DSP3 et RSP : quel impact sur la signature électronique et l'authentification 

La DSP3, troisième directive sur les services de paiement, est la révision de la DSP2, appliquée depuis 2018. Comme tout texte de ce type, elle doit être transposée en droit national par chaque État membre. Elle encadre l'accès au marché : agrément, supervision des établissements de paiement et statut des prestataires de services de paiement (PSP), établissements de crédit et institutions financières. Elle intègre également les émetteurs de monnaie électronique dans un régime unique d'établissement de paiement, remplaçant l'ancien texte dédié. Son périmètre s'élargit par ailleurs à de nouveaux acteurs — fournisseurs de paiement fractionné, spécialistes des crypto-actifs — jusqu'ici partiellement encadrés.

Le RSP — règlement sur les services de paiement — est la grande nouveauté du paquet. Contrairement à une directive, il s'applique directement et uniformément dans toute l'Union, sans transposition nationale. Il regroupe l'essentiel des obligations opérationnelles : authentification forte du client, responsabilité en cas d'escroquerie, contrôle du bénéficiaire, transparence et accès ouvert aux comptes bancaires. Ce choix vise à réduire les écarts d'interprétation entre pays : une fintech active en France, en Allemagne et aux Pays-Bas appliquera désormais les mêmes dispositions partout.

Sept ans d'application ont révélé les limites de la DSP2. L'authentification forte, bien qu'efficace, est restée vulnérable au hameçonnage et aux codes reçus par SMS. Les virements autorisés frauduleux — où un client est manipulé pour valider lui-même un paiement — n'étaient pas clairement encadrés. L'open banking, enfin, n'a pas atteint son plein potentiel. La DSP3 et le RSP corrigent ces faiblesses en renforçant ce qui fonctionnait et en clarifiant ce qui posait problème, dans un ensemble plus harmonisé à l'échelle du marché des paiements européen.

Le changement le plus fort concerne la fraude aux paiements. Le RSP impose la vérification du bénéficiaire : avant tout virement, l'opérateur doit contrôler que le nom du bénéficiaire correspond à son IBAN et signaler toute anomalie. La responsabilité s'élargit aussi : en cas d'usurpation, le PSP doit rembourser l'utilisateur, et cette responsabilité peut être partagée avec l'établissement du bénéficiaire. Enfin, les acteurs pourront échanger entre eux des informations sur les arnaques en cours, afin de repérer plus tôt les comptes exploités par les réseaux criminels.

L'enjeu est considérable : selon le rapport conjoint de la Banque centrale européenne et de l'Autorité bancaire européenne publié en décembre 2025, la fraude aux paiements dans l'Espace économique européen a atteint 4,2 milliards d'euros en 2024, contre 3,5 milliards en 2023.

L'open banking est renforcé. Les établissements bancaires devront proposer des interfaces (API) performantes et fiables pour donner accès aux comptes de leurs clients aux prestataires de services tiers. Les régulateurs pourront agir sans délai contre les interfaces défaillantes. Les utilisateurs disposeront d'un tableau de bord pour gérer et révoquer les autorisations d'accès à leurs données. Les services d'initiation de paiement bénéficieront d'un cadre technique plus stable, et les fournisseurs de services d'information sur les comptes bancaires obtiendront un passeport facilitant leur activité dans toute l'Union.

La DSP3 rééquilibre la concurrence entre banques et acteurs non bancaires. Les établissements de paiement obtiendront un accès plus direct aux systèmes de paiement, sans dépendre systématiquement d'un partenaire bancaire. En contrepartie, les exigences de conformité et de sécurité se durcissent : gestion des risques, protection des fonds des clients, encadrement de la sous-traitance de la SCA à un prestataire technique. Le dispositif devient plus exigeant, mais aussi plus lisible et équitable pour tous les acteurs du marché des paiements.

L'authentification forte du client (SCA) reste le pilier central de la sécurité des paiements. Elle repose sur au moins deux facteurs parmi les suivants :

• La connaissance : un mot de passe ou un code PIN
• La possession : un téléphone ou un dispositif dédié
• L'inhérence : une donnée biométrique (empreinte, reconnaissance faciale)

Le RSP en élargit le champ : au-delà des paiements, la SCA s'appliquera aussi aux connexions aux comptes, à l'ajout d'un bénéficiaire ou à la modification d'un plafond. Les conditions d'exemption sont clarifiées selon une approche fondée sur le niveau de risque réel de chaque transaction. Cette logique allège les parcours à faible risque tout en imposant un contrôle renforcé sur les opérations les plus sensibles.

