Open Banking in der Ukraine für FinTech-Unternehmen

Open Banking ist in der Ukraine seit dem 1. August 2025 operativ. Kontoführende Zahlungsdienstleister (ASPSPs) sind Banken und Nicht-Banken-Zahlungsdienstleister, die dem Nutzer online zugängliche Giro- oder Zahlungskonten führen. Sie müssen autorisierten Drittanbietern über spezialisierte Schnittstellen programmatischen Zugang zu diesen Konten gewähren. Die fünfmonatige Übergangsfrist für ASPSPs endete am 1. Januar 2026. Die vorübergehende Nichtanwendung von Aufsichtsmaßnahmen der NBU bei bestimmten ASPSP-Verstößen zum fortlaufenden Kontozugang und zu spezialisierten Schnittstellen endete am 1. August 2026.

Für ein FinTech-Unternehmen, das AIS oder PIS in der Ukraine anbieten möchte, reicht die Zustimmung des Kunden allein nicht aus. Eine ukrainische juristische Person benötigt eine NBU-Autorisierung als Anbieter nichtfinanzieller Zahlungsdienste; eine Niederlassung eines ausländischen Zahlungsinstituts muss die NBU-Akkreditierung durchlaufen und für AIS/PIS zusätzlich die Autorisierung der entsprechenden nichtfinanziellen Zahlungsdienste erhalten. Vor der Anbindung an Bankschnittstellen muss der Anbieter außerdem ein qualifiziertes Open-Banking-Zertifikat zur technischen Authentifizierung erhalten.

Der Beitrag richtet sich an ausländische und ukrainische FinTech-Unternehmen, Banken, Zahlungsinstitute, Investoren sowie Produkt- und Compliance-Teams, die AIS oder PIS in der Ukraine einführen möchten.

Kontoinformationsdienste (AIS) und Zahlungsauslösedienste (PIS) sind nach dem Gesetz der Ukraine über Zahlungsdienste Nr. 1591-IX nichtfinanzielle Zahlungsdienste. Eine ukrainische juristische Person darf sie ohne Zahlungsinstitutslizenz erbringen, jedoch erst nach NBU-Autorisierung und Eintragung in das Zahlungsinfrastruktur-Register. Eine PSD2-Zulassung gilt in der Ukraine nicht automatisch. Für den Zugang zur Basisschnittstelle ist kein bilateraler Vertrag mit dem ASPSP erforderlich; gesondert einzuhalten sind die Anforderungen an das qualifizierte Open-Banking-Zertifikat, die Haftpflichtversicherung, die starke Kundenauthentifizierung und den Datenschutz.

1. Wie Open Banking in der Ukraine funktioniert

2. AIS und PIS für FinTech-Unternehmen

3. NBU-Autorisierung von AISP und PISP

4. NBU-Autorisierungsverfahren und Fristen

5. Markteintritt für ausländische FinTech-Unternehmen

6. Haftpflichtversicherung und qualifizierte Open-Banking-Zertifikate

7. Zugang zu Bankschnittstellen

8. Nutzerzustimmung und starke Kundenauthentifizierung

9. Datenzugang und Beschränkungen für AISP

10. Datenschutz

11. AML, Cybersicherheit und interne Dokumentation

12. Haftungsverteilung und Verträge

13. Checkliste vor dem Start von Open Banking

Häufige Fragen

Was DLF leisten kann

1. Wie Open Banking in der Ukraine funktioniert

Die gesetzliche Grundlage bildet das Gesetz der Ukraine über Zahlungsdienste Nr. 1591-IX. Die operativen Regeln ergeben sich aus der NBU-Resolution Nr. 80/2025 zum Open Banking, der NBU-Resolution Nr. 81/2025 zur Autorisierung von Anbietern nichtfinanzieller Zahlungsdienste sowie begleitenden NBU-Rechtsakten.

Im Open-Banking-Modell werden folgende zentrale Bezeichnungen verwendet: ASPSP für einen kontoführenden Zahlungsdienstleister, AISP für einen Anbieter von Kontoinformationsdiensten, PISP für einen Anbieter von Zahlungsauslösediensten und TPP als Oberbegriff für AISP und PISP.

