Cinq places, un seul passeport
Le passeport européen désigne le mécanisme par lequel un agrément délivré par une seule autorité nationale autorise son titulaire à exercer dans tout l'Espace économique européen. Deux directives en fixent le cadre pour les paiements, la DSP2 créant le statut d'établissement de paiement et la DME2 celui d'établissement de monnaie électronique. Une seule autorité nationale instruit la demande, délivre l'agrément et surveille ensuite l'établissement. Le titre obtenu couvre les deux modes d'exercice, le libre établissement et la libre prestation de services. Le demandeur retient donc l'autorité de son choix. Ce choix commande le délai d'obtention, le coût annuel de la conformité et le niveau de présence exigé sur place, ainsi que la réputation que l'établissement portera devant ses banques correspondantes.
Cinq juridictions absorbent l'essentiel des candidatures non nationales : le Luxembourg, l'Irlande, Malte, la Lituanie et les Pays-Bas. Aucune n'a gagné sa place par une souplesse prudentielle affichée : chacune s'est constituée un avantage propre. La Lituanie offre un rail public de règlement ouvert aux établissements non bancaires. L'Irlande apporte une langue de travail, le Luxembourg une antériorité bancaire, les Pays-Bas une proximité avec les schemes. Ces avantages ne sont pas interchangeables. Un émetteur de monnaie électronique paneuropéen et un acquéreur de marketplace n'y ont pas le même intérêt.
| Place | Autorité | Volumétrie de licences | Délai constaté | Ce qui l'a fabriquée |
|---|---|---|---|---|
| Luxembourg | CSSF | 15 établissements de paiement et 11 établissements de monnaie électronique au 31/12/2024 | Non publié par établissement | Antériorité bancaire, place de fonds, sièges européens de groupes américains |
| Lituanie | Lietuvos bankas | 119 établissements agréés fin 2024, dont 76 de monnaie électronique | Non publié par établissement | CENTROlink : accès direct au SEPA sans banque sponsor depuis 2016 |
| Irlande | Central Bank of Ireland | 6 agréments accordés en 2024, pour 3 demandes reçues | 688 jours calendaires en moyenne en 2024 | Langue anglaise, euro, sièges européens post-Brexit |
| Malte | MFSA | 2,7 % des 2 380 entités agréées en 2024, soit une soixantaine d'établissements financiers | Non publié par secteur | Cadre unique du Financial Institutions Act, spécialisation jeux en ligne et forex |
| Pays-Bas | De Nederlandsche Bank | Modèle dominant : la licence bancaire complète plutôt que l'agrément EME | Non publié par établissement | Adyen, iDEAL, equensWorldline : le pays où les rails sont |
Le Luxembourg : peu de licences, beaucoup de volume
Le secteur luxembourgeois des paiements hors banques réunit les établissements de paiement et les établissements de monnaie électronique agréés par la Commission de surveillance du secteur financier, la CSSF. Au 31 décembre 2024, la CSSF supervisait 15 établissements de paiement et 11 établissements de monnaie électronique, soit vingt-six entités contre 119 en Lituanie fin 2024. Le premier chiffre est stable depuis 2023. Le second progresse d'une unité, après deux inscriptions et une radiation pour faillite. Ces vingt-six établissements ont traité environ 348 milliards d'euros de transactions en 2024, en hausse de 18 %. Leur bilan cumulé atteint 12,6 milliards d'euros, en hausse de 11 %. Ils emploient 869 personnes au Luxembourg, branches comprises.
