PSD3 et PSR : Cinq changements majeurs à anticiper dans une plateforme de paiement en 2026
La fin d’année 2026 et 2027 s’annoncent charnières pour les plateformes de paiement. Entre l’entrée en vigueur progressive du Règlement sur les Paiements Instantanés (IPR) et l’application imminente de PSD3/PSR, les marchands et intégrateurs doivent anticiper des changements profonds. Cet article décrypte cinq évolutions majeures et leurs implications techniques, pour vous permettre de préparer au mieux votre architecture de paiement.
Le Règlement sur les Paiements Instantanés (IPR) 2024/886 : L’urgence de la mise en conformité
Le Règlement (UE) 2024/886 sur les paiements instantanés, entré en vigueur le 8 avril 2024, redéfinit les standards des virements en euros dans la zone SEPA. Il impose des délais stricts et de nouvelles obligations pour les Prestataires de Services de Paiement (PSP), avec des répercussions directes sur l’intégration des flux.
Dès le 9 janvier 2025, tous les PSP de la zone euro doivent être en mesure de recevoir des virements SEPA Instantanés (SCT Inst) 24 heures sur 24, 7 jours sur 7, sans surcoût. Le plafond de 100 000 € du schéma EPC a été supprimé au niveau européen à cette date, bien que chaque banque puisse conserver ses propres plafonds applicatifs.
La bascule majeure intervient le 9 octobre 2025 : l’émission obligatoire de SCT Inst pour tout PSP de la zone euro est instaurée. À cette même date, la Vérification du Bénéficiaire (VoP) devient effective. Concernant la tarification, l’article 5 quater du règlement stipule que les frais appliqués à un virement instantané ne peuvent excéder ceux d’un virement SEPA classique équivalent, ce qui se traduit de fait par une gratuité en ligne pour les particuliers. Un reporting réglementaire annuel standardisé de tous les PSP à leurs autorités nationales est attendu pour avril 2026, une échéance reportée d’un an par l’ABE.
Les exigences techniques sont claires : les virements en euros doivent être traités en moins de 10 secondes, 24h/24, 7j/7, 365 jours par an. Cela implique des contrôles de sanctions quotidiens, voire immédiats en cas de mise à jour des listes, remplaçant le screening transaction par transaction. La disponibilité doit être assurée sur tous les canaux clients : applications mobiles, sites web et agences physiques.
La Vérification du Bénéficiaire (VoP) est un point d’intégration crucial. Elle impose une vérification gratuite de la concordance entre le nom du bénéficiaire et l’IBAN avant la validation d’un SCT ou SCT Inst, sur l’ensemble de la zone euro. Les réponses possibles incluent « match », « close match », « no match » ou « vérification impossible ». En cas de non-réalisation ou de mauvaise exécution de la VoP, un droit à remboursement est prévu si le virement n’atteint pas le bon bénéficiaire. Cette mesure vise à lutter contre la fraude au RIB et l’usurpation d’identité, tout en réduisant les erreurs de saisie. Une enquête sectorielle a révélé que seulement environ 33 % des PSP se déclaraient prêts, la majorité rencontrant des difficultés sur la VoP, le screening de sanctions et l’adaptation de leurs infrastructures legacy.
Pour les architectes et développeurs, la VoP implique l’intégration d’un appel API synchrone dans le tunnel de virement, afin d’afficher le résultat de concordance avant confirmation. La contrainte des 10 secondes exclut par ailleurs les architectures batch, favorisant des approches en temps réel souvent basées sur des infrastructures résilientes comme Kubernetes. Nuvelia accompagne les entreprises dans l’audit et l’adaptation de leurs architectures de paiement pour répondre à ces exigences, notamment par le cadrage et l’intégration de solutions de paiement bancaire.
Une dernière échéance à noter : le 15 novembre 2026, tous les paiements SEPA devront obligatoirement utiliser des adresses structurées (format ISO 20022), les anciens formats étant alors rejetés. Cette transition représente un défi significatif pour les systèmes ERP et back-offices.
PSD3 et PSR : Une refonte structurelle pour 2027-2028
Après des années d’attente, la refonte du cadre réglementaire des paiements européens prend forme. La Commission européenne a présenté sa proposition PSD3 (directive) et PSR (règlement) le 28 juin 2023. Ces textes fusionnent l’actuelle PSD2 et la directive monnaie électronique EMD2 en un régime de licence unique, simplifiant et renforçant la supervision.
Un accord politique provisoire a été trouvé le 27 novembre 2025 lors du trilogue entre le Parlement et le Conseil. Les textes finaux ont été soumis aux représentants nationaux les 22 et 23 avril 2026, et leur publication au Journal Officiel de l’Union Européenne (JOUE) est attendue pour la mi-2026. L’application effective est prévue pour la mi/fin 2027-2028, avec une période de transition de 21 mois pour le PSR (règlement directement applicable) et 18 mois pour la transposition de PSD3 (directive).
