Адкрыты банкінг і PSD2 у Польшчы — што гэта такое, як працуе і ці гэта бяспечна

PSD2 у трох сказах — прававая аснова

PSD2 гэта Дырэктыва Еўрапейскага Парламента і Савета (ЕС) 2015/2366 ад 25 лістапада 2015 г. аб плацежных паслугах у межах унутранага рынку. Замяніў старую PSD1 з 2007 г. і ўвёў тры новыя канструкцыі, якіх раней не існавала: абавязковы API банкаў, два новыя рэгуляваныя сэрвісы (AIS і PIS) і патрабаванне моцнай аўтэнтыфікацыі кліента (SCA).

Як PSD2 была ўкаранёна ў Польшчы

Польская рэалізацыя адбылася законам ад 10 траўня 2018 г. аб змяненні закона пра плацежныя паслугі (Dz.U. 2018, поз. 1075), якая дадавала да закона ад 2011 г. новую раздзел, якая рэгулюе паслугі AIS і PIS — у асноўным артыкула 59a-59zh закона аб плацежных паслугах. Частка нормаў уступіла ў сілу 20 чэрвеня 2018 г. (частка ліцэнзійных нормаў), але поўнае выкананне тэхнічных патрабаванняў (функцыянуючы API банкаў, патрабаваная SCA) — 14 верасня 2019 г., у адпаведнасці з тэрмінам, вызначаным RTS (даручанае Палажэнне Камісіі 2018/389).

Хто ажыццяўляе кантроль за выкананнем PSD2 у Польшчы

Нагляд за рынкам PSD2 у Польшчы ажыццяўляе Камісія фінансавага нагляду (KNF). KNF выдае ліцэнзіі нацыянальным AISP і PISP, вядзе публічны рэестр пастаўшчыкоў плацежных паслуг, правярае адпаведнасць API банкаў патрабаванням RTS і — у выпадку парушэння — накладае санкцыі (ад фінансавых штрафаў да адкліканьня дазволу). Польскія банкі таксама ўзгаднілі агульны тэхнічны стандарт API пад назвай PolishAPI, створаны паводле ўзору брытанскага Open Banking Standard.

Тры ролі ў экасістэме PSD2: ASPSP, AISP, PISP

PSD2 уводзіць тры рэгуляваныя ролі ўдзельнікаў рынку. Кожная мае іншыя паўнамоцтвы, іншыя ліцэнзійныя патрабаванні і іншы абсяг доступу да вашых дадзеных. Разуменне іх розніцы з'яўляецца асновай для ацэнкі бяспекі канкрэтнага прыкладання.

ASPSP — банк, які вядзе Ваш рахунак

ASPSP (Пастаўшчык паслуг па абслугоўванні рахунку) гэта ўстанова, якая вядзе ваш плацежны рахунак — у 99% выпадкаў банк, але таксама SKOK і плацежныя ўстановы, якія выдаюць рахункі. ASPSP абавязан абавязаны прадаставіць бясплатнае API (PSD2 арт. 66-67), якое дазваляе дзвюм тыпам пастаўшчыкоў (ніжэй) выконваць аперацыі з рахункам кліента — пры ўмове яго згодзі. ASPSP не можа браць плату за само прадастаўленне гэтага API і дыскрымінаваць TPP адносна ўласных інтэрфейсаў.

AISP — пастаўшчык паслугі інфармацыі аб рахунку

AISP (Пастаўшчык паслуг інфармацыі аб рахунку) гэта пастаўшчык, які з тваёй згоды толькі чытае дадзеныя: баланс, гісторыю транзакцый, дадзеныя рахунку. Не ініцыюе плацяжы. Не мае права рухаць ніводнай злоткі. Гэта катэгорыя, у якой працуюць бюджэтныя прыкладанні — Martia, Freenance, Kontomierz, агрэгатары PFM. AISP у Польшчы павінны мець ліцэнзію KNF (нацыянальную) або пашпартызацыя з іншай краіны ЕС (напрыклад. Enable Banking мае ірландскую ліцэнзію і дзейнічае ў Польшчы на падставе адзінай ліцэнзіі ЕС).

