PSD3, il regolamento sui servizi di pagamento e FiDA: la riforma europea dei pagamenti

Tre dossier stanno riscrivendo nello stesso momento i pagamenti europei e vengono spesso trattati come se fossero una cosa sola, mentre non lo sono affatto. PSD3 e il regolamento sui servizi di pagamento sostituiscono la PSD2. FiDA porta l'accesso ai dati oltre i pagamenti, dentro il resto dei servizi finanziari. Ambiti, calendari e gradi di certezza sono diversi per tutti e tre.

Se sviluppate prodotti di pagamento, integrazioni bancarie, software contabile o qualunque cosa che attinga a API di open banking, questo è il dossier che nella seconda metà del decennio vi cambierà di più l'architettura.

A che punto è ciascun dossier

PSD3 e il PSR. Consiglio e Parlamento hanno raggiunto un accordo politico provvisorio il 27 novembre 2025. È il più avanzato dei tre. Ora servono l'adozione formale e poi un periodo di recepimento e applicazione. Realisticamente si applicherà verso la fine del decennio.

FiDA. Il dossier più travagliato di tutta la legislazione europea sui servizi finanziari. Proposto insieme a PSD3 a giugno 2023, dato per morto, poi rilanciato. I negoziati in trilogo si sono arenati a inizio 2026 e sono ripartiti. Realisticamente l'applicazione sarà scaglionata tra il 2027 e il 2030, e l'ambito definitivo è tutt'altro che chiaro.

La differenza tra direttiva e regolamento non è formale. PSD3 è una direttiva: gli Stati membri la recepiscono e su autorizzazione e vigilanza ci saranno differenze nazionali. Il PSR è un regolamento: si applica direttamente e allo stesso modo ovunque. Regole di condotta, disposizioni sulle frodi e requisiti di open banking stanno per lo più nel regolamento, il che è una buona notizia per chiunque si sia fatto 27 recepimenti nazionali della PSD2.

Cosa cambiano PSD3 e il PSR

Si sposta la responsabilità per frode

È il cambiamento più vistoso. La PSD2 ripartiva la responsabilità per le operazioni non autorizzate, ma lasciava in gran parte sulle spalle della vittima la truffa da pagamento autorizzato, quella in cui è la vittima stessa a essere indotta a disporre il bonifico.

Il nuovo quadro estende la responsabilità in casi precisi, in particolare le frodi per impersonificazione, quelle in cui il truffatore si spaccia in modo credibile per la banca o per un'altra controparte fidata. In situazioni definite la responsabilità passa ai prestatori di servizi di pagamento.

Cosa vuol dire sul piano ingegneristico: il rilevamento delle frodi smette di essere un centro di costo che serve a proteggervi dalle vostre stesse perdite e diventa un presidio diretto della responsabilità. I conti dell'investimento in rilevamento cambiano parecchio quando la perdita ve la portate a casa voi.

Cambia l'autenticazione forte del cliente

L'autenticazione forte è in vigore dal 2019 e ha prodotto parecchio attrito, un'infinità di esenzioni e altrettanti aggiramenti. Il nuovo quadro ritocca il regime: gestione delle esenzioni più chiara, obblighi di accessibilità dell'autenticazione per chi non può usare uno smartphone e disposizioni mirate sull'esenzione per analisi del rischio di transazione.

Cosa vuol dire: se avete messo in piedi l'autenticazione forte nel 2019 e da allora non l'avete più toccata, mettete in conto di rifarla. L'accessibilità dell'autenticazione, in particolare, è un requisito concreto e si intreccia con la direttiva europea sull'accessibilità.

La verifica tra IBAN e nome si allarga

L'obbligo di verifica del beneficiario arrivato con il regolamento sui pagamenti istantanei a ottobre 2025 viene esteso e generalizzato, così da coprire più tipi di pagamento e non solo i bonifici in euro.

Cosa vuol dire: la gestione dei quattro esiti che avete costruito per i pagamenti istantanei da eccezione diventa la regola.

Le prestazioni delle API di open banking diventano esigibili

La PSD2 obbligava le banche a mettere a disposizione interfacce di accesso. Non le obbligava, di fatto, a farle funzionare bene. Il risultato sono stati anni di proteste dei prestatori terzi su indisponibilità, dati incoerenti, richieste di riautenticazione sproporzionate e interfacce dedicate più lente del canale rivolto al cliente.

Il PSR interviene con requisiti di prestazione, il divieto di frapporre ostacoli e la cancellazione dell'obbligo di interfaccia di riserva, in cambio di veri standard di qualità sull'interfaccia dedicata.

Cosa vuol dire: se consumate API di open banking, si alza il livello minimo di affidabilità. Se le mettete a disposizione voi, l'asticella si sposta dall'esistere al funzionare.

Si fondono i regimi di istituto di pagamento e di moneta elettronica

Due categorie di autorizzazione ne diventano una. Per la maggior parte degli operatori è una semplificazione. Per chi le detiene entrambe, o per chi ha costruito il proprio modello di business apposta per stare da una parte precisa del confine, c'è del lavoro di transizione.

Cosa cambierebbe FiDA

Se arriva così com'è stato proposto, FiDA è il dossier con più conseguenze sull'architettura, perché estende il modello dell'open banking a tutto il resto dei servizi finanziari.

Oggi l'accesso regolato ai dati riguarda i conti di pagamento. FiDA lo estenderebbe a conti di risparmio e di investimento, pensioni, mutui, assicurazioni contro i danni e altro ancora, creando una nuova categoria regolata: il prestatore di servizi di informazione finanziaria.

