Hola,
en el caso de las transferencias, no solamente se trata de una identificación. Además del código temporal de un solo uso enviado, el mensaje puede contener -según el nivel de riesgo- datos sobre la operación que se va a realizar, importe, destino... En principio, respondería a la implementación del conjunto de normas y recomendaciones existentes actualmente.
Ahora bien, que el dispositivo a usar sea concretamente el móvil y mediante SMS lo ha decidido el banco, según las recomendaciones que haya querido aplicar. Dudo que la ley imponga esa fórmula (puede que la mencione como ejemplo, sin más).
La verdad, a mí tampoco me gusta del todo, pero raro será poder decidir usar otro método en una entidad que lo tenga ya establecido; quizá existan algunas que usen distintas técnicas, no sé... A ver si alguien comenta algo.
Suerte!