PSD3, betalingstjenesteforordningen og FiDA: Europas betalingsreform

Tre saker legger om europeiske betalinger samtidig, og de omtales ofte som én ting selv om de ikke er det. PSD3 og betalingstjenesteforordningen erstatter PSD2. FiDA utvider datatilgangen utover betalinger til resten av finansielle tjenester. Virkeområdet er ulikt, tidsplanene er ulike, og de er avklart i ulik grad.

Bygger du betalingsprodukter, bankintegrasjoner, regnskapsprogramvare eller noe som bruker API-er for åpen bank, er dette saken som kommer til å endre arkitekturen din mest i andre halvdel av tiåret.

Hvor hver av dem står

PSD3 og PSR. Rådet og Parlamentet kom til foreløpig politisk enighet 27. november 2025. Denne har kommet lengst. Formelt vedtak følger, deretter en periode for gjennomføring og anvendelse. Realistisk sett gjelder reglene fra slutten av tiåret.

FiDA. Den vanskeligste saken i europeisk finanslovgivning. Foreslått sammen med PSD3 i juni 2023, nesten forlatt, deretter gjenopplivet. Trilogforhandlingene stoppet opp tidlig i 2026 og kom i gang igjen. Realistisk sett innføres regelverket trinnvis et sted mellom 2027 og 2030, og det endelige virkeområdet er reelt usikkert.

Skillet mellom et direktiv og en forordning betyr noe. PSD3 er et direktiv, så medlemsstatene gjennomfører det selv, og det blir nasjonale variasjoner i bestemmelsene om tillatelse og tilsyn. PSR er en forordning, så den gjelder direkte og likt overalt. Atferdsregler, svindelbestemmelser og krav til åpen bank ligger i hovedsak i forordningen, og det er gode nyheter for alle som har slitt seg gjennom 27 nasjonale gjennomføringer av PSD2.

Hva PSD3 og PSR endrer

Svindelansvaret flytter seg

Hovedendringen. PSD2 fordelte ansvaret for uautoriserte transaksjoner, men lot ansvaret for autorisert betalingssvindel, der offeret lures til å gjennomføre betalingen selv, i hovedsak bli liggende hos offeret.

Det nye rammeverket utvider ansvaret i bestemte situasjoner, særlig ved svindel der noen på overbevisende vis utgir seg for å være banken eller en annen betrodd part. Betalingstjenestetilbyderne blir ansvarlige i klart definerte tilfeller.

Hva det betyr rent teknisk: svindeldeteksjon slutter å være en kostnadspost som beskytter dine egne tap, og blir et direkte tiltak mot ansvar. Regnestykket for hvor mye det lønner seg å investere i deteksjon, endrer seg vesentlig når det er du som bærer tapet.

Sterk kundeautentisering endres

SCA har vært i kraft siden 2019 og har skapt mye friksjon, unntak og omveier. Det nye rammeverket justerer regimet: klarere håndtering av unntak, plikter rundt tilgjengelig autentisering for brukere som ikke kan bruke smarttelefon, og bestemmelser rettet mot unntaket for transaksjonsrisikoanalyse.

Hva det betyr: bygde du en SCA-løsning i 2019 og ikke har sett på den siden, må du regne med å gjøre om på den. Særlig tilgjengelig autentisering er et reelt krav, og det krysser det europeiske tilgjengelighetsdirektivet.

Kontroll av IBAN mot navn utvides

Plikten til mottakerkontroll som kom med straksbetalingsforordningen i oktober 2025, blir utvidet og gjort generell i det nye rammeverket, og dekker flere betalingstyper enn bare kredittoverføringer i euro.

Hva det betyr: håndteringen av de fire utfallene du bygde for straksbetalinger, blir hovedregelen og ikke et særtilfelle.

Ytelsen til API-er for åpen bank blir mulig å håndheve

PSD2 krevde at bankene tilbød grensesnitt for tilgang. Den stilte i praksis ikke krav om at grensesnittene skulle være gode. Resultatet ble år med klager fra tredjeparter om nedetid, inkonsistente data, aggressive krav om ny autentisering og dedikerte grensesnitt som ytte dårligere enn kundens egen kanal.

PSR tar tak i dette med ytelseskrav, et forbud mot hindringer og fjerning av plikten til reservegrensesnitt, i bytte mot reelle kvalitetskrav til det dedikerte grensesnittet.

Hva det betyr: bruker du API-er for åpen bank, heves gulvet for pålitelighet. Leverer du dem, flytter listen seg fra at grensesnittet finnes, til at det yter.

Regimene for betalingsforetak og e-pengeforetak slås sammen

To tillatelseskategorier blir én. For de fleste foretak forenkler det ting. For foretak som har begge tillatelsene, eller som har lagt forretningsmodellen omhyggelig på den ene siden av streken, kommer det overgangsarbeid.

Hva FiDA ville endre

FiDA er den arkitektonisk viktigste saken hvis den lander slik den er foreslått, for den utvider modellen fra åpen bank til resten av finansielle tjenester.

I dag dekker regulert datatilgang betalingskontoer. FiDA ville utvidet den til spare- og investeringskontoer, pensjoner, boliglån, skadeforsikring og mer, og opprettet en ny regulert kategori av tilbydere av finansielle informasjonstjenester.

