Verklarende woordenlijst: Wat zijn PSD3 en PSR?

PSD3 is de derde richtlijn betalingsdiensten van de EU, een nieuw regelboek (samen met een begeleidende verordening, de PSR) dat PSD2 zal vervangen en de manier waarop betaalinstellingen in heel Europa worden vergund, gecontroleerd en aansprakelijk gesteld voor fraude, zal hervormen.

Opmerking over de planning: vanaf oktober 2026 zijn PSD3 en de PSR nog niet formeel aangenomen. Het Europees Parlement en de Raad hebben in november 2025 een politiek akkoord bereikt en in april 2026 de definitieve compromisteksten gepubliceerd, maar het pakket moet nog formeel worden goedgekeurd en gepubliceerd in het Publicatieblad van de EU (het officiële publicatieblad van de EU, waar wetten formeel worden gepubliceerd voordat ze van kracht worden), wat verwacht wordt in de tweede helft van 2026. Volledige toepassing wordt verwacht rond 2027 tot 2028.

Waarom de EU PSD3 heeft gecreëerd

PSD2, geïntroduceerd in 2015, bracht ons open banking en sterke cliëntauthenticatie. Het was een goed begin, maar er bleven mazen in de wet. Fraudeurs werden slimmer, terwijl open banking-verbindingen niet altijd de beschikbaarheid en prestaties leverden die ze moesten bieden. Tegelijkertijd is PSD2 in de verschillende EU-landen op verschillende manieren toegepast. PSD3 en de PSR zijn het antwoord van de Europese Commissie: één geharmoniseerd regelboek, strengere fraudebescherming en duidelijkere verantwoordelijkheid voor iedereen die geld overmaakt. We hebben al wat van de vroege gedachten hierachter besproken in onze eerdere blik op wat PSD3 zou kunnen brengen, toen de vorm van de hervorming nog in de steigers stond.

PSD3 vs PSR: wat is het verschil

Het helpt om ze te zien als twee helften van dezelfde hervorming.

PSD3, de Payment Services Directive (de richtlijn)

PSD3 is de ene helft van de hervorming van de betalingsdiensten in de EU. Het dekt de institutionele kant: wie een betaalinstelling of E-geldinstelling kan worden, hoe ze een vergunning krijgen en hoe er toezicht op hen wordt gehouden. Het is een richtlijn, een soort EU-wet die het doel vaststelt maar elk land de ruimte laat om zijn eigen uitvoeringswetgeving te schrijven. Elk EU-lidstaat zal deze dus in nationaal recht omzetten op een vergelijkbaar tijdschema als de PSR.

PSR, de Payment Services Regulation (de verordening)

PSR is de andere helft van de hervorming. In tegenstelling tot PSD3 is het een verordening, een soort EU-wet die rechtstreeks en identiek van toepassing is in elke lidstaat, zonder dat nationale omzetting nodig is. Het dekt de operationele regels: authenticatie, aansprakelijkheid bij fraude, verificatie van de begunstigde en de prestaties van open banking-API's, met technische normen die moeten worden vastgesteld door de Europese Bankenautoriteit (EBA).

Samen vervangen PSD3 en de PSR de PSD2 en ook de huidige richtlijn voor elektronisch geld, EMD2 (Richtlijn 2009/110/EG). De regels daarvan worden rechtstreeks in PSD3 opgenomen, waardoor betaalinstellingen en E-geldinstellingen worden samengevoegd in één eenvoudiger vergunningskader.

Wat er verandert onder PSD3 and de PSR

Een paar van de belangrijkste verschuivingen:

• Verschuiving van fraude-aansprakelijkheid: Als een bank of provider een overduidelijke spoofing-poging mist (een oplichter die zich voordoet als een betrouwbare bron, zoals een bank of leverancier, om iemand te verleiden tot betaling), kan de aansprakelijkheid verschuiven van de persoon die is opgelicht. In Nederland is dit al een opkomende praktijk; PSD3 en de PSR maken hier een bindende, EU-brede regel van in plaats van een beoordeling per geval.

