PSD3 en PSR — de Tijdlijn en Wat Er Echt Verandert
Available in US
Twee teksten, één pakket, en een verwarrende naamgeving
Het nieuwe Europese betaalkader bestaat uit twee documenten, en dat is de eerste bron van verwarring. Er is een richtlijn, die lidstaten in hun eigen wetgeving moeten omzetten, en er is een verordening, die rechtstreeks geldt zonder tussenkomst van nationale wetgevers.
Dat onderscheid is geen juridische spitsvondigheid. Een verordening betekent dat de regels in heel Europa hetzelfde zijn en op dezelfde dag ingaan; een richtlijn laat ruimte voor nationale invulling en dus voor verschillen tussen landen. Precies dat verschil was het grootste bezwaar tegen de huidige regels: dezelfde tekst pakte in elk land net anders uit.
Ik loop hieronder na waar het proces nu staat, wat er inhoudelijk verandert, wat je er als gebruiker van merkt en wat er nog open ligt. Dat laatste is meer dan de berichtgeving suggereert.
Waar het nu staat
De data zijn concreet en het loont om ze uit elkaar te houden, want ze worden voortdurend door elkaar gehaald.
Op 27 november 2026 bereikten het Europees Parlement en de Raad een voorlopig politiek akkoord. Dat is het moment waarop de onderhandelaars het eens werden over de hoofdlijnen, en het is ook het moment waarop de meeste koppen verschenen.
Op 23 april 2026 werden de definitieve teksten vastgesteld. Tussen een politiek akkoord en een definitieve tekst zit vijf maanden juridisch en technisch werk, en in die periode kunnen details nog verschuiven.
Publicatie in het Publicatieblad van de Europese Unie wordt verwacht in de tweede helft van 2026. Vanaf die publicatie loopt een overgangstermijn van ongeveer eenentwintig maanden voordat de regels daadwerkelijk van toepassing worden.
Reken dus op ergens in 2028 voordat er iets in de praktijk verandert. Dat is een belangrijk gegeven, want elke tekst die je nu tegenkomt over wat er “nu” verandert, loopt op de zaken vooruit.
Van akkoord naar toepassing
Die overgangstermijn is geen bureaucratische traagheid maar noodzaak, en het is nuttig om te weten waarom.
Banken moeten hun koppelingen aanpassen, betaaldienstverleners hun integraties, en toezichthouders hun toezichtkaders. Alle drie moeten dat bovendien doen zonder dat er ook maar één dag uitval mag zijn in een systeem waar dagelijks miljarden doorheen lopen. Daarbij komt dat de technische standaarden waarin de regels worden uitgewerkt, pas ná publicatie worden opgesteld. Er is dus een periode waarin de hoofdregels vaststaan maar de uitvoeringsdetails nog niet.
Voor de sector betekent dat een lastige planning: je moet investeren in aanpassingen waarvan de precieze specificatie nog niet bestaat. Dat is een van de redenen waarom grote betaalpartijen in deze periode opvallend veel over compliance en infrastructuur praten en weinig over nieuwe functionaliteit.
Voor jou betekent het vooral geduld. Wat er in 2026 verandert aan je betaalervaring, verandert door andere oorzaken — de migratie van de Nederlandse betaalstandaard bijvoorbeeld — en niet door dit pakket.
Wat er inhoudelijk verandert
Vier onderwerpen, en het eerste is voor dit domein het belangrijkste.
Fraude en aansprakelijkheid worden opnieuw geregeld, met meer bescherming voor consumenten die zijn misleid. Onder de huidige regels is een betaling die je zelf hebt bevestigd geautoriseerd, ook als je daartoe bent overgehaald door iemand die zich als je bank voordeed. Dat uitgangspunt schuift op, met een grotere rol voor de banken bij het herkennen en tegenhouden van dat soort transacties.
Waarom dat uitgangspunt überhaupt bestond, is overigens goed te verdedigen. Een betaling die de klant zelf met zijn eigen middelen heeft bevestigd, is voor een bank vrijwel niet te onderscheiden van een normale betaling. De omslag zit hem erin dat banken inmiddels wél patronen kunnen herkennen die op misleiding wijzen, en dat de wetgever vindt dat zij die mogelijkheid dan ook moeten benutten.
Toegang tot bankgegevens wordt opnieuw ingekaderd, met strengere eisen aan de kwaliteit van de koppelingen die banken moeten aanbieden. Dat is een directe reactie op het probleem dat banken aan een minimumeis voldeden zonder een werkbare dienst te leveren.
Sterke klantauthenticatie blijft, maar met meer ruimte voor uitzonderingen bij transacties met een laag risico. In de praktijk betekent dat minder bevestigingen bij kleine, terugkerende betalingen naar bekende partijen.