Il meccanismo si discosta dalla PSD2 su un punto che pesa. La PSD2 imponeva l'accesso. FiDA ruota invece attorno ai sistemi di condivisione dei dati finanziari: accordi di mercato tra detentori e utilizzatori dei dati, che fissano standard tecnici e modello di remunerazione. A differenza della PSD2, dove l'accesso è gratuito, i detentori potrebbero far pagare gli utilizzatori.

Perché conta: risponde all'obiezione principale delle banche alla PSD2, cioè che dovevano costruire e mantenere interfacce dalle quali altri guadagnavano senza metterci nulla. Vuol dire però anche che le condizioni commerciali si negoziano invece di essere stabilite per legge, con tutta l'incertezza che ne consegue.

Perché si è arenato: l'ambito è enorme, il modello di remunerazione è conteso, il settore assicurativo si è opposto con forza all'inclusione e il ritorno è meno evidente che nei pagamenti. Il ritiro è stato a un passo.

Cosa significa se sviluppate software finanziario

Se consumate API di open banking

La vita migliora, ma lentamente. Obblighi di prestazione, divieto di ostacoli e regole di riautenticazione più chiare rispondono ai problemi operativi che hanno reso l'aggregazione open banking un lavoro ingrato. Mettete in conto che il miglioramento arrivi in ordine sparso, banca per banca.

Se FiDA passa, l'insieme dei dati raggiungibili si allarga a dismisura, ma preparatevi a pagare per l'accesso e ad aderire a un sistema, invece di poggiare su un diritto stabilito dalla norma.

Se prestate servizi di pagamento

Il capitolo da pianificare è quello della responsabilità per frode. Stimate la vostra esposizione con la nuova ripartizione prima che diventi applicabile, perché è quel numero a dirvi quanto investimento in rilevamento ha senso.

L'autenticazione va rivista sia per le novità sulle esenzioni sia per l'accessibilità. L'estensione della verifica del nome chiede la stessa gestione a quattro stati dei pagamenti istantanei.

Se sviluppate integrazioni contabili, di tesoreria o ERP

Siete a valle di tutto questo. In pratica i dati che potete recuperare diventano più ampi e più affidabili, e la trafila dell'autenticazione si standardizza. Il rischio principale è appoggiarsi alle bizzarrie che oggi ogni singola banca si porta dietro, e che le nuove regole di prestazione spazzeranno via.

Se sviluppate checkout per il commercio elettronico

L'impatto diretto è minore di quanto immaginereste. Quello che vi arriva sono le correzioni sull'autenticazione e la spinta generale verso i pagamenti conto a conto, la stessa che rappresentano Wero e l'euro digitale.

Il punto architetturale che conta

Tutti e tre i dossier, più il regolamento sui pagamenti istantanei, più Wero, più l'euro digitale, più il portafoglio europeo di identità digitale, spingono nella stessa direzione: in Europa pagamenti e dati finanziari vanno verso circuiti conto a conto, identità verificata a livello di infrastruttura, interfacce standardizzate e prezzi regolati.

La conseguenza sull'architettura è identica in tutti i casi. I sistemi che trattano un metodo di pagamento, una fonte dati o un meccanismo di autenticazione come un modulo innestabile assorbono tutto questo a poco prezzo. Quelli in cui le specificità sono cucite dentro il codice pagano ogni cambiamento a parte.

Se da qui portate a casa una cosa sola, sia questa: il lavoro di astrazione è lo stesso per ognuno di questi dossier. Farlo una volta per Wero basta a ripagarlo, e da lì in poi tutto il resto viene quasi gratis.

Tempi, onestamente

PSD3 e il PSR hanno un accordo politico, quindi nella sostanza sono definiti. L'applicazione resta lontana di anni, e gli standard tecnici che vi diranno davvero cosa sviluppare arriveranno dopo l'adozione. Mettersi a costruire adesso sarebbe prematuro. Sapere dove si va, no.

Su FiDA l'incertezza è reale. Può arrivare con un ambito largo, arrivare molto ridimensionato o non arrivare affatto. Metterci mano oggi sarebbe imprudente. Progettare il modello dati in modo che aggiungere una nuova fonte di dati finanziari sia una questione di configurazione e non un progetto è invece sensato in ogni caso.

Dove si colloca

Tutta la coda legislativa è nella nostra pipeline legislativa digitale dell'UE. Le regole sui pagamenti già in vigore le trovate nella guida ai pagamenti istantanei e alla verifica del beneficiario, mentre il perimetro di conformità più ampio è nella guida alla conformità digitale UE 2026.

Ottenere aiuto

Costruiamo integrazioni di pagamento, connettività bancaria e sistemi finanziari per aziende che operano in tutta Europa: aggregazione open banking, riconciliazione e quel lavoro sulle macchine a stati da cui dipende l'affidabilità dei flussi di pagamento.

Se il vostro livello di pagamento ha bisogno del lavoro di astrazione che tutto questo premia, o se volete una lettura della vostra esposizione alla responsabilità per frode con la nuova ripartizione, scrivete a office@c9group.dev. Trovate altro sul nostro lavoro europeo alla pagina dedicata all'ingresso nel mercato UE.

Siamo ingegneri, non consulenti regolamentari. Le questioni di autorizzazione e le posizioni sulla responsabilità spettano ai vostri legali.