PSD3, betalingstjenesteforordningen og FiDA: Europas betalingsreform

Tre sager skriver europæiske betalinger om på én gang, og de bliver ofte omtalt, som om de var én ting, selv om de ikke er det. PSD3 og betalingstjenesteforordningen erstatter PSD2. FiDA udvider adgangen til data ud over betalinger til resten af de finansielle tjenester. De har hvert sit anvendelsesområde, hver sin tidsplan og hver sin grad af sikkerhed.

Bygger du betalingsprodukter, bankintegrationer, regnskabssoftware eller noget som helst, der bruger API'er til open banking, er det her den sag, der ændrer din arkitektur mest i anden halvdel af årtiet.

Hvor hver af dem står

PSD3 og PSR. Rådet og Parlamentet nåede foreløbig politisk enighed den 27. november 2025. Den er nået længst. Formel vedtagelse følger, derefter en periode til gennemførelse og anvendelse. Realistisk set gælder den mod slutningen af årtiet.

FiDA. Den sag i europæisk finanslovgivning, der har haft det sværeste forløb. Fremlagt sammen med PSD3 i juni 2023, tæt på at blive opgivet, derefter genoplivet. Trilogforhandlingerne gik i stå i begyndelsen af 2026 og kom i gang igen. Realistisk set bliver anvendelsen faset ind et sted mellem 2027 og 2030, og det endelige anvendelsesområde er reelt usikkert.

Opdelingen i et direktiv og en forordning betyder noget. PSD3 er et direktiv, så medlemsstaterne gennemfører det i national ret, og der kommer nationale forskelle i bestemmelserne om tilladelser og tilsyn. PSR er en forordning, så den gælder direkte og ens overalt. Adfærdsregler, bestemmelser om svindel og krav til open banking ligger hovedsagelig i forordningen, og det er godt nyt for alle, der har slidt sig gennem 27 nationale implementeringer af PSD2.

Hvad PSD3 og PSR ændrer

Ansvaret for svindel flytter sig

Den vigtigste ændring. PSD2 fordelte ansvaret for uautoriserede transaktioner, men lod svindel med autoriserede overførsler, hvor offeret bliver narret til selv at sende pengene, blive liggende hos offeret.

Det nye regelsæt udvider ansvaret under bestemte omstændigheder, især når en svindler overbevisende udgiver sig for at være banken eller en anden betroet part. Betalingstjenesteudbyderne bliver ansvarlige i nærmere definerede tilfælde.

Hvad det betyder for ingeniørarbejdet: svindeldetektion holder op med at være en omkostning, der beskytter dine egne tab, og bliver et direkte værn mod ansvar. Regnestykket for at investere i detektion ser markant anderledes ud, når det er dig, der bærer tabet.

Stærk kundeautentifikation ændrer sig

SCA har været i kraft siden 2019 og har skabt en stor mængde friktion, undtagelser og omveje. Det nye regelsæt justerer reglerne: klarere håndtering af undtagelser, pligter omkring tilgængeligheden af autentifikation for brugere, der ikke kan bruge en smartphone, og bestemmelser rettet mod undtagelsen for transaktionsrisikoanalyse.

Hvad det betyder: har du bygget din SCA-implementering i 2019 og ikke rørt den siden, så regn med at skulle lave den om. Især tilgængelig autentifikation er et reelt krav, og det krydser det europæiske tilgængelighedsdirektiv.

Kontrollen af IBAN og navn bliver udvidet

Pligten til modtagerkontrol, der kom med straksbetalingsforordningen i oktober 2025, bliver udvidet og gjort generel i det nye regelsæt og dækker flere betalingstyper end kreditoverførsler i euro.

Hvad det betyder: den håndtering af fire mulige svar, du byggede til straksbetalinger, bliver det almindelige mønster og ikke et særtilfælde.

Ydeevnen i API'er til open banking kan nu håndhæves

PSD2 krævede, at bankerne stillede grænseflader til adgang til rådighed. Der blev bare ikke reelt stillet krav om, at de grænseflader skulle være gode. Resultatet blev år med klager fra tredjepartsudbydere over nedetid, inkonsistente data, aggressive krav om ny autentifikation og dedikerede grænseflader, der klarede sig dårligere end bankens egen kundekanal.

PSR tager fat på det med krav til ydeevne, et forbud mod at lægge hindringer i vejen og en fjernelse af pligten til at have en reservegrænseflade til gengæld for reelle kvalitetskrav til den dedikerede grænseflade.

Hvad det betyder: bruger du API'er til open banking, bliver bundniveauet for pålidelighed hævet. Leverer du dem, flytter kravet sig fra, at grænsefladen findes, til at den yder noget.

Reglerne for betalingsinstitutter og e-pengeinstitutter smelter sammen

To kategorier af tilladelser bliver til én. For de fleste virksomheder er det en forenkling. For virksomheder, der har begge, eller virksomheder, hvis forretningsmodel er lagt omhyggeligt på den ene side af stregen, venter der noget overgangsarbejde.

Hvad FiDA ville ændre

FiDA er den arkitektonisk vigtigste sag, hvis den lander som fremlagt, fordi den udvider modellen fra open banking til resten af de finansielle tjenester.

I dag dækker reguleret adgang til data betalingskonti. FiDA ville udvide den til opsparings- og investeringskonti, pensioner, realkreditlån, skadesforsikring og mere og skabe en ny reguleret kategori: udbyder af finansielle informationstjenester.

