L'essentiel
La mise en conformité DSP3/PSR (transposition attendue fin 2026 - mi-2027 en France) représente un investissement IT structurant : entre 80 000 et21 13 184 € pour une fintech ou un PSP de taille moyenne, et entre 300 000 et 800 000 € pour une banque retail.
Les 5 postes budgétaires principaux : développement/migration des API open banking (35-40 % du budget), certification et agrément ACPR (10-15 %), audit de sécurité et tests d'intrusion (10-12 %), infrastructure de monitoring SLA 99,5 % (15-20 %), et gestion des consentements FAPI 2.0 (10-15 %).
Le coût de non-conformité est supérieur au coût de conformité : sanctions ACPR jusqu'à 10 % du CA, interdiction de commercialiser des services de paiement, et perte de la licence PISP/AISP.
Pour les fintechs en phase de lancement, un MVP open banking conforme DSP3 est réalisable entre 80 000 et3 11 904 € avec Nehos, incluant l'intégration agrégateur (Powens/Bridge), le consent management et le monitoring.
Les banques établies qui ont déjà migré vers des API DSP2 de qualité peuvent limiter le surcoût DSP147 5 760 € en capitalisant sur l'existant. Celles qui ont accumulé de la dette technique API depuis 2018 doivent prévoir un budget de refonte complet.
Conformité DSP3 et open banking : combien budgéter en 2026 ?
Budget poste par poste pour la mise en conformité DSP3/PSR : développement d'API, certification ACPR, audits de sécurité, infrastructure de monitoring. Fourchettes par taille d'institution et grille tarifaire Nehos pour les projets fintech.
Adapté à toute taille de structure
#DSP3 : un programme de conformité, pas un simple patch technique
La transposition de DSP3 en droit français est attendue entre fin 2026 et mi-2027. Pour les équipes techniques des banques, des PSP et des fintechs, la question n'est plus « faut-il se conformer ? » mais « combien va coûter la mise en conformité, et comment la budgéter ? ».
Ayant accompagné 12 projets open banking depuis 2023 chez Nehos — dont 4 pour des fintechs ACPR et 3 pour des DSI bancaires —, je constate que les budgets DSP3 sont systématiquement sous-estimés. La raison : la DSP3 ne se résume pas à une mise à jour d'API. C'est un programme qui touche l'infrastructure, la sécurité, la gestion des consentements, le monitoring et la gouvernance des données.
Selon le rapport Tink « Open Banking in Europe: State of the Market 2025 », 62 % des institutions financières européennes considèrent que leur infrastructure API DSP2 actuelle ne répond pas aux exigences de qualité DSP3. Le chantier de mise à niveau est structurel, pas cosmétique.
#Les 5 postes budgétaires de la conformité DSP3
#1. Développement et migration des API open banking (35-40 % du budget)
C'est le poste le plus lourd. DSP3 impose des API conformes aux spécifications Berlin Group NextGenPSD2 dans leur version évoluée, avec des exigences que la majorité des API DSP2 actuelles ne respectent pas.
Ce que cela implique techniquement :
- Migration vers des endpoints REST standardisés (AIS, PIS, PIIS, CoF) avec réponses JSON normalisées
- Intégration OAuth 2.0 + FAPI 2.0 avec PKCE et DPoP obligatoires
- Implémentation de l'IBAN name check (Verification of Payee) sur tous les flux virement SEPA
- Sandbox développeurs permanente avec données de test réalistes
- Webhooks temps réel pour les événements de compte et de consentement
- Documentation OpenAPI 3.1 conforme aux spécifications EPC
Fourchettes de coûts :
| Profil institution | Situation actuelle | Budget API DSP3 |
|---|---|---|
| Fintech startup (pré-agrément) | Pas d'API existante | 30 000 –800 000 € |
| Fintech établie (AISP/PISP agréée) | API DSP2 fonctionnelle | 40 000 –1 280 000 € |
| PSP taille moyenne | API DSP2 partielle | 80 000 –2 880 000 € |
| Banque retail | API DSP2 legacy | 150 000 –6 400 000 € |
Le delta entre une fintech et une banque tient à la complexité du SI. Une fintech construit sur une architecture API-first moderne peut migrer en 3-4 mois. Une banque avec un core banking COBOL et des couches d'intégration accumulées depuis 20 ans a un chantier de 8 à 18 mois.