PISP — пастаўшчык паслугі ініцыяцыі плацяжоў

PISP (пастаўшчык паслугі ініцыявання плацяжу) мае шырэйшыя паўнамоцтвы: можа ад вашага імя ініцыяваць перавод з рахунку. На практыцы гэтую ролю выкарыстоўваюць плацежныя платформы (як альтэрнатыву BLIK або карткам пры анлайн-пакупках — напрыклад, некаторыя функцыі Tpay, Przelewy24, Stripe). PISP патрабуе асобнай, больш строгай ліцэнзіі KNF, бо рызыка злоўжыванняў значна вышэйшая, чым для AISP. Для яснасці: Martia з'яўляецца толькі AISP — ніколі не чапаем вашыя грошы, толькі чытаем гісторыю.

Спіс польскіх банкаў з API PSD2 — стан на 2026

Кожны банк, які вядзе плацежныя рахункі ў Польшчы, мае юрыдычны абавязак прадаставіць API PSD2. Наступная табліца паказвае 9 найбуйнейшых камерцыйных банкаў — усе падтрымліваюць стандарт PolishAPI або яго пашырэнні, з рознай якасцю і рознымі абмежаваннямі.

Ліміт 90 дзён не з'яўляецца абмежаваннем канкрэтнага банку — гэта патрабаванне арт. 10 RTS (дэлегаваны рэгуляванне 2018/389): гісторыя транзакцый, загружаная без актыўнага ўдзелу карыстальніка, можа ахопліваць максімальна 90 дзён у мінулае. Гэта прычына, чаму пры першым падключэнні дадатак часта бачыць толькі апошнія 3 месяцы — больш глыбокая гісторыя патрабуе ручнога імпарту CSV.

Поўны спіс банкаў з больш дэталёвымі аперацыйнымі заўвагамі (штодзённыя ліміты, вядомыя памылкі, якасць катэгорый) апісаны ў артыкуле Адкрыты банкінг у польскіх банках — якія банкі падтрымліваюць PSD2 у 2026.

Ліцэнзаваныя пастаўшчыкі AIS, якія дзейнічаюць у Польшчы

Праверка ліцэнзіі AISP займае 30 секунд — дастаткова назвы пастаўшчыка і аднаго з двух пошукавых сэрвісаў. Спіс ніжэй не з'яўляецца рэйтынгам, а паказвае рэальны стан: якія аператары маюць дазволы на дзейнасць у Польшчы на май 2026.

Як праверыць ліцэнзію пастаўшчыка — два крыніцы праўды

1. Рэестр KNF — knf.gov.pl, раздзел «Суб'екты фінансавага рынку». Пошукавая сістэма «Рэгістр пастаўшчыкоў плацёжных паслуг» паказвае ўсіх нацыянальных AISP/PISP і замежных, якія дзейнічаюць на аснове адзінай ліцэнзіі ЕС (паспортынг).

2. EBA Register — euclid.eba.europa.eu/register. Цэнтральная база Еўрапейскага ўпраўлення па наглядзе за банкаўскай дзейнасцю са ўсімі плацежнымі ўстановамі з усёй ЕС. Тут вы можаце праверыць замежных пастаўшчыкоў: Enable Banking шукайце пад "Enable Banking Oy" (Вялікабрытанія) і "GC Re Ltd." (Ірландыя, суб'ект пасля Брэксіту).

Што PSD2 гарантуе табе як карыстальніку

PSD2 гэта не толькі рэгуляцыя для банкаў і фінтэхаў — гэта таксама набор канкрэтных правоў спажыўца. Пяць з іх варта ведаць, бо яны непасрэдна ўплываюць на тое, як выглядае ваша ўзаемадзеянне з фінансавай праграмай.

1. Моцная аўтэнтыфікацыя (SCA) — мінімум два фактары

SCA (Strong Customer Authentication) рэгулюецца ў PSD2 арт. 97 і дакладна апісана ў RTS 2018/389. Патрабуецца, каб кожная аўтарызацыя выкарыстоўвала мінімум два незалежныя элементы з трох катэгорый: веды (PIN, пароль), валоданне (тэлефон з банкаўскім дадаткам, токен), рыса (адбітак пальца, Face ID). Уваход у банк праз дадатак AISP заўсёды адбываецца ў банкаўскім асяроддзі — гэта банк, а не дадатак, правярае SCA.

