A guide to PSD3 compliance: what businesses need to know

It might sound like the third instalment of a popular movie series. But, the 3rd Payment Services Directive (PSD3) is the latest EU regulation to modernise and streamline electronic payments by building on the foundation originally laid down by PSD2.

PSD3 is going to mandate some key changes in the European payments industry, particularly in open banking over the next three years. In this blog, we'll look at how they are going to impact your business operations.

What are the Payment Services Directive 3 (PSD3) and the Payment Services Regulation (PSR)?

The evolution of the 2nd Payments Directive, or PSD2, has resulted in two components: PSD3 and the PSR. Whilst actual enforcement of PSD3/PSR is not expected to take effect before 2027, there are steps that you should take now to prepare.

But firstly, what are PSD3 and the PSR?

PSD3

Introduced in June 2023, PSD3 is an EU directive that applies to banks and Payment Service Providers (PSPs), including electronic money institutions (EMIs), payment institutions (PIs), and payment initiation service providers (PISPs), operating within the EU and EEA. Additionally, non-bank PSPs will also be required to comply with the directive, as it aims to improve their access to payment systems and bank accounts.

The directive also includes third-party service providers under its scope, emphasizing their role in combating payment fraud and enhancing access to innovative financial services. This inclusion under PSD3 seeks to foster competition by allowing these non-bank entities equal access to payment systems.

It is aimed at improving consumer protection, boosting market competition, and strengthening payment security within the EU. This will be achieved by improving open banking accessibility and adoption, clarifying rules for PSPs, and increasing transparency in cross-border payments and financial data access.

PSR

In the context of PSD3, the PSR is separate but closely aligned payment services regulation that sets out the specific rules and standards for how PSPs must operate within the EU.

The PSR empowers them to share fraud-related information, improve competition between banks and non-banks, and facilitate more innovative financial services through open banking, ultimately enhancing consumer protection and user experience.

Its key objective is to enhance consumer protection regarding payments, data and security, combat fraud and promote open banking by further closing the gap between traditional banks and non-bank PSPs.

PSD3 vs PSR

PSD3 is a directive focused on licensing and supervision, meaning it must be enacted within each EU member state’s local law before it can be enforced.

In contrast, the PSR introduces the requirements for security, Strong Customer Authentication (SCA), and PSP responsibilities. It doesn’t need to be enacted within local law.

Additionally, PSD3 and PSR address open banking services differently, with PSD3 facilitating secure financial data sharing between banks and payment service providers, thereby increasing electronic payment options and addressing new types of fraud.

Whilst both PSD3/PSR apply in Europe, it is also important for informing future U.S. regulatory approaches.

What is PSD3 and why is it needed?

The Payment Services Directive 3 (PSD3) is a regulatory framework aimed at enhancing the security, efficiency, and innovation of payment services within the European Economic Area (EEA). PSD3 is needed to address the evolving needs of the payment industry, including the rise of new payment technologies and increased competition. It also ensures ongoing consumer protection and data security to help build confidence in new payment services.

The European Commission proposed PSD3 in June 2023 to update the existing Payment Services Directive (PSD2) and introduce a new Payment Services Regulation (PSR). PSD3 aims to create a more integrated, efficient, and secure payments ecosystem, promoting financial inclusion, competition, innovation, and stability.

What is the difference between PSD2 and PSD3?

PSD2 came into force on January 13, 2018, and set out requirements for PSPs. It was an update to the original Payment Services Directive (PSD), which was adopted in 2007.

It revolutionized the financial services industry facilitating innovation and increasing efficiency in payment processing. PSD2 directly addressed the explosive growth of fintechs, in answer to the monopoly of legacy banking institutions.

PSD2 mandated that banks must allow access to customer data via APIs (Application Programming Interfaces) when requested by Third Party Providers (TPPs) following the customer's consent.

PSD2 also introduced opening banking to the EU and established Strong Customer Authentication to beef up security measures for electronic payments.

However, with the rapid evolution of payments, particularly during the COVID-19 pandemic, areas for the improvement and expansion of PSD2 became apparent to achieve a level playing field for PSPs.

Welcome PSD3! The primary goal of PSD3 is to clear up any inconsistencies and remove boundaries to avoid silos. Whilst it follows the themes of the previous directives it goes much further to implement SCA rules, open banking integration and enhanced security measures.

What are the key changes from PSD2 to PSD3?

