Andra betaltjänstdirektivet eller PSD2 introducerade stora ändringar till hur betalningar fungerar för plattformar och marknadsplatser i Europa. Det ändrade även hur tredjepartsleverantörer av betalningar kan få åtkomst till bankkonton och hantera betalningar, samt införde stark kundautentisering (SCA) för att göra betalningar säkrare.
Europeiska kommissionen har nu reviderat det nuvarande regelverket och utfärdat förslag till betaltjänstdirektiv 3 och betaltjänstförordningen. De nya betalningsreglerna syftar till att säkerställa en större harmonisering av reglerna i hela EU, ytterligare utveckla lika villkor för betalleverantörer och införa förbättringar av kund- och bedrägeriskyddet.
Medan förhandlingar pågår mellan Europaparlamentet och EU:s medlemsstater, och fastän vi inte förväntar oss att de slutgiltiga reglerna kommer att träda i kraft före 2026, finns det vissa viktiga förändringar som plattformar och marknadsplatser (i synnerhet) bör vara medvetna om och kan börja förbereda sig för idag. Den här guiden ger en översikt över tillämpliga ändringar i syfte att hjälpa dig att förbereda dig för Europas nya betalningsregler.
Europeiska banktillsynsmyndigheten (EBA) kommer att få i uppdrag av Europeiska kommissionen att utfärda kompletterande tekniska standarder för tillsyn och fastställa detaljerade regler om viktiga delar av PSD3/PSR – såsom stark kundautentisering – för att hjälpa företag att genomföra dem.
Översikt: Vad ändras i PSD3?
|
Directly applicable rules across the EU
|
The new Payment Services Regulation includes most of the already existing rules under PSD2, including on fraud and liability, transparency, open banking, and SCA. However, these rules will now be directly applicable across Member States. This reduces the scope allowed for EU Member States to interpret the rules differently, and it means that payment rules will be applied more uniformly across the EU—making their implementation easier for businesses. |
|---|---|
|
Payment institutions will be able to issue e-money
|
PSD3 merges the legal frameworks that apply to e-money institutions and payment institutions. In the future, e-money institutions will be licensed as payment institutions under PSD3. Payment institutions will be able to issue e-money and the E-Money Directive (EMD2) will be repealed. |
|
Further tightening of the commercial agent exemption
|
The new rules further tighten the requirements for platforms and marketplaces that can use the commercial agent exemption, limiting the circumstances in which they can draw on the exemption for payments. |
|
Measures to strengthen open banking payments
|
New benchmarks will be introduced to improve open banking APIs’ performance and to remove existing obstacles third-party providers have to accessing customer bank accounts. This is expected to improve the functioning and adoption of open banking. |
|
Greater liability for fraud
|
Payment service providers (PSPs) will face liability for fraud in a greater range of cases and be obliged to take additional measures to combat fraud (e.g., educating customers on fraud risks or sharing relevant information with other financial institutions). |
|
New rules for SCA and transaction monitoring
|
The rules around the application of SCA will be clarified (e.g., in the case of merchant-initiated and Mail Order Telephone Order transactions). New Regulatory Technical Standards from the European Banking Authority will also likely see changes to transaction monitoring requirements and SCA exemptions. |
Hur kommer tredje betaltjänstdirektivet att påverka plattformar och marknadsplatser?
Betalningar för plattformar och marknadsplatser enligt nuvarande PSD2-regler
PSD-ramverket reglerar betalningar för plattformar och marknadsplatser. När en plattform exempelvis kommer i besittning eller kontroll av medel som en köpare är skyldig och betalar dem till säljaren anses plattformen tillhandahålla reglerade betaltjänster (t.ex. driva ett betalkonto, utföra betalningstransaktioner eller slutföra penningöverföringar). Det finns ett viktigt undantag från denna regel – undantaget för handelsombud – som många plattformar tidigare hade försökt förlita sig på för att undvika att inskaffa en licens.
I och med PSD2 skärptes undantaget för handelsombud så att det endast gäller i fall där en plattform eller marknadsplats agerar för antingen köparens eller betalningsmottagarens räkning, men inte båda. Om en plattform agerar för bådas räkning kan den bara undvika ett licenskrav om den inte innehar eller kontrollerar medel (dvs. förlitar sig på en licensierad betaltjänstleverantör). Syftet med detta var att minska kreditrisken för plattforms- och marknadsplatsföretag genom att begränsa hanteringen av förvärvade medel till en reglerad enhet som måste uppfylla lokala skyddskrav.
Undantaget för handelsombud gör det möjligt för parter att tillhandahålla betaltjänster utan licens i situationer där de agerar som handelsombud för en köpares eller betalningsmottagares räkning.
Strängare regler för plattformar och marknadsplatser i PSD3
PSD3 föreslår att kraven för plattformar och marknadsplatser som använder undantaget för handelsombud ska skärpas ytterligare. Till följd av detta kommer undantaget för handelsombud sannolikt endast att vara tillgängligt för plattformar och marknadsplatser under mycket begränsade omständigheter. Om du är en plattform eller ett företag som för närvarande förlitar dig på undantaget för handelsombud bör du noga överväga effekterna av PSD3.
I och med de nya reglerna införs ytterligare villkor som måste vara uppfyllda för att det kommersiella undantaget ska gälla: ombudet måste ha tillstånd av köparen eller betalningsmottagaren att förhandla/genomföra transaktioner för deras räkning och ge köparen eller betalningsmottagaren en tydlig marginal för att förhandla med ombudet. I ingressen till PSD3 upprepas att e-handelsplattformar som agerar som agenter för både enskilda köpare och säljare inte är kommersiella ombud och därför inte kan bedriva betaltjänstverksamhet utan licens.
PSD3 ger också Europeiska banktillsynsmyndigheten i uppdrag att utfärda särskilda riktlinjer som ger ytterligare klarhet och konvergens mellan EU:s medlemsstater, utöver en förteckning över användningsfall som omfattas av undantaget.
Så hjälper Stripe plattformar och marknadsplatser att möta de nya kraven
Stripe har alltid strävat efter att skapa produkter som minimerar regelbördan för våra användare. Vi tog bort bördan av PSD2 på plattformar genom att skapa Connect, som gör det möjligt för plattformar att använda en teknisk lösning för att isolera sig från de lagstadgade kraven. Connect erbjuder plattformar och marknadsplatser samma fördelar vad gäller PSD3, genom att förse dem med en betalningslösning som inte kräver att de skaffar en betalningslicens.
Genom att Stripe tillhandahåller den reglerade tjänsten kan plattformarna fokusera på det de är bäst på: bygga fantastiska marknadsplatser för sina användare. Över 4 000 plattformar med säljare över hela Europa har redan valt att förlita sig på Connect i stället för att behöva skaffa en egen betalningslicens eller tillhandahålla bevis på att de omfattas av undantag.
Plattformsbetalningar med Connect
Om du har frågor om Stripe Connect får du gärna kontakta oss.
Vilka är de nya reglerna för SCA?
SCA:s roll i bedrägeribekämpningen
Stark kundautentisering introducerades i Europa genom PSD2 för att minska bedrägerier och göra onlinebetalningar och kontaktlösa betalningar säkrare. SCA kräver autentisering genom tvåfaktorsautentisering. För mer information om SCA, se vår guide till stark kundautentisering.
EU-kommissionens utvärdering av PSD2 drog slutsatsen att SCA har varit framgångsrikt när det gäller att minska bedrägerier. PSD3/PSR syftar till att bygga vidare på och förbättra SCA genom att förtydliga viktiga definitioner, ytterligare specificera undantag för lågrisktransaktioner och fortsätta att balansera säkerhet med utvecklingen av användarvänliga, innovativa och tillgängliga betalningsmedel.
Vi anser att de nya reglerna ytterligare kan förbättra kundernas upplevelse när de betalar online. De ger mer klarhet för finansinstitut, kortbetalningsnätverk och betalleverantörer att tillämpa SCA-undantag för transaktioner med lägre risk eller för återkommande transaktioner. På längre sikt kan de nya reglerna också ge möjlighet till ytterligare undantag beroende på transaktionsrisken och i linje med tekniska förbättringar. Företag bör fortsätta att optimera sin SCA-motor enligt de nya reglerna för att få bästa möjliga autentiseringsresultat.
|
MIT
|
For merchant-initiated transactions (MITs), SCA only has to be applied at the setup of the mandate, but not for subsequent MITs. An eight-week unconditional refund right—similar to SEPA Direct Debits—is introduced for MITs. |
|---|---|
|
MOTO
|
For Mail Order Telephone Order (MOTO) transactions, only the initiation of a payment transaction needs to be nondigital in order for that transaction to be exempt from SCA. |
|
Dynamic linking
|
Elements of SCA that dynamically link the transaction to a specific amount and payee should be used for electronic payment transactions in which a payment is placed through a payer’s device using proximity technology (e.g., near-field communication, or NFC) and the application of SCA requires the use of the internet on the payer’s device. |
|
Account information services
|
For PSPs providing account information services under open banking, SCA is only required on the occasion of the first data access. However, SCA is required when customers access aggregated account data on the account information service provider’s domain, at least every 180 days. |
|
Tokenization
|
Tokenization requires the application of SCA when the cardholder is actively involved in the tokenization process (e.g., when enrolling or replacing a card in a wallet or card-on-file solution). |
|
Transaction monitoring
|
The European Banking Authority will issue Regulatory Technical Standards for payment service providers’ use of transaction monitoring, including through environmental and behavioral characteristics (e.g., customer location or spending habits). This underpins the use of SCA exemptions for transactions that pose a low level of risk (i.e., Transaction Risk Analysis exemptions). |
|---|---|
|
SCA exemptions
|
The EBA is also mandated to develop further Regulatory Technical Standards on SCA requirements and exemptions, taking into account a risk-based approach and the use of technology. |
|
Two-factor authentication
|
The new rules suggest that the factors used for two-factor authentication under SCA do not need to belong to different categories, as long as their independence is fully preserved. This could allow customers to authenticate using two passwords, or a fingerprint and face ID. |
|
Accessibility
|
PSPs have to offer different ways of performing SCA, such as through SMS, that do not depend on the possession of a smart device. |
|
Liability for TSPs
|
Liability is attributed to technical service providers (TSPs) and operators of payment schemes in case of failure to support the application of SCA. This is to ensure increased cooperation among all players involved in performing SCA. |
|---|---|
|
Outsourcing
|
Payment service providers that rely on TSPs for the provision and verification of SCA elements have to enter into outsourcing agreements with these TSPs. The EBA will set out requirements for these outsourcing agreements. |
Ytterligare åtgärder för att förebygga bedrägerier och skydda konsumenterna
Utöver de uppdaterade SCA-kraven innebär de nya reglerna ytterligare åtgärder för att stärka konsumentskyddet och uppmuntra betaltjänstleverantörer att vidta ytterligare åtgärder för att förhindra bedrägerier. Det handlar bland annat om krav på att betaltjänstleverantörer ska utbilda sina kunder om bedrägeritrender, genomföra regelbundna interna utbildningsprogram, samarbeta med leverantörer av elektroniska kommunikationstjänster och dela information med andra finansinstitut. De ålägger också betaltjänstleverantörer att återbetala betaltjänstanvändare för bedrägliga transaktioner i händelse av bedrägeri med identitetsstöld.
