← Все статьиРазработка

KYC-интеграция для обменника и депозитария: идентификация по 115-ФЗ, ИНН, тест и отказ в операции

Редакция NorthCodeСверено 15 ноября 20268 мин чтения

Клиент по 115-ФЗ
Коротко

На 15.11.2026 обменник и цифровой депозитарий идентифицируют клиента по 115-ФЗ лично, удалённо через Госуслуги (ЕСИА) и биометрию (ЕБС) или поручив это банку, депозитарию, брокеру или управляющему. С 17.11.2026 в поток добавляется лимит 300 тыс. ₽ в год для неквалифицированного клиента у каждого посредника, а тест проходят все. SumSub для российского сервиса не вариант: он ушёл из России в 2022 году.

KYC-интеграция: онбординг по шагам

KYC (знай своего клиента): проверка клиента до первой операции, кто он, подтверждена ли личность и можно ли ему проводить эту операцию. KYC-интеграция: встраивание этой проверки в сайт, приложение или бота сервиса так, чтобы клиент прошёл её за один заход, а результат сохранился в вашей системе.

Соберите поток под себя: выберите, кто вы, какой клиент и как вы его идентифицируете. Любой шаг можно убрать и сразу увидеть, какого требования тогда не хватает и в каких случаях вы обязаны отказать.

Онбординг по шагамОбменник или депозитарий, клиент-физлицо
Кто вы
Клиент как инвестор
Способ идентификации
Шагов в потоке8

Обязательные шаги на месте.

Когда отказать в операции
  • Данные из ЕСИА или ЕБС не подтвердили личность клиента.
  • Совет: без ИНН не открывать цифровой счёт, пока юрист не подтвердит иное.
  • Документ недействителен или данные не совпадают с анкетой.
  • Тест не пройден: операцию не проводить.
  • Покупка превысит остаток лимита за год.
  • Сведения о переводе неполные или операция вызывает подозрения: отказать и действовать по правилам внутреннего контроля.
  • Адрес не принадлежит организации с правом его администрировать или тест не пройден.
  1. Идентификация удалённо через ЕСИА и ЕБСОбязательно
    Закон
    Удалённая идентификация через Госуслуги (ЕСИА) и биометрию (ЕБС) по п. 5.8 ст. 7 115-ФЗ доступна поднадзорным Банку России организациям из ст. 5, обменники и цифровые депозитарии в их числе.
    Хранить
    Ответы ЕСИА и ЕБС и журнал запросов в своей системе.
    Отказать
    Данные из ЕСИА или ЕБС не подтвердили личность клиента.
  2. ИНН клиентаСовет
    Закон
    По словам советника директора Росфинмониторинга, ИНН становится обязательным идентификатором для цифровых счетов (Интерфакс, 09.09.2026). Прямую норму в законе мы не нашли; анонимные цифровые счета в депозитарии запрещены (п. 5.2-2 ст. 7 115-ФЗ).
    Хранить
    В карточке клиента вместе с данными идентификации.
    Отказать
    Совет: без ИНН не открывать цифровой счёт, пока юрист не подтвердит иное.
  3. Документ, удостоверяющий личностьСовет
    Закон
    При удалённой идентификации или по поручению сведения приходят от ЕСИА или исполнителя; свою проверку документа оставьте для расхождений.
    Хранить
    Сведения о документе, копии храните только если они нужны по правилам внутреннего контроля.
    Отказать
    Документ недействителен или данные не совпадают с анкетой.
  4. Тест и уведомление о рискахОбязательно
    Закон
    Тест проходят все клиенты-физлица: неквалифицированные по п. 1 ч. 1 ст. 31 закона 282-ФЗ, квалифицированные по ч. 2 ст. 31 вместе с уведомлением о рисках.
    Хранить
    Ответы теста, дата и версия теста, подтверждение уведомления о рисках.
    Отказать
    Тест не пройден: операцию не проводить.
  5. Лимит 300 тыс. ₽ в годОбязательно
    Закон
    С 17.11.2026 неквалифицированный клиент покупает BTC, ETH и USDT не больше чем на 300 тыс. ₽ за календарный год у каждого посредника (Указание 7441-У, ч. 3 ст. 31 закона 282-ФЗ).
    Хранить
    Счётчик покупок клиента за календарный год.
    Отказать
    Покупка превысит остаток лимита за год.
  6. Проверка сведений и операцииОбязательно
    Закон
    Правила внутреннего контроля по 115-ФЗ. Проект новой редакции правил ПОД/ФТ Банка России (445-П), который касается обменников и цифровых депозитариев, обсуждали 8–21.10.2026; детали по тексту проекта мы не подтвердили.
    Хранить
    Результат проверки и основание решения в журнале операций.
    Отказать
    Сведения о переводе неполные или операция вызывает подозрения: отказать и действовать по правилам внутреннего контроля.
  7. Вывод на внешний адресСовет
    Закон
    Физлицо выводит криптовалюту из депозитария на внешний адрес только после теста и уведомления о рисках и только на адрес, который администрирует иностранная организация с таким правом (ч. 8–9 ст. 31 закона 282-ФЗ).
    Хранить
    Адрес получателя, кто его администрирует, дата теста.
    Отказать
    Адрес не принадлежит организации с правом его администрировать или тест не пройден.
  8. Где стоят серверыОбязательно
    Закон
    Основной и резервный программно-технические комплексы обменника должны находиться в России (ч. 4–5 ст. 44 закона 282-ФЗ).
    Хранить
    Данные клиентов и журналы на серверах в России.
    Отказать
    Не про отказ клиенту: без этого шага сервис сам не соответствует требованиям.
Все шаги потока текстом

