Open Banking PSD2 w Polsce — co to jest, jak działa i kiedy weszło w życie
Pełna definicja dyrektywy PSD2, trzech regulowanych usług (AIS, PIS, CoF), roli KNF i listy polskich banków. Przewodnik aktualny na 2026.
PSD2 (Payment Services Directive 2) to dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/2366 z 25 listopada 2015 r. o usługach płatniczych w ramach rynku wewnętrznego. W Polsce została wdrożona nowelizacją ustawy o usługach płatniczych z 10 maja 2018 r. (Dz.U. 2018 poz. 1075), obowiązującą od 20 czerwca 2018 r.; pełna zgodność techniczna — w tym wymóg silnego uwierzytelniania klienta (SCA) — zaczęła obowiązywać 14 września 2019 r. Nadzór sprawuje Komisja Nadzoru Finansowego (KNF), a na poziomie unijnym — European Banking Authority (EBA). PSD2 wprowadza tzw. otwartą bankowość (open banking) — system, w którym banki, za wyraźną zgodą klienta, udostępniają dane o rachunkach i umożliwiają inicjowanie płatności licencjonowanym dostawcom zewnętrznym (TPP — Third Party Providers).
Definicja — open banking PSD2 w Polsce
Open banking to mechanizm prawny i techniczny wynikający z dyrektywy PSD2, w którym polskie banki — za zgodą klienta i wyłącznie w zakresie tej zgody — udostępniają dane o rachunkach (usługa AIS) lub przyjmują polecenia płatnicze (usługa PIS) od licencjonowanych dostawców zewnętrznych. W Polsce obowiązuje od 20 czerwca 2018 r. na podstawie ustawy o usługach płatniczych, w pełnym zakresie technicznym od 14 września 2019 r., pod nadzorem KNF.
TL;DR — 7 faktów o PSD2 w Polsce
- Dyrektywa unijna z 2015 r., w Polsce wdrożona ustawą z 10 maja 2018 r. (pełna zgodność techniczna od 14 września 2019 r.).
- Reguluje trzy usługi: AIS (dostęp do informacji o rachunku), PIS (inicjowanie płatności), CoF (potwierdzenie dostępności środków).
- Nadzór sprawuje KNF; rejestr TPP prowadzi European Banking Authority (EBA).
- Wprowadza obowiązkowe silne uwierzytelnianie klienta (SCA) — minimum dwa czynniki przy każdej płatności elektronicznej.
- Wszystkie polskie banki komercyjne udostępniają AIS; 20 banków korzysta ze standardu PolishAPI, ok. 300 instytucji jest podłączonych przez HUB PSD2 KIR.
- Reklamacje w sprawach płatniczych: 15 dni roboczych (wcześniej 30 dni kalendarzowych). Odpowiedzialność własna za nieautoryzowane transakcje: do 50 EUR.
- Następca PSD2 — PSD3 + rozporządzenie PSR — został wstępnie uzgodniony w listopadzie 2025 r.; wdrożenie ok. 2027–2028.
Najważniejsze informacje
- PSD2 to dyrektywa UE wdrożona w Polsce ustawą z 10 maja 2018 r. Pełna zgodność techniczna obowiązuje od 14 września 2019 r.
- Trzy regulowane usługi: AIS, PIS, CoF — każda wymaga osobnej licencji i osobnej zgody klienta
- Nadzór sprawuje KNF; centralny rejestr TPP prowadzi EBA
- Aplikacja AISP ma dostęp wyłącznie do odczytu — nie zna Twojego hasła, nie wykona przelewu
- Wszystkie polskie banki komercyjne objęte są PSD2; podłączenie konta zajmuje 2–3 minuty, zgoda ważna 90 dni
Co to jest dyrektywa PSD2?
PSD2 (Payment Services Directive 2) to dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/2366 z 25 listopada 2015 r. o usługach płatniczych w ramach rynku wewnętrznego. Zastąpiła poprzednią dyrektywę PSD1 z 2007 r. i zrewolucjonizowała europejski rynek usług płatniczych — w tym otworzyła go na dostawców spoza sektora bankowego.
