PSD3 ir PSR: kuo skiriasi direktyva ir reglamentas?
PSD3 ir PSR yra atskiri, bet glaudžiai susiję teisės aktai. Esminis jų skirtumas yra teisinė forma.
Ieva Bakutienė, „Noewe“ partnerė, atsakinga už licencijavimo ir reguliacinės atitikties paslaugas, paaiškina: „PSR yra reglamentas, todėl jis bus tiesiogiai taikomas valstybėse narėse ir jo nuostatų nereikės perkelti į nacionalinę teisę. PSD3 yra direktyva, todėl jos nuostatas valstybės narės turės perkelti į savo nacionalinius teisės aktus.“
ES šiuo pasirinkimu atskyrė taisykles pagal jų pobūdį. Reglamentu bus reguliuojamos taisyklės, būtinos pagrindinėms teisėms užtikrinti:
- skaidrumas,
- klientų teisės,
- sukčiavimo prevencija.
Direktyva daugiausia apims mokėjimo įstaigų licencijavimą ir priežiūrą – labiau technines normas, kurias tikslingiau sureguliuoti kiekvienos valstybės teisės aktais, laikantis direktyvos nustatytų taisyklių.
PSD2 palikimas: tas pats produktas, skirtingos licencijos
Praktikoje PSR reiškia didesnį taisyklių vienodumą visoje ES. „Pasitaikydavo atvejų, kai skirtingų valstybių priežiūros institucijos nevienodai vertino, ar tam tikra veikla laikytina elektroninių pinigų leidimu, ar tiesiog mokėjimo paslauga, – prisimena I. Bakutienė. – Dėl to iš esmės analogiškam produktui vienoje valstybėje užtekdavo mokėjimo įstaigos licencijos, o kitoje būdavo reikalaujama platesnės, elektroninių pinigų įstaigos licencijos su griežtesniais kapitalo ir kitais veiklos reikalavimais.“
Kitas pavyzdys – grupės vidaus išimtis. Ji leidžia tos pačios grupės įmonėms atlikti mokėjimus tarpusavyje be mokėjimo paslaugų teikėjo licencijos, jei šiuose mokėjimuose nedalyvauja grupei nepriklausanti mokėjimo paslaugų įmonė. Vis dėlto ir ši išimtis buvo aiškinama nevienodai.
Ekspertės teigimu, bendro požiūrio į šios išimties taikymo apimtį ES mastu ilgą laiką nebuvo. Tai lėmė skirtingas konkurencines sąlygas ES viduje: „iš esmės analogiška grupės vidaus mokėjimų apdorojimo veikla vienose valstybėse narėse reikalavo licencijos, o kitose – ne“.
PSR šią situaciją keičia, nes jo reguliuojami klausimai bus reglamentuojami vienu, tiesiogiai taikomu ES teisės aktu. Keliose ES valstybėse veikiančioms įmonėms tai turėtų reikšti mažesnę nacionalinių taisyklių fragmentaciją, didesnį teisinį aiškumą, sklandesnę vartotojų patirtį bei nuoseklesnį įgyvendinimą valstybėse narėse.
PSD3 ir PSR terminai: 20 dienų, 21 ir 27 mėnesiai
Naujos taisyklės nepradės veikti iš karto po paskelbimo. Reglamento įsigaliojimas ir konkrečių jo nuostatų taikymo pradžia skiriasi – tarp jų numatyti pereinamieji laikotarpiai.
I. Bakutienė pataria nesiremti vien prognozuojama PSR ar PSD3 paskelbimo data: „Konkretūs terminai turi būti skaičiuojami nuo faktinio teisės aktų įsigaliojimo ir jų taikymo pradžios.“
Pagal galutinį suderintą tekstą:
- abu teisės aktai įsigalios praėjus 20 dienų nuo paskelbimo,
- per 21 mėnesį nuo įsigaliojimo valstybės narės turės perkelti PSD3 į nacionalinę teisę,
- nuo tos pačios datos bus panaikintos PSD2 ir Elektroninių pinigų direktyva, o pradės būti taikomos bendrosios PSR nuostatos,
- jau veikiančioms mokėjimo ir elektroninių pinigų įstaigoms numatytas iki 27 mėnesių pereinamasis laikotarpis prisitaikyti prie naujojo režimo ir įvykdyti kompetentingai institucijai taikomus reikalavimus.
