Wat is Richtlijn Betalingsdiensten 2? 

PSD2 is een klantgerichte regelgeving die de controle van klanten vergroot over wie toegang heeft tot en gebruik kan maken van hun financiële gegevens van externe aanbieders. Ook vereenvoudigt het betalingsprocessen met behulp van strikte beveiligingsmaatregelen. Het faciliteert een klantgericht model van financiële dienstverlening door middel van veilige en naadloze betalingsverwerking en transformeert de manier waarop we omgaan met digitale financiële diensten. 

Wat brengt PSD2 de komende 5 jaar?  

Met de introductie van PSD1 werd een nieuw, beveiligd en georganiseerd model voor betaaldiensten op de markt gebracht. Het ging in op kwesties als transparantie, manieren om klanten te beschermen en beleid ten aanzien van betaaldienstverleners. Het kon echter de snelle groei van digitale betalingen, zoals de digitalisering van betaalmethoden, de opkomst van externe dienstverleners en beveiligingsproblemen, niet bijhouden. Dit is waar PSD2 in beeld komt: het overbrugt dergelijke hiaten en bereidt de betaalsector voor op toekomstige veranderingen. Dit is hoe PSD2 zich de komende vijf jaar zal ontwikkelen: 

Sterkere wereldwijde invloed van SCA

PSD2 benadrukt wereldwijd de noodzaak van sterke klantauthenticatie (SCA). Deze regelgeving vereist veilige betaalmethoden en dynamische koppeling van transactiebedragen aan authenticatiegegevens, waardoor end-to-end beveiliging van digitale betaalprocessen wordt gegarandeerd.

Uitbreiding van Open Banking  

Omdat PSD2 open banking stimuleert door het gebruik van Application Programming Interfaces (API's) te promoten, kunnen financiële instellingen en externe betalingsdienstaanbieders (TPP's) hun verschillende systemen naadloos met elkaar verbinden.

Door API's te gebruiken, wisselen banken op een veilige manier hun specifieke gegevens of diensten, zoals rekeninggegevens, betalingsinitiaties, enz., uit aan geautoriseerde TPP's. Dit resulteert erin dat TPP's financiële diensten aan klanten aanbieden en zo open banking bevorderen.

Meer samenwerking tussen banken en TPP's 

PSD2 heft de eerdere beperkingen voor niet-banken op, waardoor externe aanbieders (TPP's) ook buiten de EU betalingsinitiatie- en rekeningtoegangsdiensten kunnen aanbieden. De richtlijn bevat mechanismen die een brug vormen tussen de oude en nieuwe systemen. 

Verbeterd kader voor grensoverschrijdende betalingen 

Met de invoering van PSD2 wordt het grensoverschrijdende betalingssysteem effectiever, omdat het de openbaarmaking van kosten, wisselkoersen in realtime en exacte tijdsbestekken voor de verwerking van de transactie vereist. Standaardisatie van betalingsverwerkingsnormen en -protocollen, in combinatie met effectieve privacy- en beveiligingscontroles, bevordert de efficiëntie van grensoverschrijdende transacties en verlaagt tegelijkertijd de kosten, wat de interne markt en het concurrentievermogen van de EU wereldwijd versterkt.  

Dergelijke ontwikkelingen vergemakkelijken effectieve en efficiënte interacties tussen financiële instellingen en TPP's binnen de EU. Deze maatregelen zullen de EU ongetwijfeld positioneren als koploper op het gebied van digitale financiële innovatie. Bovendien garanderen deze ontwikkelingen een dynamische betalingsstructuur, waardoor de impact van PSD2 wordt vergroot en een veiliger, interoperabel en gebruikersgericht betalingsveld voor financiële instellingen en TPP's ontstaat. 

Twee kerngebieden van PSD2-naleving  

De PSD2-verordening legt een sterke nadruk op twee essentiële gebieden: 

• Maak een einde aan monopolies door de concurrentie op de markt te vergroten en innovatie te stimuleren.

• Beveiliging van klantgevoelige gegevens en het mogelijk maken van veilige transacties.