Trzy główne cele PSD2: (1) zwiększenie bezpieczeństwa transakcji poprzez wymóg silnego uwierzytelniania klienta (SCA), (2) promowanie innowacji i konkurencji przez otwarcie infrastruktury bankowej dla licencjonowanych firm trzecich (TPP), (3) ujednolicenie zasad ochrony konsumenta w całej UE. Jeśli szukasz głębszej, regulacyjnej analizy — z konkretnymi numerami artykułów ustawy, listą licencjonowanych AISP w PL i przeglądem nadchodzącego PSD3 — przeczytaj Open banking i PSD2 w Polsce — pełny przewodnik regulacyjny 2026.
Wdrożenie w Polsce — kalendarium
- 13 stycznia 2018 r. — termin transpozycji PSD2 w państwach członkowskich UE.
- 10 maja 2018 r. — Sejm uchwalił nowelizację ustawy o usługach płatniczych (Dz.U. 2018 poz. 1075), wdrażającą PSD2 do polskiego porządku prawnego.
- 20 czerwca 2018 r. — wejście w życie ustawy (część przepisów; pełne zastosowanie poszczególnych przepisów rozłożone w czasie).
- 14 września 2019 r. — początek obowiązywania regulacyjnych standardów technicznych (RTS) EBA, w tym wymogu silnego uwierzytelniania klienta (SCA) i obowiązku udostępniania przez banki dedykowanych interfejsów (API) dla TPP.
Skąd „2” w PSD2?
PSD2 jest następcą PSD1 (Dyrektywa 2007/64/WE). PSD1 ujednoliciła zasady płatności w UE i wprowadziła pojęcie instytucji płatniczej. PSD2 idzie dalej: zmusza banki do udostępnienia danych zewnętrznym dostawcom przez API i wprowadza SCA jako europejski standard. Następna iteracja — PSD3 wraz z rozporządzeniem PSR — została wstępnie uzgodniona w listopadzie 2025 r.
AIS, PIS, CoF — trzy regulowane usługi PSD2
PSD2 wyodrębnia trzy odrębne usługi płatnicze świadczone przez dostawców zewnętrznych. Każda wymaga innej licencji wydawanej przez KNF (lub notyfikowanej z innego kraju UE) i innej zgody klienta.
AIS — Account Information Service
AIS (Account Information Service) — usługa dostępu do informacji o rachunku. Pozwala licencjonowanej aplikacji odczytać salda i historię transakcji z Twojego konta bankowego, za Twoją wyraźną zgodą i wyłącznie w trybie tylko-do-odczytu. Dostawcą AIS jest podmiot z licencją AISP (Account Information Service Provider). Typowe zastosowania: agregatory kont (jak Martia), aplikacje budżetowe, scoring kredytowy, weryfikacja dochodów dla pożyczkodawców. Zgoda AIS wygasa po 90 dniach i wymaga odnowienia (RTS art. 10).
PIS — Payment Initiation Service
PIS (Payment Initiation Service) — usługa inicjowania płatności. Pozwala zewnętrznej aplikacji zlecić przelew z Twojego rachunku bankowego, ale każda transakcja wymaga osobnej autoryzacji w banku przez Ciebie i silnego uwierzytelniania (SCA). Dostawcą PIS jest podmiot z licencją PISP (Payment Initiation Service Provider). W Polsce PIS wykorzystywany jest m.in. w niektórych bramkach płatności e-commerce jako tańsza alternatywa dla pay-by-link i kart — bo omija sieci kartowe i opłaty interchange.
CoF — Confirmation of Funds
CoF (Confirmation of Funds) — usługa potwierdzenia dostępności środków na rachunku. Pozwala dostawcy karty płatniczej (np. wystawcy karty debetowej powiązanej z innym bankiem) zapytać Twój bank, czy na koncie jest wystarczająca kwota na pokrycie transakcji. Bank odpowiada wyłącznie „tak” lub „nie” — nie udostępnia salda, historii ani innych danych. Dostawcą CoF jest podmiot z licencją PIISP (Payment Instrument Issuer Service Provider). CoF jest najmniej znaną z trzech usług, ale kluczową w modelach kart wydawanych przez fintechy.
