La DSP2 est depuis 2019 la colonne vertébrale réglementaire des paiements en ligne en Europe. Authentification forte, 3DS2, exemptions au titre de l'analyse du risque de transaction : la plupart des marchands ont désormais absorbé la friction et adapté leurs tunnels de paiement en conséquence.
Mais la DSP2 va être remplacée. La DSP3 et le règlement sur les services de paiement (PSR) qui l'accompagne sont en chemin, et le calendrier est plus serré que beaucoup de marchands ne le pensent.
Où en est la DSP2 aujourd'hui
La DSP2 a introduit l'authentification forte comme changement le plus visible pour le commerce en ligne. Toute transaction en ligne supérieure à 30 euros exige que le consommateur prouve son identité au moyen de deux facteurs sur trois : quelque chose qu'il sait, quelque chose qu'il possède, ou quelque chose qu'il est. L'objectif était de réduire la fraude. L'effet secondaire a été de la friction dans le tunnel et, pour beaucoup de marchands, une baisse mesurable de la conversion.
Les exemptions, analyse du risque de transaction, transactions de faible montant, paiements récurrents et transactions initiées par le marchand, ont apporté un certain soulagement, mais leur application variait fortement d'un prestataire et d'un acquéreur à l'autre. Mettre en place la bonne stratégie d'exemption était et reste l'un des leviers d'optimisation les plus rentables dont disposent les marchands en ligne.
Ce que changent la DSP3 et le PSR
En novembre 2025, le Parlement européen et le Conseil de l'UE sont parvenus à un accord politique provisoire sur la DSP3 et le PSR. Le 23 avril 2026, le Conseil a publié les textes de compromis définitifs, ce qui fige le contenu des règles. Ce qui reste est procédural : révision juridico-linguistique, adoption formelle par le Parlement et le Conseil, et publication au Journal officiel, attendue au second semestre 2026. Les règles s'appliquent ensuite 21 mois après l'entrée en vigueur, ce qui situe réalistement l'échéance en 2028. Les dispositions relatives à la vérification du bénéficiaire, articles 50 et 57 du PSR, s'appliquent 27 mois après l'entrée en vigueur.
Le changement structurel le plus important est l'introduction du PSR comme règlement directement applicable dans tous les États membres. Là où la DSP2 exigeait une transposition nationale, source de fragmentation et d'interprétations divergentes selon les marchés, le PSR pose des règles uniformes qui s'appliquent directement sans législation nationale. Pour les marchands présents sur plusieurs marchés européens, c'est une simplification réelle.
Parmi les changements qui concernent directement les marchands en ligne :
Des règles de responsabilité renforcées en matière de fraude. Les prestataires seront soumis à des obligations plus strictes de prévention et de responsabilité, en particulier pour la fraude au virement autorisé. Le cadre de responsabilité se déplace d'une manière qui influera sur la façon dont les prestataires tarifent leurs services et structurent leurs contrôles antifraude.
Vérification IBAN et nom. Le contrôle de correspondance entre l'IBAN et le nom, déjà introduit par le règlement sur les virements instantanés, devient une exigence standard. Cela réduit les paiements mal dirigés mais ajoute une étape de vérification à l'initiation du paiement.
Des exemptions SCA améliorées. Le PSR affine le cadre de l'analyse du risque de transaction, et l'on s'attend à ce que les règles révisées donnent aux marchands et aux prestataires plus de latitude pour appliquer les exemptions intelligemment et réduire la friction d'authentification inutile sur les transactions à faible risque.
Agrément unifié pour les établissements de paiement et de monnaie électronique. Les agréments d'établissement de paiement et de monnaie électronique fusionnent sous la DSP3, ce qui simplifie le paysage réglementaire pour les prestataires. Pour les marchands, la conséquence pratique est que leurs prestataires pourraient restructurer leurs entités juridiques et leurs contrats pendant la période de transition.
Ce que cela signifie dès maintenant pour votre dispositif de paiement
Sur le calendrier actuel, la DSP3 et le PSR ne s'appliqueront pas avant 2028. Mais le contenu est désormais figé, il n'y a donc plus rien à attendre sur le fond, et le délai de 21 mois démarre dès la parution des textes au Journal officiel. Planifier sur la base du texte convenu est possible dès aujourd'hui.
Pour les marchands, la priorité n'est pas aujourd'hui la conformité à la DSP3. Elle consiste à s'assurer que le dispositif DSP2 actuel est réellement optimisé avant l'arrivée des nouvelles règles. Taux d'acceptation, routage 3DS, stratégies d'exemption et conditions contractuelles avec le prestataire sont autant de domaines où de la valeur reste sur la table dans le cadre actuel.
Quand la DSP3 et le PSR entreront en vigueur, les conditions commerciales avec votre prestataire devront de toute façon être rengégociées. Engager cette conversation maintenant, avec une vision claire de votre performance et de votre base de coûts actuelles, vous place dans une position nettement plus forte.
En résumé
La DSP2 a changé la manière dont les Européens paient en ligne. La DSP3 et le PSR changent la manière dont les règles sont faites et appliquées. Pour les marchands, la transition est une occasion de redéfinir la relation commerciale avec leurs prestataires de paiement avant que le nouveau cadre ne fige de nouvelles conditions.
Si vous voulez comprendre ce que votre dispositif DSP2 actuel vous coûte réellement en conversions perdues et en frais excessifs avant l'arrivée de la DSP3, c'est exactement ce qu'EcomStream évalue.
Dernière vérification le 16 août 2026 au regard des textes de compromis définitifs du Conseil du 23 avril 2026.