Un même établissement peut être agréé pour plusieurs des services énumérés à l'annexe de la loi du 10 novembre 2009. La répartition de ces agréments entre les établissements décrit le métier réel de la place. Sur les vingt-six établissements, quinze sont agréés pour l'acquisition d'opérations de paiement et seize pour l'exécution d'opérations, six pratiquant la transmission de fonds et onze émettant de la monnaie électronique. Deux seulement portent un agrément d'initiation de paiement, et un seul un agrément d'information sur les comptes. La place n'a donc pas capté les deux services d'open banking créés par la DSP2. Elle s'est développée sur l'acquisition et sur l'émission de monnaie électronique, deux métiers dont l'activité se mesure en volumes de transactions.
| Service (annexe de la loi du 10 novembre 2009) | Établissements |
|---|---|
| Exécution d'opérations de paiement, y compris transferts de fonds | 16 |
| Acquisition d'opérations de paiement | 15 |
| Émission, distribution et remboursement de monnaie électronique | 11 |
| Émission d'instruments de paiement | 7 |
| Transmission de fonds | 6 |
| Exécution d'opérations couvertes par une ligne de crédit | 3 |
| Service d'initiation de paiement | 2 |
| Retrait d'espèces sur un compte de paiement | 1 |
| Service d'information sur les comptes | 1 |
| Versement d'espèces sur un compte de paiement | 0 |
Quatre noms situent ce que portent ces vingt-six agréments. Payconiq International S.A. est un établissement de paiement luxembourgeois, inscrit au registre CSSF sous le numéro Z00000005. Elle est la première entité du pays à avoir obtenu une licence d'initiation de paiement. Le groupe EPI l'a rachetée en 2023 et migre son parc vers Wero. Amazon Payments Europe S.C.A., Satispay Europe S.A. (registre W00000010) et Mangopay S.A. comptent parmi les établissements de monnaie électronique agréés par la CSSF. Le Luxembourg abrite peu d'entités, mais celles qu'il abrite servent des marchés entiers.
La CSSF : la loi de 2009, puis la circulaire 26/906
Le texte de base est la loi du 10 novembre 2009 relative aux services de paiement, qui transpose la DSP2 et la DME2. Nul ne peut fournir de services de paiement ni émettre de monnaie électronique depuis le Luxembourg sans un agrément écrit de la CSSF. Le dossier se dépose par voie électronique, via le canal Managed File Transfer du régulateur, et doit comprendre un plan d'affaires détaillé et des schémas de circulation des fonds et des données. Il doit aussi identifier tous les partenaires (agents, intermédiaires, tiers) et la nature de chaque relation contractuelle.
Le régime de gouvernance de ces établissements a changé de nature le 20 janvier 2026, avec la publication de la circulaire CSSF 26/906, « Administration centrale, gouvernance interne et gestion des risques ». Elle vise les établissements de paiement, les établissements de monnaie électronique et les prestataires d'information sur les comptes. Elle abroge quatre textes anciens : les circulaires IML 95/120, IML 96/126, IML 98/143 et CSSF 04/155. Les établissements devaient s'y conformer au 30 juin 2026.
- Deux dirigeants agréés au minimum, présents en permanence sur le site luxembourgeois, le télétravail n'étant admis qu'à titre d'exception.
- Un organe de surveillance réuni au moins trimestriellement, sans majorité de membres exécutifs, et présidé par une personne qui n'exerce aucune fonction exécutive.
- Trois lignes de défense : conformité, gestion des risques et audit interne, indépendantes les unes des autres.
- Interdiction d'externaliser les fonctions de conformité et de gestion des risques.
- Une attestation annuelle de conformité à la circulaire, signée par tous les membres de l'organe de direction, transmise à la CSSF.
- Une évaluation annuelle des risques informatiques et de sécurité, complétée par des rapports de synthèse des fonctions conformité et audit interne.
La substance : ce que les régulateurs vérifient vraiment
La substance désigne l'ensemble des moyens humains et décisionnels qu'un établissement agréé maintient effectivement dans son pays d'agrément. C'est le point qui fait échouer les dossiers. Les autorités l'examinent au-delà de l'adresse du siège et de l'effectif déclaré, en cherchant où les décisions sont réellement prises. La Central Bank of Ireland la formule par l'expression « heart and mind », le cœur et l'esprit de l'établissement devant se trouver en Irlande. Elle exige une équipe de direction et un conseil comportant des administrateurs indépendants basés dans le pays, la quasi-totalité des cadres dirigeants devant y être installée à demeure. La CSSF poursuit le même objectif par sa notion d'administration centrale, dont la circulaire 26/906 détaille désormais le contenu.
