Sécurité des moyens de paiement
Un établissement de paiement ou de monnaie électronique n’obtient son agrément de l’ACPR qu’après avis de la Banque de France sur la sécurité de ses moyens de paiement. Cet examen porte sur la gouvernance, le système d’information, l’authentification forte et les prestataires ; il se poursuit après l’agrément par le suivi des engagements, les déclarations de fraude et les contrôles.
ORWL Avocats prépare le dossier, conduit les échanges avec la Banque de France et l’ACPR, et sécurise les contrats de vos prestataires.
Pourquoi la Banque de France examine-t-elle votre dossier ?
L’article L. 141-4 du code monétaire et financier charge la Banque de France de s’assurer de la sécurité des moyens de paiement autres que les espèces, et de la pertinence des normes qui s’y appliquent. Le code en tire une conséquence directe pour les candidats : l’ACPR délivre l’agrément d’établissement de paiement ou de monnaie électronique après avis de la Banque de France (articles L. 522-6 et L. 526-7).
La Banque de France rend donc à l’ACPR un avis sur les moyens techniques, informatiques et organisationnels qui protègent les paiements de vos clients. Ses équipes mènent cet examen en coordination avec celles de l’ACPR, qui instruit le reste du dossier.
Sont concernés :
- les établissements de paiement (EP) et de monnaie électronique (EME) qui demandent un agrément ;
- les EP dont l’activité se limite aux jetons de monnaie électronique (EMT), y compris les prestataires de services sur crypto-actifs (PSCA) qui ajoutent ce statut à leur agrément MiCA ;
- l’établissement déjà agréé qui demande l’extension de son agrément à de nouveaux services.
L’EP à agrément simplifié et l’agent de prestataire de services de paiement ne passent pas par cet examen. Le code étend aussi la mission de la Banque de France aux EMT et aux jetons se référant à un ou des actifs utilisés comme moyen d’échange.
Les étapes de l’examen de la Banque de France
Cette phase pèse lourd dans l’instruction. Elle ne suit pas de calendrier propre : sa durée se confond avec celle de l’instruction de l’agrément d’établissement de paiement ou de monnaie électronique.
Quand certains points restent ouverts, l’ACPR peut accorder l’agrément contre l’engagement de se conformer, dans les meilleurs délais, aux exigences de la Banque de France en matière de sécurité des moyens de paiement. Le travail ne s’arrête donc pas à la décision.
Que regarde la Banque de France dans votre dossier ?
La Banque de France lit l’ensemble du dispositif : politiques, cartographies des risques, procédures, description de l’authentification forte, plan de continuité et contrats des prestataires. Elle vérifie que ces documents décrivent un dispositif réel, propre à l’établissement et aligné sur les textes :
- l’article 95 de la directive (UE) 2015/2366 (DSP2) sur la gestion des risques opérationnels et de sécurité ;
- l’article 97 de la DSP2 et le règlement délégué (UE) 2018/389 sur l’authentification forte du client ;
- les orientations de l’ABE relatives à l’externalisation (EBA/GL/2019/02) ;
- depuis le 17 janvier 2025, le règlement (UE) 2022/2554 (DORA).
| Thème | Points d’attention fréquents | Livrables attendus |
|---|---|---|
| Activité et flux | Cohérence entre les flux décrits et les services demandés ; risques de fraude propres au parcours client | Description des flux de paiement, schémas des parcours |
| Gouvernance de la sécurité | Responsabilités définies, indépendance de la fonction sécurité, contrôle permanent et périodique | Politique de sécurité, organigramme, procédures de contrôle |
| Système d’information | Caractère autoportant du dispositif, architecture, droits d’accès, séparation des environnements | Dossier d’architecture, cartographie des risques, politique de gestion des accès |
| Authentification forte | Facteurs retenus, lien dynamique, exemptions et leur justification | Description de l’authentification forte, analyse des exemptions |
| Clés et chiffrement | Génération, stockage et renouvellement des clés ; protection des données sensibles | Politique de chiffrement et de gestion des clés |
| Continuité d’activité | Scénarios retenus, délais de reprise, tests | Plan de continuité d’activité, résultats des tests |
| Prestataires | Externalisation des fonctions essentielles, droits d’audit, plan de sortie, conformité des contrats d’adhésion | Politique d’externalisation, contrats des prestataires, trajectoire de remédiation |
| Fraude et incidents | Surveillance des opérations, traitement des contestations, gestion des incidents | Procédure de gestion des incidents, dispositif de surveillance des opérations |
Les remarques les plus fréquentes
- Un dispositif autoportant. La Banque de France vérifie que l’établissement maîtrise son système d’information et peut fonctionner de façon autonome, même quand il s’appuie sur son groupe ou sur un prestataire.
