Nuovo regime di autorizzazione e tutela dei fondi
«La PSD3 unifica i requisiti di licenza, rafforza la tutela dei fondi dei clienti e richiede piani di risoluzione per gli istituti di pagamento.»
Preparati alla PSD3 e al nuovo Regolamento PSR: open banking, SCA, prevenzione delle frodi, licenze e accesso ai sistemi di pagamento. Ti aiutiamo ad adeguare la tua società prima dell’entrata in vigore.
Consulenza gratuita PSD3
Ti rispondiamo entro 24 ore
Sei aree di lavoro perché il tuo istituto di pagamento, la tua fintech o la tua banca arrivino preparati alla nuova regolamentazione europea dei pagamenti.
Analisi del regime di autorizzazione ai sensi di PSD3/PSR: requisiti di capitale, governance, tutela dei fondi (safeguarding) e domanda all’autorità di vigilanza competente.
La PSD3 rafforza i legami con la normativa AML: KYC, monitoraggio delle transazioni, screening e reporting adattati al settore dei pagamenti.
Strutture di governo interno, politiche sul rischio operativo, piani di contingenza e rispetto continuo della normativa ai sensi della PSD3.
Adeguamento al nuovo quadro dell’open banking e dell’open finance: accesso ai dati, interfacce dedicate, FIDA e diritti degli utenti.
Nuovi obblighi di autenticazione forte (SCA), verifica IBAN-nome, responsabilità condivisa e meccanismi antifrode.
La PSD3 non agisce da sola: va coordinata con il quadro MiCA per le cripto, con MiFID per gli investimenti e con DORA per la resilienza operativa digitale.
Banche, fintech, istituti di pagamento, provider di open banking e neobanche: ogni profilo ha implicazioni diverse.
«La PSD3 unifica i requisiti di licenza, rafforza la tutela dei fondi dei clienti e richiede piani di risoluzione per gli istituti di pagamento.»
«I fornitori terzi (AISP/PISP) ottengono migliori garanzie di accesso alle API bancarie, ma anche nuovi obblighi di trasparenza e sicurezza.»
«Le banche devono garantire API funzionanti, assumere una responsabilità condivisa nei casi di frode da impersonificazione e adeguare i propri sistemi di SCA.»
«Le nuove regole sulla SCA e sulle relative esenzioni incidono direttamente sul flusso di pagamento: equilibrio tra sicurezza ed esperienza utente.»
Il mancato rispetto del nuovo quadro dei pagamenti può comportare sanzioni, perdita della licenza ed esclusione competitiva.
Perdita della licenza o rifiuto dell’autorizzazione: i soggetti che non rispettano i nuovi requisiti di governance, capitale e tutela dei fondi possono perdere l’abilitazione a operare.
Responsabilità estesa per le frodi: la PSD3 introduce la responsabilità condivisa nelle frodi da impersonificazione (spoofing), il che aumenta il costo di non avere controlli antifrode efficaci.
Esclusione dall’ecosistema dei pagamenti: gli istituti di pagamento potranno accedere a sistemi di pagamento come TARGET; non adeguarsi significa restare fuori dall’infrastruttura europea dei pagamenti.
Le banche che non offrono interfacce dedicate funzionanti potranno essere sanzionate e obbligate a mantenere l’accesso tramite screen scraping.
Non adeguare i flussi di autenticazione alle nuove esenzioni (basso rischio, pagamenti ricorrenti) genera attrito inutile e perdita di clienti.
Il PSR stabilisce un regime sanzionatorio unificato a livello europeo, con sanzioni proporzionali al fatturato del soggetto.
Analizziamo la tua situazione attuale, individuiamo i gap normativi e definiamo un piano di adeguamento al nuovo quadro europeo dei pagamenti: licenze, open banking, SCA, frodi e compliance.
La PSD3 (Payment Services Directive 3) è la nuova direttiva europea che sostituisce la PSD2. È accompagnata dal PSR (Payment Services Regulation), un regolamento direttamente applicabile che armonizza le norme sui pagamenti in tutta l’UE.
L’obiettivo è migliorare la tutela degli utenti, rafforzare la lotta alle frodi, favorire l’open banking e creare un mercato dei pagamenti più competitivo e integrato.