Te trzy usługi to cały zakres regulacji PSD2 w wymiarze otwartej bankowości. Wszystko, co aplikacja może zrobić z Twoim kontem dzięki PSD2, mieści się w którejś z tych kategorii. Aplikacja jak Martia korzysta wyłącznie z AIS — odczyt transakcji.
Najczęstsze nieporozumienie
Mit: „Aplikacja, która łączy się przez PSD2, może zrobić mi przelew."
Rzeczywistość: Tylko jeśli ma licencję PISP i przy każdej transakcji potwierdzasz ją SCA w swoim banku. Aplikacje typu AISP — większość agregatorów kont, aplikacji budżetowych — mają wyłącznie odczyt. Technicznie nie mogą wykonać żadnej zmiany na koncie.
TPP — kto może mieć dostęp do Twoich danych
TPP (Third Party Provider) to zbiorcza nazwa licencjonowanych dostawców zewnętrznych, którym PSD2 daje prawo dostępu do rachunków klientów banków. PSD2 wyróżnia trzy kategorie TPP — odpowiadające trzem usługom z poprzedniej sekcji:
- AISP (Account Information Service Provider) — dostawca usługi dostępu do informacji o rachunku. Tylko odczyt.
- PISP (Payment Initiation Service Provider) — dostawca usługi inicjowania płatności. Może zlecić przelew, ale tylko z osobną autoryzacją SCA klienta.
- PIISP (Payment Instrument Issuer Service Provider) — dostawca świadczący usługę potwierdzenia środków na rachunku (CoF). Pyta bank o „tak/nie”, nie widzi salda.
Jak TPP uzyskuje licencję w Polsce
W Polsce licencje TPP wydaje Komisja Nadzoru Finansowego (KNF). Polskie ustawodawstwo wyróżnia kilka form prawnych dostawców usług płatniczych: Krajowa Instytucja Płatnicza (KIP), Mała Instytucja Płatnicza (MIP — kategoria stworzona przez ustawę z 2018 r. dla podmiotów działających wyłącznie na rynku krajowym, poniżej progu obrotu) oraz dostawca świadczący wyłącznie usługę dostępu do informacji o rachunku (AISP). TPP licencjonowany w innym kraju UE może działać w Polsce na zasadzie paszportu europejskiego po notyfikacji KNF.
Listę wszystkich TPP w UE prowadzi European Banking Authority (EBA Register). W maju 2026 r. zarejestrowanych jest tam ponad 500 licencjonowanych dostawców z całej UE.
Jak Martia łączy się z bankami
Martia działa jako AISP — dostęp wyłącznie do odczytu. Technicznie łączymy się z bankami przez GoCardless Bank Account Data — licencjonowanego AISP w Wielkiej Brytanii (FCA), który na podstawie paszportu europejskiego działa w UE. To oznacza, że Martia nigdy nie inicjuje przelewów i nie ma do tego technicznej możliwości — odczyt transakcji to wszystko, co może robić.
Jak działa open banking w Polsce — PolishAPI i HUB PSD2
Mechanizm otwartej bankowości w Polsce opiera się na trzech filarach: regulacji (PSD2 + ustawa o usługach płatniczych), standardzie technicznym (PolishAPI) i infrastrukturze połączeń (HUB PSD2 operowany przez KIR — Krajową Izbę Rozliczeniową).
PolishAPI — wspólny standard techniczny
Polska zrobiła coś, czego nie zrobiła większość krajów UE. Zamiast pozwolić każdemu bankowi na własne rozwiązanie, Związek Banków Polskich (ZBP) koordynował stworzenie jednego, wspólnego standardu API — PolishAPI. Dzięki temu aplikacje łączą się z polskimi bankami przez jednolity interfejs zamiast pisać 20 różnych integracji.
Do PolishAPI należy 20 banków komercyjnych, w tym PKO BP, mBank, ING, Santander, Pekao, BNP Paribas, Millennium, Alior Bank, Credit Agricole i Nest Bank.
HUB PSD2 — centralny węzeł dla 300 instytucji
Krajowa Izba Rozliczeniowa (KIR) — ta sama instytucja, która obsługuje system Elixir i przelewy natychmiastowe Express Elixir — uruchomiła HUB PSD2 jeszcze przed europejskim deadline'em. Przez HUB podłączonych jest około 300 instytucji — banki komercyjne, spółdzielcze i SKOK-i. To oznacza, że Twoja aplikacja budżetowa ma dostęp do praktycznie każdego konta w Polsce.
