PSD3 и PSR: новые правила платежей, текущий статус и что изменится

Gregory Lutsenko

09.10.2025 | 6 мин чтения

Обновлено: 15.10.2026

Совет ЕС и Европейский парламент политически согласовали пакет 27 ноября 2025 года. Весной 2026 года стороны подтвердили окончательные компромиссные тексты. Формальное принятие ещё впереди, а новые правила начнут применяться только после переходного периода.

Ниже разобрано, на какой стадии процедура, что PSD2 требует уже сегодня и что изменит согласованный текст. Изменения затронут безопасность бизнеса, аутентификацию клиентов и доступ к данным.

Что такое PSD3 и PSR и на какой стадии они находятся

Директива PSD3 регулирует допуск на рынок: авторизацию платёжных учреждений и надзор за ними. Регламент PSR задаёт правила оказания услуг: раскрытие информации, права сторон, ответственность и защиту от мошенничества. Регламент будет действовать напрямую во всех государствах ЕС, без переноса в национальные законы.

Хронология: от проекта до применения

• 28 июня 2023 года Европейская комиссия внесла проекты PSD3 и PSR.
• 23 апреля 2024 года Европейский парламент принял позицию в первом чтении.
• 18 июня 2025 года Совет ЕС утвердил мандат на переговоры, трилоги начались 9 июля 2025 года.
• 27 ноября 2025 года Совет и Парламент достигли предварительного политического соглашения.
• 22 апреля 2026 года Комитет постоянных представителей (COREPER) подтвердил окончательные компромиссные тексты.
• 5 мая 2026 года эти тексты одобрил экономический комитет Парламента (ECON).

Дальше процедура идёт по схеме соглашения на раннем втором чтении: Совет принимает позицию в первом чтении, затем Парламент утверждает её во втором. На 15 октября 2026 года обе процедуры, 2023/0209(COD) и 2023/0210(COD), в базе Парламента OEIL ожидают позиции Совета в первом чтении.

Сроки отсчитываются от публикации в Official Journal. Оба акта вступают в силу на двадцатый день после неё. PSD3 государства ЕС должны перенести в своё право и применять через 21 месяц после вступления в силу. PSR применяется в тот же срок, а правила о сверке имени получателя и IBAN (ст. 50 и 57 PSR) — через 27 месяцев.

Что PSD2 требует уже сегодня

PSD2 применяется с 13 января 2018 года и остаётся обязательной до конца переходного периода. Главное для платёжной компании:

• лицензия платёжного учреждения с начальным капиталом 20 000 EUR только для денежных переводов, 50 000 EUR для инициирования платежей и 125 000 EUR для услуг 1–5 приложения I (ст. 7);
• для учреждения электронных денег — начальный капитал не менее 350 000 EUR (ст. 4 Директивы 2009/110/EC);
• строгая аутентификация клиента (SCA) при входе в счёт онлайн, при электронном платеже и при рискованных действиях через удалённый канал (ст. 97);
• ответ на жалобу клиента не позднее 15 рабочих дней, в исключительных случаях — не позднее 35 рабочих дней (ст. 101).

Ещё два требования действуют по Регламенту (ЕС) 2024/886. С 9 октября 2025 года PSP еврозоны обязаны предлагать плательщику проверку получателя при кредитовых переводах в евро, за пределами еврозоны срок — 9 июля 2027 года. С 9 апреля 2025 года платёжные учреждения и учреждения электронных денег могут просить участия в системах, назначенных по Директиве 98/26/EC.

PSD2 сегодня и согласованный текст PSD3/PSR

Правый столбец таблицы пока не применяется: он станет обязательным только после публикации и переходного периода.

Основные изменения PSD3 и PSR по согласованному тексту

Ниже — только то, что прямо записано в компромиссных текстах. Номера статей даны по этим текстам, в опубликованной версии нумерация может отличаться.

Одна авторизация вместо двух лицензий

PSD3 объединит режимы платёжных учреждений и учреждений электронных денег: выпуск электронных денег станет одной из платёжных услуг. Учреждение электронных денег, прошедшее проверку регулятора, будет считаться авторизованным платёжным учреждением (ст. 45 PSD3). Новые суммы капитала приведены в таблице. Если учреждение совмещает хотя бы две из этих групп услуг — инициирование платежей, услуги пунктов 1–5, выпуск электронных денег, — суммы складываются (ст. 5 PSD3).

