PSD3 en de PSR: stand van zaken, tijdlijn en gevolgen voor webshops

Wat zijn PSD3 en de Payment Services Regulation?

De Europese Commissie presenteerde het pakket op 28 juni 2023 ter vervanging van PSD2, Richtlijn (EU) 2015/2366, en om de Richtlijn elektronisch geld in hetzelfde kader onder te brengen. Het pakket bestaat uit twee delen. PSD3 is een richtlijn over de vergunning en het toezicht op betaalinstellingen, inclusief uitgevers van elektronisch geld, en moet door elke lidstaat in nationale wetgeving worden omgezet. De PSR is een verordening die rechtstreeks in alle lidstaten geldt en de gedragsregels bevat: authenticatie, fraude, open banking, transparantie en aansprakelijkheid.

Door de regels zo te splitsen verdwijnen de nationale verschillen die PSD2 naliet, bijvoorbeeld in hoe streng sterke klantauthenticatie of toegang tot open banking werd gehandhaafd. Voor webshops is de PSR het belangrijkste deel, omdat die bepaalt hoe hun PSP's betalingen authenticeren, bewaken en terugbetalen.

Wat is de stand van PSD3 en de PSR in oktober 2026?

De Raad en het Europees Parlement bereikten op 27 november 2025 een voorlopig akkoord. De Raad publiceerde de definitieve compromisteksten op 23 april 2026 en de commissie Economische en Monetaire Zaken (ECON) van het Parlement keurde ze op 5 mei 2026 goed. Op 21 oktober 2026 staan beide dossiers in de Legislative Observatory van het Parlement als wachtend op het standpunt van de Raad in eerste lezing, met 14 december 2026 als indicatieve datum voor de plenaire stemming.

Geen van beide wetgevingsstukken is aangenomen of gepubliceerd in het Publicatieblad, dus geen van beide is van kracht. Elk treedt 20 dagen na publicatie in werking. Volgens de overeengekomen teksten volgen de meeste PSR-regels en de omzettingstermijn van PSD3 circa 21 maanden later, en de controle van de begunstigde voor overschrijvingen die niet onder de Verordening instantbetalingen vallen circa 27 maanden later. Dat wijst op eind 2028 en 2029 op zijn vroegst.

Wat verandert er met de PSR voor webshops?

De PSR behoudt sterke klantauthenticatie en de kaartuitzonderingen, maar scherpt de randen aan en voegt fraude- en transparantieplichten toe die webshops via hun PSP's bereiken. De lijst hieronder vat de overeengekomen teksten samen zoals Raad en Parlement ze beschrijven; details kunnen nog veranderen bij de juridisch-taalkundige toetsing vóór publicatie.

• SCA: duidelijkere regels voor door de winkel gestarte transacties, en authenticatiemethoden die niet alleen van een smartphone mogen afhangen, zodat ook ouderen en mensen met een beperking kunnen betalen
• Kostentransparantie: aanbieders van kaartacceptatie moeten hun tarieven duidelijk aan ondernemers tonen
• Naam op het afschrift: ondernemers moeten zorgen dat de handelsnaam die klanten kennen overeenkomt met de naam op het bank- of creditcardafschrift
• Fraudebewaking: PSP's moeten transacties monitoren en fraudegerelateerde informatie met elkaar delen
• Controle van de begunstigde: de IBAN-naamcheck die sinds oktober 2025 geldt voor overschrijvingen in euro wordt uitgebreid naar andere overschrijvingen
• Contant geld: winkels mogen contant geld verstrekken zonder aankoop, tot € 150 met chip en pincode

Hoe verandert de PSR de aansprakelijkheid bij fraude?

Bij bankhelpdeskfraude, waarbij een oplichter zich voordoet als de bank van de klant, komt het probleem bij de PSP te liggen: volgens het Parlement moet de PSP het volledige bedrag terugbetalen als de klant de fraude bij de politie meldt en de PSP informeert. Een PSP die de vereiste fraudepreventiemiddelen niet toepast, is aansprakelijk voor de daaruit voortvloeiende schade.

