A guide to PSD3 compliance: what businesses need to know
Understanding psd3: Key changes and what they mean for your business
It might sound like the third instalment of a popular movie series. But, the 3rd Payment Services Directive (PSD3) is the latest EU regulation to modernise and streamline electronic payments by building on the foundation originally laid down by PSD2.
PSD3 is going to mandate some key changes in the European payments industry, particularly in open banking over the next three years. In this blog, we'll look at how they are going to impact your business operations.
What are the Payment Services Directive 3 (PSD3) and the Payment Services Regulation (PSR)?
The evolution of the 2nd Payments Directive, or PSD2, has resulted in two components: PSD3 and the PSR. Whilst actual enforcement of PSD3/PSR is not expected to take effect before 2027, there are steps that you should take now to prepare.
But firstly, what are PSD3 and the PSR?
PSD3
Introduced in June 2023, PSD3 is an EU directive that applies to banks and Payment Service Providers (PSPs), including electronic money institutions (EMIs), payment institutions (PIs), and payment initiation service providers (PISPs), operating within the EU and EEA. Additionally, non-bank PSPs will also be required to comply with the directive, as it aims to improve their access to payment systems and bank accounts.
The directive also includes third-party service providers under its scope, emphasizing their role in combating payment fraud and enhancing access to innovative financial services. This inclusion under PSD3 seeks to foster competition by allowing these non-bank entities equal access to payment systems.
It is aimed at improving consumer protection, boosting market competition, and strengthening payment security within the EU. This will be achieved by improving open banking accessibility and adoption, clarifying rules for PSPs, and increasing transparency in cross-border payments and financial data access.
PSR
In the context of PSD3, the PSR is separate but closely aligned payment services regulation that sets out the specific rules and standards for how PSPs must operate within the EU.
The PSR empowers them to share fraud-related information, improve competition between banks and non-banks, and facilitate more innovative financial services through open banking, ultimately enhancing consumer protection and user experience.
Its key objective is to enhance consumer protection regarding payments, data and security, combat fraud and promote open banking by further closing the gap between traditional banks and non-bank PSPs.
PSD3 vs PSR
PSD3 is a directive focused on licensing and supervision, meaning it must be enacted within each EU member state’s local law before it can be enforced.
In contrast, the PSR introduces the requirements for security, Strong Customer Authentication (SCA), and PSP responsibilities. It doesn’t need to be enacted within local law.
Additionally, PSD3 and PSR address open banking services differently, with PSD3 facilitating secure financial data sharing between banks and payment service providers, thereby increasing electronic payment options and addressing new types of fraud.
Whilst both PSD3/PSR apply in Europe, it is also important for informing future U.S. regulatory approaches.
What is PSD3 and why is it needed?
The Payment Services Directive 3 (PSD3) is a regulatory framework aimed at enhancing the security, efficiency, and innovation of payment services within the European Economic Area (EEA). PSD3 is needed to address the evolving needs of the payment industry, including the rise of new payment technologies and increased competition. It also ensures ongoing consumer protection and data security to help build confidence in new payment services.
The European Commission proposed PSD3 in June 2023 to update the existing Payment Services Directive (PSD2) and introduce a new Payment Services Regulation (PSR). PSD3 aims to create a more integrated, efficient, and secure payments ecosystem, promoting financial inclusion, competition, innovation, and stability.
What is the difference between PSD2 and PSD3?
PSD2 came into force on January 13, 2018, and set out requirements for PSPs. It was an update to the original Payment Services Directive (PSD), which was adopted in 2007.
It revolutionized the financial services industry facilitating innovation and increasing efficiency in payment processing. PSD2 directly addressed the explosive growth of fintechs, in answer to the monopoly of legacy banking institutions.
PSD2 mandated that banks must allow access to customer data via APIs (Application Programming Interfaces) when requested by Third Party Providers (TPPs) following the customer's consent.
PSD2 also introduced opening banking to the EU and established Strong Customer Authentication to beef up security measures for electronic payments.
