Відкритий банкінг — це сучасний підхід до фінансових послуг, який відкриває нові можливості для бізнесу та клієнтів. Завдяки спеціальним API (інтерфейсам прикладного програмування) банки надають доступ до своїх даних і сервісів надійним третім сторонам.

Це означає, що фінансові сервіси стають більш зручними, безпечними та інноваційними:

• клієнти можуть бачити всі свої рахунки в одному застосунку;
• легко здійснювати платежі та перекази;
• отримувати персоналізовані фінансові рішення.

Для бізнесу відкритий банкінг — це шлях до розвитку нових продуктів, покращення клієнтського досвіду та створення конкурентних переваг.

Просто кажучи, відкритий банкінг робить фінанси більш прозорими, доступними та орієнтованими на користувача.

Постанова НБУ №80 — це ключовий нормативний документ, ухвалений Національним банком України у 2025 році, який регламентує впровадження відкритого банкінгу в нашій державі.

Цим Положенням визначаються:

• правила та стандарти обміну фінансовими даними між банками й третіми сторонами за допомогою API;
• вимоги до безпеки, конфіденційності та захисту даних клієнтів;
• порядок роботи надавачів платіжних послуг (TPP), які отримують доступ до рахунків клієнтів;
• роль та контроль з боку Національного банку України.

Простими словами, Постанова №80 створює правову основу для відкритого банкінгу в Україні, наближаючи наш фінансовий сектор до європейських стандартів PSD2 та відкриваючи можливості для розвитку інноваційних сервісів.

RTS SCA (Regulatory Technical Standards on Strong Customer Authentication) — це регуляторні технічні стандарти Європейського банківського органу (EBA), які деталізують правила застосування сильної автентифікації клієнтів (SCA) у фінансових операціях.

RTS SCA — це набір правил, яких постачальники платіжних послуг (PSP) повинні дотримуватись, щоб відповідати вимогам Директиви PSD2. Їхня роль полягає у визначенні конкретних заходів безпеки, які в самій PSD2 були прописані лише у вигляді загальних принципів, а також у забезпеченні ефективної та захищеної комунікації між учасниками фінансового процесу.

SCA — це методологія, за допомогою якої PSD2 прагне зробити платежі більш захищеними. Її головна мета — зменшення шахрайства та захист клієнтів шляхом використання багатофакторної автентифікації під час ініціювання платежу.

Перевірка особи клієнта відбувається щонайменше за двома з трьох факторів:

• те, що ви знаєте (PIN-код, пароль);
• те, що ви маєте (банківська картка, мобільний телефон, апаратний токен);
• те, ким ви є (біометрія: відбиток пальця, розпізнавання обличчя, голос).

Для всіх дистанційних транзакцій потрібен унікальний код автентифікації, який динамічно пов’язує операцію з конкретною сумою та конкретним отримувачем, включаючи деталі платежу.

Можливі винятки з вимоги SCA:

• для віддалених платежів низької вартості;
• для безконтактних карткових операцій малої суми;
• на автоматизованих терміналах оплати транспортних послуг та паркування;
• для онлайн-транзакцій (карткових чи переказів) на користь «довірених отримувачів»;
• для корпоративних платежів, якщо використовуються спеціалізовані процеси та протоколи (за умови, що національний регулятор визнає їхній рівень безпеки достатнім);
• при перегляді онлайн-рахунку автентифікація потрібна лише вперше та кожні 90 днів.

CSC — це другий ключовий принцип, описаний у стандартах RTS. Він визначає правила комунікації між основними учасниками екосистеми відкритого банкінгу:

• TPP (Third Party Payment Service Providers) — сторонні надавачі платіжних послуг, які не мають власних рахунків клієнтів, але можуть надавати такі сервіси:
  • AISP (Account Information Service Provider) — постачальники сервісів з надання інформації про рахунки. Вони агрегують онлайн-дані з кількох платіжних рахунків, щоб надати клієнту єдину картину його фінансів та допомогти краще управляти грошима.
  • PISP (Payment Initiation Service Provider) — постачальники сервісів з ініціювання платежів, які можуть здійснювати платежі від імені клієнта.
• ASPSP (Account Servicing Payment Service Providers) — надавачі платіжних послуг з обслуговування рахунків (банки та інші фінансові установи, що відкривають рахунки клієнтам).

RTS CSC регламентує, яким чином відбувається доступ TPP (AISP чи PISP) до рахунку клієнта, що обслуговується ASPSP.

Він включає вимоги до:

• отримання згоди клієнта (Consent);
• використання захищеного каналу комунікації (Secure Communication Channel).

Простими словами, CSC забезпечує безпечний і прозорий обмін даними між банками та третіми сторонами, гарантуючи, що клієнт завжди контролює доступ до свого рахунку.

Berlin Group — це загальноєвропейська ініціатива зі створення стандартів інтероперабельності та гармонізації у сфері платежів. Її головна мета — визначити відкриті, уніфіковані та незалежні від конкретних схем чи процесингових центрів стандарти для взаємодії між банками-кредиторами (Acquirer) та банками-дебторами (Issuer) у міжбанківському середовищі.

