PSD3 diskuteras ständigt i sammanhang som rör open banking, ofta utan att de flesta tydligt kan redogöra för vad som faktiskt förändras i förhållande till PSD2.
Vad PSD2 ursprungligen etablerade
PSD2, som trädde i kraft 2018, är det regelverk som skapade open banking så som det fungerar i dag. Direktivet ålade bankerna att öppna upp åtkomst till kontodata och betalningsinitiering för licensierade tredjepartsleverantörer via säkra API:er. Detta utgör grunden som A2A-betalningar och merparten av alla moderna open banking-produkter vilar på.
Före PSD2 var bankernas kontodata och betalningsinfrastruktur helt stängda för externa aktörer. PSD2 tvingade fram denna öppning under strikta krav på säkerhet och samtycke. Det ekosystem av fintech-lösningar, betalningsinitierare och kontoinformationstjänster som vi ser i dag är ett direkt resultat av detta regulatoriska skifte.
Vad PSD3 faktiskt är
PSD3, tillsammans med den kompletterande betaltjänstförordningen (PSR), är ingen total omskrivning av open banking-modellen. Det är en förfining utformad för att åtgärda specifika brister som blev uppenbara när PSD2 implementerades i full skala i 27 EU-medlemsstater med delvis skilda tolkningar och tillsynsmetoder.
Vad som konkret skärps under PSD3
Enhetlig autentisering. Kraven på stark kundautentisering (SCA) fanns redan under PSD2, men den praktiska tillämpningen skilde sig avsevärt mellan olika banker och marknader. PSD3 driver på för mer harmoniserade autentiseringsstandarder i hela EU, vilket minskar situationer där samma open banking-flöde upplevs helt annorlunda beroende på vilken bank som berörs.
Tydligare ansvarsfördelning vid bedrägerier. PSD2 lämnade en del osäkerhet kring ansvaret vid vissa bedrägeriformer, särskilt manipulerade betalningar där kunden själv luras att godkänna en överföring (Authorized Push Payment scams). PSD3 syftar till att fastställa vem som bär det ekonomiska ansvaret i dessa fall på ett mer konsekvent sätt.
Tillsyn över API-kvalitet. Detta är ur ett tekniskt perspektiv förmodligen den mest betydelsefulla förändringen för alla som bygger produkter på open banking-infrastruktur. Under PSD2 byggde vissa banker endast det absoluta minimum som krävdes för att formellt uppfylla kraven, utan incitament att skapa stabila och välfungerande API:er – regulatoriskt godkända, men svåra att integrera i praktiken. PSD3 inför skarpare tillsynsmekanismer specifikt inriktade på att åtgärda detta.
Vad PSD3 inte förändrar
Den grundläggande open banking-modellen – att reglerade tredje parter kan få tillgång till kontodata och initiera betalningar med kundens samtycke via standardiserade API:er – förblir intakt. Det handlar om en vidareutveckling inom ett etablerat ramverk, inte om en ny teknisk arkitektur som kräver omfattande ombyggnader.
För företag som redan är verksamma på open banking-räls innebär PSD3 att infrastrukturen blir mer tillförlitlig och enhetlig över tid, utan att man behöver bygga om sin produkt i grunden.
Vad detta innebär i praktiken för företag på Open Banking-räls
Om din lösning förlitar sig på open banking-API:er är konsekvenserna av PSD3 i huvudsak positiva: jämnare och mer förutsägbara autentiseringsflöden för dina slutanvändare, tydligare regler kring bedrägeriansvar som minskar osäkerheten vid tvister, samt hårdare krav på de banker vars gränssnitt tidigare varit tekniskt problematiska.
Tidslinjen för när dessa regler träder i kraft i sin helhet och tillsynen skärps varierar mellan länderna, eftersom EU-direktiv måste införlivas i nationell lagstiftning, vilket är värt att bevaka om gränsöverskridande API-stabilitet är affärskritiskt.
Vanliga frågor
Måste jag ändra min integration om jag redan använder PSD2-kompatibla API:er? I de allra flesta fall krävs inga genomgripande arkitektoniska förändringar. PSD3 förtydligar krav på autentisering, ansvar och API-tillgänglighet utan att förändra själva kärnmodellen som tredjeparter integrerar mot.
Påverkar PSD3 kontoinformationstjänster på samma sätt som betalningsinitiering? Båda dessa reglerade kategorier omfattas av PSD3, även om specifika krav varierar beroende på om en leverantör initierar betalningar eller enbart läser av kontoinformation.
När träder PSD3 i full kraft? Implementeringsschemat beror på den specifika bestämmelsen och processen i respektive medlemsstat. Det är klokt att hålla koll på statusen för de marknader som är viktigast för din verksamhet.
Be1B:s open banking-infrastruktur är byggd för att automatiskt anpassa sig till regulatorisk utveckling som denna, vilket gör att företag som bygger ovanpå plattformen slipper övervaka varje enskild regeländring själva.
Om du utvecklar en lösning på open banking-räls kan du utforska Be1B:s open banking-infrastruktur för att se hur detta fungerar i praktiken.