Er DeFi omfattet af MiCA?

Milliarder af dollars bevæger sig dagligt gennem DeFi-protokoller som Uniswap, Aave og Compound – uden banker, uden mæglere og uden MiCA-godkendelse. Er det lovligt? Svaret er hverken et enkelt ja eller nej. MiCA undtager fuldt decentraliserede tjenester, men de færreste protokoller er fuldt decentraliserede i juridisk forstand. Denne artikel gennemgår artikel 2(4)-undtagelsen, hvad "sufficiently decentralized" vil sige i praksis, og hvad det konkret betyder for dig som dansk DeFi-bruger.

Du kan læse den overordnede gennemgang af MiCA-forordningen her, eller dykke ned i ART og EMT under MiCA for en forklaring af stablecoin-kategorierne. Vil du forstå CASP-kravene, se lovlige kryptobørser og CASP.

MiCA artikel 2(4): undtagelsen for DeFi

MiCA-forordningens artikel 2, stk. 4 er den centrale bestemmelse, der placerer fuldt decentraliserede tjenester udenfor forordningens anvendelsesområde. Bestemmelsen lyder i sin kerne: forordningen finder ikke anvendelse på kryptoaktivtjenester, der leveres på en fuldt decentraliseret måde uden nogen mellemmand.

Det lyder enkelt, men fortolkningen er kompleks. Hvad er "fuldt decentraliseret"? Hvem er en "mellemmand"? MiCA svarer ikke direkte på disse spørgsmål. Det er op til ESMA, EBA og nationale tilsynsmyndigheder at fortolke reglerne konkret. Og det arbejde er stadig i gang.

Det er afgørende at forstå, at artikel 2(4) er en negativ afgrænsning. Den fortæller os, hvad MiCA ikke gælder for – ikke hvad der er tilladt. En protokol, der falder udenfor MiCA, er ikke dermed regulatorisk godkendt. Den er blot ikke omfattet af dette specifikke regelsæt.

Hvem er "mellemmanden" i MiCAs forstand?

En mellemmand er enhver identificerbar part, der faciliterer en kryptoaktivtjeneste. Det kan være et selskab, en DAO, et team eller en enkeltperson. Nøglet er identifikation og kontrol: kan man pege på nogen, der tager beslutninger om protokollen og drager fordel af dens drift?

I klassisk finans er mellemmanden åbenbar: en bank, en mægler eller en børs. I DeFi er det langt mere diffust. Smart contracts kører autonomt – men frontenden, DAO-governance og udviklingsholdet er alle potentielle mellemmænd i regulatorisk forstand.

Recital 22 og den juridiske logik

Mens artikel 2(4) giver selve reglen, giver Recital 22 fortolkningsrammen. En recital – eller betragtning – er ikke en bindende retsregel, men en præambelbestemmelse, der vejleder i fortolkningen af forordningen. Nationale domstole og tilsynsmyndigheder er forpligtede til at tage hensyn til recitals, når de fortolker reglerne.

Recital 22 i MiCA præciserer, at forordningens krav ikke bør gælde for tjenester, der leveres fuldt decentralt. Betragtningen understreger, at dette kun er tilfældet, når tjenesten ydes uden nogen mellemmand. Er der en mellemmand involveret – selv en delvist involveret – kan hele tjenesten falde inden for MiCA.

Udtrykket "delvist decentraliseret" er centralt. Det viser, at EU-lovgiver har overvejet grænsetilfældet. Er du delvist decentraliseret – har du en frontend, et team eller en DAO – er du ikke undtaget. Det er alt-eller-intet-logik i princippet, selv om praksis er langt mere nuanceret.

Logikken bag undtagelsen er forbruger- og markedsbeskyttelse. MiCA er til for at beskytte EU-borgere mod uhæderlige aktører og systemisk risiko. Kan ingen holdes ansvarlig for en tjeneste, kan ingen reguleres. Men er der en ansvarlig part, er der ingen grund til at undtage tjenesten fra regulering.

Hvornår er en tjeneste "fuldt decentraliseret"?

MiCA opregner ikke eksplicit kriterierne. Men ud fra forordningens ordlyd og Recital 22 kan man identificere tre nødvendige betingelser, som alle skal være opfyldt:

"Sufficiently decentralized"-testen

Udtrykket "sufficiently decentralized" stammer fra amerikansk retspraksis – særligt SEC's vurdering af, om kryptoaktiver er værdipapirer. SEC's daværende direktør William Hinman anvendte det om Ethereum i 2018: at netværket var tilstrækkeligt decentraliseret til, at ETH ikke var et værdipapir. Begrebet er ikke en del af MiCAs ordlyd, men det analytiske framework er relevant.