Būtent todėl įmonėms svarbu ne tik sekti galutines datas, bet ir „jau dabar įsivertinti, kiek laiko reikės IT sistemų, procesų, sutarčių, vidaus kontrolės ir licencijavimo pakeitimams“.
Elektroninių pinigų įstaigos tampa mokėjimo įstaigomis
Kas keičiasi EMI licencijoje ir kapitalo reikalavimuose?
PSD3 sujungia dabartinius mokėjimo ir elektroninių pinigų įstaigų režimus. Elektroninių pinigų įstaiga (EMI) nebebus atskira kategorija dabartine prasme – ji taps mokėjimo įstaiga (PI), turinčia teisę teikti elektroninių pinigų leidimo paslaugas.
Kaip aiškina „Noewe“ vadovaujanti teisininkė Kristina Jungevičienė, „keisis pats autorizacijos modelis: vietoje dviejų atskirų institucijų kategorijų bus viena mokėjimo įstaigų sistema su skirtingomis leidžiamų paslaugų apimtimis“.
Tačiau tai nereiškia, kad EMI automatiškai taps „lengvesne“ PI. Elektroninių pinigų veiklai ir toliau bus taikomi specifiniai kapitalo ir nuosavų lėšų reikalavimai, todėl kiekvienos įstaigos kapitalo poreikis bus vertinamas pagal konkrečią teikiamų paslaugų apimtį ir veiklos modelį.
Ar EMI jau vėluoja su perregistravimu?
Rinkoje sklando nuomonė, kad perregistravimo proceso iki 2026 m. vidurio nepradėjusios EMI jau vėluoja. Ekspertė su tuo nesutinka.
„2026 m. vidurio nereikėtų laikyti formaliu terminu“, – teigia ji. Tokios datos nenustato nei PSD3, nei PSR tekstas, o Lietuvoje šiuo metu nėra nacionalinio teisės akto, pagal kurį toks perregistravimas galėtų vykti.
Be to, PSD3 ir PSR dar nėra formaliai priimti. Europos Parlamentui ir Tarybai juos patvirtinus ir paskelbus Oficialiajame leidinyje, prasidės 21 ir 27 mėnesių pereinamieji terminai, bet ne anksčiau. Todėl formalaus perregistravimo proceso šiuo metu nėra kaip inicijuoti – nei ES, nei nacionaliniu lygmeniu, o kalbėti apie „vėlavimą“ netikslu.
Vis dėlto verslo požiūriu tai tinkamas metas pradėti pasirengimą. Ekspertė rekomenduoja nelaukti nacionalinių teisės aktų ir jau dabar atlikti spragų vertinimą (angl. gap analysis). Tuomet, teisės aktams įsigaliojus, pasirengimas užims kuo mažiau laiko.
Kartu verta iš naujo įvertinti DORA atitiktį. Mokėjimo ir elektroninių pinigų įstaigoms DORA taikoma nuo 2025 m. sausio 17 d., nepriklausomai nuo PSD3 terminų.
K. Jungevičienė siūlo patikrinti, ar IRT rizikos valdymo sistema realiai veikia, tiekėjų registras ir sutartys atnaujinti, o incidentų valdymo, veiklos tęstinumo ir atsparumo testavimo procesai išbandyti. „Įstaiga turi gebėti faktinį šių reikalavimų įgyvendinimą pagrįsti konkrečiais įrodymais, o ne vien vidaus dokumentais“, – pabrėžia ji.
„Baltic Amadeus“ strategijos konsultacijų vadovas Linardas Saldukas priduria: „Atskirų DORA ir PSD3 architektūrų kurti nereikėtų. Daugelis techninių kontrolės priemonių gali būti bendros, todėl verta kurti vieną bendrą architektūrą, o papildomas priemones diegti tik ten, kur reikalavimai skiriasi. Taip sutaupoma ir laiko, ir lėšų“.
Realus buvimas: pabaiga „letterbox“ struktūroms
PSD3 griežtina reikšmingo buvimo (angl. substance) reikalavimus. Licencija neturi būti formalus pagrindas veiklai, kuri iš esmės vykdoma kitoje valstybėje.
