Das Regelwerk des Zahlungsverkehrs, als ein Programm geführt.

Sechs, in einem Rahmenwerk mit 172 Anforderungen. PSD2, die Richtlinie (EU) 2015/2366 in der durch die DORA-Änderungsrichtlinie und die Verordnung über Sofortzahlungen geänderten Fassung: Zulassung, Eigenmittel und Sicherung der Kundengelder für Zahlungsinstitute, Agenten und Auslagerung, Kundenbedingungen, Ausführung, Haftung und Erstattungen, operationelles und Sicherheitsrisiko, Betrugsmeldungen und Beschwerden. Die RTS zu starker Kundenauthentifizierung und sicherer Kommunikation, die Delegierte Verordnung (EU) 2018/389 in der 2022 geänderten Fassung: Authentifizierung, die Ausnahmen und ihre Überwachung, personalisierte Sicherheitsmerkmale und die Open-Banking-Schnittstellen. Der verbliebene Abschnitt der EBA-Leitlinien zum IKT- und Sicherheitsrisikomanagement über Nutzerhinweise und Benachrichtigungen. EMD2, die Richtlinie 2009/110/EG: Kapital, Eigenmittel, Sicherung von E-Geld-Guthaben, Ausgabe und Rücktausch zum Nennwert. Die Verordnung über Sofortzahlungen, wie sie heute in der SEPA-Verordnung steht: Sofortüberweisungen auf jedem Kanal, die Zehn-Sekunden-Regel, Gebührenparität, Empfängerüberprüfung, tägliche Sanktionsprüfung der Nutzer und der Jahresbericht. Und die Pflichten des European Accessibility Act für Bankdienstleistungen für Verbraucher und Zahlungsterminals.

Jeder Zahlungsdienstleister in der EU unterliegt der PSD2: Zahlungsinstitute, E-Geld-Institute, Kreditinstitute, die Zahlungsdienste erbringen, Kontoinformations- und Zahlungsauslösedienstleister sowie in eigener Weise die freigestellten kleinen Institute. EMD2 bindet E-Geld-Emittenten, vor allem E-Geld-Institute, und wendet die meisten Zulassungs- und Aufsichtsregeln der PSD2 durch Verweis auf sie an. Die RTS gelten für jeden Anbieter, der starke Kundenauthentifizierung anwendet oder ein Zahlungskonto online zugänglich macht, die Verordnung über Sofortzahlungen für jeden Anbieter von Euro-Überweisungen, mit späteren Fristen für Zahlungs- und E-Geld-Institute. Der European Accessibility Act erreicht Anbieter von Bankdienstleistungen für Verbraucher und die Unternehmen, die Zahlungsterminals herstellen, einführen oder vertreiben. Jede Anforderung in Venvera sagt, für wen sie gilt, sodass Sie die Zeilen außerhalb Ihrer Zulassung mit einer Begründung als nicht anwendbar markieren, statt zu raten.

PSD3 und die Zahlungsdiensteverordnung (PSR) werden PSD2 ablösen. Das Paket wurde im November 2025 politisch vereinbart, seine Anwendung wird um 2028 erwartet; die Richtlinie muss noch von den Mitgliedstaaten umgesetzt werden, die Verordnung gilt unmittelbar. Bis dahin sind PSD2, die RTS und EMD2 das Recht, das eine Aufsichtsbehörde anwendet. Das neue Paket verschiebt die Wohlverhaltensregeln in eine Verordnung, führt EMD2 in das Zahlungsdiensteregime über, verschärft Betrugshaftung und Open Banking und behält die starke Kundenauthentifizierung bei. Venvera verfolgt PSD2 so, wie sie heute gilt, und die Struktur der Anforderungen, nach Artikel zitiert, mit Verantwortlichen und Nachweisen auf jeder Zeile, ist das, was beim Neuzuschnitt des Katalogs für das neue Paket erhalten bleibt: Ihre Nachweise ändern sich nicht, weil sich die Artikelnummer ändert.