那么，新指令最重要的变化是什么？

1.加强对消费者的保护

许多人认为，由于缺乏信任和对消费者的保护不足，阻碍了客户采用开放银行业务。消费者要求对他们的数据有更多的控制权和更高的透明度。

根据美国运通的调查，41% 的英国消费者认为银行转账支付更安全，他们会使用银行转账支付。您可以在我们的白皮书《达到临界点。如何发挥开放银行支付的潜力。

因此，PSD3 将更加重视保护消费者权益和个人信息，以帮助提高在线支付的信任度，进而促进开放银行业务的蓬勃发展。

2.影响范围更广的 SCA 规则

欧盟委员会对 PSD2 的评估证实，SCA 有效地减少了欺诈行为。因此，PSD3/PSR 旨在通过以下方式加强和完善 SCA：

明确基本定义。

概述对低风险交易的进一步豁免。

保持安全与采用方便用户、创新和便捷的支付解决方案之间的平衡。

PSD3 还扩展了 SCA 法规，以加强支付交易的安全性，并对支付系统账户数据的访问实施更严格的要求，从而加强保护措施。同样，引入 PSR 也是为了直接加强对消费者的保护。

但是，如果管理不慎，这些措施可能会影响转换率。企业应与其支付提供商密切合作，确保只在必要时进行身份验证，同时最大限度地提高整体用户体验。

关于《管制协议》是否适用于退款，目前仍有激烈的争论。一种观点认为，商家发起的退款代表了不同的支付交易，在这些交易中，商家是付款人，因此有必要适用《管制协议》。

然而，从商家的角度来看，这可能只会给本已缓慢的支付流程增加不受欢迎的摩擦，从而可能危及客户满意度。

3.改进应用程序接口和体验

拟议的变革表明，欧盟委员会了解开放银行面临的实际挑战以及如何解决这些挑战。  

PSD3 的重点是通过改进应用程序接口（API）和设定最低开放银行功能要求来进一步公平竞争。PSD3 这方面的重点是消费者：改善客户体验，鼓励采用银行转账和实时支付。

最终，这将鼓励实时支付成为银行卡计划的可靠替代方案。

2024 年早些时候，欧洲理事会通过了一项法规，将向欧盟和欧洲经济区国家的消费者和企业全面提供欧元即时支付服务。

即时支付法规将允许人们在一天中的任何时间，包括工作时间以外，在十秒钟内完成转账。这不仅可以在同一国家内转账，还可以向另一个欧盟成员国转账。  

4.增强包容性

最后，PSD3 的目标是更具包容性，考虑老年人、残疾人和缺乏数字技能的个人的身份验证方法。该指令要求 PSP 为这些人群创建访问权限，确保 SCA 方法的通用性。  

其核心是提供不完全依赖智能手机的身份验证方法。  

PSD3 的实施时间表是什么？

预计这项新指令将于 2025 年上半年正式通过。

在此之后，预计成员国将有 18 个月的过渡期，这表明 PSD3 有可能在 2027 年左右实施。  

PSD3 对商家有何影响？

在电子支付激增以及新的开放银行服务提供商进入市场之后，PSD2 被视为欧盟支付服务的重要补充。现在，PSD3 的目标是在现有和新的银行卡、互联网和移动支付服务提供商之间创造一个公平的竞争环境。

PSD3 还涉及银行服务的演变，强调必须遵守安全措施，以降低与第三方供应商相关的欺诈风险。

PSD3 以消费者为目标--旨在保护消费者的权利和个人信息。虽然商家担心为验证而牺牲体验，但这并不一定意味着连锁反应会以企业盈利为代价。

无论如何，在线商家和行业内的其他主要参与者都将感受到 PSD3 的实施要求和影响。

减少欺诈行为，但可能出现更多虚假降价

欧盟 PSR 引入了一系列旨在防止或减少支付欺诈的措施，包括核实信用转账的收款人详细信息。如果相关详细信息不符，付款人的 PSP 必须在最终完成付款之前通知付款人。

同时，企业需要与发行商共享更多数据，以便发行商监控环境和行为特征。这些数据可能包括用户位置、交易时间、使用的设备、消费习惯、交易历史、会话数据和设备 IP。这样，他们就能更好地确定哪些交易应予批准，哪些应予拒绝，从而提高批准率。

虽然商家应从这些变化中获益，但如果不加以谨慎管理，许多商家也可能遭遇更多的虚假拒付。商户通常将虚假拒付归类为预防欺诈的固有成本，这通常是他们最关心的问题。不过，应用一些微妙的支付优化规则应有助于抵消这种影响。

虽然从成本和声誉的角度来看，预防欺诈都很重要，但我们的最新研究表明，与虚假退货造成的损失相比，商家可能高估了预防欺诈的价值。

为了实现利润最大化，商家可以根据可能产生的增量销售额的贡献利润率（即减去生产产品的可变成本后的剩余收入）来做出支付优化决策。

请阅读我们的白皮书《加速收入增长》，了解有关支付优化的更多信息。

更无缝的经常性付款和订阅

虽然 PSD3 在很大程度上增加了更严格的《限制性协议》，但也有一些豁免，可使某些企业受益。商家发起的交易 (MIT)，如认购，现在被排除在 SCA 之外。只有第一笔交易需要 SCA。

与此同时，基于银行卡的邮购和电话订购（MOTO 交易）不再需要通过 SCA 进行身份验证。这一豁免将使旅游业等行业的商家受益匪浅。

促进选择和更公平的定价

PSD3 预计将激发支付行业的创新。这可能会带来新支付服务和商业模式的开发，通过增加竞争和提供更多支付选择，使商家受益。

更多的选择意味着商家在收费和定价模式方面将面临更激烈的竞争。

SCA 责任转移以加强合作

最终，《管制协议》的变化将有助于提高购买体验的安全性，并加强数据共享，以更好地监控交易。

欺诈案件中的责任转移强调了问责制；新提案还建议，如果计划、技术服务提供商（如钱包提供商）和支付网关未能应用 SCA，将对欺诈行为负责。这是为了确保参与实施 SCA 的所有参与者加强合作。

