Van PSD2 naar PSD3 en de PSR.

Het politiek akkoord dateert van 27 november 2025. Op 23 april 2026 publiceerde de Raad de final compromise teksten en op 5 mei 2026 heeft de ECON-commissie van het Europees Parlement de onderhandelde tekst goedgekeurd; de commissievoorzitter bevestigde op 18 mei 2026 dat het Parlement de tekst in tweede lezing ongewijzigd zal aannemen zodra de Raad zijn standpunt formeel vaststelt. De inhoud staat daarmee vast; wat rest is formele aanname, ondertekening en publicatie in het Publicatieblad. Op 7 oktober 2026 waren PSD3 en de PSR nog niet in het Publicatieblad verschenen; publicatie wordt nog altijd in de tweede helft van 2026 verwacht, maar een datum is niet bekend. De EBA noemt de voorbereiding van het nieuwe betaaldienstenkader als prioriteit in haar werkprogramma 2027. Voor instellingen is 2026 het jaar van impactanalyse en planning, met implementatie in 2027 en 2028.

PSD3 is een richtlijn, de PSR is een verordening. Dat verschil bepaalt hoe de regels werken in de praktijk. PSD3 regelt vergunningverlening, prudentieel toezicht en supervisie van betaalinstellingen en elektronischgeldinstellingen — onderwerpen waar nationale toezichthouders ruimte houden voor invulling, dus deze regels worden in nationale wetgeving (zoals de Wft) verwerkt. De PSR regelt gedragsregels: transparantie, gebruikersrechten, aansprakelijkheid, strong customer authentication, open banking en operationele eisen. Als verordening is de PSR direct toepasselijk in alle lidstaten zonder nationale implementatie. Het effect is verregaande harmonisatie van conduct-regels en het einde van uiteenlopende nationale interpretaties die onder PSD2 leidden tot forum shopping.

In de evaluatie van PSD2 stelde de Europese Commissie vast dat de doelen van PSD2 — open banking, fraudebestrijding en marktintegratie — onvoldoende waren bereikt. Open banking functioneerde gebrekkig door inconsistente API’s en juridische obstakels, fraude bleef toenemen ondanks SCA, en nationale verschillen in implementatie leidden tot forum shopping. Daarnaast zijn EMI’s onder een aparte richtlijn (EMD2) achterhaald geraakt door de convergentie tussen betaaldiensten en e-money. De hervorming bundelt conduct-regels in één direct toepasselijke verordening, integreert EMI’s in het betaalinstellingen-regime, scherpt fraudebestrijding aan en versterkt de positie van consumenten en niet-bancaire spelers in de markt.

De vergunningseisen worden aangescherpt en geharmoniseerd. PSD3 verzwaart eisen rond governance, uitbestedingsbeleid, integere bedrijfsvoering en herstelplanning. De prudentiële vereisten — kapitaal, liquiditeit, safeguarding — worden verduidelijkt en in sommige gevallen verhoogd. Belangrijk is ook de wijziging van de Settlement Finality Directive: betaalinstellingen krijgen het recht op directe deelname aan aangewezen betaalsystemen, een doorbraak ten opzichte van de huidige afhankelijkheid van banken. Aan de andere kant verschuiven veel conduct-verplichtingen naar de PSR, waardoor de operationele compliance-architectuur van betaalinstellingen inhoudelijk ingrijpend verandert. De vergunning zelf moet binnen 27 maanden na inwerkingtreding van PSD3 opnieuw beoordeeld worden.

PSD3 trekt de Tweede Elektronischgeldrichtlijn (EMD2) in en integreert EMI’s als sub-categorie binnen het betaalinstellingen-regime. Dat betekent één gezamenlijk vergunnings-, governance- en toezichtkader. Voor bestaande EMI’s heeft dit twee gevolgen. Inhoudelijk: de eisen rond uitgifte van elektronisch geld, terugbetaling en safeguarding blijven, maar worden nu binnen het PSD3-raamwerk geplaatst en aangevuld met de algemene verplichtingen voor betaalinstellingen. Procedureel: bestaande EMI-vergunningen moeten binnen de grandfathering-periode van 27 maanden worden heraangevraagd onder PSD3. Het onderscheid tussen “betaalinstelling” en “EMI” blijft inhoudelijk relevant voor bedrijfsvoering, maar verdwijnt als afzonderlijk vergunningstype.

