Open Banking в Україні для FinTech-компаній

З 1 серпня 2025 року в Україні запрацював Open Banking. Банки та небанківські надавачі платіжних послуг, що обслуговують рахунки (ASPSP), зобов’язані надавати авторизованим стороннім надавачам доступ до поточних і платіжних рахунків, доступних користувачу онлайн, через спеціалізовані інтерфейси (API). Перехідний строк для ASPSP завершився 1 січня 2026 року. Період, протягом якого НБУ не застосовував заходи впливу до ASPSP за визначені порушення щодо постійного доступу до рахунків і налаштування спеціалізованих інтерфейсів, завершився 1 серпня 2026 року.

Для FinTech-компанії, яка планує надавати AIS або PIS в Україні, самої згоди клієнта недостатньо. Українська юридична особа має пройти авторизацію в НБУ як надавач нефінансових платіжних послуг; філія іноземної платіжної установи має пройти акредитацію в НБУ, а для надання AIS/PIS — також авторизацію діяльності з надання нефінансових платіжних послуг. До підключення до банківських API надавач також повинен отримати кваліфікований сертифікат Open Banking для технічної автентифікації.

Матеріал призначений для українських та іноземних FinTech-компаній, банків, платіжних установ, інвесторів, продуктових і комплаєнс-команд, які планують запуск AIS або PIS в Україні.

Послуга з надання відомостей з рахунків (AIS) та послуга з ініціювання платіжної операції (PIS) віднесені Законом України «Про платіжні послуги» № 1591-IX до нефінансових платіжних послуг. Українська юридична особа надає їх без ліцензії платіжної установи, але лише після авторизації НБУ та внесення відомостей до Реєстру платіжної інфраструктури. Авторизація за PSD2 не діє в Україні автоматично. Для доступу до базового інтерфейсу двосторонній договір з ASPSP не потрібен; окремо виконуються вимоги щодо кваліфікованого сертифіката Open Banking, страхування відповідальності, посиленої автентифікації та захисту персональних даних.

1. Як працює Open Banking в Україні

2. Послуги AIS та PIS для FinTech-компаній

3. Авторизація AISP та PISP в НБУ

4. Процедура авторизації AISP та PISP в НБУ

5. Вихід іноземної FinTech-компанії на ринок України

6. Страхування та сертифікати Open Banking

7. Доступ FinTech-компанії до API банку

8. Згода користувача та посилена автентифікація

9. Дані та обмеження для AISP

10. Захист персональних даних

11. AML, кібербезпека та внутрішні документи

12. Відповідальність і договори

13. Чекліст перед запуском продукту Open Banking

Часті запитання

Як DLF може допомогти

1. Як працює Open Banking в Україні

Правову основу Open Banking заклав Закон № 1591-IX «Про платіжні послуги». Операційні правила визначають Постанова НБУ № 80/2025 про відкритий банкінг, Постанова НБУ № 81/2025 про авторизацію надавачів нефінансових платіжних послуг та супровідні акти НБУ.

У моделі Open Banking використовуються такі основні позначення: ASPSP — надавач платіжних послуг з обслуговування рахунку; AISP — надавач послуги з надання відомостей з рахунків; PISP — надавач послуги з ініціювання платіжної операції; TPP — загальне позначення для сторонніх надавачів AISP та PISP.

Реєстр платіжної інфраструктури є публічним — його веде НБУ. Актуальну інформацію НБУ публікує на сторінці Open Banking.

2. Послуги AIS та PIS для FinTech-компаній

Закон «Про платіжні послуги» відносить AIS і PIS до нефінансових платіжних послуг, які становлять основу Open Banking для FinTech-компаній.

Послуга з надання відомостей з рахунків (AIS) — надання в режимі реального часу консолідованої інформації про один або кілька рахунків, відкритих клієнтом в одному або кількох надавачах платіжних послуг. AISP отримує дані про рахунки, але не переміщує кошти.

Послуга з ініціювання платіжної операції (PIS) — ініціювання платіжної інструкції на запит платника з рахунку в іншому надавачі платіжних послуг. PISP запускає платіж, але рахунок клієнта веде ASPSP.

