PSD3 : Habemus Pactum

Résumé : Cet article présente les grandes lignes de l’accord politique récemment conclu concernant le PSR et la PSD3 de l’UE, qui vont réformer en profondeur la réglementation relative à la banque numérique et aux paiements. Il met en avant les principaux changements à venir en matière de prévention de la fraude, de responsabilité et d’authentification forte des clients. Ces mises à jour visent à réduire la fraude autorisée et à améliorer la protection des consommateurs dans toute l’Europe. Cela revêt une importance particulière pour les établissements financiers, car ces réformes auront un impact significatif sur la manière dont ils conçoivent leurs processus de sécurité, de conformité et de paiement.

Au petit matin du 27 novembre 2025, des représentants de la Commission européenne, du Parlement européen, du Conseil européen et de la présidence danoise étaient réunis dans une salle de réunion à Strasbourg, en France. Bien qu’aucune fumée blanche ne se soit échappée de la cheminée, les colégislateurs européens sont parvenus à un accord politique sur le règlement relatif aux services de paiement (PSR) et la troisième directive sur les services de paiement (PSD3) vers 1 h 25 du matin. Ils ont ainsi franchi une étape cruciale vers la finalisation du PSR et de la PSD3.

Le PSR et la PSD3 constitueront une refonte majeure de la réglementation européenne en matière de banque numérique et de paiements, et modifieront en particulier la manière dont les établissements financiers mettent en œuvre l’authentification forte du client (SCA) ainsi que la détection et la prévention de la fraude pour leurs applications bancaires numériques.

Bien que les textes définitifs du PSR et de la PSD3 ne soient pas encore disponibles, cet article fait le point sur les exigences les plus importantes relatives à l’authentification forte des clients (SCA) ainsi qu’à la détection et à la prévention de la fraude, qui devraient figurer dans la version finale du PSR. Cet article s’appuie sur des publications du Parlement européen et du Conseil, ainsi que sur des échanges personnels avec certains des colégislateurs.

Bref historique du PSR et de la PSD3 à ce jour

En juin 2023, l’unité « Services financiers de détail et paiements », dirigée par Eric Ducoulombier, au sein de la Direction générale de la stabilité financière, des services financiers et des marchés de capitaux (DG FISMA) de la Commission européenne, a lancé le processus réglementaire relatif au PSR avec son projet de proposition.

Par la suite, le processus d’examen par le Parlement européen et le Conseil a débuté. En novembre 2023, la commission des affaires économiques et monétaires (ECON) du Parlement européen, présidée par Aurore Lalucq, a publié des projets de rapport sur les propositions, accompagnés de recommandations d’amendements. L’ECON a voté l’adoption des deux textes le 14 février 2024. Enfin, le 23 avril 2024, le Parlement européen a voté l’adoption des deux textes en séance plénière, clôturant ainsi la première lecture.

En juin 2025, le Conseil européen a rendu publique sa position sur la proposition de la Commission.

Par la suite, la Commission, le Parlement et le Conseil ont entamé ce que l’on appelle les négociations en trilogue afin d’élaborer un texte de compromis. Ces négociations se sont conclues au niveau politique par la conclusion d’un accord le 27 novembre 2025.

Comment le PSR contribue à prévenir la fraude par paiement poussé autorisé (APP)

L’un des principaux objectifs du PSR est de prévenir la fraude liée aux paiements par push autorisés (APP), également appelée « fraude autorisée ».

Qu’est-ce que la fraude autorisée ?

La fraude autorisée se produit lorsqu’un fraudeur incite une victime à autoriser un paiement vers un compte frauduleux. Cela se fait souvent à l’aide de techniques sophistiquées d’ingénierie sociale, telles que des e-mails de hameçonnage, des appels téléphoniques ou des SMS. Le fraudeur peut se faire passer pour une personne ou une organisation de confiance, telle qu’une banque, la police ou un organisme public. Il crée souvent un sentiment d’urgence, en affirmant que la victime doit agir rapidement pour éviter des conséquences négatives. Une fois la victime convaincue, il lui est demandé de transférer de l’argent vers un compte bancaire spécifique contrôlé par le fraudeur.

Le PSR exigera des prestataires de services de paiement (PSP) qu’ils mettent en œuvre les mesures suivantes visant à prévenir la fraude non autorisée :

• Sensibilisation, formation et signalement des fraudes. Les PSP seront tenus de sensibiliser leurs clients aux nouveaux types de fraudes bancaires et de paiement. Cela implique notamment d’alerter leurs clients par tous les moyens et supports appropriés ; de leur fournir des indications claires sur la manière d’identifier les tentatives de fraude ; de les avertir des mesures et précautions nécessaires à prendre pour éviter d’en être victimes ; et de les informer des instances auprès desquelles ils peuvent signaler des actes frauduleux et obtenir des informations relatives à la fraude.

