PSD3, de verordening betalingsdiensten en FiDA: de grote Europese betaalhervorming

Drie dossiers herschrijven het Europese betalingsverkeer tegelijk, en ze worden vaak over één kam geschoren terwijl ze bepaald niet hetzelfde zijn. PSD3 en de verordening betalingsdiensten vervangen PSD2. FiDA trekt de gegevenstoegang door van betalingen naar de rest van de financiële dienstverlening. Ze verschillen in reikwijdte, in tijdschema en in hoe zeker ze zijn.

Bouwt u betaalproducten, bankintegraties, boekhoudsoftware of iets anders dat open banking-API's afneemt, dan is dit het dossier dat uw architectuur in de tweede helft van dit decennium het sterkst verandert.

Waar elk dossier staat

PSD3 en de PSR. Raad en Parlement bereikten op 27 november 2025 een voorlopig politiek akkoord. Dit dossier is het verst gevorderd. De formele aanneming volgt, daarna een periode van omzetting en toepassing. Realistisch gaat het gelden tegen het einde van het decennium.

FiDA. Het moeizaamste dossier in de Europese wetgeving voor financiële diensten. Samen met PSD3 voorgesteld in juni 2023, bijna gesneuveld, en daarna weer opgepakt. De triloogonderhandelingen liepen begin 2026 vast en zijn hervat. Realistisch gaat het gefaseerd gelden ergens tussen 2027 en 2030, en de uiteindelijke reikwijdte is werkelijk onzeker.

Het onderscheid tussen een richtlijn en een verordening doet ertoe. PSD3 is een richtlijn, dus de lidstaten zetten hem om en er komt nationale variatie in de bepalingen over vergunningverlening en toezicht. De PSR is een verordening en werkt dus rechtstreeks en uniform door. Gedragsregels, fraudebepalingen en eisen rond open banking zitten grotendeels in de verordening, en dat is goed nieuws voor iedereen die zich ooit door 27 nationale uitvoeringen van PSD2 heeft geworsteld.

Wat PSD3 en de PSR veranderen

De fraudeaansprakelijkheid verschuift

De belangrijkste verandering. PSD2 verdeelde de aansprakelijkheid voor niet-toegestane transacties, maar legde fraude met toegestane overboekingen, waarbij het slachtoffer wordt verleid de betaling zelf te doen, grotendeels bij dat slachtoffer neer.

Het nieuwe kader breidt de aansprakelijkheid in specifieke omstandigheden uit, en dan vooral bij spoofing, waarbij een fraudeur zich overtuigend voordoet als de bank of een andere vertrouwde partij. Betaaldienstverleners worden in omschreven gevallen aansprakelijk.

Wat dat in engineeringtermen betekent: fraudedetectie is niet langer een kostenpost die alleen uw eigen verlies beperkt, maar wordt een directe beheersmaatregel voor aansprakelijkheid. De rekensom achter een investering in detectie verandert wezenlijk zodra u het verlies zelf draagt.

De sterke cliëntauthenticatie verandert

SCA geldt sinds 2019 en heeft een hoop wrijving, uitzonderingen en omwegen opgeleverd. Het nieuwe kader stelt dat regime bij: een verduidelijkte afhandeling van uitzonderingen, verplichtingen rond de toegankelijkheid van authenticatie voor gebruikers die geen smartphone kunnen bedienen, en bepalingen die zich richten op de uitzondering voor transactierisicoanalyse.

Wat dat betekent: bouwde u uw SCA-implementatie in 2019 en hebt u er sindsdien niet meer naar gekeken, reken dan op een flinke opknapbeurt. Vooral de toegankelijkheid van authenticatie is een reële eis, die bovendien raakt aan de Europese toegankelijkheidsrichtlijn.

De IBAN- en naamcontrole wordt breder

De plicht tot verificatie van de begunstigde die in oktober 2025 met de verordening instantbetalingen kwam, wordt in het nieuwe kader uitgebreid en veralgemeend, en gaat over meer betaalsoorten dan alleen overboekingen in euro.