Renforcer l'authentification forte suppose de mieux confirmer l'identité du client. Les faiblesses de la DSP2 — hameçonnage, usurpation d'identité, codes SMS interceptables — appellent des méthodes plus robustes. Le contrôle de l'identité en amont, dès l'entrée en relation, et la surveillance des transactions à risque deviennent des obligations centrales pour les prestataires de services de paiement. Former les équipes et les clients à repérer les tentatives d'escroquerie fait également partie des nouvelles obligations. La biométrie et les dispositifs d'identification numérique offrent ici des garanties bien supérieures aux méthodes traditionnelles.

C'est là que la signature électronique et l'identité numérique entrent pleinement en jeu. La DSP3 et le RSP s'articulent avec le règlement eIDAS 2.0 : la signature électronique qualifiée et le portefeuille européen d'identité numérique peuvent servir de moyens d'authentification forte du client. Autrement dit, les briques eIDAS, déjà employées pour signer des documents, permettent aussi de sécuriser l'accès aux comptes bancaires et aux systèmes de paiement. La frontière entre signature, identité et validation du client s'estompe progressivement.

Pour les prestataires de services de paiement, les banques et les fintechs, le chantier est important. Les principales obligations à anticiper sont les suivantes :

• Déployer le contrôle du bénéficiaire (vérification nom/IBAN avant tout virement)
• Renforcer la surveillance des escroqueries et la prévention de la fraude
• Réviser les parcours d'authentification forte du client (SCA)
• Fiabiliser les interfaces d'open banking (API conformes et performantes)
• Encadrer contractuellement la sous-traitance de la SCA à un prestataire technique
• Confirmer l'agrément pour les émetteurs de monnaie électronique dans le nouveau régime

La supervision des établissements de paiement sera renforcée, avec des régulateurs disposant de pouvoirs d'action accélérés en cas de manquement.

Les commerçants et les entreprises bénéficieront de paiements plus sûrs, mais devront s'assurer que leurs partenaires PSP sont conformes. Pour les consommateurs, les avantages sont concrets : meilleure protection contre les escroqueries, remboursement élargi en cas d'usurpation, transparence accrue sur les frais et contrôle renforcé de leurs données. La disponibilité des espèces — aux distributeurs automatiques comme en magasin — fait aussi l'objet de nouvelles dispositions favorables. L'équilibre recherché est clair : plus de sûreté et de fiabilité, sans dégrader l'expérience de paiement ni freiner l'innovation.

Après un accord politique entre le Parlement européen et le Conseil en novembre 2025, la finalisation et l'adoption formelle des textes sont attendues courant 2026. La publication au Journal officiel de l'Union européenne est prévue en 2026. Le RSP s'appliquera dix-huit mois après son entrée en vigueur — elle-même vingt jours après cette publication —, certaines dispositions bénéficiant d'un délai de vingt-quatre mois, pour une entrée en application progressive vers 2027 et 2028. Les agréments délivrés sous la DSP2 resteront valables durant une période transitoire.

Dans ce nouveau contexte réglementaire, la confiance numérique devient centrale. Youtrust propose une signature électronique et des solutions de contrôle d'identité conformes au règlement eIDAS. La signature électronique qualifiée identifie le signataire et garantit l'intégrité des documents — et équivaut légalement à une signature manuscrite en vertu de l'article 25 du règlement eIDAS. Le contrôle de l'identité confirme qui se trouve derrière chaque transaction. Ces briques contribuent directement à l'authentification forte du client attendue par la DSP3 et au renforcement de la lutte contre la fraude.

Youtrust est un acteur français de la confiance numérique, aligné sur eIDAS 2.0 et le portefeuille européen d'identité. Sa vérification d'identité permet de confirmer qui sont réellement les utilisateurs et de détecter les faux documents, tandis que la signature électronique qualifiée renforce la sûreté des parcours et la conformité des prestataires de services de paiement, à l'heure où l'identification des clients devient un enjeu clé du marché des paiements européen.

La DSP3 et le RSP marquent la plus grande évolution des paiements européens depuis la DSP2 : une sécurité renforcée, une responsabilité clarifiée face à la fraude et un open banking plus performant. Pour les acteurs du secteur, l'enjeu est d'anticiper dès maintenant — sans attendre les échéances de 2027 et 2028. Comme l'authentification forte s'appuie désormais sur l'identité numérique et la signature électronique, s'appuyer sur un partenaire spécialisé comme Youtrust constitue un atout pour aborder sereinement ce nouveau contexte réglementaire.