Weil der Katalog für jedes Unternehmen gelten muss, das die sechs Rechtsakte erreichen, und die Regeln je Anbietertyp geschrieben sind. Ein Zahlungsinstitut sichert kein E-Geld, ein kontoführender Dienstleister trägt nicht die Wohlverhaltenspflichten eines Kontoinformationsdienstleisters, und ein vollständig zugelassenes E-Geld-Institut reicht nie den Bericht eines freigestellten Instituts ein. Wo eine Zeile nur für einen Anbietertyp gilt, endet ihr Anforderungstext mit einem Satz „Gilt für“, der den Anbieter nennt, den das Gesetz nennt. Sie markieren die Zeilen außerhalb Ihrer Zulassung mit einer dokumentierten Begründung als nicht anwendbar, das Dashboard zählt einen begründeten Ausschluss als abgedeckt, und die Begründung ist das, was eine Aufsichtsbehörde liest, wenn sie fragt, warum eine Zeile ausgeschlossen wurde. Die SCA-Ausnahmen funktionieren umgekehrt: Wer eine anwendet, übernimmt ihre Bedingungen und ihre Überwachung, die Ausnahmen, die Sie anwenden, sind also Zeilen, die Ihnen gehören.

Die RTS-Zeilen decken den Authentifizierungscode und seine Eigenschaften, Fehlversuche und Sitzungs-Timeout, die dynamische Verknüpfung bei Fernzahlungen, den Schutz und die Unabhängigkeit der Elemente Wissen, Besitz und Inhärenz sowie die Anwendung der starken Kundenauthentifizierung nach Art. 97 PSD2 ab. Jede Ausnahme der Art. 10 bis 18 ist eine eigene Zeile mit den Bedingungen, die sie trägt, einschließlich der verpflichtenden Ausnahme für den Zugang über einen Kontoinformationsdienstleister und der Ausnahme der Transaktionsrisikoanalyse mit Betrugsratenberechnung, Methodendokumentation, Meldung von Überschreitungen und Beendigung. Die vierteljährlichen Überwachungsdaten je Ausnahme, die vierteljährliche Betrugsrate sowie die jährliche und die dreijährliche Prüfung landen als wiederkehrende Pflichten im Compliance-Kalender. Die Gap-Analyse stellt dann die Fragen hinter den Zeilen: Wer entscheidet, welche Ausnahmen das Unternehmen anwendet, wie jede Entscheidung belegt wird, wer die Transaktionsrisikoanalyse verantwortet und was als Betrug zählt.

Als Zeilen mit eigenen Nachweisen und als Pflichten im Kalender. Art. 10 PSD2 und Art. 7 EMD2 ergeben getrennte Zeilen für die Trennung der Gelder, die Versicherungs- oder Garantieoption, die Fünf-Geschäftstage-Regel für mit Zahlungsinstrument gezahlte Gelder, die Gelder für nicht mit E-Geld verbundene Zahlungsdienste und die vorherige Anzeige wesentlicher Änderungen der Sicherungsmaßnahmen. Art. 4 bis 6 EMD2 ergeben Anfangskapital, Eigenmitteluntergrenze, die Berechnung nach Methode D, die Grenzen der Kreditgewährung und das Verbot der Entgegennahme von Einlagen. Der Kalender trägt die vierteljährliche Eigenmittelprüfung, die jährliche Überprüfung des Sicherungsrahmens durch den Vorstand, die Sicherungsprüfung, Compliance-Tests und Schulungen. Die Hinweise zu jeder Zeile sagen, was ein Prüfer akzeptiert: eine Abstimmung, die von der Verbindlichkeitsseite ausgeht und die taggleiche Übertragung von Differenzen zeigt, keinen Kontoauszug. Die EMD2-Zeilen tragen zusätzlich einen Satz „Irland“ mit den Regulations von 2011 und den Schreiben, der Mitteilung und dem Newsletter der Central Bank of Ireland, die die aufsichtliche Erwartung festlegen.

