DSP3 : Ce qui Change pour les Commerçants en Ligne

DSP2 → DSP3 : contexte et calendrier

La DSP2 (transposée en France en 2018) a posé les bases de l'authentification forte (SCA) et de l'open banking. Après plusieurs années de retours d'expérience, la Commission européenne a proposé la DSP3 en juin 2023, accompagnée d'un règlement sur les services de paiement (RSP).

Le calendrier de transposition prévoit une adoption dans les États membres courant 2026-2026. Les dispositions les plus importantes pour les commerçants entreront en vigueur progressivement.

Évolutions de l'authentification forte (SCA)

La DSP3 renforce et affine les règles d'authentification forte établies par la DSP2 :

Whitelisting facilité : la DSP3 cherche à standardiser et simplifier le processus de whitelisting des marchands (ajout d'un vendeur de confiance par l'acheteur). Aujourd'hui très fragmenté selon les banques, ce processus devrait être harmonisé.
Délégation d'authentification : la DSP3 renforce le cadre permettant à un PSP de déléguer l'authentification SCA à un autre prestataire (utile pour les wallets et les solutions de checkout one-click).
Exemptions mieux encadrées : les conditions d'application des exemptions TRA (Transaction Risk Analysis) sont précisées, avec des seuils de fraude plus stricts pour les PSP qui souhaitent les appliquer.

Lutte contre la fraude : nouvelles obligations

La DSP3 introduit de nouvelles obligations en matière de lutte contre la fraude, notamment les virements frauduleux autorisés (APP Fraud — Authorized Push Payment) qui ont explosé ces dernières années :

Vérification du bénéficiaire (VOP) : les PSP devront vérifier que le nom du bénéficiaire saisi par l'utilisateur correspond au titulaire du compte destinataire avant d'exécuter un virement. Cette mesure vise à réduire les arnaques au virement bancaire.
Partage de données fraude : obligation de partager certaines données de fraude entre PSP pour améliorer la détection collective.
Remboursement des victimes : renforcement des droits des victimes d'APP Fraud — le PSP expéditeur pourra être tenu de rembourser partiellement les victimes sous certaines conditions.

Open Banking : vers un vrai standard

L'un des échecs relatifs de la DSP2 a été l'open banking : malgré l'obligation d'ouvrir les APIs bancaires, leur qualité et leur disponibilité restaient très hétérogènes selon les banques. La DSP3 tente de corriger cela :

Obligation pour les banques de fournir des APIs de qualité avec des indicateurs de performance (SLA).
Meilleure protection des droits des PSP tiers (AISP, PISP) face aux pratiques discriminatoires de certaines banques.
Extension de l'open banking aux données des comptes d'épargne et de placement (pas seulement les comptes courants).

Ce que ça change concrètement pour les commerçants

Pour la plupart des e-commerçants, la DSP3 n'implique pas de changements opérationnels immédiats — c'est d'abord une évolution réglementaire qui impacte les PSP et les banques. Néanmoins :

L'amélioration de la qualité des APIs open banking va accélérer le développement du paiement par virement instantané (account-to-account), une alternative moins coûteuse aux cartes pour certains secteurs.
La standardisation du whitelisting devrait améliorer le taux de frictionless sur les marchands récurrents.
Les nouvelles règles VOP sur les virements impactent principalement les paiements B2B par virement.

Questions fréquentes

La DSP3 remplace-t-elle complètement la DSP2 ?

Oui, la DSP3 remplace et abroge la DSP2. Elle conserve les acquis (SCA, open banking) en les améliorant, et ajoute de nouvelles dispositions notamment sur la fraude aux virements.

Quand la DSP3 sera-t-elle applicable en France ?

La transposition nationale est attendue courant 2026-2026. Les mesures techniques seront précisées dans des normes techniques de réglementation (RTS) publiées par l'ABE (Autorité Bancaire Européenne). Certaines dispositions pourraient ne prendre effet qu'en 2027.