Hvad PSD3 betyder for danske butiksejere (kort version).

Det korte svar

PSD3 er efterfølgeren til PSD2 — det EU-regelsæt, der i sin tid gav os stærk kundeautentifikation (det ekstra godkendelsestrin ved online-køb) og åbnede bankdata for tredjeparter. PSD3 er en justering, ikke en revolution: strammere tilsyn med betalingsvirksomheder, bedre svindelbeskyttelse og mere smidige sikkerhedskrav online. For en dansk butik eller webshop er den vigtigste nyhed, at din leverandør skal løfte arbejdet — ikke dig.

Hvad PSD3 og PSR overhovedet er

EU-Kommissionen fremlagde i 2023 en pakke med to dele:

• PSD3 — et direktiv om, hvem der må udbyde betalingstjenester, og hvordan de licenseres og føres tilsyn med. Skal omsættes til dansk lov, før det gælder her.
• PSR — en forordning med reglerne for selve betalingerne (sikkerhed, svindel, dataadgang). Den gælder direkte i alle EU-lande uden dansk mellemled — så reglerne bliver ens i hele EU.

Pakken er stadig på vej gennem EU's lovgivningsmaskine, og datoerne har flyttet sig flere gange undervejs. Det vigtige er ikke hvornår, men hvad: når reglerne træder i kraft, følger der en overgangsperiode på omkring halvandet år, før de gælder i praksis. Ingenting sker fra den ene dag til den anden.

I kassen: stort set ingenting

Fysisk kortbetaling er den del, PSD3 rører mindst ved:

• Din terminal bliver ved med at virke. Der kommer ikke krav om ny hardware på grund af PSD3.
• Kontaktløs betaling fortsætter som i dag — reglerne om, hvornår kunden skal taste PIN, justeres på leverandør-niveau, ikke i din kasse.
• Eventuelle ændringer lander som softwareopdateringer hos din indløser og terminal-leverandør. Det er deres compliance-opgave, ikke din.

I webshoppen: mere smidig sikkerhed

Online er der tre ting, der er værd at kende:

1. 1. Smartere stærk kundeautentifikation.
   PSD2's godkendelsestrin bliver mere fleksibelt: flere lavrisiko-køb kan godkendes uden ekstra friktion, og tilgængeligheden skal være bedre for kunder uden smartphone. Færre afbrudte køb i din checkout — uden at du ændrer noget.
2. 2. Hårdere kamp mod svindel.
   Bedre datadeling om svindel mellem betalingsvirksomheder og udvidet ansvar ved f.eks. spoofing-svindel, hvor svindlere udgiver sig for at være banken. Det beskytter primært dine kunder — og færre svindelramte kunder betyder færre chargebacks hos dig.
3. 3. Konto-til-konto-betaling modnes.
   Reglerne for betalinger direkte fra kundens bankkonto (open banking) strammes op, bl.a. med tjek af, at kontonavn og kontonummer stemmer overens. På sigt kan det give webshops et reelt alternativ til kortet — noget, vi holder øje med for vores kunder.

Det, der ikke ændrer sig

• Gebyr-lofterne består. EU's interchange-lofter på forbrugerkort (0,2 % debet / 0,3 % kredit) ligger i en helt anden forordning og påvirkes ikke af PSD3.
• Din indløsningsaftale fortsætter. Der er intet i pakken, der kræver, at du genforhandler eller skifter aftale.
• Dine kunders kort virker. Visa, Mastercard, MobilePay, Apple Pay og Google Pay fortsætter som hidtil.
• Kravene til dig som forretning er i praksis uændrede. Compliance-byrden lander hos betalingsvirksomhederne — banker, indløsere og udbydere som os.

Hvad du skal gøre nu (ingenting — næsten)

• ✓ Ingenting i kassen. Ingen ny hardware, ingen nye rutiner.
• ✓ Ingenting i webshoppen — men forvent, at din betalingsudbyder ruller opdateringer ud, når reglerne er endelige.
• ✓ Ét sundt tjek: Ved du, hvem der er ansvarlig for compliance i din betalingskæde? Hvis svaret er "det ved jeg ikke", så spørg din leverandør. Svaret bør være "det er os".