Das Zahlungsinfrastruktur-Register ist öffentlich zugänglich und wird von der NBU geführt. Aktuelle Informationen veröffentlicht die NBU auf ihrer Open-Banking-Seite.

2. AIS und PIS für FinTech-Unternehmen

Das ukrainische Gesetz über Zahlungsdienste ordnet AIS und PIS als nichtfinanzielle Zahlungsdienste ein, die den Kern des Open-Banking-Angebots für FinTech-Anbieter bilden.

Kontoinformationsdienst (AIS) bezeichnet die Bereitstellung konsolidierter Echtzeit-Informationen über ein oder mehrere Konten, die ein Kunde bei einem oder mehreren Zahlungsdienstleistern hält. Ein AISP greift auf Kontodaten zu, bewegt aber keine Gelder.

Zahlungsauslösedienst (PIS) bezeichnet die Auslösung eines Zahlungsauftrags auf Anfrage des Zahlers von einem Konto bei einem anderen Zahlungsdienstleister. Ein PISP löst die Zahlung aus, führt das Kundenkonto jedoch nicht selbst.

Ein Anbieter, der AIS und PIS kombiniert, muss die Anforderungen erfüllen, die für beide Dienste gelten. Für das kombinierte Modell gilt eine gesonderte Mindestversicherungssumme; ein qualifiziertes Open-Banking-Zertifikat kann beide Rollen abdecken.

Ein Technologiebetreiber für Zahlungsdienste ist eine gesondert geregelte Rolle für Unternehmen, die operative, informationstechnische und andere technologische Funktionen erfüllen. Dieser Status allein macht den Betreiber weder zum AISP noch zum PISP.

AIS und PIS sind rechtlich nicht austauschbar: Kapitalanforderungen, versicherte Risiken und die Regeln zur starken Kundenauthentifizierung unterscheiden sich zwischen beiden Diensten.

3. NBU-Autorisierung von AISP und PISP

AISP

Für eine ukrainische juristische Person ist AIS ein nichtfinanzieller Zahlungsdienst. Für seine Erbringung ist keine Zahlungsinstitutslizenz erforderlich; stattdessen ist eine NBU-Autorisierung mit Eintragung in das Zahlungsinfrastruktur-Register erforderlich.

Für einen Anbieter, der ausschließlich AIS erbringt, sieht das Gesetz über Zahlungsdienste kein Mindestkapital vor.

PISP

Für eine ukrainische juristische Person ist auch PIS ein nichtfinanzieller Zahlungsdienst. Wer ausschließlich PIS anbietet, benötigt eine NBU-Autorisierung mit Registereintragung und keine Zahlungsinstitutslizenz.

Das gesetzliche Mindestkapital für einen PISP beträgt 1.000.000 UAH (ca. EUR 20.000). Wird PIS mit Geldtransfers ohne Kontoeröffnung kombiniert, steigt das Mindestkapital auf 3.000.000 UAH (ca. EUR 59.000); für die Erbringung dieser finanziellen Zahlungsdienstleistung ist zusätzlich die entsprechende NBU-Zulassung erforderlich.

Vergleich der wichtigsten Parameter für eine ukrainische juristische Person

4. NBU-Autorisierungsverfahren und Fristen

Wesentliche Unterlagen für eine ukrainische juristische Person

Fristen und Ergebnis der Autorisierung

Die NBU prüft den Antrag innerhalb von 60 Arbeitstagen und kann den Prüfungszeitraum um weitere 30 Arbeitstage verlängern. Die Autorisierung wird unbefristet erteilt und muss nicht regelmäßig erneuert werden.

Interne Richtlinien und Verfahren sind spätestens innerhalb von drei Monaten nach der Autorisierung und in jedem Fall vor Erbringung des ersten nichtfinanziellen Zahlungsdienstes zu verabschieden.

5. Markteintritt für ausländische FinTech-Unternehmen

Ein ausländisches FinTech-Unternehmen, das AIS oder PIS in der Ukraine anbieten möchte, muss eine geeignete Form der Präsenz wählen. Die wichtigsten Möglichkeiten sind eine ukrainische juristische Person oder die Niederlassung eines ausländischen Zahlungsinstituts. Eine unmittelbare grenzüberschreitende Erbringung von AIS oder PIS ohne ukrainische Registrierung ist nach dem geltenden Rechtsrahmen nicht vorgesehen.

