Entrée en vigueur le 13 janvier 2018, la directive européenne sur les services de paiement 2ème version (DSP2) rend obligatoire l'authentification forte pour les paiements de plus de 30 euros. Les modalités de l'authentification forte du client (SCA pour "Strong Customer Authentication" en anglais) sont définies par les Normes Techniques de Réglementation (RTS).

Pour effectuer une SCA, la DSP2 impose l'utilisation d'au moins deux éléments parmi : la connaissance (code secret, mot de passe...), la possession (mobile, carte, token...), l'inhérence (l'empreinte digitale, la voix ou l'iris). Cette obligation s'impose à tous les acteurs y compris aux agrégateurs de comptes. Les exemptions prévues restent très limitées. Cette réglementation, tout comme le RGPD, constituera un avantage concurrentiel pour les entreprises européennes qui parviennent à optimiser l'expérience utilisateur. Elle pourrait également contribuer à stimuler l'innovation dans plusieurs domaines et notamment celui de la technologie de paiement mobile en Europe.

Transposée en droit français par la loi de ratification l'été dernier, la DSP2 instaure plusieurs autres volets dont l'application de suppléments en cas de paiement par carte aussi bien dans un magasin qu'en ligne (interdiction de la surfacturation), le renforcement de la protection des consommateurs avec par exemple une baisse de la franchise restant à la charge du client en cas de règlement frauduleux par carte avant opposition (de 150 à 50 euros) ou encore des délais plus courts de remboursement.