Как стать платёжным агрегатором

Чтобы стать платёжным агрегатором в России, нужны российское юридическое лицо и договор с оператором по переводу денежных средств — банком или небанковской кредитной организацией (НКО); дальше для краткости оба называем банком. По закону № 161-ФЗ «О национальной платёжной системе» агрегатор считается банковским платёжным агентом этого банка и работает от его имени. Статья 14.1 закона не требует от агрегатора своей лицензии Банка России: сведения о нём в перечень Банка России передаёт банк. Дальше — обязанности по закону: отдельный специальный счёт для денег мерчантов (магазинов и сервисов, которые принимают оплату через агрегатора), если агрегатор участвует в переводе; идентификация мерчантов, если банк её поручит; требования Банка России к защите информации.

Нормы — по текстам на 2 октября 2026 года: 161-ФЗ и 115-ФЗ (о противодействии отмыванию доходов) — в редакции от 4 августа 2026 года, 103-ФЗ (о платёжных агентах) — от 9 апреля 2026 года, 54-ФЗ (о кассовой технике) — от 24 июня 2025 года, Положение Банка России 821-П — с изменениями, действующими с 1 октября 2026 года. Принятые, но не вступившие изменения 161-ФЗ (законы № 210-ФЗ и № 283-ФЗ) норм, на которые мы ссылаемся, не касаются. Цены сняты в тот же день, у каждой указан источник. Юридическая часть справочная: схему запуска стоит проверить с юристом.

Платёжный агент и агрегатор: в чём разница

Платёжный агент работает по закону № 103-ФЗ, банковский платёжный агент и агрегатор — по 161-ФЗ. Агрегатор — частный случай банковского платёжного агента (ч. 1 ст. 14.1), который работает с электронными средствами платежа (ЭСП — например, банковскими картами).

	Платёжный агент	Банковский платёжный агент	Платёжный агрегатор
Закон	103-ФЗ, ст. 2	161-ФЗ, ст. 14	161-ФЗ, ст. 14.1
Кто может быть	российское юрлицо, кроме кредитной организации, или ИП	юрлицо, кроме кредитной организации, или ИП (ст. 3)	только юрлицо, созданное по законодательству России
Договор	оператор по приёму платежей — с поставщиками товаров и услуг, субагент — с оператором	с банком, агент работает от его имени	с банком, агрегатор работает от его имени
Что делает	принимает наличные платежи граждан; к безналичным расчётам закон не применяется (ст. 1)	принимает и выдаёт наличные, в том числе через банкоматы; обеспечивает клиентам ЭСП банка	обеспечивает мерчантам приём ЭСП и участвует в переводе денег им
Счёт	специальный банковский счёт (ст. 4)	специальный счёт для наличных	отдельный специальный счёт в привлёкшем его банке, если участвует в переводе

Главная разница — наличные или безналичные деньги и от чьего имени идёт работа. Что агрегатор действует от имени привлёкшего его банка, Банк России подтверждает в ответах на вопросы по 161-ФЗ (ответ обновлён 11 августа 2023 года).

Что 161-ФЗ требует от платёжного агрегатора

Требования к агрегатору собраны в ст. 14.1 и 14.2 161-ФЗ, часть из них зависит от того, что поручает банк.

Для любого агрегатора

• Форма — юрлицо, созданное по законодательству России (п. 1 ч. 2 ст. 14.1).
• Договор с банком (ч. 1). Договоры с мерчантами агрегатор заключает от имени банка и на его условиях (п. 2 ч. 2). Мерчантами могут быть и лица частной практики из ч. 13 (нотариусы, адвокаты с адвокатскими кабинетами и другие), и самозанятые на налоге на профессиональный доход.
• Сведения банку — о мерчантах и для разбора споров (пп. 3–4 ч. 2).
• Открытая информация. До начала работы агрегатор раскрывает в каждом месте своих операций сведения о себе и о банке, реквизиты договора, способы подачи претензий и порядок их рассмотрения (п. 5 ч. 2).
• Контроль банка. Банк проверяет, как агрегатор соблюдает условия привлечения, законодательство о ПОД/ФТ (противодействии отмыванию доходов и финансированию терроризма) и договоры с мерчантами, а при нарушениях вправе отказаться от договора (ч. 8–10 ст. 14.2).
• Перечень Банка России. Сведения об агрегаторе в него передаёт банк (ч. 11–12 ст. 14.1). В перечне от 1 октября 2026 года 85 агрегаторов.

Если агрегатор участвует в переводе денег

Деньги покупателей поступают на отдельный специальный счёт агрегатора в том же банке (ч. 6). По счёту разрешены только пять операций: зачисление платежей и возвратов, перечисление мерчантам, списание вознаграждения агрегатора и списание в пользу банка (ч. 7–8). По долгам самого агрегатора на эти деньги нельзя наложить арест или обратить взыскание, а операции по счёту нельзя приостановить (ч. 9–10).

Срока выплаты мерчанту ст. 14.1 и 14.2 не задают: обычно его устанавливает договор, а банк следит за своевременностью (ч. 9 ст. 14.2). Применяется ли срок перевода из ч. 5 ст. 5 (до трёх рабочих дней), уточните у юриста.