I EU-konteksten er det ESMA, der de facto opstiller de faktorer, der afgør, om en DeFi-protokol er tilstrækkeligt decentraliseret til at falde udenfor MiCA. ESMAs DeFi- rapport fra 2023 identificerede en række risikofaktorer og grå zoner. Rapporten er ikke juridisk bindende, men den vejleder tilsynsmyndigheder i hele EU.

Decentraliseringsgrad: et spektrum, ikke en switch

Det er vigtigt at forstå, at decentralisering ikke er binær. Det er et spektrum. En protokol kan have én immutable kernekontrakt omgivet af upgradeable periphery-kontrakter. Den kan have et DAO med bred token-distribution, men et kerneteam med admin-rettigheder. MiCAs "alt-eller-intet"-formulering skal fortolkes i lyset af virkeligheden.

Diagrammet illustrerer, at ingen populær DeFi-protokol i dag er fuldt centraliseret eller fuldt decentraliseret. De fleste befinder sig i den gule og grønne ende, men har elementer fra begge sider. Det er præcis denne gråzone, ESMA forsøger at afklare.

Frontend-lag vs. protokol-lag

Den vigtigste distinktion i DeFi-regulering er forskellen på det, der kører på blockchain (protokollaget), og det, du interagerer med i din browser (frontendlaget). De to er juridisk helt forskellige entiteter og bør behandles separat.

Nøglepointen er enkel: protokollaget og frontendlaget er to forskellige ting. Du kan interagere med Uniswap-protokollen direkte via Etherscan eller en lokal wallet-integration – uden at røre Uniswap Labs' frontend. I så fald omgår du det potentielle CASP-led. Men de fleste brugere bruger frontenden, og det er et reelt mellemmandselement.

ESMA fokuserer særligt på, om en frontend-udbyder: (1) opkræver gebyrer for sin formidlingstjeneste, (2) driver KYC/AML-processer, (3) kan blokere brugere eller transaktioner, og (4) markedsfører sig aktivt som en finansiel tjenesteudbyder. Jo flere af disse elementer, jo stærkere case for CASP-klassificering.

Uniswap: grå zone mellem protokol og selskab

Uniswap er verdens største decentraliserede børs med over 1.500 milliarder dollars i handelsvolumen siden 2018. Protokollen er open source, kører autonomt på Ethereum og styres af Uniswap DAO (UNI-token-indehavere). Men bag frontenden sidder Uniswap Labs – et venturekapital-finansieret selskab i New York.

Denne todeling er kernen i Uniswaps regulatoriske udfordring. Protokollen og selskabet er to separate entiteter – men frontenden (app.uniswap.org) er det primære interaktionspunkt for millioner af brugere. Uniswap Labs opkræver siden 2023 et frontend-gebyr på 0,15 % på visse trades via sin hjemmeside.

I praksis er det altså frontenden – ikke protokollen – der er det regulatoriske smertepunkt for Uniswap. Uniswap Labs er allerede stødt på regulatorisk modvind i USA, hvor SEC udstedte en Wells Notice i 2024. I EU er sagen uafklaret, men ESMAs fokus på frontends som potentielle CASP-tjenester peger mod øget opmærksomhed.

Hvad betyder det for dig som dansk bruger? Pt. kan du bruge app.uniswap.org uden at overtræde nogen regler direkte. Men du bør være opmærksom på, at den platform, du bruger, kan ændre adgangsbetingelser eller blive pålagt restriktioner, hvis EU beslutter at klassificere frontends som CASP-tjenester.

Aave og Compound: stærkere case for decentralisering

Aave og Compound er de to dominerende decentraliserede lending-protokoller. Begge har en stærkere case for decentralisering end Uniswap, fordi der ikke er et parallelt selskab, der driver en kommerciel frontend med eget gebyr. Men begge er heller ikke fuldstændigt uden centraliseringselementer.

Aave V3: DAO-styret lending

Aave V3 er styret af Aave DAO – AAVE-token-indehavere stemmer om risikoparametre, aktivlister og protokolopgraderinger. Der er ingen central Aave-virksomhed, der kontrollerer brugeraktiver. Koden er open source og auditeret af flere firmaer.