Mekanismen adskiller sig fra PSD2 på ét vigtigt punkt. PSD2 påbød adgang. FiDA er bygget op omkring ordninger for deling af finansielle data: markedsdrevne aftaler mellem dataindehavere og databrugere, som fastlægger de tekniske standarder og kompensationsmodellen. Dataindehaverne ville kunne opkræve betaling af databrugerne, til forskel fra PSD2, hvor adgangen er gratis.

Derfor betyder det noget: det tager fat om bankernes vigtigste indvending mod PSD2, nemlig at de skulle bygge og vedligeholde grænseflader, som andre tjente penge på uden at bidrage. Det betyder også, at de kommercielle vilkår bliver forhandlet i stedet for lovfæstet, og det giver sin egen usikkerhed.

Derfor har den haft det svært: anvendelsesområdet er enormt, kompensationsmodellen er omstridt, forsikringsbranchen kæmpede hårdt imod at blive omfattet, og gevinsten er mindre indlysende end ved betalinger. Den var tæt på at blive trukket tilbage.

Hvad det betyder, hvis du bygger finansiel software

Bruger du API'er til open banking

Tilværelsen bliver bedre, langsomt. Krav til ydeevne, et forbud mod hindringer og klarere regler om ny autentifikation tager fat på de driftsmæssige klager, der har gjort aggregering i open banking besværlig. Regn med, at forbedringen kommer ujævnt, bank for bank.

Lander FiDA, bliver mængden af tilgængelige data voldsomt større, men regn med at skulle betale for adgangen og at skulle tilslutte dig en ordning i stedet for at læne dig op ad en ret i loven.

Leverer du betalingstjenester

Ændringen i ansvaret for svindel er den, du skal planlægge efter. Regn din eksponering igennem efter den nye fordeling, før den gælder, for svaret afgør, hvor meget det kan betale sig at investere i detektion.

Autentifikationen skal gennemgås både på grund af ændringerne i undtagelserne og på grund af tilgængeligheden. Udvidelsen af navnekontrollen kræver den samme håndtering af fire tilstande som straksbetalinger.

Bygger du integrationer til regnskab, treasury eller ERP

Du sidder nedstrøms for det hele. Den praktiske virkning er, at de data, du kan hente, bliver bredere og mere pålidelige, og at dansen omkring autentifikation bliver mere standardiseret. Den største risiko er at bygge oven på de bankspecifikke særheder, der findes i dag, og som de nye krav til ydeevne fjerner igen.

Bygger du kasseløsninger til e-handel

Mindre direkte virkning, end du måske regner med. De ændringer, der når frem til dig, er justeringerne af autentifikationen og den generelle bevægelse mod konto-til-konto-betalinger, som Wero og den digitale euro også er udtryk for.

Den arkitektoniske pointe, der er værd at sige

Alle tre sager, plus straksbetalingsforordningen, plus Wero, plus den digitale euro, plus EU's digitale identitetstegnebog, peger samme vej: betalinger og finansielle data i Europa bevæger sig mod konto-til-konto-infrastruktur, verificeret identitet på infrastrukturniveau, standardiserede grænseflader og reguleret prissætning.

Konsekvensen for arkitekturen er den samme i dem alle. Systemer, der behandler en betalingsmetode, en datakilde eller en autentifikationsmekanisme som et plugin, optager det her billigt. Systemer, hvor detaljerne er vævet ind gennem hele kodebasen, betaler for hver ændring for sig.

Skal du tage én ting med herfra: abstraktionsarbejdet er det samme abstraktionsarbejde i hver eneste af de her sager. Gør du det én gang til Wero, er det betalt hjem, og alt derefter er næsten gratis.

Tidsplaner, ærligt sagt

PSD3 og PSR er der politisk enighed om, og det betyder, at indholdet i store træk ligger fast. Der er stadig år til, at de gælder, og de tekniske standarder, der afgør, hvad du rent faktisk skal bygge, kommer efter vedtagelsen. Det ville være for tidligt at bygge nu. Det er det ikke at kende retningen.

FiDA er reelt usikker. Den kan komme med et bredt anvendelsesområde, komme i stærkt indsnævret form eller slet ikke komme. Det ville være uklogt at bygge til den. Det er klogt uanset hvad at designe din datamodel, så det at tilføje en ny finansiel datakilde bliver en ændring i konfigurationen og ikke et projekt.

Hvor det hører hjemme

Hele lovgivningskøen findes i vores gennemgang af EU's lovgivningskø. De betalingsregler, der allerede gælder, er dækket i vores guide til straksbetalinger og modtagerkontrol, og den bredere complianceflade i vores guide til EU's digitale compliance i 2026.

Sådan får du hjælp

Vi bygger betalingsintegrationer, bankforbindelser og finansielle systemer for virksomheder, der opererer i hele Europa, herunder aggregering i open banking, afstemning og det arbejde med tilstandsmaskiner, der afgør, om betalingsflows er pålidelige.

Har dit betalingslag brug for det abstraktionsarbejde, som alt det her belønner, eller vil du have et bud på din eksponering for svindelansvar efter den nye fordeling, så skriv til office@c9group.dev. Mere om vores arbejde i Europa på siden om markedsindtræden i EU.

Vi er ingeniører og ikke compliancerådgivere. Spørgsmål om tilladelser og holdninger til ansvar hører hjemme hos dine jurister.