Надавач, який одночасно надає AIS і PIS, має виконувати вимоги, що застосовуються до обох послуг. Для поєднаної моделі встановлюється окремий мінімальний розмір страхової суми, а один кваліфікований сертифікат Open Banking може охоплювати обидві ролі.

Технологічний оператор платіжних послуг виконує операційні, інформаційні та інші технологічні функції та має окремий правовий статус. Сам по собі такий статус не робить оператора AISP або PISP.

AIS і PIS є різними нефінансовими платіжними послугами, тому вимоги до капіталу, страхування та посиленої автентифікації для них відрізняються.

3. Авторизація AISP та PISP в НБУ

AISP

Для української юридичної особи послуга AIS є нефінансовою платіжною послугою. Для її надання ліцензія платіжної установи не потрібна. Натомість необхідна авторизація діяльності в НБУ, за результатом якої відомості про надавача вносяться до Реєстру платіжної інфраструктури.

Для надавача, який надає виключно AIS, Закон № 1591-IX не встановлює окремого мінімального розміру статутного капіталу.

PISP

Для української юридичної особи послуга PIS також є нефінансовою платіжною послугою. Для надання виключно PIS ліцензія платіжної установи не потрібна, однак PISP має пройти авторизацію діяльності в НБУ з внесенням відомостей до Реєстру платіжної інфраструктури.

Мінімальний статутний капітал для PISP становить 1 000 000 грн. Якщо PIS поєднується з переказом коштів без відкриття рахунку, мінімальний розмір капіталу становить 3 000 000 грн; надання такої фінансової платіжної послуги потребує відповідного допуску НБУ.

Порівняння параметрів для української юридичної особи

4. Процедура авторизації AISP та PISP в НБУ

Основні документи для української юридичної особи

Строки та результат авторизації

НБУ розглядає заяву протягом 60 робочих днів і може продовжити цей строк ще на 30 робочих днів. Авторизація є безстроковою і не потребує періодичного поновлення.

Внутрішні документи та процедури необхідно розробити і затвердити не пізніше трьох місяців з дати авторизації та в будь-якому разі до надання першої нефінансової платіжної послуги.

5. Вихід іноземної FinTech-компанії на ринок України

Іноземна FinTech-компанія, яка планує надавати AIS або PIS в Україні, має визначити належну форму присутності. Основні варіанти — українська юридична особа або філія іноземної платіжної установи. Пряме транскордонне надання AIS або PIS без української реєстрації чинним правовим режимом не передбачене.

Українська юридична особа

Будь-яка іноземна компанія може заснувати в Україні ТОВ або АТ та пройти повну процедуру авторизації в НБУ.

Філія іноземної платіжної установи

Закон дозволяє іноземним платіжним установам відкривати філії в Україні. Акредитація такої філії є окремою процедурою і не замінює авторизацію AISP/PISP. Для надання AIS або PIS філія також має пройти авторизацію діяльності з надання нефінансових платіжних послуг; для неї передбачено скорочений пакет документів.

Цей шлях доступний іноземній платіжній установі, тобто юридичній особі-нерезиденту, яка відповідно до законодавства держави своєї реєстрації має право надавати платіжні послуги. Для компанії, яка планує надавати лише AIS або PIS, можливість використання цієї моделі слід окремо оцінити з огляду на обсяг платіжних послуг, які материнська установа має право надавати, та ліцензійний режим філії.

Транскордонне надання послуг

Українське законодавство не передбачає окремого механізму прямого транскордонного надання AIS або PIS з-за кордону без української реєстрації. Для виходу на ринок необхідно використовувати передбачену законом форму присутності та пройти всі застосовні процедури НБУ, включно з авторизацією, а для філії іноземної платіжної установи — також акредитацією.

Авторизація в ЄС за PSD2

Авторизація за законодавством ЄС, зокрема відповідно до PSD2, сама по собі не надає права працювати в Україні. Компанія має обрати належну форму присутності та пройти відповідні українські процедури: для української юридичної особи — авторизацію; для філії іноземної платіжної установи — акредитацію та авторизацію AIS/PIS.

