DSP2 : la directive européenne sur les services de paiement expliquée

La DSP2 structure tous les paiements électroniques en Europe depuis 2018. Mais selon que vous encaissez pour vous-même, pour le compte de tiers, ou que vous proposez des services de paiement, elle n’exige pas du tout la même chose de vous.

Trois repères pour situer :

• Directive (UE) 2015/2366, adoptée le 25 novembre 2015, entrée en application le 13 janvier 2018.
• Elle impose l’authentification forte et ouvre l’accès aux comptes bancaires à des prestataires tiers agréés.
• Elle est appelée à être remplacée par le paquet DSP3 / PSR, dont les propositions ont été présentées par la Commission européenne le 28 juin 2023.

L’essentiel de cet article porte sur la question la plus utile en pratique, et la moins traitée ailleurs : qu’est-ce que la DSP2 exige de vous, selon votre rôle dans la chaîne de paiement, développé plus bas dans la section « Êtes-vous concerné par la DSP2 ? ».

La DSP2, Directive sur les Services de Paiement 2, PSD2 en anglais, est la directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015, entrée en application le 13 janvier 2018. Elle abroge la première directive sur les services de paiement de 2007. En France, elle a été transposée dans le Code monétaire et financier par l’ordonnance n° 2017-1252 du 9 août 2017.

Elle poursuit trois objectifs :

• Sécuriser les paiements électroniques face à la montée de la fraude ;
• Ouvrir le marché à des acteurs non bancaires que le cadre précédent n’encadrait pas ;
• Renforcer la protection des utilisateurs.

Sur ce dernier point, une mesure concrète illustre bien l’esprit du texte : la franchise restant à la charge du titulaire d’une carte en cas de paiement frauduleux a été abaissée de 150 € à 50 €.

C’est la mesure que tout le monde a vue arriver, la validation en deux temps au moment du paiement.

Le principe. L’authentification forte (Strong Customer Authentication, SCA) impose de combiner au moins deux facteurs parmi trois : la connaissance (mot de passe, code), la possession (téléphone, appareil enregistré), l’inhérence (empreinte digitale, reconnaissance faciale). Ses modalités sont précisées par le règlement délégué (UE) 2018/389 du 27 novembre 2017.

Le calendrier, souvent mal raconté. L’application de l’authentification forte était initialement prévue au 14 septembre 2019. En France, son déploiement à grande échelle (émetteurs de cartes, banques, opérateurs de paiement, commerçants) est intervenu à partir de mi-mai 2021.

Les exemptions. Le règlement délégué prévoit des dérogations : opérations de faible montant, opérations récurrentes, bénéficiaires de confiance enregistrés, analyse du risque de transaction, notamment. Le protocole 3D Secure 2 a été conçu pour fluidifier la collecte des données d’authentification et limiter la friction sur le parcours d’achat.

Ce volet est largement documenté ailleurs. Le reste de cet article s’attache à ce qui l’est beaucoup moins : ce que la directive change pour les acteurs qui manipulent l’argent des autres.

Volet moins visible du grand public, mais bien plus structurant pour le marché : la DSP2 oblige les banques à ouvrir l’accès aux comptes, via des interfaces sécurisées, à des acteurs tiers agréés, avec le consentement de l’utilisateur.

La DSP2 institue deux catégories de prestataires tiers :

• Le prestataire de services d’information sur les comptes (PSIC, AISP) agrège les informations de comptes détenus dans différents établissements : vision consolidée, agrégation budgétaire, analyse de solvabilité.
• Le prestataire de services d’initiation de paiement (PSIP, PISP) initie un paiement directement depuis le compte de l’utilisateur, sans passer par une carte.

Deux statuts distincts, deux usages, deux agréments. Les prestataires agréés en France sont répertoriés dans le registre Regafi tenu par l’ACPR.

Le bilan mérite d’être posé sans emballement. De nouveaux services ont émergé, mais la mise en œuvre des interfaces techniques est restée inégale d’un établissement à l’autre. C’est précisément l’un des points que le paquet DSP3 / PSR cherche à corriger, en imposant une standardisation.

Au-delà de la sécurité du parcours de paiement, la DSP2 encadre ce qui se passe lorsqu’un acteur détient de l’argent qui ne lui appartient pas. C’est le point de bascule vers l’angle qui intéresse les plateformes.

Les établissements de paiement et de monnaie électronique doivent protéger les fonds reçus de leurs utilisateurs. L’article L. 522-17 du Code monétaire et financier pose deux exigences :

• Les fonds reçus ne peuvent en aucun cas être confondus avec ceux de l’établissement ou de tiers ;
• Ils doivent être déposés sur un compte distinct auprès d’un établissement de crédit, à la fin du jour ouvrable suivant leur réception, c’est le mécanisme du cantonnement.

