--- a/DU/2011/1175 Dz.U. 2024 poz. 731 (2025-06-28)
+++ b/DU/2011/1175 Dz.U. 2025 poz. 1069 (2025-08-07)
@@ -35,6 +35,7 @@
 Art. 2 pkt 9 | hybrydowa instytucja płatnicza – instytucję płatniczą wykonującą oprócz usług płatniczych, wydawania pieniądza elektronicznego lub działalności, o której mowa w art. 74 ust. 1 pkt 1 i 2 oraz ust. 3, inną działalność gospodarczą;
 Art. 2 pkt 9a | hybrydowe biuro usług płatniczych – biuro usług płatniczych wykonujące oprócz usługi płatniczej, o której mowa w art. 3 ust. 1 pkt 6, inną działalność gospodarczą;
 Art. 2 pkt 9aa | hybrydowa mała instytucja płatnicza – małą instytucję płatniczą wykonującą oprócz którejkolwiek z usług płatniczych, o których mowa w art. 3 ust. 1 pkt 1–6, lub działalności, o której mowa w art. 74 ust. 1 pkt 1 i ust. 3, inną działalność gospodarczą;
+Art. 2 pkt 9ab | ICT – technologie informacyjno-komunikacyjne, o których mowa w przepisach rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniającego rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz. Urz. UE L 333 z 27.12.2022, str. 1, z późn. zm.), zwanym dalej „rozporządzeniem 2022/2554”;
 Art. 2 pkt 9b | identyfikator dostawcy – kombinację cyfr pozwalającą na jednoznaczne zidentyfikowanie dostawcy usług płatniczych prowadzącego rachunki płatnicze i uczestniczącego w systemach płatności, o którym mowa w art. 4 ust. 2 pkt 4–6, 8 i 9;
 Art. 2 pkt 9c | incydent – niespodziewane zdarzenie, które ma niekorzystny wpływ na integralność, dostępność, poufność, autentyczność lub ciągłość świadczenia usług płatniczych albo stwarza znaczne prawdopodobieństwo, że taki wpływ będzie mieć, lub serię takich zdarzeń;
 Art. 2 pkt 9d | indywidualne dane uwierzytelniające – indywidualne dane zapewniane użytkownikowi przez dostawcę usług płatniczych do celów uwierzytelnienia;
@@ -204,7 +205,7 @@
 Art. 6 pkt 7 lit. g | przekazu pocztowego w rozumieniu aktów Światowego Związku Pocztowego;
 Art. 6 pkt 8 | transakcji płatniczych dokonywanych w ramach systemu płatności lub w ramach systemu rozrachunku papierów wartościowych, o którym mowa w art. 1 pkt 2 ustawy o ostateczności rozrachunku;
 Art. 6 pkt 9 | transakcji płatniczych dokonywanych w związku z obsługą instrumentów finansowych i wynikających z nich praw, w tym dywidend, innych dochodów, oraz transakcji dokonywanych w związku ze sprzedażą lub umorzeniem papierów wartościowych, w szczególności dokonywanych przez podmioty wymienione w pkt 8 lub podmioty podlegające nadzorowi sprawowanemu na podstawie ustawy z dnia 21 lipca 2006 r. o nadzorze nad rynkiem finansowym (Dz. U. z 2024 r. poz. 135 oraz z 2025 r. poz. 146), zwanej dalej „ustawą o nadzorze nad rynkiem finansowym”;
-Art. 6 pkt 10 | usług świadczonych przez dostawców usług technicznych, wspierających świadczenie usług płatniczych, jeżeli nie wchodzą oni w posiadanie środków pieniężnych będących przedmiotem transakcji płatniczej, w szczególności usług przetwarzania i przechowywania danych, usług powierniczych i ochrony prywatności, usług przekazywania między płatnikiem a odbiorcą informacji o transakcji płatniczej, uwierzytelniania danych i podmiotów, dostarczania technologii informatycznych (IT) i sieci komunikacyjnych, dostarczania i utrzymania terminali i urządzeń wykorzystywanych do świadczenia usług płatniczych, z wyjątkiem usług inicjowania transakcji płatniczej i usług dostępu do informacji o rachunku;
+Art. 6 pkt 10 | usług świadczonych przez dostawców usług technicznych, wspierających świadczenie usług płatniczych, jeżeli nie wchodzą oni w posiadanie środków pieniężnych będących przedmiotem transakcji płatniczej, w szczególności usług przetwarzania i przechowywania danych, usług powierniczych i ochrony prywatności, uwierzytelniania danych i podmiotów, ICT, dostarczania technologii informatycznych i sieci komunikacyjnych, dostarczania i utrzymania terminali i urządzeń wykorzystywanych do świadczenia usług płatniczych, z wyjątkiem usług inicjowania transakcji płatniczej i usług dostępu do informacji o rachunku;
 Art. 6 pkt 11 | usług opartych na instrumentach płatniczych, które można wykorzystywać jedynie w ograniczony sposób i które spełniają co najmniej jeden z poniższych warunków:
 Art. 6 pkt 11 lit. a | pozwalają posiadaczowi nabywać towary lub usługi wyłącznie w placówkach wydawców tych instrumentów lub w ramach ograniczonej sieci podmiotów związanych umową handlową bezpośrednio z zawodowym wydawcą tych instrumentów,
 Art. 6 pkt 11 lit. b | służą wyłącznie do nabywania bardzo ograniczonego zakresu towarów lub usług,
@@ -600,6 +601,7 @@
 Art. 32g ust. 2 | Jeżeli incydent, o którym mowa w ust. 1, ma lub może mieć wpływ na interesy finansowe użytkowników, dostawca bez zbędnej zwłoki powiadamia o incydencie użytkowników korzystających z usług tego dostawcy oraz informuje ich o dostępnych środkach, które mogą podjąć w celu ograniczenia negatywnych skutków incydentu.
