RTS

Définition

Les RTS (Regulatory Technical Standards) sont des standards techniques contraignants rédigés par l'EBA et adoptés par la Commission sous forme de règlement délégué.

Là où la directive donne le « quoi », les RTS donnent le « comment », de manière juridiquement opposable.

RTS vs Guidelines vs Q&A

L'EBA produit trois types de textes à la force très différente :

• RTS — règles contraignantes, adoptées par la Commission, directement applicables ; ne pas les respecter expose à sanction.
• Guidelines — bonnes pratiques recommandées, soumises au « comply or explain » des NCA : très influentes, mais pas contraignantes.
• Q&A et opinions — clarifications non contraignantes qui éclairent l'interprétation.

Le processus d'adoption

1. Mandat : la directive (ex. DSP2, art. 98) demande à l'EBA de rédiger un RTS.
2. Consultation publique : l'EBA publie un projet, l'industrie répond pendant 2 à 3 mois.
3. Soumission : l'EBA finalise et transmet à la Commission.
4. Adoption : la Commission l'adopte en règlement délégué, publié au JOUE, sauf objection du Parlement ou du Conseil.

Compter 2 à 3 ans entre le mandat et l'application effective.

Les RTS clés de la DSP2

• RTS-SCA (2018/389, applicable depuis septembre 2019) : authentification forte, dynamic linking, exemptions, communication commune et sécurisée (CSC) entre TPP et ASPSP.
• RTS fraude : modèle de reporting trimestriel des fraudes.
• RTS passeport : notification d'une NCA à une autre.
• RTS groupements de PSP : conditions de coopération.

Ce que les RTS ne font pas

• Ne créent pas d'obligations hors du mandat de la directive.
• Ne remplacent pas la directive : ils la précisent, ils ne la refondent pas.
• Ne sont pas négociables : c'est un règlement, applicable tel quel.
• Ne couvrent pas tout : pour les zones grises, il faut les guidelines, Q&A et positions des NCA.

Dans l'écosystème PSD2

Les RTS sont la boîte à outils opérationnelle : pour savoir comment implémenter la DSP2 (puis le PSR), c'est dans les RTS qu'on trouve la réponse autoritative, pas dans la directive, volontairement plus haut niveau.

Exemples concrets

• RTS-SCA et checkout : c'est lui qui a imposé le 3DS2 à la place du 3DS1 et défini les exemptions TRA que les PSP (Stripe, Adyen, Worldline) exploitent pour la conversion.
• Renouvellement AISP : la modification du RTS-SCA en 2022 a fait passer le renouvellement de consentement de 90 à 180 jours, améliorant la rétention de Bankin' ou Linxo.
• Reporting fraude : tout PSP au-delà d'un certain volume envoie à sa NCA un fichier standardisé par RTS — un volume de données à anticiper en architecture.
• Passage au PSR : le règlement délégué 2018/389 reste applicable avec la DSP2 jusqu'à 21 mois après l'entrée en vigueur du PSR. L'EBA doit remettre ses projets de nouveaux RTS sur la SCA et les interfaces douze mois après cette entrée en vigueur (art. 89, numérotation provisoire du compromis d'avril 2026), ce qui laisse neuf mois avant l'application. Le texte ne dit pas ce que devient 2018/389 si ces RTS ne sont pas prêts à temps. Fin septembre 2026, l'EBA n'avait ouvert aucune consultation.
• Veille : le « Single Rulebook » de l'EBA centralise tous les RTS, guidelines et Q&A en vigueur.