PSD3 en PSR: wat verandert er in de strijd tegen betalingsfraude

In het kort: op 21 oktober 2026 heeft de Raad van de EU zijn standpunt in eerste lezing vastgesteld over de derde betaaldienstenrichtlijn (PSD3) en de nieuwe betaaldienstenverordening (PSR). Samen vervangen ze PSD2 en de richtlijn elektronisch geld. Op het gebied van fraude zijn er vier grote veranderingen: volledige vergoeding bij bankhelpdeskfraude, een naam-IBAN-check voor alle overboekingen, sterke klantauthenticatie vastgelegd in de wet en verplicht delen van fraudedata, ook met grote onlineplatforms. De PSR is van toepassing 21 maanden na de inwerkingtreding.

‍

De tekst is nog niet definitief, maar de inhoud is inmiddels bekend en stabiel. De hervorming maakt de vergunningverlening strenger, opent de toegang tot bankrekeningen en moderniseert open banking. Het echte zwaartepunt is echter fraude: voor het eerst laat de wet betaaldienstverleners een deel betalen van de oplichting die hun klanten zelf hebben geautoriseerd.

‍

Bij Meelo ondersteunen we dagelijks banken, betaalinstellingen en fintechs bij fraudedetectie tijdens de onboarding. Dit is wat er verandert, voor wie, en hoe u zich voorbereidt.

‍

PSD3 en PSR in het kort

‍

De hervorming splitst het oude kader in twee teksten. De richtlijn PSD3 regelt vergunningen en toezicht. De verordening PSR legt de gedragsregels vast, inclusief alles over fraude, en geldt rechtstreeks in alle 27 lidstaten zonder nationale omzetting.

‍

Dat is een andere aanpak. Onder PSD2 zette elk land de regels op zijn eigen manier om, wat verschillen opleverde. Met de PSR passen een Franse bank en een Nederlandse betaalinstelling precies dezelfde frauderegels toe. Ook elektronisch geld verdwijnt als apart regime: elektronischgeldinstellingen gaan op in het kader voor betaalinstellingen.

‍

De tijdlijn, vanaf de inwerkingtreding

‍

• Dag 0: inwerkingtreding 20 dagen na publicatie in het Publicatieblad van de EU.
• +21 maanden: de PSR is van toepassing, net als de nationale wetten die PSD3 omzetten. Bestaande vergunningen blijven geldig.
• +27 maanden: einde van de overgangsperiode. Betaalinstellingen, elektronischgeldinstellingen en vrijgestelde partijen moeten opnieuw een vergunning krijgen, anders wordt hun activiteit opgeschort. De uitgebreide naam-IBAN-check en de bijbehorende aansprakelijkheid gaan gelden.

‍

Het Europees Parlement moet de procedure nog afronden en alle termijnen lopen vanaf de publicatie. Als de tekst in 2027 wordt gepubliceerd, gelden de eerste fraudeverplichtingen eind 2028 of in 2029.

‍

Bankhelpdeskfraude: de betaaldienstverlener vergoedt

‍

Dit is de meest verwachte maatregel. Vandaag draagt een klant die onder druk van een nepbankmedewerker zelf een overboeking goedkeurt, het verlies alleen: de betaling is “geautoriseerd” en valt dus buiten de vergoedingsregels van PSD2.

‍

Met de PSR krijgt de consument een volledige vergoeding als aan drie voorwaarden is voldaan:

‍

• de fraudeur deed zich voor als de eigen betaaldienstverlener van de klant (bank, betaalinstelling of elektronischgeldinstelling);
• hij gebruikte nagebootste kanalen: telefoonnummer, sms of e-mailadres die lijken op die van de betaaldienstverlener;
• het slachtoffer heeft de fraude gemeld bij zijn betaaldienstverlener en aangifte gedaan bij de politie.

‍

Om te weigeren moet de betaaldienstverlener grove nalatigheid van de klant aantonen. De Raad heeft de regeling beperkt tot het nabootsen van de betaaldienstverlener zelf, terwijl het Parlement elke publieke of private partij wilde meenemen. Oplichting door nep-agenten of andere organisaties valt er dus buiten.

‍

Betaaldienstverleners moeten ook hun eigen kanalen beveiligen tegen spoofing. Voor klassieke niet-geautoriseerde betalingen verandert de regel niet: vergoeding uiterlijk aan het einde van de volgende werkdag, met een eigen risico voor de klant van 50 €. Nieuw is: vermoedt de betaaldienstverlener fraude of grove nalatigheid, dan moet hij dat schriftelijk onderbouwen en binnen 15 werkdagen beslissen.