Jak przebiega proces — krok po kroku
1. Otwierasz aplikację (np. Martia) i wybierasz swój bank.
2. Aplikacja przekierowuje Cię na oficjalną stronę logowania banku — przez zabezpieczone API.
3. Logujesz się swoim loginem i hasłem. Podajesz je bankowi, nie aplikacji. To wymóg SCA — minimum dwa czynniki.
4. Bank wydaje token autoryzacyjny — ograniczony czasowo (90 dni) i tylko do odczytu (zgoda AIS).
5. Aplikacja otrzymuje dane o transakcjach i saldach. Nic więcej.
Otwarta bankowość w liczbach
Które polskie banki wspierają PSD2?
Każdy bank działający w Polsce jest zobowiązany przez PSD2 do udostępnienia API dla licencjonowanych dostawców (TPP). W praktyce wszystkie polskie banki komercyjne udostępniają usługę AIS (odczyt danych); PIS (inicjowanie płatności) wspierany jest przez większość, choć z różną jakością i dostępnością; CoF — najrzadziej wykorzystywana usługa — działa głównie w modelach kart fintechowych.
Banki komercyjne objęte standardem PolishAPI
| Bank | AIS (odczyt) | PIS (płatności) | Dostępność w Martia |
|---|---|---|---|
| PKO BP | Tak | Tak | Tak |
| mBank | Tak | Tak | Tak |
| ING Bank Śląski | Tak | Tak | Tak |
| Santander Bank Polska | Tak | Tak | Tak |
| Bank Pekao | Tak | Tak | Tak |
| BNP Paribas | Tak | Tak | Tak |
| Millennium | Tak | Tak | Tak |
| Alior Bank | Tak | Tak | Tak |
| Credit Agricole | Tak | Tak | Tak |
| Citi Handlowy | Tak | Tak | Tak |
| BOŚ Bank | Tak | Tak | Tak |
| Nest Bank | Tak | Tak | Tak |
| Bank Pocztowy | Tak | Tak | Tak |
| Inteligo (PKO BP) | Tak | Tak | Tak |
| Volkswagen Bank | Tak | Tak | Tak |
Źródło: lista banków komercyjnych na PolishAPI.org (stan na maj 2026 r.). Poza bankami komercyjnymi, przez HUB PSD2 operowany przez KIR podłączonych jest jeszcze około 280 banków spółdzielczych i SKOK-ów. Jeśli interesuje Cię pełne porównanie z jakością API i obsługą TPP, zobacz nasz przewodnik po polskich bankach wspierających PSD2.
Bezpieczeństwo PSD2 — SCA, nadzór KNF i licencje
Bezpieczeństwo open banking w Polsce stoi na trzech filarach: silne uwierzytelnianie klienta (SCA), nadzór KNF i obowiązek licencji, oraz techniczne ograniczenie zakresu zgody.
Silne uwierzytelnianie klienta (SCA — Strong Customer Authentication)
PSD2 wymaga, by przy każdej płatności elektronicznej (i przy każdym udzielaniu zgody PSD2) bank weryfikował tożsamość klienta przy użyciu co najmniej dwóch elementów z trzech niezależnych kategorii:
- coś, co wiesz (knowledge) — hasło, PIN, kod;
- coś, co masz (possession) — telefon, token sprzętowy, certyfikat;
- coś, czym jesteś (inherence) — odcisk palca, rozpoznawanie twarzy, głos.
Wymogi techniczne SCA reguluje rozporządzenie delegowane Komisji (UE) 2018/389 — tzw. RTS (Regulatory Technical Standards), opracowany przez EBA. To ten sam mechanizm, którego używasz logując się do bankowości mobilnej.
Nadzór KNF i obowiązkowe licencjonowanie
Każda firma, która chce uzyskać dostęp do Twoich danych bankowych przez open banking, musi posiadać licencję. W Polsce wydaje ją Komisja Nadzoru Finansowego (KNF) — albo dostawca działa w Polsce na zasadzie tzw. paszportu europejskiego po notyfikacji KNF, jeśli uzyskał licencję w innym kraju UE. Ustawa z 2018 r. wprowadziła kategorię Małej Instytucji Płatniczej (MIP) dla firm działających wyłącznie na polskim rynku, poniżej progu obrotu.
