La DSP2 (deuxième directive sur les services de paiement) est la directive (UE) 2015/2366. Elle poursuit deux objectifs : ouvrir le marché des paiements à de nouveaux acteurs, par l'accès aux comptes via des interfaces normalisées, et renforcer la sécurité des opérations en imposant l'authentification forte du client.
L'authentification forte et le lien dynamique
La SCA (strong customer authentication) exige au moins deux facteurs issus de catégories distinctes — connaissance, possession, inhérence — mutuellement indépendants, de sorte que la compromission de l'un ne compromette pas l'autre.
S'y ajoute une exigence propre au paiement : le lien dynamique. Le code d'authentification doit être rattaché au montant et au bénéficiaire de l'opération, et devenir invalide si l'un des deux change. C'est cette règle qui vise directement la fraude par manipulation, où la victime authentifie de bonne foi une transaction qui n'est pas celle qu'elle croit valider.
Ce que la directive prévoit aussi
La DSP2 admet des exemptions encadrées : petits montants, bénéficiaires de confiance, paiements récurrents, analyse de risque en temps réel sous conditions. Elle impose également des mesures de suivi et de déclaration de la fraude.
Une révision est en préparation, sous les intitulés DSP3 et PSR. Elle est encore en processus législatif : aucune obligation n'en découle à ce jour, mais la direction — lutte antifraude renforcée, responsabilité élargie — est déjà lisible.
Aller plus loin : définition de la SCA · DSP2 et les obligations d'authentification · sécuriser la validation d'un virement avec facteur cognitif · l'authentification cognitive