   

  Ces exigences sont tout à fait justifiées, car des utilisateurs bien informés sont moins susceptibles de succomber à la fraude. D’un autre côté, on peut douter que tous les utilisateurs soient « formables » et que les utilisateurs « formés » restent vigilants en permanence ; il est donc également nécessaire de mettre en place des contrôles techniques de lutte contre la fraude qui ne reposent pas sur le payeur.

• Correspondance IBAN/nom ou vérification du bénéficiaire (VoP). Le prestataire de services de paiement (PSP) d’un payeur, qui initie un virement, peut demander au PSP du bénéficiaire de vérifier si le nom et l’IBAN du bénéficiaire, tels que fournis par le payeur, correspondent. En cas de non-correspondance, le PSP du payeur doit informer ce dernier de la divergence et de son ampleur, dans les quelques secondes suivant la saisie des informations relatives au bénéficiaire par le payeur.

   

  La vérification du bénéficiaire (VoP) était déjà rendue obligatoire par le règlement sur les paiements instantanés, mais uniquement pour les virements en euros. Le règlement sur les services de paiement (PSR) rendra la VoP obligatoire pour tous les virements (instantanés ou non, en euros ou dans une autre devise).

   

  Le VoP peut en effet s’avérer utile pour lutter contre la fraude par ingénierie sociale, car les fraudeurs peuvent tenter de convaincre leurs victimes qu’un certain IBAN appartient à un bénéficiaire de confiance, alors qu’en réalité il appartient à un « passeur d’argent ». Cependant, les fraudeurs pourraient convaincre les payeurs d’ignorer les avertissements émis par le VoP, contournant ainsi efficacement ce dispositif.

   

  De plus, les payeurs pourraient se lasser des avertissements VoP s’ils sont générés trop fréquemment pour des comptes bancaires utilisés dans des cas légitimes et non frauduleux, et par conséquent ignorer également les avertissements VoP dans les cas de fraude réels.

Délai de réflexion pour les modifications des limites de dépenses. Les banques néerlandaises appliquent déjà des délais de réflexion, selon lesquels les modifications des limites de dépenses ne prennent effet qu’au bout de 4 heures. Le PSR devrait s’aligner sur cette approche et l’introduire au niveau européen. Cela laisse aux personnes le temps de réfléchir à deux fois (voire plus) lorsqu’elles sont contraintes par des fraudeurs à modifier leurs limites de dépenses.

Amélioration des mécanismes de surveillance des transactions. Le PSR exigera des prestataires de services de paiement (PSP) qu’ils renforcent leurs mécanismes de surveillance des transactions au-delà de ce qui est actuellement requis par la directive PSD2. En particulier, le PSR exigera des PSP qu’ils intègrent dans leurs systèmes de surveillance des transactions des informations supplémentaires concernant les payeurs, à savoir des informations sur les caractéristiques environnementales et comportementales de ces derniers. Concrètement, ces informations comprendront les éléments suivants :

• Les données environnementales ou relatives aux appareils concernent les informations sur les appareils (par exemple, les smartphones et les ordinateurs) que le payeur utilise pour accéder aux applications bancaires ou de paiement numériques. Afin de détecter les fraudes, il est important que les PSP sachent si le payeur utilise différents appareils, si des logiciels malveillants sont présents sur ces appareils, si des outils d’accès à distance (tels qu’AnyDesk ou TeamViewer) y sont installés, ou si un appareil est en cours d’appel téléphonique pendant une session bancaire ou de paiement.
• L’intelligence comportementale se concentre sur l’analyse du comportement du payeur et la détection de tout écart par rapport à son comportement habituel lors des sessions bancaires ou de paiement. Ces écarts peuvent indiquer que le payeur agit sous la contrainte. Parmi les signaux comportementaux pertinents que les PSP doivent surveiller figurent le mode de frappe du payeur, la manière dont il touche l’écran d’un appareil mobile et la vitesse entre les opérations successives dans une application web ou mobile.

Partage des données relatives à la fraude entre les PSP. Afin d’améliorer la protection des payeurs contre la fraude dans les virements, les PSP doivent être en mesure d’effectuer une surveillance des transactions sur la base d’informations aussi complètes et à jour que possible. C’est pourquoi les PSP doivent partager entre eux les renseignements relatifs à la fraude, tels que les IBAN des bénéficiaires suspects et les techniques de manipulation. Cette exigence s’appliquera non seulement aux PSP, mais également aux plateformes de réseaux sociaux, aux opérateurs de télécommunications, etc.

