Open Banking
PSD2 e accesso ai conti
“La PSD2 non è solo una norma sui pagamenti: ridefinisce come si accede al conto, come interagiscono banche e terzi e quali evidenze devi conservare per dimostrare la conformità.”
Compliance PSD2 in Spagna e servizi di pagamento
Ti aiutiamo ad adeguare la tua azienda alla PSD2 con un approccio pratico e difendibile: analisi dell’inquadramento normativo, autorizzazione presso l’autorità di vigilanza, verifica della SCA, open banking, rapporti con i terzi, tutela dei fondi, outsourcing critico, controlli interni ed evidenze per operare con certezza giuridica.
SCA
Autenticazione forte del cliente
“Verifichiamo se la tua operatività di pagamento rispetta davvero l’autenticazione forte, le esenzioni applicabili e la tracciabilità tecnica e documentale richiesta dall’autorità di vigilanza.”
Licenze
Istituti di pagamento e di moneta elettronica
“Prima di lanciare o di crescere, bisogna validare il perimetro regolamentare: istituto di pagamento, moneta elettronica, fornitore tecnologico o terzo non regolamentato. Sbagliare qui costa mesi.”
Compliance
Compliance continuo sulla PSD2
“Un’autorizzazione non basta: la PSD2 richiede controlli, un outsourcing ben governato, gestione degli incidenti, sicurezza, reporting ed evidenze pronte per essere verificate.”
Servizi legali e di compliance sulla PSD2
Inquadramento normativo PSD2
Analizziamo il tuo modello di business per stabilire se rientra nei servizi di pagamento, nella moneta elettronica, nell’open banking o in un’attività tecnologica non riservata. Così eviti di costruire su una premessa sbagliata.
Domanda davanti alla Banca di Spagna
Prepariamo le domande di autorizzazione e di iscrizione con un approccio pratico: struttura, policy, governance, controlli, evidenze e risposta alle richieste di informazioni.
Autenticazione forte e sicurezza
Verifichiamo come funzionano davvero nella pratica la SCA, le esenzioni, i flussi operativi, gli incidenti e la tracciabilità documentale, per ridurre il rischio di vigilanza e l’attrito commerciale.
AISP, PISP e accesso ai conti
Progettiamo il quadro di compliance per l’aggregazione di conti, la disposizione di ordini di pagamento, l’accesso sicuro ai dati, il consenso e i rapporti tra i soggetti coinvolti.
Terzi critici e contratti
Verifichiamo outsourcing, subappalto, SLA, continuità, sicurezza, responsabilità ed evidenze contrattuali per i fornitori tecnologici e operativi.
Compliance PSD2 continuo
Introduciamo un monitoraggio periodico, la gestione degli incidenti, il reporting interno, il test dei controlli e una documentazione pronta per audit, investitori o autorità di vigilanza.
Perché la PSD2 è critica per fintech, istituti di pagamento e progetti di open banking?
L’errore più grande sulla PSD2 è confondere un prodotto tecnologico con un’attività regolamentata. Se il tuo modello tocca pagamenti, accesso ai conti o esecuzione per conto dei clienti, il perimetro va analizzato prima di operare.
La SCA non è un dettaglio tecnico isolato: incide su conversione, esperienza utente, prevenzione delle frodi, incidenti e capacità di difesa davanti a reclami o ispezioni.
L’open banking richiede più di un’API: servono governance, sicurezza, controllo dei terzi, tracciabilità e coerenza documentale tra processi, contratti e operatività reale.
Un’autorizzazione impostata male o una domanda incoerente davanti alla Banca di Spagna genera richieste di informazioni, rilavorazioni e ritardi che bloccano il lancio o la crescita del business.
Sulla PSD2 non basta “avere delle policy”: bisogna dimostrare la tutela dei fondi, i controlli, gli incidenti gestiti, l’outsourcing sorvegliato e il rispetto continuo delle regole, con evidenze.
