La direttiva PSD3 (Payment Services Directive 3) è la normativa europea che aggiorna e sostituisce la PSD2, rafforzando la regolamentazione dei servizi di pagamento digitali nell’Unione Europea. Proposta dalla Commissione Europea nel giugno 2023, introduce regole più stringenti contro le frodi nei pagamenti online, migliora la protezione dei consumatori e rafforza i requisiti di sicurezza per tutti gli operatori del settore.

La PSD3 lavora in tandem con il PSR (Payment Services Regulation), che trasforma alcune disposizioni da direttiva in regolamento direttamente applicabile in tutti gli Stati membri senza necessità di recepimento nazionale. Le principali novità riguardano l’estensione della Strong Customer Authentication a più casistiche, sanzioni più severe per le violazioni di sicurezza, nuovi standard obbligatori per le API di Open Banking e una vigilanza rafforzata sui prestatori di servizi di pagamento (PSP).

L’entrata in vigore è prevista tra il 2026 e il 2027, dopo il completamento dell’iter legislativo europeo e il recepimento da parte degli Stati membri. Per le aziende significa maggiore sicurezza nelle transazioni digitali, migliore integrazione con i sistemi bancari e obblighi di conformità più stringenti per chi offre servizi di pagamento.

Cos’è la PSD3 e cosa cambia nei pagamenti

La PSD3 è la terza generazione della normativa europea che regola i servizi di pagamento digitali nell’Unione Europea. Secondo quanto comunicato dalla Commissione Europea, la proposta del giugno 2023 mira a colmare le lacune emerse nell’applicazione della PSD2 e ad adeguare il quadro normativo all’evoluzione tecnologica del settore.

Il cambiamento fondamentale rispetto alla PSD2 riguarda l’approccio normativo. La direttiva precedente lasciava ampi margini interpretativi agli Stati membri durante il recepimento, creando difformità applicative tra paesi. La PSD3 introduce regole più dettagliate e prescrittive per garantire uniformità in tutta l’Unione: banche, processori di pagamento e fornitori fintech dovranno adeguarsi a standard comuni più rigidi.

La direttiva interviene per armonizzare le regole sui trasferimenti elettronici in Europa, impattando direttamente sull’esecuzione dei pagamenti SEPA e sugli altri strumenti di pagamento digitale. L’obiettivo è creare un mercato unico dei pagamenti realmente integrato, dove consumatori e imprese possano fare transazioni transfrontaliere con la stessa facilità e sicurezza di quelle nazionali.

Le modifiche più rilevanti riguardano tre aree. Sul fronte della sicurezza, vengono rafforzati i requisiti di autenticazione forte del cliente (Strong Customer Authentication), estendendola a tipologie di transazioni prima esentate. Per l’Open Banking, vengono stabiliti standard tecnici obbligatori per le API bancarie, eliminando le discrepanze qualitative che caratterizzavano la PSD2. Infine, sul versante della vigilanza, le autorità nazionali ottengono poteri più incisivi con sanzioni significativamente aumentate.

Ecco qui un esempio:

Una banca italiana deve permettere a un’app di gestione finanziaria di terze parti di accedere ai dati del conto corrente del cliente tramite API. Con la PSD2, la banca poteva implementare interfacce proprietarie con performance variabili. Con la PSD3, deve rispettare standard tecnici uniformi europei che garantiscono tempi di risposta, disponibilità del servizio e formato dati omogenei. L’utente finale ottiene servizi più stabili e affidabili, e l’app funziona con la stessa efficacia indipendentemente dalla banca utilizzata.

La distinzione tra PSD3 e PSR

La riforma dei servizi di pagamento non si limita alla sola PSD3, ma comprende due strumenti normativi complementari: la direttiva PSD3 e il regolamento PSR (Payment Services Regulation). Capire la differenza è importante perché i due strumenti funzionano in modo diverso.

La PSD3 mantiene la forma giuridica di direttiva europea: stabilisce obiettivi e principi che gli Stati membri devono recepire nella propria legislazione nazionale entro un termine prestabilito, generalmente 18-24 mesi dall’adozione definitiva. Ogni paese ha margini di manovra nell’implementazione concreta, pur rispettando i risultati richiesti. Questa flessibilità consente di adattare le regole alle specificità dei mercati nazionali.

Il PSR è invece un regolamento europeo, strumento con efficacia diretta e immediata in tutti gli Stati membri senza necessità di recepimento. Dal momento della sua entrata in vigore, le sue disposizioni diventano automaticamente legge in tutti i 27 paesi dell’UE. Il regolamento si concentra su aspetti tecnici che richiedono massima armonizzazione: requisiti di sicurezza informatica, standard per le API di Open Banking, obblighi di notifica degli incidenti, regole per l’autenticazione forte.

La scelta di dividere la riforma risponde a una logica precisa. Gli aspetti che richiedono uniformità assoluta (come gli standard tecnici per l’interoperabilità dei sistemi di pagamento) vanno nel PSR per evitare frammentazione del mercato unico. Gli aspetti che possono beneficiare di adattamenti nazionali (come le procedure di licenza per i PSP o alcuni aspetti della tutela dei consumatori) rimangono nella PSD3 come direttiva.

Per le imprese che operano a livello europeo, questa architettura normativa significa dover considerare sia le regole direttamente applicabili del PSR sia le varianti nazionali di recepimento della PSD3.

Le principali novità della normativa

Come la PSD3 riduce le frodi nei pagamenti digitali

La lotta alle frodi nei pagamenti digitali è uno dei pilastri centrali della riforma PSD3. Secondo i dati dell’European Banking Authority (EBA), le frodi sui pagamenti online nell’UE superano i 2 miliardi di euro annui. La nuova normativa introduce misure specifiche per invertire questa tendenza. Rafforzare i requisiti di sicurezza è fondamentale per tutelare la liquidità aziendale e garantire una corretta gestione di incassi e pagamenti.

Il rafforzamento della Strong Customer Authentication (SCA) è la prima linea di difesa. La PSD2 aveva introdotto l’obbligo di autenticazione a due fattori per le transazioni online, ma prevedeva numerose esenzioni basate sull’importo, sul livello di rischio o sulla tipologia di beneficiario. La PSD3 restringe queste eccezioni, estendendo l’obbligo di SCA a casistiche prima escluse come alcuni pagamenti ricorrenti e transazioni verso beneficiari fidati dopo un periodo di inattività.

Vengono introdotti nuovi obblighi di monitoraggio attivo delle transazioni sospette. I prestatori di servizi di pagamento devono implementare sistemi automatizzati di rilevamento delle frodi che analizzano in tempo reale i comportamenti transazionali, segnalando anomalie come cambiamenti improvvisi nel comportamento di spesa o accessi da localizzazioni geografiche inusuali.

Particolare attenzione viene dedicata alle frodi tramite social engineering e phishing. La PSD3 introduce l’obbligo per i PSP di implementare meccanismi di verifica della legittimità dei beneficiari prima di autorizzare pagamenti verso nuovi destinatari, confrontando il nome inserito dal pagatore con quello associato all’IBAN di destinazione. Questa verifica, nota come Confirmation of Payee, è già operativa nel Regno Unito e ha dimostrato efficacia nel ridurre le frodi da impersonificazione.

La direttiva impone anche la condivisione obbligatoria di informazioni sulle frodi tra operatori attraverso registri centralizzati. Quando un istituto rileva una frode, deve notificarla al sistema centrale che la rende disponibile a tutti gli altri operatori, aumentando la capacità collettiva di bloccare i truffatori prima che replichino gli stessi schemi altrove.

La gestione delle licenze per i PSP

La disciplina delle licenze per i Prestatori di Servizi di Pagamento (PSP) subisce modifiche sostanziali per rafforzare i controlli all’ingresso del mercato e la vigilanza continuativa. I PSP dovranno adeguarsi ai nuovi standard di sicurezza e autorizzazione per offrire strumenti conformi per la gestione dei pagamenti.

Il processo di autorizzazione diventa più rigoroso con requisiti patrimoniali più elevati per determinate categorie di PSP, in particolare per gli istituti che gestiscono volumi significativi di transazioni. L’obiettivo è garantire che gli operatori abbiano riserve di capitale sufficienti per fronteggiare perdite operative o crisi di liquidità senza compromettere la continuità del servizio.

Vengono introdotti criteri di idoneità più stringenti per gli azionisti di controllo e i membri degli organi di amministrazione. Le autorità nazionali devono verificare non solo l’onorabilità e l’assenza di precedenti penali, ma anche la competenza professionale specifica nel settore dei pagamenti digitali. Un amministratore delegato di un istituto di pagamento deve dimostrare esperienza documentata nel settore finanziario.

Un’innovazione rilevante è il registro europeo centralizzato dei PSP autorizzati, accessibile pubblicamente e aggiornato in tempo reale. Consumatori e imprese potranno verificare immediatamente se un fornitore di servizi di pagamento è legittimamente autorizzato e in quale Stato membro ha ottenuto la licenza. Questo contrasta il fenomeno degli operatori abusivi che offrono servizi senza le necessarie autorizzazioni, mettendo a rischio i fondi degli utenti.

Le conseguenze della non conformità per un istituto

Il regime sanzionatorio della PSD3 introduce penalità significativamente più severe rispetto alla normativa precedente, riflettendo l’importanza crescente della protezione dei consumatori e della stabilità del sistema dei pagamenti.

Le sanzioni amministrative pecuniarie possono arrivare fino a 5 milioni di euro o al 10% del fatturato annuo consolidato dell’istituto, applicando la cifra più elevata tra le due. Questa struttura a doppio binario garantisce che le sanzioni siano proporzionalmente significative sia per le piccole fintech che per le grandi banche sistemiche.

Le autorità nazionali ottengono il potere di ordinare la sospensione temporanea di specifici servizi di pagamento fino al ripristino della conformità, limitare l’operatività dell’istituto vietando l’acquisizione di nuovi clienti, o nei casi più gravi revocare completamente l’autorizzazione. Viene introdotta anche una forma di responsabilità personale per gli amministratori che hanno approvato consapevolmente pratiche non conformi.

Ecco qui un esempio:

Un istituto di moneta elettronica non implementa correttamente i sistemi di Strong Customer Authentication richiesti, permettendo transazioni online senza verifica a due fattori. Vengono rilevate frodi per 500.000 euro a danno di 200 clienti. L’autorità di vigilanza può: infliggere una sanzione pari al 10% del fatturato annuo; ordinare il rimborso immediato di tutti i clienti frodati; sospendere l’operatività fino all’implementazione certificata dei sistemi di sicurezza; interdire temporaneamente il responsabile IT che aveva attestato falsamente la conformità.

L’entrata in vigore della PSD3 e la timeline

L’approvazione definitiva della PSD3 e del PSR è prevista nel corso del 2025, dopo il completamento dell’iter legislativo europeo che richiede l’approvazione congiunta del Parlamento Europeo e del Consiglio dell’UE. Per capire il percorso che ha portato fin qui, è utile ripercorrere le fasi iniziali della proposta della nuova direttiva sui servizi di pagamento.

Una volta pubblicati nella Gazzetta Ufficiale dell’UE, i due strumenti normativi seguono percorsi diversi. Il PSR (regolamento) diventa applicabile direttamente in tutti gli Stati membri dopo 12-18 mesi dalla pubblicazione, quindi presumibilmente nella seconda metà del 2026 o inizio 2027. La PSD3 (direttiva) richiede invece il recepimento nella legislazione nazionale entro 18-24 mesi dalla pubblicazione, con piena applicazione prevista tra fine 2026 e metà 2027.

Le tempistiche esatte dipenderanno dalla velocità dell’iter legislativo e dalla rapidità di recepimento di ciascuno Stato membro. I PSP non possono però aspettare passivamente. Devono avviare da subito progetti di adeguamento per analizzare i gap rispetto ai nuovi requisiti, implementare le modifiche tecnologiche necessarie, aggiornare le procedure operative e formare il personale.

Fasi principali del percorso legislativo:

• Giugno 2023: presentazione della proposta da parte della Commissione Europea

• 2024-2025: esame da parte di Parlamento e Consiglio, trilogo, approvazione definitiva

• 2025: pubblicazione nella Gazzetta Ufficiale dell’UE

• 2026: entrata in vigore del PSR (regolamento direttamente applicabile)

• 2026-2027: scadenza recepimento PSD3 da parte degli Stati membri

Il testo ufficiale e le fonti normative

Consultare la PSD3 su EUR-Lex e in PDF

Il testo ufficiale della proposta di direttiva PSD3 e del regolamento PSR è accessibile gratuitamente attraverso EUR-Lex, il portale del diritto dell’Unione Europea. La piattaforma raccoglie tutti gli atti legislativi europei in tutte le lingue ufficiali dell’Unione.

Per trovare i documenti sulla PSD3, usa la funzione di ricerca inserendo “Payment Services Directive” o “PSD3”. I documenti sono identificati da codici univoci: la proposta della Commissione ha un numero COM seguito dall’anno e da un numero progressivo. EUR-Lex permette di consultare il testo integrale in HTML o scaricarlo in PDF ufficiale.

La piattaforma consente anche di seguire l’evoluzione del testo attraverso le fasi legislative: proposta originale della Commissione, emendamenti del Parlamento, posizione del Consiglio, testo consolidato definitivo. Ogni versione è datata e archiviata, permettendo di ricostruire l’intero percorso normativo.

La Commissione Europea pubblica anche fact sheet e documenti esplicativi in linguaggio più accessibile, utili per le imprese che devono capire rapidamente l’impatto delle nuove regole senza analizzare ogni articolo del testo legislativo.

Il ruolo della Banca d’Italia

La Banca d’Italia è l’autorità competente per l’implementazione e l’applicazione della normativa PSD3 a livello nazionale, agendo sia come autorità di vigilanza sui PSP che come interlocutore per il recepimento della direttiva nella legislazione italiana.

In qualità di autorità di supervisione, rilascia e revoca le autorizzazioni agli istituti di pagamento e agli istituti di moneta elettronica che operano in Italia. Valuta le domande di licenza verificando requisiti patrimoniali, organizzativi e di professionalità. Una volta rilasciata l’autorizzazione, esercita vigilanza attraverso controlli documentali, ispezioni in loco e analisi dei dati periodici che i PSP devono trasmettere.

Sul fronte normativo, Banca d’Italia partecipa al recepimento della direttiva fornendo supporto tecnico al Ministero dell’Economia e delle Finanze nella redazione dei decreti legislativi. Emette circolari e disposizioni di vigilanza che chiariscono le aspettative di supervisione e forniscono linee guida operative agli operatori del settore.

Per le imprese italiane che offrono o utilizzano servizi di pagamento, Banca d’Italia è il principale interlocutore istituzionale per ottenere chiarimenti interpretativi sulla normativa, richiedere autorizzazioni o segnalare problematiche.

Gestisci i pagamenti digitali con Sibill

La PSD3 migliora gli standard API dell’open banking, rendendo le connessioni tra gestionali e conti bancari più stabili e affidabili. Per le aziende che già usano strumenti digitali per gestire la finanza, questo significa integrazioni più solide e meno interruzioni nel flusso dei dati.

Sibill si connette ai conti correnti tramite le API bancarie previste dalla normativa PSD2 e sarà pienamente compatibile con gli standard migliorati della PSD3. I movimenti bancari vengono importati automaticamente e abbinati alle fatture emesse e ricevute, facilitando la riconciliazione bancaria automatica senza intervento manuale.

La piattaforma integra i dati di più conti e banche in un’unica dashboard, aggiorna le previsioni di liquidità considerando pagamenti programmati e incassi attesi, e rispetta gli standard di sicurezza richiesti dalla normativa europea.

Domande frequenti