Afschaffing van het monopolie

PSD2 heeft het financiële ecosysteem hervormd door eerlijke kansen te bieden en andere vormen van creativiteit te stimuleren, waardoor het monopolie van conventionele banken is verminderd. Dit is mogelijk dankzij de toevoeging van twee nieuwe gereguleerde diensten:

Betalingsinitiatiedienst (PIS)

Deze dienst maakt het mogelijk om goederen of diensten te betalen zonder een specifieke applicatie van de bank te hoeven gebruiken. Hierdoor neemt de behoefte aan conventionele betaalmethoden af ​​en worden consumenten meer mogelijkheden geboden. Dit is een aspect van open banking waarbij een Payment Initiation Service Provider (PISP) ​​een cruciale rol speelt. PIS stelt de consument in staat om te betalen via specifieke PISP's, d.w.z. eerder gevalideerde applicaties van derden die namens de gebruiker betalingen verwerken. Dit aspect zorgt voor flexibiliteit en gebruiksvriendelijke verbeteringen. 

Accountinformatiedienst (AIS)

Deze dienst stelt derde partijen, ook wel Account Information Service Providers (AISP's) genoemd, in staat om bankrekeninggegevens van verschillende banken te combineren. Dit helpt gebruikers om hun geldzaken vanaf één plek te beheren en zelfs hun uitgavenpatroon effectief bij te houden. Bovendien worden er geen kosten in rekening gebracht voor kaarttransacties, omdat de gebruiker rechtstreeks vanaf zijn bankrekening kan betalen.   

Om deze diensten beschikbaar te kunnen stellen, verplicht PSD2 banken om via API's toegang te verlenen aan een erkende externe aanbieder van betalingsdiensten. Daarmee wordt een ecosysteem gecreëerd dat niet alleen klantgericht is, maar ook monopolistische trends tegengaat.  

Het beveiligen van klantgevoelige gegevens en het mogelijk maken van veilige transacties

De brede acceptatie van digitale betaalmethoden heeft het financiële ecosysteem getransformeerd en een grote evolutie doorgemaakt. De bescherming van gevoelige klantgegevens en het behoud van de integriteit van transacties zijn echter een cruciaal punt van zorg geworden. PSD2 pakt dergelijke risico's van datalekken en fraude aan door de implementatie van Strong Customer Authentication (SCA), dat de processen voor gebruikersverificatie verbetert, en de Secure Open Standards of Communication (CSC) om overgedragen informatie te beschermen tegen toegang door onbevoegden.  

1. Sterke klantauthenticatie (SCA)

De implementatie van Strong Customer Authentication (SCA) is een belangrijke bepaling van PSD2, gericht op het verbeteren van de beveiliging van betalingstransacties en het beschermen van klantgegevens tegen ongeautoriseerde toegang. SCA vereist dat alle online dienstverleners die betalingen verwerken, zich aanmelden. multi-factor authenticatie (MFA), wat betekent dat een gebruiker zijn identiteit moet verifiëren met behulp van twee of meer van de drie verschillende authenticatiefactoren. 

• De eerste factor, Kennis , verwijst naar iets dat de gebruiker weet, zoals een wachtwoord of persoonlijk identificatienummer. Dit vormt de eerste barrière voor toegang tot de servers of andere kritieke activa.

• Tweede Bezit Verwijst naar iets dat de gebruiker bezit, zoals een mobiele telefoon of een hardwaretoken. Een gebruiker kan bijvoorbeeld een eenmalig wachtwoord (OTP) ontvangen via een sms-bericht op een mobiel apparaat of een app gebruiken om een ​​authenticatiecode aan te maken.

• De derde factor, onaantastbaarheid, is iets wat de gebruiker is, zoals biometrische patronen zoals vingerafdrukken, gezichtsstructuur of spraakherkenning. SCA dwingt biometrische verificatie af, die voor iedereen uniek is, en voegt een extra beveiligingslaag toe.

Bij elektronische banktransacties voert de gebruiker bijvoorbeeld eerst het bankwachtwoord of de pincode in, die fungeert als een 'kennisfactor', die een eenmalig wachtwoord (OTP) activeert dat naar de geregistreerde mobiele telefoon van de gebruiker wordt verzonden om de 'bezit'-status te bevestigen. Daarnaast kan de gebruiker, om extra beveiliging toe te voegen, ook worden gevraagd zich te authenticeren met behulp van 'inherentie' door middel van een vingerafdruk of gezichtsherkenning., bescherming van de gebruiker tijdens het proces van meervoudige authenticatie. 