Строгая аутентификация клиентов (SCA)

SCA понадобится и при создании токенизированного платёжного инструмента, повышении лимитов, смене пароля или контактных данных онлайн (ст. 85 PSR). Удалённый платёж по-прежнему привязывается к сумме и получателю.

Новое требование — доступность. У каждого клиента должен быть хотя бы один бесплатный способ пройти SCA, подходящий его ситуации. SCA нельзя ставить в зависимость только от смартфона, если клиент не согласился на обслуживание исключительно через приложение (ст. 88 PSR).

Ответственность за мошенничество от имени банка

Если потребителя обманул мошенник, выдавший себя за его банк или платёжную компанию через их каналы связи, провайдер возвращает полную сумму операции (ст. 59 PSR). Условие — клиент без промедления сообщил провайдеру о мошенничестве и подал заявление в полицию.

На решение у провайдера 15 рабочих дней после уведомления и получения заявления в полицию. Отказать он может при объективных основаниях подозревать мошенничество или грубую небрежность клиента, и доказывать это должен провайдер. Норма дополняет права потребителей на возврат несанкционированных платежей, которые уже есть в PSD2.

Обмен информацией о мошенничестве между PSP

PSP должны участвовать в соглашениях об обмене данными о мошенничестве (ст. 83a PSR). Обмен допускается при объективных основаниях подозревать мошенничество клиента и после оценки воздействия на защиту данных по GDPR. Данные хранят не дольше 5 лет после подозрительной операции. Закрыть счёт только на основании чужих данных нельзя: провайдер должен сам их оценить.

Прозрачность комиссий и банкоматы

Тот, кто выдаёт наличные через банкомат, должен до начала операции показать на экране все комиссии, включая плату за конвертацию (ст. 7 PSR). По сообщению Совета ЕС, компании, которые обеспечивают торговцам приём карт, должны будут ясно раскрывать свои комиссии.

Сверка имени получателя и IBAN

PSR распространит проверку получателя на все кредитовые переводы, в том числе вне сферы Регламента (ЕС) № 260/2012 (ст. 50 PSR). Если провайдер не выполнил проверку и из-за этого платёж исполнен неправильно, он без промедления возвращает плательщику сумму (ст. 57 PSR). Обе статьи начнут применяться через 27 месяцев после вступления PSR в силу.

Доступ к банковским счетам и платёжным системам

Банк сможет отказать платёжному учреждению в счёте или закрыть его только по основаниям ст. 32 PSR. Среди них — нарушение Регламента (ЕС) 2024/1624 о борьбе с отмыванием денег, существенное нарушение договора и непредставленные документы. Об отказе банк сообщает с конкретными причинами не позднее месяца после полной заявки, о закрытии — минимум за 4 месяца. При основании, связанном с отмыванием денег, банк не раскрывает подробностей и может закрыть счёт с более коротким уведомлением.

Операторы платёжных систем должны публиковать правила допуска и критерии оценки рисков (ст. 31 PSR). Отказать в участии можно только при рисках для системы и с полным обоснованием.

Открытый банкинг и доступ к данным

Провайдер, который ведёт доступный онлайн платёжный счёт, должен иметь хотя бы один выделенный интерфейс для провайдеров инициирования платежей и информации о счёте (ст. 35 PSR). Препятствия в работе интерфейса запрещены (ст. 44 PSR). Клиент получит панель согласий: увидит, кому дал доступ, и сможет его отозвать (ст. 43 PSR).

Наличные в магазинах и независимые банкоматы

Магазины смогут выдавать наличные без покупки и без авторизации платёжного учреждения (ст. 37 PSD3). Лимит — 150 EUR за одну выдачу, государство может снизить его, но не ниже 100 EUR. Нужна строгая аутентификация клиента, комиссию называют заранее.

Операторы банкоматов, которые не ведут платёжные счета, регистрируются у регулятора до начала работы (ст. 38 PSD3). Для регистрации они описывают организацию, аудит и меры операционной устойчивости по Регламенту (ЕС) 2022/2554 (DORA).

