Nouveau régime d’agrément et de protection des fonds
« La PSD3 unifie les exigences d’agrément, renforce la protection des fonds des clients et impose des plans de résolution aux établissements de paiement. »
Préparez-vous à la PSD3 et au nouveau règlement PSR : open banking, SCA, prévention de la fraude, licences et accès aux systèmes de paiement. Nous vous aidons à adapter votre établissement avant l’entrée en vigueur.
Consultation gratuite PSD3
Nous vous répondons en moins de 24 h
Six domaines de travail pour que votre établissement de paiement, votre fintech ou votre banque soit prêt pour la nouvelle réglementation européenne des paiements.
Analyse du régime d’agrément sous PSD3/PSR : exigences de capital, gouvernance, protection des fonds et demande auprès du superviseur compétent.
La PSD3 renforce les liens avec la réglementation anti-blanchiment : KYC, surveillance des transactions, screening et reporting adaptés au secteur des paiements.
Structures de gouvernance interne, politiques de risque opérationnel, plans de continuité et conformité réglementaire continue sous la PSD3.
Adaptation au nouveau cadre de l’open banking et de l’open finance : accès aux données, interfaces dédiées, FIDA et droits des utilisateurs.
Nouvelles obligations d’authentification forte (SCA), vérification IBAN-nom, responsabilité partagée et dispositifs antifraude.
La PSD3 n’agit pas seule : coordination avec le cadre MiCA pour les cryptos, MiFID pour l’investissement et DORA pour la résilience opérationnelle numérique.
Banques, fintechs, établissements de paiement, prestataires d’open banking et néobanques : chaque profil est concerné différemment.
« La PSD3 unifie les exigences d’agrément, renforce la protection des fonds des clients et impose des plans de résolution aux établissements de paiement. »
« Les prestataires tiers (AISP/PISP) obtiennent de meilleures garanties d’accès aux APIs bancaires, mais aussi de nouvelles obligations de transparence et de sécurité. »
« Les banques doivent garantir des APIs fonctionnelles, assumer une responsabilité partagée en cas de fraude par usurpation d’identité et adapter leurs systèmes de SCA. »
« Les nouvelles règles de SCA et d’exemption touchent directement le parcours de paiement : équilibre entre sécurité et expérience utilisateur. »
Le non-respect du nouveau cadre des paiements peut entraîner des sanctions, la perte de l’agrément et une exclusion concurrentielle.
Perte de l’agrément ou refus d’agrément : les établissements qui ne respectent pas les nouvelles exigences de gouvernance, de capital et de protection des fonds peuvent perdre leur habilitation à opérer.
Responsabilité accrue en cas de fraude : la PSD3 introduit une responsabilité partagée pour les fraudes par usurpation d’identité (spoofing), ce qui renchérit le coût de l’absence de contrôles antifraude efficaces.
Exclusion de l’écosystème des paiements : les établissements de paiement pourront accéder à des systèmes de paiement comme TARGET ; ne pas s’adapter, c’est rester en dehors de l’infrastructure européenne des paiements.
Les banques qui n’offrent pas d’interfaces dédiées fonctionnelles pourront être sanctionnées et contraintes de maintenir un accès par screen scraping.
Ne pas adapter les parcours d’authentification aux nouvelles exceptions (faible risque, paiements récurrents) crée des frictions inutiles et fait perdre des clients.
Le PSR instaure un régime de sanctions unifié au niveau européen, avec des amendes proportionnelles au chiffre d’affaires de l’établissement.
Nous analysons votre situation actuelle, identifions les écarts réglementaires et concevons un plan d’adaptation au nouveau cadre européen des paiements : licences, open banking, SCA, fraude et compliance.
La PSD3 (Payment Services Directive 3) est la nouvelle directive européenne qui remplace la PSD2. Elle s’accompagne du PSR (Payment Services Regulation), un règlement d’application directe qui harmonise les règles des paiements dans toute l’UE.
L’objectif est d’améliorer la protection de l’utilisateur, de renforcer la lutte contre la fraude, de stimuler l’open banking et de créer un marché des paiements plus concurrentiel et plus intégré.
