De DFAL van Californië is nu van kracht: heeft uw kleine bedrijf een cryptolicentie nodig?

Stel, u runt een kleine webwinkel en bent vorig jaar begonnen met het accepteren van betalingen in Bitcoin. Of u bent een fintech-oprichter die een "stuur crypto naar een vriend"-knop aan uw app heeft toegevoegd. Of u exploiteert een betaalkiosk waarmee mensen contant geld kunnen inwisselen voor stablecoins. Vanaf 1 juli 2026 moeten alle drie de partijen dezelfde vraag stellen: vindt Californië dat ik een niet-gelicentieerd cryptobedrijf run?

Voor het grootste deel van het land voelt cryptoregulering nog steeds als een lappendeken van richtlijnen en handhaving via rechtszaken. Californië heeft die onduidelijkheid weggenomen voor iedereen die in aanraking komt met de digitale activa van zijn inwoners. De Digital Financial Assets Law (DFAL) van de staat is nu volledig van kracht, wordt beheerd door het Department of Financial Protection and Innovation (DFPI), en de boete voor het opereren zonder licentie — of een lopende aanvraag — kan oplopen tot €100.000 per dag. Deze gids legt uit wie er precies onder v alt, wie er is vrijgesteld en wat een klein bedrijf dat met digitale activa werkt nu moet doen.

Wat de DFAL Werkelijk Vereist​

De DFAL verbiedt elke persoon of entiteit om "digitale financiële activa-activiteiten" uit te voeren met, of namens, een inwoner van Californië, tenzij die entiteit een licentie van de DFPI heeft of in aanmerking komt voor een uitzondering. Dit is van toepassing ongeacht waar uw bedrijf fysiek is gevestigd. Als u klanten in Californië heeft, reiken de regels van Californië u — een les die talloze fintech-bedrijven van buiten de staat op de harde manier leren.

De wet definieert "digitale financiële activa-activiteiten" rond drie kernfuncties:

• Wisselen — het omzetten van digitale financiële activa in wettig betaalmiddel, banktegoed of andere digitale activa
• Overdragen — het verplaatsen van digitale financiële activa van de ene persoon naar de andere
• Bewaring en opslag — het vasthouden, onderhouden of controleren van digitale activa namens iemand anders

De rode draad door alle drie is controle — de wettelijke bevoegdheid om een transactie met het actief eenzijdig uit te voeren of onbepaalde tijd te blokkeren. Als uw bedrijf nooit de controle over de digitale activa van een klant overneemt, valt u waarschijnlijk buiten het bereik van de wet. Als het dat wel doet — zelfs kortstondig, als doorgeefluik — dan moet u waarschijnlijk opletten.

Het hebben van een licentie in een andere staat is geen vrijbrief. De DFPI heeft expliciet gesteld dat een New Yorkse BitLicense of een bestaande Californische geldovermakingslicentie niet automatisch voldoet aan de DFAL-vereisten. Elke licentie dekt een specifieke reeks activiteiten en de DFPI verwacht een eigen aanvraag, ongeacht waarvoor u elders al bent gelicentieerd.

Wie is daadwerkelijk vrijgesteld​

Voordat u in paniek raakt, controleert u of u in een van de uitzonderingen van de wet valt. De meest bruikbare voor kleine bedrijven is de uitzondering voor handelaren: een bedrijf dat een digitale waarde aanvaardt als betaling voor goederen of diensten — waarbij die goederen of diensten zelf geen digitale financiële activa zijn — is niet verplicht een DFAL-licentie te hebben. Simpel gezegd: als u een bakkerij, een adviesbureau of een SaaS-bedrijf bent dat klanten via een betalingsverwerker laat betalen met Bitcoin, en u wisselt, draagt of bewaart geen crypto namens iemand anders, dan bent u waarschijnlijk vrijgesteld.

Er is ook een de minimis-uitzondering voor iedereen die redelijkerwijs verwacht minder dan €50.000 per jaar te verdienen met activiteiten die anders een DFAL-licentie zouden vereisen. Dat is een aanzienlijke buffer voor zijprojecten, producten in een vroeg stadium of hobbyplatforms die nog op zoek zijn naar product-marktcompatibiliteit — maar het is een harde grens, geen suggestie. Zodra u die overschrijdt, valt u binnen het bereik.

