Sistemul bancar românesc intră într-o etapă decisivă de adaptare la noul cadru european al plăților. Directiva Serviciilor de Plăți 3 (PSD3) și Regulamentul Serviciilor de Plăți (PSR), asupra cărora s-a ajuns la un acord politic provizoriu în noiembrie 2025, au parcurs în prima jumătate a anului 2026 etapele finale de adoptare formală — redefinind regulile jocului pentru bănci și pentru furnizorii de servicii terțe (TPP). Spre deosebire de PSD2, noul regulament PSR se aplică direct în toate statele membre, ceea ce înseamnă mai puțină fragmentare legislativă și obligații mult mai stricte pentru instituțiile de credit care gestionează conturi de plăți.
Printre cele mai importante schimbări tehnice se numără obligativitatea raportării trimestriale a statisticilor de disponibilitate și performanță a interfețelor de programare (API), eliminarea completă a fricțiunilor din procesul de autentificare strictă a clienților (SCA) și introducerea unor panouri de control al consimțământului, prin care utilizatorii vor putea vedea și revoca oricând accesul acordat aplicațiilor terțe. O altă noutate esențială este sistemul european de verificare a numelui beneficiarului asociat unui cont IBAN, cunoscut sub numele de Verification of Payee (VoP), care va fi direct legat de răspunderea băncilor în cazul fraudelor nedetectate.
Rolul BNR și presiunea suplimentară a legii DORA
La nivel național, Banca Națională a României (BNR) coordonează procesul de aliniere a băncilor locale la noile cerințe europene. Presiunea de conformare este dublată de Regulamentul privind reziliența operațională digitală (DORA), transpus prin Ordonanța de Urgență nr. 14/2026, care stabilește BNR și Autoritatea de Supraveghere Financiară (ASF) drept autorități de control. Sancțiunile pentru deficiențele de securitate cibernetică pot ajunge până la 10% din cifra de afaceri anuală a unei bănci, ceea ce transformă rezistența tehnică a API-urilor dintr-un simplu criteriu de conformitate într-un risc financiar direct pentru instituțiile de credit.
Contextul pieței susține această tranziție: fintech-ul românesc este estimat să ajungă la 1,8 miliarde de euro, pe fondul unei rate de penetrare a serviciilor de digital banking de peste 65% în rândul populației. Infrastructura de plăți în timp real, administrată de TRANSFOND și decontată de BNR prin serviciul Plăți Instant, alături de schema națională de proxy-uri mobile RoPay 2.0 (activă din septembrie 2025) și de Serviciul Afișare Nume Beneficiar (SANB), oferă băncilor românești un avantaj important în adaptarea rapidă la standardele de tip VoP impuse de PSR.
Cum a fost măsurată pregătirea băncilor pentru PSD3
Pentru a evalua în mod obiectiv gradul de conformitate al interfețelor bancare expuse către terți, a fost construit un Index de Pregătire PSD3, calculat pe o scară de la 0 la 100 de puncte, pe baza a cinci componente ponderate: stabilitatea și performanța tehnică a API-urilor, reducerea obstacolelor din procesul de autentificare și managementul consimțământului, gradul de pregătire pentru Verification of Payee, acoperirea funcțională și asistența oferită partenerilor terți, precum și maturitatea arhitecturii digitale și a panourilor de consimțământ (consent dashboard).
Modelul definește patru praguri teoretice de maturitate: Pionieri ai Open Finance (90-100 puncte), Competitivi/Pregătiți (80-89 puncte), În curs de adaptare (60-79 puncte) și Deficitari/Neconformi (sub 60 de puncte). În practică, însă, niciuna dintre cele 14 bănci incluse în benchmarking nu a obținut un scor sub 60 de puncte, astfel încât categoria Deficitari/Neconformi rămâne, pentru acest semestru, un prag teoretic neatins. Chiar și banca cel mai slab clasată, BRD – Groupe Société Générale, cu 69,75 puncte, se situează tot în zona În curs de adaptare. Practic, piața bancară românească se distribuie efectiv pe doar trei paliere reale de maturitate – Pionieri, Competitivi și În curs de adaptare -, un semnal pozitiv pentru stadiul general de pregătire.
