PSD3, betaltjänstförordningen och FiDA: Europas stora omläggning av betalningar

Tre lagstiftningsärenden skriver om europeiska betalningar samtidigt, och de diskuteras ofta som en enda sak fast de inte är det. PSD3 och betaltjänstförordningen (Payment Services Regulation, PSR) ersätter PSD2. FiDA utvidgar dataåtkomsten bortom betalningar till resten av finanssektorn. De har olika tillämpningsområden, olika tidsplaner och olika grad av säkerhet.

Om du bygger betalprodukter, bankintegrationer, bokföringsprogram eller något som använder API:er för open banking är det här det ärende som kommer att ändra din arkitektur mest under andra halvan av årtiondet.

Var vart och ett står

PSD3 och PSR. Rådet och parlamentet nådde en preliminär politisk överenskommelse den 27 november 2025, och de slutliga texterna publicerades den 23 april 2026. Det här har kommit längst. Utskottet för ekonomi och valutafrågor godkände den överenskomna texten den 5 maj 2026, men den 10 oktober 2026 har rådet inte antagit sin ståndpunkt vid första behandlingen och ingen av texterna finns i Europeiska unionens officiella tidning. Parlamentets ärendeakt anger 14 december 2026 som preliminärt datum för plenum, så publicering i början av 2027 är troligare. Enligt de överenskomna texterna tillämpas PSR 21 månader efter ikraftträdandet, dess bestämmelser om kontroll av betalningsmottagare efter 27 månader, och medlemsstaterna har 21 månader på sig att införliva PSD3. Det ger tillämpning tidigast i slutet av 2028.

FiDA. Det mest problemtyngda ärendet i EU:s lagstiftning om finansiella tjänster. Föreslogs tillsammans med PSD3 i juni 2023, nästan övergivet, sedan återupplivat. Trilogförhandlingarna inleddes 2025 och körde sedan fast. Den 6 april 2026 skickade kommissionen ett icke-papper (non-paper) till rådet om alternativ för att slutföra dem, som enligt uppgift föreslår ett införande i tre faser under ungefär fyra år, där varje fas börjar först efter en översyn från kommissionen. Den 10 oktober 2026 finns ingen överenskommelse, och parlamentets ärendeakt anger fortfarande att ärendet väntar på parlamentets ståndpunkt vid första behandlingen. Tillämpningen skulle fasas in under flera år, och det slutliga tillämpningsområdet är verkligen osäkert.

Uppdelningen mellan direktiv och förordning spelar roll. PSD3 är ett direktiv, så medlemsstaterna införlivar det och det kommer att finnas nationella skillnader i bestämmelserna om tillstånd och tillsyn. PSR är en förordning, så den gäller direkt och enhetligt. Uppföranderegler, bestämmelser om bedrägerier och krav på open banking ligger mestadels i förordningen, vilket är goda nyheter för alla som har lidit sig igenom 27 nationella genomföranden av PSD2.

Vad PSD3 och PSR ändrar

Ansvaret för bedrägerier flyttas

Den stora förändringen. PSD2 fördelade ansvaret för obehöriga transaktioner men lät bedrägerier med auktoriserade betalningar (authorised push payment fraud), där offret luras att själv göra betalningen, i stort sett ligga kvar hos offret.

Det nya regelverket utvidgar ansvaret i specifika situationer, särskilt vid bedrägerier där bedragaren på ett övertygande sätt utger sig för att vara banken eller någon annan betrodd part. Betaltjänstleverantörerna blir ansvariga i definierade fall.

Vad det betyder tekniskt: bedrägeridetektering slutar vara en kostnad som skyddar mot dina egna förluster och blir en direkt kontroll av ditt ansvar. Kalkylen för att investera i detektering förändras väsentligt när det är du som bär förlusten.

Ändringar i stark kundautentisering

SCA har gällt sedan 2019 och har gett upphov till mycket friktion, många undantag och lösningar för att kringgå kraven. Det nya regelverket justerar ordningen: tydligare hantering av undantag, skyldigheter kring tillgänglig autentisering för användare som inte kan använda en smartphone och bestämmelser som riktar sig mot undantaget för transaktionsriskanalys.

Vad det betyder: om du byggde en SCA-implementation 2019 och inte har sett över den sedan dess, räkna med att den behöver göras om. Tillgänglig autentisering är ett verkligt krav som korsar tillgänglighetsdirektivet (European Accessibility Act).

Matchning av IBAN och namn utvidgas

Skyldigheten Verification of Payee som kom med förordningen om direktbetalningar (Instant Payments Regulation) i oktober 2025 utvidgas och generaliseras i det nya regelverket, så att den omfattar fler betalningstyper än bara kreditöverföringar i euro.

Vad det betyder: hanteringen av de fyra utfallen som du byggde för direktbetalningar blir det allmänna mönstret i stället för ett specialfall.

Prestandan i API:er för open banking blir verkställbar

PSD2 krävde att bankerna tillhandahöll åtkomstgränssnitt. Det krävde i praktiken inte att gränssnitten var bra. Resultatet blev år av klagomål från tredjepartsleverantörer om driftstopp, inkonsekvent data, aggressiva krav på ny autentisering och dedikerade gränssnitt som presterade sämre än kundkanalen.

PSR hanterar detta med prestandakrav, ett förbud mot hinder och ett slopat krav på reservgränssnitt i utbyte mot verkliga kvalitetsstandarder för de dedikerade gränssnitten.

Vad det betyder: om du använder API:er för open banking höjs lägstanivån för tillförlitlighet. Om du tillhandahåller dem flyttas ribban från att gränssnittet finns till hur det presterar.