Tutto sulla PSD2 per aziende e fintech
Cos’è la PSD2?
La PSD2 è la seconda Direttiva sui servizi di pagamento dell’Unione europea. Regola la prestazione dei servizi di pagamento, rafforza la sicurezza delle operazioni elettroniche e apre l’ecosistema finanziario a soggetti terzi attraverso il modello di open banking.
Nella pratica, la PSD2 riguarda banche, fintech, istituti di pagamento, istituti di moneta elettronica e qualsiasi modello che intervenga nella disposizione di ordini di pagamento, nell’accesso ai conti, nell’autenticazione del cliente o nell’infrastruttura operativa legata al servizio.
Non è solo una norma tecnica: è un quadro di autorizzazione, sicurezza, governance e compliance continuo.
A quali aziende si applica la PSD2?
La PSD2 riguarda direttamente gli istituti di pagamento, gli istituti di moneta elettronica, le banche, i prestatori di servizi di disposizione di ordine di pagamento (PISP), i prestatori di servizi di informazione sui conti (AISP) e i progetti fintech che strutturano servizi attorno ai pagamenti o all’accesso ai conti.
Può riguardare anche, in modo indiretto, fornitori tecnologici, processor, aggregatori, white label e partner operativi, il cui modello contrattuale e funzionale va analizzato con precisione per evitare di entrare in un’attività riservata senza averlo previsto.
La chiave non è come chiami il prodotto, ma cosa fa davvero la tua operatività.
Cosa sono AISP e PISP nella PSD2?
Un AISP presta servizi di informazione sui conti: aggrega o presenta le informazioni finanziarie di uno o più conti dell’utente. Un PISP dispone pagamenti per conto dell’utente dal suo conto bancario verso un esercente o un beneficiario.
Entrambi i modelli richiedono di analizzare autorizzazione, sicurezza, contratti, trattamento dei dati, controlli operativi e rapporto con gli enti che gestiscono il conto. Non basta avere un’integrazione tecnica.
Se il tuo business tocca l’accesso ai conti o la disposizione di pagamenti, l’analisi PSD2 va fatta fin dalla progettazione del prodotto.
Cosa richiede la PSD2 in materia di SCA?
L’autenticazione forte del cliente (SCA) richiede che determinate operazioni siano autenticate con due o più elementi appartenenti a categorie diverse, con regole specifiche su sicurezza e comunicazione.
Oltre a implementare il livello tecnico, bisogna verificare esenzioni, flussi di pagamento, incidenti, tassi di frode, esperienza del cliente ed evidenze di funzionamento reale. Un approccio solo “di prodotto” di solito resta insufficiente.
La SCA non si difende con una spiegazione commerciale: si difende con architettura, processi e registri.
Mi serve l’autorizzazione della Banca di Spagna?
Dipende dal servizio che presti davvero. Se esegui pagamenti, emetti moneta elettronica, disponi pagamenti o accedi ai conti come terzo regolamentato, può essere necessaria un’autorizzazione o un’iscrizione specifica.
L’errore più costoso è presentare una domanda senza aver validato prima l’inquadramento normativo o, peggio ancora, operare credendo di essere solo un fornitore tecnologico quando in realtà si svolge un’attività riservata.
Prima di investire in sviluppo, partner o marketing, conviene chiudere il perimetro regolamentare e la strategia di autorizzazione.
Che ruolo ha l’outsourcing nella PSD2?
Nella PSD2 l’outsourcing non elimina la responsabilità. Esternalizzare tecnologia, assistenza operativa, onboarding, antifrode o supporto ai pagamenti richiede governance, controlli, SLA, supervisione, continuità e una solida documentazione contrattuale.
L’autorità di vigilanza guarda sia la catena operativa sia la capacità dell’ente di controllare i propri terzi critici. Quando il contratto non riflette la realtà operativa, emergono i problemi.
Esternalizzare male non abbassa il costo della compliance: lo moltiplica.
