« Mon service de paiement est-il conforme à la DSP 2 ? »

L'un des enjeux majeurs, pour un prestataire de services de paiement, est d’identifier pour quel service exactement il doit être conforme à la DSP 2, au titre de l’article 3 des RTS, relatif au rapport d’examen des mesures de sécurité. La question ne se pose pas pour les services principaux : virements, accès aux informations sur les comptes, etc. Néanmoins, certains services de paiement spécifiques – carte de dépôt d’espèces, carte de retrait limitée au réseau de la banque émettrice, transaction de paiement initiée par le bénéficiaire, etc. – nécessitent une analyse plus poussée afin de déterminer s'ils entrent dans le périmètre de la DSP 2, et s’ils sont donc soumis à toutes les exigences de conformité associées. Il convient alors de vérifier si le service de paiement proposé ou fourni au client correspond à l'un des services de paiement indiqués dans l’annexe 1 de la DSP 2, s'il est soumis à une obligation d'authentification forte et éligible à une ou plusieurs dérogations d'authentification forte, si des données de sécurité personnalisées sont manipulées, et enfin si le service doit être mis à disposition des initiateurs de paiement et agrégateurs de comptes via une interface dédiée (API).

Un établissement de paiement qui fait une demande d’agrément auprès de son autorité compétente doit être en mesure d’apporter toutes les justifications sur sa capacité à produire ces rapports. Dans son dossier d’agrément, il doit fournir l’équivalent du rapport d’examen des mesures de sécurité exigé par l’article 3 des RTS.