Licence PSD2: jak náročné je získat povolení v Česku

Získat licenci podle PSD2 v České republice je náročné hlavně organizačně a administrativně, méně už kapitálově. Povolení uděluje Česká národní banka (ČNB), žádost se podává pouze elektronicky a zákonná lhůta pro rozhodnutí je tři měsíce, jenže běží až od chvíle, kdy je žádost kompletní. Reálně tak čas zabere především příprava dokumentace: obchodní plán, systém řízení a kontroly, bezpečnostní postupy a doložení kapitálu. Zároveň platí, že ne každé napojení na bankovní účty licenci vyžaduje. Záleží na tom, jakou službu a pro koho chcete poskytovat.

Co PSD2 vyžaduje a proč vzniká licence

PSD2 je evropská směrnice o platebních službách, nikoli technický standard ani konkrétní bankovní API. V Česku je převedena do zákona o platebním styku (370/2017 Sb.). Právě tento zákon ukládá bankám, které vedou účty přístupné přes internet, povinnost umožnit poskytovatelům služeb iniciace platby (PIS) a informování o účtu (AIS) přístup k účtu klienta, a to se souhlasem klienta. Z toho vznikla bankovní rozhraní, přes která se třetí strany (TPP) k účtům dostávají.

Licence je protipólem téhož pravidla. Banka musí třetí straně přístup umožnit, ale třetí strana zase musí být státem prověřeným regulovaným subjektem. Nahlížet na cizí účty nebo za klienta posílat platby je citlivá činnost, proto ČNB zkoumá, kdo za firmou stojí, jak zajišťuje bezpečnost a zda má dost kapitálu a kapacit.

Typy oprávnění v České republice

Slovo „licence“ se v diskusích používá volně. Ve skutečnosti existuje několik různých režimů, které se liší nárokem na kapitál i rozsahem činnosti:

Důležitý rozdíl: poskytovatel malého rozsahu nesmí poskytovat službu informování o platebním účtu. Kdo chce na základě souhlasu klientů číst data z jejich účtů přes API bank jako samostatnou službu, potřebuje povolení ČNB jako správce informací o platebním účtu. Jde o pasivní službu, která s klientovým souhlasem umožňuje nahlížet na jeho účty.

Registrace malého rozsahu je pohodlnější cesta jen pro určitý typ podnikání. Průměr transakcí nesmí měsíčně překročit 3 miliony eur a žadatel musí být společnost se sídlem v ČR. Na PIS ani AIS pro širší trh ale tato cesta nestačí.

Požadavky na kapitál, bezpečnost a organizaci

Počáteční kapitál

Výše kapitálu platební instituce se podle ČNB odvíjí od rozsahu služeb:

• 20 000 eur při pouhém poukazování peněz,
• 50 000 eur u služby nepřímého dání platebního příkazu, tedy PIS,
• 125 000 eur u ostatních služeb.

ČNB přitom zkoumá nejen výši, ale i transparentní původ kapitálu. Pro registraci malého rozsahu povinný minimální kapitál neplatí.

U poskytovatelů PIS a AIS se počítá také s pojištěním odpovědnosti. Přesnou minimální částku si ověřte přímo v zákoně a u ČNB, v tomto textu ji neuvádíme.

Co musí obsahovat žádost

Náležitosti žádosti stanoví vyhláška č. 1/2022 Sb. Žádost zahrnuje zejména:

• obchodní plán,
• doložení základního kapitálu,
• řídící a kontrolní systém,
• mechanismy vnitřní správy a kontroly,
• popis bezpečnostních postupů.

ČNB zveřejnila metodiku k posuzování žádostí (aktualizovaná verze z května 2025). Podle ní se hodnotí mimo jiné počáteční kapitál, kvalifikované účasti, vedoucí osoby a dostatečné kapacity a vybavení žadatele. Je tedy nutné doložit nejen peníze, ale i bezúhonnost a odbornost lidí v čele společnosti a skutečné personální a technické zázemí.

Certifikáty pro komunikaci s bankami

Vedle samotného povolení potřebuje TPP technické prostředky k identifikaci vůči bance. Podle regulačních technických norem se opírá o kvalifikované certifikáty podle nařízení eIDAS:

• QWAC zajišťuje zabezpečený kanál mezi bankou a TPP,
• QSealC zaručuje autenticitu a integritu přenášených dat.

Kvalifikované PSD2 certifikáty smějí vydávat jen kvalifikovaní poskytovatelé služeb vytvářejících důvěru (QTSP). QWAC se vydává zpravidla na 395 dní a QSeal na 730 dní, certifikáty je proto nutné pravidelně obnovovat. Je to další provozní povinnost, na kterou se při plánování často zapomíná.

Průběh žádosti u ČNB a jak dlouho trvá

Postup má zhruba tyto kroky:

1. Volba režimu. Rozhodnete, zda stačí registrace malého rozsahu, nebo potřebujete povolení platební instituce či SIPÚ.
2. Příprava podkladů. Zpracujete obchodní plán, nastavíte řízení a kontrolu, popíšete bezpečnostní postupy a doložíte kapitál i jeho původ.
3. Elektronické podání žádosti. Jiná forma než elektronická není možná.
4. Posouzení ČNB. Dohled kontroluje splnění podmínek podle zákona, vyhlášky a vlastní metodiky.
5. Doplňování. Pokud žádost obsahuje vady nebo jí něco chybí, vyzve vás ČNB k nápravě.
6. Rozhodnutí. ČNB rozhoduje do 3 měsíců od zahájení řízení.