Обменник, неквалифицированный клиент, удалённая идентификация:

ШагСтатусЧто требует законГде хранитьКогда отказать
Идентификация удалённо через ЕСИА и ЕБСОбязательноУдалённая идентификация через Госуслуги (ЕСИА) и биометрию (ЕБС) по п. 5.8 ст. 7 115-ФЗ доступна поднадзорным Банку России организациям из ст. 5, обменники и цифровые депозитарии в их числе.Ответы ЕСИА и ЕБС и журнал запросов в своей системе.Данные из ЕСИА или ЕБС не подтвердили личность клиента.
ИНН клиентаСоветПо словам советника директора Росфинмониторинга, ИНН становится обязательным идентификатором для цифровых счетов (Интерфакс, 09.09.2026). Прямую норму в законе мы не нашли; анонимные цифровые счета в депозитарии запрещены (п. 5.2-2 ст. 7 115-ФЗ).В карточке клиента вместе с данными идентификации.Совет: без ИНН не открывать цифровой счёт, пока юрист не подтвердит иное.
Документ, удостоверяющий личностьСоветПри удалённой идентификации или по поручению сведения приходят от ЕСИА или исполнителя; свою проверку документа оставьте для расхождений.Сведения о документе, копии храните только если они нужны по правилам внутреннего контроля.Документ недействителен или данные не совпадают с анкетой.
Тест и уведомление о рискахОбязательноТест проходят все клиенты-физлица: неквалифицированные по п. 1 ч. 1 ст. 31 закона 282-ФЗ, квалифицированные по ч. 2 ст. 31 вместе с уведомлением о рисках.Ответы теста, дата и версия теста, подтверждение уведомления о рисках.Тест не пройден: операцию не проводить.
Лимит 300 тыс. ₽ в годОбязательноС 17.11.2026 неквалифицированный клиент покупает BTC, ETH и USDT не больше чем на 300 тыс. ₽ за календарный год у каждого посредника (Указание 7441-У, ч. 3 ст. 31 закона 282-ФЗ).Счётчик покупок клиента за календарный год.Покупка превысит остаток лимита за год.
Проверка сведений и операцииОбязательноПравила внутреннего контроля по 115-ФЗ. Проект новой редакции правил ПОД/ФТ Банка России (445-П), который касается обменников и цифровых депозитариев, обсуждали 8–21.10.2026; детали по тексту проекта мы не подтвердили.Результат проверки и основание решения в журнале операций.Сведения о переводе неполные или операция вызывает подозрения: отказать и действовать по правилам внутреннего контроля.
Вывод на внешний адресСоветФизлицо выводит криптовалюту из депозитария на внешний адрес только после теста и уведомления о рисках и только на адрес, который администрирует иностранная организация с таким правом (ч. 8–9 ст. 31 закона 282-ФЗ).Адрес получателя, кто его администрирует, дата теста.Адрес не принадлежит организации с правом его администрировать или тест не пройден.
Где стоят серверыОбязательноОсновной и резервный программно-технические комплексы обменника должны находиться в России (ч. 4–5 ст. 44 закона 282-ФЗ).Данные клиентов и журналы на серверах в России.Не про отказ клиенту: без этого шага сервис сам не соответствует требованиям.