Le test le plus discriminant porte sur les comptes de cantonnement. Ces comptes reçoivent les fonds de la clientèle, tenus séparés des fonds propres de l'établissement. Le régulateur irlandais exige que l'autorité d'approbation des mouvements sur ces comptes réside dans l'entité irlandaise, non dans une autre société du groupe ni chez un prestataire. Le contrôle porte sur l'identité des personnes habilitées à ordonner seules une sortie de fonds, et sur le pays depuis lequel elles signent. Un dispositif où cette habilitation revient à un siège extra-européen ne satisfait pas l'exigence.
Le délai médian d'agrément dans l'EEE s'établit à 9,5 mois selon cette même revue, la cause principale de retard étant le dépôt de dossiers incomplets. Cette médiane masque des écarts considérables. La Central Bank of Ireland vise 90 jours ouvrables d'évaluation dans 90 % des cas, la lettre finale suivant sous dix jours ouvrés. Son délai moyen constaté en 2024 est pourtant de 688 jours calendaires, en hausse de 74 jours sur un an. Les deux chiffres mesurent des durées différentes. Les 90 jours ouvrables comptent le temps d'évaluation de l'autorité, qui se suspend à chaque demande d'information complémentaire. Le délai moyen constaté couvre le temps calendaire total, délais de réponse du candidat compris.
Le passeportage : la mécanique de l'article 28, puis ses limites
Le passeportage désigne la procédure par laquelle un établissement agréé étend son activité à un autre État de l'Espace économique européen, sous le régime de l'article 28 de la DSP2. L'établissement notifie son autorité d'origine, qui dispose d'un mois pour transmettre le dossier à l'autorité du pays d'accueil. Celle-ci apprécie l'opération, en particulier sous l'angle du blanchiment et du financement du terrorisme. L'autorité d'origine décide dans les trois mois de la réception du dossier complet. L'activité ne peut démarrer qu'après l'inscription de l'agent ou de la succursale au registre prévu à l'article 14.
Deux régimes coexistent. La libre prestation de services autorise à servir un marché depuis le pays d'agrément, sans présence sur place. La liberté d'établissement couvre la succursale, l'agent et, pour les seuls établissements de monnaie électronique, le distributeur. Le second régime déclenche des obligations de reporting envers le pays d'accueil et, au-delà d'un certain poids, la désignation d'un point de contact central. La distinction tient à la présence effective dans le pays d'accueil. L'installation d'un commercial salarié sur place et la vente conduite vers ce même pays depuis Vilnius ne relèvent pas du même régime.
| Domaine | Couvert par le passeport | Reste à obtenir localement |
|---|---|---|
| Droit d'exercer | Oui, dans les 30 États de l'EEE après notification | Rien, mais chaque pays et chaque service se notifient séparément |
| Lutte anti-blanchiment | Non : la surveillance relève du pays d'accueil pour les agents et succursales | Procédures conformes au droit local, point de contact central au-delà d'un seuil |
| Protection du consommateur et droit du contrat | Non | Conditions générales conformes au droit du pays d'accueil, langue locale, médiation compétente |
| Accès aux schemes cartes | Non | Licence acquéreur ou émetteur auprès de chaque réseau, avec ses exigences propres |
| Accès aux rails de règlement | Non | Participation directe ou indirecte : CENTROlink, TIPS via une banque centrale, ou banque sponsor |
| Acceptation de l'IBAN par les tiers | Juridiquement oui, article 9 du règlement (UE) n° 260/2012 | En pratique, un travail de recette permanent auprès des créanciers et des employeurs |
| Garantie des dépôts | Non applicable : les fonds cantonnés d'un établissement de paiement ne sont pas des dépôts | Une information client explicite sur l'absence de garantie et sur ce que le cantonnement couvre réellement |
Une limite plus lourde tient au périmètre de la garantie des dépôts, que la directive 2014/49/UE réserve aux dépôts détenus auprès d'établissements de crédit. Les fonds confiés à un établissement de paiement ou de monnaie électronique sont cantonnés, sans être couverts par cette garantie. Le cantonnement protège contre la faillite de l'établissement, non contre celle de la banque dépositaire ni contre le gel des comptes pendant une liquidation. Une trésorerie d'exploitation laissée sur un compte de monnaie électronique reste donc exposée à ces deux risques.