Впровадження відкритого банкінгу в Україні безпосередньо базується на останніх версіях Berlin Group Standard. Це означає, що:

• Національний банк України у Постанові №80 заклав вимогу використовувати саме ці стандарти як основу для взаємодії між банками та третіми постачальниками послуг (TPP);
• завдяки гармонізації з європейськими правилами (PSD2) українська фінансова система інтегрується у єдиний простір відкритого банкінгу, що полегшує вихід українських банків і фінтех-компаній на європейський ринок;
• дотримання Berlin Group забезпечує єдиний підхід до безпеки, комунікаційних протоколів та форматів даних, що гарантує прозорість, надійність і довіру користувачів;
• для клієнтів це означає появу нових інноваційних сервісів — від агрегаторів рахунків до швидких і безпечних платіжних інструментів, які працюють за європейськими стандартами.

Україна, обираючи Berlin Group як основу для відкритого банкінгу, фактично синхронізує свої фінансові технології з ЄС, створює рівні умови для банків, фінтеху та стартапів, а також підвищує конкурентоспроможність на глобальному ринку.

Спеціалізовані інтерфейси — це набір RESTful API, які дозволяють стороннім надавачам платіжних послуг (TPP) отримувати доступ до інформації про рахунки та ініціювати платежі від імені користувачів платіжних послуг (PSU), за їхньої згоди та авторизації.

Цей інтерфейс відповідає вимогам Regulatory Technical Standards Європейського банківського органу (EBA-RTS), стандарту Berlin Group та Регуляціям з відкритого банкінгу Національного банку України.

Завдяки XS2A банки, фінтех-компанії та сервіси отримують уніфікований і безпечний канал взаємодії, що забезпечує прозорість, контроль користувача над власними даними та відповідність українському й європейському законодавству.

Простими словами, XS2A — це двері у світ відкритого банкінгу, які відкривають для клієнтів нові сервіси та роблять фінансові операції зручнішими й безпечнішими.

Процес реєстрації є простим і складається з кількох кроків:

1. Заповніть реєстраційну форму.
2. Після завершення реєстрації увійдіть у систему.
3. Під час першого входу портал запропонує налаштувати двофакторну автентифікацію (2FA):
   • відскануйте QR-код;
   • введіть одноразовий пароль, згенерований автентифікатором на вашому пристрої.
4. Після підтвердження система авторизує вас і надасть доступ до порталу.

Ми рекомендуємо спочатку ознайомитися з документацією API (на спеціалізовані інтерфейси), а потім перейти до програми тестування (Sandbox) і протестувати наші API-сервіси на тестових даних.

Базові спеціалізовані інтерфейси є повністю безкоштовними.

Так. Для більш детальної інформації рекомендуємо почитати Постанову №80 Національного банку України. Для використання Production спеціалізованих інтерфейсів треба мати відповідні кваліфікаційні сертифікати.

За допомогою API ви можете:

• отримати список рахунків;
• ініціювати перекази коштів від імені клієнта;
• отримати інформацію про залишки за вибраними рахунками;
• отримати деталі транзакцій за конкретним рахунком;
• підтвердити наявність коштів на рахунку.

Детальнішу інформацію можна знайти в документації API.

eIDAS (Electronic Identification and Trust Services for Electronic Transactions) — це європейський регламент щодо електронної ідентифікації та довірчих послуг. В Україні його положення поступово адаптовано через закон «Про електронні довірчі послуги» та регуляції Національного банку України, зокрема Постанову НБУ №80, яка затвердила Положення про відкритий банкінг.

QWAC в Україні

Сертифікати QWAC (Qualified Website Authentication Certificates) обов’язкові для роботи зі спеціалізованими інтерфейсами (API) в Україні.

Вони:

• гарантують захищений канал TLS між TPP та Банком,
• підтверджують автентичність та належність сертифіката конкретному учаснику,
• забезпечують цілісність і конфіденційність даних під час передачі.

При цьому, як і в ЄС, QWAC не надає юридично значущого підтвердження транзакцій — він лише підтверджує безпечний канал комунікації.
НБУ вимагає обов’язкового використання кваліфікованого сертифікату (QWAC) для Production-викликів у відкритому банкінгу.

QSealC в Україні

Сертифікати QSealC у національному правовому полі прирівнюються до електронної печатки. Вони підтверджують:

• достовірність походження даних (хто їх «підписав»),
• цілісність даних (що їх не змінювали після підпису),
• можливість пред’явлення таких даних у суді або третім сторонам як доказ.

QSealC у сфері відкритого банкінгу застосовуються для захисту даних на рівні застосунку, але не забезпечують конфіденційності (шифрування).
Кваліфікована печатка (QSealC) є поки опційною, але його використання рекомендується для додаткового захисту та підтвердження походження даних. Печатка буде буде обов'язковою згідно Постанови №80.