6. Страхування та сертифікати Open Banking

Страхування відповідальності

Положення, затверджене постановою НБУ № 71/2025, встановлює обов’язкові мінімальні розміри страхової суми для надавачів нефінансових платіжних послуг. На перехідний період (1 липня — 31 грудня 2026 року):

Договір страхування укладається на один рік і має діяти безперервно: новий договір повинен набирати чинності наступного дня після закінчення попереднього. Банківські гарантії та інші фінансові інструменти не замінюють страхування; потрібен саме договір страхування за класом 13 «Страхування іншої відповідальності».

Наведені суми є перехідними. Договори, укладені за відповідними перехідними вимогами, діють до закінчення їх строку без автоматичного підвищення страхової суми. З 1 січня 2027 року застосовуватиметься повна розрахункова методологія, що враховує показники діяльності та ризику; для нових договорів франшиза не допускається.

Кваліфіковані сертифікати Open Banking

Положення, затверджене постановою НБУ № 82/2025, регулює вимоги до кваліфікованих сертифікатів відкритого банкінгу.

До підключення до спеціалізованих інтерфейсів кожен AISP і PISP повинен отримати кваліфікований сертифікат Open Banking після завершення застосовної процедури в НБУ. Сертифікат ідентифікує надавача та використовується ASPSP для його технічної автентифікації.

Допустимі два типи сертифікатів: кваліфікований сертифікат електронної печатки або кваліфікований сертифікат автентифікації вебсайту з атрибутами Open Banking. З 1 серпня 2026 року ASPSP може вимагати від PISP накладати кваліфіковану або удосконалену електронну печатку на повідомлення з реквізитами платіжної інструкції.

Кваліфіковані сертифікати Open Banking можуть видавати українські КНЕДП, внесені до Довірчого списку, якщо їхній регламент передбачає відповідні процедури та погоджений НБУ. Сертифікат, виданий у ЄС за стандартами eIDAS, сам по собі не замінює кваліфікований сертифікат Open Banking, що відповідає спеціальним вимогам НБУ.

7. Доступ FinTech-компанії до API банку

Законодавство передбачає дворівневу модель доступу через спеціалізовані інтерфейси.

Базовий інтерфейс є обов’язковим: ASPSP зобов’язаний надати безоплатний доступ будь-якому авторизованому AISP або PISP. Відмова в доступі без підстав, визначених законодавством, неприпустима.

Для доступу до базового інтерфейсу двосторонній договір між AISP/PISP та ASPSP не потрібен. Для комерційного інтерфейсу з розширеним набором даних такий договір є обов’язковим. Для фактичного доступу до рахунку ASPSP також перевіряє авторизацію TPP, отримує згоду користувача та має дозвіл користувача на розкриття банківської таємниці, комерційної таємниці й таємниці надавача платіжних послуг.

8. Згода користувача та посилена автентифікація

Згода та SCA для AIS

Для AIS користувач надає ASPSP через AISP згоду на надання відомостей з рахунків; підтверджена посиленою автентифікацією (SCA) і чинна згода вважається активною. Крім того, ASPSP має отримати від користувача дозвіл на розкриття банківської таємниці, комерційної таємниці й таємниці надавача платіжних послуг; порядок його надання визначає договір користувача з ASPSP. Максимальний строк дії активної згоди — 180 календарних днів. Після закінчення цього строку необхідна нова згода.

У межах 180-денного строку діють два окремі строки:

• Строк дії активної згоди: до 180 календарних днів — час дії згоди клієнта на доступ до рахунку.
• Цикл SCA: ASPSP може надавати доступ без повторної посиленої автентифікації не більше 90 днів від останньої події SCA. Якщо після спливу цього строку AISP запитує подальший доступ, ASPSP проводить повторну SCA; нова згода не потрібна, доки діє 180-денний строк активної згоди.

Посилену автентифікацію під час первинного надання активної згоди та, за потреби подальшого доступу після спливу відповідного 90-денного строку, проводить ASPSP. AISP ініціює запит, але сам не автентифікує користувача.

