PSD3/PSR im Überblick:
Von regulatorischer Sicherheit zu strategischer Payments-Transformation

• Mit Inkrafttreten der PSD3 verliert die E‑Geld‑Richtlinie (EMD2) ihre Gültigkeit. Die bisher getrennten Regime für Zahlungs- und E‑Geld‑Institute werden in einem einheitlichen aufsichtsrechtlichen Rahmen zusammengeführt. E‑Geld‑Institute werden dabei als Unterkategorie der Zahlungsinstitute in die PSD3 integriert.
• Für betroffene Dienstleister ergeben sich daraus spürbare Auswirkungen, insbesondere auf Governance- und Aufsichtsstrukturen sowie im Hinblick auf die verpflichtende Ausrichtung an den DORA‑Anforderungen.

Wer ist betroffen?

PSD3 und PSR betreffen eine breite Gruppe von Marktteilnehmern im europäischen Zahlungsverkehr. Im Fokus stehen insbesondere Banken, Zahlungsinstitute, E‑Geld‑Institute, Open‑Banking‑Anbieter, FinTechs sowie weitere Dienstleister entlang der gesamten Payments‑Wertschöpfungskette. Je nach Geschäftsmodell können auch Plattformen, Händler, ATM‑Betreiber und technische Dienstleister unmittelbar oder mittelbar betroffen sein.

Für Banken und Zahlungsdienstleister sind die Auswirkungen besonders weitreichend. Regulatorische Anforderungen betreffen zentrale Themen wie Kundenschnittstellen, API‑Performance, Fraud Prevention, Haftung, Governance und operative Resilienz.

Damit entwickeln sich PSD3 und PSR zu einem bereichsübergreifenden Handlungsfeld für Geschäftsführung, Payments, IT und Compliance sowie für Risk, Legal und Strategy.

Was müssen Banken und Zahlungsdienstleister konkret tun?

PSD3 und PSR führen zu einem grundlegenden Umbau von Verantwortlichkeiten und Kontrollanforderungen im Zahlungsverkehr. Für betroffene Institute ergeben sich daraus insbesondere folgende zentrale Handlungsfelder:

1. Stärkere Sicherheits‑ und SCA‑Anforderungen:
   Die Vorgaben zur starken Kundenauthentifizierung (SCA), Tokenisierung und zum Wallet‑Onboarding werden ausgeweitet. SCA muss künftig stärker in die End‑to‑End‑Zahlungsabwicklung integriert werden und umfasst ein Zusammenspiel von Transaction Monitoring, Verification of Payee (VoP) und Spending Limits.
2. Open Banking / API‑Pflichten (Dedicated Interfaces):
   Die regulatorischen Anforderungen an Open Banking werden deutlich erweitert. Institute müssen standardisierte APIs bereitstellen und deren Leistungsfähigkeit auf dem Niveau interner Schnittstellen nachweisen.
3. ICT‑Risiken, Outsourcing und DORA‑Alignment:
   PSD3 erfordert ein höheres Maß an Governance. Dazu gehört insbesondere eine vollständige Dokumentation und Nachweisfähigkeit regulatorisch relevanter Prozesse sowie die konsistente Integration von Sicherheits‑, Monitoring‑ und Kontrollmechanismen in Zahlungssysteme und Schnittstellen.
4. Incident‑Reporting und Operational Resilience:
   Die Anforderungen an Meldewesen und Incident‑Reporting werden ausgeweitet. Erwartet werden strukturierte Nachweis‑ und Eskalationsprozesse, belastbare Monitoring‑ und Kontrollmechanismen sowie klar definierte Rollen, Fristen und Kommunikationswege.
5. Kundentransparenz und Kommunikationspflichten:
   Prozesse, etwa zu Gebühren, Sperren und Fraud, sind im Einklang mit PSD3/PSR zu überprüfen. Gefordert sind eine verständliche Kommunikation und erhöhte Transparenz zu Autorisierung und Haftung, etwa in Bezug darauf, wann Zahlungen als autorisiert gelten und wie Haftungsfragen geregelt sind.
6. Haftungsregeln und Betrugsdaten‑Sharing:
   Die PSR präzisiert Haftungs‑ und Fraud‑Regeln und erweitert Berichtspflichten gegenüber Aufsichtsbehörden. Dazu gehören insbesondere Anforderungen an Betrugsstatistiken sowie eine engere Verzahnung mit Monitoring‑Mechanismen und Fraud‑Data‑Sharing. Das Grundprinzip des Fraud‑Reportings bestand bereits unter PSD2; neu sind vor allem die stärkere Harmonisierung innerhalb der EU sowie die engere Einbettung in Kontroll‑ und Aufsichtsstrukturen.
7. Lizenzierung, Aufsicht und Cross‑Border‑Supervision:
   Bestehende Lizenzen und Autorisierungen müssen überprüft und angepasst werden. Dabei handelt es sich weniger um eine pauschale Neulizenzierung als um ein strukturiertes Re‑Assessment und die Aktualisierung von Autorisierungsunterlagen und Nachweisen. Dazu zählen insbesondere erweiterte Anforderungen an Governance, ICT und Kontrollsysteme sowie zusätzliche Dokumentationsanforderungen im Zulassungs‑ und Aufsichtskontext, beispielsweise im Rahmen von Antrags‑ und Nachweisprozessen.
8. Produkt‑ und Payment‑Scheme‑Regeln:
   Zahlungsprozesse, Produktlogiken und User Flows sind an neue Autorisierungs‑ und Kontrollanforderungen anzupassen – sowohl im Frontend als auch entlang der gesamten Prozesskette.
9. Aktualisierte Kapitalanforderungen:
   Die Mindestanfangskapitalanforderungen für Payment Services, E‑Geld‑Institute und Money‑Remittance‑Anbieter werden erhöht. Gleichzeitig wird ausgewählten Dienstleistern ermöglicht, alternativ zur Berufshaftpflichtversicherung ein fixes Anfangskapital vorzuhalten.