However, with the rapid evolution of payments, particularly during the COVID-19 pandemic, areas for the improvement and expansion of PSD2 became apparent to achieve a level playing field for PSPs.
Welcome PSD3! The primary goal of PSD3 is to clear up any inconsistencies and remove boundaries to avoid silos. Whilst it follows the themes of the previous directives it goes much further to implement SCA rules, open banking integration and enhanced security measures.
¿Cuáles son los cambios clave de la DSP2 a la DSP3?
Entonces, ¿cuáles son los cambios más importantes que puedes esperar de la nueva directiva?
1. Mayor protección del consumidor
Mucha gente cree que la adopción de la banca abierta por parte de los clientes se ha visto obstaculizada por la falta de confianza y la insuficiente protección de los consumidores. Los consumidores exigen más control y transparencia de sus datos.
Según un estudio de American Express, el 41% de los consumidores británicos utilizarían los pagos mediante transferencia bancaria si creyeran que son más seguros. Puedes leer más sobre esto en nuestro libro blanco, Alcanzar el punto de inflexión. Cómo aprovechar el potencial de los pagos de Banca Abierta.
Por lo tanto, la DSP3 pondrá un énfasis aún mayor en la protección de los derechos de los consumidores y de la información personal, para ayudar a mejorar la confianza en los pagos en línea y, a su vez, fomentar que prospere la tasa de adopción de la banca abierta.
2. Normas SCA de mayor alcance
La evaluación de la Comisión Europea de la DSP2 confirmó que la SCA ha sido eficaz para reducir el fraude. En consecuencia, la DSP3/PSR pretende reforzar y perfeccionar la SCA de las siguientes maneras:
Aclarando las definiciones esenciales.
Esbozar más exenciones para las operaciones de menor riesgo.
Mantener el equilibrio entre la seguridad y la adopción de soluciones de pago fáciles de usar, innovadoras y accesibles.
La DSP3 también amplía la normativa de la SCA para reforzar la seguridad de las operaciones de pago e impone requisitos más estrictos sobre el acceso a los datos de las cuentas de los sistemas de pago, reforzando así las medidas de protección. La introducción del RSP también pretende mejorar directamente la protección de los consumidores.
Sin embargo, si no se gestionan con prudencia, estas medidas podrían socavar las tasas de conversión. Las empresas deben colaborar estrechamente con su proveedor de pagos para asegurarse de que la autenticación se realiza sólo cuando es necesaria, maximizando al mismo tiempo la experiencia general del usuario.
Todavía existe un debate activo sobre la aplicación de la SCA a los reembolsos. Una perspectiva es que los reembolsos empresas representan transacciones de pago distintas en las que la empresas el pagador, por lo que es necesaria la SCA.
Sin embargo, desde el punto de vista empresas, esto puede simplemente añadir una fricción indeseada a un proceso de pago ya de por sí lento, lo que podría poner en peligro la satisfacción de los clientes.
3. API y experiencias mejoradas
Los cambios propuestos demuestran que la Comisión Europea comprende los retos prácticos a los que se enfrenta la banca abierta y cómo resolverlos.
La DSP3 se centra en igualar aún más las condiciones mediante la mejora de las API y el establecimiento de requisitos mínimos de funcionalidad de banca abierta. Este aspecto de la DSP3 se centra en los consumidores: mejora la experiencia del cliente y fomenta la adopción de transferencias bancarias y pagos en tiempo real.
En última instancia, esto anima a que los pagos en tiempo real se conviertan en una alternativa creíble a los sistemas de tarjetas.
A principios de 2024, el Consejo Europeo adoptó un reglamento que hará que los pagos instantáneos estén plenamente disponibles en euros para los consumidores y las empresas de la UE y los países del EEE.
La normativa sobre pagos instantáneos permitirá transferir dinero en diez segundos a cualquier hora del día, incluso fuera del horario laboral. No sólo se transferirá dentro del mismo país, sino también a otro Estado miembro de la UE.
