Question 1

Quelle différence entre la DSP3 et le PSR ?

Accepted Answer

La réforme passe par deux textes. La DSP3 est une directive. Elle règle l'agrément et la supervision des établissements de paiement, et elle range l'émission de monnaie électronique parmi les services de paiement, ce qui fait disparaître le statut d'établissement de monnaie électronique (annexe I). Chaque État membre doit la transposer.

Le PSR est un règlement, applicable tel quel dans toute l'Union. Il porte les règles qui s'appliquent aux opérations : information des clients, droits et obligations, accès aux comptes par les AISP et les PISP, authentification forte et lutte contre la fraude. Une équipe API ou conformité travaille surtout avec le PSR, une équipe qui prépare un agrément avec la DSP3.

Question 2

Quand la DSP3 et le PSR s'appliquent-ils ?

Accepted Answer

Aucun des deux textes n'a encore de date. Tout se compte depuis l'entrée en vigueur, le vingtième jour après la publication au Journal officiel. Le PSR s'applique 21 mois plus tard, ses articles 50 et 57 sur la vérification du bénéficiaire à 27 mois, et ses articles 85a et 108a dès l'entrée en vigueur (article 112). La DSP3 doit être transposée et s'appliquer à 21 mois, date à laquelle la DSP2 est abrogée. Les établissements déjà agréés gardent leur agrément jusqu'à 27 mois.

Pour une publication le 22 décembre 2026, le calcul place l'application générale au 11 octobre 2028. C'est une hypothèse, aucune institution n'a publié de calendrier.

Question 3

Qu'est-ce qui change par rapport à la DSP2 ?

Accepted Answer

Pour l'open banking, l'interface dédiée devient obligatoire pour tout prestataire qui tient des comptes de paiement accessibles en ligne, et le mécanisme de secours par l'interface client disparaît (articles 35 et 38). L'article 44 liste douze obstacles interdits, et la banque doit offrir à ses clients un tableau de bord de leurs consentements (article 43). La limite de quatre accès par jour sans l'utilisateur n'est pas reprise.

Côté fraude, la vérification du bénéficiaire s'étend à tous les virements, l'usurpation de l'identité de la banque ouvre un droit au remboursement et le partage de données de fraude entre prestataires devient obligatoire (article 83a). Le délai de contestation passe de 13 à 18 mois (article 54). Le droit national doit prévoir des amendes dont le maximum atteint au moins 10 % du chiffre d'affaires annuel (article 97).

Question 4

Qu'est-ce qui change pour l'authentification forte ?

Accepted Answer

La définition ne change pas. Il faut deux éléments indépendants parmi la connaissance, la possession et l'inhérence (article 3(35)). Seule ouverture, un prestataire peut utiliser deux éléments d'inhérence s'il démontre à son autorité qu'ils restent indépendants (article 85(12)). La liste des actions soumises à SCA s'allonge, avec par exemple la hausse d'un plafond ou le changement de coordonnées en ligne (article 85(1)(d)).

Pour l'information sur les comptes, la banque n'applique la SCA qu'au premier accès d'un AISP, et c'est l'AISP qui la refait tous les 180 jours (article 86). Les exemptions et leurs seuils sont renvoyés au RTS de l'article 89. Chaque prestataire doit offrir gratuitement au moins un moyen de SCA adapté à chaque client, et la SCA ne peut pas dépendre d'un smartphone, sauf pour un service uniquement mobile que le client a accepté (article 88).

Question 5

Que devient la vérification du bénéficiaire ?

Accepted Answer

Le règlement sur les virements instantanés impose déjà de vérifier le nom du bénéficiaire pour les virements en euros. L'article 50 du PSR étend cette vérification à tous les virements, dans d'autres devises aussi, et quand le compte n'a pas d'IBAN elle porte sur l'identifiant utilisé. Un écart de nom ne bloque pas le paiement.

L'article 57 fixe la responsabilité. Si la vérification n'a pas été faite comme prévu, la banque du payeur rembourse d'abord, puis se retourne contre la banque du bénéficiaire ou contre le PISP quand le défaut vient de lui. Ces deux articles s'appliquent 27 mois après l'entrée en vigueur, six mois après le reste du règlement.

Question 6

Que prévoit le PSR quand un fraudeur se fait passer pour la banque ?

Accepted Answer

C'est le seul nouveau droit au remboursement du texte (article 59). Il vise le consommateur qui autorise un paiement parce qu'un tiers s'est fait passer pour sa banque, en utilisant des canaux attribués à celle-ci comme son numéro de téléphone, son adresse e-mail ou son application, copies frauduleuses comprises. La banque rembourse le montant total si le client l'a prévenue sans retard et a déposé plainte.