Quanto costa adeguare un’azienda alla PSD2?
Il costo dipende dal tipo di attività, dal grado di maturità del progetto, dal fatto che ci sia già un’operatività in corso e dal fatto che si tratti di una diagnosi, di un’autorizzazione completa o di un compliance continuo.
L’importante è non guardare solo al costo legale iniziale: un inquadramento normativo sbagliato, una SCA gestita male o una domanda incoerente costano molto di più che fare bene il lavoro fin dall’inizio.
Nella PSD2 il risparmio apparente iniziale di solito si trasforma in ritardi, richieste di informazioni e attriti proprio quando fanno più male.
Esplora altre pagine correlate alla PSD2
La PSD2 si intreccia con autorizzazione regolamentare, compliance bancaria, open banking, MiFID II, contratti con terzi e rapporti con la Banca di Spagna.
Regolamentazione finanziaria
Visione d’insieme del quadro applicabile a fintech, pagamenti, licenze, vigilanza, reporting e controllo interno.
Compliance bancaria
Controlli, governance, AML/KYC, PSD2 e tutela del cliente, con un approccio orientato all’ispezione.
Autorizzazione della Banca di Spagna
Preparazione della domanda e degli allegati, sanatoria delle carenze e risposta alle richieste di informazioni delle autorità di vigilanza.
Autorizzazione bancaria
Inquadramento normativo e differenze tra banca a pieno titolo, servizi di pagamento e moneta elettronica.
Licenza bancaria
Cosa richiede una domanda solida e come distinguere tra banca, pagamenti ed e-money senza errori di perimetro.
MiFID II
Un altro grande pilastro della compliance finanziaria per i modelli che combinano pagamenti, investimento e condotta.
Consulenza MiFID II
Adeguatezza, incentivi, registri e vigilanza della CNMV per gli enti con attività di investimento.
Rete legale
Supporto multidisciplinare per progetti in cui PSD2, contratti, fiscalità e difesa regolamentare si intrecciano.
Checklist: la tua azienda è davvero pronta per la PSD2?
Spunta solo ciò che puoi sostenere con documentazione e operatività reale. Più punti restano fuori, maggiore è il rischio regolamentare, operativo e commerciale.
0 su 10 indicatori
Spunta gli indicatori che puoi affermare con certezza.
Guida completa alla PSD2 per aziende e fintech
Tutto ciò che devi sapere sulla PSD2: cosa regola, a chi si applica, come inquadrare il tuo modello, cosa richiede in materia di SCA e open banking, come preparare l’autorizzazione e quali errori evitare.
01
Cos’è esattamente la PSD2?
La PSD2 è il quadro europeo che regola i servizi di pagamento nel mercato interno e che promuove la sicurezza dei pagamenti elettronici, l’apertura dell’ecosistema bancario e l’ingresso di nuovi operatori. Incide sull’architettura giuridica e operativa di banche, istituti di pagamento, istituti di moneta elettronica e numerosi modelli fintech.
La sua rilevanza non sta solo nell’autorizzazione iniziale. La PSD2 impone anche requisiti di sicurezza, governance, accesso ai conti, autenticazione, controllo dei terzi e capacità di dimostrare la conformità con tracciabilità. Per questo non è una norma “di prodotto”: è una norma di business, di operatività e di vigilanza.
02
Quali modelli di business devono verificare il proprio inquadramento nella PSD2
Non devono verificare la PSD2 solo gli enti già autorizzati. Devono farlo anche le startup di pagamento, i wallet, le app di aggregazione finanziaria, le soluzioni di embedded finance, gli strumenti di checkout, le piattaforme che avviano bonifici e i modelli che integrano l’operatività bancaria di terzi.
La domanda giusta non è “siamo una fintech o un software?”, ma “cosa facciamo davvero nella catena del pagamento e dell’accesso al conto?”. Questa analisi determina se ti serve una licenza, un’iscrizione, una diversa struttura contrattuale o una riprogettazione operativa.
