Un calendrier réglementaire dense pour le secteur bancaire
On parle beaucoup de la réforme de la facturation électronique. Mais pendant ce temps, le secteur bancaire connaît lui aussi une profonde mutation réglementaire. Entre novembre 2026 et janvier 2027, plusieurs textes européens majeurs entrent en application — avec des effets directs sur la vie quotidienne des entreprises, de leurs dirigeants et de leurs directions financières.
Tour d'horizon.
1. Encadrement des découverts bancaires — 20 novembre 2026
C'est la mesure la plus concrète pour les particuliers et les professionnels : à compter du 20 novembre 2026, les banques sont tenues d'analyser la solvabilité de tout client avant d'accorder un découvert autorisé — y compris les découverts inférieurs à 200 € ou d'une durée inférieure à un mois, qui en étaient jusqu'ici exemptés.
Ce qui change
- Vérification systématique des revenus et des charges : la banque devra s'assurer que le client est en mesure de rembourser le découvert avant de l'accorder.
- Application proportionnée : l'analyse sera adaptée au montant et à la durée du découvert — pas question d'un dossier de crédit complet pour 50 € de dépassement.
- Aucune modification rétroactive : les découverts autorisés déjà en place avant le 20 novembre 2026 ne sont pas concernés. Seules les nouvelles autorisations accordées après cette date seront soumises à la nouvelle règle.
Ce que ça signifie pour votre entreprise
Pour les dirigeants qui s'appuient sur un découvert professionnel, c'est une vigilance à anticiper. Si vous renégociez votre ligne de trésorerie ou si vous êtes un nouveau client, la banque sera davantage regardante sur votre capacité de remboursement. Autant soigner la présentation de vos indicateurs financiers avant d'en discuter.
2. DSP3 et RSP — paiements électroniques : première vague fin 2026 / début 2027
Le cadre européen des services de paiement entre dans une nouvelle ère avec la troisième Directive sur les Services de Paiement (DSP3) et le Règlement sur les Services de Paiement (RSP), qui lui est directement associé.
La DSP3 en quelques mots
La DSP3 succède à la DSP2 (en vigueur depuis 2018). Elle fixe le cadre de fond : définitions, conditions d'accès au marché, droits des utilisateurs, obligations des prestataires de paiement. Le RSP, en tant que règlement européen, est directement applicable dans tous les États membres sans transposition nationale — ce qui élimine les divergences d'interprétation qui avaient fragilisé la DSP2.
Après un accord politique en novembre 2025, les deux textes sont entrés en vigueur au premier semestre 2026. La première vague d'application — couvrant l'essentiel des obligations — est attendue entre fin 2026 et début 2027.
Les grandes évolutions
- Authentification forte généralisée : les exigences de sécurité pour valider les paiements électroniques sont renforcées et harmonisées dans toute l'Europe.
- Responsabilité accrue en cas de fraude : les prestataires de paiement devront démontrer qu'ils ont mis en place les dispositifs adéquats pour détecter et contrer les nouvelles méthodes de fraude numérique (hameçonnage, virement frauduleux, usurpation d'identité).
- Paiement instantané généralisé : la DSP3 oblige les établissements à proposer le virement instantané — exécuté en moins de dix secondes, 24h/24, 7j/7 — à un tarif ne dépassant pas celui du virement standard.
- Open banking renforcé : l'accès aux données bancaires par des prestataires tiers agréés est amélioré, ouvrant la voie à de nouveaux services financiers.
- Extension du périmètre : le BNPL (achat fractionné), le crédit instantané et les cryptomonnaies entrent progressivement dans le champ réglementaire.
Ce que ça signifie pour votre entreprise
Si vous gérez des encaissements en ligne, travaillez avec des prestataires de paiement ou envisagez d'intégrer le paiement instantané dans votre processus Order-to-Cash, la fenêtre 2026-2027 est la période critique pour revoir vos architectures de paiement et vos contrats prestataires.
3. DORA — résilience opérationnelle numérique : en vigueur depuis janvier 2025, effets concrets en 2026-2027
Moins médiatisé que la DSP3, DORA (Digital Operational Resilience Act — règlement UE 2022/2554) est pourtant l'un des textes les plus structurants pour le secteur financier. Applicable depuis le 17 janvier 2025, il continue de déployer ses effets concrets tout au long de 2026 et 2027, à mesure que les établissements finalisent leur mise en conformité.