La PSD3 è una direttiva che disciplina principalmente l’autorizzazione e la vigilanza degli istituti di pagamento e di moneta elettronica (licenze, governance, capitale). Deve essere recepita in ciascuna legislazione nazionale.
Il PSR è un regolamento direttamente applicabile in tutti gli Stati membri che copre le norme operative: diritti degli utenti, trasparenza, SCA, accesso ai conti, responsabilità per le frodi e prevenzione.
La proposta legislativa è stata presentata a giugno 2023. Il 27 novembre 2025 il Parlamento europeo e il Consiglio hanno raggiunto un accordo politico provvisorio e ad aprile 2026 il Consiglio ha confermato il testo di compromesso finale. Restano da completare il voto formale e la pubblicazione nella Gazzetta ufficiale dell’UE, prevista per il primo semestre del 2026.
L’entrata in vigore avviene 20 giorni dopo la pubblicazione e gli Stati membri hanno 21 mesi per recepire la PSD3. Questo colloca l’applicazione pratica in Spagna intorno al 2027. Conviene avviare fin d’ora la gap analysis, prendendo quella data come obiettivo.
La PSD3/PSR introduce miglioramenti significativi per l’accesso ai conti di pagamento:
Sono interessati tutti i soggetti che prestano servizi di pagamento nell’UE:
Sì. Una delle novità più rilevanti della PSD3 è la fusione dei regimi di autorizzazione degli istituti di pagamento (IP) e degli istituti di moneta elettronica (IMEL) in un’unica categoria regolamentare.
Questo semplifica il quadro delle licenze ed elimina le incoerenze tra i due regimi, anche se comporta l’adeguamento di statuti, requisiti di capitale e procedure di vigilanza.
La PSD3 si inserisce in un ecosistema normativo più ampio:
La PSD3 non è solo un aggiornamento della PSD2: è un cambio di modello. Regolamento direttamente applicabile (PSR), fusione delle licenze, responsabilità per le frodi e open banking rafforzato. Ecco i pilastri del nuovo quadro.
La PSD3 (direttiva) disciplina licenze e vigilanza. Il PSR (regolamento) è direttamente applicabile e copre le norme operative: diritti degli utenti, SCA, accesso ai conti e frodi. Questo elimina le divergenze nazionali generate dalla PSD2.
Un unico regime di autorizzazione per gli istituti di pagamento e di moneta elettronica. Inoltre gli istituti di pagamento potranno accedere direttamente ai sistemi di pagamento (come TARGET), eliminando la dipendenza dalle banche intermediarie.
Verifica IBAN-nome, responsabilità dei PSP nelle frodi da impersonificazione, rimborso esteso e obbligo di condividere i dati sulle frodi tra i soggetti. Un cambio di paradigma nella tutela del consumatore.
Se hai bisogno di assistenza per la transizione PSD2 → PSD3, consulta i nostri servizi di regolamentazione fintech o richiedi una consulenza gratuita.
La PSD3 e il PSR trasformano il quadro europeo dei pagamenti. Queste schede riassumono i blocchi operativi da rivedere: licenze, open banking, frodi, SCA e governance.
1) LicenzaLa PSD3 fonde i regimi di istituto di pagamento e di moneta elettronica in un’unica licenza: i requisiti si semplificano, ma i soggetti già autorizzati devono adeguarsi.
2) Open BankingLe banche devono offrire interfacce dedicate funzionanti. I TPP ottengono diritti di accesso più chiari e strumenti per misurare le prestazioni delle API.
3) FrodiVerifica IBAN-nome, responsabilità per impersonificazione, rimborso esteso e obbligo di condividere i dati sulle frodi tra PSP.
4) GovernanceRequisiti di governance più esigenti, coordinamento con DORA per la resilienza operativa e piani di risoluzione per gli istituti di pagamento significativi.
Mappa dell’impattoAPI obbligatorie + responsabilità per frodi da impersonificazione + SCA adeguata.
Licenza unificata + accesso ai sistemi di pagamento + nuovi requisiti di capitale.
Migliore accesso alle API + maggiore trasparenza + obblighi di sicurezza rafforzati.
Direttiva unica, recepita in modo divergente in ciascuno Stato membro.
Direttiva (PSD3) + Regolamento (PSR) direttamente applicabile: norme uniformi in tutta l’UE.
