La France publie son plan de migration pour l’authentification forte

Dans son opinion publiée le 21 juin dernier, l’Autorité bancaire européenne (EBA) avait introduit une nouvelle souplesse dans l’application du standard technique sur l’authentification forte, initialement prévue le 14 septembre 2019, en confiant aux autorités nationales le soin de piloter une migration la plus rapide possible. Et Dirk Haubrich, head of conduct, consumers and payments à l’EBA, a rappelé, cette semaine lors du Forum de Paris Europlace, que, les règles étant claires, il n’était pas question de laisser des années aux acteurs pour se mettre en conformité et qu’une mise au point serait faite après l’été. Cette fermeté a probablement pour objet de maintenir une pression forte sur les Etats les moins avancés.

Des points d’étape tous les six mois

La France, elle, est plutôt en avance, selon François Villeroy de Galhau, le gouverneur de la Banque de France. Ce dernier a profité de la présentation du rapport de l’Observatoire de la sécurité des moyens de paiement, le 9 juillet, pour publier le plan de migration français, qui concerne les banques, les commerçants, les prestataires techniques et, in fine, les consommateurs. Car il s’agit d’ajouter un nouveau facteur d’authentification au dispositif existant fondé sur l’envoi d’un code à usage unique par SMS (OTP). «Ce qui représente un projet d’ampleur, nécessite un découpage en plusieurs étapes et un délai de mise en œuvre important», selon le rapport. Les dispositifs concernés incluent la validation des transactions dans l’application bancaire qui génère un code à usage unique, la biométrie, de plus en plus répandue sur les smartphones, ou l’envoi d’un code par SMS combiné avec un mot de passe.

Le plan de migration français consiste en l’équipement des clients en dispositifs conformes avec le RTS dès maintenant, avec une accélération sur toute l’année 2020, pour atteindre 70% de porteurs équipés à la fin 2020, et 100% à la mi-2022. L’objectif est également décliné en part des transactions en ligne authentifiées : 60% en décembre 2020, puis 90% fin 2021. Des points d’étape seront réalisés par la Banque de France tous les six mois et des vagues de communication devront être lancées par les banques et les prestataires techniques en janvier et février 2020 à destination des e-commerçants et des porteurs, puis à nouveau en septembre 2021. Des «éléments de langage» sont d’ailleurs disponibles dans le rapport de l’Observatoire de la sécurité des paiements.