PSD3 et PSR : ce qui change pour la lutte contre la fraude aux paiements

En bref :

le 21 octobre 2026, le Conseil de l'UE a adopté sa position en première lecture sur la directive PSD3 (ou DSP3) et le règlement PSR.
‍
Ces textes remplacent PSD2 et la directive monnaie électronique.

‍

Pour la fraude, quatre changements majeurs : le remboursement intégral des arnaques au faux conseiller bancaire, la vérification nom/IBAN étendue à tous les virements, une authentification forte inscrite dans la loi et un partage obligatoire des données de fraude, y compris avec les grandes plateformes en ligne.

‍

Le PSR s'appliquera 21 mois après l'entrée en vigueur.

‍

Le texte n'est pas encore définitif, mais son contenu est désormais connu et stable.

‍

Cette réforme durcit l'agrément des établissements, ouvre l'accès aux comptes bancaires et modernise l'open banking. Mais son vrai centre de gravité, c'est la fraude : pour la première fois, la loi fait payer au prestataire une partie des arnaques que ses clients ont eux-mêmes autorisées.

‍

Chez Meelo, nous accompagnons au quotidien des banques, établissements de paiement et fintechs sur la détection de fraude à l'entrée en relation.

Voici ce qui change concrètement, qui est concerné, et comment s'y préparer.

‍

PSD3 et PSR en bref

‍

La réforme coupe l'ancien cadre en deux textes.

La directive PSD3 couvre l'agrément et la supervision des établissements.
Le règlement PSR fixe les règles de conduite, dont tout le volet fraude, et s'applique directement dans les 27 États membres, sans transposition nationale.
‍

C'est un changement de méthode : avec PSD2, chaque pays transposait à sa façon, ce qui créait des écarts.

‍

Avec le PSR, une banque française et un établissement de paiement néerlandais appliqueront exactement les mêmes règles anti-fraude.

‍

La monnaie électronique disparaît aussi comme régime à part : les établissements de monnaie électronique (EME) basculent dans le cadre des établissements de paiement (EP).
‍

‍

Le calendrier, à partir de l'entrée en vigueur

‍

• Jour 0 : entrée en vigueur 20 jours après publication au Journal officiel de l'UE.
• +21 mois : le PSR s'applique, ainsi que les lois nationales de transposition de PSD3. Les agréments existants restent valables.
• +27 mois : fin de la période transitoire. Les EP, EME et entités exemptées doivent être réagréés, sinon leur activité est suspendue. La vérification nom/IBAN étendue et son régime de responsabilité entrent en application.

‍

Le Parlement européen doit encore boucler la procédure.

Toutes les échéances courent à partir de la publication. Si le texte est publié en 2027, les premières obligations fraude s'appliqueraient fin 2028 ou en 2029.
‍

‍

Arnaque au faux conseiller : le PSP rembourse

‍

C'est la mesure la plus attendue.

Aujourd'hui, un client qui valide lui-même un virement sous la pression d'un faux conseiller bancaire supporte seul la perte : le paiement est «autorisé», donc hors du champ du remboursement PSD2.

‍

Avec le PSR, le consommateur est remboursé intégralement si trois conditions sont réunies :

‍

• le fraudeur s'est fait passer pour son propre prestataire de paiement (banque, EP, EME) ;
• il a utilisé des canaux usurpés : numéro de téléphone, SMS, adresse e-mail imitant ceux du PSP ;
• la victime a signalé la fraude à son PSP et a déposé plainte auprès de la police.

‍

Pour refuser, le PSP doit prouver une négligence grave du client.

‍
Le Conseil a limité le dispositif à l'usurpation du PSP lui-même, là où le Parlement voulait l'étendre à toute entité publique ou privée. Les arnaques au faux policier ou au faux conseiller d'un autre organisme restent donc hors champ.

‍

Le PSP doit aussi sécuriser ses propres canaux contre l'usurpation (spoofing).
Pour les paiements non autorisés classiques, la règle ne change pas : remboursement au plus tard le jour ouvrable suivant, franchise client de 50 €.

Nouveauté : si le PSP soupçonne une fraude ou une négligence grave, il doit motiver sa position par écrit et décider sous 15 jours ouvrables.
‍

‍

Le regard de Meelo. Une arnaque au faux conseiller a toujours besoin d'un compte pour recevoir l'argent : souvent un compte ouvert avec une identité volée ou des documents falsifiés. C'est là que nous intervenons. Plus ce compte est bloqué tôt, moins il y a de victimes à rembourser, chez vous comme chez les autres PSP.