Regimi separati per gli istituti di pagamento e di moneta elettronica (EMD2).
Fusione in un’unica licenza. Gli IMEL passano a essere disciplinati dalla PSD3.
API facoltative con ripiego sullo screen scraping. Problemi di funzionalità e di accesso.
API obbligatorie con dashboard sulle prestazioni. Screen scraping solo come ultima risorsa regolamentata.
Responsabilità limitata del PSP. Nessuna verifica IBAN-nome.
Verifica IBAN-nome obbligatoria. Responsabilità condivisa per spoofing. Rimborso esteso.
Esenzioni limitate. Delega poco chiara.
Nuove esenzioni, delega migliore e regole proporzionate al rischio dell’operazione.
Se una di queste situazioni riguarda la tua società, conviene avviare la gap analysis prima della pubblicazione del testo finale.
Se stai preparando la transizione alla PSD3, questi termini ricorrono di continuo nei testi legislativi, nella vigilanza e nell’operatività quotidiana dei pagamenti.
Terza direttiva europea sui servizi di pagamento. Disciplina l’autorizzazione, la vigilanza e la governance degli istituti di pagamento e di moneta elettronica.
Regolamento direttamente applicabile che unifica le norme operative sui pagamenti: diritti degli utenti, SCA, accesso ai conti e prevenzione delle frodi.
Autenticazione forte del cliente basata su due o più fattori (possesso, conoscenza, inerenza). La PSD3 amplia le esenzioni e migliora la delega.
Prestatore che accede ai dati dei conti di pagamento dell’utente (con il suo consenso) per aggregare informazioni finanziarie. Regolato dalla PSD2 e rafforzato nella PSD3.
Prestatore che dispone pagamenti dal conto dell’utente presso un altro PSP. Con la PSD3 ottiene maggiore certezza giuridica e un migliore accesso alle API bancarie.
Proposta di regolamento che estende l’open banking all’open finance: accesso ai dati su assicurazioni, investimenti, pensioni e credito, non solo sui conti di pagamento.
Controllo che l’IBAN del beneficiario corrisponda al nome indicato prima di eseguire il bonifico. Obbligatoria con il PSR e già richiesta per il SEPA Instant da ottobre 2025.
Regolamento sulla resilienza operativa digitale per gli enti finanziari: gestione del rischio ICT, test di resilienza e notifica degli incidenti.
Obbligo di proteggere i fondi dei clienti mediante segregazione in conti separati o garanzie equivalenti. Rafforzato nella PSD3.
Se cerchi quando entra in vigore la PSD3, a che punto è il Regolamento PSR e quali passi devono compiere ora istituti di pagamento, fintech e banche, questo è il punto di partenza.
La Commissione ha avviato il nuovo pacchetto legislativo sui servizi di pagamento per correggere i problemi emersi con la PSD2: frammentazione normativa, frodi, carenze delle API e differenze tra istituti di pagamento e di moneta elettronica.
Il pacchetto PSD3/PSR ha compiuto un passo decisivo con l’accordo provvisorio tra le istituzioni europee. Da quel momento la riforma ha smesso di essere un’ipotesi ed è diventata un cambiamento normativo in fase finale.
Ad aprile 2026 il Consiglio ha confermato il testo di compromesso finale di PSD3 e PSR. Restano da completare il voto formale e la pubblicazione nella Gazzetta ufficiale dell’UE, prevista per il primo semestre del 2026. Da lì decorrono i termini: entrata in vigore dopo 20 giorni e 21 mesi per il recepimento della PSD3, il che colloca l’applicazione pratica intorno al 2027.
La PSD3 non riguarda solo le banche. Interessa anche gli istituti di pagamento, gli istituti di moneta elettronica, i provider di open banking, le fintech con flussi di pagamento integrati e le piattaforme che operano nell’ecosistema europeo dei pagamenti.
Sono uno dei gruppi più direttamente interessati dalla PSD3. Il nuovo quadro riorganizza la logica dell’autorizzazione, rafforza la governance, rivede la tutela dei fondi dei clienti e richiede una revisione approfondita del modello operativo e della documentazione.
Le banche dovranno rivedere la qualità delle proprie API, i meccanismi di autenticazione forte, la gestione delle frodi e l’operatività di accesso ai conti. L’impatto è particolarmente rilevante per l’open banking, la responsabilità per le frodi e l’esperienza utente nei pagamenti.