2. Згода макс. 180 дзён, паўторнае аўтарызаванне кожныя 90 дзён

PSD2 арт. 67 ч. 2 абмяжоўвае адзіночную згоду для AISP да 180 дзён. Незалежна ад гэтага, арт. 10 RTS патрабуе абнаўлення SCA мін. кожныя 90 дзён (калі ў гэты час вы актыўна не ўвайдзеце ў праграму). Гэта прычына раздражняльнай просьбы «зноў падключыць рахунак» — не памылка, а рэгуляцыйнае патрабаванне.

3. Права адкліку згоды ў любы момант

Арт. 35 раздз. 5 закона аб плацежных паслугах: згоду вы адклікаеце альбо ў дадатку, альбо ў інтэрнэт-банкінгу (ўкладка «Знешнія дадаткі» / «Доступ PSD2» — па-рознаму названа ў кожным банку). Адкліканне адбываецца неадкладна — банк мае абавязак заблакаваць далейшы доступ да праграмы, нават калі яна яшчэ не выдаліла токен з свайго сервера.

4. Забарона на счытванне даных з экрана

Да PSD2 шматлікія агрэгатары працавалі праз счытванне даных з экрана: карыстальнік уводзіў у дадатку лагін і пароль ад банкаўскага рахунку, а дадатак аўтаматычна ўваходзіў «за яго» на старонку банка, каб атрымаць дадзеныя. Арт. 32 RTS 2018/389 гэтага забараняе. Сёння, калі дадатак просіць пароль ад банкаўскага рахунку — гэта не адпавядае сумяшчальны з PSD2. Канец дыскусіі.

5. Адсутнасць аплаты за карыстанне паслугамі AISP

PSD2 арт. 67 ч. 4 забараняе банку спаганяць любыя платы з спажыўца толькі за карыстанне AISP. Банк таксама не можа блакаваць або замаруджваць API для легальнага AISP (арт. 32 раздз. 3 RTS). Што пастаўшчык AISP разлічвае са сваімі кліентамі — гэта ўжо пытанне яго бізнес-мадэлі (напрыклад, падпіска супраць умоўна-бясплатны).

PSD3 і PSR — што змяняецца пасля 2026

PSD3 (Дырэктыва аб плацежных паслугах 3) і PSR (Рэгуляванне Плацежных Паслуг) гэта новы рэгулятарны пакет, прапанаваны Еўрапейскай камісіяй у чэрвені 2023 г. Да мая 2026 г. перамовы паміж Камісіяй, Еўрапейскім парламентам і Радай ЕС знаходзяцца на заключным этапе — плануецца ўкараненне ў польскае заканадаўства ў 2026-2027 г.Што канкрэтна змяніцца, калі PSD3/PSR уступяць у сілу?

Канец 90-дзённай паўторнай аўтарызацыі

Найбольш прыкметная змена для карыстальніка: PSD3 адменіць патрабаванне паўторнага SCA кожныя 90 дзён. Дастаткова пацвердзіць актыўную згоду ў самой праграме AISP (напрыклад, дакрананне да паведамлення). Гэта канец цыклічнай раздражняльнасці «зноў трэба ўваходзіць у банк праз Martia». Банк захоўвае права патрабаваць паўторную аўтарызацыю ў выпадку падазроных актыўнасці — але стандартна: адна згода, шматгадовае дзеянне.

Санкцыі для банкаў за няправільна працуе API

PSD2 патрабаваў ад банкаў API, але на практыцы якасць была няроўная — тайм-аўты, адсутнасць дадзеных, капрызныя памылкі аўтарызацыі. PSR уводзіць больш жорсткія, вымяральныя SLA для API банкаў і канкрэтныя фінансавыя санкцыі за іх невыкананне. Гэта добрыя навіны для фінтэхаў і ўскосна для карыстальнікаў: менш парушаных злучэнняў.

