PSD3, Ödeme Hizmetleri Tüzüğü ve FiDA: Avrupa'da Ödemelerin Yeniden Yapılanması

Avrupa'da ödemeleri aynı anda üç ayrı mevzuat dosyası yeniden yazıyor ve bunlar sık sık tek bir şeymiş gibi konuşuluyor; oysa öyle değiller. PSD3 ve Ödeme Hizmetleri Tüzüğü (Payment Services Regulation, PSR), PSD2'nin yerini alıyor. FiDA ise veri erişimini ödemelerin ötesine, finansal hizmetlerin geri kalanına genişletiyor. Kapsamları, takvimleri ve kesinlik düzeyleri birbirinden farklı.

Ödeme ürünleri, bankacılık entegrasyonları, muhasebe yazılımı ya da açık bankacılık API'lerini kullanan herhangi bir şey geliştiriyorsanız, on yılın ikinci yarısında mimarinizi en çok değiştirecek dosya bu.

Her biri ne durumda

PSD3 ve PSR. Konsey ve Parlamento 27 Kasım 2025'te geçici bir siyasi uzlaşmaya vardı ve nihai metinler 23 Nisan 2026'da yayımlandı. Üçü arasında en ileri aşamada olan bu. Ekonomik ve Parasal İşler Komitesi uzlaşılan metni 5 Mayıs 2026'da onayladı, ancak 10 Ekim 2026 itibarıyla Konsey birinci okuma tutumunu kabul etmedi ve metinlerin hiçbiri Resmî Gazete'de yayımlanmadı. Parlamento'nun usul dosyası, genel kurul için öngörülen tarih olarak 14 Aralık 2026'yı veriyor; bu yüzden yayımın 2027'nin başında olması daha olası. Uzlaşılan metinlere göre PSR yürürlüğe girişinden 21 ay sonra, alıcı doğrulamasına ilişkin hükümleri ise 27 ay sonra uygulanmaya başlıyor; üye devletlerin PSD3'ü iç hukuka aktarmak için 21 ayı var. Bu da uygulamayı en erken 2028'in sonlarına yerleştiriyor.

FiDA. Avrupa finansal hizmetler mevzuatının en sorunlu dosyası. Haziran 2023'te PSD3 ile birlikte önerildi, neredeyse rafa kaldırıldı, sonra yeniden canlandırıldı. Üçlü müzakereler (trilog) 2025'te başladı ve ardından tıkandı. 6 Nisan 2026'da Komisyon, müzakereleri tamamlama seçeneklerine ilişkin gayriresmî bir belgeyi (non-paper) Konsey'e gönderdi; haberlere göre belge, her biri ancak bir Komisyon incelemesinden sonra başlayacak, yaklaşık dört yıla yayılan üç aşamalı bir geçiş öneriyor. 10 Ekim 2026 itibarıyla bir uzlaşma yok ve Parlamento'nun usul dosyası, dosyayı hâlâ Parlamento'nun birinci okuma tutumunu bekliyor olarak gösteriyor. Uygulama birkaç yıla yayılan aşamalar hâlinde olacak ve nihai kapsam gerçekten belirsiz.

Yönerge ile tüzük arasındaki ayrım önemlidir. PSD3 bir yönergedir; dolayısıyla üye devletler onu iç hukuka aktaracak ve lisans ile denetim hükümlerinde ulusal farklılıklar olacak. PSR ise bir tüzüktür; doğrudan ve her yerde aynı şekilde uygulanır. Davranış kuralları, dolandırıcılıkla ilgili hükümler ve açık bankacılık gereklilikleri büyük ölçüde tüzükte yer alıyor; bu da PSD2'nin 27 ayrı ulusal uygulamasıyla uğraşmak zorunda kalmış herkes için iyi bir haber.

PSD3 ve PSR neyi değiştiriyor

Dolandırıcılık sorumluluğu yer değiştiriyor

En çok konuşulan değişiklik bu. PSD2, yetkisiz işlemlere ilişkin sorumluluğu paylaştırmıştı; ancak mağdurun aldatılarak ödemeyi bizzat kendisinin yaptığı mağdurun kendi onayıyla gönderdiği ödemelere yönelik dolandırıcılıkta (authorised push payment fraud) sorumluluğu büyük ölçüde mağdura bırakmıştı.

Yeni çerçeve, sorumluluğu belirli durumlarda genişletiyor; özellikle dolandırıcının kendini inandırıcı biçimde banka veya güvenilen başka bir taraf olarak tanıttığı kimlik taklidi dolandırıcılığında. Ödeme hizmeti sağlayıcıları tanımlanmış durumlarda sorumlu hâle geliyor.

Bunun mühendislik açısından anlamı: dolandırıcılık tespiti, kendi kayıplarınızı koruyan bir maliyet merkezi olmaktan çıkıp doğrudan bir sorumluluk kontrolüne dönüşüyor. Kaybı siz üstlendiğinizde tespit sistemlerine yatırımın ekonomisi köklü biçimde değişir.