Pagal PSD3, aiškina K. Jungevičienė, „įstaiga turės turėti registruotą buveinę ir centrinę administraciją toje pačioje valstybėje narėje, kurioje yra autorizuota, taip pat realiai vykdyti bent dalį mokėjimo paslaugų veiklos toje valstybėje“.
Tai nereiškia, kad visa įmonės veikla ar visi darbuotojai privalės būti Lietuvoje. Tačiau įmonė turės gebėti priežiūros institucijai pagrįsti, kad Lietuva nėra tik formalus licencijos „adresas“, t. y. kad čia veikia reali centrinė administracija, priimami sprendimai ir vykdoma esminė veiklos dalis.
Lietuvoje registruotoms, bet faktiškai kitose jurisdikcijose veikiančioms įmonėms tai gali reikšti poreikį peržiūrėti vadovybės, darbuotojų ir kritinių funkcijų paskirstymą. Kai kuriais atvejais gali tekti sustiprinti realias veiklos apimtis Lietuvoje arba iš naujo pagrįsti dabartinį modelį Lietuvos bankui.
Mokėjimo gavėjo patvirtinimas (VoP) ir sukčiavimas: daugiau atsakomybės teikėjams
PSR perkelia didesnę sukčiavimo prevencijos naštą mokėjimo paslaugų teikėjams, todėl svarbu suprasti, kas atsako už gavėjo patvirtinimo klaidas, kada klientui priklauso kompensacija ir kas nutinka, kai klientas nepaiso įspėjimo.
Kas atsako, kai VoP suklysta?
Mokėjimo gavėjo patvirtinimas (angl. Verification of Payee, VoP) momentiniams SEPA mokėjimams privalomas nuo 2025 m. spalio pagal Momentinių mokėjimų reglamentą. PSR šią prievolę išplečia visoms kredito pervedimų rūšims.
„Noewe“ vyresniosios atitikties konsultantės Agatos Tomaševičiūtės teigimu, atsakomybė priklausys nuo to, kurioje mokėjimo grandinės vietoje įvyko klaida ir kokie konkretūs VoP reikalavimai buvo pažeisti.
Jei VoP paslauga suteikta klaidingai arba išvis nesuteikta, ir dėl to mokėjimas įvykdytas netinkamai, mokėtojui tiesiogiai atsako mokėtojo mokėjimo paslaugų teikėjas (PSP). Jis privalo nedelsdamas grąžinti visą pervestą sumą.
Vis dėlto galutinė finansinė atsakomybė tenka tai institucijai, dėl kurios kaltės įvyko klaida. Jei gavėjo PSP (arba mokėjimo inicijavimo paslaugų teikėjas) nesilaikė reikalavimų, pavyzdžiui, pateikė mokėtojo bankui neteisingą informaciją, jis privalo kompensuoti mokėtojo PSP visus nuostolius, patirtus grąžinant lėšas vartotojui.
A. Tomaševičiūtė apibendrina: „Nėra taisyklės, kad tokiais atvejais automatiškai atsako tik mokėtojo arba tik gavėjo PSP. Kliento atžvilgiu svarbus jo sutartinis santykis su savo PSP, o tarp pačių mokėjimo paslaugų teikėjų atsakomybė gali būti perskirstoma pagal tai, kur kilo pažeidimas.“
Kaip VoP veikia techniškai
„Baltic Amadeus“ ekspertas L. Saldukas pabrėžia, kad gavėjo patvirtinimui centralizuotos duomenų bazės nereikia. Reikia į mokėjimo procesą integruotos realaus laiko API paslaugos, kad mokėtojo ir gavėjo bankai galėtų iš karto patikrinti gavėjo pavadinimą.
Bendras VoP taisykles nustato schemos „savininkė“ – Europos mokėjimų taryba (angl. European Payments Council, EPC). Šios taisyklės leidžia veikti atskiriems maršrutizavimo ir patikros mechanizmams (angl. Routing and Verification Mechanisms, RVM), kurie jungia bankus bei mokėjimo paslaugų teikėjus ir nukreipia užklausas. Gavėjo bankas patikrina, ar IBAN ir gavėjo pavadinimas sutampa, ir grąžina atsakymą.
