PSD2 ir PSD3: svarbiausi reguliavimo pokyčiai
PSD3 iš esmės pertvarko visą sistemą. Didžiausias pokytis yra tai, kad dauguma veiklos vykdymo taisyklių iš direktyvos perkeliamos į PSR. Šis reglamentas tiesiogiai taikomas visose 27 valstybėse narėse. Taip dingsta į nacionalinę teisę perkeliant atsiradę skirtumai, dėl kurių PSD2 skirtingose šalyse buvo aiškinama nevienodai.
PSD2 pasiekė daug: atvėrė trečiųjų šalių paslaugų teikėjams (angl. third-party providers) prieigą prie sąskaitų ir griežtą kliento autentiškumo patvirtinimą (angl. strong customer authentication, SCA) padarė baziniu reikalavimu. Vis dėlto Europos Komisijos atlikta peržiūra atskleidė keletą trūkumų. Perkeliant direktyvą į nacionalinę teisę liko erdvės reguliaciniam arbitražui, o API kokybė skirtingose šalyse labai skyrėsi. Be to, MĮ ir EPĮ veiklą reglamentavo du atskiri teisės aktai su skirtingais standartais. PSD3 sprendžia visas keturias problemas:
- Sistema padalijama į direktyvą (PSD3 apima licencijavimą ir prudencinę priežiūrą) ir reglamentą (PSR apima kasdienes veiklos vykdymo taisykles). Reglamentas taikomas vienodai, be nacionalinių įgyvendinamųjų teisės aktų.
- Elektroninių pinigų direktyva įtraukiama į PSD3. EPĮ tampa licencijuojamu MĮ pogrupiu, kurį prižiūri pagal vieną priežiūros režimą.
- Panaikinamos aiškinimo „pilkosios zonos“. Pavyzdžiui, ribotojo tinklo išimtis (angl. Limited Network Exemption) pagal PSD2 buvo taikoma nevienodai. Dabar jos sąlygas tiesiogiai apibrėžia PSR, ir visur jos taikomos tomis pačiomis sąlygomis.
- Klaidos kainuos brangiau. Skelbiama, kad didžiausios baudos sieks iki 4 proc. metinės apyvartos arba 20 mln. eurų. Tokio pat lygio baudas numato Bendrasis duomenų apsaugos reglamentas (BDAR), todėl įmonių valdybos į jas turės žiūrėti rimtai.
Įmonėms, kurios veikia Baltijos šalyse ir visoje ES, praktinė išvada tokia: nuo Vilniaus iki Lisabonos dabar galioja vienas PSR veiklos vykdymo standartas. Tačiau licencijas vis dar išduoda, prižiūri ir kasdien su įmonėmis bendrauja nacionalinės institucijos. Todėl ir pagal PSD3 svarbu, kurios šalies institucija bus jūsų pagrindinė priežiūros institucija.
Mokėjimo paslaugų reglamento (PSR) sistema
Daugumą PSD3 pokyčių, kurie realiai paveiks kasdienę veiklą, įtvirtina PSR. Reglamentas taikomas tiesiogiai, todėl jam įsigalioti nereikia nacionalinio įstatymo. Vos įsigaliojus PSR, visur pradės galioti tos pačios SCA, skaidrumo, atvirosios bankininkystės (angl. open banking) prieigos bei atsakomybės už sukčiavimą taisyklės. Nereikės laukti nacionalinių parlamentų, neliks ir vietinių formuluočių ypatumų.
Produktų ir inžinerijos komandoms svarbiausi du PSR pokyčiai:
- Kaip trečiųjų šalių paslaugų teikėjai gali išlaikyti ilgalaikę prieigą prie klientų sąskaitų be pakartotinio tapatybės patvirtinimo.
- Kaip bankai turi užtikrinti tokią prieigą kurdami reikiamas sąsajas, nebegalėdami remtis ankstesniu atsarginiu sprendimu.
180 dienų SCA pakartotinio patvirtinimo taisyklė
Iš pradžių pagal PSD2 klientas kas 90 dienų turėjo iš naujo patvirtinti tapatybę savo banke, kad sąskaitos informacijos paslaugų teikėjas (angl. account information service provider, AISP) išlaikytų prieigą. Dėl to sąskaitų agregavimo ir biudžeto planavimo programėlių naudojimas dažnai nutrūkdavo. Nuo 2023 m. šis laikotarpis pailgintas 180 dienų. PSR šią tvarką įtvirtina reglamente ir pakeičia atsakomybę: pirmą kartą prieigą patvirtina bankas, o vėliau ne rečiau kaip kas 180 dienų SCA atlieka pats AISP, todėl klientui nebereikia grįžti į banką. Produktams, kurie veikia agreguodami sąskaitų duomenis, tai labai sumažina klientų praradimą dėl pasikartojančių patvirtinimo užklausų. Tai išlaidų sekimo programėlės, kredito rizikos vertinimo įrankiai ir atvirosios bankininkystės skydeliai.