‍

De visie van Meelo. Bankhelpdeskfraude heeft altijd een rekening nodig om het geld te ontvangen, vaak geopend met een gestolen identiteit of vervalste documenten. Daar komen wij in beeld. Hoe eerder die rekening wordt geblokkeerd, hoe minder slachtoffers er te vergoeden zijn, bij u en bij alle andere betaaldienstverleners.

‍

Naam-IBAN-check: voor alle overboekingen

‍

Sinds oktober 2025 verplicht de verordening over instantbetalingen al de verificatie van de begunstigde (Verification of Payee) voor SEPA-overboekingen in euro. De PSR breidt die uit naar alle overboekingen, ook in andere valuta.

‍

Vóór verzending controleert de betaaldienstverlener van de betaler of de ingevoerde naam overeenkomt met de houder van het IBAN en meldt hij elke afwijking. Past een betaaldienstverlener de controle niet of verkeerd toe, dan vergoedt hij de betaler, en de verantwoordelijke betaaldienstverlener compenseert de andere.

‍

Deze regel geldt vanaf maand 27. Voor instellingen met overboekingen in vreemde valuta is dit een technisch project om vroeg te starten. Voor bedrijven die leveranciers en partners betalen, is het een directe bescherming tegen fraude met gewijzigde bankgegevens.

‍

De visie van Meelo. Onze controle op IBAN-eigendom werkt al voor particulieren en bedrijven en is compatibel met Verification of Payee. Onze klanten gebruiken die vooral bij onboarding: wie bij het openen al controleert of het opgegeven IBAN echt van de persoon of het bedrijf tegenover u is, houdt frauduleuze rekeningen buiten de betaalketen.

‍

Sterke klantauthenticatie: nu in de wet

‍

Onder PSD2 was sterke klantauthenticatie (SCA) gebaseerd op de richtlijn en de technische standaarden van de EBA. De PSR legt haar rechtstreeks vast in de verordening en verbreedt de reikwijdte:

‍

• Nieuwe situaties: tokenisatie van een kaart, verhoging van limieten, wijziging van wachtwoord of contactgegevens.
• Echt verschillende factoren: authenticatie-elementen moeten uit verschillende categorieën komen.
• Toegankelijkheid: methoden voor mensen met een beperking, ouderen of mensen zonder smartphone.
• Bredere aansprakelijkheid: technische dienstverleners en beheerders van betaalschema's worden aansprakelijk als ze SCA verhinderen.

‍

Gevoelige momenten in de klantreis, zoals het wijzigen van een telefoonnummer, zijn precies de momenten die fraudeurs gebruiken om een rekening over te nemen. Die moeten voortaan beschermd worden.

‍

De visie van Meelo. SCA bewijst dat het het juiste apparaat is, niet dat de juiste persoon erachter zit. Wij voegen aanvullende signalen toe: device fingerprinting, aanwijzingen voor automatisering, detectie van VPN of proxy, controle van provider en nummerbehoud. Deze signalen helpen een afwijkende klantreis te herkennen voordat die tot fraude leidt.

‍

Delen van fraudedata en onlineplatforms

‍

PSD2 zei bijna niets over samenwerking tussen partijen. De PSR maakt er een verplichting van.

‍

Tussen betaaldienstverleners. Dienstverleners moeten fraudedata met elkaar delen. Dat delen is afgebakend: vóór elke uitwisseling is een gezamenlijke AVG-effectbeoordeling nodig. Ook moeten betaaldienstverleners hun vergoedingsstatistieken publiceren.

‍

Met platforms. Grote onlineplatforms en zoekmachines mogen alleen advertenties voor financiële diensten tonen als de adverteerder aantoont dat hij in het doelland een vergunning heeft. Ze moeten meldkanalen openen voor betaaldienstverleners. Volgens het voorlopige akkoord wordt een platform dat op frauduleuze content is gewezen en die niet verwijdert, aansprakelijk tegenover de betaaldienstverlener die het slachtoffer heeft vergoed.

‍

De logica verandert: fraude is niet langer een losstaand probleem van elke bank, maar een keten van gedeelde verantwoordelijkheden.

‍

Wie het raakt, en hoe

‍

• Banken: zij dragen de vergoeding bij bankhelpdeskfraude, controleren naam en IBAN bij alle overboekingen en delen fraudedata. Ze moeten ook een aparte open-banking-interface bieden en mogen de rekening van een betaal- of elektronischgeldinstelling alleen om vastgelegde redenen opzeggen, met 4 maanden opzegtermijn.
• Betaalinstellingen: fraudeaansprakelijkheid, naam-IBAN-check en SCA liggen nu vast in de verordening. Nieuwe vergunning in maand 27 en hoger aanvangskapitaal (40.000 € voor geldtransfers, 125.000 tot 150.000 € voor andere diensten).
• Elektronischgeldinstellingen: dezelfde fraude- en SCA-regels als betaalinstellingen, einde van het aparte EMD2-regime, aanvangskapitaal van 250.000 € voor uitgifte (nu 350.000 €).
• Consumenten: vergoeding bij bankhelpdeskfraude met aangifte, een waarschuwing vóór elke overboeking als de naam niet bij het IBAN past, kosten zichtbaar vóór betaling en een dashboard om open-banking-toegang in te trekken. Het eigen risico van 50 € blijft.

