Юридическая поддержка финтеха в Европе

Alena Mach

15.11.2025 | 6 мин чтения

Обновлено: 16.10.2026

Единой «финтех-лицензии» в Европе нет: требования зависят от того, что именно делает ваш продукт — переводит деньги, выпускает электронные деньги, оказывает услуги с криптоактивами или только показывает данные о счетах. Поэтому юридическая поддержка финтеха начинается с точной квалификации деятельности, а затем охватывает авторизацию, комплаенс, договоры и выход на другие рынки.

COREDO с 2016 года сопровождает финансовые и криптопроекты — от анализа бизнес-модели до подготовки документов для регулятора и AML-поддержки после запуска.

Как определить регуляторный режим для финтех-проекта

Регулятор оценивает не название продукта, а услуги, которые получает клиент. Слова «платформа», «приложение» или «технологическая компания» сами по себе не отвечают на вопрос, нужна ли лицензия. Поэтому первый шаг — подробно описать бизнес-модель: какие операции совершаются, чьи деньги или активы проходят через компанию и кто её клиенты.

Для основных направлений финтеха в ЕС действуют разные режимы:

Одна компания часто попадает сразу в несколько режимов, а границы между ними нужно проверять по каждому продукту. Например, MiCA не применяется к криптоактивам, которые квалифицируются как финансовые инструменты: такие активы оценивают по соответствующему режиму финансовых услуг. MiCA также не применяется к криптоактивам, которые квалифицируются как депозиты, и к ряду других категорий.

У PSD2 тоже есть исключения: часть услуг и операций выведена из-под её действия. Центральный банк Ирландии подчёркивает, что ответственность за правильное применение исключения лежит на самой компании, а при сомнениях нужно получить юридическую консультацию. В Ирландии, например, для некоторых исключений требуется ещё и уведомить регулятора — в частности, для ограниченной сети при определённом объёме операций.

Платёжные услуги и электронные деньги: что действует сейчас

Платёжные услуги в ЕС сегодня регулирует PSD2, перенесённая в национальное право каждой страны. Директива отдельно выделяет новые виды услуг: инициирование платежа по поручению клиента и предоставление сводной информации о его счетах в одном или нескольких банках. Центральный банк Ирландии, например, принимает заявки на авторизацию платёжного учреждения и учреждения электронных денег, а также на регистрацию поставщика информации о счетах (AISP) и малого учреждения электронных денег.

Электронные деньги — это денежная стоимость в электронной форме, которая представляет собой требование к эмитенту, выпускается при получении средств для платёжных операций и принимается не только самим эмитентом. Если ваш продукт хранит средства клиентов и ими можно расплачиваться с третьими лицами, стоит проверить, не выпускаете ли вы электронные деньги. Не каждый кошелёк означает выпуск электронных денег, но этот вопрос нужно решить до запуска.

Авторизация по PSD2 действует во всех государствах — членах ЕС: платёжное учреждение может оказывать разрешённые ему услуги в других странах по свободе оказания услуг или через филиал. При этом национальные режимы различаются в деталях. Так, в Ирландии нет режима малого платёжного учреждения, и компании, которые хотят оказывать платёжные услуги, должны получать авторизацию платёжного учреждения. Подобрать режим и юрисдикцию под вашу модель помогает наша услуга по получению финансовых лицензий в ЕС.

Криптоактивы: авторизация CASP по MiCA

Регламент MiCA устанавливает общее правило: услуги с криптоактивами в ЕС может оказывать только компания, авторизованная как поставщик услуг в сфере криптоактивов (CASP), либо определённая финансовая организация, которая выполнила условия уведомления по статье 60. Второй путь доступен не всем. Он предназначен для уже регулируемых организаций, например инвестиционных фирм, и только для тех услуг, которые позволяет статья 60.

Переходный период для компаний, работавших по национальным правилам до 30 декабря 2024 года, завершён. Статья 143(3) MiCA позволяла им продолжать работу не дольше чем до 1 июля 2026 года или до решения по их заявке, а государства могли сократить этот срок или вовсе не вводить его. Компания, не получившая авторизацию CASP к концу переходного периода, должна прекратить оказание услуг до получения разрешения. Поэтому прежняя национальная регистрация VASP сегодня не заменяет авторизацию по MiCA.

