SIGIIF i CRBR po nowemu – projekt nowelizacji ustawy AML z 21.5.2026 r.

3 godzin temu

Kontekst legislacyjny: co się zmieniło między październikiem 2025 r. a majem 2026 r.?

Projekt z 21.05.2026 r. stanowi dalszą i poszerzoną implementację dyrektywy Parlamentu Europejskiego i Rady (UE) 2024/1640 z 31.5.2024 r. w sprawie mechanizmów, które państwa członkowskie powinny wprowadzić w celu zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu, zmieniającej dyrektywę (UE) 2019/1937 oraz zmieniającej i uchylającej dyrektywę (UE) 2015/849 (Dz.Urz. UE L z 2024 r., s. 1640) oraz uzupełnia wdrożenie dyrektywy (UE) 2015/849 do ustawy z 1.03.2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz.U. z 2025 r. poz. 644). W porównaniu z wersją z października 2025 r. projektodawca dokonał fundamentalnej reorganizacji przepisów dotyczących dostępu do systemów teleinformatycznych AML – zamiast rozproszonych regulacji wprowadzono spójny, nowy Rozdział 6a, traktujący o systemie teleinformatycznym służącym przeciwdziałaniu praniu oraz finansowaniu terroryzmu (dalej: SIGIIF). Uregulowano także relację SIGIIF z Centralnym Rejestrem Beneficjentów Rzeczywistych (dalej: CRBR), który korzystał będzie z zasobów SIGIIF. Zmiana ta jest niezwykle istotna dla instytucji obowiązanych, które będą identyfikować i weryfikować tożsamość swoich klientów, ich beneficjentów rzeczywistych czy osób reprezentujących takich klientów.

Ponadto przesunięto termin wejścia w życie projektowanej ustawy z 1.4.2026 r. na 1.10.2026 r. (zasada ogólna), z licznymi wyjątkami rozciągniętymi aż do 1.1.2028 r.

Dwa systemy teleinformatyczne – fundamentalne rozróżnienie

Projekt precyzyjnie rozgranicza dwa systemy, które dotychczas w praktyce bywają mylone:

system teleinformatyczny z art. 55 projektowanej ustawy – obsługuje CRBR, prowadzony przez Ministra Finansów jako organ adekwatny w sprawach CRBR.
SIGIIF – „system teleinformatyczny służący przeciwdziałaniu praniu oraz finansowaniu terroryzmu”, zdefiniowany w art. 12 ust. 4 projektowanej ustawy.

Rozróżnienie to ma najważniejsze znaczenie praktyczne, ponieważ nowa regulacja ustanawia mechanizm automatycznej wymiany danych między oboma systemami – czego nie przewidywał projekt październikowy w tak spójnej formie.

Nowy Rozdział 6a: SIGIIF w centrum systemu AML

To najistotniejsza zmiana strukturalna projektu z 21.5.2026 r. Materia dotycząca dostępu instytucji obowiązanych i jednostek współpracujących do SIGIIF została przeniesiona z rozproszonych przepisów do nowego, spójnego Rozdziału 6a obejmującego art. 71b–71l, które regulują, m.in.:

obowiązek uzyskania dostępu do SIGIIF (art. 71b projektowanej ustawy),
procedurę uzyskania dostępu – wniosek i weryfikacja (art. 71c projektowanej ustawy),
konto w SIGIIF i uprawnienia użytkowników (art. 71d projektowanej ustawy),
korespondencję dzięki SIGIIF (art. 71g projektowanej ustawy),
delegacje do rozporządzeń wykonawczych (art. 71k–71l projektowanej ustawy).

Mechanizm powiązania SIGIIF z CRBR – automatyczna wymiana danych

To absolutnie najważniejszy element nowej architektury. Projekt z 21.5.2026 r. wprowadza w art. 68a–68j projektowanej ustawy mechanizm, który eliminuje konieczność odrębnego logowania do dwóch systemów. Dostęp do danych z CRBR jest „bramkowany” przez SIGIIF.

Zasada działania

Instytucji obowiązanej udostępnia się informacje z art. 59 projektowanej ustawy, zgromadzone w CRBR po uzyskaniu przez tę instytucję dostępu do SIGIIF. Mechanizm ten działa następująco:

System CRBR (system z art. 55 projektowanej ustawy) przekazuje do SIGIIF dane niezbędne do uwierzytelnienia osób działających w imieniu instytucji „w CRBR”;
SIGIIF zwraca do systemu CRBR potwierdzenie danych identyfikujących instytucję obowiązaną;
SIGIIF potwierdza również informacje o uprawnieniach nadanych poszczególnym osobom;
Wymiana danych między CRBR a SIGIIF następuje automatycznie.