I prestatori di servizi di informazione sui conti e di disposizione di ordini di pagamento devono rivedere accesso, sicurezza, documentazione contrattuale, uso delle API e obblighi rafforzati nei confronti di utenti e banche.
Se il tuo modello include wallet, bonifici, checkout, aggregazione bancaria o embedded payments, la PSD3 può incidere sulla tua architettura legale, tecnologica e operativa anche se parte del servizio è esternalizzata.
Le piattaforme con flussi di incasso, checkout integrato o strutture di marketplace devono verificare se la loro attività rientra nei servizi di pagamento, quali esenzioni si applicano e quale impatto avrà la PSD3 su frodi e autenticazione.
Molti soggetti dovranno rivedere la PSD3 insieme a DORA, MiCA, outsourcing, protezione dei dati e antiriciclaggio. Di solito il problema non è una sola norma, ma la somma degli obblighi concorrenti.
Analizziamo il tuo modello, verifichiamo se presti servizi di pagamento o attività connesse e ti indichiamo quali obblighi normativi devi rivedere subito.
CENTRO DI CONTROLLO NORMATIVO · PSD3/PSR
Per istituti di pagamento, fintech e banche, la transizione alla PSD3 richiede un piano strutturato: licenze, open banking, SCA, frodi e governance. Questo pannello riassume le aree di impatto e il loro livello di urgenza.
Dai priorità alle aree di maggiore impatto e urgenza per il tuo tipo di società.
Raccontaci la tua situazione e ti spieghiamo come preparare la tua società alla PSD3 e al nuovo PSR.
La terza direttiva sui servizi di pagamento (PSD3) e il regolamento sui servizi di pagamento (PSR) rappresentano la più grande riforma del quadro normativo dei pagamenti nell’Unione europea dall’approvazione della PSD2 nel 2015. La proposta, pubblicata dalla Commissione europea a giugno 2023, risponde alle carenze emerse nell’applicazione della PSD2 e alla rapida evoluzione del mercato dei pagamenti digitali.
La PSD2 ha introdotto l’open banking e l’autenticazione forte (SCA), ma la sua attuazione ha fatto emergere diversi problemi: recepimento nazionale divergente, API bancarie di bassa qualità, aumento delle frodi online (soprattutto per furto d’identità) e un regime di licenze frammentato tra istituti di pagamento e di moneta elettronica. La PSD3 e il PSR affrontano questi problemi con un doppio strumento legislativo: una direttiva per la vigilanza e le licenze e un regolamento direttamente applicabile per le norme operative.
Tra i cambiamenti più rilevanti: la fusione dei regimi degli istituti di pagamento e di moneta elettronica in un’unica categoria regolamentare; l’accesso degli istituti di pagamento ai sistemi di pagamento come TARGET; il miglioramento dell’open banking con API obbligatorie e dashboard sulle prestazioni; la verifica IBAN-nome obbligatoria; la responsabilità condivisa nelle frodi da impersonificazione; e un regime sanzionatorio armonizzato a livello europeo.
La PSD3 non agisce in modo isolato. Si integra con il Regolamento DORA (resilienza operativa digitale, applicabile da gennaio 2025), il Regolamento MiCA (cripto-attività e token di moneta elettronica) e la proposta di Regolamento FIDA (accesso ai dati finanziari per l’open finance). I soggetti regolamentati devono valutare l’impatto combinato di queste norme sul proprio modello di business, sulla governance e sui sistemi tecnologici.
Il 27 novembre 2025 il Parlamento europeo e il Consiglio hanno raggiunto un accordo politico provvisorio sulla PSD3 e sul PSR. Ad aprile 2026 il Consiglio ha confermato il testo di compromesso finale; restano da completare il voto formale e la pubblicazione nella Gazzetta ufficiale dell’UE, prevista per il primo semestre del 2026. Dall’entrata in vigore gli Stati membri hanno 21 mesi per recepire la PSD3, il che colloca l’applicazione pratica in Spagna intorno al 2027. I soggetti che anticipano l’adeguamento (gap analysis, revisione delle licenze, adeguamento delle API, protocolli antifrode e formazione) partiranno con un vantaggio competitivo e normativo.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .