Hoe PSD3 en PSR marktplaatsen en SaaS-platforms beïnvloeden

Als je een marktplaats beheert of een SaaS-platform (ISV) bent dat betalingen voor klanten integreert, is er een duidelijke vraag achter alle regels: verandert er echt iets aan mijn checkout of uitbetalingen, en wat moet ik doen? Kort antwoord: ja, er verandert wel wat. Het gaat alleen niet morgen al in; je hebt tot circa 2027 of 2028 om je voor te bereiden.

We hebben de basis besproken in Wat is PSD3 en PSR, en wat betekenen ze voor jouw bedrijf?. Deze blog gaat dieper in op wat het betekent als je een marktplaats of een SaaS-platform met geïntegreerde betalingen beheert, in plaats van een enkele webshop.

Waar PSD3 en de PSR momenteel staan

Vanaf 2026 hebben de EU-instellingen een voorlopig politiek akkoord bereikt over PSD3 en de PSR; de technische afronding is nu bezig. Volledige toepassing in de EER wordt verwacht rond 2027 tot 2028. We lichten de volledige planning toe in Wat is PSD3 en PSR, en wat betekenen ze voor jouw bedrijf?

Er verandert morgen dus niets voor je checkout. Maar als je oprichter bent van een marktplaats of SaaS-platform, is dit het jaar om te begrijpen wat er komt en je voor te bereiden, niet het jaar om in paniek te raken.

Wat PSD3 en PSR betekenen voor jouw marktplaats

De meeste marktplaatsen merken PSD3 via één belangrijk mechanisme: hoe je momenteel geld mag overboeken tussen kopers en verkopers zonder zelf een licentie te hebben.

• De uitzondering voor handelsagenten wordt ingeperkt. In sommige gevallen, afhankelijk van de lokale toezichthouder, staat deze uitzondering een marktplaats nu toe om geld te verplaatsen tussen kopers en verkopers zonder eigen licentie, maar alleen als de marktplaats echt één partij vertegenwoordigt. Een typische marktplaats doet dat niet; die behandelt elke koper en verkoper gelijk en verwerkt gewoon de afgesproken prijs, waardoor de meeste marktplaatsen niet in aanmerking komen. Met de nieuwe update worden de opties voor deze uitzondering nog kleiner. Als je niet in aanmerking komt, moet je betalingen via een gereguleerde partner laten lopen in plaats van zelf het geld te beheren. Werk je al met een gereguleerde partner zoals OPP, dan verandert er niets voor jou.

• Fraude-aansprakelijkheid over alle verkopers heen. Als een van je verkopers een koper oplicht en de bank dit moet vergoeden, verschuift de aansprakelijkheid van het slachtoffer naar degene die een duidelijk waarschuwingssignaal heeft gemist. Als de fraudemonitoring van je eigen platform dit niet heeft opgemerkt, ligt de verantwoordelijkheid bij jou. Je betalingspartner kan dan de tarieven verhogen, je contract aanscherpen of je account beperken als dit blijft gebeuren.

• Aansprakelijkheid voor frauduleuze content die je niet verwijdert. Als een frauduleuze verkoper of advertentie op je marktplaats een klant oplicht, en je bent geïnformeerd over deze fraude maar verwijdert de content niet, dan kan de nieuwe PSR je platform aansprakelijk stellen jegens de betalingsprovider voor het bedrag dat aan de klant is vergoed. Zeer grote online platformen en zoekmachines moeten ook controleren of adverteerders die financiële diensten aanbieden geautoriseerd of vrijgesteld zijn in de betreffende markt, of adverteren namens een geautoriseerde of vrijgestelde provider.

Wat PSD3 en PSR betekenen voor jouw SaaS-platform (ISV)

Marktplaatsen en SaaS-platformen worden vanuit andere hoeken geraakt door PSD3, maar de onderliggende druk is hetzelfde: strenger toezicht op wie er daadwerkelijk met het geld omgaat.

SaaS-platformen met geïntegreerde betalingen doen dit meestal via een payment facilitation (PayFac) model. Dit betekent dat een erkende betalingsinstelling (PI) of e-geldinstelling (EMI) het wettelijke werk doet terwijl jij het product beheert, in plaats van dat je zelf een licentie bezit.