La PSD3 est une directive qui régit principalement l’agrément et la supervision des établissements de paiement et de monnaie électronique (licences, gouvernance, capital). Elle doit être transposée dans chaque droit national.
Le PSR est un règlement d’application directe dans tous les États membres. Il couvre les règles opérationnelles : droits des utilisateurs, transparence, SCA, accès aux comptes, responsabilité en cas de fraude et prévention.
La proposition législative a été présentée en juin 2023. Le 27 novembre 2025, le Parlement européen et le Conseil sont parvenus à un accord politique provisoire et, en avril 2026, le Conseil a confirmé le texte de compromis final. Il reste le vote formel et la publication au Journal officiel de l’UE, prévue pour le premier semestre 2026.
L’entrée en vigueur intervient 20 jours après la publication, et les États membres disposent de 21 mois pour transposer la PSD3. L’application pratique en Espagne se situe donc vers 2027. Il est conseillé de lancer dès maintenant l’analyse des écarts (gap analysis) en visant cette date.
La PSD3/PSR apporte des améliorations significatives pour l’accès aux comptes de paiement :
Tous les établissements qui fournissent des services de paiement dans l’UE sont concernés :
Oui. L’une des principales nouveautés de la PSD3 est la fusion des régimes d’agrément des établissements de paiement (PI) et des établissements de monnaie électronique (EMI) en une seule catégorie réglementaire.
Cela simplifie le cadre des licences et supprime les incohérences entre les deux régimes, mais suppose d’adapter les statuts, les exigences de capital et les procédures de supervision.
La PSD3 s’inscrit dans un écosystème réglementaire plus large :
La PSD3 n’est pas une simple mise à jour de la PSD2 : c’est un changement de modèle. Règlement d’application directe (PSR), fusion des licences, responsabilité en matière de fraude et open banking renforcé. Voici les piliers du nouveau cadre.
La PSD3 (directive) régit les licences et la supervision. Le PSR (règlement) est d’application directe et couvre les règles opérationnelles : droits des utilisateurs, SCA, accès aux comptes et fraude. Cela met fin aux divergences nationales engendrées par la PSD2.
Un seul régime d’agrément pour les établissements de paiement et de monnaie électronique. De plus, les établissements de paiement pourront accéder directement aux systèmes de paiement (comme TARGET), sans dépendre de banques intermédiaires.
Vérification IBAN-nom, responsabilité des PSP en cas de fraude par usurpation d’identité, remboursement élargi et obligation de partager les données de fraude entre établissements. Un changement de paradigme pour la protection des consommateurs.
Si vous avez besoin d’accompagnement pour la transition PSD2 → PSD3, consultez nos services de réglementation fintech ou demandez une consultation gratuite.
La PSD3 et le PSR transforment le cadre européen des paiements. Ces cartes résument les blocs opérationnels à passer en revue : licences, open banking, fraude, SCA et gouvernance.
1) LicenceLa PSD3 fusionne les régimes d’établissement de paiement et de monnaie électronique en une licence unique : les exigences sont simplifiées, mais les établissements existants doivent s’adapter.
2) Open bankingLes banques doivent offrir des interfaces dédiées fonctionnelles. Les TPP obtiennent des droits d’accès plus clairs et des outils pour mesurer la performance des APIs.
3) FraudeVérification IBAN-nom, responsabilité en cas d’usurpation d’identité, remboursement élargi et obligation de partager les données de fraude entre PSP.
4) GouvernanceExigences de gouvernance plus strictes, coordination avec DORA pour la résilience opérationnelle et plans de résolution pour les établissements de paiement significatifs.
Carte d’impactAPIs obligatoires + responsabilité en cas de fraude par usurpation d’identité + SCA adaptée.
Licence unifiée + accès aux systèmes de paiement + nouvelles exigences de capital.
Meilleur accès aux APIs + plus de transparence + obligations de sécurité renforcées.
Directive unique, transposée de façon divergente dans chaque État membre.
Directive (PSD3) + règlement (PSR) d’application directe : règles uniformes dans toute l’UE.
Régimes distincts pour les établissements de paiement et de monnaie électronique (DME2).
Fusion en une licence unique. Les EMI passent sous le régime de la PSD3.
APIs facultatives avec solution de repli par screen scraping. Problèmes de fonctionnalité et d’accès.
APIs obligatoires avec tableau de bord de performance. Screen scraping uniquement en dernier recours encadré.
Responsabilité limitée du PSP. Pas de vérification IBAN-nom.
IBAN-name check obligatoire. Responsabilité partagée en cas de spoofing. Remboursement élargi.
Exemptions limitées. Délégation peu claire.
Nouvelles exemptions, meilleure délégation et règles proportionnées au risque de la transaction.
Si l’une de ces situations s’applique à votre établissement, il convient de lancer la gap analysis avant la publication du texte final.
Si vous préparez la transition vers la PSD3, ces termes reviennent constamment dans les textes législatifs, dans la supervision et dans l’opérationnel quotidien des paiements.
Troisième directive européenne sur les services de paiement. Elle régit l’agrément, la supervision et la gouvernance des établissements de paiement et de monnaie électronique.
Règlement d’application directe qui unifie les règles opérationnelles des paiements : droits des utilisateurs, SCA, accès aux comptes et prévention de la fraude.
Authentification forte du client reposant sur deux facteurs ou plus (possession, connaissance, inhérence). La PSD3 élargit les exemptions et améliore la délégation.
Prestataire qui accède aux données des comptes de paiement de l’utilisateur (avec son consentement) pour agréger des informations financières. Régi par la PSD2 et renforcé par la PSD3.
Prestataire qui initie des paiements depuis le compte de l’utilisateur ouvert chez un autre PSP. Avec la PSD3, il bénéficie d’une plus grande sécurité juridique et d’un meilleur accès aux APIs bancaires.
Proposition de règlement qui étend l’open banking à l’open finance : accès aux données d’assurance, d’investissement, de retraite et de crédit, et pas seulement aux comptes de paiement.
Contrôle de la concordance entre l’IBAN du bénéficiaire et le nom fourni avant l’exécution du virement. Obligatoire sous le PSR et déjà exigé pour le SEPA Instant depuis octobre 2025.
Règlement sur la résilience opérationnelle numérique des entités financières : gestion des risques TIC, tests de résilience et notification des incidents.
Obligation de protéger les fonds des clients par leur ségrégation sur des comptes distincts ou par des garanties équivalentes. Renforcée dans la PSD3.
Si vous cherchez à savoir quand la PSD3 entre en vigueur, où en est le règlement PSR et quelles démarches les établissements de paiement, fintechs et banques doivent entreprendre dès maintenant, voici le point de départ.
La Commission a lancé le nouveau paquet législatif sur les services de paiement pour corriger les problèmes constatés avec la PSD2 : fragmentation réglementaire, fraude, défaillances des APIs et différences entre établissements de paiement et de monnaie électronique.
Le paquet PSD3/PSR a nettement progressé après l’accord provisoire entre les institutions européennes. Dès lors, la réforme a cessé d’être une hypothèse pour devenir un changement réglementaire en phase finale.
En avril 2026, le Conseil a confirmé le texte de compromis final de la PSD3 et du PSR. Il reste le vote formel et la publication au Journal officiel de l’UE, prévue pour le premier semestre 2026. Les délais courent à partir de là : entrée en vigueur 20 jours après la publication et 21 mois de transposition de la PSD3, ce qui situe l’application pratique vers 2027.
La PSD3 ne concerne pas seulement les banques. Elle touche aussi les établissements de paiement, les établissements de monnaie électronique, les prestataires d’open banking, les fintechs avec des flux de paiement intégrés et les plateformes qui opèrent dans l’écosystème européen des paiements.
Ils font partie des groupes les plus directement concernés par la PSD3. Le nouveau cadre réorganise la logique d’agrément, renforce la gouvernance, révise la protection des fonds des clients et impose une revue approfondie du modèle opérationnel et de la documentation.
Les banques devront revoir la qualité de leurs APIs, les mécanismes d’authentification forte, la gestion de la fraude et le fonctionnement de l’accès aux comptes. L’impact est particulièrement marqué en open banking, en responsabilité en cas de fraude et en expérience utilisateur des paiements.