Für viele Institute bedeutet dies nicht nur die Umsetzung einzelner regulatorischer Anforderungen, sondern eine ganzheitliche Überprüfung und Anpassung von Produkt‑, Prozess‑ und Kontrolllogiken entlang der gesamten Zahlungsabwicklung – vom Front‑ über das Middle‑ bis hin zum Back‑Office.

Welche Herausforderungen gibt es für betreffende Institute?

Da PSD3 und PSR gleichzeitig in mehrere Bereiche eingreifen – insbesondere in IT, Kundenkommunikation, Risk/Compliance und Legal – erfordert die Umsetzung ein abgestimmtes End‑to‑End‑Zielbild statt isolierter Einzelmaßnahmen.

Die erweiterten Open‑Banking‑Anforderungen erfordern umfassende Anpassungen an API‑Architektur, Performance‑Monitoring und Governance. Stabilität, Gleichwertigkeit und Verfügbarkeit der Schnittstellen müssen künftig aktiv nachgewiesen werden. Gleichzeitig steigt der operative und organisatorische Aufwand, da ein kontinuierlicher AIS‑/PIS‑Zugang sicherzustellen, Incidents zeitnah zu adressieren und zusätzliche aufsichtsrechtliche Durchsetzungs‑ und Berichtspflichten zu erfüllen sind.

Auch die Verzahnung neuer Haftungs‑ und Nachweislogiken im Fraud‑Kontext mit technischen Kontrollen (z. B. Monitoring, VoP, Limits, Tokenisierung) und operativen Prozessen (z. B. Dispute, Refunds, Incident Handling) erweist sich als anspruchsvoll. Dabei müssen nicht nur präventive Kontrollen implementiert und systemisch integriert werden, sondern auch rechtssicher dokumentiert und archiviert sein.

Zusätzlich konkurrieren häufig Parallelprogramme – etwa Security‑ und Resilience‑Initiativen sowie Legacy‑Modernisierungen – um Ressourcen und Budgets. Dies erhöht die Anforderungen an Priorisierung und Roadmap‑Steuerung.

Schließlich müssen Transparenz‑ und Kommunikationspflichten so umgesetzt werden, dass sie regulatorisch konsistent, für Kunden verständlich und operativ skalierbar sind.

Insgesamt handelt es sich um ein komplexes Transformationsvorhaben, das eine strukturierte und bereichsübergreifende Umsetzung erfordert.

Was EY für Sie tun kann

Die Umsetzung von PSD3 und PSR erfordert einen ganzheitlichen Ansatz, der fachliche, regulatorische und technologische Aspekte integriert. Genau hier setzt die deutsche Payments Practice von EY an.