Wat er verandert: PSD3 en de PSR introduceren duidelijkere regels en strenger toezicht op de verschillende partijen die betrokken zijn bij het aanbieden van betalingsdiensten. Wat dit betekent voor een SaaS-platform hangt af van de opzet van de betalingen en welke verantwoordelijkheden bij het platform liggen versus de gelicentieerde betalingspartner. 

In de praktijk kan dat leiden tot strenger toezicht, registratie en contractuele eisen van je gelicentieerde partner. Het is dus verstandig om te controleren hoe de nieuwe regels gelden voor jouw specifieke opzet, in plaats van aan te nemen dat alles hetzelfde blijft.

• Merchant onboarding en KYC. Dit hangt af van wie de Onboarding daadwerkelijk uitvoert. Als je gelicentieerde partner de merchants direct onboardt, is dit meestal niet jouw probleem. Als je de Onboarding zelf doet onder toezicht van je partner, verwacht dan dat ze vragen om een robuustere en beter gedocumenteerde KYC naarmate het toezicht toeneemt, zonder dat het aanmelden van je merchants vertraging oploopt.

• Fraude-aansprakelijkheid. Als een van je merchants een klant oplicht via je geïntegreerde checkout en de bank dit moet terugbetalen, verschuift de aansprakelijkheid van het slachtoffer naar degene die een duidelijk waarschuwingssignaal heeft gemist. Als de fraudemonitoring van je eigen platform dit niet heeft opgemerkt, ligt de verantwoordelijkheid bij jou. Je betalingspartner kan dan de tarieven verhogen, je contract aanscherpen of je account beperken als dit blijft gebeuren.

• De juiste betalingspartner kiezen wordt nóg belangrijker. Kies er een die al is voorbereid op PSD3 en de PSR, zoals OPP, zodat je merchant onboarding, KYC en uitbetalingsstromen niet hoeven te worden aangepast zodra de regels officieel ingaan.

Hoe PSD3 de fraude-aansprakelijkheid verandert

Als een bank of betalingsprovider een duidelijke poging tot spoofing mist (een oplichter die zich voordoet als een betrouwbare bron, zoals een bank of leverancier, om iemand te laten betalen) en een klant, verkoper of merchant wordt hierdoor opgelicht, kan de aansprakelijkheid verschuiven van het slachtoffer. 

Voor zowel marktplaatsen als SaaS-platformen legt dit de lat hoger voor de fraudesignalen die je betalingssysteem moet opvangen en opvolgen. De Europese Bankautoriteit (EBA) zal naar verwachting de technische standaarden hiervoor definitief vaststellen.

Hoe PSD3 de sterke klantauthenticatie (SCA) verandert

Onder PSD2 mogen banken de extra tweestapsverificatie bij de checkout overslaan als een transactie als laag risico is ingeschat, ook wel bekend als op risico gebaseerde vrijstellingen van sterke klantauthenticatie. Dit geldt onder andere voor transacties met een lage waarde, vertrouwde begunstigden en transactierisicoanalyse op basis van realtime fraudescores. 

Het probleem was de consistentie: hoe streng dit wordt toegepast verschilt sterk per land en provider. De PSR wil dat oplossen met bijgewerkte technische standaarden van de EBA (gedetailleerde regels die de EBA schrijft om uit te leggen hoe zo'n wet in de praktijk werkt) over wanneer verificatie kan worden overgeslagen, consistent toegepast in de hele EU, plus nieuwe eisen die ervoor zorgen dat verificatie er niet vanuit gaat dat elke klant een smartphone heeft. 

Voor een marktplaats of SaaS-platform dat actief is in meerdere EU-landen betekent dit dat een terugkerende klant die dezelfde aankoop met lage waarde doet, overal op dezelfde manier wordt behandeld, of de bank nu in Nederland of Duitsland staat. Die consistentie is ook commercieel belangrijk: minder onvoorspelbare frictie betekent minder afgebroken checkouts en minder verwarde klanten die zich afvragen waarom ze opeens extra verificatie nodig hadden.

