EU:s betaltjänstpaket skärper bedrägeriskydd - så påverkas småföretag

EU:s nya betaltjänstpaket, PSD3 och PSR, väntas bli officiellt publicerat i december 2026 eller januari 2027. Det uppger Europeiska bankmyndigheten (EBA) enligt CryptoBenelux. För svenska småföretag som tar emot betalningar innebär paketet bland annat skärpta krav på kundverifiering och ett tydligare ansvar vid bedrägerier.

Publicering väntas vid årsskiftet

Enligt CryptoBenelux har EBA skjutit fram sin förväntade publicering av PSD3 och PSR flera gånger. Beskedet framgår av ett tal som EBA:s ordförande François-Louis Michaud höll vid konferensen Payments Tomorrow i Paris. Myndigheten väntar på den slutliga juridiska texten innan den kan fastställa vilka tekniska standarder och riktlinjer som ska tas fram.

Att paketet publiceras i EU:s officiella tidning betyder inte att reglerna börjar gälla direkt. Enligt den nuvarande kompromisstexten träder PSR i kraft tjugo dagar efter publiceringen, medan större delen av förordningen ska tillämpas först senare. För PSD3 gäller en annan ordning: enligt samma kompromisstext måste medlemsstaterna först införa reglerna i nationell rätt, med en övergångsperiod efter ikraftträdandet innan de nationella åtgärderna börjar tillämpas.

För ett mindre företag som i dag tar emot kort- och Swishbetalningar innebär det att de nya skyldigheterna inte slår till omedelbart. Publiceringen vid årsskiftet är framför allt en signal om att arbetet med de tekniska detaljerna kan börja.

Skärpta krav på kundverifiering

Enligt The Paypers förklarar Dan Jones, partner på advokatbyrån Morrison Foerster, att PSD3 och PSR bland annat inför obligatorisk verifiering av IBAN och namn. Det innebär att betalarens namn ska stämmas av mot kontonumret innan en betalning genomförs. Syftet är att upptäcka försök till bedrägeri där en bedragare anger ett annat kontonummer än det som hör till mottagaren.

För en småföretagare kan det exempelvis handla om en kund som får ett mejl med nya betaluppgifter och som försöker betala till ett konto som inte stämmer överens med företagets namn. Om verifieringen visar avvikelse ska betalaren varnas innan betalningen går igenom. Hur varningen ska utformas i praktiken är en av de frågor som EBA väntas arbeta vidare med när den slutliga texten finns.

The Paypers beskriver också att paketet inför enhetliga regler för licensiering av betalningsinstitut och e-pengainstitut, samt strängare krav på API:er. Det påverkar i första hand företag som själva är verksamma inom betaltjänster, men även mindre företag som använder sig av open banking-tjänster kan märka av förändringarna.

Ansvar vid bedrägerier flyttas

En av de mest uppmärksammade delarna i paketet är kravet på obligatorisk ersättning vid så kallat APP-bedrägeri, det vill säga när en betalare lurats att själv godkänna en överföring. Enligt The Paypers ska detta regleras direkt i det nya regelverket.

För småföretag som säljer varor och tjänster kan det få betydelse i de fall en kund utsätts för bedrägeri i samband med en betalning. Exakt hur ansvaret ska fördelas mellan betaltjänstleverantörer och andra parter framgår inte av de texter som hittills offentliggjorts. Klart är att frågan blir en av de tyngre punkterna när EBA tar fram sina riktlinjer.

The Paypers anger att den politiska överenskommelsen nåddes i november 2025 och att formellt antagande väntades under 2026. Den 23 april 2026 lade EU:s råd fram en så kallad I-punktnota på förslagen, daterad 17 april 2026, tillsammans med slutliga kompromisstexter. Notan uppmanar medlemsstaternas ständiga representanter att godkänna utkasten.

Lång övergång – men förberedelser börjar nu

Enligt The Paypers bör företag räkna med att det nya regelverket träder i kraft i slutet av 2027, med övergångsbestämmelser för licensiering. För småföretag som tar emot betalningar är den mest konkreta åtgärden att se över hur kunduppgifter hanteras i dag, exempelvis vid fakturering och vid ändrade betaluppgifter.

Eftersom EBA först måste ta fram tekniska standarder och riktlinjer är mycket ännu inte klart. Enligt CryptoBenelux räknar EBA med att kunna publicera en färdplan för sina konsultationer först efter det att den slutliga rättsliga texten finns på plats. Det innebär att företag som vill följa utvecklingen behöver hålla koll på EBA:s kommande utspel snarare än på publiceringsdatumet i sig.

För svenska småföretag är den praktiska slutsatsen att inga nya krav gäller omedelbart vid årsskiftet. Men de frågor som paketet adresserar – verifiering av mottagare, hantering av bedrägeriförsök och ansvar när en kund lurats – är redan relevanta i den dagliga betalningshanteringen.