Pasak L. Salduko, būtini du sluoksniai: API integracinis sluoksnis ir VoP patikros koordinavimo sluoksnis (angl. VoP Orchestration Service), nustatantis, per kurį RVM siųsti užklausą gavėjo bankui. Prie jų prisideda:
- prisijungimas prie atitinkamos VoP infrastruktūros,
- stebėsena, laiko limitai (angl. timeout), pakartojimo (angl. retry) ir atsarginiai (angl. fallback) mechanizmai,
- saugumo priemonės, užtikrinančios, kad informacija keistusi tik autorizuoti mokėjimo paslaugų teikėjai.
Klientas papildomo laukimo praktiškai neturėtų pajusti. „Pagrindinis principas – VoP atlikti kuo arčiau mokėjimo inicijavimo momento ir procesą projektuoti taip, kad VoP paslaugos sutrikimai nestabdytų mokėjimo“, – aiškina „Baltic Amadeus“ ekspertas. Tam reikia aiškios logikos, ką daryti, jei VoP paslauga nepasiekiama, stebėsenos ir griežtų laiko limitų. Priimtinas aptarnavimo lygio (SLA) tikslas, jo vertinimu, yra atsakymas per milisekundes, o ne per sekundes.
APP sukčiavimas: kada klientas gauna kompensaciją?
Pagal PSD2 atsakomybė už autorizuotą apgaulingą mokėjimą (angl. APP fraud) daugiausia tekdavo klientui. PSR šį požiūrį reikšmingai keičia.
Rita Tamulytė, „Noewe“ partnerė, atsakinga už atitikties paslaugas, perspėja: „Nebūtų tikslu teigti, kad nuo šiol kiekvienas kliento patvirtintas apgaulingas mokėjimas bus automatiškai kompensuojamas.“ Naujos tvarkos esmė, pasak jos, yra didesnė mokėjimo paslaugų teikėjų atsakomybė už sukčiavimo prevenciją.
Tai, kad klientas mokėjimą patvirtino taikant griežtą klientų autentiškumo patvirtinimą (SCA), savaime nebus pakankamas pagrindas atsakomybę perkelti jam. Bus vertinama, ar PSP tinkamai patikrino gavėją, įvertino sukčiavimo riziką, stebėjo operaciją ir laiku pateikė klientui aiškius bei konkrečius įspėjimus.
Kartu PSR nenumato automatinio lėšų grąžinimo visais autorizuoto sukčiavimo atvejais. Speciali tvarka numatyta sukčiavimo apsimetant (angl. impersonation arba spoofing) atvejams, kai sukčius apsimeta vartotojo PSP ir pasinaudoja jam priskiriamais komunikacijos kanalais.
Jei tenkinamos PSR sąlygos, vartotojas gali reikalauti atlyginti visą patirtą nuostolį. Tam jis turės:
- nedelsdamas pranešti apie sukčiavimą savo PSP;
- kreiptis į policiją;
- pateikti PSP tai patvirtinantį policijos pranešimą.
Gavęs reikiamą informaciją, PSP per 15 darbo dienų turės grąžinti lėšas arba pateikti motyvuotą atsisakymą.
Kompensacija gali būti netaikoma, jei klientas veikė nesąžiningai arba jo elgesys laikytinas teisės aktuose numatytu dideliu neatsargumu.
Kai klientas nepaiso įspėjimo
Pasitaiko ir tokių atvejų, kai PSP įspėja klientą, kad gavėjo duomenys nesutampa, tačiau klientas vis tiek patvirtina mokėjimą. Pasak A. Tomaševičiūtės, vien šis faktas neturi būti vertinamas izoliuotai ar automatiškai prilyginamas dideliam neatsargumui. Teismas ar ginčų nagrinėjimo institucija individualiai vertins visas aplinkybes:
- ar PSP tinkamai atliko VoP ir prieš autorizavimą pateikė aiškų bei konkretų įspėjimą apie neatitikimą ir galimas pasekmes,
- ar klientas turėjo realią galimybę atsisakyti vykdyti mokėjimą,
- ar klientas patikrino gavėjo duomenis ir sumą, kodėl nusprendė tęsti operaciją ir ar jo sprendimui turėjo įtakos sukčių manipuliacija,
- sukčiavimo schemos sudėtingumą, apsimetimą banku ar kitu patikimu subjektu, įspėjimų aiškumą ir kliento savybes, galėjusias padidinti jo pažeidžiamumą.