03
Open banking: AISP, PISP e accesso sicuro ai conti
Uno dei grandi cambiamenti introdotti dalla PSD2 è l’apertura dell’accesso ai conti di pagamento a determinati soggetti terzi. Ciò ha favorito modelli di aggregazione di informazioni finanziarie e di disposizione di pagamenti, ma ha anche alzato l’asticella su consenso, sicurezza, autenticazione, responsabilità e tracciabilità.
Nella pratica, molte aziende risolvono l’integrazione tecnica prima di risolvere l’inquadramento normativo. Quest’ordine di solito costa caro. L’accesso ai conti richiede di verificare flussi, contratti, ruoli, dati trattati, misure di sicurezza e logica di controllo continuo.
04
SCA, frodi ed esperienza utente
L’autenticazione forte del cliente è uno dei punti più sensibili della PSD2. Non riguarda solo la cybersicurezza, ma anche la conversione commerciale, il tasso di abbandono, la gestione delle frodi e la difesa davanti a reclami o ispezioni.
Una SCA implementata male genera attrito e rischio allo stesso tempo. Per questo conviene verificare non solo il requisito giuridico, ma la sua applicazione operativa: quando si applica, quali esenzioni usi, come si documentano gli incidenti e quali evidenze puoi fornire se ti contestano il modello.
05
Autorizzazione, controlli interni e compliance continuo
Quando il modello richiede autorizzazione o iscrizione, la qualità della domanda è decisiva. L’autorità di vigilanza non valuta solo la teoria: verifica la coerenza tra attività, struttura, funzioni, policy, outsourcing, sicurezza, reporting ed evidenze di esecuzione.
Dopo l’autorizzazione arriva la parte più importante: la conformità ricorrente. La PSD2 richiede che l’ente mantenga i controlli, gestisca gli incidenti, sorvegli i terzi critici e conservi una base documentale che regga a richieste di informazioni, audit e ispezioni.
06
Errori frequenti da evitare con la PSD2
L’errore più comune è confondere la funzionalità con l’inquadramento normativo: lanciare una soluzione utile e dare per scontato che, avendo un livello tecnologico, non ci sia un’attività riservata. Il secondo errore è separare legale, prodotto e operations, quando nella PSD2 tutto è connesso.
Spesso fallisce anche la governance dell’outsourcing: terzi critici senza un controllo reale, contratti generici, SLA poco chiari o mancanza di continuità operativa. Infine, molte aziende documentano male la propria conformità: hanno i processi, ma non le evidenze. In vigilanza, ciò che non si può dimostrare pesa poco.
Contratti correlati
Modelli e analisi contrattuali che potrebbero interessarti
Se stai approfondendo questo tema, queste pagine ti aiuteranno ad ampliare l’analisi su locazioni, forniture e contratti con obbligazioni reciproche.
Contratti
Contratto sinallagmatico
Chiavi giuridiche, obbligazioni reciproche e aspetti essenziali per interpretare correttamente questo tipo di rapporto contrattuale.
Vai alla pagina LocazioniContratto di locazione di capannone industriale
Rivedi le clausole più importanti per regolare uso, durata, canone, responsabilità e risoluzione del contratto.
Vai alla pagina LocazioniContratto di locazione di locale commerciale
Una risorsa utile per analizzare condizioni di sfruttamento, durata, lavori, spese ripetibili e tutela delle parti.
Vai alla pagina CommercialeContratto di fornitura: modello e punti chiave
Struttura, clausole abituali e punti critici per documentare rapporti continuativi di approvvigionamento con certezza giuridica.
Vai alla paginaPrenota una chiamata sulla compliance normativa
Fonti ufficiali
Normativa di riferimento, con link al testo ufficiale:
- Real Decreto-ley 19/2018, del 23 novembre, sui servizi di pagamento e altre misure urgenti in materia finanziariaBOE · testo consolidato
Normativa e link verificati a .