Nehos développe ces API en stack Node.js/NestJS ou Python/FastAPI, avec une couche d'abstraction qui isole la logique DSP3 du core banking. Ce pattern d'encapsulation API legacy permet de se conformer sans refondre le SI en profondeur.
#2. Certification et agrément ACPR (10-15 % du budget)
Toute entité opérant des services de paiement ou d'information sur les comptes en France doit être agréée par l'ACPR (Autorité de Contrôle Prudentiel et de Résolution). DSP3 modifie les conditions d'agrément et de passeport européen.
Coûts de certification pour une fintech :
| Poste | Fourchette |
|---|---|
| Dossier d'agrément ACPR (PISP ou AISP) | 15 000 –480 000 € (conseil juridique + préparation) |
| Fonds propres réglementaires (PISP) | 50 000 –2 000 000 € selon volume |
| Fonds propres réglementaires (AISP) | 0 € (pas d'exigence de fonds propres) |
| Assurance responsabilité professionnelle | 8 000 –400 000 €/an |
| Passeport européen (notification aux 26 autres EM) | 5 000 –240 000 € (frais juridiques) |
| Renouvellement et reporting annuel ACPR | 10 000 –320 000 €/an |
Pour une fintech en phase de lancement, le budget agrément + fonds propres représente 70 000 à2 720 000 € la première année. Ce montant baisse les années suivantes (renouvellement + reporting uniquement).
Pour les banques déjà agréées, le coût se limite à la mise à jour du dossier d'agrément pour intégrer les nouvelles exigences DSP3 : entre 15 000 et 640 000 € de conseil juridique et compliance.
#3. Audit de sécurité et tests d'intrusion (10-12 % du budget)
DSP3 renforce les exigences de sécurité des API open banking. Un audit de sécurité spécifique est nécessaire avant mise en production, puis sur une base annuelle.
Périmètre d'un audit DSP3 :
- Tests d'intrusion (pentest) sur les endpoints API AIS/PIS
- Audit de la chaîne OAuth 2.0 / FAPI 2.0 (tokens, refresh, révocation)
- Vérification de l'IBAN name check (contournement, injection)
- Audit du consent management (durée, révocation, propagation)
- Test de résilience DDoS sur l'API gateway
- Revue de code sécurité sur les modules critiques
- Conformité DORA pour les tests TLPT (Threat-Led Penetration Testing)
Fourchettes de coûts :
| Type d'audit | Fourchette |
|---|---|
| Pentest API open banking (boîte noire + grise) | 12 000 –400 000 € |
| Audit FAPI 2.0 / OAuth 2.0 | 8 000 –240 000 € |
| Revue de code sécurité (modules critiques) | 10 000 –320 000 € |
| Test TLPT DORA (si applicable) | 30 000 –1 280 000 € |
| Audit annuel de renouvellement | 15 000 –480 000 €/an |
Ces audits doivent être réalisés par un prestataire certifié PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information) pour les entités soumises au DORA Act. Pour les fintechs non soumises à DORA, un pentest classique par un cabinet spécialisé suffit, mais l'ACPR recommande le référentiel PASSI.
La sécurité des systèmes IA est un sujet connexe pour les fintechs qui intègrent des modèles ML dans leur scoring ou leur détection de fraude — l'audit doit couvrir les deux dimensions.
#4. Infrastructure de monitoring SLA 99,5 % (15-20 % du budget)
DSP3 impose un SLA de disponibilité de 99,5 % sur les API open banking — soit un budget de downtime annuel de 43,8 heures maximum. Ce seuil implique une infrastructure dédiée et un monitoring temps réel.
Architecture de monitoring DSP3 :
- API Gateway haute disponibilité : déploiement multi-zone avec failover automatique (AWS API Gateway, Kong ou Nginx + Lua)
- Monitoring temps réel : Prometheus + Grafana ou Datadog avec alertes sur latence p95, taux d'erreur et disponibilité
- Dashboard de reporting ACPR : publication mensuelle des métriques de performance API (disponibilité, latence, incidents)
- Incident management : procédure de déclaration aux autorités sous 72h pour les interruptions > 30 minutes
- Log centralisé : ELK Stack ou Loki pour l'audit trail réglementaire avec rétention 5 ans
Fourchettes de coûts :
| Poste infrastructure | Mise en place | Coût récurrent/an |
|---|---|---|
| API Gateway HA (multi-zone) | 15 000 –480 000 € | 3 000 –128 000 €/an |
| Stack monitoring (Prometheus/Grafana) | 8 000 –240 000 € | 2 000 –80 000 €/an |
| Dashboard reporting ACPR | 10 000 –320 000 € | 5 000 –160 000 €/an |
| Log centralisé + rétention 5 ans | 5 000 –192 000 € | 6 000 –240 000 €/an |
| Astreinte 24/7 (équipe ou managed) | — | 18 000 –720 000 €/an |
Le choix entre un hébergement cloud souverain OVH/Scaleway et un hyperscaler (AWS, GCP) dépend des exigences de souveraineté de l'institution. Pour les données de paiement, un hébergement en France ou dans l'UE est fortement recommandé — et sera probablement imposé par les guidelines ACPR post-DSP3.