Nauji API standartai: atsarginių sąsajų atsisakymas
Pagal PSD2 bankai trečiųjų šalių paslaugų teikėjams galėjo suteikti prieigą per specialiąją API (angl. dedicated API). Jei ta API neatitiko standartų, galėjo pasitelkti atsarginę sąsają (angl. fallback interface), t. y. pakoreguotą banko klientams skirtos sąsajos versiją. Praktikoje ši atsarginė galimybė tapo savotiška spraga sistemoje. Visoje ES veikia tūkstančiai sąskaitą tvarkančių mokėjimo paslaugų teikėjų. Dalis jų sukūrė prastai veikiančias specialiąsias sąsajas, žinodami, kad atsarginis variantas juos apdraus. PSR atsarginės sąsajos reikalavimo atsisako.
- Kiekviena specialioji sąsaja dabar turi veikti taip pat patikimai ir greitai, kaip ir paties banko klientams skirta programėlė.
- Ekrano duomenų nuskaitymas (angl. screen scraping) visiškai uždraustas.
- Nacionalinės priežiūros institucijos privalo nedelsdamos imtis veiksmų, jei sąsajos pasiekiamumas, reagavimo į incidentus terminai ar funkcionalumas neatitinka reikalavimų.
PSR nenustato vieno privalomo techninio API standarto. Išsamias specifikacijas toliau formuoja standartizacijos organizacijos, pavyzdžiui, Berlin Group, STET bei PolishAPI. Vis dėlto reglamentas nustato gerokai aukštesnę privalomą veikimo kartelę. Jis taip pat draudžia dirbtines kliūtis (papildomus autentiškumo patvirtinimo žingsnius, neišsamius duomenų laukus), kuriomis bankai anksčiau lėtino trečiųjų šalių prieigą.
Baltijos šalių priežiūros institucijų vaidmuo: kaip Lietuva, Latvija ir Estija įgyvendina PSD3
PSR suvienodina veiklos vykdymo taisykles, tačiau pagal PSD3 leidimai ir kasdienė priežiūra atliekama nacionaliniu lygmeniu. Todėl pagrindinės priežiūros institucijos pasirinkimas išlieka svarbus. Visos trys Baltijos šalių priežiūros institucijos garsėja kaip lengvai prieinamos ir skaitmeniškai pažangios licencijas išduodančios institucijos. Iš dalies būtent todėl regione jau dabar veikia neproporcingai didelė ES MĮ ir EPĮ dalis.
- Lietuva. Lietuvos bankas per pastarąjį dešimtmetį išdavė didelę dalį visų ES EPĮ licencijų. Jis taip pat pats tiesiogiai teikia pareiškėjams savo SEPA prieigos paslaugą CENTROlink.
- Latvija. Latvijas Banka prižiūri MĮ ir EPĮ pagal aiškiai apibrėžtus realios veiklos reikalavimus. Be to, šalyje nepaskirstytam, įmonėje paliktam pelnui taikomas 0 proc. pelno mokesčio tarifas.
- Estija. Finantsinspektsioon garsėja skaitmeniniais priežiūros procesais, o paraiškas licencijai galima teikti elektroniniu būdu. Nuo 2026 m. kovo paraiškas licencijai gauti reikia teikti per jos internetinį paraiškų portalą.
Daug grupių jau turi licenciją vienoje Baltijos šalyje ir pagal ES pasą (angl. passporting) teikia paslaugas kitose dviejose arba Šiaurės šalyse. Joms PSD3 reikalavimas iš naujo gauti leidimą yra gera proga peržiūrėti, kurios jurisdikcijos institucija turėtų likti pagrindine grupės priežiūros institucija.
Baltijos šalių skaitmeninės tapatybės priemonių (Smart-ID ir Mobile-ID) integravimas su naujais SCA standartais
PSR aiškiai nurodo, kad mokėjimo paslaugų teikėjai negali SCA tiesiogiai ar netiesiogiai sieti su išmaniojo telefono turėjimu. Jie privalo pasiūlyti bent vieną autentiškumo patvirtinimo būdą, kuriam išmaniojo telefono nereikia. Taip siekiama aptarnauti vyresnio amžiaus klientus, žmones su negalia bei skaitmeninę atskirtį patiriančius asmenis. Baltijos šalyse tokia infrastruktūra iš esmės jau yra.
