西班牙AISP牌照：账户信息服务提供商注册

最近更新：2026年8月4日

在西班牙注册AISP：申请文件、保险与实际要求

账户信息服务提供商（AISP）是指经用户事先同意，访问其支付账户信息并以汇总方式呈现的服务商。其法律框架是PSD2（欧盟第2015/2366号指令），在西班牙则是第19/2018号皇家法令-法，注册由西班牙银行负责。本文不讲解开放银行（请见我们的开放银行页面和PSD2页面），而是说明申请文件如何搭建。

进入受监管支付领域成本最低的入口

这是几乎没人知道、却会改变许多商业计划的一点：账户信息服务提供商的制度不要求初始资本。作为交换，该制度要求职业责任保险或同等担保，就您的业务造成的损害向账户管理机构和用户承担责任。仅这一点差异就把两个世界分开了：支付机构起步就要有法规规定金额的资本，并负有客户资金保障义务；而AISP由于从不接触资金，可以用轻得多的架构搭建起来。它与其他受监管机构相同的，是质量上的要求：治理、风险管理、安全、业务连续性和供应商管控。在这些方面没有任何减轻的制度。因此，这类项目最常见的错误不是低估资本（根本没有资本要求），而是低估维持一家受监管机构的成本：需要续保的保单、需要复核的政策、需要报告的事件和需要通过的审计。我们的工作正是从这里开始：在您决定自行注册，还是在验证产品期间依托第三方牌照之前，先为这项成本算出数字和时间表。

向西班牙银行提交的申请文件，逐块解析

AISP的申请文件比支付机构的短，但在真正重要的方面，审查的严格程度相同。第一块是活动计划：您将读取什么信息、来自哪些账户、用于什么目的、用户的使用流程以及技术架构。内容要足够具体，让任何人读完都能画出数据流。第二块是架构：公司、股东、最终受益人和管理机构，以及将管理受监管机构者的信誉和能力。第三块是职业责任保险或同等担保，其范围要与您的业务量和将要开展业务的市场相匹配并有依据。第四块是引发最多监管问询的安全与运营风险材料：访问控制、加密、事件管理、业务连续性计划，以及已完成而非仅仅承诺的测试。第五块是个人数据与供应商：明确且细化的同意、数据最小化、限定保存期限，以及与支撑您连接的第三方签订的外包合同。这五块必须讲述同一个故事：活动计划说一套、安全政策说另一套，监管问询自然就会找上门。

什么时候您不需要自有牌照（有必要说明）

我们宁愿失去一单委托，也不愿向您推销一份您不需要的申请文件。至少有三种情形，账户聚合项目可以不经自行注册就进入市场。第一种：作为持牌机构的代理人运营，签订合同，必要时办理登记，并借助其牌照的保护。第二种：在已注册的服务商之上搭建产品，由其提供账户访问，您提供增值层；您会失去一部分利润和对技术关系的控制，但可以节省数月时间。第三种：核实您的情形是否属于支付服务制度的某项除外情形，这类情形确实存在，有时能完全解决问题。三者都不是免费的：您仍须对数据处理、与用户的合同以及自身安全负责；在前两种情形下，您还要接受自己无法掌控的经济和运营条件，例如按查询次数计费、银行覆盖范围、服务质量，以及相对于服务商其他客户的优先级。而且三者都不是长久之计：当账户聚合成为业务核心时，依赖他人的牌照就成了战略风险（价格、条件或所有者的变化），自行注册也就从成本变成了资产。这一过渡应当提前规划，而不是临时应对。

未来的变化，以及为什么不必因此等待

监管框架正在两个方向上变化。欧盟委员会于2023年6月提出的PSD3/PSR一揽子方案仍在审议中，旨在重新调整账户访问、接口，以及银行与服务商之间的责任分配。金融数据访问条例（FIDA，同样于2023年6月提出，也在谈判中）则希望通过经授权的服务商和数据共享机制，将这一模式从支付扩展到投资、保险和养老金领域。二者都不会取消这类服务商或注册制度；它们都会抬高治理、安全和合同方面的门槛。实际的结论与直觉相反：现在注册的机构，在那个阶段到来时已有成立的实体、运转成熟的控制措施和与监管机构的往来关系，适应新规只需一次修订；选择等待的机构，则要在市场格局已定之后从零开始。此外，涉及金融数据的项目还带来其余监管范围，包括数据保护、运营韧性，以及（如果您使用自动化模型作决策）人工智能法案。从设计阶段就理顺这些事项，成本只是事后重建的一小部分；到那时您已有用户、与账户管理机构签订的合同，监管机构还会书面向您提问。我们的建议是：当业务已经得到验证时，不必等待完美的法规，应在现行框架下注册，并让申请文件具备吸收后续变化的余地。

本内容仅供一般参考，不构成法律意见。所引法规在所标注的更新日期之后可能已被修改：请务必核实现行有效版本，或联系我们分析您的具体情况。