4. Mayor inclusividad
Por último, la DSP3 pretende ser más inclusiva, considerando métodos de autenticación para las personas mayores, las que viven con discapacidades y las que carecen de habilidades digitales. La directiva exige a los PSP que creen accesos para estos grupos demográficos, garantizando métodos universales de SCA.
En esencia, esto significa en gran medida proporcionar métodos de autenticación que no dependan únicamente de los teléfonos inteligentes.
¿Cuál es el calendario de aplicación de la DSP3?
Se espera que la adopción formal de esta nueva directiva tenga lugar en el primer semestre de 2025.
Después de esto, se prevé un periodo de transición de 18 meses para los Estados miembros, lo que sugiere una posible aplicación de la DSP3 en 2027 o alrededor de esa fecha.
¿Cómo afectará la DSP3 a los comerciantes?
Tras un enorme repunte de los pagos electrónicos y la entrada en el mercado de nuevos proveedores de servicios de banca abierta, la DSP2 se consideró un complemento importante para los servicios de pago de la UE. Ahora, la DSP3 pretende crear igualdad de condiciones entre los proveedores existentes y los nuevos en los pagos con tarjeta, por Internet y por móvil.
La DSP3 también aborda la evolución de los servicios bancarios, haciendo hincapié en la necesidad de cumplir las medidas de seguridad para mitigar los riesgos de fraude asociados a terceros proveedores.
La DSP3 está dirigida a los consumidores: su objetivo es proteger sus derechos y su información personal. Aunque a los comerciantes les preocupa sacrificar la experiencia por la autenticación, esto no significa necesariamente que los efectos se produzcan a costa de la rentabilidad de las empresas.
En cualquier caso, los requisitos de aplicación y el impacto de la DSP3 se dejarán sentir en los comerciantes en línea y otros agentes clave del sector.
Reducción del fraude, pero potencialmente más disminuciones falsas
El RSP de la UE introduce una serie de medidas destinadas a prevenir o reducir el fraude en los pagos, incluida la verificación de los datos del beneficiario en las transferencias. Cuando los datos pertinentes no coincidan, el PSP del ordenante debe notificar al ordenante dicha discrepancia antes de finalizar el pago.
Mientras tanto, las empresas tendrán que compartir más datos con los emisores, lo que les permitirá controlar las características del entorno y del comportamiento. Éstas podrían incluir la ubicación del usuario, el tiempo de transacción, los dispositivos utilizados, los hábitos de gasto, el historial de transacciones, los datos de la sesión y la IP del dispositivo. Como resultado, pueden aumentar las tasas de aprobación determinando mejor qué transacciones aprobar y cuáles rechazar.
Aunque los comerciantes deberían beneficiarse de estos cambios, es probable que muchos también experimenten más falsos rechazos si no se gestionan con cuidado. Los comerciantes suelen clasificar los falsos rechazos como un coste inherente a la prevención del fraude, que suele ser su principal preocupación. Sin embargo, aplicar algunas reglas sutiles de optimización de los pagos debería ayudar a compensar el impacto.
Aunque la prevención del fraude es importante tanto desde el punto de vista de los costes como de la reputación, nuestro último estudio muestra que los comerciantes pueden estar sobrevalorándola en comparación con los dólares perdidos por falsos rechazos.
Para maximizar la rentabilidad, los comerciantes podrían tomar decisiones de optimización de los pagos basándose en el margen de contribución (es decir, los ingresos que quedan tras restar los costes variables que conlleva la producción de un producto) de las ventas incrementales que probablemente se produzcan.
Lee más sobre la optimización de los pagos en nuestro whitepaper, Acelerar el crecimiento de los ingresos.
Pagos recurrentes y suscripciones más fluidos
Si bien la PSD3 introduce en gran medida una SCA más rigurosa, existen algunas exenciones que pueden beneficiar a determinadas empresas. Las transacciones empresas(MIT), como las suscripciones, ahora están excluidas de la SCA. Solo la primera transacción requiere la SCA.