Le PSR (Payment Services Regulation) se concentrera sur les règles de conduite directement applicables. Il renforcera l’Authentification Forte du Client (SCA), les exigences en matière de lutte contre la fraude et les remboursements. La Confirmation of Payee (CoP), logique similaire à la VoP de l’IPR, sera généralisée, rendant la vérification du bénéficiaire un standard européen permanent. Le PSR imposera également des exigences de performance accrues pour les API open banking, mettant fin aux dérogations d’interface de repli et exigeant des tableaux de bord de consentement clairs pour les clients.
La PSD3 (Payment Services Directive) encadrera les agréments et la supervision des établissements de paiement et de monnaie électronique. Elle introduira un régime unique pour les PI (Payment Institutions) et les EMI (Electronic Money Institutions), avec des exigences de sauvegarde des fonds clients renforcées. Cela inclut une diversification obligatoire des fonds sur au moins deux établissements de crédit au-delà d’un certain seuil, une logique de sécurisation des fonds entrants des EMI en T+1, et une réconciliation quotidienne documentée.
Un point notable est le renforcement des responsabilités en matière de fraude APP (Authorized Push Payment), avec une extension de la responsabilité aux plateformes, ajoutée lors du trilogue.
Parallèlement, le règlement FIDA (Financial Data Access), visant à étendre l’open banking aux investissements, pensions, assurances et crédits (l’open finance), est toujours en trilogue en 2026. Les négociations devraient reprendre à partir de l’été 2026, avec un horizon réaliste d’application autour de 2029-2030 et la création de la catégorie des FISP (Financial Information Service Provider).
L’année 2026 est une année de préparation cruciale. Les futurs BTS/RTS (Binding Technical Standards / Regulatory Technical Standards) de l’Autorité Bancaire Européenne (ABE), qui détailleront l’implémentation des API, rendront les choix d’architecture actuels (microservices versus monolithe, gestion des consentements) d’autant plus stratégiques et coûteux à modifier si non alignés. Nuvelia propose des audits d’architecture et des services de mise en production pour accompagner cette transition.
L’essor de Wero : Le paiement souverain européen et ses opportunités
Wero, le wallet de paiement compte-à-compte instantané porté par l’European Payments Initiative (EPI), est en passe de transformer le paysage du paiement en ligne en Europe. Lancé en P2P depuis 2024 en France, Allemagne et Belgique, Wero s’appuie sur les rails du SCT Inst pour offrir une expérience de paiement rapide et sécurisée.
L’adoption est rapide : plus de 55 millions d’utilisateurs en Europe début 2026, dont 72 % en France, témoignent de son potentiel. Le premier anniversaire de Wero, en septembre 2025, a marqué plus de 43,5 millions d’utilisateurs et 7,5 milliards d’euros transférés.
Le calendrier pour l’e-commerce est ambitieux. Après l’Allemagne fin 2025 (avec des enseignes comme Lidl, Decathlon, Rossmann), la France et la Belgique voient le déploiement de Wero courant 2026. En France, BPCE a ouvert le paiement en ligne en mai 2026 pour 500 000 de ses clients, avec une extension prévue avant la fin de l’été. Les autres banques membres de l’EPI se préparent pour le second semestre 2026. Payplug a réalisé le premier paiement e-commerce Wero en France en avril 2026, avec l’École du Ski Français comme première intégration marchande. Des acteurs majeurs tels qu’Air France, SNCF, E.Leclerc, Veepee, Orange/Sosh et Dott ont déjà annoncé leur intention de proposer Wero. La DGFiP prévoit également d’intégrer Wero pour les factures publiques, marquant une première pour une entité publique européenne.
La feuille de route de Wero ne s’arrête pas là, avec des projets de paiement en magasin (QR code, NFC) vers 2027, la gestion des abonnements et le paiement fractionné. BoursoBank (8,9 millions de clients) rejoindra le consortium d’ici fin 2026, et le Luxembourg a intégré Wero depuis juin 2026. La migration d’iDEAL aux Pays-Bas vers Wero est également programmée.
Wero se positionne comme une solution souveraine visant à remplacer les solutions locales fragmentées (Paylib, iDEAL, Bancontact) et à réduire la dépendance aux schémas de cartes internationaux comme Visa et Mastercard. Il s’agit d’un enjeu stratégique pour l’autonomie des paiements européens, à distinguer de l’euro numérique de la BCE, dont l’horizon est 2029. Les dirigeants de l’EPI plaident d’ailleurs pour un partenariat public-privé avec l’euro numérique plutôt qu’une concurrence frontale.