- L’authentification forte. Elle examine le périmètre couvert, les facteurs retenus, le lien dynamique et la justification de chaque exemption.
- Les clés et le chiffrement. Elle demande qui génère, conserve et renouvelle les clés, et comment les données sensibles sont protégées.
- La gouvernance. Elle contrôle la répartition des responsabilités, la place du responsable de la sécurité, le contrôle permanent et périodique et l’information des dirigeants.
Les contrats d’adhésion des grands prestataires (hébergement, cloud, authentification, solutions de paiement) ne respectent pas toujours DORA ni les orientations de l’ABE, et l’établissement n’a souvent pas le poids pour les renégocier. Le dossier présente alors une trajectoire de remédiation : écarts relevés, mesures compensatoires, calendrier. Cette trajectoire peut faire l’objet d’un engagement pris lors de l’agrément.
Après l’agrément : quel suivi par la Banque de France ?
Une fois son avis rendu, la Banque de France reste l’interlocuteur de l’établissement sur la sécurité de ses moyens de paiement.
- Suivi des engagements. Quand l’agrément est assorti d’engagements, ses équipes vérifient leur mise en œuvre, pièce par pièce.
- Déclarations de fraude. L’établissement transmet chaque semestre ses statistiques de fraude à la Banque de France, selon les orientations de l’ABE prises pour l’article 96, paragraphe 6, de la DSP2.
- Évaluation annuelle des risques. Au moins une fois par an, l’établissement remet une évaluation à jour de ses risques opérationnels et de sécurité et de l’efficacité de ses mesures de maîtrise (article 95, paragraphe 2, de la DSP2).
- Rapport de contrôle interne. Le rapport annuel comporte une annexe sur la sécurité des moyens de paiement, qui signale notamment les changements de l’offre ou du dispositif contre la fraude.
- Contrôles sur pièces et sur place. La Banque de France peut contrôler l’établissement et ses prestataires, poser des questions et demander des entretiens. Un contrôle se conclut par une lettre de suite qui fixe les mesures attendues.
Si un moyen de paiement présente des garanties de sécurité insuffisantes, la Banque de France peut recommander à son émetteur des mesures correctives. Si ces recommandations restent sans effet, elle peut, après avoir recueilli ses observations, formuler un avis négatif publié au Journal officiel (article L. 141-4 du code monétaire et financier).
ORWL Avocats accompagne l’établissement dans ce suivi : plan de levée des engagements, réponses aux questions, préparation des contrôles sur place, réponse aux lettres de suite.
Services sur EMT
Trois autorités, trois périmètres distincts
Un établissement de paiement dont l’activité porte sur des jetons de monnaie électronique relève de trois examens. La Banque de France apprécie la sécurité de ses moyens de paiement et suit certains points propres aux EMT. L’ACPR délivre l’agrément et contrôle la résilience numérique au titre de DORA. Quand l’établissement est aussi PSCA, l’AMF contrôle seule la conservation et le transfert de crypto-actifs au titre de MiCA : la Banque de France n’entre pas dans ce périmètre.
ORWL Avocats qualifie aussi vos flux et organise le double statut de PSCA et d’établissement de paiement : crypto-actifs et paiement.
Sécurité des paiements et DORA : deux examens distincts
Depuis le 17 janvier 2025, le règlement (UE) 2022/2554 (DORA) s’applique aux EP et aux EME. La directive (UE) 2022/2556 a modifié la DSP2 en conséquence : le volet informatique de la gestion des risques relève du chapitre II de DORA. Depuis le 20 mai 2025 au plus tard, les orientations de l’ABE sur la gestion des risques TIC et de sécurité (EBA/GL/2019/04) ne portent plus que sur la relation avec les utilisateurs de services de paiement.