Account information service providers (AISP’s) en payment initiation service providers (PISP’s) krijgen onder PSD3/PSR een sterkere positie. Account-houdende betaaldienstverleners — meestal banken — worden verplicht een dedicated, beveiligde API te onderhouden voor toegang tot rekeninggegevens, met striktere kwaliteitseisen rond beschikbaarheid en performance. De fallback-mechanismen die onder PSD2 leidden tot juridische discussies vervallen grotendeels. Daarnaast komen er verplichte permissie-dashboards waarmee consumenten hun toestemmingen kunnen monitoren en intrekken. Voor AISP’s en PISP’s betekent dit betere toegang tot kwalitatief hoogwaardige interfaces, maar ook nieuwe verplichtingen rond consenttransparantie, datagebruik en aansluiting op gestandaardiseerde governance-mechanismen.

Ja, mits tijdig heraangevraagd. PSD3 voorziet in een grandfathering-regime: bestaande betaalinstellingen en EMI’s mogen tot 27 maanden na inwerkingtreding van PSD3 blijven opereren onder hun huidige vergunning, op voorwaarde dat zij binnen die periode de benodigde informatie aanleveren waarmee de toezichthouder kan toetsen of de instelling voldoet aan de PSD3-eisen. Toont de instelling aan dat zij voldoet, dan wordt zij geacht onder PSD3 vergund te zijn. Doet zij dat niet of niet tijdig, dan vervalt de vergunning na afloop van de overgangstermijn. Het is dus geen automatische conversie maar een actieve heraanvraagprocedure.

Drie sporen lopen parallel. Eén: gap-analyse op het vergunningdossier — welke onderdelen van het bestaande dossier voldoen aan PSD3-eisen, welke moeten worden aangevuld of geactualiseerd. Twee: aanpassing van governance, beleid en procedures aan de nieuwe eisen rond integere bedrijfsvoering, uitbesteding, safeguarding en herstelplanning. Drie: tijdige indiening van de heraanvraag bij de toezichthouder — DNB voor Nederlandse betaalinstellingen — binnen de grandfathering-termijn van 27 maanden. De praktische valkuil is onderschatting van doorlooptijd: een dossier dat in 2027 gereed moet zijn, vraagt voorbereiding die in 2026 begint.

Buitenlandse fintechs: heeft u een vergunning elders en wilt u vanuit Nederland opereren, lees dan hoe een Nederlandse PSP- of EGI-vergunning voor buitenlandse fintechs werkt (Engels).

Verification of payee verplicht de betaaldienstverlener van de betaler om vóór uitvoering van een credit transfer te controleren of de naam van de begunstigde overeenkomt met het opgegeven uniek identificatienummer (doorgaans het IBAN). Bij een mismatch moet de PSP de betaler binnen seconden informeren over de afwijking en de mate ervan. Onder de Instant Payments Regulation geldt deze verplichting al voor instant credit transfers. De PSR breidt dit uit naar alle credit transfers die niet al onder de Instant Payments Regulation vallen. Belangrijk voor planning: deze specifieke verplichting kent een afwijkende toepassingstermijn — 27 maanden na inwerkingtreding van de PSR, in plaats van directe toepassing.

De aansprakelijkheidsverdeling verschuift wezenlijk in het voordeel van consumenten. Bij impersonatiefraude — waarbij een fraudeur zich voordoet als de PSP zelf — moet de PSP de consument terugbetalen, mits aan bepaalde voorwaarden is voldaan. Bij falende fraudemonitoring of het niet correct uitvoeren van verification of payee komen verliezen voor rekening van de PSP. Daarnaast wordt aansprakelijkheid uitgebreid naar online platforms in specifieke situaties, met name wanneer zij frauduleuze content niet verwijderen na melding. De PSR introduceert ook een collaboratief fraudedataplatform tussen PSP’s, met dataretentie tot vijf jaar na een incident en strikte privacy-waarborgen.