Pour les e-commerçants et intégrateurs, Wero représente une opportunité d’encaissement instantané compte-à-compte, offrant une trésorerie immédiate et l’absence de frais d’interchange carte. Son intégration est facilitée par les PSP, comme le documentent déjà Payplug et Stripe. Pour une analyse approfondie des offres de ces prestataires, notre comparatif Stripe vs Adyen vs Mollie : quelle API paiement pour un SaaS ? peut vous éclairer. Cette évolution s’inscrit dans une convergence plus large entre l’identité numérique (EUDI Wallet) et le paiement, où le KYC wallet pourrait simplifier considérablement l’onboarding client. Pour en savoir plus sur les alternatives aux cartes, vous pouvez consulter notre article sur quel paiement bancaire en 2026 incluant Wero, Paylib et le virement instantané.
Sécuriser et fiabiliser les intégrations : Les angles morts souvent négligés
Au-delà des réglementations macro, la robustesse technique des intégrations de paiement repose sur des pratiques rigoureuses. La conformité et la sécurité des données sont des piliers fondamentaux.
Les recommandations de la CNIL en France concernant les données de carte bancaire sont explicites : il est strictement interdit de conserver le cryptogramme visuel après la transaction. Le numéro de carte (PAN) peut être conservé pour la durée de la transaction, ou jusqu’à 13 mois (15 mois pour les débits différés) à des fins de preuve en cas de contestation. Au-delà, sa conservation n’est possible qu’avec un consentement explicite du client (par exemple pour le paiement en un clic), rôle que remplit efficacement la tokenisation chez le PSP. Il est impératif de ne jamais logger un PAN en clair dans les logs applicatifs, les outils d’APM ou les tickets support, une cause classique de non-conformité PCI lors des audits.
En matière de sécurité, la norme PCI DSS 4.0.1 a rendu ses exigences de « best practice » obligatoires depuis le 31 mars 2025. Cela inclut, entre autres, l’inventaire et le contrôle des scripts des pages de paiement, un impact direct si vous intégrez des solutions via des iframes ou des composants avec des scripts tiers.
Par ailleurs, la réforme de la facturation électronique et de l’e-reporting en France, dont la réception obligatoire débute en septembre 2026, introduit un volet crucial pour les systèmes de paiement. Elle inclut l’e-reporting des données de paiement pour les prestations de services, exigeant la transmission du statut d’encaissement. Le système de paiement devient ainsi une source de données fiscales, un lien stratégique souvent sous-estimé.
Les intégrations de paiement peuvent échouer pour diverses raisons techniques ou fonctionnelles : la perte d’un webhook nécessitant un mécanisme de polling de réconciliation, un échec lors de la vérification d’identité du payeur, un document support rejeté lors de l’upload ou encore un dossier de transaction qui expire avant d’être finalisé. Une architecture robuste doit anticiper ces scénarios pour garantir l’intégrité des opérations. Nuvelia excelle dans l’intégration de solutions de paiement bancaire et la conception d’architectures résilientes. Notre expertise en architecture webhooks résiliente, idempotence et réconciliation est essentielle pour minimiser ces risques.
Sécurisez votre choix avant d’intégrer une solution de paiement.
Architecture, conformité, orchestration, délais d’intégration et dépendance fournisseur : Nuvelia vous aide à cadrer la solution adaptée à votre contexte.
Préparer l’avenir : DORA, ISO 20022 et l’EUDI Wallet
L’environnement réglementaire des paiements est en constante évolution, et plusieurs cadres se superposent, créant un contexte de conformité cumulatif pour les PSP et les marchands.
Le règlement DORA (Digital Operational Resilience Act) est déjà applicable et impose des exigences strictes en matière de résilience opérationnelle pour les entités financières, y compris les PSP. Il complète les obligations de l’IPR et de PSD3/PSR, exigeant une approche holistique de la gestion des risques informatiques et de la continuité des activités.
L’échéance du 15 novembre 2026 pour l’adoption des adresses structurées ISO 20022 pour tous les paiements SEPA représente un projet de migration de données très concret. Les entreprises doivent s’assurer que leurs ERP et back-offices sont capables de gérer ce nouveau format pour éviter les rejets de transactions.
Enfin, l’EUDI Wallet (European Digital Identity Wallet), en cours de déploiement, est appelé à jouer un rôle central dans l’authentification forte (SCA) des paiements. Ce portefeuille d’identité numérique européen pourra servir de moyen d’authentification à deux facteurs pour confirmer des transactions, offrant une convergence prometteuse entre l’identité et le paiement. Cette synergie, couplée à l’expertise de Nuvelia en intégration de signature électronique, ouvre de nouvelles perspectives pour des parcours clients fluides et sécurisés. La logique de vérification du bénéficiaire, qu’il s’agisse de la VoP de l’IPR ou de l’IBAN-name check du PSR, est désormais un standard européen permanent, renforçant la sécurité des transactions et la confiance des utilisateurs.
Cet article présente des éléments techniques et réglementaires généraux et ne constitue pas un conseil juridique. Pour un accompagnement spécifique sur l’architecture de votre plateforme de paiement, n’hésitez pas à consulter nos experts.
À lire ensuite