Deux examens coexistent donc :
- la Banque de France examine la sécurité des moyens de paiement ;
- l’ACPR contrôle le respect de DORA : gestion du risque informatique, incidents, tests de résilience, prestataires de services TIC.
Les incidents majeurs liés aux TIC, y compris les incidents opérationnels ou de sécurité liés aux paiements, se déclarent selon DORA. Les deux dossiers reposent sur les mêmes documents : politique de sécurité, plan de continuité, contrats des prestataires. Le cabinet veille à ce qu’ils disent la même chose.
ORWL Avocats accompagne aussi les établissements de paiement dans leur mise en conformité DORA : registre d’informations, contrats des prestataires TIC, gestion des incidents, gouvernance.
PSD3 et PSR
Ce qui change pour la sécurité des paiements
Le paquet qui remplacera la DSP2, une directive (PSD3) et un règlement (PSR), n’est pas adopté au 16 octobre 2026. Le Conseil a publié les textes de compromis le 23 avril 2026 ; une application en 2028 est probable. Selon ces textes :
- l’authentification forte devra être accessible sans frais aux personnes âgées, aux personnes handicapées et aux personnes sans smartphone ;
- le lien dynamique s’étendra aux ordres de paiement passés à distance ;
- le consommateur manipulé par un fraudeur qui se fait passer pour son prestataire aura droit, sous conditions, au remboursement des opérations qu’il a autorisées ;
- la surveillance des opérations deviendra une obligation dont le manquement engage la responsabilité du prestataire ;
- un contrat d’externalisation liera le prestataire de paiement au prestataire technique qui fournit ou vérifie les éléments d’authentification forte ;
- la vérification du nom du bénéficiaire s’étendra à tous les virements.
Le PSR s’appliquera directement, sans transposition. Les établissements devront revoir leurs politiques, leurs contrats et leurs procédures de réclamation ; ORWL Avocats conduit dès à présent ces analyses d’écart avec ses clients.
Comment ORWL Avocats vous accompagne-t-il ?
- Rédiger et relire vos politiques. Politique de sécurité, procédure de gestion des incidents, politique d’externalisation, description de l’authentification forte : le cabinet les rédige ou les relit avec vos équipes, au regard des textes et des attentes du régulateur.
- Conduire le dialogue avec la Banque de France et l’ACPR. Réponses aux questions écrites, préparation des réunions, plan de levée des engagements, réponse aux lettres de suite.
- Sécuriser les contrats de vos prestataires. Analyse au regard des orientations de l’ABE et de DORA, négociation, trajectoire de remédiation pour les contrats d’adhésion.
L’audit technique reste l’affaire de vos équipes ou d’un cabinet de conseil en cybersécurité. ORWL Avocats en traduit les résultats dans la forme et le langage qu’attend le régulateur.
Pourquoi travailler avec ORWL Avocats ?
Depuis 2018, ORWL Avocats accompagne devant l’ACPR, la Banque de France et l’AMF des fintechs du paiement, des PSCA qui ajoutent un statut d’établissement de paiement et des acteurs des stablecoins. Le cabinet est classé par Chambers FinTech et par Leaders League.
Un cabinet de conseil en cybersécurité évalue vos systèmes. L’avocat apporte autre chose : la maîtrise de l’exercice réglementaire, la qualification exacte de vos obligations et la connaissance des enjeux du secteur. Ses échanges avec vous sont couverts par le secret professionnel, et il répond de ses analyses. Les deux interventions se complètent.
Un associé conduit chaque dossier, du dépôt de la demande à la levée des engagements.
L’expertise Regulatory d’ORWL Avocats
ORWL Avocats est reconnu pour son expertise des établissements de paiement et de monnaie électronique et des acteurs des crypto-actifs. Le cabinet accompagne aussi ces établissements dans l’obtention de leur agrément, la qualification de leurs flux crypto, leur conformité DORA et, pour les PSCA, leur conformité MiCA.