Dostęp tylko do odczytu — techniczne ograniczenie
Aplikacja budżetowa jak Martia korzysta z licencji AISP. To oznacza, że może patrzeć, nie może dotykać. Widzi transakcje i salda. Nie może zainicjować przelewu, zmienić limitu karty, ani nawet zmienić adresu e-mail na koncie. Token autoryzacyjny od banku jest cyfrowo ograniczony do zakresu zgody AIS i wygasa po 90 dniach.
Mit vs. rzeczywistość
Mit: „Jeśli podłączę konto do aplikacji, ktoś może mi ukraść pieniądze."
Rzeczywistość: W modelu open banking aplikacja AISP nie ma technicznej możliwości wykonania transakcji. Token autoryzacyjny jest ograniczony do odczytu, a każde połączenie jest nadzorowane przez bank i KNF. Możesz cofnąć zgodę w każdej chwili — bezpośrednio w aplikacji albo w panelu bankowości.
Open banking PSD2 vs. screen scraping
| Cecha | Open Banking (PSD2) | Screen Scraping (stara metoda) |
|---|---|---|
| Hasło bankowe | Podajesz bankowi, nie aplikacji | Podajesz zewnętrznej firmie |
| Zakres dostępu | Tylko odczyt (AISP) | Pełny dostęp do konta |
| Regulacja prawna | PSD2, nadzór KNF | Brak regulacji |
| Cofnięcie dostępu | Natychmiastowe, cyfrowe | Zmiana hasła bankowego |
| Rekomendacja | Bezpieczne, regulowane | Ryzykowne, przestarzałe |
Jeśli chcesz wiedzieć, jak rozpoznać bezpieczną aplikację open banking — od rejestru AISP w KNF po regulacyjny status GoCardless — mamy na to osobny przewodnik.
Nie chcesz podawać hasła nikomu? Nie musisz.
Martia korzysta z PSD2 (usługa AIS, dostawca GoCardless — AISP). Logujesz się przez stronę swojego banku, Martia nigdy nie widzi Twojego hasła. Podłączenie konta trwa 2 minuty.
Co PSD2 zmienia dla zwykłego użytkownika
Najczęściej PSD2 kojarzy się z otwartą bankowością i aplikacjami agregującymi konta. Ale dyrektywa wprowadziła też kilka konkretnych zmian dotyczących ochrony konsumenta — działających niezależnie od tego, czy korzystasz z aplikacji TPP.
- Krótszy czas rozpatrywania reklamacji. PSD2 skraca termin odpowiedzi banku w sprawach płatniczych z 30 dni kalendarzowych do 15 dni roboczych. W szczególnie skomplikowanych przypadkach bank może go wydłużyć do 35 dni roboczych, ale musi poinformować klienta o powodzie opóźnienia.
- Niższa odpowiedzialność za nieautoryzowane transakcje. Odpowiedzialność klienta za szkody powstałe w wyniku transakcji nieautoryzowanej, dokonanej przed zgłoszeniem, zmniejszona z 150 EUR do 50 EUR (art. 46 ustawy o usługach płatniczych po nowelizacji).
- Obowiązkowe SCA przy płatnościach. Każda płatność elektroniczna powyżej 30 EUR wymaga silnego uwierzytelniania klienta. Wyjątki: niskie kwoty, transakcje cykliczne (subskrypcje), płatności typu MIT (Merchant Initiated Transactions).
- Zakaz tzw. surcharging — banki ani sprzedawcy nie mogą pobierać dodatkowych opłat za płatność kartą debetową lub kredytową konsumencką w obrębie EOG.
- Możliwość agregacji kont. Możesz podłączyć konto w PKO BP, mBanku i ING do jednej aplikacji (jak Martia) i widzieć wszystkie transakcje w jednym miejscu — bez podawania haseł.
- Płatności PIS jako alternatywa dla kart. Sprzedawcy mogą oferować płatności inicjowane bezpośrednio z rachunku przez PISP — szybsze i tańsze niż karty, bo omijają opłaty interchange.