SCA blijft het fundament, maar wordt verfijnd. De PSR verduidelijkt wanneer SCA precies moet worden toegepast, met scherpere regels rond merchant-initiated transactions en gedelegeerde authenticatie. Nieuwe toegankelijkheidseisen verplichten dat SCA-methoden gratis worden aangeboden, niet uitsluitend via een smartphone werken, en aangepast zijn aan kwetsbare gebruikers — een belangrijk punt voor bevolkingsgroepen zonder smartphone of met digitale beperkingen. Voor PSP’s betekent dit een inventarisatie van bestaande authenticatieprocessen en mogelijk aanvullende kanalen of fall-back methoden. De vrijstellingsregimes uit de PSD2-RTS worden geactualiseerd; de definitieve technische standaarden volgen na publicatie van de PSR.

Open banking wordt versterkt op vier punten. Verplichte dedicated interface: account-houdende PSP’s moeten een specifieke, beveiligde API onderhouden voor toegang door AISP’s en PISP’s, met striktere kwaliteits- en beschikbaarheidseisen. Permissie-dashboards: consumenten krijgen recht op een dashboard waarin zij data-toegangen kunnen monitoren, intrekken en herinstellen. Anti-discriminatie: account-houdende PSP’s mogen vergunde open banking providers niet benadelen in toegangsvoorwaarden. Aansluiting op FIDA: het bredere Financial Data Access framework verbreedt het regime later naar andere financiële data buiten betaalrekeningen. Voor banken betekent dit substantiële investeringen in API-governance; voor open banking providers verbeterde toegang en juridische zekerheid.

De PSR introduceert real-time transactiemonitoring als kernverplichting, expliciet voor instant credit transfers. PSP’s moeten technische en organisatorische maatregelen treffen om afwijkende transactiepatronen te detecteren en te onderbreken voordat schade ontstaat. Banken mogen verdachte instant payments tijdelijk vertragen of blokkeren — een opmerkelijke evolutie in real-time betalingen. Daarnaast komt er een collaboratief fraudedata-platform waarop PSP’s onderling fraudesignalen delen, met privacy impact assessments en een retentietermijn van maximaal vijf jaar na een incident. Falende monitoring leidt tot aansprakelijkheid: het ontbreken van adequate controles wordt direct gekoppeld aan terugbetalingsverplichtingen jegens slachtoffers.

Dat hangt af van het onderdeel. De PSR treedt in werking 20 dagen na publicatie in het Publicatieblad, maar wordt pas 21 maanden ná die inwerkingtreding toepasselijk — bij publicatie in de tweede helft van 2026 dus in de loop van 2028. Voor verification of payee (artikelen 50 en 57 PSR) geldt een verlengde termijn van 27 maanden. PSD3 moet binnen 21 maanden nationaal zijn omgezet, en de grandfathering van bestaande PI- en EMI-vergunningen loopt maximaal 27 maanden vanaf inwerkingtreding van PSD3. Praktisch: 2026 is impactanalyse en planning, 2027 implementatie, 2028 operationele compliance op alle onderdelen.

Met de final compromise teksten van 23 april 2026 is de inhoud van PSD3 en de PSR voor planningsdoeleinden voldoende stabiel. Wachten op het Publicatieblad kost minstens twee kwartalen die effectiever besteed kunnen worden aan voorbereiding. Een werkbare aanpak in vier stappen: een gap-analyse tussen het huidige vergunningdossier en de PSD3-eisen om vroeg de zwaarste hiaten in beeld te krijgen, een impactanalyse op de PSR-conduct verplichtingen voor alle klantgerichte processen, een prioritering op basis van implementatiedoorlooptijd — IT-aanpassingen en API-werk eerst, beleidswijzigingen daarna — en een implementatieplanning die 2027 als operationeel doeljaar neemt. Hiermee voorkomt u dat 2026 verloren gaat aan afwachten.