Onlineplatforms kunnen aansprakelijk worden gesteld tegenover PSP's die klanten hebben vergoed, als het platform op de hoogte was van frauduleuze inhoud en die niet verwijderde. Adverteerders van financiële diensten moeten kunnen aantonen dat ze een vergunning hebben. Verwacht als webshop meer transactiemonitoring, meer frictie door naamcontroles bij terugbetalingen en uitbetalingen per overschrijving, en PSP's die scherpere vragen stellen over omschrijvingen en bedrijfsmodellen.

Wat verandert er voor open banking en pay by bank?

Banken moeten aanbieders van betaalinitiatie en rekeninginformatie via een speciale interface toegang geven op niet-discriminerende basis, en moeten obstakels wegnemen waardoor open banking-trajecten langer duren dan rechtstreeks online bankieren. Gebruikers krijgen bij hun bank een dashboard waarin zij de toegangsrechten die ze hebben verleend kunnen bekijken, intrekken en opnieuw verlenen.

Voor ondernemers die pay by bank accepteren, betekent dit naar verwachting minder mislukte doorverwijzingen en een consistentere bankdekking over landen heen. Het verandert niets aan de ingangsdatum: tot de PSR van toepassing wordt, blijven PSD2 en de bijbehorende technische normen voor authenticatie en communicatie de wet.

Wat verandert er voor betaalinstellingen en instellingen voor elektronisch geld?

PSD3 voegt het regime voor elektronisch geld samen met dat voor betaalinstellingen, waardoor instellingen voor elektronisch geld een categorie betaalinstelling worden. In Nederland ligt het prudentiële toezicht bij De Nederlandsche Bank en het gedragstoezicht bij de AFM; bestaande vergunninghouders moeten hun toezichthouder binnen de overgangstermijn van de richtlijn aantonen dat zij aan de nieuwe eisen voldoen, anders vervalt hun vergunning.

Vraag uw PSP's hoe zij omgaan met herautorisatie, het afschermen van klantgelden en de nieuwe fraudeplichten. Een aanbieder die te laat is of zich uit een markt terugtrekt, kan een migratie op korte termijn afdwingen. Dat gaat gemakkelijker wanneer uw checkout niet aan één aanbieder vastzit.

Wat moet u als webshop nu doen?

Juridisch verandert er niets vóór publicatie en de toepassingsdatum, maar een deel van het werk kost tijd. Breng in kaart waar u afhankelijk bent van PSD2-gedrag: gebruik van uitzonderingen, vlaggen voor door de winkel gestarte transacties, omschrijvingen op afschriften, terugbetalingen per overschrijving en dekking van pay by bank. Loop uw contracten na, zodat kostenvermelding en aansprakelijkheid de PSR volgen.

Werkt u met meerdere aanbieders, dan koppelt OrsunPay als technisch dienstverlener de eigen PSP-accounts van de ondernemer via één integratie. Een wissel van aanbieder blijft zo beheersbaar terwijl elke PSP zich aan de nieuwe regels aanpast. OrsunPay houdt geen gelden vast en neemt geen wettelijke verplichtingen van een PSP over.

Zich voorbereiden op PSD3 en de PSR

1. Volg de wetgevingsstatus Volg het standpunt van de Raad in eerste lezing, de plenaire stemming van het Parlement en de publicatie in het Publicatieblad, en bereken daarna de data van 21 en 27 maanden.
2. Controleer uw authenticatieflows Maak een lijst van waar u SCA-uitzonderingen en vlaggen voor door de winkel gestarte transacties gebruikt, en controleer dat authenticatie niet alleen van een smartphone afhangt.
3. Corrigeer omschrijvingen en kostengegevens Zorg dat de handelsnaam op afschriften past bij uw merk en dat u van elke kaartacquirer een duidelijke kostenspecificatie ontvangt.
4. Vraag uw PSP's om hun plan Vraag elke aanbieder naar zijn planning voor herautorisatie, fraudebewaking, controle van de begunstigde en open banking-interfaces.
5. Beperk afhankelijkheid van één aanbieder Houd voor de belangrijkste methoden een tweede aanbieder gekoppeld, zodat vertraging of vertrek van een aanbieder uw checkout niet stillegt.