‍

Zo bereidt u zich nu voor

‍

De termijnen lijken ver weg, maar de vergoedingsplicht verandert de economie van fraude. Elke onopgemerkte oplichting wordt een direct verlies voor de dienstverlener.

‍

• Breng uw blootstelling in kaart: schat hoeveel gevallen van bankhelpdeskfraude u de afgelopen 12 maanden had moeten vergoeden.
• Breid de verificatie van de begunstigde uit naar alle overboekingen, ook in vreemde valuta.
• Versterk gevoelige stappen: wijziging van telefoon, e-mail of limiet, toevoegen van een nieuwe begunstigde.
• Detecteer vooraf: een rekening die met een valse identiteit is geopend, dient later om het geld van slachtoffers te ontvangen. Controles bij onboarding (KYC, KYB) verlagen direct wat u later betaalt.
• Bereid het delen van data voor: AVG-effectbeoordeling, keuze van partners en uitwisselingsformaten.
• Documenteer weigeringen: wie grove nalatigheid inroept, heeft schriftelijk bewijs en een beslissing binnen 15 werkdagen nodig.
• Voor betaal- en elektronischgeldinstellingen: plan de nieuwe vergunningsaanvraag en het vereiste kapitaal.

‍

Hoe Meelo betaaldienstverleners helpt te voldoen aan de PSR

‍

• Vergoeding bij bankhelpdeskfraude: identiteitsverificatie en fraudescore met face matching en liveness-detectie, echtheidscontrole van documenten en detectie van door AI gegenereerde documenten, om rekeningen van fraudeurs te blokkeren.
• Naam-IBAN-check: controle op IBAN-eigendom voor particulieren en bedrijven, compatibel met Verification of Payee.
• Uitgebreide SCA: device fingerprinting, detectie van VPN en proxy, controle van telefoon en e-mail.
• Open banking: analyse van rekeningen, consistentie met opgegeven gegevens, meldingen over gekoppelde rekeningen.
• Zakelijke klanten en fraude met gewijzigde bankgegevens: KYB-verificatie van bedrijven, uiteindelijk belanghebbenden en bestuurders, in Frankrijk en internationaal.
• Anti-witwasverplichtingen: screening op sancties, politiek prominente personen en negatieve media.

‍

Alles loopt via één platform en één integratie. Het doel: de fraudeur stoppen voordat hij de rekening opent waarop het geld van slachtoffers binnenkomt, in plaats van achteraf te vergoeden.

‍

Veelgestelde vragen

‍

Wat is het verschil tussen PSD3 en de PSR?

‍

PSD3 is een richtlijn over vergunningen en toezicht op betaalinstellingen, die elk land omzet. De PSR is een rechtstreeks toepasselijke verordening met de gedragsregels, waaronder fraude, SCA en open banking.

‍

Wanneer gaan PSD3 en de PSR gelden?

‍

De PSR geldt 21 maanden na de inwerkingtreding. De overgangsperiode eindigt na 27 maanden. Het Europees Parlement moet de definitieve tekst nog aannemen.

‍

Moeten banken bankhelpdeskfraude vergoeden?

‍

Ja, als de fraudeur zich via nagebootste kanalen voordeed als de bank zelf en het slachtoffer de fraude heeft gemeld bij de bank en de politie. De bank kan alleen weigeren door grove nalatigheid aan te tonen.

‍

Wordt de verificatie van de begunstigde overal verplicht?

‍

Ja. Al verplicht voor SEPA-overboekingen in euro, wordt ze uitgebreid naar alle overboekingen. Een betaaldienstverlener die haar niet toepast, vergoedt de betaler.

‍

Gelden de regels ook voor onlineplatforms?

‍

Ja. Grote platforms moeten controleren of adverteerders van financiële diensten een vergunning hebben en samenwerken met betaaldienstverleners om frauduleuze content te verwijderen.

‍

Vervangt PSD3 PSD2?

‍

Ja. PSD2 en de richtlijn elektronisch geld (EMD2) worden ingetrokken en vervangen door PSD3 en de PSR.

‍

Bronnen: Raad van de EU, documenten ST 8535/26 (betaaldienstenrichtlijn) en ST 8543/26 (betaaldienstenverordening), standpunt in eerste lezing van 21 oktober 2026; voorlopig akkoord tussen de Raad en het Europees Parlement, november 2025; Verordening (EU) 2024/886 betreffende instantoverboekingen.