Mi az a PSD3 és a PSR, és miért számít a pénzügyi szektornak?

Az európai pénzforgalom szabályait 2018 óta a második pénzforgalmi irányelv (PSD2) adja. A Bizottság 2023. június 28-án két javaslatot nyújtott be a felváltására: a harmadik pénzforgalmi irányelvet (PSD3) és a pénzforgalmi szolgáltatásokról szóló rendeletet (PSR).¹

A csomag öt építőelemből áll.

Az első a szolgáltatástípusok listája. A jogszabály hét pénzforgalmi szolgáltatást nevesít, a készpénz be- és kifizetésétől a fizetési eszköz kibocsátásán át a fizetéskezdeményezésig és a számlainformációs szolgáltatásig.² Minden további kötelezettség ehhez a listához kapcsolódik, tehát az első kérdés mindig az, hogy egy tevékenység rákerül-e.

A második az engedélyezési és tőkeréteg, ez a PSD3 tárgya. Itt dől el, ki kaphat engedélyt, mekkora induló tőkével, és hogyan kell az ügyfélpénzt elkülönítve kezelnie. A legnagyobb szerkezeti változás, hogy az e-pénzintézetek megszűnnek önálló kategóriaként, és a pénzforgalmi intézmények alkategóriájává válnak.³

A harmadik a magatartási réteg, ez a PSR tárgya: tájékoztatás, díjak, felelősség, ügyfél-hitelesítés, nyílt bankolás.

A magatartási szabályok rendeletbe emelése a PSD2 legfőbb kritikájára válasz: irányelvként huszonhét nemzeti értelmezést szült.

A negyedik a technikai részletszabályok rétege: a tényleges követelmények jelentős részét az Európai Bankhatóság (EBA) dolgozza ki szabályozástechnikai standardokban, a jogszabály elfogadása után, külön ütemben. Az ötödik a felügyeleti réteg, Magyarországon az MNB jogosítványaival és jelentési kötelezettségeivel.

Ebből következik, hogy nincs egyetlen PSD3-határidő. A kötelezettségek négy sebességgel érkeznek: a rendelet közvetlenül alkalmazandó, az irányelvet a tagállamnak át kell ültetnie, az EBA-standardok később készülnek el, az iránymutatás pedig formálisan nem kötelező, de a felügyelet elvárja a követését. Egy megfelelési terv csak akkor működik, ha ezt a négy sávot külön kezeli.

Az első pénzforgalmi irányelv 2007-ben született, a PSD2 2015-ben, alkalmazása 2018-ban indult. A PSD2 két célt tűzött ki: biztonságosabb fizetéseket az erős ügyfél-hitelesítéssel, és élénkebb versenyt a nyílt bankolással.

A Bizottság 2023-ban közzétett saját felülvizsgálata szerint ezek a célok csak részben teljesültek. A dokumentum négy megoldatlan problémát nevez meg: a fogyasztók továbbra is ki vannak téve a csalásnak, a nyílt bankolás piaca tökéletlenül működik, a nemzeti hatóságok jogosítványai eltérnek, és a banki, valamint nem banki szolgáltatók között nincs egyenlő verseny.⁴

Az azóta eltelt út: parlamenti álláspont 2024. április 23-án, politikai megállapodás a Parlament és a Tanács között 2025. november 27-én, a végleges kompromisszumos szövegek és a tagállami nagykövetek jóváhagyása 2026. április 22-23-án, a parlamenti szakbizottsági szavazás 2026. május 5-én.⁵

Itt érdemes megállni egy valóság-ellenőrzésre. 2026. augusztus 1-jei állapot szerint a PSD3 és a PSR nem hatályos jog. A hivatalos lapban való megjelenés után a rendeletet 18 hónappal, az IBAN-név ellenőrzéshez kötött felelősségi szabályt 24 hónappal később kell alkalmazni, tehát a piac reálisan 2028-cal számol.

A hírekből ennél gyorsabbnak tűnik a folyamat. Egy megállapodásról vagy egy elkészült szövegről mindig jelenik meg cikk, a halasztásról viszont ritkán. A fizetési piac következő éveiről szóló összeállításunk 2026 márciusában rögzítette a csúszást: a piac egy része korábban még 2026-os alkalmazási horizonttal számolt.

A nyílt bankolás állapota szintén elmarad a várttól. A Bizottság felülvizsgálata szerint a banki adathozzáférési felületek minősége és teljesítménye szórt, és a harmadik fél szolgáltatók egy része emiatt továbbra is az ügyfélfelületet használta; 2021-ben mintegy 19 millió nyílt bankolási felhasználó volt az EU-ban.⁴ Az MNB is korlátozottnak nevezi a hazai terjedést, két okkal: a szabályozás nem elég konkrét az adathozzáférési felületekről, és a bankok nem minden esetben érdekeltek az új szereplők kiszolgálásában.⁶

A csalás pedig nem csökken. Az EBA és az EKB közös jelentése szerint az Európai Gazdasági Térségben a bejelentett fizetési csalás értéke 2022-ben 3,4, 2023-ban 3,5, 2024-ben pedig 4,2 milliárd euró volt, és a hitelátutalásoknál keletkezett kár mintegy 85 százalékát a felhasználó viselte.⁷ Ez a 85 százalék magyarázza, miért a felelősség áthelyezése lett a csomag üzletileg legsúlyosabb eleme.

A szabálykönyv kilenc szereplőtípust érint, és a cégnevek ezekben csak példák.