Ukrainische juristische Person

Jedes ausländische Unternehmen kann in der Ukraine eine Gesellschaft mit beschränkter Haftung (GmbH) oder eine Aktiengesellschaft gründen und das vollständige NBU-Autorisierungsverfahren nach den Standardanforderungen durchlaufen.

Niederlassung eines ausländischen Zahlungsinstituts

Das ukrainische Recht erlaubt ausländischen Zahlungsinstituten, Niederlassungen in der Ukraine zu errichten. Die Akkreditierung einer solchen Niederlassung ist ein gesondertes Verfahren und ersetzt die AISP/PISP-Autorisierung nicht. Für AIS oder PIS muss die Niederlassung zusätzlich für die Erbringung nichtfinanzieller Zahlungsdienste autorisiert werden; für Niederlassungen gilt ein verkürzter Unterlagensatz.

Dieser Weg steht einem ausländischen Zahlungsinstitut offen, also einer gebietsfremden juristischen Person, die nach dem Recht ihres Sitzstaats zur Erbringung von Zahlungsdiensten berechtigt ist. Für ein Unternehmen, das ausschließlich AIS oder PIS anbieten möchte, ist die Eignung dieses Modells gesondert anhand des Umfangs der Zahlungsdienste zu prüfen, zu deren Erbringung das Mutterinstitut berechtigt ist, sowie anhand des für die Niederlassung geltenden Lizenzregimes.

Grenzüberschreitende Dienstleistungserbringung

Das ukrainische Recht sieht keinen gesonderten Mechanismus für die unmittelbare grenzüberschreitende Erbringung von AIS oder PIS aus dem Ausland ohne ukrainische Registrierung vor. Der Markteintritt erfordert daher eine nach ukrainischem Recht zulässige Präsenzform und sämtliche einschlägigen NBU-Verfahren, einschließlich der Autorisierung und bei einer Niederlassung eines ausländischen Zahlungsinstituts zusätzlich der Akkreditierung.

EU-Zulassung nach PSD2

Eine nach EU-Recht erteilte Zulassung, einschließlich einer PSD2-Zulassung, berechtigt für sich genommen nicht zur Tätigkeit in der Ukraine. Das Unternehmen muss die geeignete Präsenzform wählen und die einschlägigen ukrainischen Verfahren durchlaufen: die Autorisierung einer ukrainischen juristischen Person beziehungsweise bei einer Niederlassung eines ausländischen Zahlungsinstituts die Akkreditierung und die AIS/PIS-Autorisierung.

6. Haftpflichtversicherung und qualifizierte Open-Banking-Zertifikate

Haftpflichtversicherung

Die mit NBU-Resolution Nr. 71/2025 genehmigte Verordnung legt verbindliche Mindestversicherungssummen für Anbieter nichtfinanzieller Zahlungsdienste fest. In der aktuellen Übergangsphase (1. Juli bis 31. Dezember 2026) gelten folgende Mindestbeträge:

Der Versicherungsvertrag ist jeweils für ein Jahr abzuschließen und muss lückenlos bestehen: Jede neue Police muss am Tag nach Ablauf der vorherigen beginnen. Bankgarantien und andere Finanzinstrumente können den vorgeschriebenen Versicherungsvertrag der Klasse 13 „Sonstige Haftpflichtversicherung“ nicht ersetzen.

Die genannten Beträge sind Übergangsbeträge. Verträge, die nach den jeweiligen Übergangsvorgaben geschlossen wurden, bleiben bis zu ihrem Ablauf wirksam, ohne dass sich die Versicherungssumme automatisch erhöht. Ab dem 1. Januar 2027 gilt die vollständige Berechnungsmethodik unter Berücksichtigung von Tätigkeits- und Risikoparametern; bei neuen Verträgen ist kein Selbstbehalt zulässig.

Qualifizierte Open-Banking-Zertifikate

Die mit NBU-Resolution Nr. 82/2025 genehmigte Verordnung regelt die Anforderungen an qualifizierte Open-Banking-Zertifikate.