Men Aave DAO har en treasury på hundredvis af millioner dollars, og der er en Guardian Multisig – en nødstopmekanisme, der kan fryse markedsoperationer i nødsituationer. Det Guardian-element er et centraliseringselement: en identificerbar gruppe af nøgleindehavere kan gribe ind i protokollen.

Aave Labs – virksomheden bag den tidlige protokoludvikling – er stadig aktiv som bidragyder til protokollen, men har ikke ensidig kontrol. Sammenlignet med Uniswap Labs er rollen langt mere begrænset.

Compound V3: simplere governance-model

Compound V3 (Comet) er en omskrivning af den originale protokol med en simplere governance-model og reduceret kompleksitet. COMP-token-indehavere styrer protokollen. Der er ingen separat selskab med fortsat dominerende rolle. Koden er open source og auditeret.

Compound har en pause guardian – ligesom Aave – der kan stoppe borrow-operationer i nødsituationer. Det er et centraliseringselement, men et, der typisk fortolkes som risikomildnende frem for CASP-konstituerende.

Den overordnede vurdering er, at Aave og Compound er bedre placeret end Uniswap, fordi der ikke er et parallelt kommercielt selskab med frontend-gebyrer. Men begge protokoller har elementer – Guardian, upgradeable kode, DAO-treasury – der er grå zoner, og som ESMA potentielt kan tage op i sine fremtidige henstillinger.

DAO-governance og CASP-klassificering

En DAO – Decentralized Autonomous Organization – styres af token-indehavere via on-chain stemmer. Det lyder decentralt, men ESMA stiller et grundlæggende spørgsmål: er en DAO en "person" i MiCAs forstand, der kan holdes ansvarlig for protokollens tjenester?

EU-jura opererer typisk med juridiske personer (selskaber, foreninger, fonde) og fysiske personer. En DAO er hverken. Det er en open-ended samling af pseudonyme wallet-adresser. Ingen EU-domstol har endnu taget stilling til DAO-ansvar i MiCA-kontekst.

Men tendensen er klar. I USA har CFTC sagsøgt bZeroX DAO og Ooki DAO, og en californisk domstol afgjorde, at DAO-members kan holdes personligt ansvarlige. I EU er der endnu ingen tilsvarende sager, men ESMA er opmærksom på udviklingen.

Lido: det tydeligste grå zone-eksempel

Lido Finance er verdens største liquid staking-protokol med over 30 milliarder dollars i TVL. Lido DAO styrer protokollen, men node-operatørerne er et godkendt, permissioned sæt af institutioner. Det ligner en mellemledstruktur: DAO vælger operatørerne, operatørerne staker ETH, og protokollen fordeler belønninger.

ESMA har specifikt nævnt liquid staking i sin DeFi-rapport som et område, der kræver særlig opmærksomhed. Spørgsmålet er, om Lido DAO udgør en mellemmand. Med permissioned node-operatører og DAO-kontrol over operatørlisten er der stærke argumenter for, at Lido er tættere på en reguleret tjeneste end en åben, decentraliseret protokol.

Du kan læse mere om DeFi og skat og specifikt om yield farming og beskatning, som er relevante for Lido-staking i dansk skatteretlig kontekst.

ESMAs vejledning og fremtid for DeFi-regulering

ESMA udgav i januar 2023 sin første rapport om DeFi, udformet som en del af det bredere arbejde med MiCA-implementeringen. Rapporten identificerede tre centrale risikogrupper: tekniske risici (smart contract-fejl, oracle-manipulation), governance-risici (DAO-magt, token-koncentration) og regulatoriske risici (hvem er ansvarlig?).

MiCA artikel 142, stk. 1 forpligter EU-Kommissionen til senest den 30. december 2025 at udarbejde en rapport om DeFi. Rapporten skal vurdere, om der er behov for specifik DeFi-regulering, og i givet fald foreslå rammer. Det er ikke et spørgsmål om, om DeFi reguleres på sigt, men hvornår og på hvilke vilkår.

ESMAs fokusområder for DeFi-regulering er:

• Frontends og DeFi-applikationer med kommercielt gebyrformål
• Liquid staking som potentiel finansiel tjeneste
• DAOs og mulighed for at klassificere dem som juridiske personer
• Grænsefladen mellem DeFi og TradFi: Real World Assets, tokeniserede fonde
• Stablecoins på DeFi (allerede under MiCA via udstederreglerne)
• Oracle-manipulation og markedsintegritet i DeFi-markeder

Stablecoins på DeFi: altid under MiCA

Her er en af de vigtigste misforståelser at rydde op i. Selv om en DeFi-protokol er udenfor MiCA, gælder det ikke de stablecoins, du bruger på den. USDT, USDC og DAI er kryptoaktiver med identificerede udstedere – og udstederne er underlagt MiCA som EMT (e-money tokens) eller ART (asset-referenced tokens).