- Smart-ID – regione dominuojanti mobiliosios tapatybės nustatymo paslauga – turi aukščiausią eIDAS patikimumo lygį. Lietuvoje, Latvijoje ir Estijoje ja jau naudojasi milijonai naudotojų.
- Senesnė Mobile-ID ir nacionalinių asmens tapatybės kortelių infrastruktūra vis dar aktyviai naudojama kartu su Smart-ID. Tai papildomi, nuo išmaniojo telefono nepriklausantys būdai.
- Pagal lygiagrečiai galiojančią eIDAS 2.0 sistemą kiekviena valstybė narė iki 2026 m. pabaigos taip pat turi suteikti piliečiams ES skaitmeninės tapatybės piniginę (angl. EU Digital Identity Wallet). Bankai, MĮ ir EPĮ privalės priimti piniginėje saugomus tapatybės duomenis SCA tikslais.
Baltijos šalių PSP, kurie jau naudoja „Smart-ID“ ar „Mobile-ID“, PSD3 pereinamąjį laikotarpį pasitinka gerokai pasirengę, nes reikiama autentifikavimo infrastruktūra pas juos jau veikia, nors daugelis kitų ES šalių ją dar tik rengiasi ją diegti.
Prieigos raktų, FIDO2 ir WebAuthn vieta naujoje sistemoje
Be nacionalinių eID sistemų, tikimasi, kad PSD3 ir PSR suteiks aiškų reguliacinį pagrindą dar vienam autentifikavimo pokyčiui, kuris jau įgauna pagreitį visoje rinkoje – perėjimui prie FIDO2/WebAuthn pagrįstų prieigos raktų („passkeys“). Ši technologija leidžia atsisakyti slaptažodžių ir juos pakeisti su konkrečiu įrenginiu susieta kriptografinių raktų pora.
Vienas autentifikavimo faktorius yra naudotojo turimas įrenginys, kuriame saugomas unikalus kriptografinis raktas, o antrasis – PIN kodas, piršto atspaudas arba veido atpažinimas. Todėl prieigos raktai jau atitinka griežtam kliento autentifikavimui (SCA) taikomus dviejų veiksnių reikalavimus ir yra laikomi atspariais sukčiavimo atakoms.
Prieigos raktai naudojami keliais būdais:
- Prie konkretaus įrenginio susieti prieigos raktai, saugomi telefone, nešiojamajame kompiuteryje ar fiziniame saugumo rakte, yra lengviausiai laikomi atitinkančiais SCA reikalavimus. Taip yra todėl, kad tiek turėjimo faktorius, tiek biometrinis ar PIN kodo patvirtinimas išlieka susieti su vienu fiziniu įrenginiu.
- Debesyje sinchronizuojami prieigos raktai, pavyzdžiui, naudojami per „Apple iCloud Keychain“ ar „Google Password Manager“, reguliavimo požiūriu vis dar patenka į pilkąją zoną. Nors jie yra patogūs ir nepriklauso nuo konkretaus įrenginio, kol kas nėra aiškiai patvirtinta, kad visiškai atitinka reikalavimus, nes pats autentifikavimo raktas teoriškai gali egzistuoti ne viename vartotojo turimame įrenginyje.
- Kai prekybininkas, skaitmeninė piniginė ar mokėjimų vykdymo platforma banko vardu naudoja prieigos raktus kliento autentifikavimui atlikti, toks modelis laikomas deleguotuoju autentifikavimu. Tai yra reguliuojama išorės paslaugų teikimo forma, kuriai taikomi Europos bankininkystės institucijos (EBA) gairių ir DORA reikalavimai, įskaitant tiekėjo patikrą, rašytines sutartis ir audito teisių užtikrinimą. EBA yra ES agentūra, rengianti bendras bankų ir mokėjimo paslaugų sektoriaus priežiūros taisykles ir gaires, kad jos būtų vienodai taikomos visose valstybėse narėse.