Mekanismen skiller seg fra PSD2 på ett viktig punkt. PSD2 påla tilgang. FiDA er bygget rundt ordninger for deling av finansielle data, altså markedsdrevne avtaler mellom datainnehavere og databrukere som fastsetter de tekniske standardene og modellen for godtgjøring. Datainnehaverne ville kunne ta betalt av databrukerne, i motsetning til under PSD2, der tilgangen er gratis.

Hvorfor det betyr noe: det svarer på bankenes hovedinnvending mot PSD2, nemlig at de måtte bygge og vedlikeholde grensesnitt andre tjente penger på uten å bidra. Det betyr også at de kommersielle vilkårene forhandles fram i stedet for å stå i loven, og det gir sin egen usikkerhet.

Hvorfor den har slitt: virkeområdet er enormt, modellen for godtgjøring er omstridt, forsikringsbransjen kjempet hardt mot å bli omfattet, og nytten er mindre åpenbar enn ved betalinger. Den var svært nær ved å bli trukket.

Hva dette betyr hvis du bygger finansiell programvare

Hvis du bruker API-er for åpen bank

Livet blir bedre, sakte. Ytelsesplikter, et forbud mot hindringer og klarere regler for ny autentisering tar tak i de driftsproblemene som har gjort aggregering av åpen bank smertefull. Regn med at forbedringen kommer ujevnt, bank for bank.

Lander FiDA, utvides datasettet du kan nå, enormt, men regn med å måtte betale for tilgang og å måtte slutte deg til en ordning, i stedet for å kunne lene deg på en rettighet i loven.

Hvis du leverer betalingstjenester

Endringen i svindelansvar er den du må planlegge for. Modeller hvor eksponert du er under den nye fordelingen, før den begynner å gjelde, for svaret avgjør hvor mye det er forsvarlig å investere i deteksjon.

Autentiseringen må gjennomgås både på grunn av endringene i unntakene og på grunn av tilgjengelighet. Utvidet kontroll av navn krever den samme håndteringen av fire tilstander som straksbetalinger.

Hvis du bygger integrasjoner mot regnskap, treasury eller ERP

Du sitter nedstrøms for alt dette. Den praktiske virkningen er at dataene du kan hente ut, blir bredere og mer pålitelige, og at autentiseringsdansen blir mer standardisert. Hovedrisikoen er å bygge mot dagens bankspesifikke særtrekk, som de nye ytelsesreglene vil fjerne.

Hvis du bygger kasseløsninger for netthandel

Mindre direkte virkning enn du kanskje tror. Det som når deg, er justeringene i autentisering og den generelle bevegelsen mot konto-til-konto-betalinger, som Wero og den digitale euroen også er uttrykk for.

Arkitekturpoenget som er verdt å ta med seg

Alle tre sakene, pluss straksbetalingsforordningen, pluss Wero, pluss den digitale euroen, pluss EUs digitale identitetslommebok, peker samme vei: betalinger og finansielle data i Europa beveger seg mot konto-til-konto-løsninger, verifisert identitet i selve infrastrukturen, standardiserte grensesnitt og regulert prising.

Konsekvensen for arkitekturen er den samme i alle tilfellene. Systemer som behandler en betalingsmetode, en datakilde eller en autentiseringsmekanisme som en modul, tar dette billig. Systemer der detaljene er vevd gjennom hele kodebasen, betaler for hver endring for seg.

Tar du med deg én ting herfra: abstraksjonsarbeidet er det samme for hver eneste av disse sakene. Gjør du det én gang for Wero, er det betalt for, og alt etter det er nesten gratis.

Tidsplanene, ærlig sagt

PSD3 og PSR har politisk enighet, og det betyr at innholdet i hovedsak er avklart. Reglene begynner likevel ikke å gjelde på flere år, og de tekniske standardene som avgjør hva du faktisk skal bygge, kommer etter vedtaket. Å bygge nå ville vært for tidlig. Å kjenne retningen er det ikke.

FiDA er reelt usikker. Den kan komme med bredt virkeområde, komme kraftig innsnevret, eller ikke komme i det hele tatt. Å bygge for den ville vært uklokt. Å designe datamodellen slik at det å legge til en ny finansiell datakilde er en konfigurasjonsendring og ikke et prosjekt, er klokt uansett.

Hvor dette hører hjemme

Hele lovgivningskøen finner du i vår EU-lovgivningskø. Betalingsreglene som allerede gjelder, dekkes i vår guide til straksbetalinger og mottakerkontroll, og den bredere flaten av krav i vår guide til EUs digitale etterlevelseskrav i 2026.

Slik får du hjelp

Vi bygger betalingsintegrasjoner, banktilkobling og finansielle systemer for selskaper som opererer over hele Europa, blant annet aggregering av åpen bank, avstemming og arbeidet med tilstandsmaskiner som avgjør om betalingsflyter er pålitelige.

Trenger betalingslaget ditt det abstraksjonsarbeidet alt dette belønner, eller vil du ha en vurdering av hvor eksponert du er for svindelansvar under den nye fordelingen, skriv til office@c9group.dev. Mer om arbeidet vårt i Europa på siden om markedsinngang i EU.

Vi er ingeniører, ikke regelverksrådgivere. Spørsmål om tillatelser og standpunkter om ansvar hører hjemme hos juristene dine.