DSP3/PSR : ce qui change concrètement pour les fintechs de paiement françaises agréées

La troisième directive sur les services de paiement et le règlement sur les services de paiement — DSP3 et PSR — remplacent la DSP2 avec une période de transition de vingt-et-un mois après leur entrée en vigueur. Vérification IBAN/nom obligatoire, paiement instantané universel, responsabilité accrue des prestataires, extension vers les crypto-actifs : tour d’horizon des changements opérationnels que les fintechs françaises doivent anticiper maintenant.

DSP3 et PSR : deux textes, une même ambition

La Commission européenne a fait le choix d’une architecture en deux niveaux pour remplacer la DSP2. La DSP3 — troisième directive — fixe le cadre de fond : définitions, conditions d’accès au marché, droits des utilisateurs, obligations des prestataires. Le PSR — règlement sur les services de paiement — en est le bras opérationnel : il est directement applicable dans tous les États membres sans transposition nationale, ce qui élimine les divergences d’interprétation qui avaient fragilisé la mise en œuvre de la DSP2 en Europe. Les deux textes sont attendus pour entrer en vigueur entre fin du premier trimestre et début du deuxième trimestre 2026, avec une période de transition de vingt-et-un mois — ce qui place la date d’application effective aux alentours de la fin 2027.

Pour les fintechs françaises agréées par l’ACPR, cette chronologie donne un peu plus de deux ans pour adapter leurs systèmes, leurs processus et leurs contrats. Ce n’est pas un délai excessif — certaines des mesures impliquent des modifications profondes des infrastructures de paiement — mais c’est suffisant pour planifier une migration ordonnée si le travail commence maintenant.

La vérification IBAN/nom : la mesure la plus immédiate

L’une des innovations les plus concrètes de DSP3/PSR est l’obligation pour tous les prestataires de services de paiement de vérifier la cohérence entre l’IBAN saisi par le payeur et le nom du titulaire du compte destinataire avant d’exécuter un virement. Cette vérification, déjà mise en place par plusieurs banques françaises sur une base volontaire depuis 2023, devient obligatoire dans toute l’Union européenne. Son objectif est de lutter contre les fraudes dites par manipulation — où le fraudeur convainc sa victime de modifier l’IBAN de destination d’un virement vers un compte contrôlé par l’escroc.

Pour une fintech de paiement, cette obligation suppose de nouer des partenariats avec les banques destinataires pour accéder à leurs référentiels de titulaires de comptes — une infrastructure qui n’existe pas encore à l’échelle européenne dans un format standardisé. Les premiers mois suivant l’entrée en vigueur risquent donc de voir une couverture partielle de cette vérification, avec des lacunes pour les virements vers des établissements qui n’ont pas encore déployé les API nécessaires.

La vérification IBAN/nom n’est pas une contrainte technique — c’est un changement de responsabilité. Si le prestataire a vérifié et que la fraude a quand même eu lieu, c’est l’escroc qui est responsable. Si le prestataire n’a pas vérifié, c’est lui qui peut être tenu de rembourser.

Le paiement instantané universel : une obligation, pas une option

DSP3/PSR généralise l’obligation de proposer le paiement instantané — exécution en moins de dix secondes, vingt-quatre heures sur vingt-quatre, sept jours sur sept — à un tarif ne dépassant pas le virement standard. Les fintechs de paiement qui n’ont pas encore déployé le paiement instantané dans leur offre doivent s’y préparer. C’est particulièrement structurant pour les plateformes de paiement B2B qui traitent des règlements de montants importants et dont les clients attendent une confirmation de paiement en temps réel pour déclencher des opérations logistiques ou commerciales.

La généralisation du paiement instantané a aussi un impact sur le modèle économique des fintechs : les revenus tirés des frais de virement express — qui constituaient un différenciateur commercial pour certaines plateformes — disparaissent avec l’uniformisation des tarifs. Celles qui avaient bâti une partie de leur marge sur ces frais devront trouver d’autres leviers de monétisation.

L’extension vers les crypto-actifs : un signal fort

La version finale de DSP3/PSR devrait intégrer des dispositions permettant aux établissements de paiement agréés d’offrir certains services liés aux crypto-actifs dans le cadre de leur licence existante, sous réserve de conditions à préciser par l’Autorité bancaire européenne. C’est un signal fort : le régulateur européen reconnaît que la frontière entre les services de paiement traditionnels et les services sur actifs numériques est en train de s’effacer, et qu’il est préférable d’encadrer cette convergence plutôt que de la laisser se développer dans un angle mort réglementaire. Pour les fintechs qui opèrent sur les deux marchés, cette évolution ouvre la possibilité de mutualiser leurs agréments et de réduire leur charge réglementaire globale.