Open Banking in Nederland — van PSD2 naar de Praktijk
Available in US
Een wet die een markt heeft geopend die niemand had gevraagd
Er zijn niet veel voorbeelden van Europese regelgeving die een compleet nieuwe bedrijfstak heeft laten ontstaan. De tweede Europese betaaldienstenrichtlijn is er zo een. Zij verplichtte banken om andere partijen toegang te geven tot rekeninggegevens en tot het initiëren van betalingen, mits de rekeninghouder daar toestemming voor geeft.
Die ene verplichting is de reden dat je bij een online betaling kunt kiezen voor een partij die geen bank is en toch namens jou een overboeking klaarzet. Zonder die wet zou dat technisch kunnen en juridisch onmogelijk zijn, want een bank had elke reden om haar deuren dicht te houden.
Ik loop hieronder na wat die regelgeving precies mogelijk maakte, waarom toestemming de kern ervan is, hoe het in Nederland is geland, wat er goed en minder goed ging en waar het naartoe beweegt. Dat laatste is op dit moment volop in beweging.
Wat de regelgeving mogelijk maakte
Twee dingen, en het verschil ertussen wordt voortdurend door elkaar gehaald.
Het eerste is toegang tot rekeninginformatie. Een partij mag, met jouw toestemming, je saldo en je transactieoverzicht inzien. Daar draaien budgetteringsapps op, kredietbeoordelingen en een groot deel van wat er tegenwoordig aan financiële dienstverlening bovenop een bankrekening wordt gebouwd.
Het tweede is betaalinitiatie. Een partij mag, opnieuw met jouw toestemming, een betaalopdracht klaarzetten die jij vervolgens in je eigen bankomgeving bevestigt. Dat is de functie die achter een bankbetaling in een webwinkel zit.
Het cruciale punt bij die tweede: initiëren is niet uitvoeren. De partij die de opdracht opstelt, verplaatst geen geld en raakt het geld ook nooit aan. Zij stelt een verzoek op dat jouw bank uitvoert nadat jij je hebt geïdentificeerd. Dat onderscheid bepaalt wie waarvoor aansprakelijk is en waarom je bankgegevens nooit bij de handelaar terechtkomen.
Er zit nog een derde element in dat minder aandacht krijgt: de verplichting tot sterke klantauthenticatie. Elke elektronische betaling moet met minstens twee onafhankelijke factoren worden bevestigd. Dat is de reden dat betalen omslachtiger voelt dan tien jaar geleden, en het is ook de reden dat fraude met gestolen gegevens veel moeilijker is geworden.
Toestemming als kern van het hele bouwwerk
Alles in dit systeem hangt aan één begrip, en dat begrip wordt in de praktijk zwaarder belast dan het aankan.
Toestemming moet expliciet zijn, moet betrekking hebben op een specifiek doel, en moet intrekbaar zijn. In theorie betekent dat je precies weet waarvoor je tekent en dat je het op elk moment kunt stoppen.
In de praktijk gebeurt het geven van toestemming in een scherm waar je doorheen klikt om iets anders af te ronden. Vrijwel niemand leest wat er precies wordt toegestaan, voor hoe lang, en of het om eenmalige of doorlopende toegang gaat. Dat verschil is nochtans wezenlijk: eenmalige betaalinitiatie eindigt bij die ene transactie, terwijl doorlopende toegang tot rekeninginformatie maanden kan doorlopen.
De praktische les daaruit is eenvoudig en wordt zelden gegeven: in je bankomgeving zit een overzicht van partijen aan wie je toegang hebt verleend. Dat overzicht is het enige plek waar je ziet wat er nog openstaat, en het is de enige plek waar je het kunt intrekken. Een kwartier per jaar is genoeg om het schoon te houden.
Hoe het in Nederland is geland
Trager dan in sommige buurlanden, en om een reden die weinig met techniek te maken heeft.
Nederland had al een uitstekend werkende nationale standaard voor online betalen, met een marktaandeel waar de rest van Europa alleen van kon dromen. De pijn die open banking elders oploste — omslachtig, traag of duur online betalen — bestond hier nauwelijks. Een oplossing zonder probleem verspreidt zich langzaam.
Wat er wel gebeurde, is dat banken hun verplichte koppelingen in verschillend tempo en met verschillende kwaliteit hebben opgeleverd. De richtlijn schrijft voor dát er toegang moet zijn, niet hoe soepel die moet werken. Het gevolg is een landschap waarin de ene bank een stabiele, snelle omgeving levert en de andere een die op piekmomenten uitvalt.
Dat is ook de reden dat storingen in dit domein zo lastig te duiden zijn. Werkt een betaling niet, dan kan dat liggen aan de handelaar, aan de tussenpartij of aan de koppeling van jouw specifieke bank — en alleen die laatste is voor jou te herkennen, doordat het inlogscherm van je bank niet laadt.
