PSD3 y PSR: qué cambia en la lucha contra el fraude en los pagos

En resumen:

el 21 de octubre de 2026, el Consejo de la UE adoptó su posición en primera lectura sobre la tercera directiva de servicios de pago (PSD3) y el nuevo reglamento de servicios de pago (PSR).

‍

Ambos textos sustituyen a la PSD2 y a la directiva de dinero electrónico.
‍

En materia de fraude, hay cuatro cambios clave: reembolso íntegro de las estafas del falso empleado del banco, verificación nombre/IBAN ampliada a todas las transferencias, autenticación reforzada recogida en la ley e intercambio obligatorio de datos de fraude, también con las grandes plataformas en línea.
‍
El PSR se aplicará 21 meses después de su entrada en vigor.

‍

El texto aún no es definitivo, pero su contenido ya es conocido y estable. La reforma endurece la autorización de las entidades, abre el acceso a las cuentas bancarias y moderniza el open banking.

Pero su verdadero centro de gravedad es el fraude: por primera vez, la ley hace pagar al proveedor una parte de las estafas que sus propios clientes han autorizado.

‍

En Meelo acompañamos a diario a bancos, entidades de pago y fintechs en la detección del fraude durante el onboarding. Esto es lo que cambia, a quién afecta y cómo prepararse.

‍

PSD3 y PSR en pocas palabras

‍

La reforma divide el marco anterior en dos textos. La directiva PSD3 regula la autorización y la supervisión. El reglamento PSR fija las normas de conducta, incluido todo lo relativo al fraude, y se aplica directamente en los 27 Estados miembros, sin transposición nacional.

‍

Es un cambio de método. Con la PSD2, cada país transponía las normas a su manera, lo que generaba diferencias. Con el PSR, un banco francés y una entidad de pago neerlandesa aplicarán exactamente las mismas normas antifraude.

El dinero electrónico también desaparece como régimen propio: las entidades de dinero electrónico (EDE) pasan al marco de las entidades de pago (EP).

‍

El calendario, desde la entrada en vigor

‍

• Día 0: entrada en vigor 20 días después de su publicación en el Diario Oficial de la UE.
• +21 meses: se aplica el PSR, junto con las leyes nacionales que transponen la PSD3. Las licencias existentes siguen siendo válidas.
• +27 meses: fin del periodo transitorio. Las EP, EDE y entidades exentas deben obtener una nueva autorización o su actividad queda suspendida. Entran en aplicación la verificación nombre/IBAN ampliada y su régimen de responsabilidad.

‍

El Parlamento Europeo aún debe completar el procedimiento y todos los plazos cuentan desde la publicación. Si el texto se publica en 2027, las primeras obligaciones antifraude se aplicarían a finales de 2028 o en 2029.

‍

Estafa del falso empleado del banco: reembolsa el PSP

‍

Es la medida más esperada. Hoy, un cliente que autoriza una transferencia presionado por un falso empleado de su banco asume solo la pérdida: el pago está «autorizado» y, por tanto, queda fuera de las normas de reembolso de la PSD2.

‍

Con el PSR, el consumidor recibe un reembolso íntegro si se cumplen tres condiciones:

‍

• el estafador se hizo pasar por el propio proveedor de pagos del cliente (banco, EP o EDE);
• utilizó canales suplantados: número de teléfono, SMS o dirección de correo que imitan los del PSP;
• la víctima comunicó el fraude a su PSP y presentó denuncia ante la policía.

‍

Para negarse, el PSP debe demostrar negligencia grave del cliente.
El Consejo limitó el mecanismo a la suplantación del propio PSP, mientras que el Parlamento quería extenderlo a cualquier entidad pública o privada. Las estafas del falso policía o de otros organismos quedan, por tanto, fuera.

‍

El PSP también debe proteger sus propios canales frente al spoofing. Para los pagos no autorizados clásicos, la norma no cambia: reembolso a más tardar al final del siguiente día hábil, con una franquicia para el cliente de 50 €.
‍
La novedad: si el PSP sospecha fraude o negligencia grave, debe justificarlo por escrito y decidir en un plazo de 15 días hábiles.

‍

La visión de Meelo.

Una estafa del falso empleado del banco siempre necesita una cuenta donde recibir el dinero, a menudo abierta con una identidad robada o documentos falsificados.

Ahí es donde intervenimos. Cuanto antes se bloquea esa cuenta, menos víctimas hay que reembolsar, en su entidad y en todos los demás PSP.