Clasamentul liderilor: BCR, Banca Transilvania și ING România (Pionieri ai Open Finance)
Grupul de vârf al pregătirii pentru PSD3 este format din trei bănci care au trecut deja, practic, testul de anduranță al open banking-ului: BCR, Banca Transilvania și ING România, toate cu scoruri de peste 90 de puncte în indexul de benchmarking.
BCR ocupă prima poziție, cu un scor total de 96,25 puncte, distribuit aproape uniform pe toate cele cinci componente evaluate (97 la stabilitate și performanță API, 96 la managementul consimțământului, 98 la pregătirea pentru Verification of Payee, 95 la acoperirea funcțională și 94 la arhitectura digitală). Această consistență nu este întâmplătoare: banca beneficiază de integrarea cu infrastructura centrală Erste Developer Portal, un hub tehnic folosit la nivel de grup pentru milioane de apeluri API regionale, ceea ce înseamnă că BCR nu pornește de la zero în fiecare ciclu de conformare, ci moștenește deja o arhitectură matură, testată în mai multe piețe. Fluxul de redirecționare app-to-app către aplicația George este descris drept extrem de fluid, iar identificatorii unici de tranzacție elimină riscul de duplicare a datelor în extrasele paginate – un detaliu tehnic aparent minor, dar esențial pentru partenerii TPP care fac reconcilieri automate.
Banca Transilvania urmează la mică distanță, cu 93,20 puncte, sprijinită de platforma proprie BT Open Banking (BT API Store), dezvoltată în parteneriat cu IT Smart Systems și IBM. Punctul forte al băncii este granularitatea datelor financiare și absența duplicatelor, dar și un proces de autorizare care permite selectarea facilă a entităților juridice direct din aplicația BT Pay – un avantaj relevant pentru IMM-uri și companii cu structuri complexe de conturi. Singura pată din palmares ține de invalidarea prematură, în anumite situații punctuale, a consimțămintelor clienților înainte de expirarea pragului legal, o problemă compensată însă de o echipă de asistență tehnică apreciată pentru viteza de remediere.
ING Bank România completează podiumul cu 90,35 puncte, remarcându-se prin cea mai bogată structură de date de tranzacționare din tot eșantionul analizat – identificatori de referință unici și categorisiri semantice precise, extrem de utile pentru aplicațiile de analiză financiară și de tip PFM. Autentificarea prin HomeBank funcționează stabil, cu un switch automat fiabil între aplicații. Contrastul e că, deși partea pur tehnică e solidă, ING pierde puncte la capitolul experiență de onboarding: birocrația pentru clienții business rămâne excesivă, cu proceduri offline care întârzie accesul inițial la producție – motiv pentru care banca nu urcă mai sus în clasament, deși din punct de vedere strict API stă la fel de bine ca liderii.
Ce au în comun aceste trei bănci, dincolo de scoruri, este faptul că toate au trecut printr-un proces de maturizare graduală: nu au tratat PSD2, iar acum PSD3, ca pe o simplă obligație de conformare minimă, ci au integrat open banking-ul în strategia digitală de bază, cu echipe dedicate de suport tehnic pentru partenerii terți – exact tipul de investiție pe care noul regulament PSR îl va recompensa, având în vedere că raportarea trimestrială a performanței API devine obligatorie și publică.
Zona competitivă: pregătire solidă, dar cu frecări operaționale
Segmentul „Competitivi/Pregătiți” (scoruri între 80 și 89) este cel mai numeros și, în multe privințe, cel mai relevant pentru înțelegerea provocărilor reale ale tranziției la PSD3: sunt bănci cu infrastructură tehnică funcțională, dar care nu au eliminat complet fricțiunile operaționale cerute explicit de noul regulament.
UniCredit Bank România (89,90 puncte) se bazează pe ghidurile Berlin Group, cu fluxuri de consimțământ stabile, dar impune utilizatorului declararea explicită a listei de IBAN-uri înainte de redirecționarea SCA – exact genul de pas suplimentar pe care PSR își propune să-l elimine, prin cerința de fricțiune minimă în autentificare. CEC Bank (88,20 puncte) are un angajament remarcabil față de deschiderea funcțională – a fost prima bancă din România care a permis inițierea de plăți către conturi deschise la alte bănci, prin integrarea cu Finqware și Asseco SEE – dar se confruntă cu dezactivări timpurii, intermitente, ale token-urilor de consimțământ.