Згода та SCA для PIS

Під час кожного ініціювання разової платіжної операції платник надає ASPSP через PISP окрему згоду на виконання платіжної операції. Механізм довгострокової згоди для разових платіжних операцій законодавством не передбачений.

PISP звертається до ASPSP із запитом на проведення посиленої автентифікації, а SCA виконує ASPSP. Динамічне пов’язування коду автентифікації із сумою та отримувачем конкретної платіжної операції також забезпечує ASPSP.

ASPSP автентифікує самого TPP (AISP або PISP) як технічного учасника за допомогою кваліфікованого сертифіката Open Banking.

9. Дані та обмеження для AISP

Через базовий інтерфейс у межах AIS AISP отримує доступ до:

• залишку коштів на рахунку;
• переліку операцій за останні 31 календарний день від дати запиту.

Доступ до розширеного масиву даних (триваліша історія, додаткові атрибути) можливий лише через комерційний інтерфейс на підставі договору з ASPSP.

AISP не має права:

• запитувати або зберігати вразливі платіжні дані;
• запитувати в користувача інформацію, не пов’язану з наданням AIS.

Ім’я власника рахунку та номер рахунку або платіжної картки самі по собі, без інших реквізитів, необхідних для ініціювання платежу, не є вразливими платіжними даними.

Open Banking в Україні охоплює поточні та платіжні рахунки, до яких користувач має онлайн-доступ. Інші фінансові продукти, що не є такими рахунками, зокрема окремі кредитні та інвестиційні продукти, не охоплюються чинним режимом. Окремого правового режиму Open Finance в Україні наразі немає.

10. Захист персональних даних

Обробка персональних даних клієнтів регулюється Законом № 2297-VI «Про захист персональних даних». Доступ до рахунку в межах Open Banking здійснюється на підставі згоди користувача відповідно до платіжного законодавства. Правову підставу для подальшої обробки персональних даних потрібно визначати окремо з урахуванням мети обробки та вимог законодавства.

Використання даних рахунку для маркетингу або профілювання поза метою, для якої користувач надав згоду, потребує окремої правової підстави. Користувач може відкликати згоду в будь-який момент. Після відкликання AISP має припинити доступ до рахунку, а подальше зберігання вже отриманих даних можливе лише за наявності іншої законної підстави та з урахуванням мети і строків обробки. Документи щодо PIS і всі згоди AIS зберігаються щонайменше п’ять років після припинення ділових відносин; це не означає обов’язкового зберігання всього масиву отриманих даних рахунку протягом п’яти років.

Транскордонна передача персональних даних здійснюється у встановленому законодавством порядку. Держави ЄС/ЄЕП та держави — сторони Конвенції Ради Європи про захист осіб у зв’язку з автоматизованою обробкою персональних даних визнаються такими, що забезпечують належний рівень захисту персональних даних.

11. AML, кібербезпека та внутрішні документи

AML та фінансовий моніторинг

Закон України «Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення» № 361-IX не містить прямої норми, що окремо називає AISP або PISP суб’єктами первинного фінансового моніторингу. Водночас закон охоплює інші юридичні особи, які не є фінансовими установами, але надають окремі фінансові послуги, тоді як AIS і PIS є нефінансовими платіжними послугами. Тому AML-статус конкретного AISP/PISP доцільно визначати окремо з урахуванням його інших видів діяльності та фактичної моделі послуг.

Для філій іноземних платіжних установ потрібен окремий аналіз.

Кібербезпека

Постанова НБУ № 43/2021 встановлює вимоги до захисту інформації та кіберзахисту, що застосовуються до учасників платіжного ринку з урахуванням їхнього статусу. Окремо Положення, затверджене постановою НБУ № 73/2025 встановлює для надавачів нефінансових платіжних послуг вимоги до системи управління операційними ризиками, кіберризиками та ризиками безпеки.