Baltijos šalių mokėjimo paslaugų teikėjams prieigos raktus geriausia vertinti kaip papildomą autentiškumo patvirtinimo kanalą, o ne Smart-ID ar Mobile-ID pakaitalą. Nacionalinės eID schemos pačios atitinka reikalavimą nepriklausyti nuo išmaniojo telefono. Su įrenginiu susieti prieigos raktai programėlėms ir svetainėms suteikia greitą, sukčiavimo atakoms atsparų būdą. Jis tinka didelei daliai klientų, kurie tapatybę patvirtina išmaniuoju telefonu ar nešiojamuoju kompiuteriu.
Esminis pokytis – klientų leidimų valdymo skydeliai
PSD3 ir PSR kartu su atnaujintomis autentiškumo patvirtinimo taisyklėmis suteikia klientams daugiau kontrolės, kai jie dalijasi duomenimis atvirojoje bankininkystėje. Pagal PSD2 bankai privalėjo suteikti prieigą įgaliotiems trečiųjų šalių paslaugų teikėjams. Tačiau davę sutikimą klientai dažnai nematydavo, kurios organizacijos vis dar turi prieigą prie jų sąskaitos duomenų.
PSD3 šią problemą sprendžia klientų leidimų valdymo skydeliais. Juose naudotojai patys gali peržiūrėti, valdyti ir atšaukti leidimus dalytis duomenimis. Tikslas – didesnis skaidrumas, geresnė finansinių duomenų kontrolė bei atvirosios bankininkystės paslaugos, kuriomis žmonės tikrai gali pasitikėti.
Baltijos šalių PSP, bankams ir EPĮ sutikimų valdymas tampa ne tik atitikties, bet ir klientų patirties klausimu. Klientams skirtos sutikimų valdymo paskyros turi būti susietos su autentifikavimo sistemomis, sutikimų duomenimis ir atvirosios bankininkystės API, kad naudotojai aiškiai matytų, kurie AISP ir PISP gali pasiekti jų duomenis.
Kartu su griežtesniais PSD3 autentifikavimo reikalavimais ir atsarginių sąsajų panaikinimu, tai prisideda prie saugesnės, skaidresnės ir labiau į klientą orientuotos atvirosios bankininkystės ekosistemos nei ta, kuri buvo sukurta pagal PSD2.
Baltijos ir Šiaurės šalių mokėjimų koridoriaus suderinimas
2017 m. Lietuva, Latvija ir Estija kartu su keliomis Šiaurės ir Vakarų Europos rinkomis buvo tarp pirmųjų aštuonių ES šalių, pradėjusių teikti visos Europos momentinius mokėjimus. Dėl šio ankstyvo suderinimo Baltijos ir Šiaurės šalių koridorius tapo vienu brandžiausių momentinių mokėjimų būdų Europoje. PSD3 ir PSR šį pranašumą sustiprina:
- gavėjo patikra (angl. Verification of Payee) bus vienodai taikoma visiems kredito pervedimams – ir šalies viduje, ir tarp šalių,
- vienodos sukčiavimo prevencijos ir atsakomybės taisyklės galios visose ES valstybėse, todėl tarpvalstybiniai mokėjimai, pavyzdžiui, tarp Baltijos ir Šiaurės šalių, vyks pagal tuos pačius reikalavimus,
- vienodi atvirosios bankininkystės API reikalavimai sumažins skirtumus tarp šalių bankų.
Lietuvos banko CENTROlink: tiesioginė nebankinių įstaigų prieiga prie mokėjimų sistemų
„CENTROlink“, kurį Lietuvos bankas pradėjo 2015 m., jau dabar suteikia tai, ką PSR siekia užtikrinti visos ES mastu: mokėjimo ir elektroninių pinigų įstaigos gali tiesiogiai prisijungti prie SEPA mokėjimų infrastruktūros naudodamos savo BIC kodus ir IBAN numerių diapazonus, nepasitelkdamos komercinio banko kaip tarpininko. Pagal naudojimąsi „CENTROlink“ yra viena didžiausių tokio pobūdžio prieiga Europoje ir aptarnauja didelę dalį mokėjimo bei elektroninių pinigų įstaigų SEPA operacijų. Be to, sistema šiuo metu padeda rinkos dalyviams pereiti prie visaverčio tiesioginio dalyvavimo modelio.
PSR suteikia nebankiniams mokėjimo paslaugų teikėjams naują teisę jungtis prie nustatytų ES mokėjimų sistemų, įskaitant T2 (anksčiau – TARGET2), tiesiogiai, o ne per tarpininkaujantį banką. Taip CENTROlink modelis iš esmės išplečiamas visoje ES. Vadinasi, Baltijos šalių įstaigos, kurių veikla jau paremta tiesiogine prieiga prie atsiskaitymų sistemų, keleriais metais lenkia kitų šalių mokėjimo paslaugų teikėjus, kurie tai pradeda planuoti tik dabar.
