Projekt ustawy o zmianie ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (nr z wykazu: UC75) został przyjęty przez Stały Komitet Rady Ministrów i skierowany do rozpatrzenia przez Komisję Prawniczą. Projekt pozostaje zatem na etapie rządowym – nie został dotychczas przyjęty przez Radę Ministrów ani skierowany do Sejmu – jednak wersja z 1.7.2026 r. jest na tyle zaawansowana, że instytucje obowiązane powinny zwrócić na nią uwagę. Zgodnie z projektowanym art. 12 ustawa ma wejść w życie 1.10.2026 r., a dla pierwszej grupy instytucji obowiązanych termin złożenia wniosku o dostęp do nowego systemu teleinformatycznego GIIF upłynie już 7.10.2026 r.
Kontekst legislacyjny
Projekt przewiduje uzupełnienie bądź zmianę przepisów ustawy z 1.3.2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz.U. z 2025 r. poz. 644; dalej: ustawa AML) w celu implementacji dyrektywy Parlamentu Europejskiego i Rady (UE) 2024/1640 z 31.5.2024 r. w sprawie mechanizmów, które państwa członkowskie powinny wprowadzić w celu zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu (Dz.Urz. UE L z 2024 r., s. 1640; dalej: dyrektywa 2024/1640), a więc tej części zbliżającego się unijnego pakietu AML, która wymaga transpozycji do prawa krajowego. Projekt służy ponadto stosowaniu unijnych rozporządzeń sankcyjnych, w tym rozporządzenia Rady (UE) nr 267/2012 w sprawie środków ograniczających wobec Iranu oraz rozporządzenia Rady (UE) 2017/1509 dotyczącego środków ograniczających skierowanych przeciwko Koreańskiej Republice Ludowo-Demokratycznej.
Projektowane zmiany układają się w trzy zasadnicze obszary: wdrożenie nowego systemu teleinformatycznego służącego przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (SIGIIF 2.0), przebudowę zasad dostępu do Centralnego Rejestru Beneficjentów Rzeczywistych (CRBR) oraz rozszerzenie szczególnych środków ograniczających o środki stosowane w celu przeciwdziałania rozprzestrzenianiu broni masowego rażenia oraz finansowaniu jej rozprzestrzeniania (będące pokłosiem rekomendacji FATF nr 7).
SIGIIF 2.0 – jednokrotna identyfikacja instytucji obowiązanej
Największe znaczenie praktyczne dla rynku mają zmiany wynikające z wprowadzenia nowego rozdziału 6a ustawy AML (art. 71b–71l), regulującego system teleinformatyczny oparty na oprogramowaniu goAML autorstwa Biura Narodów Zjednoczonych ds. Narkotyków i Przestępczości (UNODC). Dotychczasowy formularz identyfikujący z art. 77 ustawy AML zostaje zastąpiony obowiązkiem uzyskania dostępu do SIGIIF – każda instytucja obowiązana, przed nawiązaniem pierwszych stosunków gospodarczych albo przeprowadzeniem pierwszej transakcji okazjonalnej, będzie zobowiązana przekazać wniosek zawierający dane identyfikujące (m.in. firmę, NIP, rodzaj instytucji obowiązanej, numer wpisu do właściwego rejestru oraz informację o pracowniku wyznaczonym na podstawie art. 8 ustawy AML) wraz z oświadczeniem o prawdziwości informacji składanym pod rygorem odpowiedzialności karnej, a następnie uzyskać potwierdzenie Generalnego Inspektora Informacji Finansowej. Jeżeli wniosek przekazuje osoba, której umocowanie nie wynika z rejestru dostępnego GIIF drogą elektroniczną, konieczne będzie załączenie dokumentu potwierdzającego wyznaczenie, opatrzonego podpisem elektronicznym osób uprawnionych do reprezentacji. W związku z uzyskaniem dostępu w SIGIIF tworzone jest konto instytucji obowiązanej, w ramach którego instytucja zarządza uprawnieniami swoich użytkowników.