Er zit daarnaast een aanscherping in die specifiek voor dit domein relevant is: de eisen aan het controleren of de naam van de begunstigde overeenkomt met het rekeningnummer worden strenger. Dat klinkt technisch en het is precies de controle die voorkomt dat geld naar een andere partij gaat dan je denkt.
Voor betalingen aan aanbieders van kansspelen is dat relevanter dan gemiddeld, omdat de juridische entiteit achter een merknaam vaak anders heet dan het merk zelf. Een strengere naamcontrole betekent in de praktijk dat je vaker een waarschuwing te zien krijgt bij een naam die je niet herkent — nuttig, maar ook een bron van vals alarm.
En er komt meer aandacht voor toegankelijkheid: authenticatiemethoden mogen mensen niet uitsluiten die geen smartphone hebben of die er niet mee overweg kunnen. Dat lijkt een randvoorwaarde en is voor een aanzienlijke groep het verschil tussen wel en niet kunnen betalen.
Wat het voor jouw betaling betekent
Drie concrete gevolgen, en het eerste raakt rechtstreeks aan wat er gebeurt als er iets misgaat.
Bij een betaling die je onder valse voorwendselen hebt bevestigd, wordt je positie sterker. Hoe veel sterker hangt af van de uiteindelijke uitwerking, maar de richting is duidelijk: minder “u heeft zelf bevestigd, dus einde discussie” en meer beoordeling van of de bank had moeten ingrijpen. Wat er nu geldt en hoe de route via je bank loopt, staat beschreven bij hoe de aansprakelijkheid bij een terugboeking ligt.
Bij gewone betalingen verandert er weinig zichtbaars, behalve dat sommige bevestigingen mogelijk wegvallen. Dat is comfortabeler en het is tegelijk een punt waarop je alert moet blijven: elke bevestiging die verdwijnt, is een moment minder waarop je iets kunt tegenhouden.
En bij het delen van je rekeninggegevens met derden krijg je naar verwachting beter zicht op wat er loopt, met duidelijker overzichten van gegeven toestemmingen. Dat is een van de weinige onderdelen waarvan het effect direct merkbaar zal zijn, omdat het zichtbaar is in een scherm dat je zelf kunt openen.
Wat er niet verandert, is de hoofdregel dat een geautoriseerde betaling definitief is zodra je haar hebt bevestigd. Alle nuance in dit pakket gaat over de vraag wanneer een autorisatie wel of niet geldig tot stand is gekomen, niet over de vraag of je een betaling achteraf ongedaan kunt maken omdat je van gedachten bent veranderd.
De partijen die deze infrastructuur bouwen, zien de richting overigens als bevestiging van hun eigen positie. De topman van een van de grootste aanbieders in dit segment merkte bij de jaarcijfers op dat de toename van het verwerkte betaalvolume en de stijging van de netto-omzet de groeiende vraag naar klantgerichte oplossingen voor betalen via de bank weerspiegelen. Regelgeving die bankbetalingen steviger inkadert, versterkt die beweging eerder dan dat zij haar remt.
Wat er nog open ligt
Meer dan je zou denken, en het loont om daar nuchter over te zijn.
De technische standaarden bestaan nog niet. Dat is geen detail: juist in die standaarden wordt bepaald hoe een koppeling er precies uit moet zien, wat “voldoende kwaliteit” betekent en hoe een uitzondering op de authenticatie wordt beoordeeld.
Ook de precieze grens van de nieuwe aansprakelijkheidsregels is nog niet uitgekristalliseerd. De richting — meer bescherming bij misleiding — staat vast, maar de vraag waar de verantwoordelijkheid van de bank ophoudt en die van de klant begint, is er een waar toezichthouders en rechters de komende jaren invulling aan zullen geven.
Dat is bepaald geen detail. Een regel die zegt dat een bank moet ingrijpen als zij iets verdachts ziet, is even sterk als de definitie van “verdacht”, en die definitie ontbreekt vooralsnog.
De nationale omzetting van het richtlijndeel ligt bij elke lidstaat afzonderlijk, met de bekende ruimte voor verschillen. Voor een grensoverschrijdende betaling betekent dat je nog steeds met twee stelsels te maken kunt hebben.
En er loopt een tweede, apart voorstel over toegang tot bredere financiële gegevens — beleggingen, pensioenen, verzekeringen — dat in april 2026 nog in onderhandeling was. Dat pakket wordt vaak in één adem genoemd met de betaalregels terwijl het een eigen traject en een eigen tijdlijn heeft.
Wie de komende twee jaar berichten hierover leest, doet er goed aan steeds drie vragen te stellen: gaat dit over de richtlijn of de verordening, is dit een akkoord of een definitieve tekst, en wanneer wordt het van toepassing. Die drie samen filteren het merendeel van de verwarring weg, en ze zijn in elk serieus bericht binnen twee alinea’s te beantwoorden.