Naujos sukčiavimo prevencijos taisyklės: privalomas IBAN ir gavėjo vardo atitikties tikrinimas
Greičiausiai klientai pajus PSR nuostatas dėl sukčiavimo. Būtent jos labiausiai skiriasi nuo PSD2. Kai kredito pervedimui netaikomos atskiros momentinių mokėjimų taisyklės, mokėjimo paslaugų teikėjai prieš atlikdami mokėjimą privalo patikrinti, ar gavėjo vardas atitinka IBAN ar kitą unikalųjį identifikatorių. Jei duomenys nesutampa, mokėtoją reikia įspėti realiuoju laiku. Šis mechanizmas paprastai vadinamas gavėjo patikra. Momentiniams mokėjimams ji privaloma nuo 2025 m. spalio, o visiems kitiems kredito pervedimams pagal PSR bus taikoma praėjus 27 mėnesiams nuo reglamento įsigaliojimo.
Kartu griežtėja ir atsakomybės taisyklės:
- Jei sukčius apsimeta banko darbuotoju ir manipuliuodamas įtikina klientą patvirtinti mokėjimą, bankas privalo grąžinti visą sumą be jokių ribų. Sąlyga – klientas apie sukčiavimą pranešė policijai ir informavo paslaugų teikėją.
- Įrodinėjimo pareiga pereina bankui. Norėdamas atsisakyti grąžinti pinigus, jis turi įrodyti, kad klientas veikė nesąžiningai arba elgėsi labai neatsargiai.
- Mokėjimo paslaugų teikėjai taip pat privalo stebėti operacijas pagal riziką ir naudotojų elgseną. PSR numato aiškią BDAR apribojimų išimtį, kad mokėjimo paslaugų teikėjai galėtų tarpusavyje dalytis informacija apie sukčiavimą.
- Jei sukčiavimas prasidėjo socialinių tinklų platformoje, kuri buvo informuota apie apgaulingą turinį, bet jo nepašalino, bankas, grąžinęs pinigus klientui, gali reikalauti, kad juos atlygintų ta platforma. Taip atsakomybės grandinė gerokai peržengia bankų sektoriaus ribas.
FiDA ir PSD3: nuo atvirosios bankininkystės prie atvirųjų finansų
Finansinių duomenų prieigos reglamentas (FiDA) yra atskira, bet glaudžiai susijusi sistema, kuri veikia lygiagrečiai su PSD3 ir PSR. Šiuo metu tai dar reglamento projektas, dėl kurio ES institucijos tebederasi. PSD3 ir PSR reglamentuoja prieigą prie mokėjimo sąskaitų, t. y. atvirosios bankininkystės sluoksnį. FiDA tą pačią prieigos ir sutikimų logiką taiko kur kas platesniam finansinių duomenų ratui: santaupoms, hipotekos paskoloms, pensijoms, investicijoms bei draudimui. PSD3 apima pinigų pervedimą ir einamosios sąskaitos duomenų skaitymą, o FiDA – visą likusį kliento finansinį gyvenimą.
Taikymo sritis
PSD3 ir PSR taikomi tik mokėjimo sąskaitoms. FiDA apima investicijų, pensijų, hipotekos paskolų ir draudimo duomenis, kuriuos turi kur kas platesnis finansų įstaigų ratas.
Atlygis
Pagal PSD3 ir PSR prieiga prie sąskaitos informacijos paprastai nemokama. FiDA aiškiai leidžia duomenų turėtojams imti mokestį už prieigą pagal komercines dalijimosi duomenimis schemas.
Architektūra
FiDA grindžiama prielaida, kad bankas gali skirtingų tipų duomenimis dalytis su skirtingais autorizuotais gavėjais pagal detaliai apibrėžtas prieigos teises. Tačiau tradicinės, vientisos pagrindinės bankininkystės sistemos paprastai nėra pritaikytos tokiam lankstumui, todėl dažnai tenka pereiti prie modulinės, mikropaslaugomis pagrįstos architektūros.
Baltijos šalių finansinių technologijų įmonėms, kurios jau kuria sprendimus pagal PSD3 laikotarpio specialiąsias API, FiDA geriausia vertinti kaip kitą tos pačios infrastruktūros investicijos etapą, o ne atskirą projektą. Didelę dalį sutikimų valdymo ir leidimų skydelių darbų, kurių reikia PSD3 atitikčiai, bus galima panaudoti ir ruošiantis FiDA.