A számlavezető pénzforgalmi szolgáltatók a bankok és a számlát vezető e-pénzintézetek. A nem banki pénzforgalmi intézmények és e-pénzintézetek a PSD3-mal egyetlen kategóriába kerülnek. A harmadik fél szolgáltatók számlainformációs vagy fizetéskezdeményezési szolgáltatást nyújtanak.

Ezek alatt húzódik az adat- és infrastruktúra-réteg: az adathozzáférési felületeket üzemeltető platformok, a klíring- és elszámolóházak és a fizetési rendszerek üzemeltetői. Itt van a csomag egyik legkevésbé tárgyalt, de szerkezetileg legerősebb eleme: az elszámolás véglegességéről szóló irányelv módosítása nem banki szereplőknek is közvetlen hozzáférést nyit a fizetési rendszerekhez.²

Külön réteg a bizalmi és biztonsági szereplőké: a hitelesítést kiszervezve végző technikai szolgáltatók, a csalásadat-megosztási rendszerek és az IBAN-név egyezőséget ellenőrző szolgáltatók. Új szereplőként lépnek be az online platformok és a hírközlési szolgáltatók, amelyek a megszemélyesítéses csalásnál válnak felelősségi ponttá. Ott vannak még a kereskedők és az elfogadói oldal, a független ATM-üzemeltetők, a felügyeletek (MNB, EBA, adatvédelmi hatóságok), és önálló szereplőként az ügyfél, a hozzájárulási felület alanya.

Az értéklánc kulcskérdése két dolog: ki viseli a csalás költségét, és ki fér hozzá az ügyféladathoz. A marzs oda kerül, ahol ez a kettő eldől.

A látható rész a csalásmegelőzés, a tranzakciófigyelés, az ügyfél-hitelesítés és az adathozzáférési felületek üzemeltetése. A csalásszűrésnél a hazai szereplőknek van kiindulópontjuk: a 2025 nyarán induló Központi Visszaélésszűrő Rendszer központi szűrési rétegként épült a banki rendszerek mellé.

A munka nagyobbik része viszont ritkán terem hírt.

1. Megfelelés és jelentésszolgálat. Csalási adatszolgáltatás, az adathozzáférési felületek teljesítménymérése és jelentése, panaszkezelési statisztika.
2. Engedélyezés és ügyfélpénz-védelem. Az e-pénzintézeteknek újra kell engedélyeztetniük magukat; a meglévő engedélyek a hatálybalépéstől számított 24, meghosszabbítás esetén 30 hónapig maradnak érvényben.²
3. Kiszervezés-menedzsment. A hitelesítés harmadik félnek adása kiszervezésnek minősül, a felelősség viszont a szolgáltatónál marad.
4. Díjszabás. A felárazási tilalom kiterjed az uniós átutalásokra és beszedésekre, a devizaátváltási felárat pedig egységesen, az EKB referenciaárfolyamához mért százalékos felárként kell megjeleníteni.
5. Ügyfélszolgálat. Emberi ügyintézőt is biztosítani kell, és csatlakozni kell alternatív vitarendezési rendszerhez.

Az MNB 2025 tavaszán tartott előadása a fejlesztési projektek korai indítását javasolta a hazai szereplőknek, öt kiemelt területtel, köztük a valós idejű csalásszűréssel és a célra rendelt adathozzáférési felületekkel.

1. Felelősségi és költségkockázat. A megszemélyesítéssel elkövetett csalás jóvá nem hagyott műveletnek minősül, ami visszatérítési kötelezettséget keletkeztet. Az IBAN-név eltéréséről szóló figyelmeztetés elmulasztása is a fizető fél szolgáltatójára tolja a kárt.
2. Időzítési kockázat. A lépcsős határidők egyszerre futnak a DORA, a FIDA és az AI Act ütemével. A hazai szereplőknél az első kemény dátum nem a PSD3: az azonnali euró átutalásra és az IBAN-név ellenőrzésre a nem eurózónás tagállamoknak 2027. július 9-ig kell felkészülniük.⁸
3. Auditálhatóság. A tranzakciófigyelésnek és a szolgáltatók közötti csalásadat-megosztásnak visszakereshetőnek kell lennie, és adatvédelmi hatásvizsgálatot igényel. Vitatott marad, kinek kell bizonyítania a súlyos gondatlanságot.
4. Kiszámíthatóság. A végleges szöveg és a részletszabályok között évek telnek el, a korlátozott hálózati kivétel szűkítése pedig egyes szereplőket engedélykötelessé tehet.
5. Fogyasztóvédelem és kirekesztés. Az okostelefonhoz kötött hitelesítés kiszorítja a digitálisan kevésbé képzett, idős vagy fogyatékossággal élő ügyfeleket. A PSR ezért legalább egy alternatív hitelesítési út biztosítását írja elő.² Ugyanez merül fel az ügynöki fizetéseknél: az AI-ügynök nem tud ujjlenyomatot adni, így a hitelesítés jogi konstrukciója külön rendezést kíván.
6. Verseny és koncentráció. Az adathozzáférési felület fejlesztése fix költség, amely a kisebb szereplőt arányosan jobban sújtja. Az EKB 2024. április 30-i véleménye a nagy technológiai szereplők koncentrációs kockázatára is figyelmeztetett.⁹

Az alábbiak forgatókönyvek, nem előrejelzések. Mindegyikhez tartozik megfigyelhető jelzőesemény.