Wat dat betekent: de afhandeling met vier uitkomsten die u voor instantbetalingen hebt gebouwd, wordt het algemene patroon in plaats van een bijzonder geval.

De prestaties van open banking-API's worden afdwingbaar

PSD2 verplichtte banken om toegangsinterfaces te bieden. Wat de richtlijn niet effectief afdwong, was dat die interfaces ook goed zouden werken. Het resultaat: jarenlange klachten van derde partijen over uitval, inconsistente gegevens, agressieve eisen tot herauthenticatie en speciale interfaces die slechter presteerden dan het kanaal voor de eigen klanten.

De PSR pakt dat aan met prestatie-eisen, een verbod op belemmeringen, en het schrappen van de verplichte terugvalinterface in ruil voor echte kwaliteitsnormen voor de speciale interface.

Wat dat betekent: neemt u open banking-API's af, dan gaat de ondergrens voor betrouwbaarheid omhoog. Levert u ze zelf, dan verschuift de lat van "de interface bestaat" naar "de interface presteert".

De regimes voor betaalinstellingen en elektronischgeldinstellingen gaan samen

Twee vergunningcategorieën worden er één. Voor de meeste ondernemingen wordt het daarmee eenvoudiger. Voor ondernemingen met beide vergunningen, of met een bedrijfsmodel dat zorgvuldig aan één kant van de streep was ingericht, ligt er overgangswerk.

Wat FiDA zou veranderen

Architectonisch is FiDA het zwaarste dossier, tenminste als het er komt zoals voorgesteld, want het trekt het model van open banking door naar de rest van de financiële dienstverlening.

Nu geldt de gereguleerde gegevenstoegang alleen voor betaalrekeningen. FiDA zou die uitbreiden naar spaar- en beleggingsrekeningen, pensioenen, hypotheken, schadeverzekeringen en meer, en introduceert daarmee een nieuwe gereguleerde categorie: de aanbieder van financiële informatiediensten.

Het mechanisme verschilt op één belangrijk punt van PSD2. PSD2 verplichtte tot toegang. FiDA is opgebouwd rond regelingen voor het delen van financiële gegevens: afspraken vanuit de markt tussen gegevenshouders en gegevensgebruikers, die de technische normen en het vergoedingsmodel vastleggen. Gegevenshouders zouden gegevensgebruikers een vergoeding in rekening mogen brengen, anders dan onder PSD2, waar de toegang gratis is.

Waarom dat telt: het pakt de voornaamste klacht van banken over PSD2 aan, namelijk dat zij interfaces moesten bouwen en onderhouden waar anderen aan verdienden zonder mee te betalen. Het betekent ook dat de commerciële voorwaarden worden uitonderhandeld in plaats van in wetgeving vastgelegd, en dat brengt zijn eigen onzekerheid mee.

Waarom het zo moeizaam gaat: de reikwijdte is enorm, het vergoedingsmodel is omstreden, de verzekeringssector verzette zich hard tegen opname, en de meerwaarde is minder evident dan bij betalingen. Het scheelde weinig of het was ingetrokken.

Wat dit betekent als u financiële software bouwt

Als u open banking-API's afneemt

Het wordt beter, maar langzaam. Prestatieplichten, een verbod op belemmeringen en helderdere regels voor herauthenticatie pakken precies die operationele klachten aan die aggregatie via open banking zo pijnlijk maakten. Reken erop dat de ene bank daar sneller in meegaat dan de andere.

Komt FiDA er, dan groeit de bereikbare gegevensset enorm, maar reken erop dat u voor toegang gaat betalen en dat u aan een regeling moet deelnemen in plaats van te kunnen leunen op een wettelijk recht.