Garanti BBVA România (84,35 puncte) ilustrează cel mai clar traiectoria de îmbunătățire: de la o versiune de API cu date sărace și consimțământ solicitat la fiecare apel, banca a ajuns la o platformă capabilă să gestioneze peste 100 de conturi corporate simultan, cu cel mai generos set de tipuri de conturi expuse din piață. Rămân doar duplicate ocazionale, cauzate de paginare deficitară. First Bank (83,95 puncte) a eliminat, la recomandarea BNR, o barieră importantă – verificarea KYC manuală, offline, impusă anterior partenerilor licențiați – ceea ce arată că, în unele cazuri, presiunea reglementatorului produce efecte concrete și rapide.
Raiffeisen Bank România (83,70 puncte) are o infrastructură corectă, dezvoltată cu agregatori externi, dar păstrează restricții la utilizarea corporate și returnează frecvent erori la cereri de date istorice masive, din cauza expirării rapide a token-ului. Libra Internet Bank (81,60 puncte) oferă un flux de înrolare simplu, însă suferă la calitatea datelor – lipsesc frecvent numele plătitorului sau beneficiarului din extrase, un neajuns critic pentru reconcilierea automată. OTP Bank România (80,05 puncte) închide segmentul cu o problemă structurală mai degrabă decât punctuală: limita de patru actualizări de date pe zi per cont este greu de conciliat cu logica de acces „aproape în timp real” pe care PSD3/PSR o cere explicit.
Practic, zona competitivă demonstrează că a avea un API funcțional nu mai este suficient – diferența dintre „pregătit” și „doar conform” se joacă acum la nivelul detaliilor operaționale: frecvența actualizărilor, completitudinea câmpurilor de date, pragul de expirare a consimțământului. Sunt exact tipurile de deficiențe pe care raportarea trimestrială obligatorie de performanță API, introdusă de PSR, le va face publice și comparabile de acum înainte.
Zona critică: bănci care riscă să rămână în urma calendarului european
Categoria „În curs de adaptare” (scoruri între 60 și 79) adună băncile cu cele mai mari decalaje față de standardele așteptate de PSD3/PSR, unele dintre ele cu probleme structurale, nu doar operaționale.
Citi Bank România (79,40 puncte) are, paradoxal, unul dintre cele mai bogate seturi de date din piață, cu informații detaliate despre portofoliile companiilor – dar accesul la producție presupune un proiect de înrolare offline și autentificare exclusiv prin certificate dedicate, fără suport pentru OAuth, standardul modern cerut implicit de logica API-first a PSR. Alpha Bank România (76,60 puncte) are o interfață funcțională, dar suferă la ambele capete ale procesului: fluxuri offline lente pentru parteneri și o structură de date slab organizată, care obligă dezvoltatorii terți la eforturi mari de normalizare. Credit Europe Bank (71,70 puncte) a investit vizibil în reconstrucția platformei, cu progrese la structura datelor, dar disponibilitatea de producție rămâne redusă, iar fluxul SCA înregistrează erori tehnice frecvente.
BRD – Groupe Société Générale (69,75 puncte) închide clasamentul general, cu cel mai mare decalaj tehnic dintre toate cele 14 bănci analizate. Deși erorile critice din fluxurile decuplate au fost remediate, interfețele rămân indisponibile pentru perioade lungi, iar metoda de livrare a datelor este considerată depășită față de așteptările pieței: în loc de fluxuri JSON interogabile continuu, API-ul livrează extrasele de cont sub formă de fișiere arhivate ZIP, ceea ce generează o complexitate suplimentară de procesare pentru sistemele ERP ale partenerilor corporate.