2. Dynamische koppeling

Dynamische koppeling is een SCA-functie die door PSD2 wordt afgedwongen ter bescherming tegen transactiefraude. Dit omvat het aanmaken van een authenticatietoken dat uniek is en vooraf wordt gegenereerd voor een specifieke transactie, zoals het bedrag en de begunstigde. 

• Netto transactietokens: Elk token wordt uitgegeven voor een specifieke transactie en kan niet worden hergebruikt voor een ander bedrag of een andere ontvanger. Dit voorkomt playback-aanvallen, waarbij authenticatietokens worden hergebruikt voor onrechtmatige transacties.

• Onvervalsbaar: Elke wijziging van transactiegegevens, inclusief oude tokens of pogingen tot het uitvoeren van een transactie, leidt tot annulering van die transactie. Alleen beoogde transacties worden dus uitgevoerd, wat de algehele veiligheid verhoogt.

3. Veilige open communicatiestandaarden (CSC)

Om de interacties tussen banken en externe aanbieders (TPP's) te beschermen nadat toegang voor derden is geïntroduceerd met PSD2, zijn er ook Secure Open Communication Standards (CSC) opgesteld, die bestaan ​​uit: 

• Beveiligde toegang: API's worden door banken ontwikkeld voor TPP's en waarborgen daarbij de privacy van klantgegevens. Dit is gericht op het verbeteren van de bestaande methoden voor gegevenstoegang, zoals screen scraping, waarbij gegevens op een scherm worden gekopieerd. Met behulp van API's worden gegevens op een meer geordende en veilige manier uitgewisseld, waardoor beveiligingsrisico's worden verminderd.

• Vertrouwelijkheid en integriteit: Door middel van betrouwbare communicatie tussen de betreffende banken en TPP's wordt gewaarborgd dat overgedragen gegevens veilig blijven tegen inbreuken en dat alleen relevante personen er toegang toe hebben, zodat de integriteit ervan gewaarborgd blijft.

• Digitale certificaten: Dit type certificaat zorgt ervoor dat alleen vertrouwde personen die daartoe geautoriseerd zijn, toegang hebben tot consumenteninformatie, wat de veiligheid verbetert. Bijvoorbeeld door eIDAS-op digitale certificaten gebaseerde systemen beveiligen de identiteit van de partijen die bij transacties betrokken zijn.

Een uitgebreid overzicht van PSD1 

In 2007 werd de Europese Richtlijn Betalingsdiensten 1 (of PSD1) ingevoerd om de betalingsverwerking in de EU te harmoniseren en een gemeenschappelijke markt voor betalingen te creëren. De richtlijn werd in 2009 opgesteld en definieerde regels voor betalingsdiensten en legaliseerde de infrastructuur van bankbetalingen in Europa met de toepassing van de Single Euro Payments Area (SEPA). Deze infrastructuur, aangestuurd door internationale bankrekeningnummers en ondersteund door automatische incasso's, maakte betalingen over de Europese grenzen heen effectief. De richtlijn opende de markt voor nieuwe aanbieders van betalingsdiensten en faciliteerde grensoverschrijdende transacties voor bedrijven in de EU. 

Het doel

De richtlijn beoogt alle vormen van betaling, elektronisch of niet, in de Europese Economische Ruimte (EER), bestaande uit de EU, IJsland, Noorwegen en Liechtenstein, te bestrijken. De richtlijn komt de Europese economie wereldwijd ten goede door de lidstaten te integreren in één economie met snellere betalingen binnen de regio, meer transparantie voor consumenten en sterkere rechten met betrekking tot terugbetalingen. Door betalingsdiensten wettelijk te kaderen, bereikt PSD1 een nog hoger niveau van naleving van de acceptatie van bepaalde standaarden door alle betalingsdienstaanbieders en verbetert het de betrouwbaarheid en veiligheid van transacties in heel Europa. 

Waarom is PSD1 geëvolueerd naar PSD2?

Digitale ontwikkelingen in betaalmechanismen waren voor de Europese Commissie aanleiding om eind 2013 de Richtlijn Betaaldiensten te actualiseren. Zo werd in 2014 een richtlijn voorgesteld om de bestaande wetteksten aan te vullen met bepalingen voor voortdurende consumentenbescherming, verbeterde beveiliging en de ontwikkeling van een opener en concurrerender betaalmarkt. Deze richtlijn stond bekend als PSD2, die in 2015 werd goedgekeurd en op 13 januari 2018 werd aangenomen. 

