Cryptodienstverleners krijgen van
Luxemburg eerst het label hoog
risico voor terrorismefinanciering. Zodra preventie, toezicht en andere beheersmaatregelen worden meegewogen, zakt de beoordeling naar middel.
Crypto staat daarin niet alleen.
Een eigen telling van CryptoBenelux in de
nationale risicoanalyse van Luxemburg laat zien dat twaalf van de vijftien categorieën met een hoog inherent risico uiteindelijk op middel uitkomen.
Dat is 80%.
Maar het betekent niet dat terrorismefinanciering met 80% is afgenomen.
Vijftien categorieën beginnen op hoog risico
CryptoBenelux telde alle zelfstandig beoordeelde categorieën in tabel 18 van het Luxemburgse rapport.
Dat levert 51 beoordelingen op.
| Risiconiveau | Inherent risico | Restrisico |
| Hoog | 15 | 3 |
| Middel | 21 | 20 |
| Laag | 11 | 19 |
| Zeer laag | 4 | 9 |
| Totaal | 51 | 51 |
| Categorie | Inherent | Restrisico |
| Binnenlandse fiducies | Hoog | Hoog |
| Buitenlandse trusts | Hoog | Hoog |
| Bepaalde internationaal actieve verenigingen zonder UP-status of DNGO-accreditatie | Hoog | Hoog |
Bij ondersteunende en overige gespecialiseerde financiële dienstverleners gebruikt Luxemburg één gezamenlijke beoordeling. Die groep telt daarom eenmaal mee.
Van de vijftien categorieën die aanvankelijk hoog scoren, zakken er twaalf naar middel.
Dat is 80% van die groep.
Crypto volgt hetzelfde patroon als banken en betaalbedrijven
Aanbieders van virtuele activa, in het rapport aangeduid als VASPs, krijgen:
inherent risico: hoog
restrisico: middel
Hetzelfde gebeurt bij retail- en zakelijke banken, onlinebanken, betaalinstellingen en elektronischgeldinstellingen.
Ook verschillende juridische en zakelijke categorieën volgen die route.
Crypto krijgt dus niet als enige sector een hoge eerste beoordeling die na maatregelen lager uitvalt.
Hoog inherent risico betekent niet dat maatregelen falen
De eerste score kijkt naar de kwetsbaarheid voordat beheersmaatregelen worden meegewogen.
Luxemburg noemt bij cryptodienstverleners onder meer de snelheid van transacties, wereldwijde reikwijdte en problemen rond traceerbaarheid.
Dat maakt de sector volgens het rapport aantrekkelijker voor bepaalde vormen van terrorismefinanciering.
Daarna volgt een tweede stap.
Luxemburg beoordeelt hoeveel van dat risico wordt beperkt door bestaande maatregelen.
Preventie en detectie veranderen de tweede score
Het
ministerie van Justitie legt uit dat onder meer preventieve controles bij bedrijven worden meegenomen.
Ook detectie van verdachte transacties telt.
Daar komen strafrechtelijke vervolging en het terughalen van vermogen bij.
Het resultaat daarvan is het restrisico.
Die score probeert dus antwoord te geven op een andere vraag dan het inherente risico:
hoeveel risico blijft over nadat bestaande maatregelen zijn meegenomen?
De twee cijfers meten geen ontwikkeling door de tijd
Daar zit een belangrijke valkuil.
Hoog naar middel lijkt op het eerste gezicht op een verbetering tussen twee meetmomenten.
Dat is hier niet wat er gebeurt.
Beide scores horen bij dezelfde nationale risicoanalyse.
De eerste score kijkt naar de situatie zonder het effect van beheersmaatregelen.
De tweede verwerkt die maatregelen juist wel.
Daarom bewijst de stap van hoog naar middel niet dat de cryptosector sinds een eerdere studie aantoonbaar veiliger is geworden.
Het is een vergelijking van twee fasen binnen dezelfde methode.
80% betekent evenmin 80% minder terrorismefinanciering
De twaalf categorieën vormen 80% van de vijftien categorieën met een hoge eerste score.
Dat percentage beschrijft alleen de verdeling van de labels.
Er is geen conclusie mogelijk dat maatregelen 80% van het daadwerkelijke terrorismefinancieringsrisico verwijderen.
De risiconiveaus zijn kwalitatieve categorieën.
Luxemburg publiceert hier geen criminaliteitspercentage waarmee hoog, middel of laag rechtstreeks naar een kans kan worden omgerekend.
Drie categorieën blijven wel op hoog staan
Niet iedere hoge beoordeling daalt.
Drie categorieën houden ook na het meewegen van maatregelen een hoog restrisico:
| Risiconiveau | Inherent risico | Restrisico |
| Hoog | 15 | 3 |
| Middel | 21 | 20 |
| Laag | 11 | 19 |
| Zeer laag | 4 | 9 |
| Totaal | 51 | 51 |
| Categorie | Inherent | Restrisico |
| Binnenlandse fiducies | Hoog | Hoog |
| Buitenlandse trusts | Hoog | Hoog |
| Bepaalde internationaal actieve verenigingen zonder UP-status of DNGO-accreditatie | Hoog | Hoog |
Crypto behoort dus tot de meerderheid waarbij Luxemburg bestaande maatregelen voldoende zwaar laat meewegen om één risiconiveau lager uit te komen.
Dat betekent nog steeds geen laag risico.
Middel blijft een waarschuwing
De term middel kan milder klinken dan de bedoeling is.
Het restrisico geeft volgens Luxemburg juist aan waar na alle bestaande controles nog blootstelling overblijft.
Een middelmatige beoordeling betekent daarom niet dat aanvullende aandacht overbodig is.
Het rapport gebruikt die uitkomsten om toezicht en vervolgmaatregelen te richten.
Voor cryptodienstverleners blijft de sector dus nadrukkelijk binnen het risicoraamwerk voor terrorismefinanciering.
De observaties lopen van 2021 tot en met 2024
Ook de tijdsperiode beperkt de conclusie.
De analyse gebruikt gegevens uit 2021 tot en met 2024.
Het rapport verscheen in 2026, maar de onderliggende observaties lopen niet door tot oktober van dit jaar.
Nieuwe ontwikkelingen na 2024 kunnen daardoor niet automatisch uit deze scores worden afgeleid.
Dat geldt ook voor veranderingen in regelgeving, marktstructuur of toezicht.
Een sectorlabel zegt niets over één individueel bedrijf
De beoordeling geldt bovendien voor een categorie.
Niet voor iedere afzonderlijke aanbieder.
Een cryptobedrijf met sterke controles krijgt door deze tabel niet automatisch het label middel op bedrijfsniveau.
Een onderneming met zwakke controles kan evenmin stellen dat haar eigen risico beperkt is omdat de sector als geheel op middel uitkomt.
De tabel beoordeelt sectorale blootstelling.
Geen individuele vergunninghouder.
Crypto valt daarmee in een brede financiële groep
De interessantste uitkomst is uiteindelijk niet dat Luxemburg crypto als hoog risico ziet.
Dat gebeurde ook bij meerdere traditionele financiële en zakelijke categorieën.
De opvallende stap zit in wat daarna gebeurt.
Van de vijftien categorieën met een hoog inherent risico eindigen er twaalf op middel zodra beheersmaatregelen worden meegewogen.
Cryptodienstverleners horen bij die twaalf.
Dat betekent niet dat het gevaar verdwenen is.
Het betekent dat Luxemburg binnen zijn eigen model onderscheid maakt tussen waar een sector kwetsbaar voor is en wat er na bestaande controles nog van dat risico overblijft.