„Jeigu mokėjimo paslaugų teikėjas tinkamai įvykdė VoP pareigas, aiškiai ir konkrečiai įspėjo klientą apie galimas pasekmes, o klientas, nepaisydamas tokio įspėjimo, sąmoningai pasirinko tęsti mokėjimą, ši aplinkybė gali būti reikšminga vertinant, ar nuostoliai turėtų tekti jam pačiam“, – sako A. Tomaševičiūtė.
Kita vertus, atsakomybė gali tekti mokėjimo paslaugų teikėjui, jeigu:
- VoP patikra buvo atlikta netinkamai,
- įspėjimas buvo neaiškus, pernelyg bendro pobūdžio ar pateiktas netinkamu momentu,
- klientas mokėjimą patvirtino paveiktas sudėtingos apsimetėliško sukčiavimo schemos.
Biometrija ir įrenginio signalai: technologinė prevencijos pusė
PSR leidžia griežtame kliento autentifikavime (SCA) naudoti du biometrinius elementus. L. Salduko teigimu, klientui tai supaprastina autentifikavimą, tačiau architektūriškai tai sudėtingiau. SCA remiasi trimis elementų kategorijomis:
- tuo, ką žinai (pvz., PIN kodu),
- tuo, ką turi (pvz., telefonu ar kortele),
- tuo, kas esi (biometriniais duomenimis).
Naudojant du biometrinius elementus, reikia labai aiškiai užtikrinti, kad kiekvienas jų nepriklausomai tenkintų SCA reikalavimus.
PSR taip pat reikalauja vertinti įrenginio signalus (angl. device intelligence): neįprastą įrenginį, nuotolinio valdymo programas, tokias kaip „AnyDesk“ ar „TeamViewer“, telefono skambutį sesijos metu. „Klaida būtų visus signalus traktuoti kaip blokavimo kriterijų. Jie turi būti vertinami kaip rizikos indikatoriai“, – sako L. Saldukas. Jis siūlo signalus skirstyti pagal rizikos lygį ir kiekvienam taikyti skirtingą veiksmą:
- žemos rizikos signalai – pasitikėti;
- vidutinės rizikos – papildomai patikrinti;
- aukštos rizikos – blokuoti.
Kad klaidingų perspėjimų (angl. false positives) nedaugėtų, svarbu analizuoti, kurie signalai iš tikrųjų rodo sukčiavimą, ir periodiškai kalibruoti modelį.
Kriptoturto paslaugų teikėjai: kada reikia ir MiCA, ir PSD3 leidimo?
Europos bankininkystės institucija (EBI) sumažino dvigubo licencijavimo atvejų skaičių, tačiau kai kurie kriptoturto paslaugų teikėjų (angl. CASP) verslo modeliai vis tiek reikalauja ir MiCA, ir PSD3 leidimo.
Pasak K. Jungevičienės, čia „svarbu vertinti ne vien tai, kad veikla susijusi su elektroninių pinigų žetonais (EMT), bet ir konkrečią teikiamą paslaugą bei tai, kieno vardu veikia CASP“.
Dvigubos autorizacijos poreikis atsiranda dviem pagrindiniais atvejais:
- kai CASP teikia su EMT susijusią kriptoturto pervedimo paslaugą, veikdamas kliento vardu, pavyzdžiui, klientų vardu vykdo EMT pervedimus;
- kai teikiama kriptoturto saugojimo ir administravimo klientų vardu paslauga, o CASP valdoma piniginė leidžia siųsti ir gauti EMT pervedimus iš trečiųjų šalių ar joms – tokia piniginė prilyginama mokėjimo sąskaitai.
Kai CASP keičia kriptoturtą į dekretinius pinigus arba kitą kriptoturtą savo vardu ir naudodamas savo lėšas, tokiai veiklai paprastai taikomas tik MiCA reglamentas. Tokiu atveju ji nelaikoma mokėjimo paslauga, todėl mokėjimo paslaugų reguliavimas nėra taikomas.
