Terminaux de paiement, matériel POS et kiosques

• Directive 2014/53/EU — Radio Equipment
• Directive 2014/35/EU — Low Voltage
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR
• Directive (EU) 2015/2366 — PSD2 for the payment service itself

Qui doit le désigner

Fabricants en dehors de l'Union plaçant des terminaux de paiement, des kiosques en libre-service ou des lecteurs de cartes sur le marché de l'UE. Les obligations matérielles incombent au fabricant ; les obligations de service de paiement incombent à l'institution de paiement, qui est une entité réglementée distincte, et les vendeurs confondent souvent les deux.

Seuils et exemptions

Aucune pour le matériel. L'autorisation PSD2 s'applique au fournisseur de services de paiement plutôt qu'au fabricant de terminaux, sauf si le vendeur gère également des fonds ou l'accès aux comptes.

Ce qui doit figurer sur l’étiquette

Marquage CE, détails du fabricant et du représentant de l'UE, modèle et numéro de série, paramètres radio en cas de sans fil, et à partir de décembre 2027, la période de support CRA et le point de contact pour les vulnérabilités.

Champs des marketplaces

Les acquéreurs et les systèmes de paiement imposent l'approbation PCI PIN Transaction Security comme condition commerciale préalable, qui est une exigence du système plutôt qu'une loi de l'UE mais est décisive en pratique : un terminal non approuvé ne peut pas être déployé, quelle que soit la marque CE.

Documents à conserver

Déclaration de conformité de l'UE, dossier technique, rapports d'essai radio et de sécurité, documentation sur la cybersécurité selon EN 18031 et, à partir de 2026, le processus de gestion des vulnérabilités CRA et le SBOM. Lorsque le vendeur exploite un cloud de gestion, l'enregistrement de l'article 30, la désignation de l'article 27 et le mécanisme de transfert.

Normes et essais

EN IEC 62368-1 pour la sécurité, les normes radio applicables, EN 55032 et EN 55035 pour l'EMC, EN 18031 pour les exigences de cybersécurité RED, et séparément l'évaluation PCI PTS pour le dispositif d'entrée de PIN.

Exigences linguistiques

Instructions et documentation à destination des commerçants dans la langue de chaque État membre de déploiement.

À partir de quand

Documentation matérielle avant la mise sur le marché. Rapport de vulnérabilité CRA à partir du 11 septembre 2026 et régime complet à partir du 11 décembre 2027, ce qui signifie que pour les terminaux avec de longs cycles de déploiement, la période de support doit être planifiée maintenant.

Durée de conservation

Dix ans pour la documentation technique, ou la période de support CRA si plus longue, ce qui pour le matériel de paiement est généralement la durée de vie complète du déploiement.

En cas de manquement

Retrait et refus douanier pour le matériel. Selon le CRA, jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires. Séparément, une vulnérabilité dans les terminaux déployés est un événement réputationnel et contractuel avec les acquéreurs qui dépasse généralement le coût réglementaire.

Qui contrôle

Autorités de surveillance du marché et régulateurs radio, CSIRTs pour le reporting CRA, autorités de protection des données lorsque des données personnelles sont traitées, et autorités compétentes nationales pour le côté des services de paiement.

Où se situe la limite

Être marqué CE et approuvé PCI ne fait pas du vendeur une institution de paiement, et inversement, détenir une licence PSD2 n'exempte pas le matériel de la conformité au produit. Les longs cycles de déploiement rendent la période de support CRA le plus difficile engagement dans cette catégorie, car les terminaux restent sur le terrain pendant une décennie.

Les questions qu’on nous pose

L'approbation PCI est-elle une exigence légale dans l'UE ?

Non, c'est une exigence du système imposée par les réseaux de cartes et les acquéreurs. Elle est commercialement décisive mais ne remplace pas le marquage CE ou les obligations CRA.

Qui signale une vulnérabilité dans les terminaux déployés ?

Le fabricant, en vertu de l'article 14 CRA à partir de septembre 2026, dans les 24 heures suivant la prise de connaissance qu'elle est exploitée.