Sie profitieren von einem interdisziplinären Team aus Technology, Business und Risk Consulting sowie aus den Bereichen Aufsichtsrecht und Datenschutz – mit klarem Fokus auf die Payments‑Industrie und komplexe Transformationsvorhaben.

Der Ansatz verbindet Fach‑, Technologie‑, Risk‑ und Law‑Perspektiven und ermöglicht so eine End‑to‑End‑Betrachtung von PSD3/PSR: von der Impact‑Analyse über Zielbild und Roadmap bis hin zur Umsetzung in Prozessen, IT, Governance, Kontrollen und Kundenkommunikation.

Im Fokus steht eine pragmatische Umsetzung, die im operativen Betrieb funktioniert – damit Sie regulatorische Anforderungen erfüllen und gleichzeitig Modernisierungspotenziale realisieren.

Mögliche EY-Module

Für die strukturierte Umsetzung von PSD3 und PSR stehen Ihnen modulare Leistungsbausteine zur Verfügung, die gezielt auf Ihre Ausgangssituation und Prioritäten zugeschnitten werden können:

• PSD3/PSR Impact Assessment:
  Bewertung der Auswirkungen auf Geschäftsmodell, Produkte, Prozesse, IT, Governance und Kontrollen.
• Regulatory Gap Analysis:
  Abgleich bestehender Anforderungen, Richtlinien und Prozesse mit den Vorgaben aus PSD3 und PSR.
• Implementation Roadmap & PMO:
  Priorisierung, Programmsteuerung und bereichsübergreifende Umsetzung einschließlich prüfungskonformer Dokumentation.
• Payments & Open Banking Strategy:
  Entwicklung eines strategischen Zielbilds für Payments, APIs, Datenzugang und Kundenschnittstellen.
• Technology & API Readiness:
  Bewertung von Architektur, Schnittstellen, Performance‑Monitoring, Consent Management und operativer Resilienz.
• Change, Governance & Enablement:
  Definition von Rollen und Verantwortlichkeiten sowie Unterstützung bei Schulung, Kommunikation und nachhaltiger Verankerung im Betrieb.

PSD3/PSR KI‑Tool

Für einen schnellen und strukturierten Einstieg in die Anforderungen aus PSD3 und PSR steht Ihnen ein KI‑gestützter Impact Analyzer zur Verfügung. Das Tool gleicht regulatorische Anforderungen systematisch mit Ihrer individuellen Ausgangssituation ab und leitet daraus konkrete Handlungsbedarfe ab.

Zudem ermöglicht es eine strukturierte Zuordnung der Anforderungen zu Front Office, Middle‑ und Back‑Office sowie zu übergreifenden Enterprise Enablers. Ergänzend erhalten Sie visuelle Auswertungen, die transparent darstellen, welche Geschäftsbereiche besonders betroffen sind.

Die Ergebnisse des Impact Analyzers bzw. des Assessments können als belastbare Grundlage für Managemententscheidungen, die Umsetzungsplanung, die interne Steuerung sowie für Prüfungszwecke genutzt werden.

PSD3/PSR: Früh starten, strategisch steuern, Umsetzung sichern

PSD3 und PSR stellen Banken und Zahlungsdienstleister vor erhebliche organisatorische, technische und regulatorische Anforderungen. Der enge Zeitrahmen erfordert eine koordinierte, bereichsübergreifende Umsetzung, um Compliance‑Risiken zu minimieren und die operative Stabilität fristgerecht sicherzustellen.

Fazit

PSD3 und PSR stellen Banken und Zahlungsdienstleister vor erhebliche regulatorische, technische und organisatorische Herausforderungen. Gleichzeitig bieten sie die Chance, Payment-Prozesse, Open-Banking-Schnittstellen, Fraud Controls und das Kundenerlebnis gezielt weiterzuentwickeln.

Entscheidend ist ein frühzeitiger, bereichsübergreifender Ansatz. Institute sollten die neuen Anforderungen nicht isoliert betrachten, sondern ihre Auswirkungen auf Geschäftsmodell, IT, Governance, Kontrollen und operative Prozesse strukturiert bewerten. Ein PSD3/PSR Impact Assessment schafft dafür die Grundlage: Es macht Handlungsfelder sichtbar, unterstützt die Priorisierung und ermöglicht eine belastbare Roadmap für die Umsetzung.