La reforma de los servicios de pago de la Unión Europea ha entrado en su recta final. El Parlamento Europeo y el Consejo alcanzaron un acuerdo político sobre la tercera Directiva de Servicios de Pago (PSD3) y el Reglamento de Servicios de Pago (PSR) el 27 de noviembre de 2025, y el texto de compromiso definitivo quedó confirmado por el Consejo en abril de 2026. Pendiente únicamente de la votación formal y de su publicación en el Diario Oficial de la UE, el paquete activará un calendario que obligará a bancos, entidades de pago y fintech a mover ficha desde el primer día.
Un paquete de dos piezas para corregir la PSD2
La Comisión Europea presentó la propuesta el 28 de junio de 2023 con un diagnóstico claro: la PSD2 impulsó la competencia y el open banking, pero dejó problemas sin resolver. El fraude mutó más rápido que la norma, la aplicación entre Estados miembros fue desigual y las entidades no bancarias siguieron dependiendo de terceros para acceder a la infraestructura de pagos. La respuesta se articula en dos instrumentos complementarios. La PSD3 concentra el régimen de autorización y supervisión de las entidades de pago, y deberá transponerse a las legislaciones nacionales. El PSR, en cambio, es un reglamento directamente aplicable: unifica las reglas de conducta, transparencia y seguridad operativa sin margen de interpretación nacional, que era precisamente el principal defecto que la industria achacaba a la PSD2. Menos directiva y más reglamento es, en sí mismo, una declaración de intenciones.
El calendario: 2027 y 2028 ya están en juego
La entrada en vigor se producirá a los veinte días de la publicación en el Diario Oficial, y desde ese momento correrán todos los plazos. Los Estados miembros dispondrán de 21 meses para transponer la PSD3, y el PSR será aplicable en esa misma fecha. La excepción relevante es la verificación del beneficiario —la llamada Verification of Payee (VoP)— y su régimen de responsabilidad asociado, que no se aplicarán hasta pasados 27 meses. En la práctica, si la publicación llega en los próximos meses, la aplicación efectiva se concentrará entre mediados de 2027 y 2028. El margen es menor de lo que aparenta: la experiencia de la PSD2 demostró que la adaptación tecnológica —autenticación reforzada, interfaces dedicadas— consumió casi todo el plazo disponible y aun así requirió prórrogas supervisoras.
Fraude: el reembolso llega a la suplantación de identidad
El cambio de mayor calado económico está en el fraude. La PSD2 protegía al cliente frente a operaciones no autorizadas, pero dejaba fuera el fraude en el que la víctima autoriza el pago engañada, el conocido como fraude APP. El PSR da un paso relevante: cuando el estafador suplanta al propio banco o proveedor de pagos —el spoofing—, el cliente tendrá derecho al reembolso si la entidad no aplicó los estándares de detección y prevención exigibles. La verificación del nombre del beneficiario, ya obligatoria para las transferencias inmediatas en euros desde octubre de 2025 en virtud del Reglamento de Pagos Inmediatos, se generaliza: el proveedor del ordenante deberá cotejar que el nombre indicado coincide con el titular del IBAN de destino y advertir de cualquier discrepancia antes de ejecutar la orden. Si el cliente ignora la advertencia y confirma el pago, la responsabilidad recae sobre él. El mensaje regulatorio es nítido: el coste de no invertir en controles antifraude deja de ser reputacional y pasa a ser directamente financiero.
El dinero electrónico deja de ser un régimen aparte
La PSD3 absorbe la segunda Directiva de Dinero Electrónico y cierra dos décadas de regímenes paralelos. Las actuales entidades de dinero electrónico pasarán a ser entidades de pago autorizadas a emitir dinero electrónico, con un marco único de autorización, requisitos de capital y supervisión. Para España, donde el Banco de España mantiene registros separados de entidades de pago y de dinero electrónico, la fusión simplifica el mapa institucional, aunque obligará a las EDE existentes a pasar por un proceso de reautorización durante el periodo transitorio. Es un movimiento coherente con la realidad del mercado: la frontera entre monedero digital, cuenta de pago y dinero electrónico hacía años que era más jurídica que funcional, y mantener dos licencias distintas para actividades casi idénticas solo generaba arbitraje regulatorio.
Open banking: mejoras incrementales mientras FiDA espera
El paquete también retoca el open banking heredado de la PSD2. Los proveedores de información de cuentas y de iniciación de pagos tendrán derecho a interfaces dedicadas de mayor calidad, y los clientes dispondrán de paneles desde los que consultar y revocar los permisos de acceso a sus datos concedidos a terceros. Son mejoras incrementales, no un rediseño. El contraste lo pone el reglamento FiDA, llamado a extender el modelo de datos compartidos a inversión, seguros y pensiones, cuyas negociaciones en trílogo quedaron suspendidas a comienzos de 2026. El open finance europeo tendrá que esperar, previsiblemente hasta 2027 como año preparatorio. Mientras tanto, las obligaciones del PSR son el único terreno de juego real, y quien las trate como mero cumplimiento normativo desaprovechará la infraestructura de datos que exigen construir.
Implicaciones: quién gana y quién paga la factura
Para la banca, la prioridad es presupuestaria: sistemas de detección de fraude en tiempo real, VoP extendida a todos los canales y una responsabilidad patrimonial nueva frente a la suplantación. Parte del trabajo ya está hecho —la infraestructura VoP construida para los pagos inmediatos es reutilizable—, pero el régimen de reembolsos obligará a recalibrar modelos de riesgo. Para las entidades de pago y las fintech, el paquete consolida un terreno más nivelado: marco único de licencia con pasaporte europeo efectivo en los veintisiete Estados y menor dependencia de bancos intermediarios para operar. Para el usuario, más protección y más información, con la contrapartida de asumir la responsabilidad cuando decida ignorar las advertencias del sistema. Y para el ecosistema español, que llega a esta reforma con los deberes de los pagos inmediatos razonablemente hechos, la ventana que se abre hasta 2027 es una oportunidad competitiva. La lección de la PSD2 sigue vigente: quien llegó tarde a las API pagó el retraso en cuota de mercado. Con la PSD3, llegar tarde saldrá además caro en reembolsos.