Rozhodující je ale právě ta drobnost: lhůta tří měsíců běží až od okamžiku, kdy je žádost kompletní a bez vad. Čas strávený přípravou před podáním a případným doplňováním se do ní nepočítá. Celková doba od prvního nápadu po držení povolení je tedy delší než zákonná lhůta a závisí hlavně na kvalitě podkladů. Spolehlivé průměrné číslo za celý proces nelze obecně uvést.

Finanční a časová náročnost celého procesu

Náklady se skládají z několika vrstev a jen část z nich je vidět předem:

• Kapitál. Výše uvedené počáteční minimum musí být doložené a k dispozici. Je to požadavek, ne výdaj, ale váže prostředky.
• Příprava žádosti. Obchodní plán, vnitřní předpisy, popis bezpečnosti a řízení rizik většinou vyžadují právní a compliance know-how. Rozsah těchto nákladů se liší případ od případu.
• Lidé. Vedoucí osoby musí splnit nároky na odbornost a bezúhonnost a firma musí mít skutečné kapacity.
• Technika a certifikáty. Pořízení a pravidelná obnova kvalifikovaných certifikátů, vývoj napojení na API bank, zabezpečení a provoz.
• Správní poplatky a pojištění. Jejich aktuální výši ověřte u ČNB a pojišťoven.

Obtížnost tedy neleží v jedné vysoké položce, ale v součtu povinností. Malý tým si musí vybudovat funkční regulovanou firmu ještě před tím, než vydělá první korunu.

Co licence přináší pro integrace s bankovními účty

Hlavní přínos je právní: s povolením získáváte nárok, aby vám banka umožnila přístup k účtům klientů, kteří vám k tomu dají souhlas. Banka vás nesmí zbytečně brzdit. ČNB v tomto směru zveřejnila stanovisko k zakázaným překážkám pro třetí strany:

• banky nesmí po TPP požadovat dodatečné registrace nad rámec technicky nezbytného,
• u samostatné služby PIS má být pro iniciaci platby požadováno jediné silné ověření klienta (SCA),
• u kombinované služby PIS a AIS lze požadovat dvojí SCA.

V praxi z toho plyne několik věcí. Technická integrace není jednorázová: každá banka má vlastní rozhraní a vlastní postup napojení, takže práci nelze plně sdílet mezi bankami. Přístup stojí na certifikátech, jejichž platnost vyprší, a na souhlasu klienta, který je třeba správně získat a evidovat. Konkrétní technické detaily, například jaké údaje musí certifikát obsahovat nebo ke kterým API je vázán, určuje každá banka ve své dokumentaci a liší se.

Kdy licenci nepotřebujete

Častá otázka z technických diskusí zní, zda je licence nutná, když chce firma jen načítat přehled transakcí z vlastních účtů do svého informačního systému. Regulace míří na služby poskytované třetím osobám na základě jejich souhlasu. Firma, která pracuje s vlastními účty, obvykle jedná jinak než správce informací o účtu pro cizí klienty. Přesné posouzení konkrétní situace ale patří právníkovi nebo přímo bance, zejména proto, že nabídka rozhraní pro firemní klienty se u jednotlivých bank liší. Totéž platí pro alternativy k API, například automatické notifikace o transakcích. Zda je konkrétní banka nabízí, si ověřte u ní.

Reálná očekávání: délka implementace a na co si dát pozor

Přesnou dobu, za jakou se dá napojit na API konkrétní banky, nelze obecně slíbit. Celý projekt se skládá z několika po sobě jdoucích etap:

1. rozhodnutí o režimu a příprava žádosti,
2. řízení u ČNB,
3. pořízení certifikátů a registrace u jednotlivých bank,
4. vývoj a testování napojení,
5. provoz včetně obnovy certifikátů a správy souhlasů klientů.

Kdo plánuje harmonogram, měl by počítat s tím, že licence je jen jedna z podmínek a technická část se nedá dělat v celém rozsahu předem, dokud není jasné, jaký typ oprávnění firma získá.

Na co si dát pozor

• Nezaměňujte typy oprávnění. Registrace malého rozsahu nedovoluje AIS. Špatná volba režimu stojí měsíce.
• Nepodceňujte kompletnost žádosti. Lhůta tří měsíců začíná až u bezvadné žádosti.
• Počítejte s obnovou certifikátů. QWAC a QSeal mají omezenou platnost a výpadek znamená přerušení služby.
• Řešte kapitál včas. ČNB zkoumá nejen jeho výši, ale i původ.
• Ověřte si aktuální stav. Metodika a stanoviska ČNB se vyvíjejí, proto vycházejte z jejich nejnovějších verzí.

Tento text je informativní přehled, nikoli právní ani regulatorní poradenství. Před podáním žádosti nebo spuštěním služby doporučujeme konzultaci s advokátem nebo poradcem se zkušeností s licenčním řízením u ČNB.

Licenci nikdy nepodceňujte jako formalitu, spíš ji berte jako dlouhodobý projekt, do kterého patří i důkladná příprava vnitřních procesů a zabezpečení.

Poradce pro platební služby

Shrnutí

Licence podle PSD2 v ČR není ani nedosažitelná, ani triviální. Kapitálové minimum je u PIS relativně nízké, ale žadatel musí zvládnout organizační, bezpečnostní i personální požadavky a poté udržovat technické napojení včetně certifikátů. Pro rozumný plán je klíčové správně určit, jakou službu chcete poskytovat, tomu přizpůsobit typ oprávnění a počítat s tím, že skutečná doba projektu je delší než tříměsíční lhůta, kterou má ČNB na rozhodnutí.