Les prestataires d’information sur les comptes et d’initiation de paiement doivent revoir l’accès, la sécurité, la documentation contractuelle, l’usage des APIs et les obligations renforcées envers les utilisateurs et les banques.
Si votre modèle inclut des wallets, des virements, du checkout, de l’agrégation bancaire ou des embedded payments, la PSD3 peut affecter votre architecture juridique, technologique et opérationnelle, même si une partie du service est externalisée.
Les plateformes avec des flux d’encaissement, un checkout intégré ou des structures de marketplace doivent analyser si leur activité relève des services de paiement, quelles exemptions s’appliquent et quel sera l’impact de la PSD3 sur la fraude et l’authentification.
De nombreux établissements devront examiner la PSD3 conjointement avec DORA, MiCA, l’externalisation (outsourcing), la protection des données et la lutte contre le blanchiment. Le problème ne vient généralement pas d’un seul texte, mais de l’addition d’obligations concurrentes.
Nous analysons votre modèle, déterminons si vous fournissez des services de paiement ou des activités connexes et vous indiquons les obligations réglementaires à examiner dès maintenant.
REGULATORY CONTROL CENTER · PSD3/PSR
Pour les établissements de paiement, fintechs et banques, la transition vers la PSD3 exige un plan structuré : licences, open banking, SCA, fraude et gouvernance. Ce tableau résume les domaines d’impact et leur niveau d’urgence.
Priorisez les domaines à plus fort impact et à plus forte urgence pour votre type d’établissement.
Parlez-nous de votre situation et nous vous expliquerons comment préparer votre établissement à la PSD3 et au nouveau PSR.
La troisième directive sur les services de paiement (PSD3) et le règlement sur les services de paiement (PSR) constituent la plus importante réforme du cadre réglementaire des paiements dans l’Union européenne depuis l’adoption de la PSD2 en 2015. La proposition, publiée par la Commission européenne en juin 2023, répond aux lacunes constatées dans l’application de la PSD2 et à l’évolution accélérée du marché des paiements numériques.
La PSD2 a introduit l’open banking et l’authentification forte (SCA), mais sa mise en œuvre a révélé des problèmes : transposition nationale divergente, APIs bancaires de faible qualité, hausse de la fraude en ligne (notamment par usurpation d’identité) et régime de licences fragmenté entre établissements de paiement et de monnaie électronique. La PSD3 et le PSR répondent à ces problèmes par un double instrument législatif : une directive pour la supervision et les licences, et un règlement d’application directe pour les règles opérationnelles.
Parmi les changements les plus importants : la fusion des régimes des établissements de paiement et de monnaie électronique en une seule catégorie réglementaire ; l’accès des établissements de paiement aux systèmes de paiement comme TARGET ; l’amélioration de l’open banking avec des APIs obligatoires et des tableaux de bord de performance ; la vérification IBAN-nom obligatoire ; la responsabilité partagée en cas de fraude par usurpation d’identité ; et un régime de sanctions harmonisé au niveau européen.
La PSD3 n’agit pas de façon isolée. Elle s’articule avec le règlement DORA (résilience opérationnelle numérique, applicable depuis janvier 2025), le règlement MiCA (crypto-actifs et jetons de monnaie électronique) et la proposition de règlement FIDA (accès aux données financières pour l’open finance). Les établissements réglementés doivent évaluer l’impact combiné de ces textes sur leur modèle d’affaires, leur gouvernance et leurs systèmes technologiques.
Le 27 novembre 2025, le Parlement européen et le Conseil sont parvenus à un accord politique provisoire sur la PSD3 et le PSR. En avril 2026, le Conseil a confirmé le texte de compromis final ; il reste le vote formel et la publication au Journal officiel de l’UE, prévue pour le premier semestre 2026. À compter de l’entrée en vigueur, les États membres disposent de 21 mois pour transposer la PSD3, ce qui situe l’application pratique en Espagne vers 2027. Les établissements qui anticiperont l’adaptation (gap analysis, révision des licences, mise en conformité des APIs, protocoles antifraude et formation) partiront avec un avantage concurrentiel et réglementaire.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .