PSD3 e PSR: cosa cambia nella lotta alle frodi nei pagamenti

In breve: il 21 ottobre 2026 il Consiglio dell'UE ha adottato la sua posizione in prima lettura sulla terza direttiva sui servizi di pagamento (PSD3) e sul nuovo regolamento sui servizi di pagamento (PSR). I due testi sostituiscono la PSD2 e la direttiva sulla moneta elettronica. Sul fronte frodi, quattro cambiamenti principali: rimborso integrale delle truffe del falso operatore bancario, verifica nome/IBAN estesa a tutti i bonifici, autenticazione forte scritta nella legge e condivisione obbligatoria dei dati sulle frodi, anche con le grandi piattaforme online. Il PSR si applicherà 21 mesi dopo l'entrata in vigore.

‍

Il testo non è ancora definitivo, ma il suo contenuto è ormai noto e stabile. La riforma rende più severa l'autorizzazione degli operatori, apre l'accesso ai conti bancari e modernizza l'open banking. Il suo vero baricentro, però, sono le frodi: per la prima volta la legge fa pagare al prestatore una parte delle truffe che i suoi clienti hanno autorizzato da soli.

‍

In Meelo affianchiamo ogni giorno banche, istituti di pagamento e fintech nel rilevamento delle frodi in fase di onboarding. Ecco cosa cambia, chi è coinvolto e come prepararsi.

‍

PSD3 e PSR in sintesi

‍

La riforma divide il vecchio quadro in due testi. La direttiva PSD3 riguarda autorizzazione e vigilanza. Il regolamento PSR fissa le regole di condotta, compreso tutto ciò che riguarda le frodi, e si applica direttamente nei 27 Stati membri senza recepimento nazionale.

‍

È un cambio di metodo. Con la PSD2 ogni Paese recepiva le regole a modo suo, creando differenze. Con il PSR una banca francese e un istituto di pagamento olandese applicheranno esattamente le stesse regole antifrode. Anche la moneta elettronica scompare come regime a sé: gli istituti di moneta elettronica (IMEL) confluiscono nel quadro degli istituti di pagamento (IP).

‍

Il calendario, dall'entrata in vigore

‍

• Giorno 0: entrata in vigore 20 giorni dopo la pubblicazione nella Gazzetta ufficiale dell'UE.
• +21 mesi: si applica il PSR, insieme alle leggi nazionali di recepimento della PSD3. Le autorizzazioni esistenti restano valide.
• +27 mesi: fine del periodo transitorio. IP, IMEL e soggetti esentati devono essere nuovamente autorizzati, altrimenti l'attività viene sospesa. Entrano in applicazione la verifica nome/IBAN estesa e il relativo regime di responsabilità.

‍

Il Parlamento europeo deve ancora completare la procedura e tutte le scadenze decorrono dalla pubblicazione. Se il testo sarà pubblicato nel 2027, i primi obblighi antifrode si applicherebbero a fine 2028 o nel 2029.

‍

Truffa del falso operatore bancario: rimborsa il PSP

‍

È la misura più attesa. Oggi un cliente che autorizza un bonifico sotto la pressione di un falso operatore della banca sopporta da solo la perdita: il pagamento è «autorizzato» e quindi esce dalle regole di rimborso della PSD2.

‍

Con il PSR il consumatore ottiene un rimborso integrale se ricorrono tre condizioni:

‍

• il truffatore si è spacciato per il prestatore di pagamento del cliente (banca, IP o IMEL);
• ha usato canali falsificati: numero di telefono, SMS o indirizzo e-mail che imitano quelli del PSP;
• la vittima ha segnalato la frode al proprio PSP e ha sporto denuncia alla polizia.

‍

Per rifiutare, il PSP deve dimostrare la colpa grave del cliente. Il Consiglio ha limitato il meccanismo all'impersonificazione del PSP stesso, mentre il Parlamento voleva estenderlo a qualsiasi ente pubblico o privato. Le truffe del falso carabiniere o di altri enti restano quindi escluse.

‍

Il PSP deve inoltre proteggere i propri canali dallo spoofing. Per i pagamenti non autorizzati classici la regola non cambia: rimborso entro la fine della giornata lavorativa successiva, franchigia a carico del cliente di 50 €. La novità: se il PSP sospetta una frode o una colpa grave, deve motivare per iscritto e decidere entro 15 giorni lavorativi.

‍

Il punto di vista di Meelo. Una truffa del falso operatore ha sempre bisogno di un conto su cui ricevere i soldi, spesso aperto con un'identità rubata o documenti falsificati. È lì che interveniamo noi. Prima viene bloccato quel conto, meno vittime ci sono da rimborsare, per voi come per tutti gli altri PSP.

‍

Verifica nome/IBAN: su tutti i bonifici

‍

Da ottobre 2025 il regolamento sui bonifici istantanei impone già la verifica del beneficiario (Verification of Payee) per i bonifici SEPA in euro. Il PSR la estende a tutti i bonifici, anche in valute diverse dall'euro.

‍

Prima dell'invio, il PSP del pagatore controlla che il nome inserito corrisponda all'intestatario dell'IBAN e segnala ogni differenza. Se un PSP non applica il controllo o lo applica male, rimborsa il pagatore e il PSP responsabile indennizza l'altro.

‍

Questa regola si applica dal mese 27. Per gli operatori che gestiscono bonifici in valuta è un progetto tecnico da avviare presto. Per le aziende che pagano fornitori e partner è una difesa diretta contro la frode del cambio IBAN.

‍

Il punto di vista di Meelo. Il nostro controllo di titolarità IBAN funziona già per privati e aziende ed è compatibile con la Verification of Payee. I nostri clienti lo usano soprattutto in onboarding: verificare fin dall'apertura che l'IBAN dichiarato appartenga davvero alla persona o all'azienda di fronte a voi impedisce a un conto fraudolento di entrare nella catena dei pagamenti.

‍

Autenticazione forte: ora nella legge

‍

Con la PSD2, l'autenticazione forte del cliente (SCA) si basava sulla direttiva e sulle norme tecniche dell'EBA. Il PSR la inserisce direttamente nel regolamento e ne amplia il campo:

‍

• Nuovi casi coperti: tokenizzazione di una carta, aumento dei massimali, modifica di password o recapiti.
• Fattori davvero distinti: gli elementi di autenticazione devono appartenere a categorie diverse.
• Accessibilità: metodi adatti a persone con disabilità, anziani o chi non ha uno smartphone.
• Responsabilità estesa: fornitori tecnici e gestori degli schemi di pagamento diventano responsabili se impediscono l'applicazione della SCA.

‍

I momenti sensibili del percorso cliente, come il cambio del numero di telefono, sono proprio quelli che i truffatori sfruttano per prendere il controllo di un conto. D'ora in poi dovranno essere protetti.

‍

Il punto di vista di Meelo. La SCA dimostra che il dispositivo è quello giusto, non che dietro c'è la persona giusta. Noi aggiungiamo segnali complementari: impronta del dispositivo, indizi di automazione, rilevamento di VPN o proxy, verifica dell'operatore telefonico e della portabilità del numero. Questi segnali aiutano a individuare un percorso anomalo prima che diventi una frode.

‍

Condivisione dei dati sulle frodi e piattaforme online

‍

La PSD2 non diceva quasi nulla sulla cooperazione tra operatori. Il PSR la rende un obbligo.

‍

Tra PSP. I prestatori devono condividere tra loro i dati sulle frodi. La condivisione è regolata: serve una valutazione d'impatto GDPR congiunta prima di ogni scambio. I PSP devono anche pubblicare le loro statistiche sui rimborsi.

‍

Con le piattaforme. Le grandi piattaforme online e i motori di ricerca potranno pubblicare annunci di servizi finanziari solo se l'inserzionista dimostra di essere autorizzato nel Paese di destinazione. Devono aprire canali di segnalazione con i PSP. Secondo l'accordo provvisorio, una piattaforma avvisata di un contenuto fraudolento che non lo rimuove diventa responsabile verso il PSP che ha rimborsato la vittima.

‍

La logica cambia: la frode non è più un problema isolato di ogni banca, ma una catena di responsabilità condivise.

‍

Chi è coinvolto, e come

‍

• Banche: sostengono il rimborso delle truffe del falso operatore, verificano nome e IBAN su tutti i bonifici e condividono i dati sulle frodi. Devono inoltre offrire un'interfaccia open banking dedicata e possono chiudere il conto di un IP o di un IMEL solo per motivi elencati, con 4 mesi di preavviso.
• Istituti di pagamento (IP): responsabilità per le frodi, verifica nome/IBAN e SCA ora fissate dal regolamento. Nuova autorizzazione al mese 27 e capitale iniziale più alto (40.000 € per le rimesse di denaro, da 125.000 a 150.000 € per gli altri servizi).
• Istituti di moneta elettronica (IMEL): stesse regole antifrode e SCA degli IP, fine del regime EMD2 separato, capitale iniziale di 250.000 € per l'emissione (oggi 350.000 €).
• Consumatori: rimborso delle truffe del falso operatore con denuncia, avviso prima di ogni bonifico se il nome non corrisponde all'IBAN, commissioni mostrate prima del pagamento e una dashboard per revocare gli accessi open banking. La franchigia di 50 € resta.