‍

Vérification nom/IBAN : tous les virements

‍

Depuis octobre 2025, le règlement sur les virements instantanés impose déjà la vérification du bénéficiaire (Verification of Payee) pour les virements SEPA en euros.
Le PSR l'étend à tous les virements, y compris hors euro.

‍

Avant l'envoi, le PSP du payeur vérifie que le nom saisi correspond bien au titulaire de l'IBAN et signale tout écart. Si un PSP n'applique pas ce contrôle ou l'applique mal, il rembourse le payeur, et le PSP fautif indemnise l'autre.

‍

Cette règle s'applique à 27 mois.

‍
Pour les établissements qui gèrent des virements en devises, c'est un chantier technique à lancer tôt. Pour les entreprises qui paient fournisseurs et partenaires, c'est un rempart direct contre la fraude au changement de RIB.

‍

Le regard de Meelo.

Notre contrôle de titularité IBAN fonctionne déjà pour les particuliers et les entreprises, et il est compatible avec la Verification of Payee.

Nos clients l'utilisent surtout à l'onboarding : vérifier dès l'ouverture que l'IBAN déclaré appartient bien à la personne ou à la société en face, c'est éviter qu'un compte frauduleux entre dans la chaîne de paiement.

‍

Authentification forte : inscrite dans la loi

‍

Avec la PSD2, l'authentification forte (SCA) reposait sur la directive et les normes techniques de l'EBA. Le PSR l'inscrit directement dans le règlement et en élargit le champ :

‍

• Nouveaux cas couverts : tokenisation d'une carte, hausse de plafond, changement de mot de passe ou de coordonnées.
• Facteurs vraiment distincts : les éléments d'authentification doivent venir de catégories différentes.
• Accessibilité : des méthodes adaptées aux personnes handicapées, âgées ou sans smartphone.
• Responsabilité étendue : les prestataires techniques et les opérateurs de schémas de paiement deviennent responsables s'ils empêchent l'application de la SCA.

‍

Les moments sensibles du parcours client, comme le changement de numéro de téléphone, sont précisément ceux que les fraudeurs exploitent pour prendre le contrôle d'un compte. Ils devront désormais être protégés.

‍

Le regard de Meelo.

L'authentification forte prouve que c'est le bon appareil, pas que c'est la bonne personne derrière.

Nous ajoutons des signaux complémentaires :

- Empreinte de l'appareil,
- Indices d'automatisation,
- VPN ou proxy,
- Vérification de l'opérateur et de la portabilité du numéro de téléphone.

Ces signaux aident à repérer un parcours anormal avant qu'il ne devienne une fraude.
‍

‍

‍

Partage de données fraude et plateformes en ligne

‍

‍

PSD2 ne disait presque rien de la coopération entre acteurs. Le PSR en fait une obligation.

‍

Entre PSP. Les prestataires doivent partager les données de fraude entre eux. Ce partage est encadré : analyse d'impact RGPD conjointe avant tout échange. Les PSP doivent aussi publier leurs statistiques de remboursement.

‍

Avec les plateformes. Les grandes plateformes en ligne et moteurs de recherche ne pourront diffuser de publicité pour des services financiers que si l'annonceur prouve qu'il est agréé dans le pays visé. Elles doivent ouvrir des canaux de signalement avec les PSP.

‍

Selon l'accord provisoire, une plateforme alertée d'un contenu frauduleux qui ne le retire pas devient responsable envers le PSP qui a remboursé la victime.

‍

C'est un changement de logique : la fraude n'est plus un problème isolé de chaque banque, mais une chaîne de responsabilités partagées.

‍

‍

Qui est concerné, et comment

‍

• Banques : elles portent le remboursement des arnaques au faux conseiller, vérifient nom et IBAN sur tous les virements et partagent leurs données fraude. Elles doivent aussi offrir une interface open banking dédiée et ne peuvent fermer le compte d'un EP ou d'un EME que sur motifs listés, avec 4 mois de préavis.
• Établissements de paiement (EP) : responsabilité fraude, vérification nom/IBAN et SCA désormais fixées par règlement. Réagrément à 27 mois et capital initial relevé (40 000 € en transfert de fonds, 125 000 à 150 000 € pour les autres services).
• Établissements de monnaie électronique (EME) : mêmes règles fraude et SCA que les EP, fin du régime EMD2 séparé, capital initial de 250 000 € pour l'émission (350 000 € aujourd'hui).
• Consommateurs : remboursement des arnaques au faux conseiller avec plainte, alerte avant tout virement si le nom ne correspond pas à l'IBAN, frais affichés avant paiement et tableau de bord pour révoquer les accès open banking. La franchise de 50 € est maintenue.