Внутрішні документи

Авторизований надавач нефінансових платіжних послуг зобов’язаний розробити та затвердити необхідні внутрішні документи не пізніше трьох місяців з дати авторизації та в будь-якому разі до надання першої послуги. Документи з управління ризиками мають відповідати вимогам Положення № 73/2025.

12. Відповідальність і договори

Для доступу до базового інтерфейсу договір між AISP/PISP та банком (ASPSP) не є обов’язковим — ASPSP надає доступ на підставі авторизації НБУ та кваліфікованого сертифіката. Для комерційного інтерфейсу двосторонній договір обов’язковий; у ньому визначаються обсяг даних, тарифи та умови відповідальності.

Договір із клієнтом (умови користування послугою) є необхідним документом для будь-якого AISP та PISP. Він повинен визначати тип послуги (AIS або PIS), обсяг доступу до рахунку, строк дії та порядок відкликання згоди, а також відповідальність FinTech-компанії перед клієнтом.

За платіжними операціями, ініційованими через PISP, перед користувачем у передбачених законом випадках відповідає ASPSP. Якщо порушення сталося з вини PISP, він відшкодовує ASPSP збитки та суми, виплачені користувачеві. Інші питання відповідальності потребують аналізу конкретних обставин. Страхування відповідальності покриває визначені ризики: для PISP — неналежне ініціювання платіжних операцій; для AISP — несанкціонований доступ до даних або їх неправомірне використання.

13. Чекліст перед запуском продукту Open Banking

1. Класифікація послуги. Визначити, чи надається AIS, PIS або обидві послуги — від цього залежать капітал, страхування та сертифікати.
2. Організаційна структура. Обрати між українською юридичною особою (ТОВ або АТ) та філією іноземної платіжної установи. Для філії врахувати як акредитацію, так і окрему авторизацію AIS/PIS.
3. Капітал. Для української юридичної особи, яка проходить авторизацію для PIS, підтвердити мінімальний статутний капітал 1 000 000 грн; для надавача лише AIS врахувати, що закон не встановлює окремого мінімального розміру капіталу. Для філії іноземної платіжної установи застосовуються окремі вимоги.
4. Страхування. Укласти договір страхування відповідальності; ця вимога діє і для філії іноземної платіжної установи, що проходить авторизацію AIS/PIS.
5. Документи для допуску на ринок. Для української юридичної особи підготувати основний пакет документів; для філії іноземної платіжної установи — документи для акредитації та скорочений пакет для авторизації нефінансових платіжних послуг.
6. Кваліфікований сертифікат Open Banking. Після завершення застосовної процедури в НБУ та до підключення до спеціалізованих інтерфейсів отримати кваліфікований сертифікат Open Banking у КНЕДП.
7. Внутрішні документи. Розробити та затвердити не пізніше трьох місяців з дати авторизації та в будь-якому разі до надання першої послуги.
8. Згода і дозвіл на розкриття таємниці. Розробити процес отримання згоди користувача (для AIS — строком до 180 календарних днів) і з’ясувати в ASPSP, як оформлюється дозвіл користувача на розкриття банківської таємниці, комерційної таємниці й таємниці надавача платіжних послуг.
9. Взаємодія з ASPSP щодо SCA. Узгодити технічну інтеграцію для проведення посиленої автентифікації з боку ASPSP.
10. Модель доступу до API. Визначити, чи достатньо базового інтерфейсу, чи потрібен комерційний; за потреби укласти договір з ASPSP.
11. Персональні дані. Підготувати документацію з обробки персональних даних.
12. AML-статус. Визначити застосовні обов’язки у сфері фінансового моніторингу з урахуванням статусу надавача та інших видів його діяльності.
13. Кібербезпека, управління ризиками та безперервність діяльності. Впровадити застосовні заходи захисту та систему управління ризиками відповідно до законодавства.
14. Договори з клієнтами та ASPSP. Підготувати клієнтські умови та (за потреби) комерційний договір з ASPSP.
15. Перевірка в Реєстрі НБУ. Переконатися у включенні до Реєстру платіжної інфраструктури до початку комерційної діяльності.

Часті запитання

Чи працює Open Banking в Україні вже зараз?