Al mismo tiempo, los pedidos por correo y por teléfono con tarjeta (transacciones MOTO) ya no requieren autenticación mediante SCA. Esta exención beneficiará enormemente a los comerciantes de sectores como el de los viajes.
Promover la elección y unos precios más justos
Se espera que la DSP3 inspire la innovación en el sector de los pagos. Esto podría conducir al desarrollo de nuevos servicios de pago y modelos de negocio, que podrían beneficiar a los comerciantes al aumentar la competencia y ofrecer más opciones de pago.
Más opciones significa que los comerciantes pueden esperar una mayor competencia en lo que respecta a las comisiones y los modelos de precios disponibles.
Un cambio de responsabilidad del SCA para aumentar la cooperación
En última instancia, los cambios del SCA contribuirán a experiencias de compra más seguras y a mejoras en el intercambio de datos para un mejor seguimiento de las transacciones.
Hay un cambio de responsabilidad en los casos de fraude que hace hincapié en la responsabilidad; las nuevas propuestas también sugieren que las tramas, los proveedores de servicios técnicos (como los proveedores de monederos) y las pasarelas de pago serán responsables del fraude si no aplican la SCA. Con ello se pretende garantizar una mayor cooperación entre todos los agentes implicados en la realización de la SCA.
Es probable que las nuevas normas sobre las SCA mejoren la experiencia de los clientes en el punto de pago. Dan más claridad a las instituciones financieras, las redes de tarjetas y los proveedores de pagos para aplicar las exenciones de la SCA a las transacciones con menor riesgo, o a las transacciones recurrentes.
Sanciones por incumplimiento de la DSP3
El incumplimiento de la DSP3 puede acarrear importantes sanciones, incluidas multas y la posible retirada de la licencia.
Las instituciones y los proveedores de servicios que no cumplan los requisitos de la DSP3 pueden sufrir daños en su reputación, pérdida de confianza de los clientes y pérdidas económicas.
La Autoridad Bancaria Europea (ABE) y las autoridades nacionales competentes vigilarán el cumplimiento de la DSP3 y aplicarán sanciones en caso de incumplimiento.
Los PSP deben tomarse en serio el cumplimiento de la DSP3, invirtiendo en los recursos y conocimientos necesarios para garantizar que cumplen los nuevos requisitos normativos.
El incumplimiento de la DSP3 puede tener graves consecuencias, por lo que es esencial que los PSP den prioridad al cumplimiento y a la gestión de riesgos.
Superar las preocupaciones de los comerciantes sobre la DSP3
La principal preocupación de los comerciantes en torno a la PSD3 es que podría repercutir en sus relaciones con los clientes. Si las nuevas medidas de seguridad son demasiado complicadas, podría provocar frustración e insatisfacción entre los clientes, lo que reduciría las conversiones y los ingresos.
Los comerciantes también están considerando el coste potencial de aplicar los cambios; el cumplimiento de la DSP2 fue costoso de implantar para los comerciantes debido a los pesados requisitos de la SCA. No está claro si las nuevas medidas de seguridad de la DSP3 serán más rentables.
Los proveedores de servicios de pago (PSP) desempeñan un papel crucial en este contexto, ya que son responsables de fomentar la protección de los consumidores, mejorar la competencia y aumentar la seguridad de los pagos electrónicos.
Las nuevas normas pretenden actualizar los servicios financieros a los últimos avances de la era digital, abordar el fraude y garantizar la igualdad de condiciones para los PSP bancarios y no bancarios en el cambiante panorama financiero.
Sin embargo, cabe señalar de nuevo que la DSP3 consiste en general en hacer cumplir la normativa de la DSP2 de manera más uniforme en todos los Estados miembros, por lo que será un cambio de menor envergadura que la DSP2.