Es trägt die siebzehn Pflichten, die die Verordnung in die SEPA-Verordnung eingefügt hat, mit ihren Anwendungsterminen in den Zeilen. Einige gelten bereits für jeden Anbieter von Euro-Überweisungen: die tägliche Prüfung aller Nutzer gegen die gezielten finanziellen Sanktionen der EU und das Verbot der transaktionsbezogenen Prüfung von Sofortüberweisungen seit dem 9. Januar 2025, die Empfängerüberprüfung vor jeder Überweisung seit dem 9. Oktober 2025 für Kreditinstitute im Euroraum, die Gebührenparität und der Jahresbericht über Entgelte und sanktionsbedingte Ablehnungen, fällig bis zum 9. April. Zahlungs- und E-Geld-Institute im Euroraum haben bis zum 9. April 2027 Zeit, das Senden und Empfangen anzubieten, aber die Pflichten zu Entgelten, Empfängerüberprüfung und Sanktionsprüfung kennen keinen solchen Aufschub, und genau diese Falle sollen die Zeilen vermeiden. Venvera erfasst die Pflichten, den Status und die Nachweise; es führt keine Sofortüberweisungen aus und betreibt keine Empfängerüberprüfung, und die Nachweise der Sanktionsprüfung stammen aus Ihrem eigenen Prüfsystem.

Nein. Es ist ein Compliance-Arbeitsbereich: Es erfasst die Pflichten, wer jede verantwortet, den Status, die Nachweise und den Kalender und bewertet die Ermessensentscheidungen in der Gap-Analyse. Zahlungen laufen auf Ihrer Zahlungsplattform, die Empfängerüberprüfung über Ihren Scheme-Dienst oder Ihren eigenen Abgleich, die Sanktionsprüfung in Ihrem Prüfsystem, und die Nachweise, die diese Systeme erzeugen, werden an die Zeilen angehängt. Zwei bestehende Teile von Venvera greifen ineinander: Das Vorfallsmodul betreibt die DORA-Meldefristen, die seit dem 17. Januar 2025 für Zahlungs- und E-Geld-Institute gelten, und das Register für Drittparteien hält die Agenten, Vertriebspartner und Auslagerungsvereinbarungen, deren Überwachung die Zeilen zu Art. 19 und 20 PSD2 und Art. 3 EMD2 verlangen. Die Zeilen zu Sicherheitshinweisen für Nutzer, zum Meldekanal bei Verlust und zu Beschwerden verweisen auf die Unterlagen, die Ihre eigenen Kanäle erzeugen.

Die Richtlinie (EU) 2022/2556 hat Art. 96 Abs. 7 PSD2 eingefügt: Die Absätze zur Meldung von Vorfällen gelten nicht mehr für Kreditinstitute, Zahlungsinstitute, E-Geld-Institute oder Kontoinformationsdienstleister, einschließlich der freigestellten, die schwerwiegende IKT-Vorfälle stattdessen nach Art. 19 DORA melden: Erstmeldung binnen vier Stunden nach der Einstufung und spätestens 24 Stunden nach Kenntnis, Zwischenbericht binnen 72 Stunden, Abschlussbericht binnen eines Monats. Die EBA hat ihre Leitlinien zur Meldung schwerwiegender Vorfälle unter PSD2 am 17. Januar 2025 aufgehoben. Venvera behält eine Zeile zu Art. 96 Abs. 1 PSD2 mit einer auf Anbieter außerhalb von DORA beschränkten Anwendbarkeit und trägt die Pflicht, betroffene Nutzer zu informieren; für ein Finanzunternehmen unter DORA laufen die DORA-Uhren im Vorfallsmodul, und die Zeile hält diese Entscheidung fest, damit sie während eines Vorfalls niemand neu aufrollt.

Die 21 EMD2-Zeilen und die Meldung zu Sofortzahlungen tragen einen Satz „Irland“ mit den European Communities (Electronic Money) Regulations 2011 und den Schreiben der Central Bank von 2021 und 2023, der Safeguarding Notice von 2023 und dem Newsletter zu Zahlungs- und E-Geld-Instituten vom Dezember 2025, sodass die aufsichtliche Erwartung neben der Richtlinie steht, aus der sie stammt. Der Kalender trägt die Sicherungsprüfung, die jährlichen Compliance-Tests und Schulungen, nach denen die Central Bank fragt, und die Eigenmittelprüfung, terminiert vor den vierteljährlichen Meldungen. Dieselben Zeilen gelten für ein Unternehmen, das irgendwo sonst in der EU zugelassen ist; der irische Satz kommt hinzu, er ist keine Bedingung.