Cos’è la PSD3: guida completa alla nuova normativa europea sui pagamenti

La PSD3 (Payment Services Directive 3) è la terza direttiva europea sui servizi di pagamento, proposta dalla Commissione europea nel giugno 2023 e giunta ad accordo politico provvisorio il 27 novembre 2025. Insieme al regolamento complementare PSR (Payment Services Regulation), la normativa PSD3 sostituirà l’attuale PSD2 ridisegnando il quadro di regolamentazione dei pagamenti digitali nell’Unione europea, con impatti diretti su banche, istituti di pagamento, prestatori di servizi di pagamento (PSP) e sulle aziende che gestiscono flussi di pagamento B2B transfrontalieri.
In breve:

La Payment Services Directive 3 nasce dalla necessità di colmare le lacune applicative della PSD2, entrata in vigore nel 2018. La PSD2 aveva introdotto elementi strutturali come la Strong Customer Authentication e il framework legale per l’open banking, ma la sua implementazione ha rivelato disomogeneità significative tra gli Stati membri, standard tecnici disallineati e una copertura insufficiente rispetto ai vettori di frode emersi negli anni successivi.
Il “New Payments Package” pubblicato dalla Commissione europea nel giugno 2023 è composto da due strumenti giuridici distinti. La PSD3 è una direttiva che aggiorna i requisiti di autorizzazione e vigilanza per gli istituti di pagamento, e come tale richiede il recepimento nei singoli ordinamenti nazionali. Il PSR è un regolamento, quindi direttamente applicabile in tutti gli Stati membri senza margine di discrezionalità nazionale: il suo ruolo è standardizzare le norme operative su autenticazione, frodi e open banking, eliminando le difformità che avevano indebolito l’efficacia della PSD2.
Secondo i dati dell’European Banking Authority (EBA), le frodi sui pagamenti online nell’UE superano i 2 miliardi di euro annui (Fonte: EBA, Risk Assessment Report 2024). Questa cifra costituisce uno dei driver principali della riforma: la normativa PSD3 introduce strumenti specifici per ridurre l’esposizione a frodi organizzate, in particolare quelle che sfruttano l’autorizzazione inconsapevole da parte del pagante.

La riforma introduce novità su quattro assi principali: strong authentication, prevenzione delle frodi, open banking e disciplina delle licenze.
Di seguito l’analisi per ciascun ambito.

Il PSR non abolisce la SCA, ma ne estende la portata e ne rafforza i requisiti tecnici. Gli OTP via SMS, criticati per la vulnerabilità agli attacchi SIM-swap e di social engineering, non soddisfano più le aspettative di robustezza implicite nel nuovo framework. I metodi di autenticazione basati su wallet digitali qualificati (in linea con eIDAS 2.0) e su soluzioni biometriche sono esplicitamente riconosciuti come strumenti idonei. Per il contesto B2B, il PSR estende l’obbligo di SCA a scenari fino ad ora meno presidiati, inclusi i pagamenti ricorrenti e determinati flussi interbancari.
Sul piano della responsabilità, la normativa PSD3 introduce un elemento rilevante: anche i fornitori tecnici (TSP, Technical Service Providers) che partecipano alla catena di autenticazione possono condividere la responsabilità per le perdite da frode, qualora abbiano omesso di applicare correttamente la SCA. Questa disposizione amplia il perimetro regolatorio a gateway di pagamento, fornitori di soluzioni di autenticazione e infrastrutture tecniche di rete.

Il PSR estende la verifica del beneficiario (Verification of Payee, VoP) a tutti i bonifici, non solo a quelli istantanei già coperti dal Regolamento UE 2024/886 (bonifici istantanei SEPA). Il meccanismo richiede che il PSP del pagante confronti il nome del beneficiario indicato dall’ordinante con il titolare effettivo dell’IBAN di destinazione prima di confermare la transazione.
L’aspetto critico per la gestione del rischio aziendale riguarda la responsabilità: se il PSP rileva una discordanza e non la comunica al pagante, e quest’ultimo subisce una perdita da frode, il PSP è direttamente responsabile. Questa norma trasforma la verifica dell’IBAN da buona pratica operativa a obbligo normativo con conseguenze patrimoniali per il fornitore del servizio. Per un responsabile pagamenti o un CFO, questa disposizione è rilevante in sede di valutazione dei propri PSP e nell’aggiornamento delle procedure di riconciliazione.

Le frodi da pagamento autorizzato (APP fraud, Authorised Push Payment) avvengono quando il pagante viene indotto con l’inganno a disporre volontariamente un bonifico verso un conto fraudolento, spesso attraverso tecniche di impersonazione di enti pubblici, istituti bancari o figure aziendali interne (Business Email Compromise, frode CEO). Il PSR introduce per la prima volta un framework europeo specifico per questo tipo di frode, con due novità operative.
In primo luogo, i PSP del pagante e del beneficiario condividono la responsabilità nel rilevare e prevenire le transazioni fraudolente. In secondo luogo, le vittime di frodi da impersonazione di enti o istituzioni hanno diritto a un rimborso, con oneri ripartiti tra il PSP mittente e quello ricevente secondo criteri definiti nel PSR. Contestualmente, il PSR impone ai PSP la condivisione di segnali di frode tra operatori, costruendo un sistema di prevenzione collettiva che riduce i tempi di risposta agli schemi di attacco emergenti.

Uno dei fallimenti strutturali della PSD2 è stata la disomogeneità nella qualità delle interfacce API messe a disposizione dagli istituti bancari per i fornitori terzi (AISP e PISP). Il PSR interviene con obblighi di performance specifici: le banche devono garantire interfacce dedicate ad alte prestazioni, con obiettivi misurabili di disponibilità e latenza, riducendo drasticamente timeout e interruzioni operative.
Sul fronte della governance dei dati, il PSR consente agli utenti di gestire i consensi accordati ai diversi operatori direttamente tramite la propria applicazione bancaria, con possibilità di revoca granulare. Questa misura risponde alle criticità emerse sull’accesso non trasparente ai dati da parte di terze parti, avvicinando il framework dei pagamenti ai principi del GDPR.

La tabella seguente sintetizza le principali differenze operative tra l’attuale quadro PSD2 e la riforma introdotta dalla normativa PSD3 e dal PSR.

La PSD3, in quanto direttiva, è lo strumento che governa l’autorizzazione e la vigilanza degli istituti di pagamento. Le procedure di richiesta di autorizzazione restano sostanzialmente invariate rispetto alla PSD2, ma vengono introdotti due elementi nuovi.
Il primo è l’obbligo per ogni PSP richiedente di presentare un piano di liquidazione (PSD3, art. 3, par. 3, lett. s): si tratta di una procedura documentata per il rimborso ordinato dei fondi dei clienti in caso di cessazione dell’attività. Questo requisito, ispirato alla logica del recovery and resolution plan già in uso per le banche, intende rafforzare la protezione dei fondi della clientela anche per operatori non bancari.
Il secondo riguarda le soglie di capitalizzazione: il possesso di un capitale iniziale di 50.000 euro è ora riconosciuto come alternativa all’assicurazione di responsabilità civile professionale (PSD3, art. 36, par. 5). Per i fornitori di servizi di informazione sui conti (AISP), non è richiesta licenza piena, ma devono soddisfare requisiti di registrazione equivalenti a quelli degli istituti autorizzati in termini di informativa e governance. Gli istituti di pagamento già autorizzati ai sensi della PSD2 dovranno adeguare la propria documentazione di governance alla luce delle nuove disposizioni, con particolare attenzione ai contratti di outsourcing e alle procedure di safeguarding dei fondi.

L’iter legislativo della Payment Services Directive 3 è entrato nella fase finale. Di seguito lo stato aggiornato al 12 giugno 2026.

Fonte: Morrison Foerster, aprile 2026; DLA Piper, marzo 2026. Il periodo di recepimento nazionale è stimato in 18 mesi dalla pubblicazione in Gazzetta Ufficiale UE (Fonte: McCann FitzGerald, dicembre 2025)

Per un’azienda che opera in contesti B2B, la riforma introduce impatti su tre livelli distinti: operativo, di rischio e di compliance.
A livello operativo, l’estensione della verifica del beneficiario a tutti i bonifici SEPA modifica i flussi di autorizzazione dei pagamenti: i PSP dovranno integrare i controlli di corrispondenza IBAN/nome nei processi di conferma delle transazioni, potenzialmente generando alert per i responsabili pagamenti in caso di discordanza tra dati anagrafici del beneficiario e IBAN indicato. Per le aziende con volumi elevati di pagamenti verso nuove controparti, questo richiede un aggiornamento delle procedure di onboarding dei fornitori.
A livello di rischio, la condivisione obbligatoria di segnali di frode tra PSP costruisce un sistema di early warning collettivo che riduce i tempi di risposta agli schemi emergenti di Business Email Compromise e frode CEO. La responsabilità dei PSP per le perdite da frode APP in caso di mancata segnalazione crea un incentivo diretto alla qualità dei controlli, con effetti positivi sull’intera catena di pagamento.
A livello di compliance, le aziende che operano a livello europeo devono considerare l’architettura duale PSD3/PSR: il PSR sarà direttamente applicabile in tutti gli Stati membri (nessuna variante nazionale), mentre la PSD3 come direttiva lascerà margini di recepimento che potrebbero generare differenze procedurali. Questa distinzione è rilevante per chi gestisce relazioni bancarie e di pagamento in più giurisdizioni UE. Per i CISO e i responsabili sicurezza, l’estensione del perimetro di responsabilità ai fornitori tecnici (TSP) nella catena SCA impone una revisione dei contratti con i fornitori di tecnologia di pagamento.

Il PSR estende l’obbligo di verifica IBAN/nome a tutti i bonifici SEPA. Per le aziende che gestiscono pagamenti verso nuove controparti, questa norma rende strutturale la necessità di verificare l’identità del beneficiario prima di ogni disposizione di pagamento. Sis ID offre soluzioni di verifica IBAN e KYB (Know Your Business) integrate nei flussi di pagamento B2B, permettendo ai responsabili finanziari di ridurre il rischio di frode e di adeguarsi ai nuovi standard normativi in anticipo sull’entrata in vigore della PSD3.
Scopri la soluzione antifrode My Sis ID