Cómo puede ayudar Nuvei
Es importante destacar que se espera que la DSP3 refuerce los derechos y la protección de los consumidores. Esto podría implicar condiciones más claras, mejores mecanismos de resolución de litigios y una mayor transparencia en los servicios de pago. Naturalmente, habrá repercusiones para los comerciantes y los proveedores de servicios de pago, pero con las asociaciones y la preparación adecuadas, el impacto será mínimo.
Por tanto, superar con éxito estos retos requiere una asociación o estrategia definida, cambios operativos, evaluación de riesgos y una ejecución meticulosa.
En última instancia, los comerciantes quieren aumentar las conversiones minimizando el riesgo de fraude. Trabajar estrechamente con sus proveedores de servicios de pago será fundamental durante todo el despliegue.
La suite de Optimización de Pagos de Nuvei, por ejemplo, aplica funciones y características en cada etapa: antes de la transacción, durante el enrutamiento de la transacción y después de la transacción, para lograr los mayores índices de aprobación posibles.
Es importante destacar que se espera que la DSP3 refuerce los derechos y la protección de los consumidores y, en última instancia, su confianza en los servicios financieros modernos. Esto podría implicar condiciones más claras, mejores mecanismos de resolución de litigios y una mayor transparencia en los servicios de pago.
Naturalmente, habrá repercusiones para los comerciantes y los proveedores de servicios de pago, pero con las asociaciones y la preparación adecuadas, el impacto será mínimo.
En Nuvei, nos comprometemos a guiar a nuestros comerciantes a través de estos cambios transformadores. Nuestros expertos están a tu disposición para debatir las actualizaciones normativas y garantizar una transición sin problemas. Ayudaremos a los comerciantes a navegar por los aspectos clave de la PSD3, como la Autenticación Fuerte de Clientes (SCA), el intercambio de datos y las transferencias instantáneas.
Estudio de caso Nuvei y rank: optimización durante la PSD2
Rank lleva entreteniendo al público británico desde 1937 y ahora atiende a más de 2,7 millones de clientes al año. Rank Interactive, su canal digital, ofrece bingo online, casino, tragaperras, póquer y apuestas deportivas.
La aplicación de la legislación PDS2 supuso un reto importante tanto para los operadores como para los clientes del sector del iGaming, debido a los nuevos requisitos de autenticación.
A lo largo de la implementación de la PSD2, Nuvei trabajó estrechamente con Rank para optimizar el rendimiento de los pagos y cualificar grandes volúmenes de transacciones de bajo riesgo para un flujo sin fricciones. Al mismo tiempo, ayudamos a Rank a gestionar los depósitos de alto riesgo con pasos de autenticación, proporcionando una visión única de los datos en todos los mercados.
Se mitigaron las fricciones en los pagos, al tiempo que se protegían la experiencia del cliente, los valores de los depósitos y los ingresos. Rank se alegró de ver tasas de aprobación estables tras la implantación de la PSD2.
Sólo en los últimos cuatro años, los volúmenes de transacciones de Rank han experimentado un crecimiento medio interanual del 17%, a pesar del importante cambio normativo que supone la PSD2. Lee el estudio de caso completo.
¿Qué deben hacer ahora los comerciantes?
Los comerciantes deben mantenerse informados sobre la evolución de la DSP3 y el RSP para prepararse para los requisitos de cumplimiento, los procesos de pago y los derechos de los consumidores.
Como proveedor de pagos dirigido por personas, Nuvei cuenta con equipos dedicados y verdaderos expertos que apoyan tu cambio a la PSD3. Nos comprometemos a navegar por el cambiante panorama normativo de la PSD3 y el PSR, garantizando el cumplimiento y un servicio óptimo para nuestros socios y comerciantes.
Colaboramos activamente con los reguladores y las redes de tarjetas para estar preparados para PSD3. Si los comerciantes tienen alguna pregunta o duda, tenemos expertos dispuestos a ayudar. Los clientes actuales deben ponerse en contacto con sus gestores de relaciones.
