PSR

Definición

El PSR (Payment Services Regulation, o Reglamento de servicios de pago) es el reglamento europeo que la Comisión propuso el 28 de junio de 2023 junto con la DSP3, con la referencia COM(2023) 367. La DSP3 conserva la autorización y la supervisión de las entidades. El PSR recoge el resto de la DSP2: los derechos y obligaciones ligados a los pagos, el acceso de los TPP a las cuentas, la SCA y la lucha contra el fraude.

Los números de artículo citados en esta página son los del texto de compromiso del 17 de abril de 2026 (Consejo, doc. 8221/26). La posición del Consejo en primera lectura del 21 de octubre de 2026 (doc. 8543/26), revisada por los juristas-lingüistas, renumera los artículos, y esta página aún no ha adoptado la nueva numeración.

Por qué un reglamento

La DSP2 es una directiva. Cada Estado la transpuso a su manera, y tanto los bancos como los TPP trabajan con reglas nacionales algo distintas. Un reglamento se aplica tal cual en todos los Estados miembros, sin transposición. Las autoridades nacionales siguen encargadas del control y tienen que conseguir que se retiren los obstáculos que un TPP les comunique (art. 48), pero el texto que aplican es el mismo en todas partes.

En qué punto está el texto

El PSR no se ha adoptado ni se ha publicado en el Diario Oficial. Su procedimiento, el 2023/0210(COD), sigue el mismo camino que el de la DSP3.

A 25 de octubre de 2026, el Observatorio Legislativo del Parlamento indica una sesión plenaria el 14 de diciembre de 2026, a título orientativo. El 21 de octubre de 2026 el Consejo difundió su posición en primera lectura, ya traducida al español, e inscribió su adopción en la lista provisional de puntos A de su reunión del 29 de octubre de 2026.

Cómo se calcula la aplicación

El artículo 112 no da ninguna fecha de calendario. El reglamento entra en vigor el vigésimo día después de su publicación en el Diario Oficial. A esa fecha la llamamos T.

• En T solo se aplican los artículos 85a (exención de SCA para ciertas transferencias recurrentes) y 108a (pagos con tokens de dinero electrónico).
• En T + 21 meses se aplica todo el resto del reglamento y la DSP2 queda derogada (art. 48 de la DSP3).
• En T + 27 meses se aplican la verificación del beneficiario ampliada a todas las transferencias (art. 50) y la responsabilidad que la acompaña (art. 57).

Hasta T + 21 meses siguen rigiendo la DSP2 y el Reglamento Delegado 2018/389 sobre la SCA y la comunicación. La EBA tiene que entregar sus nuevos proyectos de RTS sobre la SCA y las interfaces doce meses después de la entrada en vigor (art. 89). El texto no dice qué pasa con el Reglamento 2018/389 después de T + 21 meses si esos RTS todavía no son aplicables.

El Open Banking, artículos 33 a 48

La interfaz dedicada pasa a ser obligatoria para todo banco que ofrezca una cuenta de pago accesible en línea (art. 35(1)). Desaparece el mecanismo de respaldo a través de la interfaz de cliente, que los RTS actuales imponen salvo exención. Quedan dos salidas. La autoridad puede, a petición del banco, autorizarlo a exponer su interfaz de cliente en lugar de la dedicada o eximirlo de tener interfaz (art. 39). Un TPP también puede usar «excepcionalmente» otra interfaz segura y eficaz (art. 45(1)), con el acuerdo del banco según el considerando 68a.

El texto no fija ningún umbral numérico de disponibilidad, latencia o tasa de error. Exige paridad con la interfaz de cliente en tiempo de respuesta, disponibilidad y rendimiento (art. 36(1)(c), 37(1) y 38). Se presume que la interfaz no está disponible tras cinco peticiones consecutivas que reciben un error de servidor o no obtienen respuesta en 30 segundos. Un mantenimiento programado se anuncia con un mes de antelación y, en principio, se hace entre las 0:00 y las 6:00, hora local del banco (art. 38). El banco publica cada trimestre sus estadísticas de disponibilidad y rendimiento junto a las de su interfaz de cliente (art. 35(5)). La EBA tiene que precisar su formato y el plazo de restablecimiento tras una caída en un RTS previsto para nueve meses después de la entrada en vigor (art. 38(5)).

Un cambio en las especificaciones de la interfaz se publica al menos dos meses antes de su puesta en producción, frente a los tres meses actuales (art. 35(4)).

El banco tiene que integrar en su interfaz un panel de los consentimientos otorgados a los AISP, y a los PISP para pagos múltiples o recurrentes (art. 43). En él, el cliente ve el TPP, la cuenta, la finalidad, la duración y las categorías de datos. Puede retirar un acceso en cualquier momento, restablecerlo en un plazo de 48 horas y consultar el historial durante dos años. El TPP transmite al banco la información de cada nuevo consentimiento, y el banco avisa al TPP de cualquier retirada, en ambos casos «sin demora injustificada». El texto no exige tiempo real.

El artículo 44 enumera doce obstáculos prohibidos, y la lista no es exhaustiva. Entre ellos están pedir más SCA que en el canal directo del banco, añadir pasos en un flujo de redirección o desacoplado, o exigir dos SCA en un mismo flujo de iniciación.

Del lado de los AISP, el banco atiende las peticiones esté o no presente el cliente (art. 41). El límite de cuatro accesos diarios sin el cliente, que figura en los RTS actuales, no aparece en el compromiso.