Vor der Anbindung an die spezialisierten Schnittstellen muss jeder AISP und PISP nach Abschluss des einschlägigen NBU-Verfahrens ein qualifiziertes Open-Banking-Zertifikat beschaffen. Das Zertifikat identifiziert den Anbieter und ermöglicht dem ASPSP dessen technische Authentifizierung.

Zulässig sind zwei Zertifikatstypen: ein qualifiziertes Zertifikat für elektronische Siegel oder ein qualifiziertes Zertifikat für die Website-Authentifizierung, jeweils mit Open-Banking-Attributen. Seit dem 1. August 2026 darf ein ASPSP verlangen, dass ein PISP die Nachricht mit den Angaben der Zahlungsanweisung mit einem qualifizierten oder fortgeschrittenen elektronischen Siegel versieht.

Qualifizierte Open-Banking-Zertifikate dürfen von ukrainischen QTSPs aus der Vertrauensliste nur ausgestellt werden, wenn die entsprechenden Verfahren in deren Regelwerk vorgesehen und von der NBU genehmigt sind. Ein nach eIDAS ausgestelltes EU-Zertifikat ersetzt für sich genommen kein qualifiziertes Open-Banking-Zertifikat, das die besonderen NBU-Anforderungen erfüllt.

7. Zugang zu Bankschnittstellen

Das ukrainische Recht sieht ein zweistufiges Zugriffsmodell über spezialisierte Schnittstellen vor.

Die Basisschnittstelle ist verpflichtend: Jeder ASPSP muss jedem autorisierten AISP oder PISP kostenlosen Zugang gewähren. Eine Verweigerung ohne gesetzliche Grundlage ist unzulässig.

Für den Zugang zur Basisschnittstelle ist kein bilateraler Vertrag zwischen AISP/PISP und ASPSP erforderlich. Für die kommerzielle Schnittstelle mit erweitertem Datenumfang ist ein bilateraler Vertrag erforderlich. Für den tatsächlichen Kontozugang muss der ASPSP außerdem die Autorisierung des TPP prüfen, die Zustimmung des Nutzers erhalten und über dessen Erlaubnis zur Offenlegung von Informationen verfügen, die dem Bankgeheimnis, Geschäftsgeheimnis oder dem Geheimnis des Zahlungsdienstleisters unterliegen.

8. Nutzerzustimmung und starke Kundenauthentifizierung

Zustimmung und SCA für AIS

Für AIS erteilt der Nutzer dem ASPSP über den AISP die Zustimmung zur Bereitstellung von Kontoinformationen; nach Bestätigung durch die starke Kundenauthentifizierung (SCA) und solange sie gültig ist, gilt diese Zustimmung als aktiv. Zusätzlich muss der ASPSP vom Nutzer die Erlaubnis zur Offenlegung von Informationen erhalten, die dem Bankgeheimnis, Geschäftsgeheimnis oder dem Geheimnis des Zahlungsdienstleisters unterliegen; die Art und Weise der Erteilung dieser Erlaubnis richtet sich nach dem Vertrag zwischen Nutzer und ASPSP. Eine aktive Zustimmung gilt für maximal 180 Kalendertage; danach ist eine neue Zustimmung erforderlich.

Innerhalb des 180-tägigen Zustimmungszeitraums gelten zwei gesonderte Fristen:

• Gültigkeitsdauer der aktiven Zustimmung: bis zu 180 Kalendertage, also der Zeitraum, in dem die Zustimmung des Nutzers zum Kontozugang wirksam ist.
• Zyklus der starken Kundenauthentifizierung (SCA): Der ASPSP darf den Zugang für höchstens 90 Tage ab dem letzten SCA-Ereignis ohne erneute Authentifizierung gewähren. Fordert der AISP nach Ablauf dieses Zeitraums weiteren Zugang an, muss der ASPSP erneut eine SCA durchführen; eine neue Zustimmung ist nicht erforderlich, solange die 180-tägige aktive Zustimmung noch gilt.

Die SCA führt der ASPSP bei der erstmaligen aktiven Zustimmung und, wenn nach Ablauf des jeweiligen 90-Tage-Zeitraums weiterer Zugang angefordert wird, erneut durch. Der AISP stößt die Anfrage an, authentifiziert den Nutzer jedoch nicht selbst.