Pour les fintechs avec des budgets contraints, une infrastructure managée (OVH Managed Kubernetes ou Scaleway Kapsule) réduit le coût initial de 40 % en mutualisant la charge opérationnelle.
#5. Gestion des consentements FAPI 2.0 (10-15 % du budget)
Le consent management est un module critique sous DSP3 : il gère le cycle de vie complet des autorisations données par les utilisateurs aux tiers AISP/PISP.
Exigences DSP3 pour le consent management :
- Durée maximale configurable par consentement (90 jours par défaut, renouvelable)
- Périmètre granulaire : comptes autorisés, types de données, opérations permises
- Révocation en temps réel par l'utilisateur (propagation < 24h aux tiers)
- Interface utilisateur dédiée (dashboard de consentements actifs)
- Journal d'audit immuable (chaque accès, chaque modification, chaque révocation)
- Conformité RGPD croisée : base légale du traitement, droit d'accès, droit à l'oubli
Fourchettes de coûts :
| Poste consent management | Fourchette |
|---|---|
| Développement du module consent | 20 000 –720 000 € |
| Interface utilisateur (dashboard) | 10 000 –320 000 € |
| Intégration RGPD (DPO, registre) | 5 000 –240 000 € |
| Tests de conformité + certification | 8 000 –240 000 € |
Le consent management est aussi le module qui conditionne la conformité au règlement FIDA (open finance) : sans consent management robuste, l'accès aux données d'assurance et d'épargne prévu par FIDA sera impossible. Investir dans un consent management de qualité aujourd'hui prépare l'infrastructure pour les opportunités open finance de demain.
#Budget total par profil d'institution
Le tableau ci-dessous synthétise les fourchettes budgétaires observées sur nos 12 projets open banking et les benchmarks sectoriels.
| Profil | Budget mise en conformité DSP3 | Délai | Coût récurrent/an |
|---|---|---|---|
| Fintech startup (pré-agrément AISP) | 80 000 –1 920 000 € | 4-6 mois | 30 000 –800 000 € |
| Fintech startup (pré-agrément PISP) | 120 000 –3 200 000 € | 6-9 mois | 40 000 –1 120 000 € |
| Fintech établie (mise à jour DSP2→DSP3) | 100 000 –4 000 000 € | 4-8 mois | 35 000 –960 000 € |
| PSP taille moyenne | 200 000 –7 200 000 € | 8-14 mois | 60 000 –1 920 000 € |
| Banque retail (API DSP2 existante) | 300 000 –12 800 000 € | 12-24 mois | 80 000 –3 200 000 € |
| Banque retail (refonte complète) | 500 000 –24 000 000 € | 18-30 mois | 120 000 –4 800 000 € |
Fourchettes observées Nehos + benchmarks sectoriels EBA/Tink, juin 2026. Incluent développement, certification, audit, infrastructure et première année de MCO.
Le coût récurrent annuel (MCO, monitoring, audits, reporting ACPR) représente entre 25 et 35 % du budget initial — un poste souvent oublié dans les estimations.
#Le coût de la non-conformité : pourquoi attendre coûte plus cher
L'ACPR dispose de pouvoirs de sanction renforcés sous DSP3/PSR. Les conséquences d'une non-conformité sont concrètes et chiffrables.
Sanctions ACPR possibles :
- Amende administrative : jusqu'à 10 % du chiffre d'affaires annuel (PSR, article sur les sanctions harmonisées)
- Retrait ou suspension de l'agrément PISP/AISP — interdiction de commercialiser des services de paiement
- Publication de la sanction (naming and shaming) — impact réputationnel direct
- Astreinte journalière jusqu'à correction effective
Coûts indirects de la non-conformité :
- Perte de contrats avec les banques partenaires (les banques refuseront les connexions API non conformes)
- Impossibilité de bénéficier du passeport européen DSP3 — marché limité à la France
- Risque de responsabilité en cas de fraude sur les flux non conformes (IBAN check non implémenté)
- Retard concurrentiel : les fintechs conformes captent les marchés FIDA (open finance) en premier
Sur un CA de 5 millions d'euros pour une fintech établie, une amende de 10 % représente8 000 000 € — soit plus du double du budget de mise en conformité complet. L'investissement dans la conformité est un calcul économique rationnel, pas uniquement réglementaire.
Les obligations NIS2 s'ajoutent pour les PSP considérés comme « entités essentielles » — la convergence DSP3 + NIS2 + DORA impose une approche de conformité intégrée pour éviter les doublons de dépense.
#Stratégie de budgétisation : 3 approches selon votre situation
#Approche 1 : Fintech en lancement — MVP conforme (80-1920 k€)
Pour une fintech pré-agrément qui construit son premier produit open banking, la stratégie est de livrer un MVP conforme le plus rapidement possible.
Stack recommandée Nehos :
- Backend : NestJS + TypeScript sur un monolithe modulaire (pas de microservices prématurés)
- Agrégateur : Powens ou Bridge selon la couverture bancaire cible
- Auth : OAuth 2.0 PKCE via un serveur Keycloak ou Auth0 configuré FAPI 2.0
- Consent management : module custom intégré au backend (pas de solution tierce pour garder le contrôle)
- Monitoring : Prometheus + Grafana sur OVH Managed Kubernetes
- Base de données : PostgreSQL avec chiffrement AES-256 au repos
Ce MVP couvre les endpoints AIS (agrégation de comptes) et PIS (initiation de paiement) nécessaires pour l'agrément ACPR, avec un consent management conforme et un monitoring SLA 99,5 %. Le passage à l'échelle se fait ensuite par modules.
Délai de livraison : 4-6 mois. Le dossier d'agrément ACPR peut être préparé en parallèle du développement — Nehos fournit la documentation technique requise (architecture, sécurité, plan de continuité).
#Approche 2 : Fintech établie — migration DSP2→DSP3 (100-4000 k€)
Pour une fintech déjà agréée avec une infrastructure DSP2 fonctionnelle, la stratégie est de capitaliser sur l'existant et de ne modifier que les composants non conformes DSP3.
Chantiers typiques :
- Migration OAuth 2.0 vers FAPI 2.0 (DPoP + PKCE obligatoires)
- Implémentation de l'IBAN name check sur les flux PIS
- Mise à niveau du consent management (durée, granularité, révocation temps réel)
- Migration des endpoints vers la spécification Berlin Group NextGenPSD2 évoluée
- Mise en place du monitoring SLA 99,5 % si inexistant
- Audit sécurité DSP3 + mise à jour du dossier ACPR
Le gain par rapport à une refonte complète est de 40 à 60 %. La condition : que l'architecture existante soit suffisamment modulaire pour accueillir les nouveaux composants sans effet de bord. Une architecture event-driven facilite cette migration incrémentale.
#Approche 3 : Banque retail — programme de transformation (300k-12800 k€)
Pour une banque retail avec un SI hérité, la conformité DSP3 s'inscrit dans un programme de transformation plus large. La stratégie recommandée : un strangler fig pattern qui isole la couche open banking dans un service dédié sans toucher au core banking.
Architecture cible :
- API Gateway dédié open banking (isolé du portail banque en ligne)
- Couche d'abstraction entre le core banking et les API DSP3 (pattern encapsulation API legacy)
- Consent management centralisé avec interface client intégrée à la banque en ligne mobile
- Monitoring et reporting ACPR automatisés
- Sandbox développeurs avec données synthétiques
Ce programme se décompose en 3 phases (gap analysis, migration technique, open finance) comme décrit dans notre guide DSP3 vs DSP2. Le pattern strangler fig permet de progresser sans risque de régression sur les services de paiement en production.