新的 SCA 规则可能会改善客户在支付环节的体验。这些规则使金融机构、银行卡网络和支付服务提供商对风险较低的交易或经常性交易适用《管制协议》豁免的规定更加明确。

对不遵守《私营部门司指令 3》的处罚

不遵守 PSD3 可导致重大处罚，包括罚款和可能被吊销执照。

未能遵守 PSD3 要求的机构和服务提供商可能会面临声誉受损、失去客户信任和经济损失。

欧洲银行管理局 (EBA) 和各国主管机构将监督 PSD3 的合规情况，并对违规行为实施处罚。

PSP 必须认真对待 PSD3 合规问题，投入必要的资源和专业知识，确保满足新的监管要求。

不遵守 PSD3 可能会带来严重后果，因此 PSP 必须优先考虑合规和风险管理。

消除商家对 PSD3 的担忧

商户对 PSD3 的主要担忧是，它可能会影响他们的客户关系。如果新的安全措施过于复杂，可能会导致客户产生挫败感和不满情绪，从而降低转换率和收入。

商户也在考虑实施这些变化的潜在成本；由于 SCA 要求较高，商户推出 PSD2 合规措施的成本很高。目前还不清楚 PSD3 下的新安全措施是否更具成本效益。

支付服务提供商（PSP）在这方面发挥着至关重要的作用，因为它们负责推进消费者保护、改善竞争和提高电子支付的安全性。

新规则旨在更新金融服务，以适应数字时代的最新发展，解决欺诈问题，并确保银行和非银行 PSP 在不断变化的金融环境中公平竞争。

不过，值得再次指出的是，PSD3 主要是为了在各成员国之间更统一地执行 PSD2 法规，因此与 PSD2 相比，PSD3 的变化幅度较小。

纽维如何提供帮助

重要的是，预计 PSD3 将加强消费者权利和保护。这可能涉及更清晰的条款和条件、更好的争议解决机制以及支付服务透明度的提高。当然，这将对商家和支付服务提供商产生连锁反应，但如果有正确的合作关系和准备工作，影响将微乎其微。

因此，要成功应对这些挑战，就必须建立伙伴关系或制定明确的战略、进行业务变革、进行风险评估并一丝不苟地执行。

归根结底，商家希望在提高转换率的同时，最大限度地降低欺诈风险。在整个推广过程中，与支付服务提供商密切合作至关重要。

例如，Nuvei支付优化套件可在交易前、交易路由和交易后的每个阶段应用功能和特性，以实现尽可能高的批准率。  

重要的是，预计 PSD3 将加强消费者的权利和保护，并最终增强他们对现代金融服务的信心。这可能涉及更明确的条款和条件、更好的争议解决机制以及支付服务透明度的提高。

当然，这也会对商家和支付服务提供商产生连锁反应，但只要有正确的合作关系并做好准备，影响将是微乎其微的。

在努维，我们致力于指导我们的商户完成这些转型变化。我们的专家随时准备讨论监管更新，确保无缝过渡。我们将为商户提供支持，帮助他们了解 PSD3 的关键方面，如强客户身份验证 (SCA)、数据共享和即时转账。

努维与排名案例研究：PSD2 期间的优化

自 1937 年以来，Rank 一直在为英国公众提供娱乐，现在每年为超过 270 万客户提供服务。其数字频道 Rank Interactive 提供在线宾果、赌场、老虎机游戏、扑克和体育博彩。  

由于新的身份验证要求，PDS2 法规的实施对 iGaming 行业的运营商和客户都构成了重大挑战。

在 PSD2 的整个实施过程中，努韦公司与 Rank 密切合作，优化支付性能，并对大量低风险交易进行无摩擦流程鉴定。同时，我们还帮助 Rank 通过身份验证升级管理高风险存款，提供跨市场的单一数据视图。

在客户体验、存款价值和收入得到保护的同时，支付摩擦也得到了缓解。在 PSD2 实施后，Rank 很高兴看到稳定的批准率。  

仅在过去四年中，尽管 PSD2 带来了重大的监管变化，但 Rank 交易量仍实现了平均 17% 的同比增长。阅读完整案例研究。

商家下一步该怎么做？

商户必须随时了解 PSD3 和 PSR 的发展动态，为合规要求、支付流程和消费者权益做好准备。  

作为一家以人为本的支付服务提供商，努韦公司拥有专门的团队和真正的专家，为您向 PSD3 的转变提供支持。 我们致力于驾驭 PSD3 和 PSR 不断变化的监管环境，确保合规，并为我们的合作伙伴和商户提供最佳服务。

我们积极与监管机构和银行卡计划合作，为 PSD3 做好准备。如果商户有任何问题或疑虑，我们的专家随时可以提供帮助。现有客户请联系其客户经理。