Lituanie, Irlande, Malte, Pays-Bas : quatre stratégies distinctes
La Lituanie compte la plus forte densité de licences d'Europe, avec 119 établissements agréés fin 2024 : 76 de monnaie électronique, 43 de paiement. Le secteur a dégagé 622 millions d'euros de revenus d'activité agréée en 2024, en progression de 25 %. Il servait 2,2 millions de clients actifs, en hausse de 30 %. La concentration des revenus y est forte. Les dix premiers établissements captent près de 386 millions d'euros, soit plus de 60 % des revenus, les 109 autres établissements se partageant le reste.
Le profil irlandais est celui d'un faible flux de candidatures, instruites avec un niveau d'exigence élevé sur la substance. La Central Bank of Ireland a reçu trois demandes d'agrément en 2024, et en a accordé six, au même niveau qu'en 2023. Le 9 avril 2024, elle a publié un document d'attentes, Expectations for Authorisation of Payment and Electronic Money Institutions, dont l'objet déclaré est de réduire la proportion de dossiers déposés trop tôt. Sa lettre au secteur du 20 janvier 2023 avait imposé à chaque établissement un audit externe du cantonnement. Opinion de l'auditeur et réponse du conseil étaient à remettre avant le 31 juillet 2023.
Malte occupe une position de niche dans le marché européen des agréments. Le régulateur supervisait 2 380 entités agréées en 2024, tous secteurs confondus, contre 2 304 un an plus tôt. Les établissements financiers au sens du Financial Institutions Act en représentent 2,7 %. Deux mesures situent la charge de supervision. Sur les 64 candidatures de responsables de la lutte anti-blanchiment reçues en 2024, 32 concernaient des établissements financiers, soit la moitié pour 2,7 % des entités agréées. La MFSA a consacré une revue thématique de l'année à leur conformité aux règles de passeportage.
Quand l'agrément est retiré : le précédent PayrNet
Le retrait d'agrément est la décision par laquelle l'autorité d'origine met fin au droit d'exercer d'un établissement, et donc à son passeport européen. UAB PAYRNET, établissement de monnaie électronique lituanien, distribuait des comptes et des cartes en marque blanche à des dizaines de fintechs européennes. Lietuvos bankas lui a retiré sa licence le 22 juin 2023, retenant des violations graves, systématiques et répétées des lois lituaniennes sur la monnaie électronique, sur les paiements et sur le blanchiment. Les programmes distribués par les fintechs clientes reposaient tous sur cette seule licence. Le jour où une licence tombe, les programmes distribués sous son couvert tombent avec elle.
- Exiger la lecture des comptes annuels du titulaire de licence, en particulier les flux intragroupe : c'est un règlement de charges d'autres sociétés du groupe qui a précipité l'insolvabilité de PAYRNET.
- Vérifier où sont les fonds cantonnés : nom de la banque dépositaire, pays, mécanisme de ségrégation, fréquence de rapprochement, et qui approuve les mouvements.
- Négocier une clause de portabilité dès le contrat de distribution : accès aux données clients, coopération à la migration, préavis, et sort des soldes en cas de retrait d'agrément.
- Maintenir un second titulaire de licence en veille, contractualisé et techniquement intégré, même sans volume. La bascule ne s'improvise pas en quinze jours.
- Suivre les décisions du superviseur d'origine, publiques et datées : restriction d'activité et nomination d'un représentant temporaire précèdent en général le retrait de plusieurs mois.
