DSP3

La deuxième directive sur les services de paiement (DSP2) de 2015 est le cadre dans lequel banques, établissements de paiement et établissements de monnaie électronique proposent des services de paiement dans l'UE. Chaque État membre l'a transposée, l'Allemagne par le Zahlungsdiensteaufsichtsgesetz (ZAG) et le Code civil. La Commission européenne a proposé sa succession le 28 juin 2023 en deux textes, et le même jour le règlement sur l'accès aux données financières (FIDA) pour l'open finance.

La DSP3 est une directive sur l'agrément et la supervision. La DSP3 abroge la directive sur la monnaie électronique de 2009 et soumet les établissements de monnaie électronique au même régime que les établissements de paiement. Le règlement sur les services de paiement (RSP) regroupe les règles de conduite: authentification forte, accès aux comptes de paiement, responsabilité en cas de fraude et transparence des frais. Un règlement ne demande aucune loi de transposition, si bien qu'un établissement de paiement à Francfort applique le même texte qu'à Paris ou Vilnius.

Le Parlement européen et le Conseil sont parvenus à un accord politique provisoire le 27 novembre 2025. L'accord porte sur la protection contre la fraude en ligne et les frais cachés. Le Conseil a publié les textes de compromis finaux le 23 avril 2026, et la commission ECON du Parlement a approuvé le texte le 5 mai 2026, selon le train législatif du Parlement. Le paquet entre en vigueur 20 jours après sa publication au Journal officiel de l'UE.

La plupart des obligations s'appliqueront plus tard. Le cabinet Arthur Cox lit dans les textes finaux un délai de 21 mois pour transposer la DSP3, la vérification du bénéficiaire du RSP s'appliquant 27 mois après l'entrée en vigueur. Les établissements de paiement agréés sous la DSP2 peuvent poursuivre leur activité jusqu'à 27 mois, le temps de prouver à leur superviseur qu'ils respectent les nouvelles exigences. Iulia Cristian, de Worldline, présente le champ et le calendrier pour les prestataires de services de paiement.

Avec le RSP, un prestataire de services de paiement vérifie que le nom du bénéficiaire correspond à l'IBAN avant d'émettre un virement, puis refuse l'ordre et prévient le payeur en cas d'écart. Les virements en euros connaissent déjà cette vérification au titre du règlement sur les virements instantanés, détaillé dans les virements instantanés en Europe; le RSP l'étend aux autres virements. Une opération lancée ou modifiée par un fraudeur est considérée comme non autorisée.

Dans la fraude par usurpation, l'escroc se fait passer pour un employé de la banque du client et le pousse à approuver un paiement. Selon le Parlement, la banque doit alors rembourser l'intégralité du montant, à condition que le client porte plainte et informe la banque. Un prestataire sans dispositif de prévention adéquat supporte la perte du client. Les plateformes en ligne entrent pour la première fois dans la chaîne: une plateforme avertie d'un contenu frauduleux qui ne le retire pas répond envers le prestataire qui a remboursé la victime, et les très grandes plateformes doivent vérifier qu'un annonceur de services financiers est agréé. La prévention de la fraude en Allemagne montre comment les banques allemandes détectent la fraude aujourd'hui.

La DSP2 a ouvert aux tiers agréés l'accès aux comptes de paiement. Le nouveau paquet conserve cet accès et en durcit les conditions. Les banques doivent ouvrir les comptes de paiement aux établissements de paiement sans discrimination, exploiter une interface dédiée (API) et offrir à leurs clients un tableau de bord des prestataires autorisés à lire leurs comptes, où le client peut aussi retirer cette autorisation. L'open banking en Allemagne repose surtout sur le standard d'API du Berlin Group.

L'authentification forte demeure, avec un traitement plus clair des opérations initiées par le commerçant. Les prestataires doivent proposer gratuitement des méthodes d'authentification qui ne dépendent pas du seul smartphone. Avant un paiement, le client voit tous les frais, y compris ceux de conversion de devises et les frais fixes de retrait. Les commerces pourront remettre jusqu'à 150 euros en espèces sans achat, ce que le Parlement présente comme un moyen de garder l'accès aux espèces hors des villes.

En Allemagne, la DSP3 sera transposée dans le ZAG, sur le fondement duquel la BaFin autorise et supervise les établissements de paiement et de monnaie électronique. La BaFin attend déjà des nouveaux dossiers d'autorisation qu'ils suivent l'orientation de la DSP3, comme l'a rapporté Freshfields. Un établissement autorisé au titre du ZAG devra prouver qu'il respecte les nouvelles exigences de la DSP3, comme les règles de cantonnement des fonds des clients, pour garder son autorisation. La réglementation des paiements en Allemagne couvre l'autorisation ZAG, le cantonnement des fonds et les obligations DORA.

Finance Loop est le lieu de rencontre des personnes qui traduisent les règles de paiement en produits et en processus: équipes conformité et juridiques des banques, des établissements de paiement et de monnaie électronique, ainsi que les fintechs et cabinets de conseil qui travaillent avec eux. Finance Loop relie les communautés de la finance, de l'informatique et de l'IA en Allemagne, en Autriche et en Suisse, avec des événements à Francfort, Munich, Berlin et Hambourg.

Finance Loop soutient When Banks Say 'No', un séminaire sur les paiements à Francfort pour les équipes conformité, trésorerie et juridiques, consacré aux paiements bloqués, au de-risking et aux sanctions. Sopra Steria, qui cite la DSP3, le RSP et FiDA parmi ses sujets bancaires en Allemagne, avait un intervenant à la Digital Finance Night organisée par Finance Loop à Francfort. Pendant Sibos à Francfort, Finance Loop a organisé un événement parallèle au TechQuartier sur les paiements et la blockchain.

Capital & Code est une conférence d'une journée à Francfort sur les stablecoins, les fonds tokenisés et les paiements, organisée par l'émetteur de stablecoin en euro AllUnity. La table ronde de Capital & Code sur l'avenir des paiements réunit Mastercard, AllUnity, Worldline et PayPal. Finance Loop est partenaire média de la conférence.

La DSP2 est une directive unique, transposée par chaque État membre. Le successeur de la DSP2 se compose de deux parties: la DSP3, directive sur l'agrément et la supervision qui absorbe aussi la directive sur la monnaie électronique, et le règlement sur les services de paiement, qui regroupe les règles de conduite et s'applique directement. Le paquet ajoute la vérification du nom du bénéficiaire pour les virements, le remboursement des fraudes à l'usurpation bancaire, la responsabilité des plateformes en ligne, des tableaux de bord d'autorisations pour l'open banking et une authentification sans smartphone.

Le paquet entre en vigueur 20 jours après sa publication au Journal officiel. Les États membres ont ensuite 21 mois pour transposer la DSP3, et la vérification du bénéficiaire du RSP s'applique 27 mois après l'entrée en vigueur, selon la lecture des textes finaux par Arthur Cox. Les établissements de paiement agréés sous la DSP2 disposent de 27 mois au plus pour prouver qu'ils respectent les nouvelles règles.

Oui, la DSP3 abroge la directive 2009/110/CE et soumet les établissements de monnaie électronique aux règles d'agrément et de supervision des établissements de paiement. L'émission de monnaie électronique reste soumise à agrément, dans un cadre unique pour les deux catégories.

Non, le règlement sur l'accès aux données financières a été proposé le même jour que la DSP3 et le RSP. Il étendrait l'accès aux données au-delà des comptes de paiement, à l'épargne, aux placements, aux retraites et à l'assurance. FIDA est un dossier législatif distinct, et les règles d'accès aux comptes de paiement figurent dans le RSP.