Лепшая абарона ад санкцыянаванага махлярства (APP махлярства)

PSR упраўляе абавязак так званага IBAN-check: банк атрымальніка пацвярджае, ці супадае імя ўладальніка рахунку з уведзеным IBAN. Калі не супадае — папярэджанне перад націскам «пацвердзіць». Гэта прамая рэакцыя на рост махлярства тыпу «памылка атрымальніка» і фальшывыя рахункі. У Вялікабрытаніі падобны механізм (пацвярджэнне атрымальніка плацяжу) скараціў такія махлярствы на некалькі дзясяткаў адсоткаў.

Як Martia карыстаецца PSD2

Martia гэта прыкладанне AISP — толькі чытаю дадзеныя з твайго рахунку, ніколі не ініцыюю плацяжы і не маю права зрушыць ніводную залатую. Карыстаюся ліцэнзаваным пастаўшчыком інфраструктуры — Enable Banking (AISP пад наглядам FIN-FSA у Фінляндыі), які з'яўляецца афіцыйным AISP у рэестры EBA.

Як выглядае падключэнне банка на практыцы

Націскаеце «Злучыць банк» → выбіраеце ўстанову → я перанакіроўваю вас на афіцыйны сайт або прыкладанне вашага банка → там ўваходзіце і пацвярджаеце SCA (код SMS, BLIK, Face ID — у залежнасці ад банка) → банк выдае токен з абмежаваным абсягам (чытаць балансы і гісторыю за 90 дзён назад) → токен трапляе ў Martia. Паролі для банкаў нідзе не бачу — фізічна немагчыма, бо ўводзіш іх на старонцы банка, а не ў Martia. Поўны пакрокавы даведнік у артыкуле Як злучыць банкаўскі рахунак з фінансавай праграмай — крок за крокам.

Што менавіта я чытаю, а што не чытаю

Чытаю: салда, спіс транзакцый (дата, сума, апісанне, адпраўнік/атрымальнік), нумар рахунку, валюта, назва банка.
Не чытаю: пароляў, PIN-кодаў, дадзеных для ўваходу, лімітаў карт, гісторыі старэй за 90 дзён (PSD2 арт. 10 RTS), крэдытнай гісторыі з BIK, дадзеных іншых асоб.
Не раблю: пераводаў, змянення лімітаў, адкрыцця рахункаў, закрыцця рахункаў, ніякіх актыўных аперацый.

Больш пра бяспеку і пра тое, чым Martia адрозніваецца ад аб’яднальнікаў да PSD2 — у кіраўніцтве Сінхранізацыя банкаўскага рахунку з дадаткам — як гэта працуе і ці бяспечна. Аб выбары прыкладання, заснаванага на адкрыты банкінг — Прыкладанні адкрыты банкінг у Польшчы — рэйтынг 2026.

Частыя пытанні пра PSD2

Ці ведае дадатак, які карыстаецца PSD2, мой пароль да банка?

Не. PSD2 забараняе счытванне даных з экрана (арт. 32 RTS 2018/389). Праграма не бачыць і не захоўвае пароль ад банкаўскай сістэмы. Вы ўваходзіце непасрэдна ў асяроддзі банка, пацвярджаеце двухэтапна (SCA), праграма атрымлівае толькі чытальны токен з абмежаваным доступам (звычайна: чытанне балансаў і гісторыі за 90 дзён назад).

Ці магу я адмяніць згоду на доступ да рахунку?

Так, у любы момант. Згоду можна адмяніць непасрэдна ў дадатку (напрыклад, у Martia — у наладах злучэння банка) альбо непасрэдна ў інтэрнэт-банкінгу (вкладка „Знешнія прыкладанні” / „Доступ PSD2”). Адмена адбываецца неадкладна і вынікае з арт. 35 ч. 5 закона аб плацежных паслугах.

Чаму кожныя 90 дзён мне трэба зноў увайсці ў банк?

Бо так патрабуе PSD2 — арт. 10 п. 1 RTS (падзяржаванае распараджэнне) 2018/389). Без актыўных дзеянняў карыстальніка SCA павінна абнаўляцца мінімум кожныя 90 дзён. Гэта цэласнае абмежаванне, каб нагадаць табе, што якаясьці праграма мае доступ да тваіх даных. Сёняшні PSD3 (плануемая рэалізацыя 2026-2027) мае адменіць гэтае патрабаванне.