Zustimmung und SCA für PIS

Bei jeder Auslösung eines einmaligen Zahlungsvorgangs erteilt der Zahler dem ASPSP über den PISP eine gesonderte Zustimmung zur Ausführung des Zahlungsvorgangs. Eine dauerhafte Zustimmung für einmalige Zahlungsvorgänge ist nicht vorgesehen.

Der PISP ersucht den ASPSP um die SCA, die dieser dann durchführt. Die dynamische Verknüpfung — die Bindung des Authentifizierungscodes an Betrag und Zahlungsempfänger des konkreten Vorgangs — liegt ebenfalls in der Verantwortung des ASPSP.

Der ASPSP authentifiziert den TPP (AISP oder PISP) zusätzlich als technischen Teilnehmer über das qualifizierte Open-Banking-Zertifikat.

9. Datenzugang und Beschränkungen für AISP

Über die Basisschnittstelle hat ein AISP im Rahmen von AIS ausschließlich Zugang zu:

• dem Kontostand;
• der Transaktionsliste der letzten 31 Kalendertage ab dem Anfragedatum.

Ein erweiterter Datenzugang (längerer Zeitraum, zusätzliche Attribute) ist ausschließlich über die kommerzielle Schnittstelle auf Grundlage eines Vertrags mit dem ASPSP möglich.

Dem AISP ist es untersagt:

• dem Anfordern oder Speichern sensibler Zahlungsdaten;
• dem Anfordern von Informationen beim Nutzer, die nicht mit der Erbringung von AIS zusammenhängen.

Der Name des Kontoinhabers sowie die Konto- oder Zahlungskartennummer gelten für sich genommen, ohne die weiteren zur Auslösung einer Zahlung erforderlichen Angaben, nicht als sensible Zahlungsdaten.

Open Banking in der Ukraine erfasst Giro- und Zahlungskonten, auf die der Nutzer online zugreifen kann. Andere Finanzprodukte, die keine solchen Konten sind, darunter eigenständige Kredit- und Anlageprodukte, fallen nicht unter den geltenden Rechtsrahmen. Eine eigene Open-Finance-Regelung gibt es in der Ukraine derzeit nicht.

10. Datenschutz

Die Verarbeitung personenbezogener Daten der Kunden richtet sich nach dem Gesetz der Ukraine über den Schutz personenbezogener Daten Nr. 2297-VI. Der Kontozugang im Open Banking erfolgt auf Grundlage der Nutzerzustimmung nach dem Zahlungsrecht. Die Rechtsgrundlage für eine weitere Verarbeitung personenbezogener Daten ist gesondert nach dem Verarbeitungszweck und den anwendbaren gesetzlichen Vorgaben zu bestimmen.

Die Nutzung von Kontodaten für Marketing oder Profiling außerhalb des Zwecks, für den der Nutzer zugestimmt hat, erfordert eine gesonderte Rechtsgrundlage. Der Nutzer kann seine Zustimmung jederzeit widerrufen. Danach muss der AISP den Kontozugang beenden; bereits erhobene Daten dürfen nur weiter gespeichert werden, wenn eine andere Rechtsgrundlage besteht und Zweck sowie Aufbewahrungsdauer dies rechtfertigen. Unterlagen zu PIS und sämtliche AIS-Zustimmungen sind mindestens fünf Jahre nach Beendigung der Geschäftsbeziehung aufzubewahren; daraus folgt keine Pflicht, sämtliche über AIS erhaltenen Kontodaten fünf Jahre lang zu speichern.

Die grenzüberschreitende Übermittlung personenbezogener Daten erfolgt nach dem gesetzlich vorgesehenen Verfahren. EU-/EWR-Mitgliedstaaten und Vertragsstaaten des Übereinkommens des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten gelten als Staaten mit angemessenem Datenschutzniveau.

11. AML, Cybersicherheit und interne Dokumentation

AML und Finanzmonitoring

Das Gesetz der Ukraine „Über die Verhinderung und Bekämpfung der Legalisierung (Geldwäsche) von Erträgen aus Straftaten, der Terrorismusfinanzierung und der Finanzierung der Verbreitung von Massenvernichtungswaffen“ Nr. 361-IX nennt AISPs und PISPs nicht ausdrücklich als eigene Kategorie von Primärverpflichteten des Finanzmonitorings. Das Gesetz erfasst auch andere juristische Personen, die keine Finanzinstitute sind, aber bestimmte Finanzdienstleistungen erbringen; AIS und PIS sind dagegen nichtfinanzielle Zahlungsdienste. Der AML-Status eines konkreten AISP oder PISP sollte deshalb unter Berücksichtigung weiterer Tätigkeiten und des tatsächlichen Geschäftsmodells gesondert geprüft werden.

Auch für Niederlassungen ausländischer Zahlungsinstitute ist eine gesonderte AML-Prüfung erforderlich.

Cybersicherheit

Die NBU-Resolution Nr. 43/2021 legt Anforderungen an Informations- und Cybersicherheit fest, die auf Teilnehmer des Zahlungsmarkts entsprechend ihrem regulatorischen Status Anwendung finden. Zusätzlich enthält die mit NBU-Resolution Nr. 73/2025 genehmigte Verordnung für Anbieter nichtfinanzieller Zahlungsdienste einen Risikomanagementrahmen für operationelle Risiken, Cyberrisiken und Sicherheitsrisiken.

Interne Dokumentation

Nach der Autorisierungsverordnung muss ein autorisierter Anbieter nichtfinanzieller Zahlungsdienste die erforderlichen internen Richtlinien und Verfahren spätestens innerhalb von drei Monaten nach der Autorisierung und in jedem Fall vor Erbringung des ersten Dienstes verabschieden. Die Risikomanagement-Dokumentation muss außerdem der mit NBU-Resolution Nr. 73/2025 genehmigten Verordnung entsprechen.

12. Haftungsverteilung und Verträge

Für den Zugang zur Basisschnittstelle ist kein bilateraler Vertrag zwischen dem AISP/PISP und der Bank (ASPSP) erforderlich; der ASPSP gewährt den Zugang auf Grundlage der NBU-Autorisierung und des qualifizierten Zertifikats. Für die kommerzielle Schnittstelle ist ein bilateraler Vertrag erforderlich, der Datenumfang, Entgelte und Haftungsbedingungen regelt.

Ein Kundenvertrag (Nutzungsbedingungen) ist für jeden AISP und PISP erforderlich. Er muss Art des Dienstes (AIS oder PIS), Umfang des Kontozugangs, Geltungsdauer der Zustimmung und das Verfahren zu ihrem Widerruf sowie die Haftung des FinTech-Unternehmens gegenüber dem Kunden regeln.

Bei über einen PISP initiierten Zahlungsvorgängen haftet der ASPSP gegenüber dem Nutzer in den gesetzlich vorgesehenen Fällen. Beruht der Verstoß auf einem Verschulden des PISP, hat dieser dem ASPSP die Schäden und die an den Nutzer gezahlten Beträge zu erstatten. Weitere Haftungsfragen sind im Einzelfall zu prüfen. Die Haftpflichtversicherung deckt definierte Risiken ab: beim PISP die fehlerhafte Auslösung von Zahlungsvorgängen, beim AISP den unbefugten Datenzugang oder die missbräuchliche Nutzung von Kontodaten.