Obligation pour les PSP de bloquer les transactions suspectes. Si le système de surveillance des transactions d’un PSP détecte qu’une transaction donnée est susceptible d’être frauduleuse, celui-ci sera tenu de bloquer la transaction dans certaines circonstances. Afin d’éviter les faux positifs, les PSP devront disposer de systèmes de surveillance des transactions utilisant des données de haute qualité, notamment des informations fiables sur les appareils et le comportement des utilisateurs.

Vérification de la licence des PSP par les plateformes de réseaux sociaux. Enfin, les plateformes de réseaux sociaux devront vérifier si les entreprises souhaitant diffuser des publicités pour des services financiers sur leurs plateformes disposent effectivement d’une licence leur permettant d’exercer en tant que PSP au sein de l’Union européenne. Dans le cas contraire, les plateformes de réseaux sociaux devront interdire à ces entreprises de faire de la publicité.

Qui est responsable en cas de fraude liée aux applications mobiles ?

L’un des sujets importants abordés par le PSR est le suivant : si un payeur est victime d’une fraude autorisée, qui est responsable ? S’agit-il du payeur, du prestataire de services de paiement (PSP) ou d’une autre partie ?

Dans la proposition initiale de la Commission européenne datant de juin 2023, la responsabilité incombait au payeur, sauf en cas de fraude par usurpation d’identité d’un employé de banque, c’est-à-dire une fraude dans laquelle le fraudeur se fait passer pour un employé du PSP. Dans ce cas, la responsabilité incombait au PSP plutôt qu’au payeur. La position du Parlement d’avril 2024 a élargi cette disposition à la fraude par usurpation d’identité en général, couvrant ainsi les cas où le fraudeur se fait passer pour un employé du PSP de la victime ou de toute autre entité (par exemple, la police).

Dans l’accord politique final, la règle de base reste que le payeur, qui est victime d’une fraude autorisée, est responsable de cette fraude. En d’autres termes, c’est le payeur qui supporte les pertes résultant de la fraude. Il existe deux exceptions à cette règle de base, en vertu desquelles la responsabilité n’incombe pas à la victime :

• les escroqueries par usurpation d’identité d’un PSP. Si un payeur est victime d’une fraude autorisée dans laquelle le fraudeur se fait passer pour le PSP, et s’il signale sans délai la fraude au PSP et à la police, alors la responsabilité du PSP sera engagée. Cette approche diffère légèrement de la proposition initiale de la Commission, qui ne couvrait que l’usurpation d’identité des employés des PSP, et non celle des PSP eux-mêmes. En revanche, l’approche retenue ne va pas aussi loin que la proposition du Parlement.
• Application incorrecte des contrôles anti-fraude par le PSP. Deuxièmement, si la fraude résulte du fait que le PSP n’a pas correctement utilisé la « vérification du bénéficiaire », n’a pas effectué de surveillance des transactions ou n’a pas bloqué une transaction suspecte, le PSP est alors tenu pour responsable. Par exemple, si le prestataire de services de paiement n’a pas signalé au payeur une divergence entre le numéro de compte bancaire du bénéficiaire et le nom de ce dernier fourni par le payeur, il sera alors tenu pour responsable. Étant donné que les prestataires de services de paiement seront tenus pour responsables s’ils ne bloquent pas les transactions suspectes, ils pourraient privilégier la prudence, ce qui entraînerait des taux de faux positifs plus élevés.

Les exceptions susmentionnées ne s’appliquent pas si la victime a fait preuve de négligence grave. Il appartiendra au PSP de prouver cette négligence grave et, en dernier ressort, à un juge de déterminer si un payeur a agi avec négligence grave ou non.

Si un prestataire de services de paiement est tenu pour responsable d’un cas de fraude donné, il lui sera possible de transférer cette responsabilité à un fournisseur de communications électroniques (par exemple, une plateforme de réseaux sociaux ou un opérateur de télécommunications) si la fraude trouve son origine chez ce fournisseur et si celui-ci n’a pas supprimé le contenu frauduleux de ses plateformes. Par exemple, si la fraude a débuté par une publicité sur une plateforme de réseaux sociaux ou par un SMS reçu via un opérateur de télécommunications, le PSP pourrait alors transférer sa responsabilité au fournisseur de services de communications électroniques. Selon le dernier rapport de Revolut sur la criminalité financière et la sécurité des consommateurs, environ 75 % des fraudes autorisées trouvent leur origine sur des plateformes de réseaux sociaux, telles que Facebook, Instagram, WhatsApp ou Telegram.