‍

‍

Comment se préparer dès maintenant

‍

Les échéances paraissent lointaines, mais le remboursement des arnaques change l'équation économique de la fraude.
‍

Chaque arnaque non détectée deviendra une perte sèche pour le prestataire.

‍

• Cartographier l'exposition : estimer le volume d'arnaques à l'usurpation que vous auriez dû rembourser sur les 12 derniers mois.
• Étendre la vérification du bénéficiaire à tous les virements, y compris en devises.
• Renforcer les points sensibles du parcours : changement de téléphone, d'e-mail, de plafond, ajout d'un bénéficiaire.
• Détecter en amont : un compte ouvert avec une fausse identité sert ensuite à recevoir l'argent des victimes. Le contrôle à l'entrée en relation (KYC, KYB) réduit directement ce que vous paierez plus tard.
• Préparer le partage de données : analyse d'impact RGPD, choix des partenaires et des formats d'échange.
• Documenter les refus : pour opposer la négligence grave, il faudra des preuves écrites et une décision sous 15 jours ouvrables.
• Pour les EP et EME : anticiper le dossier de réagrément et le niveau de capital requis.

‍

‍

Comment Meelo aide les PSP à répondre au PSR ?

‍

‍

• Rembourser les arnaques au faux conseiller : un score de fraude et une vérification d'identité avec face matching et détection du vivant, l'authenticité des documents et la détection des documents générés par IA, pour bloquer les comptes ouverts par des fraudeurs.
• Vérification nom / IBAN : contrôle de titularité IBAN B2C et B2B, compatible Verification of Payee.
• SCA étendue : empreinte de l'appareil, détection VPN et proxy, vérification du téléphone et de l'e-mail.
• Open banking : analyse des comptes, cohérence déclarative, alertes sur les comptes connectés.
• Clients professionnels et fraude au changement de RIB : vérification KYB des entreprises, bénéficiaires effectifs et dirigeants, en France et à l'international.
• Obligations LCB-FT : filtrage sanctions, personnes politiquement exposées, médias défavorables.

‍

Tout passe par une seule plateforme et une seule intégration.

‍

L'objectif : bloquer le fraudeur avant qu'il n'ouvre le compte qui recevra l'argent des victimes, plutôt que rembourser après coup.

‍

‍

FAQ

‍

‍

Quelle est la différence entre PSD3 et PSR ?

‍

PSD3 est une directive sur l'agrément et la supervision des établissements de paiement, transposée par chaque pays. Le PSR est un règlement directement applicable qui fixe les règles de conduite, dont la fraude, la SCA et l'open banking.

‍

Quand PSD3 et le PSR s'appliqueront-ils ?

‍

Le PSR s'applique 21 mois après l'entrée en vigueur. La période transitoire se termine à 27 mois. Le Parlement européen doit encore adopter le texte final.

‍

Une banque devra-t-elle rembourser une arnaque au faux conseiller ?

‍

Oui, si le fraudeur s'est fait passer pour la banque elle-même, via des canaux usurpés, et que la victime a signalé la fraude à la banque et à la police. La banque peut refuser seulement en prouvant une négligence grave.

‍

La vérification du bénéficiaire devient-elle obligatoire partout ?

‍

Oui. Déjà obligatoire pour les virements SEPA en euros, elle sera étendue à tous les virements. Le PSP qui ne l'applique pas rembourse le payeur.

‍

Les plateformes en ligne sont-elles concernées ?

‍

Oui. Les grandes plateformes devront vérifier que les annonceurs de services financiers sont agréés, et coopérer avec les PSP pour retirer les contenus frauduleux.

‍

PSD3 remplace-t-elle la DSP2 ?

‍

Oui. PSD2 et la directive monnaie électronique (EMD2) sont abrogées et remplacées par PSD3 et le PSR.

‍

Sources :
Conseil de l'UE, documents ST 8535/26 (directive services de paiement) et ST 8543/26 (règlement services de paiement), position en première lecture du 21 octobre 2026 ; accord provisoire Conseil et Parlement européen de novembre 2025 ; règlement (UE) 2024/886 sur les virements instantanés.