Die verschillen zijn voor jou zichtbaar als een bankenlijst die per moment anders is samengesteld, of als een inlogscherm dat bij de ene bank in acht seconden klaar is en bij de andere in dertig.
Er is nog een factor die het tempo bepaalde en die met vertrouwen te maken heeft. Nederlanders zijn gewend om via hun bank te betalen en zijn tegelijk terughoudend met het geven van toegang tot hun rekening aan partijen die geen bank zijn. Dat is een gezonde reflex, maar zij vertraagt de adoptie van precies de diensten waarvoor de regelgeving is gemaakt.
Die terughoudendheid verdween grotendeels op het moment dat de betaalinitiatie onzichtbaar werd. Niemand ervaart het kiezen van zijn bank in een webwinkelkassa als “toegang geven aan een derde partij”, terwijl dat technisch precies is wat er gebeurt. Adoptie kwam er dus wel, maar via een route waarin de gebruiker geen keuze hoefde te maken.
Waar open banking in Nederland wél snel voet aan de grond kreeg, is bij grensoverschrijdende handel en bij diensten die rekeninginformatie gebruiken. Dat is de stille meerderheid van de toepassingen: niet betalen, maar data.
Wat goed en minder goed ging
Drie successen en twee structurele problemen.
Aan de goede kant: betalen zonder kaartnummer is normaal geworden, de authenticatie is aantoonbaar sterker, en er is een markt ontstaan van partijen die betaalinfrastructuur aanbieden zonder zelf bank te zijn. Dat laatste heeft de prijs per transactie fors gedrukt, en die daling komt uiteindelijk terecht bij de handelaar en daarmee indirect bij de consument.
Aan de mindere kant: de kwaliteit van de bankkoppelingen loopt sterk uiteen, en er is geen effectief mechanisme om een bank te dwingen tot een betere koppeling. Wat er is, is een minimumeis, en aan een minimumeis voldoen is precies wat sommige partijen doen.
Daar komt bij dat een bank weinig commercieel belang heeft bij een uitstekende koppeling. Elke betaling die via een derde partij loopt, is een betaling waarop de bank geen marge maakt en waarbij zij de relatie met de klant deels uit handen geeft. Dat is geen kwade wil, maar het verklaart wel waarom er zoveel verschil zit tussen wat er moet en wat er wordt geleverd.
Het tweede probleem is het toestemmingsmodel. Een systeem dat volledig rust op geïnformeerde toestemming, terwijl die toestemming in de praktijk wordt gegeven door mensen die haast hebben, is kwetsbaar. Dat is geen theoretische zorg maar een van de redenen waarom de opvolger van deze richtlijn er komt.
Waar de ontwikkeling naartoe beweegt
Twee sporen die tegelijk lopen en die elkaar raken.
Het eerste is de opvolger van de huidige betaalregels. Publicatie in het Publicatieblad van de Europese Unie wordt verwacht in de tweede helft van 2026, waarna de regels ongeveer eenentwintig maanden later van toepassing worden. Dat betekent dat je in de praktijk pas ergens in 2028 met het volledige nieuwe kader te maken krijgt, en dat de tussenliggende periode er een van voorbereiding is.
Het tweede is de vernieuwing van de betaalinfrastructuur zelf. Sinds januari 2026 draagt de Nederlandse standaard een gecombineerd merk met het Europese alternatief, de volgende migratiefase begint in oktober 2026, en uiterlijk eind 2027 moet elke acceptant zijn overgestapt.
Dat die twee trajecten samenvallen is geen toeval maar het is ook geen coördinatie. De regelgeving komt uit Brussel en volgt haar eigen ritme; de infrastructuurmigratie is een initiatief van Europese banken met een eigen planning. Ze raken elkaar wel: een nieuwe betaalstandaard die wordt uitgerold terwijl de regels eromheen veranderen, moet vooruitlopen op eisen die nog niet definitief zijn.
Voor de partijen die hierin moeten investeren is dat de lastigste periode. Voor de gebruiker is het vooral een periode waarin dingen af en toe niet werken zoals verwacht, zonder dat daar een fout aan ten grondslag ligt.
Die twee samen betekenen dat de komende twee jaar zowel de regels als de infrastructuur onder je betalingen worden vervangen. Voor jou als gebruiker verandert er in het scherm weinig — je kiest je bank en je bevestigt — maar eronder wordt vrijwel alles opnieuw ingericht.
Wat dat betekent voor de partijen die op deze infrastructuur draaien en hoe zo’n bedrijf er van binnen uitziet, komt aan bod in de bespreking van een van de partijen die op deze infrastructuur draait.