Если агрегатор даёт мерчантам программу для приёма оплаты

Тогда условиями привлечения закон называет соблюдение требований Банка России к защите информации, передачу банку сведений об операциях и запрет передавать информацию об операциях за границу или давать к ней доступ оттуда, кроме трансграничных переводов (ч. 5 ст. 14.1). Отсюда следует требование к размещению платформы: где стоят серверы и откуда к ним есть доступ. Сами требования к защите информации обязательны для любого банковского платёжного агента, даже если агрегатор только участвует в переводе (ч. 3 ст. 27).

Если банк поручает агрегатору проверять мерчантов

Банк вправе по договору поручить агрегатору идентификацию мерчантов, их представителей, выгодоприобретателей и бенефициарных владельцев и обновление сведений о них (абз. 2 п. 1.5 ст. 7 115-ФЗ). Тогда нужен штатный сотрудник по ПОД/ФТ, а у него, руководителя и главного бухгалтера не должно быть неснятой или непогашенной судимости за экономические преступления (ч. 4 ст. 14.1). Сведения агрегатор передаёт банку в полном объёме незамедлительно, но не позднее трёх рабочих дней со дня получения. За нарушения он отвечает по договору, а банк может отказаться от договора (пп. 1.7–1.9 ст. 7 115-ФЗ).

Защита информации: 821-П, ГОСТ 57580 и ОУД 4

Требования к защите информации при переводах — Положение Банка России № 821-П от 17 августа 2023 года; с 1 октября 2026 года действуют изменения Указания № 7220-У от 28 октября 2025 года. С этой даты агрегатор защищает те процессы, которые у него есть: обеспечение приёма оплаты и подготовку электронных сообщений при участии в переводе (п. 3.2). Главное для агрегатора:

Требование	Норма 821-П	Что это значит
Уровень защиты инфраструктуры	п. 3.5	не ниже минимального, уровня 3 по ГОСТ Р 57580.1-2017
Оценка соответствия	пп. 1.1, 3.6	не реже раза в два года, по ГОСТ Р 57580.2-2018, силами организации с лицензией на техническую защиту конфиденциальной информации; отчёт хранят не менее пяти лет
Итог оценки	п. 3.7	уровень соответствия не ниже четвёртого по п. 6.9 ГОСТ Р 57580.2-2018
Тестирование на проникновение (пентест) и анализ уязвимостей	пп. 1.1, 3.9	ежегодно и по критериям банка
Прикладное ПО	пп. 1.2, 3.9, 3.10	ПО для клиентов и ПО приёма электронных сообщений через интернет: сертификация ФСТЭК (Федеральной службы по техническому и экспортному контролю) не ниже 6-го уровня доверия или оценка не ниже ОУД 4 (оценочного уровня доверия по ГОСТ Р ИСО/МЭК 15408-3-2013), её можно провести самому; когда — по критериям банка

7220-У дополнил п. 1.2: после изменения исходного кода, который реализует меры защиты, ПО нужно заново сертифицировать или оценить. Как эта норма касается вас, уточните у банка и юриста.

Выполнение 821-П контролирует привлёкший агрегатора банк по договору; он же по своей системе управления рисками решает, когда и как часто нужны тестирование на проникновение, оценка соответствия и оценка ПО (п. 2.11). Банк России запрашивает у банка сведения об этом контроле (подп. 8.1.2).

Требования 821-П обращены к агрегатору: поставщик может передать ПО с сертификатом или оценкой, но оценку соответствия вашей инфраструктуры и тестирование на проникновение за вас не проведёт. На странице программы Payweb сказано, что она «соответствует требованиям ЦБ РФ и PCI DSS (821-П, ОУД 4)»; PCI DSS — стандарт безопасности данных платёжных карт, а не требование Банка России (подробнее — в нашем разборе). У любого поставщика, в том числе у нас, запросите отчёт об оценке ПО по ОУД 4 или сертификат ФСТЭК с датой и версией ПО и спросите, кто проводит повторную оценку после обновлений.

Что должна уметь платформа агрегатора

Функция	Зачем и по какой норме
Приём оплаты картами (эквайринг)	программа для приёма ЭСП (п. 2 ч. 3 ст. 14.1); данные об операциях нельзя передавать за границу (ч. 5)
СБП (Система быстрых платежей Банка России)	приём оплаты по QR-коду по правилам НСПК (АО «Национальная система платёжных карт»)
Подключение и проверка мерчантов	идентификация по 115-ФЗ, если банк её поручил
Выплаты мерчантам и учёт по спецсчёту	только операции из ч. 7 ст. 14.1
Отчёты для банка	сведения о мерчантах и операциях (ч. 2 и 5 ст. 14.1)
Журнал действий и защита электронных сообщений	регистрация действий с защищаемой информацией и технологические меры 821-П (пп. 1.4, 3.11, приложения 1–⁠2)
Онлайн-касса	чеки по 54-ФЗ
Защита от мошенничества (антифрод)	в ст. 14.1 не упомянута; Банк России рекомендует банкам и агрегаторам перечислять мерчантам только суммы из положительных авторизаций (п. 3 рекомендаций № 13-МР от 12 октября 2023 года). Это не норма закона, требования обсудите с банком

СБП. Небанковская организация заключает договор о привлечении платёжного агрегатора с банком — участником СБП и договор с продавцом, а затем сама подаёт в НСПК заявление о присоединении к правилам для агентов ТСП (торгово-сервисных предприятий) с квалифицированной электронной подписью. НСПК рассматривает документы до 30 рабочих дней (порядок подключения агентов, п. 2.2.2 правил П.235, версия 4.0 от 12 сентября 2024 года).