Ces fonds sont protégés contre les recours des autres créanciers de l’établissement, y compris en cas de procédure d’insolvabilité ouverte à son encontre.

La directive encadre également la répartition de la responsabilité entre l’utilisateur, sa banque et le prestataire de paiement, en particulier lorsque l’authentification forte n’a pas été appliquée. C’est un volet que le paquet DSP3 / PSR devrait renforcer.

La question la plus utile n’est pas « qu’est-ce que la DSP2 » mais « qu’est-ce qu’elle exige de moi ». Et la réponse dépend entièrement d’un critère : manipulez-vous des fonds qui appartiennent à d’autres ?

C’est ici que tout bascule.

Dès lors qu’une plateforme collecte des fonds destinés à d’autres, marchands d’une marketplace, porteurs de projet, prestataires d’une place de marché de services, elle exerce une activité réglementée. Encaisser puis reverser de l’argent qui ne vous appartient pas n’est pas un simple flux technique : c’est un service de paiement, dont les modalités concrètes sont détaillées dans notre guide sur l’encaissement pour compte de tiers.

Trois obligations en découlent : disposer d’un agrément (le sien ou celui d’un partenaire), protéger les fonds par le cantonnement, et mettre en œuvre un dispositif de vérification d’identité et de lutte contre le blanchiment.

Une plateforme de financement participatif cumule deux réglementations : le règlement européen ECSP pour son activité de mise en relation, et la DSP2 pour les flux financiers, qu’elle ne peut pas porter elle-même.

Le corollaire est très concret : la conformité DSP2 de son partenaire de paiement devient un critère de sélection déterminant. Supervision par l’ACPR, mise en œuvre de l’authentification forte, qualité du dispositif de protection des fonds : ce sont des questions à poser avant de choisir, pas après.

Le cas mérite d’être mentionné pour clarifier la frontière, sans être le sujet de cet article.

Un commerçant qui encaisse ses propres ventes n’a pas d’agrément à obtenir. Ses obligations se limitent au parcours de paiement : appliquer l’authentification forte via son prestataire, et gérer les exemptions applicables. C’est le cas le plus simple, et de loin le plus documenté par les acteurs du paiement en ligne.

Ce qui compte, c’est la frontière : dès que l’argent encaissé est destiné à quelqu’un d’autre, on change de régime.

La DSP2 vit ses dernières années. La Commission européenne a présenté le 28 juin 2023 un paquet composé d’une DSP3 (directive, nécessitant une transposition nationale) et d’un PSR / RSP (règlement, directement applicable dans tous les États membres).

À la date de publication de cet article : les propositions datent de juin 2023, et un accord politique provisoire entre le Parlement européen et le Conseil est intervenu fin 2025. La publication au Journal officiel de l’Union européenne et l’application effective devraient suivre, après une période de transition.

Une précaution s’impose sur ce point. Les informations qui circulent sur le calendrier DSP3 sont contradictoires : certaines sources présentent la directive comme déjà adoptée, d’autres annoncent des échéances très différentes. Les éléments ci-dessus s’entendent à la date de publication de cet article et sont susceptibles d’évoluer. La DSP3 n’est pas applicable à ce jour.

Le paquet prévoirait notamment :

• Un renforcement de la lutte contre la fraude, extension de la vérification du bénéficiaire (Verification of Payee) aux virements, partage de données de fraude entre prestataires ;
• Une standardisation des interfaces d’open banking, pour corriger la mise en œuvre inégale constatée sous la DSP2 ;
• Une fusion des régimes d’établissement de paiement et d’établissement de monnaie électronique ;
• Un encadrement plus explicite de certains services liés aux crypto-actifs, dont l’articulation avec le règlement MiCA est déjà largement anticipée par le marché, voir notre article sur MiCA, double cadre et DSP3.

Ces éléments restent susceptibles d’évoluer jusqu’à la publication définitive des textes.

Sans alarmisme : les chantiers structurants, dispositifs d’authentification, gestion de la fraude, qualité des interfaces techniques, ne se rattrapent pas en quelques mois. Un acteur adossé à un établissement régulé absorbe une part significative de cette veille et de cette mise en conformité.

Pour une plateforme concernée, il n’existe que deux voies. Soit elle devient elle-même un établissement agréé, soit elle opère sous l’agrément d’un établissement régulé.