Lorsque l’on compare le modèle de responsabilité du PSR à celui du Royaume-Uni, on constate les différences majeures suivantes :

• Les PSP européens ne peuvent être tenus responsables que des escroqueries par usurpation d’identité de PSP, tandis que les PSP britanniques sont responsables de tous les types de fraudes autorisées, y compris les escroqueries par usurpation d’identité, les escroqueries à l’investissement, les escroqueries à l’achat, etc. ;
• Au Royaume-Uni, la responsabilité des PSP est plafonnée à 85 000 £ par cas de fraude, alors qu’il n’existe aucune limite en vertu du PSR ;
• Les PSP européens peuvent transférer leur responsabilité aux fournisseurs de communications électroniques, alors qu’une telle possibilité n’existe pas actuellement au Royaume-Uni.

Authentification forte du client (SCA)

L’authentification forte du client, introduite par la directive PSD2, offre une protection contre la fraude non autorisée, dans laquelle le fraudeur vole les identifiants d’un compte bancaire ou de paiement numérique, puis accède au compte de la victime pour transférer de l’argent vers un compte qu’il contrôle.

La proposition de la Commission européenne de juin 2023 contenait diverses nouvelles exigences relatives à l’authentification forte du client, notamment :

• Une modification de la définition de l’authentification forte du client, permettant de mettre en place des mécanismes d’authentification forte à partir de deux éléments d’authentification appartenant à la même catégorie (possession, connaissance, inhérence), alors que la directive PSD2 exigeait que ces éléments proviennent de catégories différentes ;
• La possibilité pour les prestataires de services d’information sur les comptes (AISP) d’effectuer une SCA dans un contexte d’open banking ;
• Les prestataires de services de paiement (PSP) doivent veiller à ce que tous les payeurs puissent effectuer une SCA, y compris les personnes en situation de handicap, les personnes âgées, les personnes ayant de faibles compétences numériques et celles qui n’ont pas accès aux canaux numériques ou aux instruments de paiement ;
• Les prestataires de services de paiement (PSP) ne doivent pas recourir à un seul mécanisme d’authentification forte, tel qu’un mécanisme basé sur les smartphones, mais doivent au contraire prendre en charge divers mécanismes d’authentification.

L’accord politique conclu entre les colégislateurs européens ne s’est pas concentré sur l’authentification forte (SCA) ; par conséquent, peu de détails concernant les exigences définitives relatives à l’authentification forte (SCA) sont disponibles à ce stade. Néanmoins, certaines informations ont été communiquées concernant les modifications apportées à la définition de l’authentification forte (SCA).

Le PSR redéfinit l’authentification forte pour y inclure l’authentification biométrique 

Le PSR définitif ne devrait autoriser que deux éléments d’authentification issus de la catégorie « inhérente » (ou biométrique), et ne pas autoriser deux éléments issus des catégories « possession » ou « connaissance ». Cette modification offre aux PSP la possibilité d’utiliser un mécanisme d’authentification renforcée (SCA) reposant sur une combinaison de biométrie physiologique et de biométrie comportementale. La biométrie physiologique comprend des caractéristiques physiques telles que les empreintes digitales et le visage, tandis que la biométrie comportementale inclut des schémas d’action, tels que les habitudes de frappe au clavier et les schémas de toucher sur l’écran.

Prochaines étapes pour le PSR et la PSD3

L’accord politique conclu entre le Parlement européen et le Conseil européen ne marque pas la fin du processus législatif concernant le PSR et la PSD3.

Après la conclusion de cet accord politique, les représentants de la Commission européenne, du Parlement et du Conseil ont entamé des trilogues techniques afin de traduire l’accord politique en exigences concrètes et de finaliser les textes.

Une fois les textes prêts, ils devront être adoptés officiellement par le Parlement et le Conseil. Cela devrait intervenir entre janvier et mars 2026. Ensuite, le PSR sera publié au Journal officiel de l’Union européenne (EUR-Lex).

Enfin, vingt jours après sa publication, le PSR et la PSD3 entreront en vigueur. Compte tenu du calendrier d’adoption formel, le PSR devrait entrer en vigueur entre février et avril 2026.

Une fois que le PSR sera entré en vigueur, l’Autorité bancaire européenne (ABE) commencera à préciser les exigences du PSR, notamment dans les domaines de l’authentification forte des clients (SCA) et de la détection et de la prévention de la fraude.

Contactez nous

Parlez à un expert en cybersécurité

Nous nous ferons un plaisir de répondre à vos questions et de vous présenter nos solutions.

Contactez nous

Les informations contenues sur cette page sont fournies à titre indicatif uniquement, telles quelles à la date de publication, et ne doivent pas être considérées comme un avis juridique ni servir à déterminer l’application de la loi à votre entreprise ou à votre organisation. Il vous est recommandé de consulter votre conseiller juridique concernant la législation s’appliquant spécifiquement à votre entreprise ou à votre organisation et la manière d’en assurer la conformité. OneSpan décline toute responsabilité quant au contenu de ces documents ou à l’égard de tiers.