• Sterkere open banking-API's: Sinds 2018 konden banken vaak terugvallen op een haperende of trage verbinding in plaats van deze te repareren. De PSR vereist dat banken ervoor zorgen dat deze verbindingen minstens zo goed presteren als hun eigen bank-app of website; geen excuses meer voor een tweederangs verbinding.

• Eén enkele PI (betaalinstelling) / EMI (E-geldinstelling) vergunning: Betaalinstellingen en E-geldinstellingen vallen straks onder één geharmoniseerd vergunningsregime in plaats van twee afzonderlijke. In de praktijk: een bedrijf dat zowel betalingsdiensten als elektronisch geld wil aanbieden, zoals prepaidtegoeden of digitale portemonnees, heeft geen twee aparte vergunningen en papierwerk meer nodig; één dekt beide.

• Strenger toezicht op marktplaatsen: Marktplaatsen mogen al geen gelden van klanten beheren zonder vergunning of een geldige vrijstelling, maar sommige platforms hebben de vrijstelling voor handelsagenten gebruikt op een manier die de bedoeling ervan oprekte. PSD3 scherpt die definitie verder aan, en de eerste platforms stappen al over naar een opzet met vergunning, door ofwel een eigen vergunning te verwerven of samen te werken met een platform-PSP.

• Aansprakelijkheid van platforms voor frauduleuze inhoud: Grote online platforms mogen alleen nog financiële diensten adverteren van aanbieders die in die markt zijn toegelaten. Als een betaalprovider een gedupeerde klant vergoedt nadat het platform is gewezen op frauduleuze inhoud en deze niet heeft verwijderd, kan het platform aansprakelijk worden gesteld tegenover die provider.

We gaan veel dieper in op wat dit in de praktijk betekent, voor zowel marktplaatsen als SaaS-platforms die betalingen integreren, in ons artikel Hoe PSD3 en PSR invloed hebben op marktplaatsen en SaaS-platforms.

Voor wie is PSD3 van belang?

• Betaalinstellingen, E-geldinstellingen en banken dragen de zwaarste last op het gebied van naleving, aangezien zij de vergunning houden. Dat zij onder de reikwijdte van vergunningverlening en toezicht vallen is niet nieuw; dat was onder PSD2 al zo. Wat er verandert is de vorm: één geharmoniseerde PI/EMI-vergunning in plaats van twee aparte regimes, en versterkt grensoverschrijdend toezicht.

• Marktplaatsen kunnen worden beïnvloed door de inperking van de uitzondering voor handelsagenten. Sommige marktplaatsen konden onder PSD2 nog op deze uitzondering vertrouwen, afhankelijk van de aanpak van hun nationale toezichthouder. Onder PSD3/PSR kunnen marktplaatsen die namens zowel kopers als verkopers optreden hier over het algemeen geen aanspraak meer op maken.

• SaaS-platforms (ISV's) die betalingen integreren worden indirect beïnvloed. Hoewel de vergunde betalingspartner verantwoordelijk blijft voor gereguleerde activiteiten zoals onboarding van verkopers en KYC, kan de ISV te maken krijgen met strengere eisen van de betalingspartner rond de informatie die zij verzamelt van verkopers, hoe die informatie wordt geverifieerd en de fraudesignalen die zij doorgeeft.

• Winkeliers en online verkopers merken dit vooral via hun betaalprovider: de verificatiestappen bij het afrekenen kunnen iets veranderen, op afschriften zal uw echte handelsnaam duidelijker te zien zijn en fraudegeschillen zouden sneller moeten worden opgelost.

Wat dit voor u betekent

Als u een marktplaats of SaaS-platform beheert, moet u mogelijk opnieuw beoordelen of uw huidige betaalopzet nog steeds in aanmerking komt voor een vrijstelling onder de nieuwe regels. Wat op uw bordje ligt: controleer nu of uw geldstromen en onboarding daadwerkelijk standhouden onder de strengere regels, en ga het gesprek aan met een gereguleerde betalingspartner als u er niet zeker van bent. 

Hoe OPP helpt

Bij OPP is de onboarding gebouwd met precies dit soort verschuivingen in regelgeving in het achterhoofd, of u nu verkopers op een marktplaats verifieert of winkeliers onboardt via uw SaaS-platform.