Что входит в заявку на авторизацию CASP

Заявка подаётся в компетентный орган страны регистрации, а её состав подробно перечисляет статья 62 MiCA. В частности, в неё входят:

• программа деятельности: какие услуги компания будет оказывать, где и как будет их продвигать;
• описание корпоративного управления, сведения о руководстве и владельцах квалифицированных долей, подтверждение их деловой репутации, а для руководства — ещё и квалификации;
• механизмы внутреннего контроля и управления рисками, включая риски отмывания денег и финансирования терроризма, а также план непрерывности бизнеса;
• техническая документация ИКТ-систем и мер безопасности вместе с её описанием для неспециалистов;
• порядок разделения криптоактивов и средств клиентов и процедура рассмотрения жалоб;
• политики для конкретных услуг — например, политика хранения, правила торговой платформы или политика исполнения ордеров;
• подтверждение пруденциальных гарантий по статье 67.

Пруденциальные требования к CASP не сводятся к одной сумме уставного капитала. Статья 67 требует постоянно поддерживать гарантии не ниже большего из двух значений: минимального капитала, установленного для вида услуг в приложении IV, или четверти постоянных накладных расходов за предыдущий год. Гарантии можно сформировать собственными средствами, договором страхования или сопоставимой гарантией либо их сочетанием.

Ещё один практический момент: MiCA не предусматривает работу через агентов без собственного статуса. Если CASP хочет принимать и передавать ордера клиентов или консультировать через третье лицо, это лицо само должно быть CASP.

Чтобы работать в нескольких странах ЕС, CASP направляет в орган своей страны перечень государств, список услуг для трансграничного оказания, дату начала их оказания и перечень иной деятельности вне MiCA. Орган передаёт эти сведения контактным пунктам принимающих государств, а также ESMA и EBA. Подготовку заявки, AML-документов и переписку с регулятором мы берём на себя — это часть нашей услуги по получению криптолицензии (CASP).

DORA, GDPR и AML: обязанности финтех-компании после запуска

DORA: цифровая операционная устойчивость

Регламент DORA применяется с 17 января 2025 года. Он гармонизирует требования к операционной устойчивости для 20 типов финансовых организаций и распространяется также на поставщиков ИКТ-услуг. Для компании в периметре DORA юридическая подготовка включает:

• систему управления ИКТ-рисками;
• порядок обработки ИКТ-инцидентов и сообщения о крупных инцидентах надзорному органу;
• тестирование цифровой операционной устойчивости;
• управление рисками ИКТ-подрядчиков и ключевые условия договоров с ними.

Для отдельных категорий, например малых и невзаимосвязанных инвестиционных фирм, статья 16 DORA предусматривает упрощённую систему управления ИКТ-рисками. Это не освобождение от DORA: такие организации применяют облегчённую, но обязательную версию требований. Входит ли ваша компания в периметр и в каком объёме, определяется в каждом случае отдельно.

GDPR: данные клиентов

Обработка персональных данных при оказании платёжных услуг подчиняется GDPR. Европейский совет по защите данных указывает, что платёжный провайдер в зависимости от обстоятельств может быть контролёром или обработчиком. Контролёр — тот, кто сам или вместе с другими определяет цели и средства обработки, поэтому роль компании зависит от конкретных обстоятельств обработки.

Правовое основание для каждой цели обработки выбирает и обосновывает контролёр. Основание «исполнение договора» подходит только для обработки, которая объективно необходима для конкретной услуги. Если в одном договоре объединено несколько самостоятельных услуг, необходимость оценивают по каждой из них. Поставщик информации о счетах, например, должен прямо указать в договоре, для каких целей обрабатываются данные.

AML: текущие обязанности и новый пакет ЕС

В 2024 году ЕС принял новый пакет правил по борьбе с отмыванием денег: прямо применимый регламент для частного сектора, директиву об организации национальных надзорных органов и регламент о новом европейском органе AMLA. По сообщению Совета ЕС, новый регламент начнёт применяться через три года после вступления в силу. Поэтому сейчас основные AML-обязанности компании установлены национальным законом страны лицензии.

Например, в Ирландии платёжное учреждение или учреждение электронных денег должно иметь систему AML/CFT-контроля, соответствующую национальному закону 2010 года, уже на момент авторизации. Новый орган AMLA не заменяет национальных надзорных органов и подразделений финансовой разведки. Он координирует единую систему надзора, а с 2028 года начнёт напрямую надзирать прежде всего за отобранными финансовыми организациями с высоким риском, которые работают как минимум в шести государствах — членах ЕС.