USDC udstedes af Circle, der har opnået e-pengelicens i Frankrig og dermed kan udstede USDC lovligt i hele EU. USDT udstedes af Tether, der ikke har EU-godkendelse. Tether har erklæret, at de ikke søger MiCA-godkendelse. Store EU-børser har fjernet USDT fra deres EU-vendte produkter.

Men USDT cirkulerer stadig i stor stil i DeFi-protokoller. Det er ikke umiddelbart ulovligt for en privat dansk bruger at holde eller bruge USDT i DeFi – forpligtelsen hviler på udstederen og CASP-tilladelsespligtige parter, ikke på den individuelle bruger. Men det er et usikkert territorium, der kan ændre sig.

Se vores fulde gennemgang af stablecoins under MiCA og ART og EMT-kategorierne for en dybere forklaring.

Hvad det betyder for danske DeFi-brugere

Som privat dansk bruger er din primære risiko fra DeFi-regulering indirekte: de protokoller og frontends du bruger kan ændre adgangsvilkår, blokere EU-IP-adresser eller lukke ned, hvis de påbydes CASP-tilladelse og vælger at trække sig fra EU-markedet.

Finanstilsynet – den danske tilsynsmyndighed for MiCA – er endnu ikke begyndt at håndhæve regler direkte over for DeFi-brugere. Fokus er på CASP-pligtige aktører: børser, depotvirksomheder og handelsplatforme. Men Finanstilsynet har kompetence til at klassificere specifikke protokoller eller frontends som CASP-pligtige, hvis de finder tilstrækkelig grund.

Du kan læse om Finanstilsynets advarselsliste og ESMA og EBAs advarsler om krypto for at forstå, hvad myndighederne allerede reagerer på.

Praktiske risici for dig som bruger

Skat: altid pligtigt, uanset regulering

Det vigtigste at forstå: MiCA-status er fuldstændig irrelevant for din skattepligt i Danmark. Er du fuldt skattepligtig til Danmark, skal du indberette al indkomst – herunder indkomst fra DeFi, fra decentraliserede protokoller og fra uregulerede platforme. Statsskattelovens § 4 gælder alle typer indkomst fra alle typer platforme.

Krypto er som udgangspunkt underlagt spekulationsbeskatning efter statsskattelovens § 5, stk. 1, litra a. Det betyder:

• Swap af én token til en anden på en DEX: skattepligtig realisation ved byttehandlen
• Yield farming-belønninger: beskattes som personlig indkomst ved modtagelse
• Staking-rewards (herunder Lido stETH): personlig indkomst ved modtagelse
• LP-gebyrer: personlig indkomst ved realisering (udtræk af likviditet)
• Airdropped governance-tokens: personlig indkomst ved modtagelse til markedsværdi
• Renter fra lending (Aave, Compound): personlig indkomst ved modtagelse

Læs vores fulde gennemgang af DeFi og skat, herunder DeFi-lån og skat og den fulde kryptoskat-guide.

Vurder din DeFi-aktivitet (interaktiv)

Besvar fem spørgsmål om den DeFi-protokol, du bruger. Du får en vejledende vurdering af den regulatoriske risikoprofil baseret på MiCA artikel 2(4)-kriterierne.

Sammenligningstabeller og compliance-checker

Brug denne compliance-checker til at vurdere en konkret platform. Slå til for hvert kriterium, platformen opfylder. Du får en samlet score og risikoprofil.

DeFi vs. CEX: regulatorisk sammenligning

Ingen løsning er perfekt. CEX har modpartsrisiko og KYC-krav, men giver regulatorisk beskyttelse. DeFi giver selvforvaltning og transparens, men ingen beskyttelse ved uheld. Den bedste strategi for de fleste danske investorer er en kombination: brug en CASP-reguleret børs som beskrevet i vores CASP-guide til størstedelen af beholdningen, og brug DeFi til specifikke formål med beløb, du kan tåle at miste.

Kilder og referencer

Artiklen er baseret på følgende primær- og sekundærkilder. Alle EU-retsakter er tilgængelige gratis på EUR-Lex.