Sinds 14 september 2019 is elke handelaar die online betalingen accepteert onderworpen aan PSD2. Door het technische jargon, de uitzonderingen die men moet kennen en de aanstaande wetswijzigingen, begeven veel managers van kleine en zeer kleine bedrijven zich echter nog steeds op onbekend terrein. Het resultaat: niet-conforme betalingsstromen, vermijdbare verlaten winkelwagens en onnodige blootstelling aan fraude. Dit artikel biedt een helder en praktisch overzicht van de richtlijn, wat deze concreet vereist en wat u vandaag nog moet implementeren. Djaboo biedt een speciale module aan: Betalingen.
PSD2: Definitie en doelstellingen van de Europese richtlijn
PSD2, oftewel de Tweede Europese Richtlijn inzake betalingsdiensten (in het Engels: Richtlijn betalingsdiensten 2De Verordening (AP) is een regelgevingstekst die in 2015 door het Europees Parlement is aangenomen en in 2018 in de lidstaten van kracht is geworden. In Frankrijk is deze omgezet door middel van de verordening van 9 augustus 2017 en het decreet van 31 juli 2018, onder toezicht van de Autoriteit voor Prudentieel Controle en Resolutie (ACPR) en de Banque de France.
Het is de opvolger van de eerste Richtlijn betalingsdiensten (PSD1) uit 2007, waarvan het kader ontoereikend was geworden door de opkomst van online handel en de komst van nieuwe spelers in digitale betalingen.
De drie belangrijkste doelstellingen:
De richtlijn is van toepassing wanneer zowel de bank van de betaler als de bank van de handelaar in de EER gevestigd zijn. Het betreft alle aanbieders van betaaldiensten: banken, betaalinstellingen, instellingen voor elektronisch geld, maar ook, indirect, alle handelaars die online kaartbetalingen accepteren.
Sterke klantauthenticatie (SCA): de kern van PSD2
Sterke klantauthenticatie, bekend onder het Engelse acroniem SCA (Sterke klantauthenticatie(verificatie van de identiteit van de betaler) is de meest zichtbare maatregel van PSD2 voor online verkopers. Deze vereist verificatie van de identiteit van de betaler met behulp van ten minste twee verschillende factoren uit de volgende drie categorieën:
Deze twee factoren moeten tot verschillende categorieën behoren en onafhankelijk van elkaar zijn: een compromis met de ene mag geen compromis met de andere opleveren. Ze moeten bovendien dynamisch gekoppeld zijn aan het transactiebedrag en de begunstigde.
Specifiek voor uw klant: Wanneer klanten op uw site betalen, stuurt hun bank hen een melding via hun mobiele app. Vervolgens bevestigen ze de betaling met hun vingerafdruk of beveiligingscode. Dit is tegenwoordig de meest voorkomende ervaring, mogelijk gemaakt door het 3D Secure 2-protocol (zie paragraaf 6).
De SCA is van toepassing op drie situaties:
De effectiviteit van deze maatregel is meetbaar. Volgens het jaarverslag 2023 van het Payment Security Observatory (OSMP), beheerd door de Bank van FrankrijkDe bankpas heeft een historisch laag fraudecijfer. 0,053% In 2023 werd het laagste niveau ooit gemeten. Het rapport benadrukt expliciet dat dit resultaat mogelijk is gemaakt door de robuustheid van sterke authenticatie.
Wat dit concreet verandert voor online retailers
Vóór PSD2 was een eenvoudig bankpasnummer, de vervaldatum en de beveiligingscode voldoende om een online aankoop te valideren. Die tijd is voorbij. Hieronder lees je hoe de richtlijn je dagelijkse werkzaamheden heeft veranderd.
U bent niet rechtstreeks verantwoordelijk voor de authenticatie.U draagt echter wel de gevolgen. Uw betalingsdienstaanbieder (PSP) implementeert SCA namelijk technisch. Aan de andere kant kiest u uw PSP, configureert u uw betalingsstromen en verzendt u de gegevens waarmee de bank van uw klant het transactierisico kan inschatten.
Wat dit concreet voor u betekent:
Sinds mei 2025 heeft het Payment Security Observatory (OSMP) de toepassing van deze regels in Frankrijk aangescherpt: elke transactie die zonder sterke authenticatie wordt gestart, wordt nu systematisch geweigerd, tenzij een expliciet gerechtvaardigde uitzondering wordt verleend. Volgens Payplug genereren betalingen zonder 3-D Secure vier keer zoveel fraude dat betalingen correct zijn geverifieerd (0,358% versus 0,095%).
Uitzonderingen op strikte authenticatie (kleine bedragen, abonnementen, MIT, enz.)
PSD2 vereist niet voor elke transactie sterke authenticatie. Diverse uitzonderingen zorgen voor een soepeler aankoopproces zonder dat dit ten koste gaat van de beveiliging. Hieronder staan de belangrijkste uitzonderingen, zoals gedefinieerd in de regelgeving.
Lage vrijstelling
Online betalingen die niet hoger zijn dan €30 kan vrijgesteld zijn van SCA. Deze vrijstelling geldt onder twee cumulatieve voorwaarden:
Zodra een van deze drempelwaarden is bereikt, wordt sterke authenticatie voor de volgende transactie weer verplicht.
Vrijstelling via transactierisicoanalyse (TRA)
Betaalproviders die een voldoende laag fraudecijfer handhaven, kunnen vrijstellingen aanvragen voor hogere bedragen. De wettelijke drempelwaarden zijn als volgt:
De acquirerende betalingsdienstaanbieder (PSP) (van de handelaar) of de uitgevende bank (van de klant) kan deze vrijstelling aanvragen. Als de acquirerende aanbieder dit aanvraagt en de uitgevende bank dit accepteert, ligt de aansprakelijkheid in geval van fraude bij de acquirerende aanbieder en, bij uitbreiding, bij de handelaar.
Vrijstelling voor vertrouwde begunstigde
Een klant kan zijn of haar bank vragen om uw website aan een whitelist toe te voegen. Latere aankopen in uw webwinkel zijn dan vrijgesteld van Single Charges Authentication (SCA). Dit is een handige functie om de loyaliteit van terugkerende klanten te versterken, maar het is de klant zelf die dit bij zijn of haar bank aanvraagt.
Vrijstelling voor terugkerende betalingen (abonnementen)
Bij een abonnement met een vast bedrag ten behoeve van dezelfde ontvanger, geldt alleen de eerste transactie is onderworpen aan strenge authenticatie. Latere opnames zijn vrijgesteld, mits het bedrag en de begunstigde hetzelfde blijven.
Transacties die door de handelaar worden geïnitieerd (MIT)
De MIT's (Transacties geïnitieerd door de handelaarDit zijn betalingen die door de handelaar worden geïnitieerd zonder tussenkomst van de klant, binnen het kader van een bestaand contract. Ze omvatten terugkerende facturering met variabele bedragen, kosten voor het niet verschijnen van klanten of uitgestelde betalingen. Om geldig te zijn, moet aan twee voorwaarden worden voldaan: een duidelijke contractuele verplichting en een initiële transactie die is geverifieerd via 3-D Secure 2. Sinds het tweede kwartaal van 2025 wordt een onvolledige keten tussen de initiële transactie en daaropvolgende MIT's (Monthly Interchange Transactions) bestraft met een snelheidslimiet van € 0 voor niet-conforme handelaars.
PSD2 en open banking: toegang tot bankgegevens
Naast de beveiliging van betalingen introduceerde PSD2 een tweede structurerend element:open bankierenDit mechanisme vereist dat banken toegang tot de gegevens van hun klanten openstellen voor goedgekeurde externe dienstverleners, via gestandaardiseerde programmeerinterfaces (API's), en met de uitdrukkelijke toestemming van de klant.
Er zijn twee categorieën van externe actoren gecreëerd:
Voor winkeliers biedt open banking een concrete kans: betalingen aanbieden via directe bankoverschrijving, zonder de transactiekosten die verbonden zijn aan bankpassen en zonder het risico op terugboekingen.chargeback), aangezien de transactie onherroepelijk is.
De realiteit op de grond laat echter nog te wensen over. Een onafhankelijk onderzoek, in opdracht van diverse Franse fintechbedrijven uitgevoerd en in januari 2024 gepubliceerd door adviesbureau Frame, toont aan dat slechts 44% van de betalingen die via bank-API's worden geïnitieerd, zijn succesvol., vergeleken met een succespercentage van 95% voor accountconsultatie. Volgens France FinTech geven banken in 84% van de afwijzingsgevallen geen uitleg aan de betalingsinitiator over de redenen voor de mislukking.
Deze tekortkomingen verklaren waarom open banking nog niet volledig aan de verwachtingen van handelaren heeft voldaan. PSD3, dat momenteel wordt ingevoerd, is er juist op gericht deze disfuncties te verhelpen (zie paragraaf 8).
Hoe u uw betalingsverwerking kunt laten voldoen aan de regelgeving (3-D Secure 2, serviceproviders)
Het voldoen aan PSD2 vereist een aantal concrete acties, die zelfs zonder diepgaande technische expertise uitvoerbaar zijn.
Stap 1: Controleer of uw PSP 3D Secure 2 ondersteunt.
Dit is een absolute vereiste. De belangrijkste betaalproviders op de markt (Stripe, PayPal en Franse bankoplossingen) ondersteunen 3DS2 nu standaard. Als u een oudere PSP of een aangepaste oplossing gebruikt, controleer dan expliciet of uw transacties via het 3DS2-protocol worden verwerkt en niet via de oudere versie.
Stap 2: Verrijk de gegevens die bij elke transactie worden verzonden.
Het 3DS2-protocol stelt u in staat om meer dan 100 gegevensvelden naar de uitgevende bank te verzenden. Hoe vollediger uw aanvraag, hoe groter de kans dat de bank de betaling goedkeurt. wrijvingsloos (zonder dat uw klant hoeft in te grijpen). De belangrijkste gegevens die u moet doorgeven zijn: het e-mailadres van de klant, hun IP-adres, het type browser en apparaat, het bezorgadres en de aankoopgeschiedenis op uw site.
Stap 3: Implementeer beheer van geleidelijke afname
Uw betalingssysteem moet in staat zijn om een zachte daling en de transactie automatisch opnieuw starten met een sterk authenticatieverzoek. Zonder dit mechanisme loopt u verkopen mis die u had kunnen afsluiten.
Stap 4: Beveilig uw MIT-feeds en -abonnementen
Als u abonnementen of terugkerende betalingen aanbiedt, zorg er dan voor dat elke transactie is gekoppeld aan een initiële transactie die is geverifieerd via 3DS2. Bewaar bewijs van machtiging (geaccepteerde algemene voorwaarden, acceptatielogboeken, contract). Lege of generieke identificaties zijn vanaf 2025 niet meer toegestaan.
Stap 5: Kies een PSP die bij uw bedrijf past.
Voor een zeer klein bedrijf of mkb is het kiezen van de juiste betalingsprovider cruciaal. Een goede PSP beheert de PSD2-compliance voor u, optimaliseert uw vrijstellingen en beschermt u tegen fraude. Daarnaast moet een goede PSP u duidelijke indicatoren bieden over uw authenticatiepercentages. wrijvingsloos en mislukking.
De impact op de conversieratio en hoe deze te beperken
Dit is de grootste zorg voor online retailers: jaagt sterke authenticatie klanten weg? Het eerlijke antwoord is: het hangt af van de kwaliteit van uw implementatie.
Tijdens de eerste uitrol van SCA constateerden sommige verkopers een daling van de conversieratio. 10 om 25% In de eerste maanden waren de problemen vooral te wijten aan slecht geoptimaliseerde klanttrajecten en de onrust onder klanten door deze nieuwe stappen. De situatie is sindsdien aanzienlijk verbeterd, dankzij de wijdverspreide toepassing van de methode. wrijvingsloos van het 3DS2-protocol.
Vandaag, tussen 70 tot 90% van de 3DS2-transacties worden uitgevoerd in modus wrijvingsloosDat wil zeggen, zonder dat de klant enige actie hoeft te ondernemen. De bank beoordeelt het risico op de achtergrond, in minder dan een seconde, en keurt de betaling geruisloos goed. De klant merkt er niets van. Dit is de ideale ervaring om naar te streven.
Instrumenten om uw conversieratio te maximaliseren:
Op weg naar PSD3: wat staat ons te wachten?
PSD2 is niet het laatste woord over Europese betalingsregelgeving. Op 27 november 2025 bereikten het Europees Parlement en de Raad een politiek akkoord over de PSD2-standaard. Derde Richtlijn Betalingsdiensten (PSD3) en Regelgeving inzake betalingsdiensten (PSR)Volgens het Europees Parlement wordt de formele publicatie in de eerste helft van 2026 verwacht, met de eerste implementatiefase tussen eind 2026 en begin 2027.
Wat verandert er met PSD3?
Volgens de president van Afepame vertegenwoordigt het DSP3/RSP-pakket "het volwassenheidspakket: het erkent de beperkingen van DSP2, is strenger op het gebied van API's en stimuleert meer samenwerking tussen belanghebbenden."
Voor handelaren zet PSD3 de door PSD2 gelegde fundamenten niet ter discussie; integendeel, het versterkt ze. Bedrijven die hun betalingsprocessen al hebben geoptimaliseerd en hun gegevens hebben beveiligd, zullen het best in staat zijn om aan deze nieuwe verplichtingen te voldoen.
Djaboo en het beheren van je cashflow
Het beheren van PSD2-compliance gaat niet alleen over het kiezen van de juiste PSP. Het is onderdeel van een bredere organisatie van uw bedrijf: factuurregistratie, beheer van terugkerende betalingen, traceerbaarheid van mandaten en klantrelatiebeheer.
Dit is precies wat Djaboo mogelijk maakt voor zeer kleine bedrijven en het mkb. Het alles-in-één platform centraliseert financieel beheer, facturering, CRM en projectmanagement in één werkomgeving. U kunt binnen twee minuten een klant registreren en een factuur opstellen, zonder dat u technische of boekhoudkundige kennis nodig hebt. Betalingen en documenten worden rechtstreeks vanuit uw dashboard beheerd, waardoor u volledig inzicht hebt in uw bedrijf, inclusief terugkerende transacties die moeten voldoen aan de PSD2-vereisten.
Veelgestelde vragen: Uw vragen over PSD2
Is PSD2 van toepassing op mijn website als mijn klanten zich in Frankrijk bevinden en mijn bank ook in Frankrijk gevestigd is?
Ja. PSD2 is van toepassing zolang zowel de bank van de betaler als de bank van de handelaar zich binnen de Europese Economische Ruimte (EER) bevinden. Als u een Franse handelaar bent en uw klanten betalen met kaarten uitgegeven door Franse of Europese banken, bent u volledig onder de regelgeving vallen. Als echter een van de twee partijen (uw acquirer of de bank van uw klant) zich buiten de EER bevindt, wordt de transactie beschouwd als een 'éénstapstransactie' en is deze niet onderworpen aan de SCA-vereisten.
Wat gebeurt er als ik niet aan PSD2 voldoe?
Vanaf mei 2025 wordt elke transactie die zonder sterke authenticatie (en zonder gerechtvaardigde uitzondering) wordt gestart, systematisch afgewezen. zachte daling door Franse emittenten. Naast het verlies aan inkomsten is het grootste risico financieel: in geval van fraude bij een niet-geauthenticeerde transactie ligt de verantwoordelijkheid direct bij u, niet bij de uitgevende bank. Uw PSP kan u bovendien een snelheidslimiet opleggen als uw MIT-stromen niet correct zijn gekoppeld.
Moet ik voor elke abonnementsbetaling een sterke authenticatieprocedure aanvragen?
Nee. Alleen de eerste transactie van een abonnement met een vast bedrag is onderworpen aan SCA. Latere afschrijvingen van hetzelfde bedrag aan dezelfde begunstigde zijn vrijgesteld. Als het bedrag echter varieert, is de situatie complexer en afhankelijk van de werkwijze van de betreffende instelling. Voor MIT's met een variabel bedrag zijn een duidelijke contractuele verplichting en een geauthenticeerde eerste transactie essentieel. Raadpleeg bij twijfel de informatie van de betreffende instelling. Bank van Frankrijk of vanACPR.
Wanneer treedt PSD3 in werking en moet ik me daar nu al op voorbereiden?
In november 2025 werd een politiek akkoord bereikt. De formele publicatie wordt verwacht in de eerste helft van 2026. De Payment Services Regulation (PSR), die de belangrijkste operationele verplichtingen (SCA, fraude, open banking) bevat, zal ongeveer 18 maanden na publicatie rechtstreeks van toepassing zijn in de hele EU zonder nationale omzetting. De eerste implementatiegolf wordt verwacht tussen eind 2026 en begin 2027. U hoeft niet alles direct te veranderen, maar de architectuur en de keuzes die u vandaag maakt met betrekking tot de leveranciers bepalen uw compliancepositie morgen. Beginnen met het optimaliseren van uw huidige PSD2-processen is de best mogelijke voorbereiding.
