Otto anni dopo l’entrata in vigore della PSD2 la direttiva che ha introdotto la Strong Customer Authentication e aperto la strada all’open banking l’Unione Europea si prepara alla revisione più significativa del quadro normativo sui pagamenti digitali dall’epoca. Il 27 novembre 2025 Parlamento europeo e Consiglio hanno raggiunto l’accordo politico su PSD3 e PSR, ponendo le basi per l’adozione formale attesa nel corso dell’estate-autunno 2026. Per chi gestisce un ecommerce, non si tratta di un dettaglio tecnico da lasciare ai propri fornitori di pagamento: alcune delle novità toccano direttamente il modo in cui un sito accetta pagamenti online.
Cos’è cambiato rispetto alla PSD2
La differenza più importante tra il pacchetto attuale e quello precedente riguarda la sua architettura giuridica. La PSD3 resta una direttiva, che richiederà quindi il recepimento nella legislazione di ciascuno Stato membro. Il PSR (Regolamento sui Servizi di Pagamento), invece, sarà direttamente applicabile in tutti i Paesi UE fin dalla sua entrata in vigore, senza bisogno di una legge nazionale di recepimento una scelta che punta a ridurre le disomogeneità applicative che avevano caratterizzato la PSD2 nei diversi mercati europei.
Nel merito, il nuovo pacchetto normativo rafforza la Strong Customer Authentication estendendola a più casistiche, introduce una responsabilità più ampia per i prestatori di servizi di pagamento in caso di frode, impone nuovi standard obbligatori per le API di open banking e prevede una vigilanza rafforzata sui PSP. Uno degli aspetti più concreti riguarda l’obbligo di verifica del beneficiario (IBAN-nome) per i bonifici, già in vigore dall’ottobre 2025 per i bonifici in euro e destinato a estendersi a tutti i trasferimenti con il nuovo regolamento.
Le tempistiche reali (e perché contano)
Le date esatte contano più del solito, perché in questo dossier si sono susseguite diverse revisioni di calendario. Dopo l’accordo politico di novembre 2025, la fase attuale prevede la firma dei testi legislativi e la pubblicazione in Gazzetta Ufficiale europea nel corso dell’estate-autunno 2026, con entrata in vigore fissata al ventesimo giorno successivo alla pubblicazione. Da quel momento parte il periodo di preparazione per banche, istituti di pagamento, fintech ed e-money institution: gli Stati membri avranno 21 mesi di tempo per recepire la PSD3, mentre il PSR sarà applicabile direttamente dalla stessa data di entrata in vigore. La prima fase operativa concreta che riguarda SCA, responsabilità per le frodi e obblighi di open banking è attesa tra la fine del 2026 e l’inizio del 2027, mentre alcune norme più complesse, come quella sulla verifica del beneficiario estesa a tutti i trasferimenti, avranno una finestra più lunga, fino a 27 mesi dall’entrata in vigore del PSR.
Cosa cambia per chi vende online
Per un ecommerce, il punto di contatto più diretto con questa normativa passa dal proprio prestatore di servizi di pagamento (PSP). Le nuove regole impongono ai PSP di rafforzare i controlli antifrode e di implementare verifiche IBAN più stringenti, ma anche di garantire una maggiore disponibilità minima dei propri servizi. Per chi vende online, questo si traduce nella necessità di verificare che il proprio fornitore di pagamenti stia effettivamente adeguando la propria infrastruttura in tempo utile, poiché un’interruzione di servizio o un problema di conformità del PSP si riflette direttamente sulla capacità del proprio store di accettare pagamenti.
Un altro aspetto rilevante riguarda la Strong Customer Authentication, che si estenderà a più casistiche di quelle attualmente coperte dalla PSD2: per un ecommerce questo può significare un checkout con un passaggio di autenticazione in più su alcune transazioni finora esentate, con un possibile impatto sul tasso di abbandono del carrello che vale la pena monitorare quando le nuove regole entreranno effettivamente in vigore.
Il nodo marketplace e piattaforme
Chi gestisce un marketplace o una piattaforma che intermedia pagamenti tra venditori terzi e acquirenti dovrebbe prestare particolare attenzione a un punto specifico: le regole sull’esenzione per “agenti commerciali”, che finora ha permesso a diverse piattaforme di gestire flussi di pagamento senza una licenza di servizi di pagamento vera e propria, diventeranno più severe. Per queste realtà, la posta in gioco è più alta: potrebbe non essere più sufficiente una configurazione “fai-da-te” dei pagamenti, ma diventare necessario adottare un assetto regolamentato o affidarsi a un partner di pagamento autorizzato.
Cosa fare da qui alla scadenza
Anche se le prime obbligazioni operative concrete non scatteranno prima della fine del 2026, ha senso iniziare fin da ora un dialogo con il proprio PSP per capire la roadmap di adeguamento a PSD3 e PSR, in particolare su Strong Customer Authentication e verifica del beneficiario. Chi gestisce un marketplace o una piattaforma con flussi di pagamento tra terzi dovrebbe verificare con un consulente legale se la propria configurazione attuale rientra ancora nell’esenzione per agenti commerciali una volta che le nuove regole saranno pienamente operative. Trattandosi di una materia ancora in evoluzione fino alla pubblicazione ufficiale dei testi, vale la pena monitorare gli aggiornamenti nei prossimi mesi piuttosto che considerare definitive le tempistiche attuali.