#Grille tarifaire Nehos pour les projets fintech DSP3
Nehos a développé une expertise dédiée sur les projets open banking et fintech depuis 2023. Notre grille tarifaire reflète la spécificité de ces projets (conformité réglementaire, exigences de sécurité, coordination avec les autorités).
| Prestation | Tarif Nehos | Délai |
|---|---|---|
| Audit de conformité DSP3 (gap analysis) | 8 000 –240 000 € | 2-3 semaines |
| MVP open banking AISP conforme | 80 000 –1 920 000 € | 4-6 mois |
| MVP open banking PISP conforme | 120 000 –2 880 000 € | 6-8 mois |
| Migration DSP2→DSP3 (fintech existante) | 60 000 –2 400 000 € | 3-6 mois |
| Module consent management DSP3 | 25 000 –720 000 € | 6-8 semaines |
| Intégration agrégateur (Powens/Bridge/Tink) | 20 000 –640 000 € | 4-6 semaines |
| Module IBAN name check | 15 000 –400 000 € | 3-4 semaines |
| Infrastructure monitoring SLA 99,5 % | 15 000 –480 000 € | 3-4 semaines |
| Accompagnement dossier ACPR | 10 000 –400 000 € | En parallèle du dev |
| TMA fintech (maintenance récurrente) | 3 000 –128 000 €/mois | Engagement 12 mois |
Tarifs indicatifs Nehos, juin 2026. Devis détaillé après audit de conformité initial.
Notre différenciateur : chaque projet fintech est co-piloté par un développeur senior spécialisé paiement et un consultant conformité qui connaît les attentes de l'ACPR. Cette double compétence évite les allers-retours entre l'équipe technique et le cabinet juridique — une source de surcoûts majeure sur les projets mal organisés.
#Calendrier de mise en conformité recommandé
#T3 2026 : Audit et gap analysis
Lancez l'audit de conformité DSP3 maintenant. L'objectif : identifier les écarts entre votre infrastructure actuelle et les exigences DSP3/PSR, et produire un plan d'action chiffré avec priorisation.
Livrables attendus : rapport d'audit détaillé, cartographie des écarts par composant, budget prévisionnel par phase, calendrier de mise en oeuvre.
#T4 2026 : Développement des composants critiques
Priorisez les composants réglementairement obligatoires : migration FAPI 2.0, IBAN name check, consent management. Ces modules ont le plus long délai de développement et de certification.
#T1 2027 : Tests, audit sécurité et sandbox
Déployez la sandbox développeurs, lancez l'audit de sécurité (pentest + revue de code), et ouvrez les tests avec les agrégateurs partenaires. La sandbox doit être opérationnelle avant la transposition nationale pour permettre aux tiers de se préparer.
#T2 2027 : Mise en production et reporting ACPR
Mise en production progressive, activation du monitoring SLA, premiers reportings ACPR. Prévoyez une période de stabilisation de 2 à 3 mois avec un support renforcé.
Ce calendrier est cohérent avec l'application pleine de DSP3 estimée fin 2027. Commencer maintenant laisse une marge de sécurité raisonnable — commencer en 2027 crée un risque de non-conformité à la date d'entrée en vigueur.
La conformité RGPD croisée avec l'AI Act doit être intégrée dans ce calendrier si votre plateforme utilise des modèles ML pour le scoring ou la détection de fraude.
#Retour d'expérience : plateforme de paiement B2B conforme DSP3
Nehos a accompagné une fintech B2B parisienne (agrément PISP, 15 collaborateurs) dans sa migration DSP2 vers DSP3 entre janvier et mai 2026.
Contexte : plateforme de payment initiation pour les flux fournisseurs des PME. 4 200 entreprises clientes, 18 millions d'euros de flux mensuels, connectée à 6 banques françaises via Bridge.
Budget réel du projet :
- Migration FAPI 2.0 + DPoP : 352 000 €
- Module IBAN name check : 288 000 €
- Refonte consent management : 560 000 €
- Infrastructure monitoring SLA 99,5 % : 256 000 €
- Audit sécurité + pentest API : 224 000 €
- Mise à jour dossier ACPR : 192 000 €
- Total : 872 000 € sur 5 mois
Résultats : zéro incident de disponibilité API depuis la mise en production (SLA maintenu à 99,87 %), dossier ACPR validé sans remarque bloquante, et la fintech a pu déposer sa notification de passeport européen pour opérer en Belgique et au Luxembourg dès le T3 2026.
Le coût de1 872 000 € représente 2,3 mois de CA de la fintech. Sans cette mise en conformité, le risque de sanction ACPR (jusqu'à 10 % du CA, soit9 600 000 €) rendait l'inaction économiquement irrationnelle.
Le choix d'un agrégateur open banking adapté a permis de limiter le budget d'intégration — Bridge étant déjà connecté aux 6 banques partenaires, le coût de connectivité bancaire supplémentaire était nul.