‍

Verificación nombre/IBAN: en todas las transferencias

‍

Desde octubre de 2025, el reglamento de transferencias inmediatas ya exige la verificación del beneficiario (Verification of Payee) para las transferencias SEPA en euros. El PSR la amplía a todas las transferencias, incluidas las que no son en euros.

‍

Antes del envío, el PSP del ordenante comprueba que el nombre introducido coincide con el titular del IBAN y avisa de cualquier diferencia. Si un PSP no aplica el control o lo aplica mal, reembolsa al ordenante, y el PSP responsable compensa al otro.

‍

Esta norma se aplica a partir del mes 27. Para las entidades que gestionan transferencias en divisas, es un proyecto técnico que conviene iniciar pronto. Para las empresas que pagan a proveedores y socios, es una defensa directa contra el fraude del cambio de cuenta bancaria.

‍

La visión de Meelo.

Nuestro control de titularidad del IBAN ya funciona para particulares y empresas, y es compatible con la Verification of Payee.
Nuestros clientes lo usan sobre todo en el onboarding: comprobar desde la apertura que el IBAN declarado pertenece de verdad a la persona o a la empresa evita que una cuenta fraudulenta entre en la cadena de pagos.

‍

Autenticación reforzada: ahora en la ley

‍

Con la PSD2, la autenticación reforzada de cliente (SCA) se basaba en la directiva y en las normas técnicas de la EBA. El PSR la incorpora directamente al reglamento y amplía su alcance:

‍

• Nuevos casos cubiertos: tokenización de una tarjeta, aumento de límites, cambio de contraseña o de datos de contacto.
• Factores realmente distintos: los elementos de autenticación deben pertenecer a categorías diferentes.
• Accesibilidad: métodos adaptados a personas con discapacidad, mayores o sin smartphone.
• Responsabilidad ampliada: los proveedores técnicos y los operadores de esquemas de pago pasan a ser responsables si impiden la aplicación de la SCA.

‍

Los momentos sensibles del recorrido del cliente, como el cambio de número de teléfono, son precisamente los que los estafadores aprovechan para tomar el control de una cuenta. A partir de ahora deberán estar protegidos.

‍

La visión de Meelo.

La SCA demuestra que es el dispositivo correcto, no que detrás esté la persona correcta.
Nosotros añadimos señales complementarias: huella del dispositivo, indicios de automatización, detección de VPN o proxy, verificación del operador y de la portabilidad del número de teléfono. Estas señales ayudan a detectar un recorrido anómalo antes de que se convierta en fraude.

‍

Intercambio de datos de fraude y plataformas en línea

‍

La PSD2 casi no decía nada sobre la cooperación entre actores. El PSR la convierte en una obligación.

‍

Entre PSP. Los proveedores deben compartir entre sí los datos de fraude. El intercambio está regulado: requiere una evaluación de impacto conjunta según el RGPD antes de cualquier intercambio. Los PSP también deben publicar sus estadísticas de reembolsos.

‍

Con las plataformas. Las grandes plataformas en línea y los motores de búsqueda solo podrán difundir publicidad de servicios financieros si el anunciante demuestra que está autorizado en el país de destino. Deben abrir canales de comunicación con los PSP. Según el acuerdo provisional, una plataforma avisada de un contenido fraudulento que no lo retira pasa a ser responsable ante el PSP que reembolsó a la víctima.

‍

La lógica cambia: el fraude ya no es un problema aislado de cada banco, sino una cadena de responsabilidades compartidas.
‍

‍

A quién afecta, y cómo

‍

• Bancos: asumen el reembolso de las estafas del falso empleado, verifican nombre e IBAN en todas las transferencias y comparten datos de fraude. También deben ofrecer una interfaz de open banking dedicada y solo pueden cerrar la cuenta de una EP o EDE por motivos tasados, con 4 meses de preaviso.
• Entidades de pago (EP): la responsabilidad por fraude, la verificación nombre/IBAN y la SCA quedan fijadas por reglamento. Nueva autorización en el mes 27 y capital inicial más alto (40.000 € para envíos de dinero, de 125.000 a 150.000 € para otros servicios).
• Entidades de dinero electrónico (EDE): mismas normas de fraude y SCA que las EP, fin del régimen EMD2 separado, capital inicial de 250.000 € para la emisión (350.000 € hoy).
• Consumidores: reembolso de las estafas del falso empleado con denuncia, aviso antes de cualquier transferencia si el nombre no coincide con el IBAN, comisiones visibles antes del pago y un panel para revocar los accesos de open banking. Se mantiene la franquicia de 50 €.
  ‍

‍

Cómo prepararse desde ya

‍

Los plazos parecen lejanos, pero el reembolso de las estafas cambia la ecuación económica del fraude.