Влияние PSD3 и PSR на трансграничные платежи

Оценка Комиссии выявила разное применение и толкование PSD2 в государствах ЕС, что поощряло регуляторный арбитраж. Компромиссный текст прямо называет недопустимым «forum shopping» — выбор страны с самым мягким применением правил для работы в других государствах.

Поэтому правила ведения бизнеса перейдут в регламент PSR, единый для всего ЕС, а в директиве PSD3 остаются авторизация и надзор. Для компании с паспортом в нескольких странах это означает одинаковые требования к раскрытию информации, ответственности и SCA. Сверка имени и IBAN станет общей для всех кредитовых переводов, а не только для переводов в евро.

Очень крупные онлайн-платформы и поисковые системы должны будут отказывать в рекламе финансовой услуги без номера лицензии или регистрации рекламодателя либо иного подтверждения авторизации (ст. 59b PSR).

Как подготовиться к PSD3 и PSR

Перестраивать процессы сейчас рано: окончательные тексты не опубликованы. Но план уже можно строить по компромиссному тексту и срокам переходного периода.

Переходный период для действующих лицензий

Платёжные учреждения с лицензией по PSD2 смогут работать по ней до истечения 27 месяцев после вступления PSD3 в силу (ст. 44 PSD3). Они должны представить регулятору сведения для проверки соответствия новым требованиям. При полном соответствии лицензия будет считаться выданной по PSD3, а при готовых доказательствах регулятор может авторизовать учреждение автоматически.

Для учреждений электронных денег порядок такой же (ст. 45 PSD3). Кто не подтвердит соответствие в срок, будет приостановлен до проверки недостающих сведений. Если сведения поданы, но регулятор не успел их рассмотреть, он может в виде исключения продлить срок не более чем на 3 месяца (ст. 45a PSD3).

Gap-анализ: с чего начать

• Сопоставьте лицензию и услуги с приложением I PSD3, проверьте новый минимум капитала и переход учреждения электронных денег.
• Проверьте сценарии SCA: новые случаи, способ без смартфона, бесплатный доступ для всех клиентов.
• Обновите процедуры по мошенничеству: возвраты по ст. 59 PSR, обмен данными, мониторинг операций.
• Запланируйте сверку имени и IBAN для всех кредитовых переводов, включая валюты кроме евро.
• Пересмотрите раскрытие комиссий в договорах, на сайте и в банкоматах.

Анализ полезно совместить с проверкой текущего соответствия PSD2 и требованиям AML: регуляторы проверяют действующие правила уже сейчас. О том, как подготовиться к такой проверке и избежать штрафов, есть отдельный материал.

Лицензия, полученная до даты применения PSD3, выдаётся по PSD2 и тоже пройдёт переход по ст. 44 или 45 PSD3. Это стоит учитывать уже при выборе юрисдикции — см. раздел Лицензирование.

Инновации и будущее платежей с PSD3 и PSR

Производители мобильных устройств и операторы связи должны дать PSP доступ к техническим функциям, нужным для безопасных платежей, на справедливых, разумных и недискриминационных условиях (ст. 88a PSR).

PSR охватит и операции с токенами электронных денег. Если по операции с расчётом в распределённом реестре провайдер по не зависящим от него причинам не может дать точную информацию, он сообщает обоснованную оценку до авторизации платежа (ст. 67a PSR). Переходные правила для таких токенов (ст. 108a PSR) действуют со дня вступления регламента в силу.

С того же дня действует исключение из SCA для отдельных регулярных кредитовых переводов по договору плательщика с получателем (ст. 85a PSR). Детали SCA и выделенных интерфейсов для открытого банкинга определят технические стандарты EBA (ст. 89 PSR).

Выводы и рекомендации для руководителей

• PSD3 и PSR согласованы, но не приняты: сегодня действуют PSD2, Директива 2009/110/EC и национальные законы.
• Применение начнётся через 21 месяц после вступления в силу, сверка имени и IBAN по PSR — через 27 месяцев.
• Действующие лицензии продолжат работать в переходный период, но регулятору понадобятся сведения о соответствии.
• Главные изменения: одна авторизация, новый капитал, SCA, ответственность за мошенничество, доступ к счетам и данным.
• Подготовку разумно начать с gap-анализа по согласованному тексту.