Ekspertė siūlo trijų klausimų testą:
- Ar veikla susijusi su EMT?
- Ar paslauga pagal savo pobūdį yra mokėjimo paslauga – pervedimas arba saugojimas ir administravimas klientų vardu su galimybe pervesti tretiesiems asmenims?
- Ar CASP veikia kliento, ar savo vardu?
Kiekvieną verslo modelį reikia vertinti individualiai – vien MiCA licencijos turėjimas savaime nereiškia, kad visos CASP teikiamos paslaugos automatiškai patenka tik į MiCA reguliavimą.
Apie MiCA licencijavimo finansinius reikalavimus plačiau skaitykite straipsnyje „Navigating MiCA Compliance“.
Atvirosios bankininkystės API: lygiavertiškumą reikia įrodyti
PSR numato privalomus atvirosios bankininkystės (angl. Open Banking) API veikimo rodiklius ir reikalauja, kad API veiktų ne prasčiau nei banko nuosavi kanalai (angl. performance parity). L. Saldukas pabrėžia: „Čia svarbiausia yra matuoti, o ne tiesiog teigti, kad sistema veikia gerai.“ Todėl reikia rinkti objektyvius duomenis apie greitį, prieinamumą, klaidų skaičių ir kitus rodiklius bei gebėti juos pateikti reguliatoriui.
Jis pateikia pavyzdį: jeigu banko programėlėje klientas tam tikrą veiksmą atlieka per 0,5 sekundės, o trečiajai šaliai per atvirosios bankininkystės API tas pats veiksmas užtrunka 5 sekundes, kyla klausimas, kodėl trečiosios šalies paslaugų teikėjui suteikiama gerokai prastesnė paslauga.
H2: Kaip pasiruošti PSD3: trys patarimai vadovams
Paklausta, ką šiandien patartų Lietuvoje veikiančios mokėjimo ar elektroninių pinigų įstaigos vadovui, I. Bakutienė išskiria tris žingsnius:
- Nelaukite galutinių terminų ir atlikite spragų vertinimą. Įvertinkite, ar dabartinis verslo modelis atitinka naująją reguliacinę struktūrą, kokios autorizacijos reikės ir kaip gali keistis kapitalo, valdymo bei vidaus kontrolės reikalavimai.
- Jau dabar stiprinkite sukčiavimo prevenciją ir pasirengimą VoP. Vertinkite ne tik techninį VoP įdiegimą, bet ir visą procesą: klientų informavimą, įspėjimų valdymą, audito seką, operacijų stebėseną ir reagavimą į sukčiavimo atvejus. Svarbu įrodyti ne tik tai, kad kontrolė egzistuoja, bet ir tai, kad ji veikia.
- Iš anksto įsivertinkite valdymo ir verslo struktūrą. Patikrinkite, kur yra centrinė administracija, kur priimami sprendimai, kur dirba pagrindiniai vadovai ir kokia veiklos dalis realiai vykdoma Lietuvoje. Jei teikiate ir kriptoturto paslaugas, papildomai įsivertinkite MiCA ir PSD3 sąveiką bei dvigubos autorizacijos poreikį.
Visa tai, I. Bakutienės manymu, rodo, kad PSD3 pasirengimą reikėtų vertinti „ne kaip vien licencijos pakeitimą, o kaip platesnę įmonės verslo modelio, valdymo, kapitalo, technologijų ir klientų apsaugos procesų peržiūrą“.
PSD3 ir PSR: pasirengimas prasideda dabar
PSD3 ir PSR terminai prasidės tik po formalaus paskelbimo, tačiau licencijos, kapitalo, valdymo ir IT sistemų pakeitimams reikia laiko. Ekspertų patarimai sutampa: atlikti spragų vertinimą, sustiprinti VoP ir sukčiavimo prevenciją, peržiūrėti realų buvimą Lietuvoje. Kadangi daugelį reikalavimų teks įgyvendinti mokėjimų sistemose, teisininkams, atitikties specialistams ir IT komandai verta dirbti kartu nuo pat pradžių.
