PSD2 vormt sinds 2019 de regelgevende basis van Europese online betalingen. Strong Customer Authentication, 3DS2, transactierisicoanalyse-vrijstellingen, inmiddels hebben de meeste Nederlandse online retailers de frictie geabsorbeerd en hun checkoutflows daarop aangepast.
Maar PSD2 wordt vervangen. PSD3 en de bijbehorende Payment Services Regulation (PSR) komen eraan, en de tijdlijn is strakker dan veel retailers beseffen.
Waar PSD2 nu staat
PSD2 introduceerde Strong Customer Authentication als meest zichtbare verandering voor e-commerce. Elke online transactie boven de €30 vereist dat de consument zijn identiteit verifieert aan de hand van twee van drie factoren: iets wat hij weet, iets wat hij heeft, of iets wat hij is. De bedoeling was fraude te verminderen. Het neveneffect was checkoutfrictie, en voor veel retailers een meetbare daling in conversie.
De vrijstellingen, transactierisicoanalyse, laagwaardige transacties, terugkerende betalingen, merchant-initiated transactions, boden enige verlichting, maar de toepassing ervan varieerde aanzienlijk per PSP en acquirer. Het implementeren van de juiste vrijstellingsstrategie is een van de meest commercieel waardevolle optimalisatiehefbomen die online retailers ter beschikking staan.
Wat PSD3 en de PSR veranderen
In november 2025 bereikten het Europees Parlement en de Raad van de EU een voorlopig politiek akkoord over PSD3 en de PSR. Op 23 april 2026 publiceerde de Raad de definitieve compromisteksten, waarmee de inhoud van de regels vaststaat. Wat resteert is procedureel: juridisch-linguïstische toetsing, formele aanname door Parlement en Raad, en publicatie in het Publicatieblad, verwacht in de tweede helft van 2026. De regels zijn vervolgens 21 maanden na inwerkingtreding van toepassing, wat realistisch neerkomt op 2028. De bepalingen over verificatie van de begunstigde, artikel 50 en 57 van de PSR, gelden 27 maanden na inwerkingtreding.
De meest significante structurele verandering is de introductie van de PSR als rechtstreeks toepasselijke verordening in alle EU-lidstaten. Waar PSD2 nationale omzetting vereiste, met fragmentatie en inconsistente interpretatie als gevolg, stelt de PSR uniforme regels die rechtstreeks van toepassing zijn zonder nationale wetgeving. Voor retailers die in meerdere Europese markten actief zijn, is dit een betekenisvolle vereenvoudiging.
Belangrijke wijzigingen voor online retailers:
Strengere aansprakelijkheidsregels voor fraude. PSPs krijgen te maken met strengere verplichtingen rond fraudepreventie en aansprakelijkheid, met name voor APP-fraude en geautoriseerde pushbetalingsfraude. Het aansprakelijkheidskader verschuift op een manier die van invloed zal zijn op de prijsstelling en fraudecontroles van PSPs.
IBAN-naamverificatie. De IBAN-naamcheck, al ingevoerd onder de Verordening Directe Betalingen, wordt een standaardvereiste. Dit vermindert verkeerd geleide betalingen maar voegt een verificatiestap toe aan betaalinitiatieflows.
Verbeterde SCA-vrijstellingen. De PSR verfijnt het kader voor transactierisicoanalyse. De verwachting is dat de herziene regels retailers en PSPs meer ruimte geven om vrijstellingen intelligent toe te passen, waardoor onnodige authenticatiefrictie bij laagrisicotransacties wordt verminderd.
Uniforme vergunningverlening voor betaalinstellingen en e-geldinstellingen. PI- en EMI-vergunningen worden samengevoegd onder PSD3, wat het regelgevende landschap voor betaaldienstverleners vereenvoudigt. Voor retailers betekent dit in de praktijk dat hun PSPs hun juridische entiteiten en serviceovereenkomsten mogelijk herstructureren tijdens de overgangsperiode.
Wat dit nu betekent voor uw betaalsetup
PSD3 en de PSR zijn op het huidige tijdpad niet vóór 2028 van toepassing. Maar de inhoud staat nu vast, dus inhoudelijk valt er niets meer af te wachten, en de termijn van 21 maanden begint zodra de teksten in het Publicatieblad verschijnen. Plannen op basis van de overeengekomen tekst kan vandaag al.
Voor Nederlandse online retailers is de prioriteit nu niet PSD3-compliance. Het gaat erom dat de huidige PSD2-setup daadwerkelijk geoptimaliseerd is voordat de nieuwe regels van kracht worden. Autorisatiepercentages, 3DS-routing, vrijstellingsstrategieën en PSP-contractvoorwaarden zijn allemaal gebieden waar onder het huidige kader aanzienlijke waarde blijft liggen.
Wanneer PSD3 en de PSR van kracht worden, moeten de commerciële voorwaarden met uw PSP sowieso opnieuw worden onderhandeld. Nu beginnen, met een helder beeld van uw huidige prestaties en kostenstructuur, geeft u een aanzienlijk sterkere uitgangspositie.
Conclusie
PSD2 veranderde hoe Europeanen online betalen. PSD3 en de PSR veranderen hoe de regels worden gemaakt en gehandhaafd. Voor retailers is de overgang een kans om de commerciële relatie met uw betaaldienstverleners te herdefiniëren voordat het nieuwe kader nieuwe voorwaarden vastlegt.
Wilt u weten wat uw huidige PSD2-setup u daadwerkelijk kost aan gemiste conversies en te hoge kosten, voordat PSD3 van kracht wordt? Dat is precies wat EcomStream in kaart brengt.
Dit is geen puur compliancevraagstuk. SCA-uitzonderingen, TRA-drempels en de manier waarop uw provider ze toepast bepalen hoeveel van uw verkeer een challenge krijgt en hoeveel er converteert, en daarom leveren dezelfde regels bij twee even grote merchants heel verschillende authorisation rates op. Dat verschil is meetbaar, en het dichten ervan is wat payment performance-optimalisatie doet.
Laatst getoetst op 16 augustus 2026 aan de definitieve compromisteksten van de Raad van 23 april 2026.