Del lado de los PISP, el artículo 36(4) fija un mínimo: transferencias periódicas, pagos con fecha futura, pagos a varios beneficiarios y verificación del nombre del titular de la cuenta antes de la iniciación. El PISP recibe una respuesta sí o no sobre la disponibilidad de fondos (art. 36(5)). Se suprime el servicio autónomo de confirmación de fondos para los emisores de tarjetas (CBPII, artículo 65 de la DSP2).

El acceso regulado sigue sin requerir contrato con el banco (art. 34). Un banco puede cobrar por API que ofrezcan servicios más allá del reglamento, y el considerando 56 cita los pagos recurrentes variables.

La SCA, artículos 85 a 89

La definición de la SCA no cambia (art. 3(35)). El banco solo aplica su SCA en el primer acceso de un AISP concreto, salvo sospecha de fraude (art. 86(3)). Después es el AISP quien aplica una SCA, al menos cada 180 días, cuando el cliente consulta sus datos a través de él, con su propia SCA o con la del banco (art. 86(4)).

El PISP elige el procedimiento de autenticación cuando el banco ofrece varios (art. 36(4)(ha)). Las exenciones se remiten a los RTS de la EBA, que fijará sus criterios (art. 85(11)). El compromiso no contiene ningún umbral en euros. Por último, un PSP tiene que ofrecer gratis al menos un método de SCA adaptado a cada cliente, y no puede hacer depender la SCA de tener un smartphone, salvo que el cliente haya elegido un servicio solo móvil (art. 88).

Fraude y reembolso

El artículo 59 crea un único derecho de reembolso nuevo. Cubre al consumidor manipulado por alguien que se hace pasar por su propio banco usando canales atribuidos a ese banco (número de teléfono, dirección de e-mail, web, aplicación, incluidas sus copias fraudulentas). El banco reembolsa el importe total si el cliente le avisó sin demora y presentó denuncia. Tiene quince días hábiles para reembolsar o justificar una negativa. Los demás fraudes por manipulación (falsa inversión, estafa romántica, factura falsa, falso policía) no están cubiertos por este derecho.

Los PSP tienen que participar en mecanismos de intercambio de datos de fraude (art. 83a). La verificación del beneficiario se extiende a todas las transferencias, incluidas las que no son en euros, en T + 27 meses (art. 50). El plazo para impugnar una operación no autorizada pasa de 13 a 18 meses (art. 54).

Sanciones

Para los incumplimientos del capítulo de Open Banking y de los artículos 85 a 87 sobre la SCA, los Estados miembros tienen que prever una multa cuyo máximo llegue al menos al 10% de la facturación anual en el caso de una persona jurídica, y al menos a 3 millones de euros en el de una persona física (art. 97). Se pueden imponer multas coercitivas diarias durante seis meses como máximo (art. 98).

Lo que queda por redactar

El compromiso encarga a la EBA once normas y directrices para el PSR y siete para la DSP3, según un recuento hecho sobre los textos. A finales de septiembre de 2026, la EBA no había publicado ni lista, ni hoja de ruta, ni consulta. Los primeros proyectos se esperan nueve meses después de la entrada en vigor (estadísticas de las interfaces), luego a los doce meses (SCA, exenciones, estándares de comunicación) y a los dieciocho meses (datos sobre el acceso de los TPP que hay que remitir a las autoridades, art. 48(8)). El texto no habla de certificados eIDAS ni de ningún estándar de API concreto. La identificación de los TPP la precisarán esos RTS (art. 89), y hasta entonces siguen rigiendo los certificados cualificados del Reglamento 2018/389.

PSR frente a DSP3: qué contiene cada uno

• La DSP3 (directiva) cubre la autorización, el capital, la protección de fondos y la supervisión de las entidades de pago, incluidos los emisores de dinero electrónico.
• El PSR (reglamento) contiene las reglas de ejecución de los pagos: información a los clientes, Open Banking, SCA, fraude, responsabilidades y reembolsos.

En el ecosistema PSD2

Para un banco o un TPP, el PSR es el texto que hay que leer. Los artículos 35 a 44 y 85 a 89 ya describen la mayoría de las obligaciones de interfaz. Lo que falta se conoce: la identificación de los TPP, los umbrales de exención de SCA y el formato de las estadísticas.

Ejemplos concretos

• Un banco que hoy mantiene una interfaz de respaldo podrá cerrarla. A cambio, tendrá que publicar cada trimestre la disponibilidad y el rendimiento de su interfaz dedicada, comparados con los de su web y su aplicación.
• Un agregador dejará de mandar a sus clientes al banco para una nueva SCA cada 180 días. Aplicará él mismo una SCA cuando el cliente consulte sus cuentas a través de él. En el lado del banco, hay que revisar la duración de los tokens y de los consentimientos pensada para la regla actual.
• Un cliente que retira el acceso de un agregador desde el panel de su banco puede restablecerlo durante 48 horas. Hace falta por tanto una API en los dos sentidos entre banco y TPP. STET 1.6.3 no tiene hoy ni estado de consentimiento ni notificación para este intercambio.
• Un cliente al que llama un falso asesor que muestra el número de su banco, y que hace una transferencia siguiendo sus instrucciones, podrá pedir el reembolso íntegro si avisó a su banco y presentó denuncia. El mismo cliente, víctima de una falsa inversión en criptoactivos, no tiene ese derecho en virtud del PSR.
• Un PISP podrá programar una transferencia periódica o pagar a varios beneficiarios en todos los bancos, ya que el artículo 36(4) lo convierte en un mínimo.