Această zonă critică este de departe cea mai expusă la riscul de sancțiuni sub noul cadru DORA/OUG 14/2026, unde amenzile pentru deficiențe de securitate cibernetică pot ajunge la 10% din cifra de afaceri anuală. Mai mult, calendarul european s-a clarificat considerabil față de acum câteva luni: acordul politic dintre Parlamentul European și Consiliul UE din noiembrie 2025 a fost consolidat prin aprobarea COREPER a textelor de compromis în aprilie 2026, iar votul în plen al Parlamentului este așteptat în cursul lunii mai 2026, cu publicarea în Jurnalul Oficial estimată pentru vara sau toamna anului 2026. Regulile PSR ar urma să se aplice la aproximativ 21 de luni de la publicare, iar obligația de verificare a numelui beneficiarului (VoP) beneficiază de un termen suplimentar de implementare, tocmai pentru a permite băncilor din zona critică timpul tehnic necesar unei adaptări reale, nu doar declarative.
Fintech-urile care motorizează infrastructura de open banking
Pregătirea băncilor pentru PSD3 nu ar fi posibilă fără colaborarea cu furnizorii tehnologici specializați. Finqware, condusă de Cosmin Cosma, este una dintre companiile de referință ale pieței, cu peste 8 milioane de apeluri API procesate lunar în 12 țări europene și cu o rată de eroare redusă la 0,8%, comparativ cu peste 15% în primii ani ai open banking-ului românesc. Compania a asigurat infrastructura de conectivitate pentru aplicația CEC Bank, prima bancă locală ce permite inițierea plăților către alte bănci direct din propria aplicație, precum și integrarea open banking a aplicației Salt Bank.
IT Smart Systems (ITSS) este un alt jucător-cheie, cu suita tehnologică SmartPG, folosită pentru conectarea marilor bănci locale – BCR, Banca Transilvania, BRD, CEC Bank, ING și Raiffeisen Bank – la fluxuri sigure de informare a conturilor și de inițiere a plăților. Compania este și co-dezvoltator al platformei BT API Store, alături de IBM, și a transformat identitatea digitală a BRD printr-o platformă modernă de autentificare fără parolă (passwordless/biometrics).
Allevo, condusă de Sorina Bera, promovează un model bazat pe soluții open-source pentru automatizarea fluxurilor de trezorerie și conformitatea cu standardele ISO 20022 și cu legea DORA. Prin soluția FinTP-Instant, compania a conectat Garanti BBVA România la sistemul național de Plăți Instant operat de TRANSFOND, permițând transferuri interbancare în mai puțin de 10 secunde. Asseco SEE completează ecosistemul prin platforma Customer Banking Platform, bazată pe widget-uri și mini-aplicații, și prin rolul de dezvoltator principal al aplicației mobile CEC Bank, alături de Finqware.
Ce înseamnă rezultatele pentru viitorul pieței bancare
Studiul arată o corelație directă între fuziunile bancare recente – Banca Transilvania – OTP Bank, UniCredit – Alpha Bank, Intesa Sanpaolo – First Bank – și maturitatea tehnologică a instituțiilor rezultate, consolidarea resurselor financiare și tehnice favorizând alinierea rapidă la cerințele PSD3/PSR. De asemenea, infrastructura națională administrată de TRANSFOND și de Asociația Română a Băncilor (ARB), în special sistemele Plăți Instant, RoPay 2.0 și SANB, reprezintă un avantaj competitiv real pentru tranziția către standardele obligatorii de tip Verification of Payee.
Pentru instituțiile bancare rămase în urmă, recomandările sunt clare: renunțarea la formatele de date atipice, precum fișierele ZIP, în favoarea fluxurilor structurate de tip JSON; digitalizarea completă a proceselor de înrolare a clienților comerciali; implementarea unor panouri de consimțământ vizibile direct în aplicațiile de mobile banking; și auditarea periodică a lanțului de furnizori tehnologici, în linie cu cerințele de risc TIC impuse de OUG 14/2026 privind reziliența operațională digitală.
Termenul de adaptare la noile reguli europene se apropie, iar diferența dintre băncile pregătite și cele rămase în urmă va deveni tot mai vizibilă pentru clienți, pentru companiile din domeniul fintech și pentru partenerii de business care depind de acces stabil și în timp real la datele financiare.
