Nowelizacja ustawy AML uchwalona: dostęp do systemu GIIF, nowy sposób przekazywania raportów i koniec jawności CRBR – co się zmienia, od kiedy i kogo dotyczy?

Gdzie jest ustawa w procesie legislacyjnym

Rządowy projekt (druk nr 3163) wpłynął do Sejmu 28 września 2026 r. Sejm uchwalił ustawę 6 listopada 2026 r. w brzmieniu sprawozdania Komisji Finansów Publicznych (druk nr 3285), bez poprawek w drugim czytaniu. Teraz ustawą zajmie się Senat. Potem ustawa trafi do podpisu Prezydenta i zostanie opublikowana w Dzienniku Ustaw. Zaktualizujemy ten wpis po publikacji.

Ustawa wchodzi w życie etapami (art. 12 nowelizacji):

1. Dostęp do systemu GIIF (SIGIIF) – wniosek i terminy

Nowy rozdział 6a ustawy (art. 71b–71l) wprowadza obowiązek posiadania dostępu do systemu teleinformatycznego GIIF. Ustawa nazywa go SIGIIF (art. 12 ust. 4). Obowiązek dotyczy instytucji z art. 2 ust. 1 pkt 1–20 i 24–27. Nie dotyczy fundacji, stowarzyszeń i przedsiębiorców przyjmujących lub dokonujących płatności gotówką od 10 000 euro (pkt 21–23). Te podmioty do 9 lipca 2027 r. przekazują dane do GIIF drogą elektroniczną (art. 10 nowelizacji).

Instytucja, która 31 grudnia 2026 r. ma status instytucji obowiązanej, składa wniosek o dostęp w terminie z art. 7 nowelizacji:

Terminy w pierwszych czterech wierszach dotyczą instytucji, które do 31 grudnia 2026 r. złożyły formularz identyfikujący. Warto to sprawdzić już teraz.

Wniosek (art. 71c ust. 1) zawiera m.in.: nazwę i formę organizacyjną, NIP, rodzaj działalności, numer wpisu do rejestru, adres, adres do doręczeń elektronicznych, e-mail i telefon, dane osoby składającej wniosek, dane pracownika odpowiedzialnego za AML (art. 8) oraz oświadczenie pod rygorem odpowiedzialności karnej. Jeżeli wniosek składa osoba niewpisana do KRS ani CEIDG, dołącza się dokument podpisany przez osoby uprawnione do reprezentacji (art. 71c ust. 2). Dostęp powstaje z chwilą potwierdzenia przez GIIF. Po założeniu konta instytucja zgłasza użytkowników i aktualizuje dane (art. 71d).

Kary: za niezłożenie wniosku w terminie GIIF nakłada karę administracyjną (art. 7 ust. 2–3 nowelizacji w związku z art. 150 ustawy). Od 1 stycznia 2027 r. karane jest też złożenie wniosku z nieaktualnymi lub nieprawidłowymi danymi (nowy art. 147 pkt 12a).

Jedna niejasność: art. 71b w związku z art. 9 ust. 1 nowelizacji wymaga dostępu przed nawiązaniem pierwszych stosunków gospodarczych po 31 grudnia 2026 r., a art. 7 daje terminy aż do 31 maja 2027 r. Do czasu wyjaśnienia przez GIIF najbezpieczniej złożyć wniosek możliwie wcześnie w swoim terminie.

2. Raporty i zawiadomienia przez SIGIIF (od 1 kwietnia 2027 r.)

Od 1 kwietnia 2027 r. przez SIGIIF przekazuje się:

• informacje o transakcjach ponadprogowych (art. 72),
• zawiadomienia o podejrzeniu (art. 74, art. 86 ust. 1, art. 90 ust. 1),
• odpowiedzi na żądania GIIF (art. 76) i informacje o zamrożeniu wartości majątkowych (art. 119 ust. 2).

Uchylony zostaje art. 181, który dotąd pozwalał przekazywać zawiadomienia w formie pisemnej. Od 1 stycznia do 31 marca 2027 r. informacje o transakcjach ponadprogowych przekazuje się elektronicznie według nowego wzoru (art. 180c).

Nowe zasady korekt:

• informacje o transakcjach ponadprogowych – niezwłocznie po wykryciu błędu albo w 7 dni od żądania GIIF (art. 72 ust. 8),
• zawiadomienia z art. 74 – niezwłocznie, a na żądanie GIIF najpóźniej w 2 dni (art. 74 ust. 4).

Uzasadnienie zawiadomienia z art. 74 ma opisywać okoliczności podejrzenia, działania podjęte w ramach środków bezpieczeństwa finansowego (albo brak możliwości ich zastosowania) i wnioski (art. 74 ust. 3 pkt 8). Przy wstrzymaniu transakcji z art. 86 terminy 24 i 96 godzin liczy się od doręczenia zawiadomienia GIIF.

