La PSD3 è al centro di continue discussioni nel settore dell'open banking, spesso senza che gli operatori riescano a chiarire esattamente quali novità introduca rispetto alla PSD2.
Cosa ha realmente introdotto la PSD2
In vigore dal 2018, la PSD2 ha istituito l'open banking così come lo conosciamo oggi. Ha obbligato gli istituti di credito ad aprire l'accesso ai dati di conto e all'avvio dei pagamenti a terze parti autorizzate tramite API sicure, ponendo le basi su cui poggiano i pagamenti A2A e gran parte delle moderne soluzioni finanziarie digitali.
Prima della PSD2, i dati contabili e i canali di pagamento bancari erano del tutto inaccessibili ai fornitori esterni. La PSD2 ne ha imposto l'apertura sotto rigorosi requisiti di sicurezza e consenso, e l'ecosistema di app fintech, prestatori di servizi di disposizione di ordini di pagamento e servizi di informazione sui conti è il risultato diretto di questa evoluzione normativa.
Cos'è realmente la PSD3
La PSD3, insieme al relativo Regolamento sui servizi di pagamento (PSR), non costituisce una riscrittura totale del modello di open banking. Si tratta di un affinamento mirato a colmare specifiche lacune emerse con l'adozione su larga scala della PSD2 nei 27 Stati membri dell'UE, ciascuno caratterizzato da approcci applicativi e interpretazioni talvolta divergenti.
Cosa si inasprisce concretamente con la PSD3
Uniformità dell'autenticazione. I requisiti di autenticazione forte del cliente (SCA) erano già previsti dalla PSD2, ma la loro applicazione pratica variava in modo marcato da banca a banca e tra i diversi mercati. La PSD3 spinge verso standard di autenticazione più coerenti e armonizzati in tutta l'UE, riducendo le frizioni in cui il medesimo flusso di open banking si comporta in modo sensibilmente eterogeneo a seconda dell'istituto coinvolto.
Chiarezza sulla responsabilità in caso di frode. La PSD2 lasciava margini di incertezza sull'attribuzione delle responsabilità per determinate tipologie di frode, in particolare le truffe sui bonifici autorizzati (APP scams), in cui il cliente viene indotto con l'inganno ad autorizzare personalmente la transazione. La PSD3 mira a definire in maniera più lineare e uniforme chi debba farsi carico della responsabilità in questi contesti.
Monitoraggio stringente della qualità delle API. Per chi sviluppa su infrastrutture di open banking, questo è senza dubbio il cambiamento di maggior rilievo pratico. Sotto la PSD2, alcuni istituti hanno realizzato il minimo indispensabile per risultare formalmente «conformi», senza reali incentivi a rendere le interfacce stabili e facili da integrare: canali formalmente validi, ma nella pratica complessi da gestire. La PSD3 introduce meccanismi sanzionatori e di vigilanza più incisivi orientati proprio a colmare questo divario.
Cosa non cambia con la PSD3
Il pilastro fondamentale dell'open banking — la possibilità per terze parti regolamentate di accedere ai dati di conto e avviare pagamenti previo consenso del cliente tramite API standardizzate — rimane invariato. Si tratta di un'evoluzione all'interno di un perimetro consolidato, non di un ripensamento architetturale che richieda la riprogettazione dei sistemi.
Per le aziende che già operano su infrastrutture di open banking, la PSD3 renderà le reti sottostanti più solide e affidabili nel tempo, senza imporre modifiche strutturali ai propri prodotti.
Cosa comporta tutto questo in pratica per chi sviluppa su Open Banking
Se il vostro prodotto dipende da API di open banking, i riflessi della PSD3 sono ampiamente positivi: flussi di autenticazione più omogenei per gli utenti finali, maggiore trasparenza sulla gestione delle controversie per frode e una vigilanza più severa verso quegli intermediari le cui API risultavano complesse da manutenere.
I tempi necessari affinché queste novità entrino pienamente in vigore varieranno da Paese a Paese, poiché le direttive europee richiedono il recepimento negli ordinamenti nazionali, un aspetto che merita monitoraggio se la consistenza transfrontaliera delle API è un fattore prioritario per il vostro modello operativo.
Domande frequenti
Devo modificare la mia integrazione tecnica se utilizzo già API di open banking conformi alla PSD2? Nella maggior parte dei casi non è richiesta alcuna modifica architetturale sostanziale. La PSD3 affina i requisiti in materia di autenticazione, responsabilità e qualità del servizio senza stravolgere il modello operativo di base per le terze parti.
La PSD3 incide sui servizi di informazione sui conti allo stesso modo in cui influisce sull'avvio dei pagamenti? Entrambe le attività regolamentate rientrano nelle disposizioni della PSD3, anche se gli obblighi puntuali variano a seconda che un fornitore disponga pagamenti o effettui semplicemente la consultazione dei dati contabili.
Quando entrerà pienamente in vigore la PSD3? Le tempistiche effettive dipendono dall'iter legislativo di recepimento nei singoli Stati membri. Si consiglia di monitorare periodicamente lo stato di avanzamento nei mercati chiave per la vostra attività.
L'infrastruttura di open banking di Be1B è progettata per assimilare prontamente evoluzioni normative di questa portata, consentendo alle imprese partner di concentrarsi sul business senza dover monitorare costantemente ogni singolo aggiornamento regolamentare.
Se state sviluppando una soluzione su circuiti di open banking, scoprite l'infrastruttura di open banking di Be1B per comprendere come opera nella pratica.