Największa reforma prawa płatniczego od 2018 roku trafia do Polski
Unia Europejska finalizuje pakiet PSD3 (Payment Services Directive 3) i PSR (Payment Services Regulation) - największą reformę przepisów płatniczych od momentu wdrożenia dyrektywy PSD2 w 2018 roku. Parlament Europejski i Rada UE uzgodniły już ostateczny tekst obu aktów, ale formalne przyjęcie i publikacja w Dzienniku Urzędowym UE wciąż nie nastąpiły - zgodnie z harmonogramem prac Parlamentu Europejskiego głosowanie plenarne jest planowane orientacyjnie na grudzień 2026 roku (zobacz aktualizację na końcu artykułu). Dla klientów banków w Polsce reforma oznacza konkretne nowe prawa: bank będzie musiał zwrócić pieniądze, jeśli przestępca podszyje się pod doradcę, a przelew na złe konto stanie się trudniejszy dzięki obowiązkowej weryfikacji nazwy odbiorcy.
Polska bankowość jest jedną z najnowocześniejszych w Europie - mamy BLIK, wysoki poziom cyfryzacji i ponad 27 milionów aktywnych użytkowników bankowości elektronicznej. Ale nawet w Polsce liczba oszustw finansowych rosła w 2024 i 2025 roku. Nowe przepisy unijne mają to zmienić.
PSD3 i PSR - dwa filary jednej reformy
Pakiet płatniczy UE składa się z dwóch komplementarnych aktów prawnych:
- PSD3 (dyrektywa) - aktualizuje zasady licencjonowania instytucji płatniczych i wzmacnia prawa dostawców usług finansowych. Jako dyrektywa, musi zostać przetransponowana do polskiego prawa przez Sejm RP w ciągu 21 miesięcy od wejścia w życie.
- PSR (rozporządzenie) - to prawdziwa rewolucja operacyjna. W przeciwieństwie do dyrektywy, rozporządzenie unijne obowiązuje bezpośrednio we wszystkich państwach członkowskich bez konieczności uchwalania dodatkowych ustaw krajowych. Reguluje standardy weryfikacji przelewów, odpowiedzialność za oszustwa, przejrzystość opłat i infrastrukturę open banking. Zacznie obowiązywać co do zasady 21 miesięcy po wejściu w życie (z wyjątkiem obowiązkowej weryfikacji odbiorcy, dla której przewidziano dodatkowe pół roku, czyli 27 miesięcy). Ponieważ formalne przyjęcie przepisów i publikacja w Dzienniku Urzędowym jeszcze nie nastąpiły (stan na październik 2026), orientacyjny termin przesuwa się na koniec 2028 / początek 2029 roku, a nie na wczesny 2028 rok.
Do momentu wejścia w życie PSR obowiązuje nadal dyrektywa PSD2. Polskie banki jednak już teraz przygotowują systemy i procesy pod nowe wymogi - część rozwiązań może pojawić się w aplikacjach bankowych jeszcze przed formalnym wejściem przepisów w życie.
Co konkretnie zmienia się dla klientów banku?
1. Weryfikacja odbiorcy - koniec przelewów na złe konto
Jedną z najważniejszych nowości PSR jest obowiązkowa weryfikacja nazwy odbiorcy względem numeru IBAN (Verification of Payee, VoP). Mechanizm jest prosty: gdy wpisujesz numer konta i imię-nazwisko odbiorcy przelewu, bank sprawdza automatycznie, czy te dane są ze sobą zgodne. Jeśli wykryje niezgodność, zobaczysz ostrzeżenie w ciągu kilku sekund - zanim jeszcze autoryzujesz płatność.
To zmiana o ogromnym znaczeniu praktycznym. W Polsce i Europie powszechnym rodzajem oszustwa jest tzw. Business Email Compromise (BEC) - przestępcy przechwytują korespondencję z dostawcami lub kontrahentami i podmieniają w fakturach numer konta bankowego na własny. Ofiara robi przelew zgodnie z fakturą, ale pieniądze trafiają do przestępcy. Straty firm i osób prywatnych z tego tytułu w Polsce liczone są w milionach złotych rocznie, choć dokładna łączna kwota za 2025 rok nie jest publikowana w jednym zbiorczym raporcie żadnej instytucji nadzorczej.
Ważna zasada: jeśli bank wyświetli ostrzeżenie o niezgodności nazwy i IBAN, a mimo to zlecisz przelew - odpowiedzialność za straty przechodzi na Ciebie. Dlatego nigdy nie ignoruj takich komunikatów. Zawsze zadzwoń do odbiorcy na numer potwierdzony innym kanałem, zanim zatwierdzisz płatność.