Wat zijn de belangrijkste wijzigingen tussen PSD2 en PSD1?

Veranderen	Beschrijving
Verbeterde beveiligingen voor online transacties	PSD2 verbetert de beveiliging door middel van multi-factor-authenticatie (MFA), waardoor het aantal gevallen van online betalingsfraude afneemt.
Toegang tot accounts (XS2A)	Voordat een TPP toegang krijgt tot gegevens van een klantrekening, wordt van de banken verwacht dat ze de klant beschermen en zich voorbereiden op het systeem.
Verbod op toeslagen voor betalingen	Er worden geen extra kosten in rekening gebracht voor kaartbetalingen, wat de eerlijkheid bevordert en de klanttevredenheid vergroot.
Ondersteuning voor e-betalingsbepalingen	Er wordt een toelichting gegeven over de uitvoeringstermijnen en de kosten die in rekening worden gebracht voor betalingen voor internationale transacties door dienstverleners buiten de EU.
Verbeterde consumentenrechten	Betere bescherming van de rechten van gebruikers om hun informatie te beheren die in handen is van derden.
Strengere regelgeving voor TPP's	Strengere regels om te voorkomen dat ongeautoriseerde partijen de markt voor digitale betalingen betreden, waardoor het vertrouwen van de consument toeneemt.
Open Banking-vereisten voor banken	Banken zijn verplicht om TPP's toegang te geven tot hun systeem-API's.
Transparantie in tarieven en kosten	Moedigt gebruikers aan om deel te nemen aan besluitvormingsactiviteiten die betrekking hebben op de diensten van betalingsaanbieders.
Technische regelgevende normen (RTS)	Om de beveiliging te verbeteren, zijn beveiligingsmaatregelen zoals Strong Customer Authentication (SCA), inclusief biometrie en OTP's, geïntroduceerd.
Aansprakelijkheidsbepalingen	Verduidelijkt de verantwoordelijkheden die samenhangen met ongeautoriseerde transacties en minimaliseert de risico's bij tijdige rapportage.
Verbeterde grensoverschrijdende transacties	Voor grensoverschrijdende betalingen binnen de EU geldt één uniforme regelgeving.

Waar is PSD2 van toepassing en wie moet eraan voldoen?  

PSD2 is van toepassing in alle EU-lidstaten en geldt voor financiële instellingen, betalingsdienstaanbieders en alle andere partijen die betrokken zijn bij dergelijke betalingssystemen.  

Hoewel de verordening zich primair richt op consumenten in de EU-regio, vallen ook alle betalingsdienstaanbieders, banken of financiële instellingen buiten de Europese Unie die klanten in de Europese Unie hebben of diensten verlenen aan particulieren in de Europese Unie onder de bepalingen van de PSD2-verordening.  

Wie moet hieraan voldoen?

Naleving van PSD2 is vereist voor verschillende entiteiten binnen de financiële sector. 

• Banken, met inbegrip van zowel traditionele banken die betalingsdiensten of rekeningen aanbieden op de Europese markt en Fintech en neobanken, die technologie- of digitale banken zijn, evenals andere niet-toetredende instellingen die betalings- of rekeningtoegangsdiensten in de regio aanbieden, moeten zich aan de regelgeving houden.

• Externe providersevenals buitenlandse aanbieders van betalingsdienstenzijn entiteiten die buiten de EU zijn opgericht en betalingsdiensten aanbieden aan EU-burgers of, in sommige gevallen, aan inwoners, en die ook aan de regelgeving moeten voldoen.

Voorwaarden 

1. Implementeer sterke klantauthenticatie (SCA)

Een van de essentiële vereisten van de herziene Richtlijn Betalingsdiensten (PSD2) is dat banken sterke klantauthenticatie (SCA) moeten implementeren voor toegang op afstand tot klantrekeningen en voor online betalingen als beveiligingsmaatregel via tweefactorauthenticatie. Daarom zijn twee van de drie factoren van toepassing: iets wat ze weten (wachtwoord), iets wat ze hebben (smartphone of token), of iets wat ze zijn (biometrie zoals vingerafdrukken of gezichtsherkenning).  

2. Veiligheid

Beveiliging wordt voornamelijk bereikt via API's waarvan de identiteit wordt geverifieerd via PSD2-nalevingscertificaten. Deze SSL/TLS-certificaten Versleutel gevoelige gegevens en authenticeer banken en externe betalingsdienstaanbieders (PSP's) voor betrouwbare handelstransacties op websites. Deze aanpak voor verbeterde transactiebeveiliging is gebaseerd op een proces genaamd Strong Customer Authentication (SCA), een nieuwe vereiste die specifieke technische standaarden introduceert, zoals PSD2-conforme certificaten, en Multi-Factor Authentication (MFA) vereist. 

3. Digitale certificaten

De Regulatory Technical Standards (RTS) definiëren de twee belangrijkste vereisten voor het gebruik van digitale certificaten. Deze zijn als volgt: 

 i) Voor de identificatie van betalingsdienstaanbieders: Artikel 34 De RTS stelt dat Payment Service Providers (PSP's) zich moeten identificeren bij de API van de financiële instelling. Daarom vereist RTS het gebruik van een Qualified Website Authentication Certificate (QWAC) of Qualified Electronic Seal Certificate (QSealC) bij het raadplegen van de rekeninggegevens van een klant.  

ii) Voor het toepassen van veilige encryptie tussen alle communicerende partijen: Artikel 35 De RTS stelt dat alle communicerende partijen, zoals PSP's, financiële instellingen, enz., gecodeerd moeten worden met behulp van "sterke en algemeen erkende coderingstechnieken". 

De Regulatory Technical Standards (RTS) voor Strong Customer Authentication (SCA) en Common and Secure Open Standards of Communication (CSC) specificeren twee typen digitale certificaten voor financiële instellingen en TPP's voor veilige communicatie om te voldoen aan PSD2. Deze zijn als volgt: 

• Gekwalificeerd website-authenticatiecertificaat (QWAC)

Deze worden gebruikt om gegevens in peer-to-peercommunicatie te beschermen en eindpunten te identificeren, zoals banken en externe providers (TPP's). Dit betekent dat alle gegevens die via het kanaal worden verzonden, beschermd zijn op het gebied van authenticatie, integriteit en vertrouwelijkheid. 

Deze typen certificaten maken gebruik van SSL/TLS-protocollen die zijn gedefinieerd in IETF RFC 5246 of IETF RFC 8446 om de sessies te versleutelen en de gegevens tijdens de overdracht te beschermen. 

• Gekwalificeerd certificaat voor elektronische zegels (QSealC)

Deze worden gebruikt om elektronische zegels te creëren voor de bescherming van gegevens of documenten met behulp van standaarden zoals ETSI's PAdES, CAdES of XAdES en claimen hun oorsprong bij een rechtspersoon. Ze bieden bescherming aan specifieke blokken data in rust en data in transit, d.w.z. van begin tot eind, zelfs als deze via een tussenpersoon worden doorgegeven.

Deze certificaten zorgen voor authenticatie en vertrouwelijkheid. 

PSP-certificeringsproces

Stap 1:De PSP moet zich registreren bij de desbetreffende bevoegde nationale autoriteit.    

Stap 2: De PSP zal nu een Qualified Trust Service Provider (QTSP) aanvragen om gebruik te maken van een gekwalificeerd certificaat.  

Stap 3: De QTSP maakt gebruik van het openbare register dat is opgesteld door de nationale bevoegde autoriteit om de PSP te valideren en verstrekt vervolgens de QWAC en/of QSealC aan de PSP.  

Stap 4: Zodra de PSP het gekwalificeerde certificaat heeft behaald, kan deze de API('s) van de financiële instelling gebruiken. Deze API('s) geven toegang tot klantgegevens en betalingsnetwerken. Hierbij spelen QWAC's en QSealC's een rol, omdat ze worden gebruikt om de PSP's te identificeren en de communicatie tussen de partijen te versleutelen.  

Stap 5: Wanneer een klant nu zijn gegevens wil inzien, worden deze gegevens veilig van de financiële instelling via de PSP naar de eindklant verzonden. 

4. Verbod op toeslagen

Volgens PSD2 is het bedrijven zoals luchtvaartmaatschappijen en evenementenorganisatoren verboden om extra kosten in rekening te brengen die aan de transactie worden toegevoegd, ook wel toeslagen genoemd. Dit impliceert dat PSD2 een verbod op toeslagen voor ticketverkoop, maaltijden en reizen heeft vastgelegd. 

5. Het heridentificatieproces voor het resetten van inloggegevens

Heridentificatie vindt plaats tijdens het resetten van de inloggegevens. Banken dienen klanten die een sleutelelement vergeten of kwijtraken vervolgens te vragen een heridentificatie te ondergaan voordat ze elektronische betalingen en transacties toestaan. Zichzelf heridentificeren betekent dat de klant zich bij zijn bank moet heridentificeren via het Strong Customer Identity Verification (SCeID)-proces om zijn identiteit te verifiëren. 

PSD2-vrijstellingen begrijpen 

PSD2 bevat verschillende uitzonderingen, waarvan de meeste betrekking hebben op het te betalen bedrag:  

• Terugkerende betalingen of transacties onder de 30 euro kunnen worden vrijgesteld.

• Transacties met een hoge waarde kunnen ook worden vrijgesteld als de bank met succes kan aantonen dat de transactie onder een bepaald risiconiveau ligt door middel van een risicoanalyse, zoals:

– 100 euro voor fraudepercentages onder 0.13%.

– 250 euro voor fraudepercentages onder 0.06%.

-500 euro bij fraudepercentages onder 0.01%.

De voordelen van PSD2   

Voor eindgebruikers	Voor betalingsdienstaanbieders
Verbeterd betalingsmechanisme.	Betere klantenbinding.
Verbeterde transactiebeveiliging.	Nieuwe inkomstenbronnen via aanvraagkosten van derden.
Zorgt voor een betere beveiliging van de bankgegevens van klanten.	Verbeterde cross-functionaliteit en gebruikerservaring.
Veelzijdige betalingsmogelijkheden.	Verbeterde marktconcurrentie.

Concrete gevolgen van PSD2 voor consumenten en bedrijven 

1. Verbeterde beveiliging

PSD2 biedt consumenten talloze voordelen, waarvan de verhoogde veiligheid de belangrijkste is. Dit houdt onder andere in dat consumenten hun identiteit via twee of meer factoren moeten bewijzen bij online betalingen, dankzij het nieuwe beleid voor sterke klantauthenticatie (SCA).  

Wanneer consumenten bijvoorbeeld een aankoop doen via internet, wordt van hen verwacht dat ze hun wachtwoord invoeren, wat de kennisfactor is. Vervolgens ontvangen ze een OTP (Read One Time Passcode). Vervolgens bevestigen de consumenten hun identiteit met behulp van vingerafdrukherkenning. Al deze lagen zijn gelaagd om de transactie te beveiligen en fraude te verminderen.  

2. Uitbreiding van betaalmethoden

Een ander voordeel van PSD 2 is de toename van betaalmethoden. Deze informatie stelt externe betaaldiensten in staat om het betaalverzoek via Payment Initiation Services (PISP's) naar de bank van de klant te sturen. Zo kan een online betaling worden gedaan vanaf een bankrekening, een betaalmethode die verschilt van de gebruikelijke kaartbetaling.  

PSD2 stelt consumenten in staat om toegang te krijgen tot informatie over hun financiën met behulp van rekeninginformatiediensten die door verschillende aanbieders worden verzameld. Zo kunnen mensen hun financiële gegevens van verschillende banken direct via een app bekijken, wat hen een duidelijk beeld geeft van hun financiën en hen helpt weloverwogen financiële beslissingen te nemen. Deze mate van transparantie en controle stelt consumenten in staat om eenvoudig hun financiële gezondheid te bewaken.   

3. Meer vertrouwen in bedrijven

Het toegenomen vertrouwen onder klanten is een van de belangrijkste voordelen die PSD2 bedrijven biedt. Door zich te houden aan beveiligings- en veiligheidsmaatregelen, tonen bedrijven aan dat ze de gevoelige gegevens en transacties van hun klanten beschermen, wat het vertrouwen van de klant vergroot. Een online retailer die SCA gebruikt, verzekert bijvoorbeeld dat de betalingsgegevens van zijn klanten veilig zijn en verhoogt de mate van zekerheid.  

Het is niet alleen onderhevig aan toenemende concurrentie en innovatie, maar omvat ook de betrokkenheid van externe aanbieders, met toestemming van de klant, om toegang te verlenen tot klantgegevens. Dit maakt nieuwe diensten en producten mogelijk die door bedrijven worden ontwikkeld. Zo ontwikkelde een fintechbedrijf een budgetteringstool die gekoppeld is aan de bankrekening van een klant en die gepersonaliseerd advies geeft op basis van transacties binnen de historie van de klant, iets wat vóór PSD2 niet mogelijk was.   

