Gedelegeerde verordening 2018/389 - Aanvulling van Richtlijn 2015/2366 wat betreft technische reguleringsnormen voor sterke cliëntauthenticatie en gemeenschappelijke en veilige open communicatiestandaarden

NL

Publicatieblad van de Europese Unie

L 69/23

Elektronische betaaldiensten dienen op een beveiligde wijze te worden uitgevoerd, met gebruikmaking van technologieën die de veilige authenticatie van de gebruiker kunnen garanderen en het risico op fraude zo veel mogelijk kunnen beperken. De authenticatieprocedure dient in de regel transactiemonitoringmechanismen te bevatten, met het oog op het opsporen van pogingen om gebruik te maken van persoonlijke beveiligingsgegevens (credentials) van een betaaldienstgebruiker die verloren, gestolen of ontvreemd zijn, en dient ook te garanderen dat de betaaldienstgebruiker de rechtmatige gebruiker is en dus instemt met de overdracht van middelen en de toegang tot zijn rekeninginformatie via een normaal gebruik van persoonlijke beveiligingsgegevens. Voorts dient nadere invulling te worden gegeven aan de vereisten van de sterke cliëntauthenticatie die dienen te worden toegepast telkens als een betaler zich online toegang verschaft tot zijn betaalrekening, een elektronische betalingstransactie initieert of via een communicatiemiddel op afstand een handeling uitvoert die een risico op betalingsfraude of andere vormen van misbruik kan meebrengen, door te eisen dat een authenticatiecode wordt gegenereerd die bestand is tegen het risico dat deze wordt vervalst, hetzij volledig, hetzij door onthulling van elementen op basis waarvan de code is gegenereerd.

Aangezien fraudemethoden voortdurend veranderen, dienen de eisen inzake strenge cliëntauthenticatie ruimte te laten voor innovatie bij de technische oplossingen die een antwoord moeten bieden voor de opkomst van nieuwe bedreigingen voor de veiligheid van elektronische betalingen. Teneinde te garanderen dat de vastgestelde eisen daadwerkelijk doorlopend worden toegepast, dient ook te worden verplicht dat de beveiligingsmaatregelen voor de toepassing van strenge cliëntauthenticatie en vrijstellingen daarvan, de maatregelen om vertrouwelijkheid en integriteit van de persoonlijke beveiligingsgegevens en de maatregelen voor het vaststellen van gemeenschappelijke en veilige open communicatiestandaarden, worden gedocumenteerd, op gezette tijden getest, geëvalueerd en gecontroleerd door auditors met deskundigheid op het gebied van IT-beveiliging en betalingen en die operationeel onafhankelijk zijn. Om bevoegde autoriteiten in staat te stellen de kwaliteit van de toetsing van deze maatregelen te monitoren, dienen die toetsingen hun, op verzoek, beschikbaar te worden gesteld.

Aangezien transacties voor elektronisch betalen op afstand fraudegevoeliger zijn, dienen aanvullende voorwaarden te worden ingevoerd voor de sterke cliëntauthenticatie van dergelijke transacties, hetgeen ervoor moet zorgen dat de elementen de transactie dynamisch koppelen aan een bedrag en een door de betaler bij het initiëren van de transactie nader aangegeven betalingsbegunstigde.

Dynamische koppeling wordt mogelijk dankzij het genereren van authenticatiecodes waaraan een reeks strenge beveiligingseisen wordt gesteld. Om technologisch neutraal te blijven,...