13. Checkliste vor dem Start von Open Banking

1. Dienstleistungsklassifizierung. Festlegen, ob AIS, PIS oder beide Dienste angeboten werden; davon hängen Kapital-, Versicherungs- und Zertifikatsanforderungen ab.
2. Rechtsstruktur. Zwischen einer ukrainischen juristischen Person (GmbH oder AG) und einer Niederlassung eines ausländischen Zahlungsinstituts wählen. Bei einer Niederlassung sowohl die Akkreditierung als auch die gesonderte AIS/PIS-Autorisierung berücksichtigen.
3. Mindestkapital. Für eine ukrainische juristische Person, die eine Autorisierung für PIS beantragt, ein Mindeststammkapital von 1.000.000 UAH (ca. EUR 20.000) vorhalten; bei einem Anbieter, der ausschließlich AIS erbringt, beachten, dass das Gesetz keinen gesonderten Mindestbetrag festlegt. Für die Niederlassung eines ausländischen Zahlungsinstituts gilt ein gesondertes Regime.
4. Versicherung. Den erforderlichen Haftpflichtversicherungsvertrag abschließen; diese Pflicht gilt auch für eine Niederlassung eines ausländischen Zahlungsinstituts, die eine AIS/PIS-Autorisierung durchläuft.
5. Zulassungsunterlagen. Für eine ukrainische juristische Person den wesentlichen Autorisierungsunterlagensatz vorbereiten; für eine Niederlassung eines ausländischen Zahlungsinstituts die Akkreditierungsunterlagen und den verkürzten Unterlagensatz für die Autorisierung nichtfinanzieller Zahlungsdienste.
6. Qualifiziertes Open-Banking-Zertifikat. Nach Abschluss des einschlägigen NBU-Verfahrens und vor der Anbindung an die spezialisierten Schnittstellen ein qualifiziertes Open-Banking-Zertifikat bei einem ukrainischen QTSP beschaffen.
7. Interne Dokumentation. Die erforderlichen Dokumente spätestens innerhalb von drei Monaten nach der Autorisierung und in jedem Fall vor Erbringung des ersten Dienstes verabschieden.
8. Zustimmung und Erlaubnis zur Geheimnisoffenlegung. Den Prozess zur Einholung der Nutzerzustimmung gestalten (für AIS mit einer Gültigkeit von bis zu 180 Kalendertagen) und mit dem ASPSP klären, wie die Erlaubnis des Nutzers zur Offenlegung von Bankgeheimnis, Geschäftsgeheimnis und Geheimnis des Zahlungsdienstleisters dokumentiert wird.
9. SCA-Abstimmung mit ASPSP. Technische Integration für die vom ASPSP durchgeführte starke Kundenauthentifizierung abstimmen.
10. Schnittstellenzugangsmodell. Beurteilen, ob die Basisschnittstelle ausreicht oder ein kommerzieller Schnittstellenvertrag mit dem ASPSP benötigt wird.
11. Personenbezogene Daten. Die erforderliche Dokumentation zur Verarbeitung personenbezogener Daten erstellen.
12. AML-Status. Die anwendbaren Pflichten im Finanzmonitoring unter Berücksichtigung des Status und weiterer Tätigkeiten des Anbieters gesondert bestimmen.
13. Cybersicherheit, Risikomanagement und Betriebskontinuität. Die nach ukrainischem Recht anwendbaren Schutzmaßnahmen und den erforderlichen Risikomanagementrahmen umsetzen.
14. Kunden- und ASPSP-Verträge. Nutzungsbedingungen für Kunden sowie ggf. einen kommerziellen Schnittstellenvertrag mit dem ASPSP vorbereiten.
15. Registerbestätigung. Eintragung in das Zahlungsinfrastruktur-Register vor Aufnahme des Geschäftsbetriebs verifizieren.

Häufige Fragen

Ist Open Banking in der Ukraine bereits operativ?

Das Regelwerk trat am 1. August 2025 in Kraft. Die ASPSP-Übergangsfrist endete am 1. Januar 2026. Die vorübergehende Nichtanwendung von NBU-Aufsichtsmaßnahmen bei bestimmten ASPSP-Verstößen zum Kontozugang und zu spezialisierten Schnittstellen endete am 1. August 2026. Die einschlägigen Übergangsfristen sind damit abgelaufen.

Benötigt ein AISP eine Zahlungsinstitutslizenz?

Für eine ukrainische juristische Person, die ausschließlich AIS erbringt, ist keine Zahlungsinstitutslizenz erforderlich. Stattdessen sind die NBU-Autorisierung und die Eintragung in das Zahlungsinfrastruktur-Register erforderlich. Eine Niederlassung eines ausländischen Zahlungsinstituts muss das gesonderte Akkreditierungsverfahren durchlaufen und für AIS zusätzlich die Autorisierung des nichtfinanziellen Zahlungsdienstes erhalten.

Wie hoch ist das Mindestkapital für einen PISP?

Für eine ukrainische juristische Person, die eine Autorisierung für PIS beantragt, beträgt das gesetzliche Mindeststammkapital 1.000.000 UAH (ca. EUR 20.000). Wird PIS mit Geldtransfers ohne Kontoeröffnung kombiniert, beträgt der Mindestbetrag 3.000.000 UAH (ca. EUR 59.000). Für einen Anbieter, der ausschließlich AIS erbringt, sieht das Gesetz keinen gesonderten Mindestbetrag vor. Für die Niederlassung eines ausländischen Zahlungsinstituts gilt ein gesondertes Regime.

