DSP2 : définition et obligations

Les nouveaux prestataires

Le prestataire de services d'initiation de paiement déclenche un virement depuis le compte du client, à sa demande, par exemple au moment d'un achat en ligne. Le prestataire de services d'information sur les comptes rassemble dans une même application les soldes et les opérations de comptes tenus dans des banques différentes. La banque qui tient le compte leur ouvre l'accès par une interface dédiée, sous le contrôle du superviseur, en France l'ACPR.

L'authentification forte, puis la DSP3

L'authentification forte combine deux éléments indépendants pris dans trois catégories : ce que l'utilisateur sait, comme un code, ce qu'il possède, comme un téléphone enregistré, et ce qu'il est, comme une empreinte digitale. Le règlement délégué (UE) 2018/389, applicable depuis le 14 septembre 2019, en fixe les modalités et les exemptions : paiements de faible montant, bénéficiaires de confiance, processus de paiement sécurisés dédiés aux entreprises.

Le Parlement européen et le Conseil ont conclu le 27 novembre 2025 un accord politique sur une troisième directive, la DSP3, et sur un règlement sur les services de paiement directement applicable, qui prendront la suite de la DSP2. Le règlement renforce la lutte contre la fraude au virement et l'accès des prestataires tiers aux comptes. Les dates d'application découleront de la publication des textes au Journal officiel de l'Union.

Qui s'en occupe dans l'entreprise

Dans une banque ou un établissement de paiement, le risk manager conformité suit l'application de la directive, les dispositifs de lutte contre la fraude et les échanges avec le superviseur. Le responsable SI finance, chez un établissement comme dans une entreprise cliente, s'assure que les canaux de paiement appliquent les règles d'authentification. Le business analyst finance traduit les exigences réglementaires en spécifications pour les équipes informatiques et suit leur recette.

Questions fréquentes