Güçlü müşteri kimlik doğrulaması değişiyor

SCA 2019'dan beri yürürlükte ve beraberinde çok fazla sürtünme, istisna ve geçici çözüm getirdi. Yeni çerçeve rejimi yeniden düzenliyor: istisnaların uygulanmasına açıklık getiriliyor, akıllı telefon kullanamayan kullanıcılar için kimlik doğrulamanın erişilebilirliğine ilişkin yükümlülükler ekleniyor ve işlem riski analizi istisnasını hedefleyen hükümler getiriliyor.

Bunun anlamı: SCA uygulamanızı 2019'da geliştirip o günden beri elden geçirmediyseniz yeniden çalışmaya hazır olun. Özellikle kimlik doğrulamanın erişilebilirliği, Avrupa Erişilebilirlik Yasası ile kesişen gerçek bir gereklilik.

IBAN ve isim eşleştirme genişliyor

Ekim 2025'te Anlık Ödemeler Tüzüğü (Instant Payments Regulation) ile gelen Verification of Payee (alıcı doğrulaması) yükümlülüğü, yeni çerçevede genişletiliyor ve genelleştiriliyor; yalnızca avro cinsinden kredi transferlerini değil, daha fazla ödeme türünü kapsıyor.

Bunun anlamı: anlık ödemeler için geliştirdiğiniz dört sonuçlu işleme mantığı, özel bir durum olmaktan çıkıp genel kalıp hâline geliyor.

Açık bankacılık API performansı yaptırıma bağlanıyor

PSD2, bankaların erişim arayüzleri sunmasını zorunlu kılıyordu. Ancak bu arayüzlerin iyi olmasını fiilen zorunlu kılmıyordu. Sonuç, üçüncü taraf sağlayıcıların yıllarca kesintilerden, tutarsız verilerden, agresif yeniden kimlik doğrulama gerekliliklerinden ve müşteriye dönük kanaldan daha kötü çalışan özel arayüzlerden şikâyet etmesi oldu.

PSR bu soruna performans gereklilikleri ve engel çıkarma yasağıyla yaklaşıyor; yedek arayüz (fallback) yükümlülüğünü de, özel arayüzler için gerçek kalite standartları karşılığında kaldırıyor.

Bunun anlamı: açık bankacılık API'lerini kullanıyorsanız güvenilirlik tabanı yükseliyor. Bu API'leri sunuyorsanız uyum çıtası “var olmaktan” “performans göstermeye” kayıyor.

Ödeme kuruluşu ve elektronik para kuruluşu rejimleri birleşiyor

İki lisans kategorisi teke iniyor. Çoğu şirket için bu işleri basitleştiriyor. Her iki lisansa birden sahip olan ya da iş modeli bu çizginin özenle bir tarafında konumlanmış şirketler için ise bir geçiş çalışması gerekiyor.

FiDA neyi değiştirecek

FiDA önerildiği hâliyle kabul edilirse mimari açıdan daha önemli olan dosya o olacak, çünkü açık bankacılık modelini finansal hizmetlerin geri kalanına genişletiyor.

Bugün düzenlemeye tabi veri erişimi ödeme hesaplarını kapsıyor. FiDA bunu tasarruf ve yatırım hesaplarına, emeklilik planlarına, konut kredilerine, hayat dışı sigortaya ve daha fazlasına genişletecek; finansal bilgi hizmeti sağlayıcısı adında yeni, düzenlemeye tabi bir kategori oluşturacak.

Mekanizma PSD2'den önemli bir noktada ayrılıyor. PSD2 erişimi zorunlu kılmıştı. FiDA ise finansal veri paylaşım planları (financial data sharing schemes) üzerine kurulu: veri sahipleri ile veri kullanıcıları arasında, teknik standartları ve ücretlendirme modelini belirleyen, piyasa tarafından şekillendirilen düzenlemeler. Erişimin ücretsiz olduğu PSD2'den farklı olarak veri sahipleri, veri kullanıcılarından ücret alabilecek.

Bunun neden önemli olduğu: bankaların PSD2'ye yönelik başlıca şikâyetine, yani başkalarının hiçbir katkı yapmadan kâr ettiği arayüzleri kurmak ve sürdürmek zorunda bırakılmalarına cevap veriyor. Ayrıca ticari koşulların yasayla belirlenmek yerine müzakere edileceği anlamına geliyor ki bu da kendi belirsizliğini beraberinde getiriyor.

Neden zorlandığı: kapsam çok geniş, ücretlendirme modeli tartışmalı, sigorta sektörü kapsama alınmaya sert biçimde karşı çıktı ve sağlayacağı değer ödemelerdeki kadar açık değil. Neredeyse geri çekiliyordu.

Finansal yazılım geliştiriyorsanız bunun anlamı

Açık bankacılık API'lerini kullanıyorsanız

İşler yavaş yavaş iyileşiyor. Performans yükümlülükleri, engel çıkarma yasağı ve daha net yeniden kimlik doğrulama kuralları, açık bankacılık toplayıcılığını (aggregation) zahmetli hâle getiren operasyonel şikâyetleri ele alıyor. İyileşmenin bankadan bankaya farklı hızlarda geleceğini bekleyin.