 Art. 32g ust. 3 | Informację, o której mowa w ust. 1, KNF lub inny właściwy organ nadzoru przekazują niezwłocznie EUNB i EBC, a jeżeli incydent ma znaczenie dla organu nadzoru innego państwa członkowskiego – także temu organowi.
 Art. 32g ust. 4 | Jeżeli KNF lub inny właściwy organ nadzoru otrzyma od EUNB lub EBC informację o incydencie, który ma znaczenie dla krajowego rynku finansowego, niezwłocznie podejmuje niezbędne działania w celu ochrony bezpieczeństwa systemu finansowego.
+Art. 32ga | Przepisów art. 32g nie stosuje się do dostawców, o których mowa w art. 4 ust. 2 pkt 1–4, 6 i 9–12.
 Art. 32h ust. 1 | Dostawca, o którym mowa w art. 4 ust. 2 pkt 1–4, 6, 9, 11 i 12, w okresach półrocznych, w terminie do końca miesiąca następującego po danym półroczu, przekazuje KNF lub innemu właściwemu organowi nadzoru nad tym dostawcą dane dotyczące oszustw związanych z wykonywanymi usługami płatniczymi, uwzględniając różne sposoby świadczenia usług płatniczych.
 Art. 32h ust. 2 | Na podstawie danych otrzymanych zgodnie z ust. 1, KNF oraz inny właściwy organ nadzoru, w terminie do dnia 30 czerwca danego roku, przekazują EUNB i EBC zbiorcze dane dotyczące oszustw związanych z wykonywanymi usługami płatniczymi, uwzględniając różne sposoby świadczenia usług płatniczych.
 Art. 32i ust. 1 | Dostawca stosuje silne uwierzytelnianie użytkownika, w przypadku gdy płatnik:
@@ -1004,7 +1006,7 @@
 Art. 61 ust. 1 pkt 3 | wykaz usług płatniczych, które zamierza świadczyć;
 Art. 61 ust. 1 pkt 4 | program działalności i plan finansowy na okres co najmniej trzyletni, z których wynika, że wnioskodawca jest w stanie zastosować odpowiednie i proporcjonalne systemy, zasoby i procedury niezbędne do prawidłowego prowadzenia działalności;
 Art. 61 ust. 1 pkt 5 | dokumenty potwierdzające posiadanie funduszy własnych w wymaganej wysokości;
-Art. 61 ust. 1 pkt 6 | opis systemu zarządzania ryzykiem i kontroli wewnętrznej, o którym mowa w art. 64 ust. 1 pkt 3, w tym zatwierdzone regulacje wewnętrzne w tym zakresie;
+Art. 61 ust. 1 pkt 6 | opis systemu zarządzania ryzykiem i kontroli wewnętrznej, o którym mowa w art. 64 ust. 1 pkt 3, zatwierdzone regulacje wewnętrzne w tym zakresie oraz ustalenia dotyczące korzystania z usług ICT w rozumieniu art. 3 pkt 21 rozporządzenia 2022/2554, wykazujące, że te zasady zarządzania ryzykiem i mechanizmy kontroli wewnętrznej są proporcjonalne, właściwe, rzetelne i adekwatne;
 Art. 61 ust. 1 pkt 6a | opis bliskich powiązań między wnioskodawcą a innymi podmiotami, jeżeli takie powiązania istnieją;
 Art. 61 ust. 1 pkt 7 | (uchylony)
 Art. 61 ust. 1 pkt 8 | dane pozwalające na ustalenie tożsamości osób zarządzających oraz osób, które bezpośrednio lub pośrednio posiadają znaczny pakiet akcji lub udziałów w spółce lub spółdzielni zamierzającej wykonywać usługi płatnicze, ze wskazaniem wielkości należącego do nich pakietu akcji lub udziałów, obejmujące:
@@ -1060,16 +1062,16 @@
 Art. 64a ust. 1 pkt 3 lit. b | badanie zgodności prowadzonej działalności z ustawą, przepisami o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu oraz regulacjami wewnętrznymi;
 Art. 64a ust. 1 pkt 4 | opis:
 Art. 64a ust. 1 pkt 4 lit. a | zasad postępowania ze środkami pieniężnymi przyjmowanymi od użytkowników w celu wykonania transakcji płatniczych zgodnie z art. 78,
-Art. 64a ust. 1 pkt 4 lit. b | procedur monitorowania incydentów związanych z bezpieczeństwem oraz monitorowania i rozpatrywania skarg użytkowników, w tym skarg związanych z bezpieczeństwem, a także działań następczych w przypadku wystąpienia takich incydentów i skarg, wraz z mechanizmem zgłaszania incydentów uwzględniającym obowiązki instytucji płatniczej w zakresie zgłaszania, o których mowa w art. 32g i art. 32h,
+Art. 64a ust. 1 pkt 4 lit. b | procedur monitorowania incydentów związanych z bezpieczeństwem oraz monitorowania i rozpatrywania skarg użytkowników, w tym skarg związanych z bezpieczeństwem, a także działań następczych w przypadku wystąpienia takich incydentów i skarg, wraz z mechanizmem zgłaszania incydentów uwzględniającym obowiązki instytucji płatniczej w zakresie zgłaszania, o których mowa w przepisach rozdziału III rozporządzenia 2022/2554,
 Art. 64a ust. 1 pkt 4 lit. c | systemu komunikacji wewnętrznej,
 Art. 64a ust. 1 pkt 4 lit. d | procedury wprowadzonej w celu włączania do dokumentacji, monitorowania i śledzenia szczególnie chronionych danych dotyczących płatności oraz ograniczenia dostępu do tych danych,
-Art. 64a ust. 1 pkt 4 lit. e | rozwiązań zapewniających ciągłość działania, w tym wyczerpujące i dokładne określenie krytycznych operacji oraz określenie skutecznych planów awaryjnych i procedury na potrzeby regularnego weryfikowania i przeglądu adekwatności i skuteczności takich planów,
+Art. 64a ust. 1 pkt 4 lit. e | rozwiązań zapewniających ciągłość działania, w tym wyczerpujące i dokładne określenie krytycznych operacji oraz określenie skutecznych planów awaryjnych i procedury na rzecz ciągłości działania w zakresie ICT oraz planów reagowania i przywracania sprawności ICT, a także procedury na potrzeby regularnego weryfikowania i przeglądu adekwatności i skuteczności takich planów zgodnie z przepisami rozporządzenia 2022/2554,
 Art. 64a ust. 1 pkt 4 lit. f | zasad i definicji stosowanych do gromadzenia danych statystycznych dotyczących wyników, transakcji i oszustw,
 Art. 64a ust. 1 pkt 4 lit. g | strategii w zakresie bezpieczeństwa wraz ze szczegółową oceną ryzyka w odniesieniu do świadczonych przez wnioskodawcę usług płatniczych oraz środków kontroli bezpieczeństwa i ograniczania ryzyka podjętych w celu odpowiedniej ochrony użytkowników przed zidentyfikowanym ryzykiem, w tym oszustwami i nielegalnym wykorzystywaniem szczególnie chronionych danych i danych osobowych,
 Art. 64a ust. 1 pkt 4 lit. h | mechanizmów kontroli wewnętrznej.
 Art. 64a ust. 2 | Rozwiązania organizacyjne, o których mowa w ust. 1 pkt 1, powinny być uwzględnione w szczególności w opisie, o którym mowa w ust. 1 pkt 4.
 Art. 64a ust. 3 | Kontrola wewnętrzna, o której mowa w ust. 1 pkt 3, obejmuje w szczególności procedury kontroli wykonywania transakcji płatniczych, kontroli podmiotów, którym powierzono wykonywanie niektórych czynności operacyjnych, oraz kontroli, które wnioskodawca zobowiązuje się przeprowadzać w stosunku do agentów i oddziałów krajowej instytucji płatniczej co najmniej raz w roku, w tym kontroli przeprowadzanych bezpośrednio u agenta oraz w oddziale.