Metoda jednego połączenia Martia
Zamiast codziennie logować się do każdej aplikacji bankowej, podłącz wszystkie konta raz — i sprawdzaj finanse w jednym miejscu. Cały stan finansowy w 3 sekundy zamiast 3 minut. To nie oszczędność czasu — to usunięcie bariery, przez którą większość osób w ogóle nie sprawdza swoich finansów.
Jak połączyć konto bankowe przez PSD2
Proces podłączenia konta przez open banking jest prostszy niż większość ludzi się spodziewa. Trwa 2–3 minuty — mniej niż rejestracja na większości stron internetowych.
Wybierz swój bank w aplikacji
W Martia wybierasz bank z listy. Obsługiwane są wszystkie polskie banki komercyjne objęte PSD2 — PKO BP, mBank, ING, Santander, Pekao, BNP Paribas, Millennium, Alior i inne.
Zaloguj się na stronie banku
Zostaniesz przekierowany na oficjalną stronę logowania Twojego banku. Podajesz login i hasło bankowi — Martia ich nie widzi. SCA wymaga potwierdzenia drugim czynnikiem (SMS, BLIK, aplikacja mobilna).
Zatwierdź zgodę AIS (dostęp do odczytu)
Bank zapyta, czy zgadzasz się na udostępnienie danych o transakcjach i saldach (zgoda AIS). Zatwierdzasz — od tego momentu transakcje synchronizują się automatycznie przez 90 dni.
I tyle. Bez formularzy, bez skanowania dokumentów, bez czekania na weryfikację. Cały proces dzieje się w czasie rzeczywistym — bo to Twój bank potwierdza Twoją tożsamość przez SCA, nie aplikacja. Szczegółową instrukcję krok po kroku znajdziesz w naszym przewodniku jak połączyć konto bankowe z aplikacją finansową.
Adam, założyciel Martia
Od założyciela
Zbudowałem Martia, bo sam miałem 6 kont i zero kontroli. Logowałem się do każdego banku osobno, ręcznie sumowałem salda w Excelu, zapominałem o subskrypcjach. PSD2 zmienił to — ale musiałem najpierw zbudować aplikację, żeby z niego skorzystać. Bo sam mechanizm nic nie daje. Daje to, co z nim zrobisz.
3 konta? 1 ekran. 2 minuty podłączenia.
Podłącz wszystkie swoje konta bankowe do Martia przez PSD2 — bezpiecznie, automatycznie, bez podawania hasła aplikacji.
PSD3 i FIDA — co się zmieni
PSD2 to nie koniec drogi — to początek. Unia Europejska pracuje nad kolejnymi regulacjami, które znacząco rozszerzą zakres otwartych danych finansowych.
PSD3 i PSR — nowe reguły gry
W listopadzie 2025 r. Parlament Europejski i Rada UE osiągnęły wstępne porozumienie polityczne w sprawie PSD3 i towarzyszącego jej rozporządzenia PSR (Payment Services Regulation). Kluczowa zmiana: dotychczasowe reguły przechodzą z dyrektywy (każdy kraj implementuje po swojemu) na rozporządzenie (bezpośrednio obowiązujące w całej UE). Oznacza to koniec z różnicami w implementacji między krajami.
Co się zmieni w praktyce? Banki będą musiały zapewnić API o jakości porównywalnej z własnymi kanałami. Użytkownicy dostaną panel zarządzania zgodami — w jednym miejscu zobaczą, kto ma dostęp do ich danych. Ofiary oszustw typu APP (Authorised Push Payment) zyskają pełną ochronę i prawo do zwrotu pieniędzy. Publikacja w Dzienniku Urzędowym UE oczekiwana w 2026 r., z wdrożeniem 18 miesięcy później.
FIDA — od otwartej bankowości do otwartych finansów
Jeszcze dalej idzie FIDA (Financial Data Access Regulation) — propozycja Komisji Europejskiej, nad którą trwają negocjacje od 2025 r. FIDA rozszerzy zasadę otwartych danych na ubezpieczenia, inwestycje, konta emerytalne i kredyty. Wyobraź sobie, że w jednej aplikacji widzisz nie tylko konta bankowe, ale też stan OFE, polisy, portfel inwestycyjny. Przyjęcie FIDA oczekiwane w pierwszej połowie 2026 r., z okresem dostosowawczym 30–32 miesięcy. Realnie: pełne otwarte finanse w Polsce to perspektywa 2028–2029.