La comparaison entre les deux montages porte sur la répartition du risque et du contrôle. Un établissement titulaire de sa propre licence supporte directement le risque réglementaire et conserve la maîtrise de son activité. Celui qui distribue sous licence d'un tiers évite le coût de l'agrément et accepte en contrepartie une dépendance à une entité extérieure. L'arbitrage dépend du volume traité, de la marge dégagée et de l'horizon d'activité. Ces trois grandeurs varient dans le temps. Un montage retenu à un moment donné peut donc cesser de correspondre à la situation de l'entreprise, faute d'un réexamen périodique.
Choisir sa juridiction : la grille de décision
Le coût d'une licence de paiement réunit un capital réglementaire, les frais d'instruction du dossier et des charges annuelles de fonctionnement. Les comparatifs commerciaux retiennent surtout le premier terme. Un établissement de paiement doit réunir 20 000, 50 000 ou 125 000 euros selon les services, un établissement de monnaie électronique 350 000 euros. Ces montants ne pèsent presque rien dans le coût total. Les postes déterminants sont le nombre de dirigeants à installer sur place, la durée pendant laquelle la structure est financée sans revenu, et l'accès au rail de règlement.
| Situation du projet | Place à examiner en premier | Le point à vérifier avant de décider |
|---|---|---|
| Émetteur de monnaie électronique paneuropéen, comptes et cartes, sans banque sponsor | Lituanie | La dépendance à un raccordement unique : une suspension de participation à CENTROlink arrête l'activité |
| Filiale européenne d'un groupe anglophone, gouvernance de groupe forte | Irlande | Le délai : 688 jours de moyenne en 2024, et une exigence de substance qui interdit de piloter depuis le siège |
| Acquisition et émission de monnaie électronique à gros volume, adossées à une place bancaire | Luxembourg | La circulaire 26/906 : deux dirigeants agréés en permanence sur place, conformité et risques non externalisables |
| Verticale spécialisée que d'autres régulateurs n'instruisent pas | Malte | La perception de la place par les banques correspondantes et les schemes, qui conditionne l'accès réel |
| Acquisition de grands marchands, accès direct aux schemes et aux méthodes locales | Pays-Bas | L'écart entre agrément de monnaie électronique et licence bancaire, en coût comme en capacités |
| Simple agrégation de comptes, sans détention de fonds | Le pays où sont les clients | Le régime d'enregistrement AISP suffit : inutile de payer une licence complète pour un service qui ne touche pas les fonds |
- Établir d'abord si le projet détient des fonds. Sans détention, l'enregistrement AISP suffit ; avec détention, tout le reste découle.
- Chiffrer la substance avant le capital. Deux dirigeants agréés, une conformité et une gestion des risques internalisées, un audit interne : c'est un budget annuel récurrent, pas un coût d'entrée.
- Vérifier l'accès au règlement. Participation directe, banque sponsor, ou accès à un rail public : sans réponse ferme, l'agrément ne produit aucun revenu.
- Tester l'accueil bancaire de la place. Ouvrir un compte de cantonnement et obtenir une relation de correspondant sont des épreuves distinctes de l'agrément, et parfois plus longues.
- Cartographier les pays d'accueil dès l'instruction. Chaque pays, chaque service et chaque agent se notifient séparément, avec un mois de transmission et trois mois de décision.
- Prévoir la sortie. Le plan de liquidation ordonnée est demandé au dossier ; il sera lu le jour où il servira.
Une réforme en cours d'adoption modifie ce cadre. Le Parlement européen et le Conseil sont parvenus à un accord politique provisoire sur le paquet DSP3 / règlement sur les services de paiement le 27 novembre 2025. Les textes de compromis ont été endossés par le Coreper le 22 avril 2026. Le changement structurel est connu, l'établissement de monnaie électronique cessant d'être un statut autonome pour devenir une sous-catégorie d'établissement de paiement. Les entités concernées devront être ré-autorisées. Cette ré-autorisation sera instruite par l'autorité du pays d'agrément, celle-là même qu'un candidat retient en 2026.