‍

Come prepararsi da subito

‍

Le scadenze sembrano lontane, ma il rimborso delle truffe cambia l'equazione economica della frode. Ogni truffa non rilevata diventerà una perdita secca per il prestatore.

‍

• Mappare l'esposizione: stimare quante truffe per impersonificazione avreste dovuto rimborsare negli ultimi 12 mesi.
• Estendere la verifica del beneficiario a tutti i bonifici, anche in valuta.
• Rafforzare i passaggi sensibili: cambio di telefono, e-mail o massimale, aggiunta di un beneficiario.
• Rilevare a monte: un conto aperto con una falsa identità serve poi a ricevere i soldi delle vittime. I controlli in onboarding (KYC, KYB) riducono direttamente ciò che pagherete in seguito.
• Preparare la condivisione dei dati: valutazione d'impatto GDPR, scelta dei partner e dei formati di scambio.
• Documentare i rifiuti: per opporre la colpa grave serviranno prove scritte e una decisione entro 15 giorni lavorativi.
• Per IP e IMEL: pianificare la nuova autorizzazione e il livello di capitale richiesto.

‍

Come Meelo aiuta i PSP a rispondere al PSR

‍

• Rimborso delle truffe per impersonificazione: verifica dell'identità e punteggio di frode con face matching e rilevamento della vivacità, autenticità dei documenti e rilevamento dei documenti generati dall'IA, per bloccare i conti aperti dai truffatori.
• Verifica nome/IBAN: controllo di titolarità IBAN per privati e aziende, compatibile con la Verification of Payee.
• SCA estesa: impronta del dispositivo, rilevamento VPN e proxy, verifica di telefono ed e-mail.
• Open banking: analisi dei conti, coerenza con i dati dichiarati, avvisi sui conti collegati.
• Clienti business e frode del cambio IBAN: verifica KYB di aziende, titolari effettivi e amministratori, in Francia e all'estero.
• Obblighi antiriciclaggio: screening su sanzioni, persone politicamente esposte e media negativi.

‍

Tutto passa da un'unica piattaforma e un'unica integrazione. L'obiettivo: fermare il truffatore prima che apra il conto su cui arriveranno i soldi delle vittime, invece di rimborsare dopo.

‍

FAQ

‍

Qual è la differenza tra PSD3 e PSR?

‍

La PSD3 è una direttiva su autorizzazione e vigilanza degli istituti di pagamento, recepita da ogni Paese. Il PSR è un regolamento direttamente applicabile che fissa le regole di condotta, tra cui frodi, SCA e open banking.

‍

Quando si applicheranno PSD3 e PSR?

‍

Il PSR si applica 21 mesi dopo l'entrata in vigore. Il periodo transitorio termina al mese 27. Il Parlamento europeo deve ancora adottare il testo finale.

‍

Le banche dovranno rimborsare le truffe del falso operatore?

‍

Sì, se il truffatore si è spacciato per la banca stessa tramite canali falsificati e la vittima ha segnalato la frode alla banca e alla polizia. La banca può rifiutare solo dimostrando la colpa grave.

‍

La verifica del beneficiario diventerà obbligatoria ovunque?

‍

Sì. Già obbligatoria per i bonifici SEPA in euro, sarà estesa a tutti i bonifici. Il PSP che non la applica rimborsa il pagatore.

‍

Le piattaforme online sono coinvolte?

‍

Sì. Le grandi piattaforme dovranno verificare che gli inserzionisti di servizi finanziari siano autorizzati e collaborare con i PSP per rimuovere i contenuti fraudolenti.

‍

La PSD3 sostituisce la PSD2?

‍

Sì. La PSD2 e la direttiva sulla moneta elettronica (EMD2) sono abrogate e sostituite da PSD3 e PSR.

‍

Fonti: Consiglio dell'UE, documenti ST 8535/26 (direttiva sui servizi di pagamento) e ST 8543/26 (regolamento sui servizi di pagamento), posizione in prima lettura del 21 ottobre 2026; accordo provvisorio tra Consiglio e Parlamento europeo, novembre 2025; regolamento (UE) 2024/886 sui bonifici istantanei.