Le parcours suppose un dossier exigeant auprès de l’ACPR : fonds propres réglementaires, gouvernance documentée, dispositif de contrôle interne, dispositif LCB-FT. À quoi s’ajoutent une instruction longue, des reportings réguliers et une charge de veille permanente, d’autant plus lourde avec l’arrivée de la DSP3. Le détail de ce parcours est couvert dans notre article tout savoir pour comprendre et obtenir l’agrément ACPR.

S’y ajoute un obstacle souvent sous-estimé : trouver un établissement de crédit acceptant d’ouvrir le compte de cantonnement.

Pour une plateforme dont le métier n’est pas la banque, l’ensemble représente un investissement structurel sans lien avec sa proposition de valeur.

La plateforme s’adosse à un établissement de paiement ou de monnaie électronique agréé, qui porte l’agrément et la charge réglementaire : protection des fonds, authentification forte, KYC et LCB-FT. Les services de paiement sont intégrés par API dans le parcours existant de la plateforme, qui en conserve la maîtrise.

Le time-to-market et l’expérience utilisateur restent chez la plateforme ; la conformité est portée par le partenaire.

En pratique, avec Xpollens. Xpollens est un établissement de monnaie électronique agréé par l’ACPR, filiale du Groupe BPCE. La conformité DSP2 est intégrée nativement : authentification forte, KYC et KYB, dispositif LCB-FT, et cantonnement des fonds au sein des comptes de Natixis. La plateforme accède à ces briques par API, sans porter d’agrément ni construire d’infrastructure bancaire.

Que signifie DSP2 ?

Directive sur les Services de Paiement 2 (PSD2), soit la directive (UE) 2015/2366 du 25 novembre 2015, en application depuis le 13 janvier 2018. Elle encadre les services de paiement dans le marché intérieur européen.

Qu’est-ce que l’authentification forte (SCA) ?

Une validation combinant au moins deux facteurs parmi trois : connaissance, possession, inhérence. Ses modalités sont définies par le règlement délégué (UE) 2018/389.

Depuis quand l’authentification forte est-elle obligatoire ?

Son application était initialement prévue au 14 septembre 2019. En France, le déploiement à grande échelle est intervenu à partir de mi-mai 2021.

Quelles sont les exemptions à l’authentification forte ?

Le règlement délégué (UE) 2018/389 prévoit plusieurs dérogations : opérations de faible montant, opérations récurrentes, bénéficiaires de confiance enregistrés, analyse du risque de transaction.

Ma marketplace est-elle concernée par la DSP2 ?

Oui, dès qu’elle encaisse des fonds destinés à des tiers. C’est une activité réglementée qui nécessite un agrément, le sien ou celui d’un partenaire régulé, ainsi qu’un dispositif de protection des fonds et de conformité LCB-FT.

Une plateforme de financement participatif est-elle soumise à la DSP2 ?

Elle cumule le règlement ECSP pour son activité de mise en relation et la DSP2 pour ses flux financiers, qu’elle ne peut pas porter elle-même. Les fonds transitent par un établissement de paiement régulé.

Quelle différence entre DSP2 et DSP3 ?

La DSP3, accompagnée d’un règlement directement applicable (PSR/RSP), doit remplacer la DSP2 : renforcement de la lutte contre la fraude, standardisation des interfaces d’open banking, fusion des régimes d’établissement de paiement et de monnaie électronique.

La DSP3 est-elle déjà en vigueur ?

Non. Les propositions de la Commission européenne datent de juin 2023 et un accord politique provisoire est intervenu fin 2025. La publication et l’application effective restent à venir.

Agrément ACPR porté par Xpollens · Conformité DSP2 native (authentification forte, KYC/KYB, LCB-FT) · Cantonnement au sein des comptes de Natixis (Groupe BPCE) · Intégration par API.

→ Parlez-nous de votre projet

• ACPR / Banque de France – Directive sur les services de paiement (DSP2) : objectifs, champ d’application et calendrier
• Directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur – EUR-Lex
• Règlement délégué (UE) 2018/389 de la Commission du 27 novembre 2017 (normes techniques de réglementation relatives à l’authentification forte du client) – EUR-Lex
• Légifrance – Ordonnance n° 2017-1252 du 9 août 2017 (transposition de la DSP2 en droit français)
• Légifrance – Code monétaire et financier, article L. 522-17 (protection des fonds des utilisateurs de services de paiement)
• France Num (service public) – Déploiement de l’authentification forte en France
• La finance pour tous (Institut pour l’Éducation Financière du Public) – Statuts PSIC/PSIP, registre Regafi, franchise en cas de fraude
• Commission européenne / Conseil de l’Union européenne – Paquet DSP3 et PSR : propositions du 28 juin 2023 et état d’avancement