4. Efficiënte bedrijfsvoering

Operationele efficiëntie wordt gerealiseerd via API-ondersteunde, beveiligde communicatie tussen banken en derde partijen. Een bedrijf dat de API van een bank integreert voor directe betalingen, kan daardoor de verwerkingstijd van betalingen verkorten en zijn klanten een soepelere ervaring bieden. 

Sleuteluitdagingen  

1. Voor bedrijven

Bedrijven krijgen te maken met veel uitdagingen wanneer ze PSD2 implementeren en tegelijkertijd hun concurrentievoordeel willen behouden.  

• Hoge kosten voor naleving van regelgeving

  Voldoen aan PSD2 kan kostbaar zijn, omdat bedrijven die zich eraan houden, het upgraden en beveiligen van datasystemen veel resources kosten, vooral voor kleinere organisaties. Traditionele banken moeten concurreren met flexibele fintechbedrijven. Anders zullen ze klanten verliezen.

• Integratie van systemen

  Omdat organisaties diensten van derden installeren zonder de huidige bedrijfsvoering te verstoren, is er altijd een risico op ernstige beveiligingsinbreuken. Bedrijven moeten zich daarom richten op de beveiliging van klantgegevens en ervoor zorgen dat externe leveranciers voldoen aan de strengste beveiligingsmaatregelen.

• Consumentenvoorlichting

  De redenen voor de extra authenticatiestappen en de nieuwe financiële applicaties die ze mogelijk gebruiken, moeten duidelijk aan klanten worden uitgelegd. Ook moeten ze adequaat worden ondersteund in plaats van geïntroduceerd in deze omgeving, om deze betrouwbaarder te maken met betrekking tot PSD2.

2. Veiligheidsuitdagingen

PSD2 heeft als doel innovatie te bevorderen en betalingsdiensten in heel Europa te verbeteren. Het vereenvoudigt echter wel het bank- en betalingsverkeer, maar brengt ook diverse beveiligingsuitdagingen met zich mee.  

• Risico's van cyberaanvallen

  PSD2 heeft externe aanbieders toegang gegeven tot bank-API's en rekeninggegevens van klanten met toestemming van de gebruiker. Dit is een aanzienlijke impuls voor innovatie, maar het trekt ook meer aandacht van cybercriminelen naar deze accounts. Dit komt doordat er meerdere punten worden gecreëerd waardoor een aanvaller er slechts één kan misbruiken om toegang te krijgen tot zeer gevoelige financiële gegevens en een inbreuk te veroorzaken.

  Dit komt doordat de richtlijn met name de nadruk legt op samenwerking tussen banken en externe partijen, wat resulteert in de uitwisseling van veel data. Hoe gevoeliger betalings- en persoonsgegevens er over meerdere partijen worden verdeeld, hoe groter het risico op misbruik door één partij. Dit leidt tot datalekken en fouten door onzorgvuldig gebruik van inconsistente beveiligingsmaatregelen.

• Complexe transactiebewaking

  Transactiemonitoring is vereist om een ​​kader voor de bestrijding van witwassen (AML) te creëren. Dit wordt echter complexer met PSD2, omdat financiële gegevens hierdoor over meerdere belanghebbenden verspreid zijn. Deze gefragmenteerde gegevens maken het lastiger om overal naleving te garanderen, waardoor er mazen in het systeem ontstaan ​​die fraude kunnen veroorzaken, omdat het steeds moeilijker wordt om verdachte transacties te traceren en te voldoen aan de regelgeving voor alle betrokken partijen.

Daarom is er een duidelijke behoefte aan krachtige maatregelen, zoals sterke gebruikersauthenticatie, gegevensversleuteling en continue monitoring, om de beveiligingsuitdagingen van PSD2 en open banking aan te pakken. 

Conclusie   

De Richtlijn Betalingsdiensten (PSD2) introduceert een revolutie in het Europese financiële dienstverleningslandschap. Het introduceert aspecten als veiligheid, concurrentie en klantrechten, waardoor consumenten de uiteindelijke belanghebbenden worden wat betreft hun gegevens. De meeste veranderingen zullen worden doorgevoerd binnen bestaande entiteiten, zoals banken en fintechbedrijven, en in algemene processen, zoals consumentengedrag. Dit zal bijdragen aan een veiligere en betere financiële dienstverlening aan consumenten.