Так. Open Banking в Україні запрацював 1 серпня 2025 року. Перехідний строк для ASPSP завершився 1 січня 2026 року, а період незастосування НБУ заходів впливу до ASPSP за визначені порушення щодо доступу до рахунків і спеціалізованих інтерфейсів — 1 серпня 2026 року. Обидва відповідні перехідні строки вже сплинули.

Чи потрібна AISP ліцензія платіжної установи?

Для української юридичної особи, яка надає виключно AIS, ліцензія платіжної установи не потрібна. Необхідна авторизація НБУ з внесенням відомостей до Реєстру платіжної інфраструктури. Філія іноземної платіжної установи проходить окрему акредитацію та для надання AIS — також авторизацію нефінансової платіжної послуги.

Який мінімальний капітал потрібен PISP?

Для української юридичної особи, яка проходить авторизацію для PIS, мінімальний статутний капітал становить 1 000 000 грн. Якщо PIS поєднується з переказом коштів без відкриття рахунку, мінімальний розмір капіталу становить 3 000 000 грн. Для надавача лише AIS закон не встановлює окремого мінімального розміру статутного капіталу. Для філії іноземної платіжної установи застосовується окремий режим.

Чи поширюється авторизація за PSD2 в ЄС на Україну?

Ні. Авторизація за PSD2 не діє в Україні автоматично. Залежно від обраної форми присутності компанія має пройти українську авторизацію, а для філії іноземної платіжної установи — також акредитацію та окрему авторизацію AIS/PIS.

Чи може іноземна компанія надавати AIS або PIS без української юридичної особи?

Так, через передбачену законом форму присутності. Іноземна платіжна установа може відкрити в Україні філію за умови відповідності вимогам закону, проходження акредитації НБУ та авторизації AIS/PIS. Інші іноземні компанії можуть заснувати українську юридичну особу та пройти авторизацію НБУ. Пряме транскордонне надання AIS або PIS без української реєстрації не передбачене.

Чи потрібен договір із банком для доступу до базового інтерфейсу?

Для базового інтерфейсу — ні. ASPSP зобов’язаний надати безоплатний доступ будь-якому авторизованому AISP або PISP без укладення окремого договору. Для комерційного інтерфейсу з розширеними даними двосторонній договір є обов’язковим.

Який строк дії згоди на AIS?

Максимальний строк дії однієї активної згоди клієнта становить 180 календарних днів. Після його спливу потрібна нова згода. Якщо після спливу 90 днів від попередньої SCA AISP запитує подальший доступ, ASPSP проводить повторну посилену автентифікацію; нова згода не потрібна, доки 180-денний строк ще діє.

Хто проводить посилену автентифікацію користувача?

Посилену автентифікацію користувача проводить ASPSP — банк або інший надавач платіжних послуг з обслуговування рахунку. AISP і PISP ініціюють відповідні запити, але самі не автентифікують користувача.

Які вимоги до страхування AISP/PISP діють у 2026 році?

З 1 липня по 31 грудня 2026 року мінімальний розмір страхової суми становить €110 000 для провайдера з однією послугою (тільки AIS або тільки PIS) та €180 000 для поєднаної моделі (AIS + PIS). Договори, укладені за відповідними перехідними вимогами, діють до закінчення їх строку. З 1 січня 2027 року застосовуватиметься повна розрахункова методологія, а франшиза для нових договорів не допускається.

Як DLF може допомогти

DLF підтримує FinTech-компанії та фінансові установи на всіх етапах виходу на український ринок: від вибору корпоративної структури та підготовки документів до авторизації НБУ, структурування капіталу й страхування, договорів з ASPSP та клієнтами, захисту персональних даних, AML-аналізу й кібербезпеки. Для таких проєктів особливо релевантні практики DLF у сфері корпоративного права / M&A та договірного права.

Юрій Динис, радник, адвокат, DLF attorneys-at-law.

Контакти: +380 44 384 24 54, info@dlf.ua.

Цей матеріал призначений для загального ознайомлення. Застосування описаних підходів залежить від обставин конкретної ситуації та потребує окремої правової оцінки.