La DSP3 fait l'objet de discussions constantes au sein de l'écosystème open banking, sans que la majorité des acteurs puisse formuler avec précision ce qui la distingue concrètement de la DSP2.
Ce que la DSP2 a véritablement instauré
En vigueur depuis 2018, la DSP2 a fondé l'open banking tel qu'il existe aujourd'hui. Elle a contraint les établissements bancaires à ouvrir l'accès aux données de compte et à l'initiation de paiement à des tiers agréés via des API sécurisées, posant ainsi les fondations sur lesquelles reposent les paiements A2A et la plupart des produits financiers innovants.
Avant la DSP2, les données de compte et les infrastructures de paiement bancaires étaient totalement fermées aux acteurs externes. La DSP2 a imposé cette ouverture, sous réserve de normes strictes de sécurité et de consentement. L'écosystème d'applications bancaires ouvertes, de prestataires d'initiation de paiement et de services d'information sur les comptes est le fruit direct de ce tournant réglementaire.
Ce qu'est réellement la DSP3
La DSP3, accompagnée du règlement sur les services de paiement (PSR), ne constitue pas une refonte intégrale du modèle d'open banking. Il s'agit d'un ajustement ciblé conçu pour combler des lacunes apparues lors du déploiement à grande échelle de la DSP2 à travers les 27 États membres de l'UE, chacun ayant adopté des interprétations et des méthodes d'application variables.
Les points qui se renforcent sous la DSP3
Cohérence de l'authentification. Les exigences d'authentification forte du client (SCA) existaient déjà sous la DSP2, mais leur mise en œuvre variait sensiblement selon les banques et les marchés nationaux. La DSP3 harmonise les critères d'authentification dans l'ensemble de l'Union européenne, réduisant les disparités où un même parcours utilisateur se déroulait différemment d'un établissement à l'autre.
Clarification des responsabilités face à la fraude. La DSP2 laissait subsister de réelles incertitudes quant à l'imputation des responsabilités pour certains types de fraudes, notamment les arnaques au faux ordre de virement (APP scams), où le client est incité à autoriser lui-même la transaction. La DSP3 clarifie les critères déterminant la charge financière de ces fraudes de manière plus cohérente.
Exigence accrue sur la qualité des API. Il s'agit sans doute de l'évolution technique la plus déterminante pour les concepteurs de solutions d'open banking. Sous la DSP2, certains établissements s'en tenaient au strict minimum pour être jugés « conformes », sans réel incitatif à rendre leurs API fiables et ergonomiques : des interfaces techniquement conformes, mais difficiles à intégrer dans la pratique. La DSP3 instaure des dispositifs de contrôle et de sanction ciblant explicitement ce déficit de performance.
Ce que la DSP3 ne modifie pas
Le principe fondamental de l'open banking — l'accès sécurisé de tiers agréés aux données de compte et l'initiation de paiements avec le consentement du client via des API régulées — demeure inchangé. Il s'agit d'une évolution ordonnée au sein d'un cadre éprouvé, et non d'une rupture architecturale imposant une reconfiguration globale des systèmes.
Pour les entreprises développant déjà leurs activités sur des rails d'open banking, la DSP3 garantit une robustesse et une prévisibilité accrues au fil du temps, sans nécessiter de refonte de leur offre produit.
Les implications concrètes pour les acteurs de l'Open Banking
Si votre produit repose sur des API d'open banking, l'impact de la DSP3 s'avère largement positif : une authentification plus fluide et uniforme pour vos utilisateurs, des règles de responsabilité clarifiées limitant l'incertitude en cas de litige, et une fermeté accrue envers les établissements dont les API posaient historiquement des difficultés techniques majeures.
Le calendrier de mise en application variera selon les États membres, la transposition des directives européennes en droit national ne s'opérant pas au même rythme dans les 27 pays, un élément à anticiper si la couverture paneuropéenne est stratégique pour vos flux.
Foire aux questions
Dois-je modifier mon intégration si mon produit exploite déjà des API compatibles DSP2 ? Dans la quasi-totalité des cas, aucune modification architecturale lourde n'est requise. La DSP3 affine les règles relatives à l'authentification, à la responsabilité et aux performances d'API sans altérer le paradigme technique de base.
La DSP3 affecte-t-elle les services d'information sur les comptes au même titre que l'initiation de paiement ? Les deux volets régulés sont couverts par les dispositions de la DSP3, même si les règles applicables diffèrent selon qu'un acteur initie des transactions ou assure exclusivement la consultation de données.
Quand la DSP3 prendra-t-elle pleinement effet ? Les échéances varient selon les dispositions et l'avancement de la transposition législative dans chaque pays. Il convient d'assurer une veille ciblée sur les marchés clés pour vos activités.
L'infrastructure open banking de Be1B est pensée pour intégrer ces évolutions réglementaires dès leur promulgation, permettant aux entreprises de se concentrer sur leur croissance sans gérer chaque veille normative de façon isolée.
Si vous concevez une solution reposant sur des rails d'open banking, découvrez l'infrastructure open banking de Be1B pour en apprécier l'efficacité concrète.