отдельное правило о размещении стейблкоинов)	500 000 лари, растёт вместе с резервными активами	от €172 800

Поставщик, оказывающий несколько услуг, должен поддерживать капитал на уровне наибольшей из установленных для них сумм (7²(2)). Не менее 75% должно приходиться на основной капитал (7²(3)). Заявитель подаёт банковскую выписку, подтверждающую капитал (статья 3(1)(e¹)). Если капитала не хватает, поставщик немедленно сообщает об этом в НБГ и в течение пяти рабочих дней направляет план восстановления (7²(16)).

Какие требования НБГ предъявляет к руководителям и офису?

• Администраторы (руководители компании) должны соответствовать критериям профессиональной пригодности, установленным статьёй 3(3), включая высшее образование в профильной области (экономика, финансы, право, IT и другие) и/или не менее двух лет управленческого опыта в финансовом секторе или секторе виртуальных активов (3(3)(f)).
• Если единственный владелец компании одновременно является её директором, в компании должно быть не менее двух директоров (3(5)).
• Головной офис должен находиться в Грузии, администраторы должны управлять бизнесом из него, и он должен быть физически отделён от помещений других компаний (7(1)–(2)).
• Одно лицо, уполномоченное представлять компанию, должно находиться в Грузии не менее 14 дней в каждом календарном месяце (7(12)).
• Иностранные документы должны быть апостилированы или легализованы и сопровождаться заверенным переводом на грузинский язык (3(2)).
• НБГ принимает решение в течение 60 календарных дней после подачи полного пакета. Срок приостанавливается, пока НБГ ждёт ответов, и может быть продлён на 60 дней (3(10)).

Какие сведения о системах нужны для заявки?

Перечень требований содержится в приложении 5 к правилу, изложенном в новой редакции в августе 2026 года. Техническая часть включает:

1. Схема потоков по каждой услуге. Она показывает движение информации, виртуальных активов и денег на всех этапах с указанием всех участников, включая посредников; для группы активов с иной схемой движения нужна отдельная диаграмма. Для иностранных VASP и платёжных провайдеров, участвующих в процессе, указываются их надзорные органы.
2. Электронная система. Необходимо указать название системы, сайт её производителя и место размещения системы и записей об обязательствах перед клиентами и операциях, а также предоставить выписку из реестра о производителе системы. Систему нужно продемонстрировать НБГ до завершения регистрации.
3. Сайты и приложения. Подтверждение права на использование каждого домена, а также название, магазин приложений и разработчик каждого приложения.
4. Документы по AML. Внутренняя инструкция по AML, оценка рисков отмывания денег на уровне организации или анкета НБГ и подписанное заявление о системе комплаенс-контроля.
5. Бизнес-план с бюджетом на три года, показывающий, что вы будете работать в Грузии.

НБГ может отказать в регистрации, если система не соответствует схеме потоков (статья 3(9)(e)). После регистрации изменения схемы подлежат контролю: об изменении электронной системы, адреса сайта, приложения или схемы оказания услуги нужно уведомить НБГ не менее чем за 30 календарных дней (статья 5).

Статья 7 добавляет постоянные обязанности. Каждая операция записывается, каждое действие с этими данными фиксируется в журнале, и записи можно быстро извлечь из головного офиса (7(5)). Сотрудники НБГ получают доступ к внутренней системе в головном офисе (7(11)). Удалённая идентификация клиентов проводится по процедуре, согласованной с НБГ (7(4)).

Что добавили поправки от августа 2026 года?

Статья 7¹ требует системы управления рисками, которая охватывает операционный риск, кибербезопасность, устойчивость инфраструктуры и мошенничество. Она должна включать анализ влияния сбоев на бизнес, определение критических функций и критически важных внешних контрагентов, а также допустимых пределов нарушения работы (7¹(6)). План обеспечения непрерывности бизнеса должен включать план аварийного восстановления ИТ-систем; ежегодное тестирование в правиле названо «целесообразным» (7¹(9)). Поставщик проводит тесты на проникновение ежегодно для всех критических систем и связанных с ними систем, для остальных систем — на основе оценки рисков не реже раза в три года, а также после любого существенного изменения критической инфраструктуры (7¹(10)–(11)). Сканирование уязвимостей проводится не реже двух раз в год и охватывает системы, не включённые в тестирование на проникновение в этом году (7¹(12)). В течение 12 месяцев после регистрации поставщик получает отчёт независимого квалифицированного аудитора (7¹(13)) и хранит все версии документов системы управления рисками в течение восьми лет после прекращения оказания услуги (7¹(4)).

Какие требования действуют в сфере AML и Travel Rule?

VASP — подотчётное лицо по Закону Грузии «О содействии предотвращению отмывания денег и финансирования терроризма». Согласно трактовке Andersen in Georgia, надлежащая проверка клиента обязательна для разовых операций свыше 1 000 долларов США, 1 000 евро или 3 000 лари, а записи хранятся пять лет; подтвердите оба пункта у юриста, прежде чем устанавливать правила приёма клиентов и удаления данных. НБГ уже штрафовал VASP за нарушение правила Службы финансового мониторинга о регистрации и передаче информации об операциях.

Правило регистрации предусматривает три дополнительные меры контроля. Поставщик не вправе работать с VASP или финансовыми организациями, которые не лицензированы и не зарегистрированы, не находятся под надзором в сфере AML или базируются в странах без правил, эквивалентных стандартам FATF (8(1)). Он не вправе предлагать privacy coins (анонимные монеты) или использовать методы, препятствующие отслеживанию операций в распределённых реестрах (8(2)). До начала работы у него должно быть ПО, которое автоматически выявляет подозрительные или связанные операции по данным блокчейна (8(3)); без него НБГ может аннулировать регистрацию (статья 6(1)(g)).

Travel Rule закреплено в статьях 9–12 приказа НБГ № 253/04:

• Провайдер отправителя передаёт имена обеих сторон и их блокчейн-адреса или номера счетов, а также адрес отправителя, идентификационный номер либо дату и место рождения (9(1)–(2)).
• Данные передаются защищённым способом до перевода или вместе с ним, не обязательно в блокчейне (9(4)).
• Для некастодиального (self-hosted) кошелька провайдер собирает и хранит те же данные. При сумме перевода свыше 1 000 евро, 1 000 долларов США или 3 000 лари он оценивает, владеет ли клиент адресом или контролирует его: при исходящих переводах на адрес, который клиент называет своим, и при входящих переводах с некастодиального адреса (9(5)–(6), 11(3)).
• Пока эти требования не выполнены, перевод не отправляется (9(8)). Провайдер получателя отклоняет перевод, возвращает его или запрашивает недостающие данные, а о контрагентах, которые систематически нарушают эти правила, сообщает в НБГ (12).

Какие меры контроля и подтверждающие материалы проверяет НБГ?

В первом столбце кратко изложено нормативное требование со ссылкой на соответствующую норму. В остальных столбцах — наши рекомендации по реализации. Они основаны на опыте разработки и эксплуатации биржевого ПО, кошельков и ПО для кастодиального хранения на референсной бирже с 2024 года, а также подготовки технических досье для заявок на лицензии. Указанные роли ответственных в самом правиле не определены.

Требование (ссылка)	Мера контроля на платформе	Подтверждающие материалы	Ответственный
Операции регистрируются, каждое действие фиксируется в журнале, записи быстро доступны (7(5)); записи в реальном времени (7¹(8)(a))	Учёт методом двойной записи; журнал всех действий операторов без возможности изменения и удаления записей (append-only)	Выгрузка журнала; проверка скорости получения записей из головного офиса	CTO
Доступ НБГ в головном офисе (7(11))	Роль для надзорного органа с доступом только на чтение и журналированием подключения	Описание роли; журнал доступа	CTO, комплаенс
Отчёты для НБГ формируются быстро, по любому параметру (7¹(8)(d)–(e))	Отчёты строятся из учётной системы, а не вручную	Образцы отчётов	Комплаенс
Инциденты регистрируются; процедура уведомления о значимых событиях, связанных с операционным риском (7¹(8)(b), 7¹(6)(i))	Реестр инцидентов, классы серьёзности, шаблон уведомления	Реестр; протокол учений	CISO
Уникальные защищённые учётные данные; защита данных и ПО (7¹(7)(c), (h), (i))	2FA для сотрудников; секреты в хранилище (vault); ролевой доступ; релизы после ревью	Проверка прав доступа; журнал изменений	CISO
Систематическое резервное копирование с защитой целостности и подлинности (7¹(7)(g), (j))	Зашифрованные, неизменяемые или офлайн-копии на второй площадке; проверка восстановления из резервных копий	График резервного копирования; отчёт о контрольных суммах	CTO
План непрерывности с аварийным восстановлением (7¹(6)(f), 7¹(9))	Резервная среда; учения по восстановлению на чистом оборудовании	План; отчёт об учениях с замером времени	CEO, CTO
Тесты на проникновение и сканирование (7¹(10)–(12))	Календарь тестов, привязанный к релизам; трекер устранения уязвимостей	Отчёты; статус устранения	CISO
Управление аутсорсингом; договор с поставщиком (7¹(6)(j), 7¹(7)(d))	Реестр внешних контрагентов: хостинг, KYC, аналитика, поставщик ПО	Реестр; договоры	CEO
Автоматическое выявление подозрительных операций (8(3))	Автоматический блокчейн-мониторинг депозитов и выводов; приостановка операций на основе оценки риска; разбор оповещений	Журналы оповещений и расследований	MLRO
Данные Travel Rule и проверки некастодиальных кошельков (253/04, ст. 9–12)	Travel Rule-провайдер; поля формы вывода; процесс подтверждения владения адресом	Журналы сообщений; образцы	MLRO

Что грузинское право пока не уточняет?

В правиле регистрации и поправках к нему мы не нашли перечисленных ниже требований. Проверьте с юристом другие акты НБГ, законодательство в сфере AML и защиты данных; до уточнения требований рассматривайте приведённые рекомендации как надлежащую практику:

• Сегрегация активов клиентов. Норм о том, как поставщик обособляет активы клиентов и проводит их сверку, в правиле регистрации и поправках к нему мы не нашли. Статья 52⁵(1)(k) Органического закона позволяет НБГ устанавливать стандарты хранения; на 31 октября 2026 года опубликованных стандартов мы не нашли. Держите клиентские кошельки отдельно от кошельков компании и ежедневно сверяйте учёт с блокчейном.
• Расположение серверов. Нормы, требующей держать серверы в Грузии, мы не нашли. Нужно заявить, где размещены система и данные, а сотрудники НБГ должны иметь доступ к системе из головного офиса. Согласуйте план хостинга с юристом.
• Сроки уведомления об инцидентах. Статья 7¹ требует процедуры уведомления НБГ о крупных операционных рисках, но в прочитанных нами текстах срок в часах не установлен. Уточните сроки у юриста, затем установите внутренний срок уведомления и проверьте его соблюдение на учениях.

Что поставщику сделать сейчас?

Если вы уже зарегистрированы:

1. Проведите gap-анализ по статье 7¹ уже сейчас. Аудитору нужна работающая система управления рисками, а до 1 июля 2027 года осталось восемь месяцев.
2. Заранее согласуйте проведение первого теста на проникновение и обоих сканирований уязвимостей на 2027 год.
3. Спланируйте обеспечение необходимого капитала к 1 сентября 2027 года.
4. Настройте передачу данных по Travel Rule и проверьте его с реальными контрагентами до 31 декабря 2027 года.

Если вы подаёте заявку: приложите банковскую выписку о капитале, схему по каждой услуге и выписку из реестра о производителе системы и спланируйте демонстрацию для НБГ. Автоматический блокчейн-мониторинг должен работать до начала деятельности; система управления рисками и отчёт независимого аудитора нужны в течение 12 месяцев после регистрации.

Частые вопросы о регистрации VASP в Грузии

Выдаёт ли Грузия криптолицензию?

Нет. НБГ регистрирует поставщиков услуг виртуальных активов. С 27 августа 2026 года регистрация влечёт и требования к капиталу, управлению рисками и аудиту.

Сколько капитала нужно криптобирже в Грузии?

Минимальный надзорный капитал для торговой платформы составляет 350 000 лари, для услуг обмена и перевода — 150 000 лари. Поставщик, оказывающий несколько услуг, должен поддерживать капитал на уровне наибольшей из установленных для них сумм.

Сколько длится регистрация в НБГ?

НБГ принимает решение в течение 60 календарных дней после подачи полной заявки. Срок приостанавливается, пока НБГ ждёт ответов, и может быть продлён на 60 дней.

Может ли иностранная компания зарегистрироваться как VASP в Грузии?

Только через грузинское общество с ограниченной ответственностью или акционерное общество. Ему нужен головной офис в Грузии, а один уполномоченный представитель должен находиться в Грузии не менее 14 дней в месяц.