Od 1.1.2027 r. za pośrednictwem SIGIIF prowadzona będzie zasadnicza korespondencja z GIIF (art. 71g), obejmująca informacje ponadprogowe z art. 72 wraz z korektami, zawiadomienia z art. 74, art. 86 i art. 90 ustawy AML, informacje i dokumenty przekazywane na żądanie GIIF na podstawie art. 76, a także żądania wstrzymania transakcji lub blokady rachunku i zwolnienia z art. 86. SIGIIF 2.0 nie będzie natomiast obsługiwał informacji niejawnych.
Istotna jest również relacja SIGIIF z CRBR. Zgodnie z projektowanym art. 68c udostępnienie instytucji obowiązanej informacji zgromadzonych w CRBR uzależnione będzie od uprzedniego uzyskania przez nią dostępu do SIGIIF – instytucja identyfikuje się jednokrotnie w SIGIIF i w tym systemie nadaje wyznaczonym osobom uprawnienia do wykonywania czynności zarówno w SIGIIF, jak i w CRBR, a wymiana danych między systemami następuje automatycznie. Odebranie dostępu do SIGIIF – w szczególności wskutek utraty statusu instytucji obowiązanej – skutkuje jednocześnie zablokowaniem dostępu do danych z CRBR.
Dla instytucji prowadzących działalność na dzień 30.9.2026 r. projekt przewiduje etapowy harmonogram składania wniosków: do 7.10.2026 r. – banki i oddziały instytucji kredytowych; od 8 do 21.10.2026 r. – m.in. instytucje płatnicze, firmy inwestycyjne i zakłady ubezpieczeń; kolejne kategorie – odpowiednio do 28.10.2026 r. i do 11.11.2026 r.; instytucje, które dotychczas nie składały formularza identyfikującego – od 1.1.2027 r. do 31.3.2027 r., nie później jednak niż przed pierwszym wykonaniem obowiązków raportowych.
CRBR – dostęp uzależniony od wykazania uzasadnionego interesu
Projekt uchyla art. 67 ustawy AML statuujący jawność CRBR. W jego miejsce – w ślad za dyrektywą 2024/1640, stanowiącą pokłosie wyroku TSUE w sprawach połączonych C-37/20 i C-601/20 – wprowadzony zostaje model dwutorowy: dostęp bezpośredni zachowają organy publiczne wskazane w rozbudowanym katalogu art. 68a ust. 1 pkt 1 (obejmującym obok organów krajowych również AMLA, Prokuraturę Europejską, OLAF, Europol i Eurojust) oraz instytucje obowiązane na potrzeby stosowania środków bezpieczeństwa finansowego, natomiast pozostali wnioskodawcy będą zobowiązani wykazać uzasadniony interes związany z zapobieganiem lub zwalczaniem prania pieniędzy, finansowania terroryzmu lub przestępstw bazowych. Organ ustala uzasadniony interes na podstawie dwóch kryteriów łącznie: funkcji lub zawodu wnioskodawcy oraz jego związku z podmiotem, którego dotyczy wniosek. Katalog podmiotów objętych domniemaniem uzasadnionego interesu (art. 68d ust. 2) obejmuje m.in. dziennikarzy, organizacje pozarządowe i środowisko akademickie – zwolnione z wykazywania związku z konkretnym podmiotem – a także kontrahentów, którzy prawdopodobnie zawrą transakcję z podmiotem wpisanym do CRBR, zamawiających w rozumieniu Prawa zamówień publicznych oraz dostawców narzędzi AML działających na rzecz instytucji obowiązanych.
Wniosek rozpatrywany będzie co do zasady w terminie 12 dni, z możliwością wydłużenia łącznie o 24 dni przy nagłym wzroście liczby wniosków; w pierwszym roku funkcjonowania nowych zasad termin ten – na podstawie epizodycznego art. 180b – wyniesie 30 dni. Wraz z udostępnieniem informacji organ wyda ważne przez 3 lata potwierdzenie przyznania dostępu, dzięki któremu kolejne wnioski będą rozpatrywane w terminie 7 dni, bez ponownego dowodzenia funkcji lub zawodu; potwierdzenie będzie mogło służyć także jako dowód uzasadnionego interesu przed odpowiednikami Rejestru w innych państwach członkowskich. Na uwagę zasługuje nowa kara pieniężna do 50 000 zł za niedopełnienie obowiązku powiadomienia organu o ustaniu uzasadnionego interesu.
Beneficjent rzeczywisty uzyska ponadto możliwość wystąpienia o wyłączenie dostępu do dotyczących go danych – w przypadku wykazania niewspółmiernego ryzyka stania się ofiarą enumeratywnie wskazanych przestępstw z Kodeksu karnego albo braku pełnej zdolności do czynności prawnych (projektowany art. 61c); wyłączenie nie będzie jednak skuteczne wobec organów z art. 68a ust. 1 pkt 1.
Projekty rozporządzeń wykonawczych
Wraz z projektem ustawy Ministerstwo Finansów udostępniło projekty trzech rozporządzeń wykonawczych z 1.7.2026 r., które regulują kwestie wykonawcze.
Rozporządzenie w sprawie dostępu do CRBR (podstawa: art. 71 ustawy AML; wejście w życie 1.7.2027 r.) przewiduje trzy kanały dostępu do Rejestru: stronę internetową (GUI CRBR) – dla wszystkich kategorii użytkowników, interfejs API – dla podmiotów i instytucji obowiązanych z art. 68a ust. 1, oraz kanał SFTP umożliwiający pobieranie danych Rejestru w postaci plików z regularnymi aktualizacjami – zastrzeżony dla organów publicznych. Uwierzytelnianie zróżnicowano w zależności od kanału: w GUI – przy każdym dostępie, w sposób określony w art. 20a ust. 1 ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne, w API – certyfikatem komunikacyjnym pobieranym w systemie, w SFTP – kluczami kryptograficznymi. Projekt określa też kryteria wyszukiwania beneficjentów (PESEL, NIP, imię, nazwisko i data urodzenia, numer KRS albo fragment nazwy podmiotu liczący co najmniej 3 znaki) oraz utrzymuje wymóg opatrywania zgłoszeń do Rejestru kwalifikowanym podpisem elektronicznym lub podpisem zaufanym – warto odnotować, że wcześniejsza wersja projektu przewidywała rezygnację z tego wymogu.
Rozporządzenie w sprawie dostępu instytucji obowiązanych do SIGIIF (podstawa: art. 71k; wejście w życie 1.1.2027 r.) przewiduje dwa kanały komunikacji z GIIF: GUI SIGIIF oraz API SIGIIF – a różnica między nimi nie sprowadza się do interfejsu. W GUI użytkownik konta potwierdza tożsamość za pomocą węzła krajowego, a przekazywane dokumenty (informacje ponadprogowe, zawiadomienia, korekty) nie wymagają podpisu. W API instytucja identyfikuje się certyfikatem komunikacyjnym, natomiast dokumenty opatruje się kwalifikowanym podpisem elektronicznym użytkownika konta albo kwalifikowaną pieczęcią elektroniczną instytucji – dla instytucji raportujących masowo, a więc w praktyce korzystających z API, oznacza to konieczność zapewnienia pieczęci kwalifikowanej lub podpisów po stronie użytkowników. Rozporządzenie normuje również momenty doręczeń: korespondencja do GIIF jest doręczona po pozytywnej weryfikacji struktury logicznej dokumentu (w API – także ważności podpisu albo pieczęci), co potwierdza automatycznie generowane urzędowe potwierdzenie odbioru, natomiast korespondencja od GIIF – w tym żądania wstrzymania transakcji lub blokady rachunku – z chwilą zaistnienia warunków technicznych umożliwiających jej odebranie przez użytkownika konta. W połączeniu z terminami z art. 86 ustawy AML (24 godziny nieprzeprowadzania transakcji i do 96 godzin blokady, liczone od doręczenia zawiadomienia GIIF) wymusza to bieżące monitorowanie konta w SIGIIF, ponieważ skutek doręczenia żądania nastąpi niezależnie od faktycznego zapoznania się z korespondencją.
Trzecie rozporządzenie (podstawa: art. 71l; wejście w życie 1.1.2028 r.) reguluje analogiczny model kanałów GUI/API dla jednostek współpracujących, z odrębnościami dotyczącymi ochrony tożsamości funkcjonariuszy służb wykonujących czynności operacyjno-rozpoznawcze, którzy identyfikują się wyłącznie unikalnym identyfikatorem dostępu.