Als u betaaldiensten levert

De verschuiving in fraudeaansprakelijkheid is waar u zich op moet voorbereiden. Reken uw risico onder de nieuwe verdeling door voordat die geldt, want de uitkomst bepaalt hoeveel investering in detectie te rechtvaardigen is.

Uw authenticatie moet op de schop, zowel voor de gewijzigde uitzonderingen als voor de toegankelijkheid. De uitbreiding van de naamcontrole vraagt om dezelfde afhandeling met vier toestanden als bij instantbetalingen.

Als u boekhoud-, treasury- of ERP-integraties bouwt

U zit bij dit alles verderop in de keten. Het praktische effect is dat de gegevens die u kunt ophalen breder en betrouwbaarder worden, en dat het authenticatieritueel meer gestandaardiseerd raakt. Het grootste risico is dat u nu bouwt op bankspecifieke eigenaardigheden die de nieuwe prestatieregels straks wegnemen.

Als u e-commercecheckout bouwt

Minder directe impact dan u zou denken. Wat u raakt zijn de aanpassingen in de authenticatie, en de algemene beweging richting rekening-naar-rekeningbetalingen waar Wero en de digitale euro ook voor staan.

Het architectuurpunt dat hier gemaakt moet worden

Alle drie de dossiers, plus de verordening instantbetalingen, plus Wero, plus de digitale euro, plus de EU-wallet voor digitale identiteit, wijzen dezelfde kant op: betalingen en financiële gegevens in Europa bewegen richting rekening-naar-rekeninginfrastructuur, geverifieerde identiteit op infrastructuurniveau, gestandaardiseerde interfaces en gereguleerde prijzen.

De gevolgen voor de architectuur zijn in alle gevallen dezelfde. Systemen die een betaalmethode, een gegevensbron of een authenticatiemechanisme als plug-in behandelen, vangen dit goedkoop op. Systemen waarin de details door de hele codebase heen geweven zitten, betalen voor elke verandering opnieuw.

Als u één ding uit dit stuk meeneemt: voor elk van deze dossiers gaat het om precies hetzelfde abstractiewerk. Doet u het één keer voor Wero, dan is het betaald, en alles daarna komt er vrijwel gratis bij.

De timing, eerlijk gezegd

Over PSD3 en de PSR is politieke overeenstemming bereikt, dus de inhoud ligt grotendeels vast. De toepassing is nog jaren weg, en de technische normen die bepalen wat u werkelijk bouwt volgen pas na de aanneming. Nu al gaan bouwen is voorbarig. De richting kennen is dat niet.

FiDA is werkelijk onzeker. Het kan er met een brede reikwijdte komen, het kan er flink uitgekleed komen, of het komt er helemaal niet. Er nu al voor bouwen zou onverstandig zijn. Uw datamodel zo inrichten dat een nieuwe financiële gegevensbron een configuratiewijziging is en geen project, is hoe dan ook verstandig.

Waar dit past

De volledige wetgevingsagenda staat in onze EU-wetgevingspijplijn. De betaalregels die nu al gelden staan in onze gids voor instantbetalingen en verificatie van de begunstigde, en het bredere nalevingslandschap in onze gids voor EU-digitale naleving 2026.

Hulp krijgen

Wij bouwen betaalintegraties, bankconnectiviteit en financiële systemen voor bedrijven die in heel Europa actief zijn, inclusief aggregatie via open banking, reconciliatie en het werk aan toestandsmachines dat bepaalt of betaalstromen betrouwbaar zijn.

Heeft uw betaallaag het abstractiewerk nodig waar dit alles om vraagt, of wilt u zicht op uw risico bij fraudeaansprakelijkheid onder de nieuwe verdeling, schrijf dan naar office@c9group.dev. Meer over ons Europese werk op de pagina EU-markttoetreding.

Wij zijn ingenieurs en geen regelgevingsadviseurs. Vragen over vergunningen en aansprakelijkheidsposities horen bij uw eigen juristen.