Hoe PSD3 open banking-API's verbetert

Sinds 2018 mochten banken vaak vertrouwen op trage of onbetrouwbare verbindingen in plaats van deze op te lossen. Hierdoor kunnen open banking API's nog steeds haperen of uitvallen wanneer klanten ze het hardst nodig hebben.

PSD2 vereiste al dat deze verbindingen hetzelfde prestatie- en beschikbaarheidsniveau boden als de eigen interface van de bank voor klanten. Het nieuwe PSD3/PSR-raamwerk versterkt dit door de noodzaak van een permanente back-upinterface te schrappen, en introduceert strengere eisen voor specifieke API's en noodmaatregelen wanneer deze falen.

Als jouw marktplaats of SaaS-platform betalen via de bank ondersteunt als betaalmethode in meerdere markten, zou dit moeten leiden tot minder afgebroken transacties en een stabielere conversie.

Voorbereiden op PSD3: een checklist voor marktplaatsen en SaaS-platformen

Als marktplaats bevind je je tussen kopers en verkopers, dus je hebt vooral te maken met de uitzondering voor handelsagenten en uitbetalingen aan verkopers. 

Als SaaS-platform met geïntegreerde betalingen heb je vooral te maken met je payment facilitation model en merchant onboarding. In beide gevallen zijn er een aantal zaken om aan te werken tussen nu en 2028:

1. Marktplaatsen: neem niet aan dat de uitzondering voor handelsagenten op jou van toepassing is. De uitzondering geldt alleen als je uitsluitend voor één kant van de transactie optreedt met echte onderhandelingsruimte; een standaard geautomatiseerde checkout die kopers en verkopers matcht, voldoet hier niet aan. Als je op deze uitzondering hebt vertrouwd, start dan nu het gesprek met een gereguleerde betalingspartner in plaats van er te laat achter te komen.

2. SaaS-platformen (ISV's) met geïntegreerde betalingen: controleer je merchant onboarding en KYC. Zorg dat deze robuust genoeg is om stand te houden onder strenger toezicht, zonder dat het onboardingproces van je merchants vertraagt.

3. Beide: begin nu het gesprek met je betalingsprovider of facilitator, wacht niet tot de regels er zijn. De technische details, zoals de bijgewerkte verificatiestandaarden van de EBA, worden nog sectorbreed uitgewerkt, dus niemand heeft nog alle antwoorden. Wat telt is dat je een partner vindt die dit actief volgt en je op de hoogte houdt, zodat je het niet zelf hoeft uit te zoeken.

4. Beide: wacht niet op de deadline. Zie de periode van 2026 tot 2028 als een aanloopfase, niet als een plotselinge deadline, zodat je later niet achter de feiten aanloopt.

Hoe OPP hierin past

Dit is precies waar OPP kan helpen, of je nu een marktplaats beheert of een SaaS-platform met geïntegreerde betalingen. 

Omnichannel betalingen zorgen ervoor dat je geen gefragmenteerde opzet hoeft samen te stellen nu PSD3 de regels aanscherpt over wie geld mag beheren; één gelicentieerde structuur dekt je verkopers of merchants online, fysiek of grensoverschrijdend, zonder dat je de logica voor elke markt opnieuw hoeft op te bouwen. 

Onboarding zorgt ervoor dat nieuwe verkopers of merchants worden gecontroleerd volgens dezelfde KYC-normen die PSD3 en de PSR nu van gelicentieerde partners verwachten, zonder dat hun aanmelding vertraging oploopt. 

En ondersteuning betekent dat wanneer er een fraudemelding, een vraag over content-aansprakelijkheid of een registratieplicht voor distributeurs opkomt, je dit oplost met een team dat al is ingesteld op PSD3 en de PSR, in plaats van dat je zelf EU-wetgeving moet doorspitten. Specifiek voor marktplaatsen omvat dit ook interne geschillenbeslechting tussen koper en verkoper, wat direct relevant is gezien de bovengenoemde regels voor fraude- en content-aansprakelijkheid.

Wetswijzigingen zijn zelden het favoriete onderwerp van oprichters. Onze taak is om ervoor te zorgen dat dat ook niet hoeft. Als je wilt bespreken wat dit specifiek voor jouw opzet betekent, kun je hier contact opnemen met ons team.