PSD3 och PSR 2026: evolution, inte revolution — men tidsramen är pressad

När EU-parlamentet och rådet i november 2025 enades om PSD3-direktivet och PSR-förordningen markerade det slutet på en tvåårig förhandlingsrunda. Nu står det klart: det formella antagandet väntas under Q2 2026, och därefter börjar en 18–24 månader lång nedräkning tills PSR träder i kraft som direkt tillämplig lag. För svenska banker innebär det en implementeringsfönster som sträcker sig in i 2028.

Men mycket tyder på att många banker underskattar hur mycket arbete som återstår.

Vad är Payment Services Package?

EU-kommissionen lade fram sitt förslag i juni 2023. Paketet består av tre delar: det omarbetade PSD3-direktivet, den nya PSR-förordningen och ramverket FIDA (Financial Data Access). Tillsammans utgör de EU:s mest omfattande uppdatering av betalningsregleringen sedan PSD2 trädde i kraft 2018.

PSD2 fick mycket rätt. Direktivet tvingade fram stark kundautentisering (SCA), öppnade upp för Open Banking via XS2A-gränssnitt och stärkte konsumenternas rättigheter. Men utvärderingen visade också tydliga brister: bedrägerier via identitetsstöld har ökat, standarderna fragmenterades mellan medlemsländerna och icke-bankbaserade betaltjänstleverantörer har haft svårt att konkurrera på lika villkor. Open Banking fick heller inte det genomslag man hoppats på — oron kring API-kvalitet och datatillgång har bromsat antagandet.

PSD3 och PSR adresserar dessa problem. Fokus ligger på starkare konsumentskydd, förbättrad Open Banking med bättre API-standarder, harmoniserad implementering över medlemsländerna och mer jämlika villkor mellan banker och nyare aktörer.

18–24 månader låter mycket. Det är det inte.

Tidsramen mellan formellt antagande och att PSR blir direkt tillämplig lag uppges till 18–24 månader. Det ger en falsk trygghet. För stora banker räcker knappt tiden till att kartlägga vilka system och processer som påverkas. Mindre banker saknar ofta de resurser som krävs för att ens påbörja analysen.

Det som gör situationen extra ansträngd i Sverige är den samtidiga regulatoriska pressen från andra håll. Instant Payments Regulation (IPR) kräver att banker kan hantera realtidsbetalningar dygnet runt. Bankgirots pågående migration ställer nya krav på infrastruktur. Och ISO20022-övergången för meddelandestandarder drar i sin tur resurser från samma team som nu ska hantera PSD3.

Specialister, arkitekter och compliance-officerare är redan överbelastade. Att lägga ett regelverk av PSD3:s omfattning ovanpå existerande projekt riskerar att skapa flaskhalsar som försenar hela implementeringen.

Fyra fallgropar att undvika

Branscherfarenheten från PSD2-implementationen pekar på några återkommande misstag som banker bör undvika den här gången:

1. Att vänta på slutgiltig text. Det är frestande att avvakta tills varje paragraf är fastställd. Men huvuddragen i PSD3 och PSR är kända sedan länge. Banker som inleder sin gap-analys nu — innan det slutgiltiga antagandet — kommer att ha ett försprång när klockan börjar ticka på allvar.

2. Att se det som ett compliance-problem. PSD3 handlar inte bara om att ticka rutor. Regleringen skapar nya möjligheter — särskilt inom Open Banking och dataåtkomst. Banker som enbart fokuserar på minimikraven missar chansen att använda regleringen som konkurrensverktyg.

3. Att underskatta koordinationsbehovet. PSD3 påverkar IT-infrastruktur, riskhantering, compliance, produktutveckling, bedrägeriförebyggande, drift och kundupplevelse. Det kräver stark central styrning och tydliga beslutsvägar. Utan det blir implementeringen fragmenterad och ineffektiv.

4. Att missa synergier. PSR överlappar med IPR, DORA, ISO 20022 och FIDA. Varje initiativ hanterat isolerat betyder duplicerat arbete. Banker som bygger gemensamma kapaciteter över dessa områden sparar både tid och pengar.

Vad svenska banker borde göra under 2026

2026 bör vara analysens år. Tre åtgärder sticker ut som särskilt viktiga:

Kartlägg gapet nu. Map-pa PSD3- och PSR-kraven mot nuvarande produkter, processer och system. Identifiera vilka avdelningar som påverkas mest och var gapen är störst. Detta arbete kan påbörjas utan att vänta på slutgiltig text.

Prioritera strategiskt. Alla krav är inte lika brådskande. Prioritera utifrån regulatorisk risk, strategiskt värde och beroenden. Vilka system måste ändras först för att möjliggöra andra initiativ?

Säkra kompetens tidigt. Produktägare, tekniska arkitekter, bedrägeriexperter och compliance-experter är redan en bristvara. Banker som väntar för länge riskerar att inte få tag på den kompetens de behöver — eller tvingas betala premie för den.

Slutsats

PSD3 och PSR är ingen revolution. Det är en logisk fortsättning på PSD2, med tydliga förbättringar av konsumentskydd, Open Banking och konkurrensneutralitet. Men det är precis det som gör det farligt att underskatta. Evolution förväntas vara enklare än revolution — och det leder till att organisationer allokerar för lite resurser för sent.

För svenska banker är läget extra pressat. Med IPR, Bankgirots migration och ISO20022 redan på bordet finns det ingen marginal för förseningar. Den som påbörjar sin analys under 2026 och identifierar synergier mellan parallella initiativ kommer att stå betydligt starkare när PSD3 väl blir lag. Den som väntar riskerar att hamna i samma sits som många banker gjorde med PSD2: stressade implementeringar, teknisk skuld och onödigt dyra lösningar.

Källa: 421.se, CGI, EU-kommissionen (april 2026)