Andere categorische uitzonderingen zijn:

• Overheidsinstanties (federale, staats- en lokale agentschappen)
• FDIC-verzekerde banken
• Federaal of door de staat gecharterde kredietverenigingen met kantoren in Californië
• In Californië gelicentieerde trustmaatschappijen

Let op wat er niet op die lijst staat: betalingsverwerkers, walletproviders, crypto-enabled fintech-apps, stablecoin-uitgevers en exploitanten van Bitcoin-geldautomaten (kiosken). Als uw product meer doet dan klanten crypto laten uitgeven aan dingen die geen crypto zijn, lees dan de wet zorgvuldig — of laat een advocaat die voor u lezen — voordat u aanneemt dat u onder een uitzondering valt.

De bedrijven die het meest waarschijnlijk worden verrast​

De DFAL is geschreven met crypto-exchanges en Bitcoin-geldautomaatketens in gedachten, maar de alledaagse taal omvat een veel bredere reeks bedrijven die zichzelf helemaal niet als "cryptobedrijven" beschouwen. Een paar voorbeelden die het waard zijn om tegen uw eigen bedrijfsvoering aan te houden:

• Marktplaatsen en gig-platforms die cryptotegoeden voor gebruikers aanhouden. Als uw platform verkopers of aannemers een saldo in digitale activa laat opbouwen voordat ze uitbetalen — in plaats van ze onmiddellijk uit te betalen via een externe verwerker — bewaart u mogelijk activa namens hen, wat precies binnen de DFAL-definitie valt.
• Payroll- of aannemersbetalingstools die crypto-uitbetalingsopties bieden. Het omzetten van het loon van een aannemer in een digitale waarde en het voor hen vasthouden of routeren is wissel- en overdrachtsactiviteit, geen acceptatie van handelaarsbetalingen.
• Loyaliteits- en beloningsprogramma's die op de blockchain zijn gebouwd. Het uitgeven of inwisselen van in crypto gedenomineerde beloningspunten kan sterk lijken op het runnen van een digitaal activabedrijf, zelfs als het kernproduct niets met financiën te maken heeft.
• SaaS- of app-platforms met een ingebouwde walletfunctie. Het toevoegen van een "bewaar hier uw crypto"-functie aan een verder gewoon product valt niet onder de handelaarsuitzondering — de walletfunctionaliteit wordt op zichzelf beoordeeld.

Geen van deze voorbeelden betekent automatisch dat u een licentie nodig heeft; elk hangt af van de specifieke kenmerken van hoe geld beweegt en wie het in elke stap controleert. Maar ze illustreren waarom "we zijn geen cryptobedrijf" op zichzelf geen veilig antwoord is — de DFAL geeft om wat uw product doet, niet in welke branche u het op een pitchdeck zou plaatsen.

De kosten van het verkeerd doen​

De handhavingsbevoegdheid van de DFPI is niet theoretisch. In juni 2025 ging de afdeling een schikking aan met Coinme Inc., een in Seattle gevestigde exploitant van Bitcoin-geldautomaten, resulterend in een boete van €300.000 plus €51.700 aan restitutie aan een oudere inwoner van Californië — een vroeg signaal van hoe agressief de staat van plan is deze sector te controleren, zelfs vóór de volledige licentiedeadline.

Nu de DFAL van kracht is, is de boetestructuur expliciet:

• Tot €100.000 per dag voor het opereren zonder licentie of een lopende aanvraag
• Tot €20.000 per dag, of per incident, voor overtredingen begaan door bedrijven die al een licentie hebben

Die bedragen stapelen zich snel op. Een bedrijf dat een nalevingskloof ontdekt en er zelfs een paar weken over doet om het op te lossen, kan te maken krijgen met een boete van miljoenen voordat de DFPI ooit hoeft te bewijzen dat er sprake was van opzettelijke misleiding. Dit is een strikt, activiteitgebaseerd licentiestelsel, geen "we pakken u uiteindelijk wel"-handhavingshouding — de deadline van 1 juli was een harde grens, geen zacht doelwit.