Выстроить AML-процедуры с нуля или передать выполнение AML-функций внешней команде можно через наше AML-сопровождение и аутсорсинг.

Как подготовиться к подаче заявки регулятору

Состав заявки зависит от вида деятельности и от страны, поэтому единого чек-листа для всего ЕС нет. Хороший официальный пример — документ Центрального банка Ирландии, который будущее платёжное учреждение или учреждение электронных денег заполняет до предварительной встречи с регулятором. В нём нужно описать:

1. бизнес-модель: регулируемую и нерегулируемую деятельность, клиентов, рынки, каналы продаж, прогноз числа операций и планы паспортизации;
2. финансовую устойчивость: отчёт о прибылях и убытках и баланс на первые три года;
3. регуляторный капитал: размер, источник и сроки вливаний, а также метод расчёта требований;
4. ключевые риски и систему управления ими;
5. аутсорсинг, включая передачу функций внутри группы, и способ контроля за переданными функциями;
6. защиту средств клиентов (safeguarding) и, если они предусмотрены, банковских партнёров для неё;
7. непрерывность бизнеса и порядок сворачивания деятельности;
8. состав совета директоров, руководство, штат и структуру владельцев.

Это ирландский пример, а не единый стандарт для всего ЕС, но он хорошо показывает, чего ждут надзорные органы. Центральный банк Ирландии отдельно подчёркивает, что детально изучает политики по защите средств клиентов, операционным и ИТ-рискам, аутсорсингу, капиталу и кредитному риску. Документы должны описывать реальный процесс компании от начала до конца, а не общие формулировки.

Договоры и внутренние документы финтех-компании

Юридическая поддержка финтеха не заканчивается подачей заявки. Многие требования выполняются через договоры и внутренние документы, поэтому их стоит готовить одновременно с заявкой:

• договоры с ИКТ-подрядчиками — с ключевыми условиями, которых DORA требует от организаций в своём периметре;
• договоры аутсорсинга и внутригрупповых услуг — с понятным механизмом контроля за переданными функциями;
• клиентские условия и уведомления о данных — с ясными целями обработки и правовыми основаниями;
• процедура рассмотрения жалоб, а для CASP — ещё и порядок разделения активов клиентов: оба документа прямо входят в заявку по MiCA.

Выход на другие рынки: паспорт ЕС и Великобритания

Паспорт ЕС позволяет работать в других государствах — членах ЕС на основе одной авторизации, но только в пределах разрешённых услуг и по установленной процедуре. Для CASP это уведомление по статье 65 MiCA, а платёжное учреждение работает в других странах только с услугами, указанными в его авторизации по PSD2. Планы паспортизации стоит заложить в бизнес-модель с самого начала: ирландский регулятор, например, просит указать их уже на этапе предварительной заявки.

Великобритания — отдельный рынок. Паспортизация между Великобританией и странами ЕЭЗ прекратилась с окончанием переходного периода после Brexit, 31 декабря 2020 года. Британский регулятор FCA рекомендует компаниям, которые хотят работать в ЕЭЗ, следовать местному законодательству и при необходимости получать местную авторизацию. Поэтому британские разрешения оценивают отдельно от паспорта ЕС.

Как COREDO сопровождает финтех-проекты в Европе

Мы работаем с финтех-компаниями на всём пути — от первой оценки модели до комплаенса после получения лицензии:

1. Анализ и выбор режима. Изучаем бизнес-модель, определяем вид лицензии и юрисдикцию, обсуждаем требования к капиталу, персоналу и инфраструктуре.
2. Подготовка документов. Готовим бизнес-план, AML/CFT-процедуры, организационную структуру, финансовые прогнозы и документы по учредителям и директорам, а для EMI и платёжных учреждений — описание продукта и ИТ-архитектуры.
3. Подача и сопровождение рассмотрения. Подаём документы регулятору, отвечаем на его запросы, вносим исправления и дополнения.
4. Комплаенс после запуска. Консультируем по AML, разрабатываем процедуры или берём выполнение AML-функций на аутсорсинг, при этом итоговая ответственность остаётся за компанией.