Często zadawane pytania o open banking PSD2
Czy open banking PSD2 jest bezpieczny w Polsce?
Tak. Otwarta bankowość w Polsce podlega trzem warstwom zabezpieczeń: regulacji PSD2 i ustawie o usługach płatniczych, nadzorowi KNF oraz wymogowi silnego uwierzytelniania klienta (SCA). Każda firma, która chce uzyskać dostęp do Twoich danych bankowych, musi posiadać licencję AISP, PISP lub PIISP wydaną przez KNF lub notyfikowaną z innego kraju UE. Aplikacja AISP nigdy nie widzi Twojego hasła — logujesz się przez oficjalną stronę banku, a aplikacja otrzymuje wyłącznie czasowy token tylko-do-odczytu.
Czy bank może odmówić mi dostępu do moich danych przez PSD2?
Nie. PSD2 nakłada na banki obowiązek udostępnienia API licencjonowanym TPP — bank nie może go odmówić ani pobierać za to opłaty od dostawcy. Bank może natomiast czasowo zablokować dostęp konkretnemu TPP, jeśli ma uzasadnione podejrzenie oszustwa lub nieautoryzowanego dostępu — i musi natychmiast poinformować o tym KNF.
Kto nadzoruje PSD2 w Polsce?
W Polsce nadzór nad przestrzeganiem PSD2 sprawuje Komisja Nadzoru Finansowego (KNF). KNF prowadzi rejestr KIP (Krajowych Instytucji Płatniczych), MIP (Małych Instytucji Płatniczych) i AISP. Na poziomie unijnym ramy regulacyjne ustala European Banking Authority (EBA), która prowadzi centralny rejestr wszystkich TPP w UE.
Jakie banki w Polsce wspierają PSD2?
Wszystkie polskie banki komercyjne — PKO BP, mBank, ING Bank Śląski, Pekao SA, Santander Bank Polska, Millennium, Alior Bank, BNP Paribas, Credit Agricole, Citi Handlowy, BOŚ, Nest Bank, Bank Pocztowy i inne — udostępniają usługę AIS. 20 banków komercyjnych korzysta ze standardu PolishAPI; przez HUB PSD2 operowany przez KIR podłączonych jest około 300 instytucji, w tym banki spółdzielcze i SKOK-i. PIS wspierany jest przez większość, choć z różną dostępnością i jakością API.
Czym różni się open banking od bankowości internetowej?
Bankowość internetowa to interfejs Twojego banku, w którym Ty zarządzasz swoim kontem. Open banking PSD2 to mechanizm prawny i techniczny, dzięki któremu zewnętrzna aplikacja (np. agregator kont, aplikacja budżetowa, dostawca płatności) może — wyłącznie za Twoją zgodą — odczytać dane z Twojego konta (AIS) lub zainicjować przelew (PIS). Bankowość internetowa istnieje od 2000 r., open banking w obecnym kształcie — od PSD2 (2018) i pełnej zgodności technicznej (14 września 2019 r.).
Ile kosztuje korzystanie z aplikacji opartych na PSD2?
Sam mechanizm open banking jest bezpłatny — PSD2 zabrania bankom pobierania opłat od TPP za podstawowy dostęp do danych. Płacisz ewentualnie za aplikację, która z tego mechanizmu korzysta. Wiele aplikacji oferuje wersje darmowe lub freemium. Martia ma plan darmowy, Kontomierz i Finansomat również mają darmowe pakiety podstawowe.
Czy mogę cofnąć zgodę na dostęp do danych?
Tak. Zgodę PSD2 możesz cofnąć w dowolnym momencie — bezpośrednio w aplikacji albo w panelu bankowości elektronicznej swojego banku. Po cofnięciu zgody aplikacja natychmiast traci dostęp do Twoich danych. Pojedyncza zgoda PSD2 i tak wygasa automatycznie po 90 dniach i wymaga odnowienia — to wymóg RTS, nie decyzja aplikacji.