2. Bank zapłaci, gdy oszust podszyje się pod doradcę
To zmiana, na którą czekają wszyscy poszkodowani przez tzw. spoofing telefoniczny. Schemat jest dobrze znany: dzwoni ktoś z numeru Twojego banku (przestępcy potrafią go sfałszować), podaje się za pracownika działu bezpieczeństwa i informuje, że Twoje konto jest zagrożone. Prosi o natychmiastowy przelew na konto techniczne lub podanie danych logowania. W efekcie tracisz pieniądze.
Do tej pory banki zazwyczaj odmawiały zwrotu, powołując się na fakt, że to klient autoryzował transakcję. PSR to zmienia fundamentalnie. Jeśli przestępca podszywa się pod dostawcę usług płatniczych - bank lub instytucję finansową - i pod wpływem tej manipulacji wykonasz przelew, bank będzie zobowiązany do zwrotu środków pod warunkiem że:
- niezwłocznie powiadomisz bank o oszustwie (najlepiej tego samego dnia lub następnego),
- złożysz zawiadomienie na policji,
- nie działałeś z rażącą niedbałością - np. ignorując wyraźne ostrzeżenia wyświetlane przez system bankowy podczas autoryzacji.
To fundamentalna zmiana filozofii odpowiedzialności. Banki przez lata twierdziły, że klient ponosi pełną odpowiedzialność za autoryzowane transakcje. PSR wyznacza granicę: jeśli do autoryzacji doszło w wyniku manipulacji ze strony podmiotu podszywającego się pod bank - to bank odpowiada za szkodę, nie klient.
Pamiętaj: żaden bank nigdy nie dzwoni do klienta z prośbą o przelew środków w celu ich ochrony. Jeśli słyszysz taki komunikat - rozłącz się i zadzwoń na oficjalną infolinię banku z numeru podanego na odwrocie karty płatniczej.
3. Przejrzystość opłat - koniec ukrytych kursów walut i opłat bankomatowych
Nowe przepisy nakładają na banki i instytucje płatnicze obowiązek pełnego ujawnienia wszystkich opłat przed zatwierdzeniem operacji. W praktyce oznacza to:
- Kursy wymiany walut muszą być pokazane przed inicjacją płatności - nie po jej wykonaniu. Koniec z sytuacją, gdy kurs poznasz dopiero z historii rachunku.
- Opłaty bankomatowe przy wypłatach z bankomatów innej sieci lub za granicą muszą być wyświetlone na ekranie przed zatwierdzeniem wypłaty, z możliwością anulowania transakcji bez żadnych kosztów.
- DCC (Dynamic Currency Conversion) - jeśli zagraniczny bankomat proponuje przeliczenie waluty we własnym zakresie zamiast przez Twój bank, musisz o tym wiedzieć i mieć możliwość wyboru. Teraz wiele bankomatów automatycznie stosuje DCC z niekorzystnym kursem, o czym klient dowiaduje się dopiero po wypłacie.
Dla Polaków podróżujących za granicę ta zmiana ma konkretną wartość finansową. Niekorzystne kursy przy wypłatach gotówki potrafią pochłonąć 3–5% kwoty transakcji bez wiedzy klienta.
4. Open banking - jedno miejsce na zarządzanie wszystkimi zgodami
PSD2 otworzyła rynek dla firm fintech, umożliwiając im dostęp do danych bankowych klientów za ich zgodą. Problem polegał na tym, że zarządzanie tymi zgodami było rozproszone i nieprzejrzyste. Każda aplikacja miała własne ustawienia i trudno było sprawdzić, kto ma dostęp do Twojego konta.
PSR wprowadza obowiązek zapewnienia przez banki centralnego panelu zarządzania zgodami. W praktyce: w aplikacji mobilnej swojego banku zobaczysz pełną listę podmiotów, którym dałeś dostęp do swoich danych finansowych - agregatorów kont, aplikacji do zarządzania budżetem, platform pożyczkowych. Jednym kliknięciem cofniesz nieaktualne zgody. Dodatkowo banki będą musiały zapewnić jakość API udostępnianego firmom fintech na poziomie porównywalnym z własną aplikacją mobilną - koniec z celowym spowolnianiem usług dla podmiotów trzecich.
Kiedy nowe przepisy zaczną obowiązywać w Polsce?
- Data jeszcze nieustalona (orientacyjnie grudzień 2026) - planowane głosowanie plenarne Parlamentu Europejskiego i formalne przyjęcie tekstu, po którym nastąpi publikacja PSD3 i PSR w Dzienniku Urzędowym UE.
- Ok. 21 miesięcy po wejściu w życie (orientacyjnie koniec 2028 roku) - PSR zaczyna obowiązywać bezpośrednio we wszystkich 27 państwach UE.
- Ok. 27 miesięcy po wejściu w życie (orientacyjnie początek 2029 roku) - zaczyna obowiązywać obowiązkowa weryfikacja odbiorcy (VoP) wynikająca z PSR.
- Ten sam, 21-miesięczny termin - transpozycja PSD3 do polskiego prawa przez Sejm RP.
- 2029 rok i później - pełne wdrożenie nowych standardów open banking i paneli zarządzania zgodami przez polskie banki.
Dokładne terminy zależą od tego, kiedy ostatecznie dojdzie do formalnego przyjęcia i publikacji przepisów - do tego czasu obowiązuje PSD2. Według zapowiedzi Związku Banków Polskich, większość dużych banków planuje wdrożyć weryfikację odbiorcy jeszcze przed regulacyjnym terminem PSR. Część banków (np. PKO BP) uruchomiła już weryfikację odbiorcy dla przelewów w euro od września 2026 roku - w tym przypadku w ramach odrębnego, już obowiązującego unijnego rozporządzenia o przelewach natychmiastowych (Instant Payments Regulation), które wyznacza własny, wcześniejszy harmonogram niezależny od PSR.
Co możesz zrobić już teraz, zanim przepisy wejdą w życie?
PSD2 pozostaje obowiązującym prawem aż do wejścia w życie PSR - a zgodnie z aktualnymi szacunkami nastąpi to nie wcześniej niż w 2028 roku. To jednak nie znaczy, że jesteś bezsilny wobec oszustów. Już dziś możesz chronić swoje pieniądze:
- Używaj BLIK zamiast tradycyjnych przelewów wszędzie tam, gdzie to możliwe. Płatności BLIK wymagają jednorazowego kodu ważnego tylko 2 minuty - są znacznie trudniejsze do sfałszowania niż klasyczny przelew.
- Zawsze weryfikuj numer IBAN ręcznie z oryginalnego dokumentu - faktury, umowy czy pisma. Nigdy nie przepisuj numerów kont z wiadomości e-mail ani SMS, które mogły zostać przechwycone lub sfałszowane.
- Nigdy nie wykonuj przelewów podczas rozmowy telefonicznej - żaden bank w Polsce nie prosi klientów o przelewy w celu ochrony środków. Rozłącz się i zadzwoń na oficjalną infolinię banku.
- Sprawdzaj dostęp aplikacji fintech do swoich kont - regularnie przeglądaj, które usługi mają dostęp do Twoich danych i odwołuj zgody, których już nie potrzebujesz.
Jeśli szukasz konta z dobrymi zabezpieczeniami i nowoczesnymi narzędziami autoryzacji, zajrzyj do naszego porównania kont osobistych - zestawiamy dostępne funkcje bezpieczeństwa w każdym banku. Sprawdź też konta oszczędnościowe, jeśli chcesz odłożyć pieniądze na wyżej oprocentowany rachunek z pełną ochroną depozytów do 100 000 euro.
Podsumowanie
PSD3 i PSR to najważniejsza reforma europejskiego prawa płatniczego od dekady. Dla klientów polskich banków oznacza trzy konkretne korzyści: ostrzeżenie przed przelewem na złe konto (weryfikacja odbiorcy), zwrot pieniędzy gdy przestępca podszyje się pod doradcę bankowego, oraz pełną przejrzystość opłat i kursów walut zanim zatwierdzisz operację. Nowe przepisy wejdą w życie prawdopodobnie nie wcześniej niż w 2028 roku, po formalnym przyjęciu tekstu przez instytucje UE - banki mają czas na przygotowanie się, ale Ty możesz chronić swoje pieniądze już teraz.
Aktualizacja (16.10.2026): W pierwszej wersji tego artykułu (czerwiec 2026) błędnie napisaliśmy, że PSD3 i PSR zostały już opublikowane w Dzienniku Urzędowym UE. W rzeczywistości - zgodnie z legislacyjnym trackerem Parlamentu Europejskiego (OEIL, procedura 2023/0209(COD)) - formalne przyjęcie i publikacja wciąż nie nastąpiły: komisja ECON Parlamentu Europejskiego zatwierdziła wynegocjowany tekst 5 maja 2026 roku, a orientacyjny termin głosowania plenarnego to 14 grudnia 2026 roku. Publikacja w Dzienniku Urzędowym jest obecnie szacowana na grudzień 2026 roku, co przesuwa początek obowiązywania PSR na ok. 21 miesięcy później (orientacyjnie koniec 2028 roku), a obowiązek weryfikacji odbiorcy (VoP) na ok. 27 miesięcy po wejściu w życie (orientacyjnie początek 2029 roku). Wszystkie te daty pozostają szacunkowe do czasu formalnego przyjęcia przepisów przez Parlament Europejski i Radę UE.
Chcesz wybrać bezpieczne konto bankowe z nowoczesnymi funkcjami ochrony? Porównaj konta osobiste na BankSorter.com i znajdź bank, który stawia bezpieczeństwo klientów na pierwszym miejscu.