VII Kongres Lendtech 2026. CRA – AMLR mObywatel – mObywatel Europa (EUDI Wallet)

Za nami VII Kongres Lendtech 2026. Dziękujemy organizatorom za zaproszenie DLK Legal do udziału w wydarzeniu.

Dr Krzysztof Korus, Partner DLK Legal, przedstawił wybrane zagadnienia onboardingu i aplikacji w branży pożyczkowej. Poniżej zebraliśmy najważniejsze wnioski (stan prawny na 25 września 2026 r.).

W skrócie

• CRA: od 11 września 2026 r. producenci aplikacji muszą zgłaszać aktywnie wykorzystywane podatności i poważne incydenty. Dotyczy to także aplikacji już obecnych na rynku.
• AMLR: integracja KYC z co najmniej jednym środkiem eIDAS będzie prawdopodobnie nieunikniona. Z przebudową procesów warto jednak poczekać na ostateczny RTS CDD.
• EUDI Wallet: obowiązek obsługi portfela dotyczy silnego uwierzytelniania (SCA), a nie KYC. mObywatel Europa umożliwi też kwalifikowany podpis elektroniczny pod umową kredytową.

1. Rozporządzenie CRA (UE) 2024/2847: raportowanie już obowiązuje

Kogo dotyczy

Obowiązek dotyczy podmiotów, które udostępniają klientom aplikację mobilną, wtyczkę do przeglądarki lub klienta desktopowego. Producentem jest także ten, kto udostępnia aplikację pod własną marką, niezależnie od tego, kto napisał kod.

Najważniejsze obowiązki

• Co i gdzie zgłaszać. Od 11 września 2026 r. producenci zgłaszają aktywnie wykorzystywane podatności oraz poważne incydenty mające wpływ na bezpieczeństwo produktu. Zgłoszenie trafia jednocześnie do CSIRT wyznaczonego jako koordynator i do ENISA, za pośrednictwem unijnej platformy zgłoszeniowej.
• Back-end też może być objęty. Dzieje się tak, gdy stanowi on rozwiązanie do zdalnego przetwarzania danych w rozumieniu art. 3 pkt 2 CRA, czyli gdy bez niego aplikacja nie wykonuje jednej ze swoich funkcji. Back-end opcjonalny lub jedynie wzbogacający funkcjonalność nie jest objęty.
• Polityka skoordynowanego ujawniania podatności. Obowiązek jej wprowadzenia i egzekwowania (załącznik I część II pkt 5) powstaje dopiero 11 grudnia 2027 r. Element publiczny, czyli dane kontaktowe do zgłaszania podatności w informacjach dla użytkownika, wynika z załącznika II. Mimo to wiele podmiotów już udostępniło taką procedurę.

Uwaga: obowiązek raportowania obejmuje także aplikacje wprowadzone do obrotu przed 11 grudnia 2027 r. (art. 69 ust. 3 CRA). Obecne aplikacje pozostają więc w zakresie raportowania, nawet jeśli nie będą podlegać pozostałym wymogom. Dotyczy to w szczególności sytuacji, gdy po 11 grudnia 2027 r. nie dojdzie do istotnej modyfikacji aplikacji.

Stan wdrożenia w Polsce

Polska nie wyznaczyła dotąd organu nadzoru rynku właściwego dla CRA ani nie wprowadziła przepisów o karach. Termin wynikający z rozporządzenia to 11 grudnia 2027 r.

2. Rozporządzenie AMLR (UE) 2024/1624: mObywatel i eIDAS w KYC

Rozporządzenie AMLR stosuje się od 10 lipca 2027 r. Dla stosowania mObywatela w KYC nie oznacza to zasadniczej zmiany. Kluczowy będzie dopiero RTS w sprawie CDD.

Co mówi samo AMLR

Art. 22 ust. 6 lit. b AMLR potwierdza, że tożsamość można weryfikować środkiem identyfikacji elektronicznej na poziomie średnim lub wysokim. Profil mObywatel obsługiwany przez węzeł krajowy mieści się w tym katalogu na poziomie średnim.

Samo AMLR nie nakłada obowiązku udostępniania klientom tej metody, ani w placówce, ani online. Projekt RTS w sprawie CDD przedłożony przez EBA w 2025 r. sugeruje jednak inaczej.

Co zmienia projekt RTS CDD

Aktualny projekt RTS (art. 28 ust. 1 AMLR) przewiduje, że w KYC online mechanizmy inne niż środki eIDAS można stosować tylko wtedy, gdy:

• środek eIDAS nie jest dostępny, albo
• nie można racjonalnie oczekiwać jego użycia.

Literalnie przesłanką jest faktyczna dostępność środka po stronie klienta. W praktyce należy się jednak spodziewać, że to klient będzie decydował, którego mechanizmu użyje. Skoro część klientów wybierze środek eIDAS, instytucja obowiązana najprawdopodobniej nie uniknie integracji z co najmniej jednym wiodącym środkiem eIDAS poziomu średniego lub wysokiego. Im więcej klientów będzie miało taki środek, tym trudniej będzie uzasadnić metody alternatywne.