Co to jest PSD3?
PSD3 (Payment Services Directive 3) to nowelizacja PSD2, nad którą Parlament Europejski i Rada UE osiągnęły wstępne porozumienie polityczne w listopadzie 2025 r. Wraz z towarzyszącym rozporządzeniem PSR (Payment Services Regulation) PSD3 ujednolici przepisy w całej UE (rozporządzenie działa bezpośrednio, bez krajowych wdrożeń), wprowadzi panel zarządzania zgodami dla użytkownika, podniesie wymóg jakości API banków i wzmocni ochronę przed oszustwami typu APP (Authorised Push Payment). Publikacja w Dzienniku Urzędowym UE oczekiwana w 2026 r., wdrożenie 18 miesięcy później.
Jakie aplikacje open banking są dostępne w Polsce?
W Polsce dostępnych jest wiele aplikacji korzystających z PSD2, m.in.: Martia (AI, z którym rozmawiasz po polsku o pieniądzach, 2400+ banków w Europie), Kontomierz (od 2009 r.), Kontomatik, Finansomat, Freenance. Niektóre banki (ING, PKO BP) udostępniają agregację kont innych banków bezpośrednio w aplikacji mobilnej. Każda z tych aplikacji wykorzystuje standard PSD2 i wymaga licencji AISP. Pełne porównanie znajdziesz w naszym rankingu aplikacji open banking w Polsce.
Martia — AI, z którym rozmawiasz o polskich pieniądzach
Pytasz po polsku — „ile wydałem na jedzenie w marcu?” albo „gdzie najbardziej przepłacam?" — dostajesz odpowiedź z Twoich prawdziwych transakcji. Bez Excela, bez ręcznego wpisywania.
Źródła i akty prawne
- Parlament Europejski i Rada UE, 2015, Dyrektywa (UE) 2015/2366 (PSD2) — EUR-Lex
- Sejm RP, 2018, Ustawa z 10 maja 2018 r. o zmianie ustawy o usługach płatniczych oraz niektórych innych ustaw (Dz.U. 2018 poz. 1075) — ISAP — Internetowy System Aktów Prawnych
- Komisja Europejska, 2018, Rozporządzenie delegowane (UE) 2018/389 — Regulacyjne Standardy Techniczne (RTS) dotyczące SCA — EUR-Lex
- Komisja Nadzoru Finansowego (KNF) — strona oficjalna — knf.gov.pl
- European Banking Authority (EBA), centralny rejestr TPP — euclid.eba.europa.eu
- PolishAPI — lista banków komercyjnych — polishapi.org
- PARP, 2018, „Usługi płatnicze — co zmieniają dyrektywa PSD2 i nowelizacja ustawy" — parp.gov.pl
- ZBP (Związek Banków Polskich), Q3 2025, Raport NetB@nk — bank.pl
- KIR / Neontri, HUB PSD2 — architektura i wdrożenie — neontri.com
- Norton Rose Fulbright, 2026, „PSD3 and PSR — from provisional agreement to 2026 readiness" — nortonrosefulbright.com
- Komisja Europejska, 2023, FIDA (Financial Data Access Regulation) — financial-data-access.com
O autorach
Adam Przywarty
Współzałożyciel Martii. Pisze o finansach osobistych, otwartej bankowości i produkcie.
Bart Selwesiuk
Współzałożyciel i founding engineer Martii. Specjalista Flutter / mobile, buduje aplikacje na iOS i Androida.
Czytaj dalej
Aplikacje open banking w Polsce — ranking 2026 →
Porównanie aplikacji TPP korzystających z PSD2: Martia, Kontomierz, Finansomat i inne.
Open banking — lista banków obsługujących PSD2 →
Szczegółowa lista polskich banków z obsługą AIS i PIS oraz jakością API.
Jak połączyć konto bankowe z aplikacją finansową →
Instrukcja krok po kroku jak podłączyć konto przez PSD2 do Martia.
Najbezpieczniejsza aplikacja open banking w Polsce →
Jak rozpoznać bezpieczny AISP: rejestr KNF, EBA, GoCardless i co sprawdzić przed podłączeniem konta.