Применяется ли в Грузии Travel Rule к криптопереводам?

Да. Приказ НБГ № 253/04 определяет данные отправителя и получателя для переводов виртуальных активов и проверки некастодиальных кошельков. Полностью выполнить его требования нужно до 31 декабря 2027 года.

Обеспечивает ли ПО, готовое к лицензированию, соответствие VASP требованиям?

Нет. ПО предоставляет инструменты контроля и подтверждения их работы. Соблюдение требований зависит от компании, её сотрудников и организации работы, а решение принимает НБГ.

Как помогает BitPolaris

BitPolaris разрабатывает ПО для биржи, кошелька и кастодиального хранения, которое с 2024 года используется в промышленной эксплуатации на референсной бирже. Биржевое ПО включает консоль оператора с ролевым доступом, журналом аудита и отчётами, уровни KYC с интеграцией Sumsub или Didit, а также сбор данных Travel Rule с выгрузкой для вашего провайдера Travel Rule. Custody добавляет горячий, тёплый и холодный уровни хранения, согласование по схеме M-of-N, белые списки адресов с задержкой активации, мониторинг резервов с круглосуточной сверкой учётных данных с блокчейном и журнал действий операторов с возможностью выгрузки. Custody поставляется только в варианте self-hosted, поэтому генерация, хранение и восстановление ключей остаются в ваших руках. Облачный вариант биржи работает на выделенных серверах в ЕС: укажите это расположение в заявке, заключите договор с поставщиком по статье 7¹(7)(d) и проверьте его на соответствие правилам об аутсорсинге и защите данных. Статья 8(3) требует автоматического блокчейн-мониторинга, который вы организуете отдельно.

Licence Technical Pack включает подготовку документов: Lite за €1 250 разово, Pro за €6 300 разово и Regulator Q&A (ответы на вопросы регулятора) за €1 450 в месяц (без НДС, цены на 31 октября 2026 года). Подготовка документов для Грузии доступна по запросу, поэтому согласуйте с нами объём работ до покупки. По теме: что регуляторы требуют от криптобиржи и срок лицензирования в Армении в 2027 году.

Мы не юридическая фирма и не подаём заявки — это делаете вы и ваш юрист. Пакет не является аудитом, поэтому не заменяет независимый аудит по статье 7¹(13) и тесты на проникновение. Установка нашего ПО сама по себе не обеспечивает соблюдения требований и не означает регистрации в НБГ.

Источники

1. Органический закон Грузии «О Национальном банке Грузии», консолидированный английский текст (статьи 39¹, 52⁵), Matsne
2. Приказ НБГ № 94/04 от 13 июня 2023 года, правило регистрации, оригинальный текст и список изменений, Matsne
3. Приказ НБГ № 207/04 от 26 августа 2026 года (капитал, управление рисками, приложение 5), Matsne
4. Приказы НБГ № 376/04 от 25 декабря 2023 года (Matsne), № 266/04 от 25 ноября 2025 года (Matsne) и № 5/04 от 15 января 2026 года (Matsne)
5. Приказ НБГ № 253/04, положение об информации, сопровождающей переводы денежных средств и виртуальных активов, консолидированная редакция на декабрь 2023 года, PDF НБГ, и изменяющий приказ № 386/04, Matsne
6. Закон о внесении изменений в Закон «О регистрационных сборах» № 1795-IXმს-Xმპ от 9 сентября 2022 года, Matsne
7. НБГ, страница и реестр поставщиков услуг виртуальных активов (файл реестра от 23 октября 2026 года)
8. НБГ, FAQ по виртуальным активам
9. НБГ, утверждено правило регистрации VASP, 20 июня 2023
10. НБГ, НБГ расширяет систему надзора за VASP, 8 сентября 2026
11. НБГ, НБГ разрабатывает регулирование услуг с виртуальными активами, 10 марта 2026
12. НБГ, поправка об отображении акта о регистрации, 27 ноября 2025
13. НБГ, предупреждение о незарегистрированных поставщиках, в том числе в свободных индустриальных зонах, 7 октября 2025
14. НБГ, наложение штрафа на VASP ООО «Matio»
15. Andersen in Georgia, Georgia’s legal framework for virtual asset services
16. Andersen in Georgia, New stage in virtual asset market regulation in Georgia, 2 октября 2026
17. НБГ, официальные курсы валют, 30 октября 2026