Gilt eine EU-PSD2-Zulassung auch für die Ukraine?

Nein. Eine PSD2-Zulassung gilt in der Ukraine nicht automatisch. Je nach gewählter Präsenzform muss das Unternehmen die ukrainische Autorisierung oder bei einer Niederlassung eines ausländischen Zahlungsinstituts sowohl die Akkreditierung als auch die gesonderte AIS/PIS-Autorisierung durchlaufen.

Kann ein ausländisches Unternehmen AIS oder PIS ohne ukrainische Gesellschaft anbieten?

Ja, über eine nach ukrainischem Recht vorgesehene Präsenzform. Ein ausländisches Zahlungsinstitut kann in der Ukraine eine Niederlassung errichten, wenn die gesetzlichen Voraussetzungen erfüllt sind und die NBU-Akkreditierung sowie die AIS/PIS-Autorisierung abgeschlossen sind. Andere ausländische Unternehmen können eine ukrainische juristische Person gründen und die NBU-Autorisierung durchlaufen. Eine unmittelbare grenzüberschreitende Erbringung von AIS oder PIS ohne ukrainische Registrierung ist nicht vorgesehen.

Ist für den Zugang zur Basisschnittstelle ein Bankvertrag erforderlich?

Für den Zugang zur Basisschnittstelle ist kein bilateraler Vertrag mit dem ASPSP erforderlich. Jeder autorisierte AISP und PISP hat Anspruch auf kostenlosen Zugang ohne Vorabvereinbarung. Für die kommerzielle Schnittstelle mit erweitertem Datenumfang ist ein bilateraler Vertrag erforderlich.

Wie lange gilt eine AIS-Zustimmung?

Eine aktive Zustimmung zum AIS-Datenzugang kann für maximal 180 Kalendertage erteilt werden. Nach Ablauf ist eine neue Zustimmung erforderlich. Fordert der AISP mehr als 90 Tage nach dem vorherigen SCA-Ereignis weiteren Zugang an, muss der ASPSP erneut eine SCA durchführen; eine neue Zustimmung ist nicht erforderlich, solange die 180-tägige Zustimmung noch gilt.

Wer führt die starke Kundenauthentifizierung durch?

Der ASPSP — die Bank oder der kontoführende Zahlungsdienstleister — führt die SCA des Nutzers durch. Der AISP oder PISP stößt die entsprechende Anfrage an; die Nutzerauthentifizierung führt keiner von beiden selbst durch.

Welche Versicherungsanforderungen gelten für AISP/PISP im Jahr 2026?

Vom 1. Juli bis 31. Dezember 2026 beträgt die Mindestversicherungssumme €110.000 für einen Einzeldienstanbieter (nur AIS oder nur PIS) und €180.000 für das kombinierte AISP-PISP-Modell. Nach den jeweiligen Übergangsvorgaben geschlossene Verträge bleiben bis zu ihrem Ablauf wirksam. Ab dem 1. Januar 2027 gilt die vollständige Berechnungsmethodik; bei neuen Verträgen ist kein Selbstbehalt zulässig.

Was DLF leisten kann

DLF begleitet FinTech-Unternehmen und Finanzinstitute in allen Phasen des Markteintritts in der Ukraine: von der Wahl der Gesellschaftsstruktur und der Vorbereitung der Unterlagen über die NBU-Autorisierung sowie die Strukturierung von Kapital und Versicherung bis zu Verträgen mit ASPSPs und Kunden, Datenschutz, AML-Prüfung und Cybersicherheit. Für solche Projekte sind insbesondere die DLF-Praxisbereiche Gesellschaftsrecht / M&A und Vertragsrecht relevant.

Iurii Dynys, Berater, Rechtsanwalt, DLF Rechtsanwälte.

Kontakte: +380 44 384 24 54, info@dlf.ua.

Dieses Material dient der allgemeinen Information. Die Anwendung der beschriebenen Ansätze hängt von den Umständen des konkreten Einzelfalls ab und erfordert eine gesonderte rechtliche Prüfung.