De Europese Bankautoriteit (EBA) publiceerde in juni 2019 een : Advies over de elementen van sterke klantauthenticatie (SCA) in het kader van de herziene : Richtlijn betaaldiensten (PSD2) . Het advies bevat niet-uitputtende lijsten van de authenticatie-elementen en geeft aan of deze al dan niet SCA-conform zijn.
De technische reguleringsnormen (RTS) met betrekking tot SCA hebben een Gedelegeerde Verordening (EU) 2018/389 van de Commissie aangenomen die vanaf 14 september 2019 juridisch van toepassing zal zijn. Het lijkt er echter op dat de sector nog niet klaar is om alle wijzigingen door te voeren. De complexiteit van de betalingssector en de nieuwe spelers op de markt kunnen tot vertragingen leiden. Om negatieve gevolgen te voorkomen, zal de EBA op uitzonderlijke wijze bepaalde verlengingen van de deadline aanvaarden (bijvoorbeeld voor handelaren is het zeer waarschijnlijk dat ze niet op tijd klaar zullen zijn). De verlenging wordt alleen aanvaard als de bevoegde toezichthouder hiermee heeft ingestemd en de implementatie van het SCA-plan tijdens de verlengde periode nauwlettend opvolgt. De EBA zal de consistentie van de SCA-implementatie in de hele EU monitoren. De EBA merkt op dat hoewel : Richtsnoeren voor de beveiliging van internetbetalingen sinds 2015 van toepassing zijn, ze niet door alle lidstaten worden toegepast. Daarnaast heeft de EBA een advies gepubliceerd over de implementatie van de RTS inzake SCA, en een : Single Rulebook Q&A-tool.
Wat is een sterke klantauthenticatie (SCA)?
De SCA is de klantauthenticatie die moet worden toegepast telkens wanneer een betaler online toegang krijgt tot zijn betaalrekening, een elektronische betalingstransactie initieert of een handeling verricht via een extern kanaal. Voor de hogere beveiliging van een externe transactie moet de klantauthenticatie een dynamische koppeling creëren tussen transactie en bedrag, begunstigde en betaler. De toepassing van een SCA is gebaseerd op drie elementen: het element "kennis", "bezit" en "inherentie". De elementen zijn onafhankelijk, op een manier dat de inbreuk op één element de betrouwbaarheid van de andere niet in gevaar brengt en is zodanig ontworpen dat de vertrouwelijkheid van de authenticatiegegevens wordt beschermd.
Het EBA-advies gaf commentaar op alle drie de elementen.
Algemene opmerkingen van de Europese Bankautoriteit over SCA
Het advies van de EBA bevat ook enkele algemene opmerkingen over SCA. Een punt dat de EBA al sinds 2018 benadrukt, is dat de twee vereiste elementen voor de SCA tot verschillende categorieën moeten behoren, bijvoorbeeld één uit de kennis- en één uit de inherentiecategorie. Bovendien is de onafhankelijkheid van de elementen essentieel om de hoogst mogelijke beveiliging van de transacties te bieden. De EBA wijst ook op de mogelijkheid van een hergebruikt element voor de doeleinden van een SCA in dezelfde sessie. De deadline van 14 september nadert en het valt nog af te wachten hoe voorbereid de professionals zullen zijn en of er rekening is gehouden met de adviezen en richtsnoeren van de EBA. Het project is complex, vooral voor bedrijven die niet direct onderworpen zijn aan PSD2 en zij zullen waarschijnlijk niet klaar zijn. De verleende verlenging toont echter flexibiliteit van de kant van de EBA en de bevoegde toezichthouders.