-Art. 64a ust. 3a | Środki kontroli bezpieczeństwa i ograniczania ryzyka, o których mowa w ust. 1 pkt 4 lit. g, wskazują sposób zapewnienia wysokiego poziomu bezpieczeństwa technicznego i ochrony danych, w tym w odniesieniu do oprogramowania i systemów informatycznych stosowanych przez wnioskodawcę lub podmiot, któremu wnioskodawca powierzył wykonywanie całości albo części czynności operacyjnych. Środki te obejmują również środki bezpieczeństwa, o których mowa w dziale IIa.
+Art. 64a ust. 3a | Środki kontroli bezpieczeństwa i ograniczania ryzyka, o których mowa w ust. 1 pkt 4 lit. g, wskazują sposób zapewnienia wysokiego poziomu operacyjnej odporności cyfrowej zgodnie z przepisami rozdziału II rozporządzenia 2022/2554, w szczególności w zakresie bezpieczeństwa technicznego i ochrony danych, w tym w odniesieniu do oprogramowania i systemów ICT stosowanych przez wnioskodawcę lub podmiot, któremu wnioskodawca powierzył wykonywanie całości albo części czynności operacyjnych. Środki te obejmują również środki bezpieczeństwa, o których mowa w przepisach działu IIa.
 Art. 64a ust. 3b | Instytucja płatnicza, stosując środki kontroli bezpieczeństwa i ograniczania ryzyka, o których mowa w ust. 3a, uwzględnia wytyczne wydane w tym zakresie przez EUNB.
 Art. 64a ust. 4 | Instytucja płatnicza na bieżąco weryfikuje i okresowo ocenia sposób funkcjonowania systemu zarządzania ryzykiem i kontroli wewnętrznej.
 Art. 64a ust. 5 | (uchylony)
@@ -1280,7 +1282,7 @@
 Art. 86 ust. 2 | Krajowa instytucja płatnicza prowadzi ewidencję umów, o których mowa w ust. 1, zawierającą dane identyfikacyjne przedsiębiorcy, zakres powierzonych czynności i miejsce ich wykonywania oraz okres obowiązywania umowy.
 Art. 86 ust. 3 | W przypadku gdy umowa, o której mowa w ust. 1, przewiduje powierzenie wykonywania istotnych czynności operacyjnych, krajowa instytucja płatnicza zawiadamia KNF o zamiarze zawarcia takiej umowy oraz o każdej jej zmianie, rozwiązaniu lub o jej wygaśnięciu, co najmniej na 14 dni przed jej zawarciem, zmianą, rozwiązaniem lub wygaśnięciem.
 Art. 86 ust. 4 | Czynność operacyjną uznaje się za istotną, jeżeli jej niewykonanie lub niewłaściwe wykonanie mogłoby w poważnym stopniu zagrozić ciągłości spełniania przez krajową instytucję płatniczą wymogów, od których było uzależnione wydanie zezwolenia, lub wykonywania innych obowiązków nałożonych na instytucję płatniczą przez ustawę, lub zagrażałoby jej wynikom finansowym, rzetelności lub ciągłości świadczonych przez nią usług płatniczych lub wykonywania działalności w zakresie wydawania pieniądza elektronicznego.
-Art. 86 ust. 5 | Krajowa instytucja płatnicza może powierzyć innemu przedsiębiorcy wykonywanie istotnych czynności operacyjnych, jeżeli powierzenie wykonywania czynności nie wpłynie niekorzystnie na prowadzenie przez krajową instytucję płatniczą działalności zgodnie z przepisami prawa i wydanym jej zezwoleniem oraz na ostrożne i stabilne zarządzanie krajową instytucją płatniczą oraz:
+Art. 86 ust. 5 | Krajowa instytucja płatnicza może powierzyć innemu przedsiębiorcy wykonywanie istotnych czynności operacyjnych, w tym związanych z systemami ICT, jeżeli nie wpłynie to niekorzystnie na prowadzenie przez krajową instytucję płatniczą działalności zgodnie z przepisami prawa i wydanym jej zezwoleniem oraz na ostrożne i stabilne zarządzanie krajową instytucją płatniczą oraz jeżeli:
 Art. 86 ust. 5 pkt 1 | przedsiębiorca posiada uprawnienia do wykonywania czynności w zakresie przedmiotu umowy, jeżeli z przepisów prawa wynika obowiązek posiadania takich uprawnień, albo zajmuje się wykonywaniem tych czynności w sposób zawodowy;
 Art. 86 ust. 5 pkt 2 | przedsiębiorca posiada niezbędną wiedzę i doświadczenie oraz zapewnia warunki techniczne i organizacyjne niezbędne do prawidłowego wykonywania umowy, o której mowa w ust. 1;
 Art. 86 ust. 5 pkt 3 | sytuacja finansowa przedsiębiorcy pozwala na prawidłowe wykonywanie umowy, o której mowa w ust. 1;