Så hjälper Stripe dig att uppfylla SCA-kraven
Införandet av SCA i PSD2 hade stora konsekvenser för internethandeln i Europa. För att säkerställa en smidig övergång till de nya reglerna arbetade Stripe med berörda företag och partner för att implementera de nya kraven och hantera påverkan på konverteringsgraden. Detta inkluderade stöd för autentiseringsmetoder som 3D Secure 2 och utveckling av nya metoder för tvåfaktorsautentisering för att säkerställa en smidig autentiseringsupplevelse för företag och deras kunder.
Våra produkter, inklusive Stripe Checkout och Billing, bygger på vårt Payments-API som använder Stripe SCA-logik för att utlösa 3D Secure vid behov. Vår SCA-lösning inkluderar framgångsrik hantering av undantag som en nyckelkomponent för att bygga en förstklassig betalningsupplevelse som minimerar friktion samtidigt som den ger förstklassig säkerhet. Vi optimerar tillämpningen av SCA för olika tillsyns-, bank- och nätverksregler och tillämpar relevanta undantag – till exempel för lågriskbetalningar eller säkra företagsbetalningar – för att endast aktivera 3D Secure och/eller tillämpa tvåfaktorsautentisering när så krävs.
Autentiseringsflöde för stark kundautentisering
Stripes autentiseringsmotor utnyttjar också maskininlärningsmodeller som identifierar risker i realtid och gör det möjligt för företag att erbjuda sina kunder en förstklassig upplevelse samtidigt som SCA-efterlevnad säkerställs.
Vi fortsätter att bevaka kommande förändringar av SCA. Vår uppdaterade SCA-lösning kan hjälpa dig med tillämpningen av SCA och därmed öka konverteringsgraden och antalet lyckade autentiseringar samtidigt som vi säkerställer efterlevnad av SCA-reglerna och minimerar risken för bedrägerier. Läs mer om hur du kan öka dina intäkter med högre godkännandefrekvens med hjälp av Stripe.
Vad händer nu?
PSD3 och PSR innebär en betydande uppdatering av EU:s betalningsregler. Som förberedelse för de reviderade reglerna måste plattformar och marknadsplatser i tillämpliga fall se över användningen av undantag, t.ex. det kommersiella undantaget för handelsombud, eller fortsätta att förlita sig på reglerade betalleverantörer för att erbjuda betalningslösningar.
Mot bakgrund av PSD3/PSR och eventuella kommande EBA-riktlinjer måste företag även kontinuerligt se över kraven för stark kundautentisering. Betalleverantörer som har inbyggda SCA-uppdateringar i sin autentiseringsmotor kan hjälpa till med att optimera antalet betalningar som kräver SCA och maximera andelen lyckade tvåfaktorsautentiseringar samtidigt som bedrägerier minimeras.
Under 2024 och 2025 kommer EU-kommissionen, Europaparlamentet och EU:s medlemsländer att färdigställa de nya reglerna. PSD3 kommer därefter att behöva införlivas i nationell lagstiftning av EU:s medlemsstater. Fastän det i detta skede inte finns några tydliga tidsfrister för förhandlingarna och genomförandeperioden är det osannolikt att reglerna kommer att träda i kraft före 2026.
Stripe för diskussioner med relevanta beslutsfattare för att dela med oss av våra insikter om hur Europas framtida betalningsregler kan främja företag och deras kunder. Vi uppdaterar den här sidan när mer information blir tillgänglig.
Om du vill veta mer om hur Stripe kan hjälpa dig att förbereda dig för de reviderade reglerna, eller om du vill dela dina tankar är du välkommen att kontakta ditt Stripe-team eller skicka e-post till vårt PSD3-team på psd3@stripe.com.
För svar på vanliga användarfrågor om den rättsliga statusen för Stripe Connect i Europa, se denna sida.