Ce que dit le texte
DORA impose à l'ensemble des entités financières — banques, assureurs, sociétés de gestion, prestataires de services de paiement, mais aussi leurs fournisseurs technologiques critiques — un cadre commun de résilience opérationnelle numérique : la capacité à résister, répondre et se remettre de tout incident informatique ou cyberattaque.
Les grandes obligations
- Gestion des risques informatiques : chaque entité doit disposer d'un cadre formalisé de gestion des risques liés aux TIC (technologies de l'information et de la communication), validé au niveau de la gouvernance.
- Déclaration des incidents : les incidents majeurs liés aux TIC doivent être notifiés aux autorités compétentes dans des délais stricts.
- Tests de résilience : les établissements significatifs sont tenus de réaliser des tests de pénétration avancés (TLPT — Threat-Led Penetration Testing) pour éprouver la robustesse de leurs systèmes.
- Encadrement des prestataires tiers : c'est probablement la disposition la plus impactante pour les entreprises clientes. Les banques et établissements financiers doivent contractualiser précisément avec leurs fournisseurs technologiques — cloud, éditeurs de logiciels, hébergeurs — et s'assurer que ceux-ci respectent les mêmes exigences de résilience.
Ce que ça signifie pour votre entreprise
DORA parle d'abord aux établissements financiers — mais ses effets remontent jusqu'à leurs clients entreprises. Concrètement : vos banques et vos prestataires de paiement vont renforcer leurs exigences contractuelles vis-à-vis de leurs propres fournisseurs technologiques. Cela peut se traduire par des révisions de contrats, des audits de sécurité supplémentaires ou des modifications des conditions de service — que vous pourrez être amenés à constater dans vos relations quotidiennes avec vos établissements financiers.
Si votre entreprise travaille elle-même dans le secteur financier ou fournit des services technologiques à des entités financières, DORA vous concerne directement : vérifiez avec votre conseil juridique et vos équipes IT si vous entrez dans son périmètre.
4. CRD VI — Banques hors UE : obligation de succursale au 11 janvier 2027
C'est la réforme qui a créé le plus de bruit sur les réseaux ces dernières semaines — souvent mal comprise. Décryptage factuel.
Ce que dit le texte
La directive CRD VI (directive UE 2024/1619, article 21c) impose qu'à compter du 11 janvier 2027, toute banque établie hors de l'Union européenne souhaitant fournir certains services bancaires à des clients résidant dans l'UE devra disposer d'une succursale agréée dans l'État membre concerné.
Les activités visées sont précisément définies :
- Recevoir des dépôts
- Octroyer des prêts
- Accorder des garanties
Les placements, comptes-titres, ETF et assurances-vie ne sont pas dans le périmètre du texte.
Les exceptions à connaître
- Clause de grand-père : les contrats bancaires conclus avant le 11 juillet 2026 restent valables et exécutoires. Un compte ouvert avant cette date n'est pas impacté.
- Sollicitation inversée : si un résident européen prend lui-même l'initiative de contacter une banque hors UE, celle-ci peut le servir sans succursale. Mais cette exception est interprétée strictement — la banque ne peut pas avoir mené d'actions marketing dans l'UE au préalable.
- Opérations intragroupe : les flux au sein d'un même groupe bancaire sont exemptés.
Ce que ça signifie pour votre entreprise
La directive parle aux banques, pas aux épargnants. Elle n'interdit rien aux résidents européens. En revanche, ses effets pratiques sont réels : les établissements bancaires hors UE de taille intermédiaire — banques cantonales suisses, néobanques étrangères, certaines banques américaines ou asiatiques — pourraient choisir de fermer les comptes de leurs clients européens plutôt que de supporter le coût d'une succursale agréée.
Si vous ou votre entreprise détenez des comptes dans des banques hors UE (Suisse, Royaume-Uni, États-Unis…), prenez contact avec votre établissement pour vous assurer que vos services actuels ne sont pas impactés.
Le point commun de ces quatre réformes : une Europe bancaire qui se referme et se sécurise
Ces quatre textes dessinent la même ambition : un espace bancaire européen plus souverain, plus sécurisé et mieux régulé. Pour les entreprises, cela se traduit par des banques plus rigoureuses dans l'octroi de crédit, des paiements mieux protégés, des systèmes d'information soumis à des exigences de résilience inédites — et un périmètre géographique qui se resserre.
Chez Trevys, nous suivons ces évolutions pour vous aider à les anticiper dans votre organisation financière et dans vos relations bancaires. Si vous avez des questions sur l'impact de ces réformes pour votre structure, prenez rendez-vous avec nos équipes.