3. Koniec jawności CRBR (od 1 października 2027 r.)

Uchylony zostaje art. 67 („Rejestr jest jawny”). Dostęp do danych o beneficjentach rzeczywistych będą mieli:

• instytucje obowiązane – w celu stosowania środków bezpieczeństwa finansowego, przez swoje konto w SIGIIF i użytkowników wyznaczonych w tym systemie (art. 68a ust. 1 pkt 3, art. 68c). Instytucja bez dostępu do SIGIIF nie skorzysta z CRBR;
• organy publiczne – na zasadach z art. 68a;
• inne osoby i podmioty – tylko na wniosek, jeśli wykażą uzasadniony interes związany z przeciwdziałaniem praniu pieniędzy (art. 68d). Dostaną dane bez numeru PESEL, z datą urodzenia ograniczoną do miesiąca i roku. Organ ma na odpowiedź 12 dni, a od 1 października 2027 r. do 30 września 2028 r. – 30 dni (art. 68f, art. 180b).

Obowiązek z art. 39 ust. 1a (potwierdzenie rejestracji albo odpis z CRBR przy stosowaniu środków bezpieczeństwa finansowego) zostaje. Beneficjent rzeczywisty może uzyskać decyzję o wyłączeniu dostępu do swoich danych, jeżeli grozi mu przestępstwo (art. 61c). Taka decyzja działa także wobec instytucji obowiązanych.

4. Ocena ryzyka i brak możliwości zastosowania środków (od 1 stycznia 2027 r.)

• Nowe produkty, usługi, kanały dostaw i technologie trzeba ocenić pod kątem ryzyka przed ich udostępnieniem i wdrożyć środki ograniczające to ryzyko (art. 27 ust. 1a–1b).
• Krajową ocenę ryzyka i sprawozdanie Komisji Europejskiej instytucja musi uwzględnić w swojej ocenie ryzyka. Dotąd mogła (art. 27 ust. 2).
• Gdy nie da się zastosować środków bezpieczeństwa finansowego, instytucja nie przeprowadza transakcji w ramach stosunków gospodarczych. Obowiązek dotyczy wszystkich instytucji, nie tylko prowadzących rachunki. Działania i brak możliwości zastosowania środków trzeba udokumentować (art. 41 ust. 1 pkt 2a i ust. 2a).

5. Inne zmiany od 1 stycznia 2027 r.

• Biurem rachunkowym w rozumieniu ustawy nie są już podmioty z grupy kapitałowej, które prowadzą księgi wyłącznie dla spółek z tej grupy (art. 2 ust. 1 pkt 17). Zwykłych biur rachunkowych ta zmiana nie dotyczy.
• Dochodzą listy sankcyjne ONZ dotyczące broni masowego rażenia (art. 118 ust. 1 pkt 1a). Wobec osób z tych list stosuje się zamrożenie i nieudostępnianie wartości majątkowych.
• Formularz identyfikujący (art. 77) przestaje obowiązywać. Jego rolę przejmuje wniosek o dostęp do SIGIIF.

Co warto zrobić już teraz

1. Sprawdzić, czy instytucja złożyła kiedyś formularz identyfikujący (art. 77). Od tego zależy termin wniosku.
2. Przygotować adres do doręczeń elektronicznych, dane osoby, która złoży wniosek, i aktualne dane pracownika odpowiedzialnego za AML.
3. Zapisać w kalendarzu swój termin wniosku o dostęp do SIGIIF.
4. Przed 1 stycznia 2027 r. zaktualizować ocenę ryzyka i procedury (art. 27 i art. 41).
5. Przed 1 października 2027 r. wyznaczyć w SIGIIF użytkowników, którzy będą sprawdzać beneficjentów w CRBR.

Co to oznacza dla użytkowników GoAML

• Sprawdzanie beneficjentów rzeczywistych w GoAML i registerAPI działa bez zmian do 30 września 2027 r. Przygotowujemy połączenie z CRBR po zamknięciu jawności. Jego szczegóły techniczne zależą od specyfikacji, której GIIF jeszcze nie opublikował. Więcej o dostępie do CRBR po nowelizacji: registerapi.goaml.pl/po-nowelizacji.
• Listy sankcyjne, PEP, KRS i biała lista VAT działają bez zmian.
• Pliki z informacjami o transakcjach ponadprogowych aplikacja przygotowuje tak jak dziś. Dostosowujemy ją do nowych wzorów i do SIGIIF, gdy tylko GIIF je opublikuje.
• Wniosek o dostęp do SIGIIF każda instytucja składa sama. Przygotujemy instrukcję krok po kroku i przypomnimy o terminie.

O kolejnych etapach – Senacie, publikacji ustawy i wzorach GIIF – poinformujemy w aplikacji i mailem.

Podstawa prawna

• Ustawa o zmianie ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, uchwalona przez Sejm 6.11.2026 (druk nr 3163, sprawozdanie komisji – druk nr 3285): art. 1 pkt 2, 4, 7, 8, 9–20, 21, 22–27, 37–45, 47, 48; art. 7, 9, 10, 12.
• Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. 2025 poz. 644): art. 2 ust. 1, art. 27, art. 39 ust. 1a, art. 41, art. 67, art. 72, art. 74, art. 77, art. 86, art. 150.