Définition
L'EBA (European Banking Authority) est l'autorité bancaire européenne, basée à Paris depuis 2019.
Sur la DSP2, c'est elle qui rédige les règles techniques (RTS, Regulatory Technical Standards) et les guidelines que tous les acteurs européens — banques, fintechs, TPP — doivent appliquer pour se mettre en conformité.
EBA, ACPR, Commission : trois métiers
- Commission Européenne — écrit les directives, la loi-cadre (DSP2, DSP3, FIDA).
- EBA — les traduit en règles techniques contraignantes (RTS) et bonnes pratiques (guidelines).
- ACPR — applique en France : agrément des PSP, contrôle, sanction.
Autrement dit : la Commission décide, l'EBA précise, l'ACPR fait respecter.
Ce que produit l'EBA pour la DSP2
- RTS-SCA (septembre 2019) : règles d'authentification forte (3DS2, exemptions, dynamic linking).
- Guidelines sur la fraude, le fallback et la disponibilité des API (cible d'uptime mensuel).
- Registre central des PSP (EBA Register) : la base de référence pour vérifier qu'un TPP est agréé.
- Avis et opinions : interprétation des cas d'usage (mobile, comportement attendu en cas de panne d'API).
Ce que l'EBA ne fait pas
- Ne délivre pas d'agrément : c'est chaque autorité nationale (ACPR, BaFin, FCA).
- Ne sanctionne pas directement les PSP : elle signale et recommande, la sanction revient au régulateur national.
- Ne fait pas la loi : elle opérationnalise les directives, elle ne les propose pas.
Dans l'écosystème PSD2
L'EBA est l'arbitre technique européen : c'est sur ses publications que banques et TPP s'appuient pour savoir « comment » se conformer, et sur son registre qu'on vérifie qu'un partenaire est agréé.
Exemples concrets
- Vérifier un TPP : avant d'intégrer un partenaire (Bridge, Tink, Fintecture), on consulte l'EBA Register pour confirmer son statut et son passeport européen.
- Choisir une méthode SCA : l'EBA précise les conditions d'exemption (faible montant, paiement récurrent, marchand de confiance), utiles pour optimiser un checkout.
- Anticiper DSP3 / FIDA : ses opinions et discussion papers préfigurent la prochaine génération de règles — la meilleure source pour comprendre le sens de l'eau.
- Reporting fraude : le reporting trimestriel des PSP sur la fraude est fixé par ses guidelines — point de vigilance pour toute fintech qui scale.