PSD3 i PSR: uzgodnione finalne teksty. Nowe obowiązki dla instytucji płatniczych 

23 kwietnia 2026 r. Rada UE opublikowała uzgodnione finalne teksty trzeciej dyrektywy o usługach płatniczych (PSD3) i rozporządzenia o usługach płatniczych (PSR) (dokumenty 8221/26 i 8222/26), pakietu, który zastąpi PSD2. Po wstępnym porozumieniu politycznym z 27 listopada 2025 r. i zatwierdzeniu tekstów przez Radę (COREPER) 22 kwietnia 2026 r. treść nowego unijnego prawa płatniczego jest już przesądzona przed formalnym przyjęciem i publikacją w Dzienniku Urzędowym UE, spodziewaną w połowie 2026 r.

Ten przewodnik omawia, co dokładnie zawierają uzgodnione teksty – nową strukturę, reautoryzację istniejących licencji, ochronę środków, odpowiedzialność za oszustwa i open banking – oraz co to oznacza dla instytucji płatniczych i pieniądza elektronicznego działających w Polsce lub na rzecz polskich klientów, w tym grup z Wielkiej Brytanii i USA.

Co oznaczają finalne uzgodnienia PSD3 i PSR dla rynku płatniczego?

Pakiet płatniczy zaproponowała Komisja 28 czerwca 2023 r. jako dwa akty: PSD3 (dyrektywę) i PSR (rozporządzenie). Po długich negocjacjach trójstronnych Parlament Europejski i Rada osiągnęły wstępne porozumienie polityczne pod koniec listopada 2025 r. Komitet Stałych Przedstawicieli Rady (COREPER) zatwierdził teksty z trilogu 22 kwietnia 2026 r., a uzgodnione finalne teksty opublikowano 23 kwietnia 2026 r.

Pozostała część jest w dużej mierze proceduralna: weryfikacja prawno-językowa, formalne przyjęcie przez oba organy oraz publikacja w Dzienniku Urzędowym UE, spodziewana w drugiej połowie 2026 r.

PSR zacznie być stosowane po 21 miesiącach od wejścia w życie – przy czym przepisy o weryfikacji odbiorcy (art. 50 i 57 PSR) po 27 miesiącach – a PSD3 wymaga transpozycji do prawa krajowego w tym samym, 21-miesięcznym terminie – co realnie wskazuje na 2028 r. Najważniejsze dla rynku jest to, że treść przepisów jest już faktycznie ustalona, więc firmy mogą się pod nią przygotowywać.

PSD3 i PSR zamiast PSD2: nowa struktura regulacji usług płatniczych w UE

Najbardziej fundamentalna zmiana w uzgodnionych tekstach jest strukturalna. PSD2 (dyrektywa (UE) 2015/2366) jest dyrektywą, którą każde państwo członkowskie wdrożyło do prawa krajowego – w Polsce ustawą z 19 sierpnia 2011 r. o usługach płatniczych – co doprowadziło do rozbieżności przepisów w UE. 

Nowy pakiet dzieli materię na dwa akty. PSR jest rozporządzeniem: stosuje się bezpośrednio w każdym państwie, bez transpozycji, i reguluje zasady prowadzenia działalności – obowiązki informacyjne, prawa i odpowiedzialność użytkowników i dostawców, silne uwierzytelnianie klienta (SCA), open banking, przeciwdziałanie oszustwom oraz dostęp do systemów płatności.

PSD3 pozostaje dyrektywą: reguluje zezwolenia, kapitał, ochronę środków, ład korporacyjny i nadzór nad instytucjami płatniczymi i wymaga transpozycji do prawa polskiego. Efektem jest znacznie większa harmonizacja zasad prowadzenia działalności w UE, a swoboda krajowa ogranicza się głównie do zezwoleń i nadzoru.

Jak PSD3 zmieni zasady działania instytucji pieniądza elektronicznego po uchyleniu EMD2?

Jednym z najbardziej strukturalnych punktów w tekstach jest integracja pieniądza elektronicznego. Pakiet uchyla drugą dyrektywę o pieniądzu elektronicznym (EMD2, dyrektywa 2009/110/WE) i włącza instytucje pieniądza elektronicznego do reżimu instytucji płatniczych jako ich podkategorię. 

W praktyce instytucje pieniądza elektronicznego będą podlegać tym samym ramom zezwoleń, ostrożnościowym i prowadzenia działalności co instytucje płatnicze, ze szczególnymi zasadami emisji i wykupu pieniądza elektronicznego. Istniejące instytucje pieniądza elektronicznego powinny wcześnie zmapować różnice między obecnymi uprawnieniami opartymi na EMD2 a nowymi wymogami PSD3.

Reautoryzacja licencji PSD2 i EMD2 – nowe obowiązki instytucji płatniczych

To punkt, który najbardziej bezpośrednio dotyczy podmiotów już obecnych na rynku. W reżimie przejściowym przewidzianym w tekstach zezwolenia udzielone na podstawie PSD2 i EMD2 nie będą po prostu obowiązywać bezterminowo. 

Nowi wnioskodawcy będą musieli spełnić wymogi PSD3 od początku. Dla grup działających w całej UE to także okazja do uporządkowania licencji i paszportów.

Ochrona środków klientów, wymogi kapitałowe i ład korporacyjny – kluczowe obszary oceny KNF

Teksty zaostrzają stronę ostrożnościową. Należy spodziewać się wyższych wymogów w zakresie funduszy własnych i kapitału założycielskiego, bardziej szczegółowego programu działalności oraz surowszych wymogów ładu korporacyjnego i outsourcingu, zgodnych z rozporządzeniem o operacyjnej odporności cyfrowej (DORA). 

Szczególny nacisk położono na ochronę środków klientów: zasady różnicują i zaostrzają sposób ochrony środków (m.in. wyodrębnienie, dopuszczalne rachunki zabezpieczające oraz opcję ubezpieczenia lub gwarancji), adresują ryzyko koncentracji i wymagają planów wygaszania działalności.

Dla pieniądza elektronicznego i napływających środków spodziewane są ostrzejsze zasady terminowe. To dokładnie te obszary, które KNF bada przy udzielaniu zezwolenia.

PSR a oszustwa płatnicze: nowe zasady odpowiedzialności za spoofing i fraud

PSR istotnie wzmacnia zasady antyfraudowe i przesuwa odpowiedzialność. Silne uwierzytelnianie klienta (SCA) zostaje doprecyzowane, z uwzględnieniem dostępności i outsourcingu. Mechanizm weryfikacji odbiorcy („sprawdzenie zgodności numeru IBAN i nazwy”) – wprowadzony już dla przelewów w euro (zwykłych i natychmiastowych) rozporządzeniem o płatnościach natychmiastowych (w strefie euro stosowany od 9 października 2025 r., a dla dostawców z państw spoza strefy euro, w tym z Polski, od 9 lipca 2027 r.) – zostaje rozszerzony na wszystkie przelewy, tak aby dostawcy musieli ostrzegać użytkowników o niezgodności przed wykonaniem przelewu. 

Co istotne, teksty wprowadzają nową odpowiedzialność za oszustwa typu „spoofing” (podszywanie się): gdy oszust podszywa się pod dostawcę (np. podrabiając jego nazwę lub numer) i spełnione są określone warunki, dostawca może być zobowiązany do zwrotu środków klientowi. Dostawcy będą też odpowiadać, jeśli nie wdrożą odpowiednich mechanizmów przeciwdziałania oszustwom, a wymiana danych o oszustwach między dostawcami zostaje ułatwiona.

Uzgodnione teksty przesądziły też kilka spornych kwestii dotyczących zakresu. Nakładają na bardzo duże platformy internetowe i wyszukiwarki (w rozumieniu aktu o usługach cyfrowych) obowiązek weryfikacji, czy reklamodawcy usług finansowych posiadają wymagane zezwolenie, oraz dają dostawcom prawo regresu wobec platform internetowych, które po zawiadomieniu nie usunęły oszukańczych treści – podczas gdy szersza nowa odpowiedzialność dostawców usług technicznych, postulowana w toku negocjacji, ostatecznie nie została wprowadzona.

PSR zmienia open banking. Co dalej z FiDA i open finance?

PSR ulepsza open banking. Dostawcy prowadzący rachunki płatnicze muszą zapewnić niezawodne interfejsy dostępu do danych, usunąć przeszkody w dostępie oraz dać użytkownikom „pulpit uprawnień” (permission dashboard) do zarządzania udzielonym dostępem. 

Celem jest, aby open banking działał w praktyce. Szersze przejście do „open finance” – dostępu do szerszego zakresu danych finansowych – znajduje się w trzecim elemencie pierwotnego pakietu, rozporządzeniu o dostępie do danych finansowych (FiDA), które jest wciąż w negocjacjach i ma pojawić się odrębnie.

PSD3 i PSR zawężają wyłączenie ograniczonej sieci i agenta handlowego

Teksty zaostrzają dwa wyłączenia, na których opiera się wiele firm. Wyłączenie ograniczonej sieci –wykorzystywane przez karty podarunkowe i systemy zamknięte – zostaje zawężone: instrument musi być używalny wyłącznie w ramach „pojedynczej ograniczonej sieci”, co jest surowszym testem niż dotychczas, a zasady ujednolicają sposób obliczania progu zgłoszeniowego.

Wyłączenie agenta handlowego, na którym opierają się niektóre platformy, zostaje doprecyzowane, a Europejski Urząd Nadzoru Bankowego ma wydać wytyczne. Firmy, które dziś pozostają poza reżimem na tych podstawach, powinny ponownie sprawdzić, czy nadal się kwalifikują.

Nowe regulacje płatnicze: PSD3 i PSR wobec MiCA i DORA

Pakiet zaprojektowano tak, by współgrał z rozporządzeniem o rynkach kryptoaktywów (MiCA): przepisy koordynują traktowanie tokenów pieniądza elektronicznego (EMT), aby ta sama działalność nie była regulowana dwukrotnie, a dostawca z zezwoleniem na podstawie PSD3 może świadczyć określone usługi związane z EMT, na określonych warunkach i w trybie notyfikacji, bez odrębnej licencji, natomiast dostawcy usług w zakresie kryptoaktywów posiadający już zezwolenie MiCA skorzystają z uproszczonej procedury autoryzacyjnej na gruncie PSD3 . 

DORA nadal reguluje odporność operacyjną i ICT tych samych instytucji. Bezpośredni udział instytucji płatniczych i pieniądza elektronicznego w wyznaczonych systemach płatności umożliwiła już nowelizacja dyrektywy o ostateczności rozrachunku dokonana rozporządzeniem o płatnościach natychmiastowych; PSR uzupełnia tę zmianę, harmonizując warunki dostępu do systemów płatności i gwarantując niedyskryminacyjny dostęp do rachunków w instytucjach kredytowych – co stanowi istotną zmianę konkurencyjną względem banków.

Jak przygotować instytucję płatniczą do PSD3 i PSR? Najważniejsze działania

Mimo stosowania dopiero ok. 2028 r. przygotowania należy zacząć teraz. 

W praktyce warto:

• zmapować obecne zezwolenie (instytucja płatnicza, mała instytucja płatnicza, instytucja pieniądza elektronicznego) i przygotować się do jego ponownego potwierdzenia zgodnie z PSD3;
• przeprowadzić analizę luk w zakresie kapitału, ochrony środków, SCA, przeciwdziałania oszustwom i odpowiedzialności, ładu korporacyjnego oraz interfejsów open banking;
• ponownie zweryfikować korzystanie z wyłączenia ograniczonej sieci lub wyłączenia agenta handlowego, które teksty zawężają;
• zaktualizować regulaminy, umowy z agentami i dostawcami usług technicznych oraz IT stojące za SCA, weryfikacją odbiorcy i open bankingiem;
• jeśli jesteś instytucją pieniądza elektronicznego – zaplanować przejście do reżimu instytucji płatniczych.

Reautoryzacja instytucji płatniczych w UE – kiedy warto skonsultować się z prawnikiem?

Strategia reautoryzacji, struktury ochrony środków, podział odpowiedzialności za oszustwa i decyzje paszportowe niosą realne konsekwencje prawne i biznesowe, a przepisy przejściowe są szczegółowe. Wsparcie prawne jest wskazane, gdy oceniasz, czy lepszą drogą jest ponowny wniosek czy wykazanie zgodności, gdy przebudowujesz ochronę środków lub umowy, albo gdy planujesz ekspansję w całej UE na nowym paszporcie.

Aktualne polskie ramy licencyjne opisujemy w przewodnikach Electronic Money Institution, Small Payment Institutions in Poland oraz DORA for Financial Entities in Poland; szerszy obraz znajdziesz w przewodniku FinTech in Poland.

Najczęstsze pytania o PSD3 i PSR: terminy, licencje i obowiązki

Co dokładnie opublikowano 23 kwietnia 2026 r.?

Uzgodnione finalne teksty PSD3 i PSR – wersję ustaloną w trilogu (dokumenty Rady 8221/26 dla PSR i 8222/26 dla PSD3). Wymagają jeszcze weryfikacji prawno-językowej, formalnego przyjęcia (stanowisko Rady w pierwszym czytaniu, następnie drugie czytanie w Parlamencie) i publikacji w Dzienniku Urzędowym UE (spodziewanej w drugiej połowie 2026 r.), ale ich treść jest już faktycznie przesądzona.

Od kiedy PSD3 i PSR zaczynają obowiązywać?

Po publikacji w Dzienniku Urzędowym UE (spodziewanej w drugiej połowie 2026 r.) PSR stosuje się po 21 miesiącach od wejścia w życie (weryfikacja odbiorcy: po 27 miesiącach), a PSD3 po transpozycji krajowej w tym samym 21-miesięcznym terminie – realnie w 2028 r.

Czy istniejące instytucje płatnicze potrzebują nowej licencji na gruncie PSD3?

Niekoniecznie zupełnie nowej licencji, ale będą musiały w okresie przejściowym (do 27 miesięcy) zweryfikować i ponownie potwierdzić zezwolenie – albo składając wniosek ponownie, albo wykazując zgodność z nowymi standardami PSD3. Podmioty, które nic nie zrobią, ryzykują utratę prawa do działania.

Nasz zespół FinTech wspiera instytucje płatnicze, instytucje pieniądza elektronicznego i fintechy w kompleksowym przygotowaniu do PSD3 i PSR – od analizy luk i strategii reautoryzacji, przez ochronę środków, SCA, open banking i odpowiedzialność za oszustwa, po dostosowanie umów oraz systemów IT.

Regularnie doradzamy również grupom z Wielkiej Brytanii i USA, które działają lub planują rozpoczęcie działalności na rynku polskim i unijnym.
Skontaktuj się z nami, aby ocenić wpływ nowych regulacji na Twoją działalność i zaplanować proces dostosowania.