Elle a 15 jours ouvrables pour rembourser ou motiver son refus, et c'est à elle de prouver une fraude ou une négligence grave du client. Les autres escroqueries, comme le faux placement ou la fausse facture, n'ouvrent pas ce droit. Elles relèvent de la responsabilité de la banque qui n'a pas surveillé l'opération, ou du droit national.

Date	Ce qui s'applique ou arrive à échéance
T11 janvier 2027	Entrée en vigueur. Les articles 85a et 108a du PSR s'appliquent.
T + 9 mois11 octobre 2027	Projet de RTS de l'EBA sur les statistiques des interfaces et le délai de rétablissement (PSR art. 38(5)).
T + 12 mois11 janvier 2028	Projets de l'EBA du bloc principal, dont le RTS de l'article 89 du PSR sur la SCA, les standards de communication et la surveillance des transactions.
T + 15 mois11 avril 2028	Acte délégué de la Commission sur l'information relative aux frais des schémas de cartes (PSR art. 31a(4)).
T + 18 mois11 juillet 2028	Orientations sur deux éléments d'inhérence (PSR art. 85(12)), RTS sur les données d'accès des TPP (PSR art. 48(8)), registre central et passeport (DSP3).
T + 21 mois11 octobre 2028	Application générale du PSR. Transposition et application de la DSP3. Abrogation de la DSP2 et de la deuxième directive monnaie électronique.
T + 27 mois11 avril 2029	Articles 50 et 57 du PSR sur la vérification du bénéficiaire. Fin du maintien des agréments existants (DSP3 art. 44 et 45).
T + 30 mois11 juillet 2029	Limite de la prolongation exceptionnelle des agréments existants (DSP3 art. 45a).

Texte	Type	Objet	Projet attendu	État
PSR 2(7)	Orientations	Exclusion de l'agent commercial	T + 12 mois11 janv. 2028	Rien de publié
PSR 2(8)	RTS	Conditions de l'exclusion du réseau limité	T + 12 mois11 janv. 2028	Rien de publié
PSR 32(5)	RTS	Format des refus et clôtures de comptes d'établissements de paiement par les banques	T + 12 mois11 janv. 2028	Rien de publié
PSR 38(5)	RTS	Statistiques trimestrielles des interfaces et délai de rétablissement après une panne	T + 9 mois11 oct. 2027	Rien de publié
PSR 39(2)	RTS	Critères pour dispenser un ASPSP de toute interface	T + 12 mois11 janv. 2028	Rien de publié
PSR 48(8)	RTS	Données sur l'accès des TPP à remettre aux autorités	T + 18 mois11 juil. 2028	Rien de publié
PSR 82(2)	RTS	Données statistiques sur la fraude	T + 12 mois11 janv. 2028	Rien de publié
PSR 82(3)	ITS	Formulaires de remontée des données de fraude à l'EBA	T + 12 mois11 janv. 2028	Rien de publié
PSR 85(12)	Orientations	Indépendance de deux éléments d'inhérence	T + 18 mois11 juil. 2028	Rien de publié
PSR 89(1)	RTS	SCA, exemptions, protection des identifiants, externalisation, standards de communication, interfaces dédiées, surveillance des transactions	T + 12 mois11 janv. 2028	Rien de publié
PSR 91(6)	Orientations	Procédures de réclamation auprès des autorités	T + 21 mois11 oct. 2028	Rien de publié
PSD3 3(5)-(6)	RTS	Dossiers d'agrément et d'enregistrement, méthode d'évaluation, garantie comparable à l'assurance	T + 12 mois11 janv. 2028	Rien de publié
PSD3 7(6)	RTS	Critères du modèle à petit nombre d'opérations de montant élevé, pour la méthode de fonds propres	T + 12 mois11 janv. 2028	Rien de publié
PSD3 9(7)	RTS	Protection des fonds des clients	T + 12 mois11 janv. 2028	Rien de publié
PSD3 13(1)	Orientations	Gouvernance et contrôle interne examinés à l'agrément	T + 12 mois11 janv. 2028	Rien de publié
PSD3 18(5)	RTS	Fonctionnement du registre central de l'EBA	T + 18 mois11 juil. 2028	Rien de publié
PSD3 18(6)	ITS	Informations que les autorités notifient au registre	T + 18 mois11 juil. 2028	Rien de publié
PSD3 30(5)	RTS	Coopération entre autorités pour le passeport	T + 18 mois11 juil. 2028	Rien de publié

DSP3 et PSR, où en est-on ?

État

La procédure

Le calendrier

Les 18 mandats de l'EBA

Les textes

Questions fréquentes