Ordningarna för betalningsinstitut och institut för elektroniska pengar slås ihop

Två tillståndskategorier blir en. För de flesta företag förenklar det saker. För företag som har båda, eller företag vars affärsmodell låg medvetet på ena sidan av gränsen, finns det övergångsarbete.

Vad FiDA skulle ändra

FiDA är det arkitektoniskt viktigare ärendet om det landar som föreslaget, eftersom det utvidgar modellen för open banking till resten av finanssektorn.

I dag omfattar den reglerade dataåtkomsten betalkonton. FiDA skulle utvidga den till spar- och investeringskonton, pensioner, bolån, sakförsäkringar med mera, och skapa en ny reglerad kategori: leverantörer av finansiella informationstjänster.

Mekanismen skiljer sig från PSD2 på ett viktigt sätt. PSD2 föreskrev åtkomst. FiDA är uppbyggt kring system för delning av finansiell data (financial data sharing schemes): marknadsdrivna arrangemang mellan datainnehavare och dataanvändare som fastställer de tekniska standarderna och ersättningsmodellen. Datainnehavare skulle kunna ta betalt av dataanvändare, till skillnad från PSD2 där åtkomsten är gratis.

Varför det spelar roll: det tar itu med bankernas främsta klagomål på PSD2, nämligen att de tvingades bygga och underhålla gränssnitt som andra tjänade pengar på utan att bidra. Det innebär också att de kommersiella villkoren förhandlas i stället för att lagstiftas, vilket skapar sin egen osäkerhet.

Varför det har haft det svårt: tillämpningsområdet är enormt, ersättningsmodellen är omstridd, försäkringssektorn protesterade hårt mot att omfattas och nyttan är mindre uppenbar än för betalningar. Det var mycket nära att dras tillbaka.

Vad det betyder om du bygger finansiell programvara

Om du använder API:er för open banking

Livet blir bättre, långsamt. Prestandakrav, ett förbud mot hinder och tydligare regler för ny autentisering tar itu med de driftproblem som har gjort aggregering via open banking plågsam. Räkna med att förbättringen kommer ojämnt från bank till bank.

Om FiDA blir av växer den tillgängliga datamängden enormt, men du bör räkna med att betala för åtkomst och att ansluta dig till ett system i stället för att förlita dig på en lagstadgad rättighet.

Om du tillhandahåller betaltjänster

Ändringen av ansvaret för bedrägerier är den du ska planera för. Modellera din exponering under den nya fördelningen innan den börjar gälla, eftersom svaret avgör hur stor investering i detektering som är motiverad.

Autentiseringen behöver ses över både för de ändrade undantagen och för tillgängligheten. Utvidgningen av namnmatchningen kräver samma hantering av fyra tillstånd som direktbetalningar.

Om du bygger integrationer för bokföring, treasury eller ERP

Du ligger nedströms av allt detta. Den praktiska effekten är att den data du kan hämta blir bredare och mer tillförlitlig, och att autentiseringsflödet blir mer standardiserat. Den största risken är att bygga mot nuvarande bankspecifika egenheter som de nya prestandareglerna kommer att ta bort.

Om du bygger kassor för e-handel

Mindre direkt påverkan än du kanske tror. De ändringar som når dig är justeringarna av autentiseringen och den allmänna rörelsen mot betalningar mellan konton, som även Wero och den digitala euron står för.

Den arkitektoniska poängen

Alla tre ärendena, plus förordningen om direktbetalningar, plus Wero, plus den digitala euron, plus EU:s plånbok för digital identitet, pekar åt samma håll: betalningar och finansiell data i Europa rör sig mot betalspår mellan konton, verifierad identitet på infrastrukturnivå, standardiserade gränssnitt och reglerad prissättning.

Den arkitektoniska följden är densamma för alla. System som behandlar en betalmetod, en datakälla eller en autentiseringsmekanism som en plugin tar till sig detta billigt. System där detaljerna är invävda i hela kodbasen betalar för varje ändring för sig.

Om du bara tar med dig en sak: abstraktionsarbetet är samma abstraktionsarbete för vart och ett av dessa ärenden. Gör det en gång för Wero så har det betalat sig, och allt därefter är nästan gratis.

Tidsplanen, ärligt

PSD3 och PSR har en politisk överenskommelse, vilket betyder att innehållet i stort sett är bestämt. Tillämpningen ligger fortfarande flera år bort, och de tekniska standarder som avgör vad du faktiskt bygger kommer efter antagandet. Att bygga nu vore förhastat. Att känna till riktningen är det inte.

FiDA är verkligen osäkert. Det kan komma med ett brett tillämpningsområde, komma kraftigt nedbantat eller inte komma alls. Att bygga mot det vore oklokt. Att utforma din datamodell så att en ny finansiell datakälla är en konfigurationsändring snarare än ett projekt är klokt oavsett.

Var det här passar in

Hela lagstiftningskön finns i vår översikt över EU:s kommande digitala lagstiftning. Betalningsreglerna som redan gäller behandlas i vår guide till direktbetalningar och Verification of Payee, och de bredare kraven i vår guide till EU:s digitala regelefterlevnad 2026.

Få hjälp

Vi bygger betalintegrationer, bankanslutningar och finansiella system för företag som verkar i hela Europa, bland annat aggregering via open banking, avstämning och det arbete med tillståndsmaskiner som avgör om betalflödena är tillförlitliga.

Om ditt betallager behöver det abstraktionsarbete som allt detta belönar, eller om du vill ha en bedömning av din exponering för bedrägeriansvar under den nya fördelningen, skriv till office@c9group.dev. Läs mer om vårt arbete i Europa på sidan om etablering på EU-marknaden.

Vi är ingenjörer, inte regulatoriska rådgivare. Frågor om tillstånd och ståndpunkter om ansvar hör hemma hos dina jurister.