Вы выбрали Дубай для крипто-бизнеса — ясное законодательство, отсутствие налога на прибыль. Но без compliance-фреймворка получить лицензию от VARA (Virtual Assets Regulatory Authority) практически невозможно. Типичная картина: проект уже запустил MVP, а при подаче заявки выясняется, что технологическая документация не соответствует требованиям — нет Business Risk Assessment, не настроен мониторинг транзакций, ключи хранятся без HSM. VARA возвращает документы на доработку, а время уходит месяцами. Проблема усугубляется тем, что регулятор требует детального описания архитектуры, включая схему потоков транзакций, управление ключами и процедуры реагирования на инциденты. Без этого даже сильный бизнес-план не гарантирует одобрения. Мы систематизировали опыт десятков прохождений аудитов и подготовили типовые решения для самых частых замечаний VARA. За последние годы мы помогли более 30 проектам пройти этот путь от концепции до финального одобрения, сократив типичные сроки на 20–30% за счёт готовых шаблонов и чёткого понимания требований регулятора.
Какие регуляторы действуют в Дубае для крипто-бизнеса?
Дубай имеет несколько юрисдикций с разными регуляторами:
- VARA (Дубай, mainland): для большинства VASP деятельности в Эмирате Дубай. Наиболее заточен под крипто-активы, детальные технологические требования.
- DIFC (Dubai International Financial Centre): финансовый free zone с английским common law. DFSA регулирует финансовые услуги, включая крипто. Лучше для институциональных сервисов.
- ADGM (Abu Dhabi Global Market): free zone Абу-Даби, регулятор FSRA. Также активно принимает крипто-бизнес.
Большинство крипто-стартапов выбирают VARA или ADGM.
Какие лицензионные категории существуют в VARA?
VARA выдаёт отдельные разрешения для каждого типа деятельности:
- Advisory Services
- Broker-Dealer Services
- Custody Services
- Exchange Services
- Lending and Borrowing Services
- Management and Investment Services
- Transfer and Settlement Services
- VA Issuance Services
Технические требования VARA
VARA известен детальными технологическими требованиями — это один из наиболее technology-forward регуляторов. Он требует:
Technology Governance Framework: документированная система управления технологическими рисками.
Cybersecurity Controls: VARA требует соответствия NIST CSF или ISO 27001. Ежегодный penetration test обязателен.
Custody Technology: для custody сервисов — обязательный HSM или MPC. VARA принимает Fireblocks, Copper, Ledger Enterprise.
Business Continuity: DR site требование, RTO < 4 часа для критических систем.
VARA Minimum Technology Standards (MITS): - Multi-factor authentication для всех admin доступов - Encrypted communications (TLS 1.2+) - Segregation of duties в key management - Real-time transaction monitoring - Immutable audit logs - Annual independent IT audit Какие AML-требования у VARA?
VARA следует рекомендациям FATF + UAE Federal AML Law. Специфические требования:
Risk-based approach: формализованный Business Risk Assessment документ, описывающий клиентские риски, продуктовые риски, географические риски применительно к контексту ОАЭ.
UAE Sanctions: дополнительно к OFAC/EU — UAE National AML/CFT sanctions list (обновляется регулярно). Все национальные санкции ОАЭ имеют приоритет.
Designated Non-Financial Businesses: особое внимание к транзакциям с секторами DNFB (real estate, gold, jewellery).
Какую юридическую структуру выбрать?
VARA требует регистрации компании в Дубае:
- Free zone компания (DMCC, Dubai South) или mainland LLC
- Физический офис (не virtual office)
- UAE resident директор
- Minimum capital: устанавливается регулятором, зависит от категории
DMCC (Dubai Multi Commodities Centre) — наиболее популярный free zone для крипто благодаря Crypto Centre программе.
Процесс получения VARA лицензии
- Minimum Viable Product submission: предварительный review концепции (2-4 недели)
- Initial Application: корпоративные документы + business plan (4-8 недель подготовки)
- In-Principle Approval: VARA даёт условное согласие, затем детальный technical review
- Full Licence: после выполнения всех условий
Общий срок: 9-18 месяцев. Стоимость лицензионного сбора: рассчитывается индивидуально, зависит от категорий.
| Этап | Срок | Ключевые deliverable |
|---|---|---|
| MVP submission | 2-4 недели | Концепция, high-level architecture, AML policy draft |
| Initial application | 4-8 недель | Корпоративные документы, business plan, Technology Governance Framework |
| In-Principle Approval | 2-4 месяца | Подробный technical review, penetration test, custodial setup |
| Full Licence | 3-6 месяцев | Финальная документация, выполнение условий IPA |
Сравнение юрисдикций Дубая для крипто-бизнеса
| Характеристика | VARA | DIFC | ADGM |
|---|---|---|---|
| Регулятор | VARA | DFSA | FSRA |
| Тип юрисдикции | Mainland + free zones | Free zone | Free zone |
| Язык права | UAE law + VARA rules | English common law | English common law |
| Лучший для | Крипто-стартапы, DeFi, NFT | Институциональные услуги | Биржи, обменники |
| Технические требования | Высокие, детальные | Средние | Высокие |
| Срок получения | 9-18 мес | 6-12 мес | 6-12 мес |
Что входит в работу по настройке VARA compliance
- Разработка Technology Governance Framework под требования VARA
- Создание UAE-специфичного Business Risk Assessment и AML Policy
- Помощь в прохождении technical review и penetration test
- Подготовка документации для In-Principle Approval и Full Licence
- Поддержка при взаимодействии с регулятором на всех этапах
Настройка VARA compliance: разработка Technology Governance Framework, UAE-специфичного Risk Assessment, AML Policy и поддержка при подаче — 2-4 месяца.
Свяжитесь с нами для предварительной оценки — мы поможем определить, какой пакет compliance требуется для вашего проекта. Закажите консультацию, чтобы избежать типичных ошибок на старте.