Expertises des Systèmes d'information - Novembre 2019 - n°451 - Le mensuel du droit de l'informatique et du multimédia - 361

D

O

C

T

R

I

N

E

SÉCURITÉ

DSP2 ACTE II : un départ
compliqué
Aux termes des textes d'application de la DSP2,
les acteurs de l'écosystème de paiement en
Europe ont l'obligation de mettre en place
l'authentification forte du client et des interfaces
de communication sécurisées et ce depuis le
14 septembre 2019. Dans les faits, cette date ne
sera pas respectée et il faudra attendre encore
plus d'un an avant que l'authentification forte
pour les achats internet devienne une réalité.

L

a directive UE 2015/1366
relative aux services de
paiement dans le marché
intérieur, dite DSP2, a
fait évoluer le cadre juridique
des services de paiement aux
fins de l'adapter aux évolutions
technologiques et aux nouveaux
usages. Elle est applicable depuis le
13 janvier 2018.

Pour atteindre ses objectifs de
régulation et de sécurisation
des paiements, la DSP2 a défini
deux concepts  : d'une part
celui
de
l'«  authentification
forte  » (SCA1) du client pour
certaines opérations ; et d'autre
part celui de la «  communication
sécurisée » (CSC2) entre les acteurs
de ce nouvel écosystème.

Pour beaucoup, la DSP2 est
associée à l'émergence des fintechs
autour de deux nouveaux types de
services  : l'agrégation de comptes
et l'initiation de paiement pour le
compte du client.

La Commission a confié le soin
à l'Autorité bancaire européenne
(ABE) de définir de façon précise
les normes techniques (RTS3)
afférentes à l'authentification forte
du client et à la communication
sécurisée4. Ces normes ont fait
l'objet d'un Règlement européen
délégué 2018/3895, qui est entré en
vigueur le 14 septembre 2019.

La réalité est plus complexe, ne
serait-ce que parce que les fintechs
n'ont pas attendu la DSP2 pour
rendre ces services. La DSP2 est
en fait venue réguler ces nouveaux
usages, au travers de la qualification
et de la structuration de tous
les acteurs de l'écosystème de
paiement en Europe et de la création
d'obligations fortes de sécurité à
tous les niveaux de la chaîne.

Nous voici donc au cœur du
sujet  : la date d'entrée en vigueur
des règles techniques instaurées
par la DSP2 est dépassée mais rien
n'est vraiment prêt, en dépit des
efforts considérables déployés par
les acteurs du domaine.
EXPERTISES Novembre 2019

C'est qu'en effet, les exigences
de la DSP2 et de son règlement
d'application
impliquent
des
bouleversements en profondeur des
infrastructures et des usages. Sous
la pression d'un marché quelque
peu perplexe quant à l'interprétation
des textes européens, l'EBA a
déjà par deux fois précisé les
orientations au travers d'opinions,
une première fois le 13 juin 20186
et une seconde le 21 juin 20197. S'y
ajoute le sentiment général que
l'«expérience client  » imposée par
les nouveaux usages authentifiants
sera commercialement désastreuse,
tant pour les e-commerçants que
pour les établissements bancaires
eux-mêmes.

Le service d'agregation
de comptes et les
interfaces securisées
Le service d'information sur les
comptes, plus couramment appelé
agrégation, permet à un nouveau
type de prestataire dénommé PSIC8
de se connecter aux systèmes

361

Expertises des Systèmes d'information - Novembre 2019 - n°451 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Novembre 2019 - n°451 - Le mensuel du droit de l'informatique et du multimédia