Che cos’è la direttiva PSD2 e quali novità ha introdotto

La direttiva PSD2, acronimo di Payment Services Directive 2, è la normativa europea che ha ridefinito le regole sui servizi di pagamento digitali, introducendo nuovi standard di sicurezza e aprendo il mercato bancario a operatori terzi. Entrata in vigore il 13 gennaio 2018 in Italia, ha cambiato concretamente il modo in cui banche, clienti e aziende interagiscono nel sistema dei pagamenti. Questa guida spiega cos'è, come funziona e cosa comporta nella pratica e quali saranno le prossime evoluzioni legislative in materia.

Introduzione alla direttiva PSD2

La PSD2 (Direttiva europea 2015/2366) è stata adottata dal Parlamento europeo nel 2015 e recepita in Italia con il D.lgs. n. 218 del 15 dicembre 2017, entrato in vigore il 13 gennaio 2018. Ha sostituito la precedente direttiva PSD del 2007, aggiornando il quadro normativo in risposta alla rapida evoluzione dei pagamenti digitali.

I principali obiettivi della direttiva sono:

• aumentare la sicurezza dei pagamenti elettronici, riducendo il rischio di frodi;
• tutelare i consumatori, rafforzando i loro diritti in caso di operazioni non autorizzate;
• promuovere la concorrenza, aprendo il mercato dei pagamenti anche a soggetti non bancari;
• favorire l'innovazione, consentendo lo sviluppo di nuovi servizi finanziari digitali.

La PSD2 si applica a tutti i prestatori di servizi di pagamento in ambito nazionale autorizzati dalla Banca d'Italia (banche, istituti di pagamento e istituti di moneta elettronica) e riguarda tutti i servizi di pagamento prestati nell'Unione Europea: bonifici, addebiti diretti, carte di credito, debito e prepagate, portafogli elettronici e pagamenti via internet.

Cos'è l'open banking e come si collega alla PSD2

Uno dei concetti più rilevanti introdotti dalla PSD2 è quello di open banking: il principio per cui le banche devono consentire, su richiesta e con il consenso esplicito del cliente, l'accesso ai dati del conto corrente da parte di operatori terzi autorizzati, detti TPP (Third Party Providers, ovvero fornitori terzi di servizi di pagamento).

Questo meccanismo funziona attraverso interfacce tecniche standardizzate (le cosiddette API, Application Programming Interface) che permettono la comunicazione sicura tra la banca e il soggetto terzo, senza che il cliente debba condividere le proprie credenziali di accesso.

L'open banking ha aperto la strada a una nuova generazione di servizi digitali, tra cui:

• app di gestione del budget che aggregano i movimenti di più conti in un'unica interfaccia;
• servizi di pagamento che permettono di disporre bonifici direttamente da applicazioni di terze parti;
• strumenti di analisi finanziaria personale basati sui dati di spesa reali.

È importante sottolineare che nessun soggetto terzo può accedere ai dati del conto senza un'autorizzazione esplicita e consapevole del titolare: il consenso è sempre revocabile.

Nuove regole per l'autenticazione e la sicurezza

L'autenticazione forte (Strong Customer Authentication – SCA) è da considerarsi tra le novità più rilevanti per i clienti poiché è il sistema di sicurezza da utilizzare obbligatoriamente per accedere al conto online, disporre pagamenti elettronici o compiere qualsiasi operazione a distanza che possa comportare rischi di frode.

L'autenticazione forte si basa sull'uso di almeno due dei tre seguenti elementi, che devono essere indipendenti tra loro.

• Conoscenza: qualcosa che solo l'utente conosce, come una password o un PIN.
• Possesso: qualcosa che solo l'utente possiede, come uno smartphone o un token fisico.
• Inerenza: qualcosa che caratterizza l'utente, come l'impronta digitale o il riconoscimento facciale.

Il fatto che i due fattori siano indipendenti è fondamentale: se uno viene compromesso, l'altro rimane valido. Almeno uno degli elementi deve essere non replicabile e non trasmissibile via internet.

Per i pagamenti elettronici a distanza è richiesto anche il dynamic linking: un codice univoco legato all'importo specifico della transazione e al beneficiario. Se uno dei due cambia, il codice decade e deve essere generato un nuovo.

Queste misure si applicano concretamente ogni volta che si accede all'home banking, si dispone un bonifico o si effettua un acquisto online con carta.

Ruolo delle terze parti (TPP) nei pagamenti

La PSD2 ha anche introdotto formalmente nella regolamentazione europea la figura delle terze parti (Third Party Providers – TPP), soggetti autorizzati e registrati a livello europeo che possono offrire servizi di pagamento aggiuntivi, su consenso del cliente, accedendo ai dati del suo conto.

Le tre categorie principali di TPP sono le seguenti.

• AISP (Account Information Service Provider): forniscono servizi di informazione sui conti. Possono leggere il saldo e i movimenti del conto per offrire, ad esempio, strumenti di gestione del budget o di aggregazione finanziaria.
• PISP (Payment Initiation Service Provider): forniscono servizi di disposizione di ordini di pagamento. Possono avviare un bonifico dal conto del cliente senza che questi debba accedere direttamente all'home banking della propria banca.
• CISP (Card Issuer Service Provider): possono verificare la disponibilità di fondi sul conto prima dell'esecuzione di un pagamento con carta, con il consenso del titolare.

Per poter operare, tutte le terze parti devono essere registrate e abilitate dalla propria autorità di vigilanza nazionale e risultare nell'elenco europeo dei prestatori di servizi di pagamento. La banca è tenuta a garantire loro l'accesso tecnico ai conti attraverso canali dedicati e sicuri, nel rispetto della privacy del cliente.

Cosa è cambiato per clienti e istituti bancari

Per i clienti, la PSD2 ha introdotto diritti più chiari e tutele più forti. In caso di operazione di pagamento non autorizzata, il cliente ha il diritto a ottenere un rimborso integrale e immediato, entro la fine della giornata operativa successiva, da parte del proprio prestatore di servizi di pagamento, salvo che non sia dimostrata una responsabilità colposa o dolosa da parte del cliente stesso.

Il termine per segnalare un'operazione disconosciuta è di 13 mesi dalla data di addebito. Anche i tempi di risposta ai reclami si sono ridotti: da 30 giorni solari a 15 giorni lavorativi, estendibili a 35 in casi complessi.

Per le banche e gli istituti di pagamento, la direttiva ha imposto l'obbligo di aprire le proprie infrastrutture tecniche alle terze parti autorizzate, investire in sistemi di autenticazione sicuri e adeguare la comunicazione con i clienti in termini di trasparenza e informativa.

Sul fronte della competitività, la PSD2 ha abbassato le barriere di ingresso nel mercato dei pagamenti, favorendo lo sviluppo di fintech e operatori innovativi accanto ai tradizionali istituti bancari.

PSD3: ultime novità

La Commissione Europea ha avviato i lavori per la revisione della PSD2 con l'introduzione della PSD3 e di un regolamento collegato (PSR). L'obiettivo è rafforzare ulteriormente la protezione contro le frodi, migliorare le regole sull'open banking e armonizzare le normative tra i diversi paesi dell'UE. Il processo legislativo è in corso: per informazioni aggiornate è possibile fare riferimento al sito della Banca d'Italia o del Parlamento europeo.

A giugno 2026 il processo legislativo risultava/era in fase avanzata ma non ancora concluso: a novembre 2025 Parlamento europeo e Consiglio UE hanno raggiunto un accordo politico provvisorio sul pacchetto PSD3/PSR e il testo tecnico è ancora in lavorazione prima dell'adozione formale.