PSD2 Nedir? PSD3 Ne Getiriyor? Türkiye'ye Etkisi

Bugün "açık bankacılık" diye konuştuğumuz her şeyin hukuki fitilini, Avrupa Birliği'nin PSD2 direktifi ateşledi. Şimdi sahnede halefi var: PSD3. Bu rehberde iki düzenlemeyi ve Türkiye'deki karşılıklarını sadeleştiriyoruz.

PSD2 nedir?

PSD2 (Payment Services Directive 2), AB'nin 2018'de yürürlüğe giren ödeme hizmetleri direktifidir. İki devrimci hükmü vardır:

• Bankalar veriyi açmak zorunda: Müşterinin onayı varsa, üçüncü taraf sağlayıcılar (TPP) hesap verisine erişebilir ve ödeme başlatabilir. Banka "vermiyorum" diyemez.
• Güçlü müşteri doğrulaması (SCA): Elektronik ödemelerde iki faktörlü doğrulama (bildiğin + sahip olduğun + olduğun şeyden en az ikisi) zorunludur — 3D Secure 2'nin yaygınlaşmasının nedeni budur.

Üç kritik kısaltma

• TPP: Üçüncü taraf sağlayıcı — banka olmayan ama bankacılık verisi/ödemesiyle çalışan lisanslı kuruluş
• AISP: Hesap bilgisi hizmeti sağlayıcısı — hesap verisi okur (bakiye, hareketler)
• PISP: Ödeme başlatma hizmeti sağlayıcısı — müşteri adına hesaptan ödeme başlatır

PSD3 ne getiriyor?

AB, PSD2'nin sahada gördüğü eksikleri PSD3 + PSR (Payment Services Regulation) paketiyle gideriyor. Öne çıkanlar:

• Daha güçlü API standardı: Bankaların TPP'lere sunduğu arayüzlerde kalite/performans zorunlulukları sıkılaşıyor — "açık ama kullanışsız API" devri kapanıyor
• Dolandırıcılıkla mücadele: IBAN-isim doğrulama yaygınlaşıyor, sosyal mühendislik vakalarında sorumluluk dengeleri netleşiyor
• Tek kural kitabı: Direktif yerine doğrudan uygulanan tüzükle üye ülkeler arası yorum farkları azalıyor
• Open finance'a kapı: Hesap verisinin ötesinde (yatırım, sigorta…) veri paylaşımı için zemin

Türkiye'de durum ne?

Türkiye, PSD2'yi birebir uygulamaz ama paralel bir çerçeve kurdu: 6493 sayılı kanun + BDDK/TCMB ikincil düzenlemeleri ile ödeme kuruluşları lisanslanır; TCMB'nin açık bankacılık veri paylaşım servisleri (BKM Gateway üzerinden) bankaların API erişimini standartlaştırır. Yani Türkiye'de açık bankacılık bugün regüle ve canlıdır; PSD3'teki yönelimler (API kalitesi, fraud önleme) Türk mevzuatının da güncelleme rotasını işaret eder.

İşletmeniz için anlamı

Regülasyon karmaşasını sizin taşımanız gerekmez: Kobaküs, Türkiye + Avrupa + MENA'da 3000'den fazla bankaya tek API ile bağlanır; mevzuat katmanını altyapıda soyutlar. Siz ürün geliştirmeye odaklanırsınız. Ücretsiz sandbox ile uyumlu açık bankacılık entegrasyonunu bugün test edin.

Sık Sorulan Sorular

PSD2 kapsamında bankaların veri paylaşımıyla ilgili zorunluluğu nedir?

PSD2 uyarınca bankalar, müşterinin onayı olduğu takdirde üçüncü taraf sağlayıcıların (TPP) hesap verilerine erişmesine ve ödeme başlatmasına izin vermek zorundadır; bankalar bu verileri paylaşmayı reddedemez.

PSD3 ile birlikte API standartlarında ve güvenlikte ne gibi değişiklikler bekleniyor?

PSD3 ile bankaların sunduğu API'ların kalite ve performans zorunlulukları sıkılaştırılarak daha kullanışlı hale getirilmesi planlanıyor. Ayrıca IBAN-isim doğrulama gibi yöntemlerle dolandırıcılıkla daha güçlü mücadele edilmesi hedefleniyor.

Türkiye'de açık bankacılık uygulamaları hangi yasal çerçeveye dayanıyor?

Türkiye, PSD2'yi birebir uygulamak yerine 6493 sayılı kanun ile BDDK ve TCMB'nin ikincil düzenlemelerini temel alan paralel bir çerçeve kurmuştur. Veri paylaşım servisleri ise TCMB'nin standartları ve BKM Gateway üzerinden yürütülmektedir.

AISP ve PISP arasındaki temel fark nedir?

AISP, hesap bakiyesi ve hareketleri gibi hesap verilerini okuyan hesap bilgisi hizmeti sağlayıcısıdır. PISP ise müşteri adına hesaptan ödeme başlatan ödeme başlatma hizmeti sağlayıcısıdır.