Bakgrunn

EUs reviderte betalingstjenestedirektiv (PSD 2) definerer sikkerhetskrav som skal beskytte kundedata, slå fast brukerens identitet og redusere risikoen for svindel, såkalt sterk kundeautentisering (SKA). Etter en overgangsperiode som startet 14.september 2019, hvor aktørene i økosystemet har forberedt seg, vil krav om sterk kundeautentisering tre i kraft i EU/EØS fra 31.12.2020

Hva er SKA og hva betyr det for deg som kunde?

SKA betyr at kunden identifiserer seg ved hjelp av to av tre følgende elementer

• Noe kunden har (eksempel telefon eller nettbrett).
• Noe kunden er (eksempel ansiktsgjenkjenning eller fingeravtrykk).
• Noe kunden vet (eksempel PIN eller passord).

I Norge er ikke bruk av SKA noe nytt. De fleste av oss er godt vant med bruk av BankID signering, både i forbindelse med pålogginger til offentlige tjenester, signeringstjenester og i forbindelse med banktjenester, herunder pålogging og bekreftelse av kjøp i nettbutikker. BankID tilfredsstiller SKA kravene (telefon + PIN/passord). Når du betaler med kortet i fysisk butikk, brukes PIN kode.

Når dere kunder skal handle på nett etter nyttår, kan dere nå oftere enn før bli bedt om å signere handelen med BankID. Det betyr at også nettbutikken må tilfredsstille tekniske kravene for å gjennomføre salg med SKA. Den globale standarden som knytter bankene og brukerstedene sammen om SKA heter "3D Secure". Alle kort i Eika er innrullert i 3D Secure. Det er Nets som drifter 3D Secure løsningen for Eika. 

I de tilfellene hvor en nettbutikk eller vanlig butikk ikke oppfyller de nye kravene (det vil si deltar i 3D Secure standarden) kan betalingen bli avvist. Som banker er vi pålagt å avvise betalinger som ikke oppfyller de nye sikkerhetskravene og det er dessverre ingenting banken kan gjøre for å hjelpe de av kundene våre som ikke får betalt. 

 

Må det alltid utføres SKA?

Hovedregelen er at nettbetalinger innen Europa skal utføres med SKA.

Det vil imidlertid være noen unntak fra SKA:

• Enkeltbeløp på nett under 30 Euro og 100 Euro akkumulert er det ikke krav om SKA.
• Brukerstedsinitierte transaksjoner der hvor kunden ikke er i posisjon til å utføre SKA (eksempel gebyrer på bilutleie).
• Abonnementstjenester (eksempel Spotify) vil kun den første transaksjonen kreve SKA. De etterfølgende vil slippe SKA så lenge brukerstedet merker de riktig.
• Telefonordre. Bestillinger gjort pr telefon til salgskontor, vil være fritatt SKA.
• Kjøp som risikovurderes i sanntid innenfor visse grenser (Nets utfører dette i 3D Secure løsningen som "RBA").
• Transaksjoner i ubetjente terminaler innen transport og parkering vil være fritatt SKA etter visse definerte bransjekoder (MCC)
• «Betrodde betalingsmottakere». Kunden kan predefinere hvilke mottakere (brukersteder) som vedkommende stoler på og frita de fra SKA (mangler gode tekniske løsninger for dette pt).
• Anonyme, forhåndsbetalte kort (Verdikort).
• Enkelte løsninger for forretningskort.
• «Ett-bein-ute» transaksjoner. Kjøp hvor nettbutikken eller dennes innløser befinner seg utenfor EØS.

 

Hva med betalinger i fysisk terminal?

• Kontaktløse transaksjoner tillates uten PIN kode, men bare opp til maks 50 Euro pr enkelt kjøp og akkumulert 150 Euro. Når ett av de nivåene nås skal det bes om PIN verifisering og grensene nullstilles. Dette er allerede innført for våre kunder og fungerer godt.
• Kortbetalinger med magnetstripe eller signatur vil ikke lenger bli tilbudt innenfor EU
  
  

Hvilke konsekvenser kan innføring av SKA ha på kort og lengre sikt?

Hele verdikjeden skal innrette seg slik at SKA kan gjennomføres fra 31.12.2020. Dette har vist seg å være en veldig komplisert prosess i hele Europa, særlig på brukerstedssiden.

Man kan få en situasjon hvor brukerstedet innenfor EØS ikke har rukket å implementere en SKA løsning og likevel forsøker å avregne en transaksjon uten at SKA er utført og hvor det ikke finnes unntaksregler å anvende. Bankene vil i slike tilfeller være forpliktet til å avvise de kjøpene og be om SKA, med de negative kundeopplevelser dette medfører.

På lengre sikt forventes det at brukersteder vil tilpasse sine løsninger for å minimere muligheten for unødvendige avvisninger og tapte salg. Vi må også forvente et fall i kortmisbruk i Europa på sikt og det er en av de helt sentrale målsettingene med innføringen av PSD2 SKA regelverket.

Vi håper denne omlegging går så smertefritt som mulig for dere kunder. Ta kontakt om dere opplever problemer.