Цифровой депозитарий, неквалифицированный клиент, удалённая идентификация:

ШагСтатусЧто требует законГде хранитьКогда отказать
Идентификация удалённо через ЕСИА и ЕБСОбязательноУдалённая идентификация через Госуслуги (ЕСИА) и биометрию (ЕБС) по п. 5.8 ст. 7 115-ФЗ доступна поднадзорным Банку России организациям из ст. 5, обменники и цифровые депозитарии в их числе.Ответы ЕСИА и ЕБС и журнал запросов в своей системе.Данные из ЕСИА или ЕБС не подтвердили личность клиента.
ИНН клиентаСоветПо словам советника директора Росфинмониторинга, ИНН становится обязательным идентификатором для цифровых счетов (Интерфакс, 09.09.2026). Прямую норму в законе мы не нашли; анонимные цифровые счета в депозитарии запрещены (п. 5.2-2 ст. 7 115-ФЗ).В карточке клиента вместе с данными идентификации.Совет: без ИНН не открывать цифровой счёт, пока юрист не подтвердит иное.
Документ, удостоверяющий личностьСоветПри удалённой идентификации или по поручению сведения приходят от ЕСИА или исполнителя; свою проверку документа оставьте для расхождений.Сведения о документе, копии храните только если они нужны по правилам внутреннего контроля.Документ недействителен или данные не совпадают с анкетой.
Тест и уведомление о рискахОбязательноТест проходят все клиенты-физлица: неквалифицированные по п. 1 ч. 1 ст. 31 закона 282-ФЗ, квалифицированные по ч. 2 ст. 31 вместе с уведомлением о рисках.Ответы теста, дата и версия теста, подтверждение уведомления о рисках.Тест не пройден: операцию не проводить.
Лимит 300 тыс. ₽ в годОбязательноС 17.11.2026 неквалифицированный клиент покупает BTC, ETH и USDT не больше чем на 300 тыс. ₽ за календарный год у каждого посредника (Указание 7441-У, ч. 3 ст. 31 закона 282-ФЗ).Счётчик покупок клиента за календарный год.Покупка превысит остаток лимита за год.
Проверка сведений и операцииОбязательноПравила внутреннего контроля по 115-ФЗ. Проект новой редакции правил ПОД/ФТ Банка России (445-П), который касается обменников и цифровых депозитариев, обсуждали 8–21.10.2026; детали по тексту проекта мы не подтвердили.Результат проверки и основание решения в журнале операций.Сведения о переводе неполные или операция вызывает подозрения: отказать и действовать по правилам внутреннего контроля.
Вывод на внешний адресОбязательноФизлицо выводит криптовалюту из депозитария на внешний адрес только после теста и уведомления о рисках и только на адрес, который администрирует иностранная организация с таким правом (ч. 8–9 ст. 31 закона 282-ФЗ).Адрес получателя, кто его администрирует, дата теста.Адрес не принадлежит организации с правом его администрировать или тест не пройден.
Журнал действий по 890-ПОбязательноДепозитарий журналирует действия клиентов и работников: дата и время, идентификатор, результат, сетевой адрес, IMSI, IMEI, номер телефона (п. 2.3 Положения 890-П).Журнал на своих серверах, доступ только у службы безопасности.Не про отказ клиенту: без этого шага сервис сам не соответствует требованиям.

Для квалифицированного клиента лимит 300 тыс. ₽ не применяется, остальные шаги те же. При идентификации лично свои сведения о документе обязательны; по поручению обменник может обратиться к кредитной организации, цифровому депозитарию, брокеру или управляющему, а депозитарий к брокеру или управляющему.

Идентификация по 115-ФЗ: что требует закон

Тест по закону 282-ФЗ проходят не только неквалифицированные клиенты: по ч. 2 ст. 31 тест и уведомление о рисках нужны и квалифицированным инвесторам. Лимит и сам тест подробно разобраны в статье тест инвестора и лимит 300 тыс. ₽.

Про ИНН пока есть только заявление: советник директора Росфинмониторинга назвала ИНН клиента «новым обязательным» идентификатором для цифровых счетов (Интерфакс). Прямую норму мы не нашли, поэтому в потоке ИНН стоит как совет, а не как требование.

Ещё один документ в работе: проект новой редакции правил внутреннего контроля Банка России (445-П), который учитывает новые законы и касается обменников и цифровых депозитариев. Его обсуждали 8–21.10.2026 (Гарант). Детали по тексту проекта мы не подтвердили, поэтому закладывайте в систему гибкие правила отказа, а не жёсткие пороги из пересказов.