Vieningas MĮ ir EPĮ licencijavimas
PSD3 panaikina Elektroninių pinigų direktyvą (EMD2) kaip atskirą teisės aktą, todėl EPĮ tampa mokėjimo įstaigomis, turinčiomis teisę teikti elektroninių pinigų paslaugas. Taisyklės paprastėja, bet perėjimas išlieka sudėtingas: kiekviena veikianti EPĮ turės įrodyti, kad atitinka naujuosius reikalavimus. Kas keičiasi EPĮ licencijoje ir kapitalo reikalavimuose ir ar įstaigos jau vėluoja su perregistravimu, teisininkės išsamiau aptaria interviu apie PSD3 ir PSR Lietuvoje.H3: Atitikties supaprastinimas: elektroninių pinigų direktyvos įtraukimas į PSD3
Skelbiama, kad esami nebankiniai mokėjimo paslaugų teikėjai, įskaitant EPĮ, nuo PSD3 įsigaliojimo turės maždaug 27 mėnesių pereinamąjį laikotarpį prisitaikyti prie naujo leidimų režimo. Per šį laikotarpį EPĮ turės įrodyti, kad atitinka PSD3, jei nori ir toliau turėti MĮ leidimą. Įmonėms, kurių atitikties komanda nedidelė, tai nėra formalumas. Joms teks iš naujo pateikti valdymo, kapitalo, lėšų apsaugos bei informacinių ir ryšių technologijų (IRT) rizikos valdymo dokumentus pagal aiškesnius PSD3 standartus. Šie standartai dabar labiau suderinti su DORA lūkesčiais dėl incidentų valdymo ir trečiųjų šalių rizikos.
Ką EPĮ verta daryti jau dabar:
- Palyginti esamus leidimo dokumentus su naujais PSD3 reikalavimais.
- Pažymėti visus užsakomųjų paslaugų ar deleguoto autentiškumo patvirtinimo susitarimus, kuriems reikės atnaujintų rašytinių sutarčių su audito teisėmis.
- Anksti užmegzti ryšį su savo priežiūros institucija, o ne laukti galutinių EBI techninių standartų.
PSD3 ir PSR terminai: ką jie reiškia Baltijos šalių mokėjimų verslui?
PSD3 ir PSR nėra įprasti atnaujinimai. Jie iš naujo nustato, kaip MĮ ir EPĮ patvirtina klientų tapatybę, dalijasi duomenimis, įrodo, kad nėra kaltos dėl sukčiavimo nuostolių, ir jungiasi prie atsiskaitymų sistemų.
Lietuva, Latvija ir Estija šiems pokyčiams pasirengusios geriau nei daugelis ES šalių. Jose susiformavusi brandi momentinių mokėjimų praktika, o tarp skaitmeninės tapatybės priemonių yra ir nuo išmaniojo telefono nepriklausančių būdų (Mobile-ID, asmens tapatybės kortelės), kurių reikalauja PSR. Be to, šių šalių priežiūros institucijos turi patirties licencijuojant daug EPĮ.
Ši pradinė persvara nepanaikina likusių atitikties darbų, o naujosios taisyklės įsigalios ne iš karto. Pagal galutinį suderintą tekstą:
- abu teisės aktai įsigalios praėjus 20 dienų nuo paskelbimo Oficialiajame leidinyje;
- per 21 mėnesį nuo įsigaliojimo valstybės narės turės perkelti PSD3 į nacionalinę teisę. Tą pačią dieną bus panaikintos PSD2 ir Elektroninių pinigų direktyva, o pradės būti taikomos bendrosios PSR nuostatos;
- jau veikiančioms MĮ ir EPĮ numatytas iki 27 mėnesių pereinamasis laikotarpis prisitaikyti prie naujojo režimo. Per tą patį laikotarpį gavėjo patikra bus išplėsta visiems kredito pervedimams.
Konkrečias datas reikės skaičiuoti nuo faktinio teisės aktų įsigaliojimo, o ne nuo prognozuojamų paskelbimo datų. Tikėtina, kad pagrindiniai terminai sueis 2028–2029 m. Gavėjo patikra, leidimų skydeliai, specialiosios API ir EPĮ perėjimas prie naujojo leidimų režimo privalomi nepriklausomai nuo jurisdikcijos, tačiau Baltijos šalyse licencijuotos įmonės iki finišo turi nueiti trumpesnį kelią nei dauguma ES įmonių.