Krytyka w konsultacjach

Rozwiązanie zaproponowane przez EBA i AMLA spotkało się z szeroką krytyką, m.in. ze strony Europejskiej Federacji Bankowej oraz dostawców rozwiązań weryfikacyjnych. Podnoszono:

• sprzeczność z równorzędnym charakterem metod z art. 22 ust. 6 AMLR,
• naruszenie zasady neutralności technologicznej (motyw 74 AMLR),
• przedwczesność wobec stanu wdrożenia eIDAS 2.0,
• ryzyko wykluczenia klientów posługujących się dokumentami niespełniającymi standardów interoperacyjności.

Mimo tej krytyki AMLA przejęła rozwiązanie EBA do własnego projektu.

Rekomendacja: z przestawianiem procesów online na eIDAS warto poczekać na ostateczny tekst RTS CDD. Należy jednak liczyć się z tym, że ten kierunek zostanie utrzymany.

mObywatel przy kontakcie w placówce

Obowiązek honorowania dokumentu mObywatel przy weryfikacji tożsamości w obecności obu stron wynika z ustawy o przeciwdziałaniu praniu pieniędzy. Ustawa ma to brzmienie od nowelizacji ustawą z 26 maja 2023 r. o aplikacji mObywatel (art. 83 w zw. z art. 7 ust. 2 ustawy o aplikacji mObywatel).

Obowiązek ten prawdopodobnie zostanie utrzymany, ale rozstrzygnie o tym dopiero ustawa towarzysząca AMLR. Procedowany projekt nowelizacji ustawy AML, dostępny w RCL, nie dotyczy AMLR.

3. eIDAS 2.0 (UE) 2024/1183: EUDI Wallet i mObywatel Europa

Stan prac

mObywatel Europa to mObywatel na poziomie wysokim, wyposażony w funkcje europejskiego portfela tożsamości cyfrowej (EUDI Wallet). Jest już na etapie certyfikacji, a środowisko testowe (sandbox) jest dostępne.

• Przejście na mObywatel Europa będzie wymagało od obecnych użytkowników dodatkowego uwierzytelnienia, np. dowodem osobistym z warstwą elektroniczną. Pozwoli to osiągnąć poziom wysoki wymagany dla portfela.
• Inne państwa członkowskie pracują nad własnymi portfelami. Niewykluczone, że w niektórych z nich portfele będą wydawać także certyfikowane podmioty prywatne, obok portfeli krajowych.

SCA to nie KYC

Najczęstsze nieporozumienie: przepisy o EUDI Wallet nie nakładają na instytucje obowiązane obowiązku honorowania portfela na potrzeby KYC. Obowiązek dotyczy wyłącznie SCA. Wiele źródeł utożsamia te dwie kwestie, dlatego warto zwrócić na to szczególną uwagę.

Dwie role podmiotu stosującego SCA

Instytucja pożyczkowa lub inny podmiot może być jednocześnie dostawcą usług płatniczych albo stosować SCA na innej podstawie. Wtedy będzie występować w dwóch rolach:

• Wystawca atestacji SCA wydawanej do portfela użytkownika. Art. 5f ust. 2 eIDAS nie wymaga tego wprost, ale w praktyce nie da się tego uniknąć.
• Strona ufająca, która rejestruje się i uzyskuje certyfikat dostępu, aby odbierać i weryfikować prezentacje.

W obu rolach obowiązek obejmuje portfele wydane w każdym państwie członkowskim.

Powiązanie portfela i transakcje płatnicze

Aby użyć EUDI Wallet do SCA, trzeba go najpierw powiązać z dostawcą. W usługach płatniczych powiązanie może nastąpić na poziomie użytkownika albo konkretnego instrumentu płatniczego. Działa to podobnie jak w komercyjnych portfelach płatniczych, do których każdą kartę dodaje się osobno.

Dla transakcji płatniczych specyfikacja przewiduje dwa warianty:

• Przepływ inicjowany przez wystawcę (issuer-requested flow; w nomenklaturze EMV: Issuer-Captured Transaction).
• Przepływ inicjowany przez podmiot trzeci (third-party-requested flow; w nomenklaturze EMV: Merchant-Captured Transaction). Tu uwierzytelnienie odbywa się bezpośrednio między płatnikiem a akceptantem. Dane transakcyjne wraz z wynikiem uwierzytelnienia trafiają do dostawcy płatnika wyłącznie w celu autoryzacji. Ta komunikacja odbywa się poza infrastrukturą EUDI Wallet, przez istniejące sieci płatnicze i interfejsy open bankingu.

Dwie szanse dla branży pożyczkowej

1. Kwalifikowany podpis elektroniczny. mObywatel Europa umożliwi składanie kwalifikowanego podpisu. Poza KYC rozwiązuje to problem formy pisemnej umowy o kredyt konsumencki, bez potrzeby sięgania po pełnomocnictwa i inne konstrukcje zastępcze.
2. Poświadczenia dochodu w portfelu. Więksi pracodawcy i instytucje wypłacające świadczenia (np. ZUS) mogliby wydawać w portfelu poświadczenia o wysokości zarobków lub świadczeń w postaci atrybutów. Gdyby korzystali w tym celu z kwalifikowanych dostawców usług zaufania, poświadczenie miałoby walor dowodowy porównywalny z zaświadczeniem w formie pisemnej.

Masz pytania o wdrożenie CRA, AMLR lub EUDI Wallet? Skontaktuj się z nami.