Даты, которые меняют поток

  1. Реестры и допускПравила допуска (890-П) и реестров (7429-У) Банка России в силе.
  2. Лимит 300 тыс. ₽ в годУказание 7441-У: BTC, ETH и USDT для неквалифицированных клиентов не больше 300 тыс. ₽ за календарный год у каждого посредника.
  3. Отчёт в ФНСРезиденты отчитываются об операциях с адресами, которые не ведут цифровые депозитарии (ст. 12.1 закона 173-ФЗ).
  4. Конец переходного периодаОрганизовывать обращение криптовалюты могут только участники из реестров. Обменник, который работает систематически, к этой дате должен быть в реестре.
  5. Статья 45 закона 282-ФЗЗадержка 48 часов для переводов дороже 100 тыс. ₽ на адреса вне депозитариев и дороже 300 тыс. ₽ третьим лицам.

Систематической деятельностью закон считает две и больше сделки в месяц на сумму больше 3,5 млн ₽ (Гарант). Как открыть обменник под эти правила, разобрано в статье как открыть криптообменник.

KYC-провайдер: что это и как выбрать

KYC-провайдер: сервис, который проверяет документы и личность клиента по API и возвращает результат в вашу систему. Конкретный сервис мы не советуем: важнее, чтобы он закрывал требования, а не был популярным.

  • Работает с российскими клиентами и хранит данные на серверах в России
  • Встраивается в удалённую идентификацию через ЕСИА и ЕБС или не мешает ей
  • Отдаёт в вашу систему не только «да или нет», но и данные проверки для журнала
  • Если идентификацию поручаете банку, депозитарию, брокеру или управляющему: есть договор поручения и понятный обмен данными
  • Даёт встроить тест и уведомление о рисках в тот же поток
  • Понятно, что будет с данными, если сервис уйдёт с рынка

Где хранить данные клиентов

Для обменника закон прямо требует, чтобы основной и резервный программно-технические комплексы стояли в России (ч. 4–5 ст. 44 закона 282-ФЗ). Для цифрового депозитария Положение 890-П добавляет журнал действий клиентов и работников: дата и время, идентификатор, результат, сетевой адрес, IMSI, IMEI и номер телефона (890-П).

Практическое правило: в вашей системе хранится всё, на чём основано решение пропустить клиента или отказать ему, а у провайдера только то, без чего он не может проверить. Тогда смена провайдера не обнуляет историю клиентов. Как такой поток выглядит в продукте, показываем на странице разработки криптообменника.

Встроим идентификацию, тест, лимит и журнал в сайт, приложение или бота обменника. Обсудить задачу →

Частые вопросы

  • Что такое KYC-провайдер?

    Сервис, который проверяет документы и личность клиента по API и возвращает результат в систему обменника, депозитария или другого сервиса. Выбирать его стоит по требованиям 115-ФЗ и месту хранения данных.

  • Работает ли SumSub в России?

    Нет. SumSub объявил о прекращении операций в России 04.04.2022, а 22.04.2026 подтвердил, что бизнес в России прекращён и инфраструктуры обработки данных в стране нет.

  • Можно ли идентифицировать клиента обменника удалённо?

    Да. Обменники и цифровые депозитарии входят в организации из ст. 5 закона 115-ФЗ, им доступна удалённая идентификация через ЕСИА и ЕБС (п. 5.8 ст. 7). Другой способ: поручить идентификацию банку, депозитарию, брокеру или управляющему.

  • Нужен ли ИНН, чтобы открыть цифровой счёт?

    Прямой нормы мы не нашли. Советник директора Росфинмониторинга 09.09.2026 назвала ИНН обязательным идентификатором для цифровых счетов, поэтому собирайте ИНН уже сейчас и уточните требование у юриста.

Источники
  1. КонсультантПлюс: ст. 7 закона 115-ФЗ
  2. Мэйл Финансы: что изменил закон 282-ФЗ
  3. Банк России: Указание № 7441-У (PDF)
  4. SecurityLab: лимит и тест для неквалифицированных инвесторов
  5. Интерфакс, 09.09.2026: ИНН для цифровых счетов
  6. Гарант: проект новой редакции правил ПОД/ФТ (445-П)
  7. Банк России: Положение № 890-П (PDF)
  8. Sumsub, 04.04.2022: прекращение работы в России
  9. Sumsub, 22.04.2026: заявление о бизнесе в России
  10. Банк России, 21.07.2026: регулирование криптовалют
  11. КонсультантПлюс: ст. 12.1 закона 173-ФЗ

Обсудим онбординг клиентов

Идентификация, тест, лимит и журнал под 115-ФЗ. Ответим за 15 минут.