Як мне даведацца, што праграма мае ліцэнзію AISP?

Праверце ў публічным рэестры KNF (knf.gov.pl, раздзел „Суб'екты) фінансавага рынку" → «Рэгістр пастаўшчыкоў плацежных паслуг») або ў EBA Register (euclid.eba.europa.eu/register). Кожны AISP — польскі (з ліцэнзіяй KNF) або замежны (з паспартынгам) — павінен быць на гэтай лісты. Пастаўшчык, якога там няма, не мае права аказваць паслугі AIS.

Што адбудзецца з маім уліковым запісам, калі прылада PSD2 абанкруціцца?

Нішто. Праграма AISP не захоўвае вашыя грошы — толькі чытае даныя. Банк застаецца выключным давераным асобам сродкаў. З боку у дадатку ў лепшым выпадку знікае гісторыя катэгарызацыі і аналітыка — самі транзакцыі ўсё яшчэ ў банку. Для парадку: AISP не падпарадкоўваецца Банкаўскаму Фонду Гарантый, бо няма чаго гарантаваць (не трымае дэпазіты).

Хто такія ASPSP, AISP і PISP?

ASPSP — банк, які вядзе ваш рахунак і прадастаўляе API. AISP — пастаўшчык паслугі інфармацыі аб рахунку (толькі чытае дадзеныя, напрыклад, Martia праз Enable Banking). PISP — пастаўшчык паслугі ініцыявання плацяжу, які можа выканаць пераклад ад вашага імя (некаторыя фінтэх-плацёжныя сэрвісы). Кожную ролю рэгулюе асобны артыкул PSD2 і асобныя ліцэнзійныя патрабаванні.

Што змяняе PSD3 і калі ён уступіць у сілу?

PSD3 і PSR гэта новы рэгулятарны пакет KE — прапановы з чэрвеня 2023 годзе, на этапе трохбаковай перамоў у 2026 годзе. Найважнейшыя змены: скасаванне патрабавання перааўтарызацыі кожныя 90 дзён, больш строгія санкцыі для банкаў за няправільна працуючыя API, больш выразныя правы спажыўца пры махлярствах аўтарызаваных, механізм IBAN-check. Укараненне ў Польшчы — найхутчэй 2026-2027.

Ці ахоплівае PSD2 таксама SKOK і кааператыўныя банкі?

Так. Абавязак прадастаўляць API прымяняецца да кожнай установы вядзенне плацежных рахункаў (PSD2 арт. 4 пункт. 1). На практыцы аднак якасць і ахоп API у SKOK-ach і меншых банках кааператывы адрозніваюцца - некаторыя інтэграцыі прыкладанняў фінансавыя рэсурсы там абмежаваныя або недаступныя. Праверыць канкрэтнай установы лепш зрабіць у самой заяўцы або ў яе заяўцы спіс падтрымоўваных банкаў.

Крыніцы і прававыя акты

• Еўрапейскі парламент і Рада ЕС, 2015, Дырэктыва (ЕС) 2015/2366 аб плацежных паслугах на ўнутраным рынку (PSD2), EUR-Lex.
• Сейм РП, 2011 (адзіны тэкст 2024), Закон ад 19 жніўня 2011 г. аб плацежных паслугах (Dz.U. 2011 № 199 пункт 1175, арт. 59a-59zh), ISAP.
• Еўрапейская камісія, 2018, Делегаваны рэгламент (ЕС) 2018/389 (RTS для SCA і CSC), EUR-Lex.
• Камісія фінансавага нагляду, Рэгістр пастаўшчыкоў плацежных паслуг, knf.gov.pl.
• Еўрапейскі орган банкаўскага нагляду (EBA), EBA Register of Payment and E-money Institutions, euclid.eba.europa.eu/register.
• Еўрапейская камісія, чэрвень 2023, прапанова Payment Services Directive 3 (PSD3) i Payment Services Regulation (PSR), finance.ec.europa.eu.
• Звяз Банкаў Польшчы, Standard API PolishAPI, polishapi.org.