FiDA kabul edilirse erişilebilir veri kümesi muazzam ölçüde genişleyecek; ancak düzenleyici bir hakka güvenmek yerine erişim için ücret ödemeyi ve bir plana katılmayı beklemelisiniz.

Ödeme hizmeti sunuyorsanız

Planlamanız gereken değişiklik, dolandırıcılık sorumluluğundaki değişiklik. Yeni paylaşım uygulanmaya başlamadan önce bu paylaşım altındaki riskinizi modelleyin, çünkü tespit sistemlerine ne kadar yatırım yapmanın haklı olduğunu bu cevap belirler.

Kimlik doğrulamanın hem istisna değişiklikleri hem de erişilebilirlik açısından yeniden ele alınması gerekiyor. İsim eşleştirmenin genişlemesi, anlık ödemelerdeki dört durumlu işleme mantığının aynısını gerektiriyor.

Muhasebe, hazine yönetimi veya ERP entegrasyonları geliştiriyorsanız

Bütün bunlardan zincirin alt ucunda etkileniyorsunuz. Pratikteki etkisi, çekebileceğiniz verilerin daha kapsamlı ve daha güvenilir hâle gelmesi, kimlik doğrulama sürecinin de daha standart olması. Asıl risk, yeni performans kurallarının ortadan kaldıracağı, bugünkü bankaya özgü tuhaflıklara göre geliştirme yapmak.

E-ticaret ödeme akışı geliştiriyorsanız

Etkisi beklediğinizden daha dolaylı. Size ulaşan değişiklikler kimlik doğrulamadaki düzenlemeler ve Wero ile dijital avronun da temsil ettiği hesaptan hesaba ödemelere yönelik genel eğilim.

Altını çizmeye değer mimari nokta

Bu üç dosyanın yanı sıra Anlık Ödemeler Tüzüğü, Wero, dijital avro ve AB Dijital Kimlik Cüzdanı aynı yönü gösteriyor: Avrupa'da ödemeler ve finansal veriler hesaptan hesaba altyapılara, altyapı düzeyinde doğrulanmış kimliğe, standart arayüzlere ve düzenlemeye tabi fiyatlandırmaya doğru ilerliyor.

Mimari açıdan sonuç hepsinde aynı. Bir ödeme yöntemini, bir veri kaynağını veya bir kimlik doğrulama mekanizmasını eklenti olarak ele alan sistemler bunu düşük maliyetle sindirir. Bu ayrıntıların kod tabanının her yerine işlendiği sistemler ise her değişikliğin bedelini ayrı ayrı öder.

Buradan tek bir şey çıkaracaksanız şu olsun: soyutlama çalışması, bu dosyaların her biri için aynı soyutlama çalışmasıdır. Bunu bir kez Wero için yapmak maliyetini karşılar; sonrasında gelen her şey neredeyse bedavadır.

Zamanlama, açık konuşmak gerekirse

PSD3 ve PSR için siyasi uzlaşma sağlandı; yani içerik büyük ölçüde netleşti. Uygulama hâlâ yıllarca uzakta ve gerçekte ne geliştireceğinizi belirleyecek teknik standartlar kabulden sonra gelecek. Şimdi geliştirmeye başlamak erken olur. Yönü bilmek ise erken değil.

FiDA gerçekten belirsiz. Geniş bir kapsamla gelebilir, kapsamı ciddi biçimde daraltılarak gelebilir ya da hiç gelmeyebilir. Ona göre geliştirme yapmak akıllıca olmaz. Ne olursa olsun akıllıca olan, veri modelinizi yeni bir finansal veri kaynağı eklemenin bir proje değil, bir yapılandırma değişikliği olacağı şekilde tasarlamaktır.

Bu yazının yeri

Mevzuat sırasının tamamı AB dijital mevzuat takvimimizde yer alıyor. Halihazırda uygulanan ödeme kurallarını anlık ödemeler ve Verification of Payee rehberimizde, daha geniş uyum yüzeyini ise 2026 AB dijital uyum rehberimizde ele alıyoruz.

Destek almak

Avrupa genelinde faaliyet gösteren şirketler için ödeme entegrasyonları, bankacılık bağlantıları ve finansal sistemler geliştiriyoruz; buna açık bankacılık toplayıcılığı, mutabakat ve ödeme akışlarının güvenilir olup olmadığını belirleyen durum makinesi (state machine) çalışmaları da dahil.

Ödeme katmanınızın tüm bunların ödüllendirdiği soyutlama çalışmasına ihtiyacı varsa ya da yeni paylaşım altındaki dolandırıcılık sorumluluğu riskinize dair bir görüş almak istiyorsanız office@c9group.dev adresine yazın. Avrupa'daki çalışmalarımız hakkında daha fazla bilgiyi AB pazarına giriş sayfamızda bulabilirsiniz.

Biz düzenleyici danışman değil mühendisiz. Lisans soruları ve sorumluluk konusundaki tutumlar hukuk danışmanınızın alanına girer.