Онлайн-касса. Кассовая техника по 54-ФЗ обязательна и при безналичных расчётах, при оплате в интернете чек отправляют электронно (пп. 1 и 5 ст. 1.2). Норм об агрегаторе в 54-ФЗ нет, но есть нормы о чеках банковского платёжного агента (п. 4 ст. 4.7 54-ФЗ, ч. 4 ст. 14.2 161-ФЗ). Кто и какой чек выдаёт в вашей схеме, решите с юристом.

Порядок запуска по шагам

1. Подготовить российское юрлицо.
2. Решить, что вы делаете для банка: даёте мерчантам программу, участвуете в переводе денег, проверяете мерчантов.
3. Заключить договор с банком, при участии в переводе — открыть у него специальный счёт.
4. Подготовить платформу и инфраструктуру по 821-П без передачи данных об операциях за границу, получить у поставщика сертификат ФСТЭК или отчёт об оценке ПО по ОУД 4.
5. Провести тестирование на проникновение и оценку соответствия; когда нужна первая оценка, уточните у банка.
6. Для СБП — подать заявление в НСПК.
7. Раскрыть сведения о себе и о банке и подключать мерчантов от имени банка.

Сроки и стоимость

По оценке разработчика Surf (статья от 16 апреля 2026 года), простой платёжный агрегатор стоит от 15 млн рублей и делается минимум за 6–9 месяцев, оптимально — за 9–12.

Цены на проверки по 821-П, которые агрегатор проходит сам и на готовой платформе:

Работа	Цена и срок
Оценка соответствия по ГОСТ Р 57580.2	от 500 000 ₽ — ЛитераФорте; от 600 000 ₽, 1–⁠1,5 месяца — Ореол Секьюрити
Оценка ПО по ОУД 4	анализ уязвимостей — от 315 000 ₽, от 6 недель, полная оценка — по запросу (ЛитераФорте); анализ уязвимостей — от 512 000 ₽, от 8 недель, документы заявителя — от 992 000 ₽, от 10 недель (RTM Group)
Тестирование на проникновение: внешние ресурсы	от 200 000 ₽, от 2 недель — RTM Group; от 350 000 ₽, 2–⁠3 недели — Ореол Секьюрити
Тестирование на проникновение: внутренние ресурсы	от 300 000 ₽ удалённо, от 4 недель — RTM Group; от 450 000 ₽, 2–⁠4 недели — Ореол Секьюрити

Цены — нижние границы с сайтов компаний на 2 октября 2026 года. Объём тестирования и то, нужна ли своя оценка ПО при оценке у поставщика, определяет банк (п. 3.9 821-П).

Программа Payweb для агрегатора работает по подписке и запускается за 30 дней. Это срок запуска программы, а не получения статуса: договор с банком, рассмотрение документов в НСПК и оценка соответствия идут отдельно. В программу входят:

• карточные платежи и эквайринг;
• платёжный процессинг;
• СБП;
• массовые выплаты;
• платежи по подписке;
• антифрод-инструменты;
• интеграция с онлайн-кассой.

Проверки мерчантов по 115-ФЗ, отчётов для банка и учёта по спецсчёту в списке нет — спросите о них на показе платформы. Массовые выплаты, например физическим лицам, в операции агрегатора не входят: он участвует только в переводе денег мерчантам (п. 3 ч. 3 ст. 14.1). Схему выплат согласуйте с банком и юристом.

Тариф	В месяц	Хостинг	Настройка и обновления
Старт	от 340 000 ₽	20 000 ₽	—
Бизнес	от 560 000 ₽	бесплатно	бесплатно

Тариф «Профессионал» — на странице программы. Если агрегатор даёт мерчантам программу, хостинг из тарифа подходит, только если информация об операциях не уходит за границу и к ней нет доступа оттуда, в том числе у нашей поддержки (п. 3 ч. 5 ст. 14.1). Где будут стоять серверы и откуда будет доступ, согласуйте до договора.

Payweb делает программу и не оказывает финансовых услуг: лицензий и статуса агрегатора мы не оформляем, агрегатором становится ваша компания по своему договору с банком. Чем своя разработка отличается от готовой платформы под вашим брендом (white label), — в статье «Разработка с нуля или white label», расходы на свою систему после запуска — в статье «Сколько стоит разработка платёжной системы». Если хотите посчитать свой случай, расскажите о проекте — подберём тариф и покажем платформу.