W praktyce oznacza to, iż instytucja obowiązana, która posiada dostęp do SIGIIF, nie musi odrębnie weryfikować swojego statusu przy każdym zapytaniu do CRBR – system automatycznie weryfikuje status i uprawnienia. Jednocześnie, odebranie instytucji dostępu do SIGIIF automatycznie blokuje dostęp do danych z CRBR. Widzimy więc, iż pierwszym i kluczowym zadaniem dla instytucji obowiązanych będzie uzyskanie dostępu do SIGIIF oraz wyznaczenie w nim osób, które będą upoważnione do korzystania z danych zgromadzonych chociażby w CRBR.

Jednocześnie, projekt przewiduje odejście od każdorazowego uwierzytelnienia poprzez publiczną infrastrukturę tożsamości (tzw. węzeł krajowy) na rzecz wewnętrznego uwierzytelniania w ramach samego CRBR – nie znamy jednak szczegółów technicznych tej zmiany.

CRBR – inne istotne zmiany

Projekt wprowadza również szereg innych zmian w zakresie funkcjonowania CRBR:

Ochrona beneficjentów rzeczywistych: możliwość wyłączenia dostępu do danych beneficjenta, który wykaże niewspółmierne ryzyko stania się ofiarą przestępstwa lub jest osobą bez pełnej umiejętności czynności prawnych.
Okres przechowywania danych: 5 lat z możliwością przedłużenia o kolejne maksymalnie 5 lat; dla danych zgromadzonych przed wejściem ustawy – 10 lat.
Uproszczenie zgłoszeń: zniesiono wymóg kwalifikowanego podpisu elektronicznego lub podpisu zaufanego; wystarczy oświadczenie o prawdziwości informacji.
Uzasadniony interes: udostępnianie informacji osobom wykazującym uzasadniony interes (domniemanie m.in. dla dziennikarzy, organizacji pożytku publicznego, pracowników uczelni, kontrahentów).
Nowy podmiot uprawniony: podmiot certyfikujący z ustawy z 5.8.2025 r. o certyfikacji wykonawców zamówień publicznych (Dz.U. z 2025 r. poz. 1235).

Pozostałe, istotne zmiany merytoryczne

Szczególne środki ograniczające (sankcje): dodanie do zakresu ustawy zasad stosowania sankcji związanych z przeciwdziałaniem terroryzmowi i rozprzestrzenianiu broni masowego rażenia.
Nowe produkty i technologie: obowiązek identyfikacji i oceny ryzyka przed udostępnieniem nowych produktów, usług lub kanałów dystrybucji.
Wstrzymanie transakcji: zmiana terminów – do 24 godzin nieprzeprowadzania transakcji; żądanie wstrzymania/blokady na okres do 96 godzin.
Kara pieniężna: do 50 000 zł za niedopełnienie obowiązku powiadomienia o ustaniu uzasadnionego interesu.

Harmonogram składania wniosków o dostęp do SIGIIF

Instytucje obowiązane prowadzące działalność na dzień 30.09.2026 r. muszą złożyć wnioski etapami:

do 7.10.2026 r. – banki i oddziały instytucji kredytowych;
8–21.10.2026 r. – instytucje płatnicze, firmy inwestycyjne, zakłady ubezpieczeń;
22–28.10.2026 r. – kolejna grupa instytucji;
29.10 – 11.11.2026 r. – pozostałe kategorie;
1.1 – 31.3.2027 r. – pozostałe podmioty, nie później niż przed pierwszym wykonaniem obowiązków z art. 72, 74, 76, 86, 89 ust. 8 lub 90 projektowanej ustawy.

Wnioski praktyczne

Należy przygotować się na SIGIIF już teraz. Termin złożenia wniosku o dostęp dla banków to zaledwie tydzień od wejścia projektowanej ustawy w życie. Warto już teraz zidentyfikować osoby odpowiedzialne za złożenie wniosku i zgromadzić niezbędne dane.
Warto śledzić rozporządzenia wykonawcze. najważniejsze szczegóły techniczne (sposób uwierzytelniania, format korespondencji) zostaną określone dopiero w rozporządzeniach wykonawczych.
Konieczna weryfikacja procesów KYC. Dostęp do CRBR zostanie „bramkowany” przez SIGIIF – bez aktywnego konta w SIGIIF instytucja nie będzie mogła weryfikować beneficjentów rzeczywistych w CRBR.
Zmiana uwierzytelniania. Odejście od węzła krajowego na rzecz uwierzytelniania „w CRBR” może wymagać dostosowania wewnętrznych procedur IT i compliance.
Pamiętajmy o sankcjach administracyjnych. Nieterminowe złożenie wniosku o dostęp do SIGIIF podlega karze administracyjnej. Nowa kara do 50 000 zł grozi również za brak powiadomienia o ustaniu uzasadnionego interesu w dostępie do CRBR.

Bartłomiej Gudek – adwokat w zespole White-Collar Crime kancelarii DLA Piper Giziński Kycia sp.k. Specjalizuje się w doradztwie dla podmiotów z sektora finansowego i niefinansowego w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu. Zainteresowany w szczególności analizą rozległych struktur kapitałowych, ustalaniem beneficjentów rzeczywistych oraz budowaniem skutecznych procedur KYC.

Idź do oryginalnego materiału