Wat de aanvraag werkelijk inhoudt​

Als uw bedrijf binnen het bereik valt, verloopt de aanvraag via het Nationwide Multistate Licensing System (NMLS), dat de DFPI op 9 maart 2026 heeft geopend voor DFAL-aanvragen. Verwachte verstrekking van:

• Gecontroleerde of niet-geconsolideerde jaarrekeningen
• Documentatie van geldstromen die laat zien hoe klantactiva door uw systemen bewegen
• Informatie over management en eigendom, inclusief antecedentenonderzoeken van sleutelpersoneel
• Een onafhankelijke beoordeling van uw Bank Secrecy Act / anti-witwasprogramma (BSA/AML)
• Een gedocumenteerd informatiebeveiligings- en operationeel beveiligingsprogramma

Een goed nieuws: de DFPI heeft de oorspronkelijk voorgestelde borgstellingseis van €500.000 uit de aanvraag verwijderd, waardoor de initiële kapitaaldrempel voor kleinere aanvragers is verlaagd. Dat gezegd hebbende, vereist al het andere op de lijst nog steeds echte nalevingsinfrastructuur — het soort dat weken of maanden duurt om op te bouwen als u het nog niet heeft, niet iets dat u de week voor een deadline in elkaar zet.

Voor bedrijven die Bitcoin-geldautomaten of soortgelijke cryptokiosken exploiteren, is er een extra laag regels die voorafging aan de volledige DFAL-uitrol: kiosklocaties moeten worden geregistreerd bij de DFPI, transacties per klant zijn gemaximeerd op €1.000 per dag, transactiekosten mogen niet hoger zijn dan het grootste van €5 of 15% van de ingewisselde dollarwaarde, en exploitanten moeten voorafgaand aan de transactie openbaarmakingen en gedrukte bonnen verstrekken.

Wat te doen als u niet zeker weet of u eronder valt​

Het eerlijke antwoord voor veel kleine bedrijven is: het is echt onduidelijk. De grens tussen "handelaar die cryptobetalingen accepteert" en "bedrijf dat overdrachten van digitale financiële activa afhandelt" vervaagt snel zodra u functies toevoegt zoals in-app wallets, peer-to-peer overdrachten, staking of cryptobeloningsprogramma's. Een paar praktische stappen:

1. Breng exact in kaart wat uw product doet met de digitale activa van een klant. Neemt u ooit het bewaring over, al is het maar tijdelijk? Faciliteert u overdrachten tussen twee van uw gebruikers, of alleen tussen een gebruiker en een externe, niet-gelieerde verwerker?
2. Schat uw inkomsten uit Californië van alle DFAL-gerelateerde activiteiten. Als u ruim onder de €50.000 per jaar zit en verwacht daar te blijven, documenteer die redenering dan — u kunt het bij de hand willen hebben als de DFPI ooit vraagt.
3. Wacht niet tot een nalevingsaudit om erachter te komen dat u het verkeerd had. Gezien de boetestructuur per dag zijn de kosten van het nu bevestigen van uw status verwaarloosbaar in vergelijking met de kosten van het zelfs maar een maand verkeerd hebben.
4. Als u binnen het bereik valt, start dan onmiddellijk de NMLS-aanvraag — een voltooide maar in afwachting zijnde aanvraag houdt u aan de juiste kant van de deadline van 1 juli, niet een afgeronde beoordeling.

Houd uw administratie op orde, wat u ook besluit​

Of u nu een DFAL-licentie aanvraagt of bevestigt dat u bent vrijgesteld, de onderliggende discipline is hetzelfde: weet precies wat er door uw bedrijf beweegt en kunt dat bewijzen. Transacties in digitale activa — wisseltransacties, overdrachten, zelfs routinematige cryptobetalingen die onder de handelaarsuitzondering worden geaccepteerd — hebben dezelfde duidelijke, controleerbare vastlegging nodig als elke andere transactie in uw administratie, vooral als een toezichthouder of een accountant u ooit vraagt uw geldstromen te reconstrueren.

Dat is precies het soort boekhouding waar plain-text accounting voor is gebouwd. Beancount.io biedt u transparante, versiebeheerde financiële gegevens — inclusief activiteit met digitale activa — zonder black boxes en zonder leveranciersafhankelijkheid. Ga gratis aan de slag en houd uw boeken auditklaar, ongeacht aan welke kant van een regelgevende lijn uw bedrijf valt.