Cada estafa no detectada se convertirá en una pérdida directa para el proveedor.

‍

• Medir la exposición: estimar cuántas estafas por suplantación habría tenido que reembolsar en los últimos 12 meses.
• Ampliar la verificación del beneficiario a todas las transferencias, también en divisas.
• Reforzar los pasos sensibles: cambio de teléfono, correo o límite, alta de un nuevo beneficiario.
• Detectar antes: una cuenta abierta con una identidad falsa sirve después para recibir el dinero de las víctimas. Los controles en el onboarding (KYC, KYB) reducen directamente lo que pagará más adelante.
• Preparar el intercambio de datos: evaluación de impacto RGPD, elección de socios y formatos de intercambio.
• Documentar los rechazos: para alegar negligencia grave harán falta pruebas escritas y una decisión en 15 días hábiles.
• Para EP y EDE: anticipar el expediente de nueva autorización y el nivel de capital exigido.
  ‍

‍

Cómo ayuda Meelo a los PSP a cumplir el PSR

‍

• Reembolso de estafas por suplantación: verificación de identidad y scoring de fraude con face matching y prueba de vida, autenticidad de los documentos y detección de documentos generados por IA, para bloquear las cuentas abiertas por estafadores.
• Verificación nombre/IBAN: control de titularidad del IBAN para particulares y empresas, compatible con la Verification of Payee.
• SCA ampliada: huella del dispositivo, detección de VPN y proxy, verificación de teléfono y correo electrónico.
• Open banking: análisis de cuentas, coherencia con los datos declarados, alertas sobre las cuentas conectadas.
• Clientes empresa y fraude del cambio de cuenta: verificación KYB de empresas, titulares reales y administradores, en Francia y a nivel internacional.
• Obligaciones de PBC/FT: filtrado de sanciones, personas con responsabilidad pública y medios adversos.

‍

Todo pasa por una sola plataforma y una sola integración.

‍

El objetivo: detener al estafador antes de que abra la cuenta que recibirá el dinero de las víctimas, en lugar de reembolsar después.

‍

Preguntas frecuentes
‍

‍

¿Cuál es la diferencia entre PSD3 y PSR?

‍

La PSD3 es una directiva sobre la autorización y la supervisión de las entidades de pago, que cada país transpone. El PSR es un reglamento directamente aplicable que fija las normas de conducta, entre ellas el fraude, la SCA y el open banking.
‍

‍

¿Cuándo se aplicarán PSD3 y PSR?

‍

El PSR se aplica 21 meses después de la entrada en vigor. El periodo transitorio termina en el mes 27. El Parlamento Europeo aún debe adoptar el texto final.
‍

‍

¿Tendrán los bancos que reembolsar las estafas del falso empleado?

‍

Sí, si el estafador se hizo pasar por el propio banco mediante canales suplantados y la víctima comunicó el fraude al banco y a la policía. El banco solo puede negarse demostrando negligencia grave.
‍

‍

¿Será obligatoria la verificación del beneficiario en todas partes?

‍

Sí. Ya obligatoria para las transferencias SEPA en euros, se ampliará a todas las transferencias. El PSP que no la aplique reembolsa al ordenante.
‍

‍

¿Afecta a las plataformas en línea?

‍

Sí. Las grandes plataformas deberán comprobar que los anunciantes de servicios financieros están autorizados y colaborar con los PSP para retirar los contenidos fraudulentos.
‍

‍

¿La PSD3 sustituye a la PSD2?

‍

Sí. La PSD2 y la directiva de dinero electrónico (EMD2) quedan derogadas y sustituidas por la PSD3 y el PSR.

‍

Fuentes: Consejo de la UE, documentos ST 8535/26 (directiva de servicios de pago) y ST 8543/26 (reglamento de servicios de pago), posición en primera lectura del 21 de octubre de 2026; acuerdo provisional entre el Consejo y el Parlamento Europeo, noviembre de 2025; Reglamento (UE) 2024/886 sobre transferencias inmediatas.