Le superviseur européen consulte sur trois sujets de la DSP2 et du Règlement sur l'interchange carte SEPA

L'Autorité Bancaire Européenne (ABE) consulte sur l'authentification forte en e-commerce, le régime de passeport des EP et la séparation entre gouvernance et processing monétiques.

La Directive révisée sur les Services de Paiement (en instance de publication depuis son adoption finale par les deux co-législateurs de l'UE), tout comme le Règlement sur les interchanges monétiques SEPA de mai 2015, confient plusieurs actes d'application à la Commission Européenne. A cette fin, les deux textes législatifs chargent le superviseur bancaire européen, l'ABE, de concevoir et de mettre à jour des Standards Réglementaires et Techniques (SRT) ainsi que des lignes directrices. L'Autorité consulte donc à présent tous les acteurs du marché sur deux projets de standards et sur une note d'intention préliminaire.

Cette dernière, étape préalable à la proposition du standard correspondant, concerne l'authentification forte imposée par la DSP2 pour les paiements en ligne. Un dossier de discussion sollicite des avis sur les moyens de cette authentification forte et sur ses éventuelles exemptions, sur la protection des identifiants sécurisés du payeur, et sur la sécurité à apporter tant aux normes ouvertes de communication pour ces données sensibles qu'aux divers types de fournisseurs dans le domaine des paiements.

Parmi les deux consultations, la première présente le projet de norme pour un échange harmonisé d'informations entre superviseurs nationaux des EP actifs dans plusieurs Etats de l'UE (EP à « passeport »). La seconde norme détaille la séparation imposée entre les entités de gouvernance monétique et celles traitant les transactions, tant sur les niveaux décisionnels, organisationnels que comptables. Cette exigence du Règlement de 2015 s’inspire d'une disposition du SEPA Cards Framework (SCF) de l'EPC. La séparation devrait être effective tant pour les salariés que pour la direction de ces entités, impliquant des locaux différents et des procédures comptables et une planification opérationnelle séparées. Les commentaires sont attendus d'ici début mars 2016 – mais avant le 8 février 2016 concernant l'authentification forte.

Notre Analyse : Nouveau mode d'adoption des normes d'application

Cette procédure pilotée par l'ABE vise à améliorer les « actes délégués » confiés à la Commission par les législateurs européens depuis quelques années. Elle permet de fixer les spécificités techniques d'un texte, et de les faire évoluer, sans avoir à suivre un parcours législatif complet, ni à alourdir les débats d'adoption au Parlement et au Conseil.

Pour le cas particulier des normes de sécurité, la consultation est précédée d'une note d'intention (discussion paper), avec coopération renforcée de la BCE. Ceci permet aux acteurs du marché de mieux faire entendre leur voix avant d'être assujettis à la norme.

La publication de la DSP2 au Journal Officiel de l'UE est prévue pour janvier, fixant ainsi la date limite de transposition à janvier 2018. Dans certains cas toutefois, les STR et lignes directrices sont attendues bien avant. En cas de retard, l'ABE prévoit de donner une orientation préalable aux acteurs.