CELEX: 
Language: sv
Date: 2017-11-27 00:00:00
Title: KOMMISSIONENS DELEGERADE FÖRORDNING (EU) …/… om komplettering av Europaparlamentets och rådets direktiv 2015/2366 vad gäller tekniska tillsynsstandarder för sträng kundautentisering och gemensamma och säkra öppna kommunikationsstandarder

MOTIVERING
            
            
               1.BAKGRUND TILL DEN DELEGERADE AKTEN
            
            
               Enligt artikel 98.4 i direktiv 2015/2366 har kommissionen befogenhet att, efter det att Europeiska bankmyndigheten (EBA) har överlämnat ett förslag till standarder och i enlighet med artiklarna 10–14 i förordning (EU) nr 1093/2010, anta delegerade akter som specificerar kraven på sträng kundautentisering, undantag från tillämpning av sådan kundautentisering samt kraven på gemensamma och säkra öppna kommunikationsstandarder.
            
            
               I enlighet med artikel 10.1 i förordning (EU) nr 1093/2010 om inrättande av EBA ska kommissionen inom tre månader från mottagandet förslaget till standarder besluta om det ska godkännas. Kommissionen kan även, om det ligger i unionens intresse, godkänna bara en del av de föreslagna standarderna, eller godkänna dem med ändringar. Den ska då följa det särskilda förfarande som anges i dessa artiklar.
            
            
               2.SAMRÅD SOM FÖREGÅTT ANTAGANDET AV AKTEN
            
            
               EBA har i enlighet med artikel 10.1 tredje stycket i förordning (EU) nr 1093/2010 genomfört ett offentligt samråd om det förslag till tekniska tillsynsstandarder som överlämnats till kommissionen i enlighet med artikel 98.4 i direktiv (EU) 2015/2366. Ett samrådsdokument offentliggjordes på EBA:s webbplats den 12 augusti 2016 och samrådet avslutades den 12 oktober 2016. EBA begärde också ett rådgivande yttrande om förslaget, från den bankintressentgrupp som inrättats i enlighet med artikel 37 i förordning (EU) nr 1093/2010. EBA har tillsammans med förslaget till tekniska standarder överlämnat en redogörelse för hur resultatet av detta samråd har beaktats vid utarbetandet av det slutliga förslag till tekniska standarder som överlämnats till kommissionen.
            
            
               EBA har tillsammans med förslaget till tekniska standarder och i enlighet med artikel 10.1 tredje stycket i förordning (EU) nr 1093/2010, överlämnat en konsekvensbedömning och analys av de kostnader och fördelar som är förbundna med det förslag till tekniska standarder som har överlämnats till kommissionen. Analysen är tillgänglig på 
               
                  https://www.eba.europa.eu/documents/10180/1761863/Final+draft+RTS+on+SCA+and+CSC+under+PSD2+%28EBA-RTS-2017-02%29.pdf
               
               (ej översatt till svenska), sidorna 40–44 i det slutliga paketet med förslag till tekniska standarder.
            
            
               3.DEN DELEGERADE AKTENS RÄTTSLIGA ASPEKTER
            
            
               Dessa tekniska tillsynsstandarder (nedan kallade standarderna) specificerar kraven i artikel 98 i direktiv (EU) nr 2015/2366 (nedan kallat andra betaltjänstdirektivet) gällande sträng kundautentisering, undantagen från tillämpning av sträng kundautentisering, krav som säkerhetsåtgärder i måste uppfylla för att skydda betaltjänstanvändarnas personliga säkerhetsbehörighetsuppgifters konfidentialitet och integritet, samt kraven på gemensamma och säkra öppna standarder för kommunikation mellan kontoförvaltande betaltjänstleverantörer, leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster, betalare, betalningsmottagare och andra betaltjänstleverantörer.
            
            
               Standarderna tar hänsyn till de olika målen med andra betaltjänstdirektivet, bl.a. att öka säkerheten, främjakonkurrens, säkerställa teknik- och affärsmodellneutralitet, främja integration på EU:s betaltjänstmarknad, skydda konsumenterna, främja av innovation och bekvämligheten för kunder. 
            
            
               Standarderna är teknik- och affärsmodellneutrala. De innehåller ett antal undantag, bland annat två för distansbetalningar där ett gäller transaktionsriskanalys och det andra små betalningar (under 30 euro). Standarderna innehåller även undantag för kontantlösa betalningar. Med tanke på att det undantag som baseras på en transaktionsriskanalys utgår från på förhand fastställda bedrägerifrekvenser som fastställts som referens är det lämpligt att betaltjänstleverantörens mekanism eller mekanismer för bedrägeriövervakning granskas av lagstadgade revisorer så att en opartisk bedömning av uppgifternas riktighet kan säkerställas. De faktiska bedrägerifrekvenserna bör inte bara rapporteras till de behöriga myndigheterna. För att säkerställa en effektiv tillämpning av undantagen bör den även rapporteras direkt till EBA så att myndigheten kan företa en granskning av de bedrägerifrekvenser som fastställs som referens i standarderna inom 18 månader efter tillsynsstandardernas ikraftträdande. 
            
            
               Kommissionen har lagt till ytterligare ett undantag från sträng kundautentisering i EBA:s förslag som omfattar elektroniska betalningstransaktioner som genomförs genom särskilda betalningsprocesser eller betalningsprotokoll som normalt används av företag och där säkerheten tryggas genom andra åtgärder än autentisering av en enskild person. Detta undantag förutsätter att de behöriga myndigheterna anser att dessa betalningsmetoder uppfyller den höga säkerhetsnivå för betalningar som eftersträvas i andra betaltjänstdirektivet.  
            
            
               Det ligger i sakens natur att betalningar som görs via anonyma betalningsinstrument inte kan omfattas av kravet på sträng kundautentisering. Om anonymiteten i denna typ av instrument hävs på avtalsmässiga eller rättsliga grunder ska betalningarna naturligtvis omfattas av de säkerhetskrav som följer av andra betaltjänstdirektivet och dessa tekniska tillsynsstandarder.  
            
            
               Genom standarderna fastställs också krav för kommunikationen mellan kontoförvaltande betaltjänstleverantörer, leverantörer av kontoinformationstjänster och leverantörer av betalningsinitieringstjänster, bland annat en skyldighet för kontoförvaltande betaltjänstleverantörer att erbjuda leverantörer av kontoinformationstjänster och leverantörer av betalningsinitieringstjänster minst ett gränssnitt för tillgång till betalkontoinformation. När det gäller kommunikationen mellan dessa leverantörer ska därmed rådande bruk av det som på branschspråkkallas ”webbskrapning” (screen scraping) eller – felaktigt – ”direkt tillgång”, som är ett sätt för tredjeparter att anonymt få tillgång, inte längre vara tillåtet efter utgången av den övergångsperiod som avses i artikel 115.4 i andra betaltjänstdirektivet, dvs. då standarderna börjar gälla. I standarderna fastställs dock krav på att de kontoförvaltande betaltjänstleverantörerna ska utveckla och upprätthålla ett kommunikationsgränssnitt som gör det möjligt för leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument att få tillgång till de uppgifter som de behöver för att följa andra betaltjänstdirektivet. I enlighet med andra betaltjänstdirektivets tillämpningsområde gäller standarderna endast betalkonton, och omfattar således inte tillgång till andra konton än betalkonton, som faller under medlemsstaternas behörighet. 
            
            
               Om den kontoförvaltande betaltjänstleverantören väljer att använda ett för tjänsten särskilt utformat gränssnitt (nedan kallat särskilt gränssnitt), föreskriver standarderna att leverantören ska fastställa transparenta resultatindikatorer och servicenivåmål för gränssnittet. Dessa måste åtminstone vara lika strikta som de som fastställts för de gränssnitt som används av de kontoförvaltande betaltjänstleverantörernas betaltjänstanvändare. Dessutom ska den kontoförvaltande betaltjänstleverantören publicera uppgifterna en gång i kvartalet. 
            
            
               För att garantera att åtkomstproblem eller brister i det särskilda gränssnittet inte ska hindra leverantörer av betalningsinitieringstjänster och leverantörer av kontoinformationstjänster från att erbjuda användarna sina tjänster, samtidigt som användargränssnittet ska fungerar utan problem och göra det möjligt för kontoförvaltande betaltjänstleverantörer att erbjuda sina egna tjänster, har kommissionen ändrat EBA:s förslag till tekniska tillsynsstandarder genom att införa en beredskapsåtgärd i form av en reservmekanism som gör att användargränssnittet kan användas som en säker kommunikationskanal för leverantörer av betalningsinitieringstjänster och kontoinformationstjänster. Om denna beredskapsåtgärd används ska de relevanta bestämmelserna i andra betaltjänstdirektivet (artiklarna 65–67) gälla för tillämpas på leverantörer av betalningsinitieringstjänster och kontoinformationstjänster, inbegripet identifierings- och autentiseringsförfaranden. Användningen av den måste på begäran fullt ut dokumenteras och rapporteras till berörda leverantörers myndigheter. 
            
            
            
               EBA avvisade i sitt yttrande kommissionens ändringsförslag om reservmekanismen med hänvisning till två huvudargument. Det första gällde kostnaden för reservmekanismen som enligt ändringsförslaget skulle bäras av de kontoförvaltande betaltjänstleverantörerna, utöver kostnaderna för välfungerande särskilda gränssnitt. Det andra argumentet som EBA framförde var att kravet på en reservmekanism riskerar att minska incitamenten att utveckla standardiserade särskilda gränssnitt eftersom en reservmekanism i sig skulle vara tillräcklig för att de kontoförvaltande betaltjänstleverantörerna skulle uppfylla kraven i andra betaltjänstdirektivet.
            
            
               Kommissionen såg mot bakgrund av EBA:s yttrande över sitt ändringsförslag av standarden och behöll reservmekanismen som en allmän princip, men föreslog att nationella behöriga myndigheter ska få befogenheter att undanta banker från kravet att tillhandahålla en sådan mekanism, förutsatt att stränga villkor uppfylls. Därmed säkerställer man att de särskilda gränssnitten verkligen öppnar upp marknaden för betaltjänster. Särskilda gränssnitt ska därför testas av de betaltjänstleverantörer som ska använda dem, och även stresstestas och övervakas av behöriga myndigheter. Om dessa särskilda gränssnitt visar sig bristfälliga under testperioden eller inte klarar stresstesterna ska betaltjänstleverantörerna ha möjlighet att använda den beredskapsmekanism som föreskrivs i standarderna. 
            
         
         
            
               Kommissionen har infört en bestämmelse som ska säkerställa driftskontinuitet på betaltjänstmarknaden om ett särskilt gränssnitt har undantagits från säkerhetsmekanismen, baserat på kundgränssnittet, men inte längre uppfyller kraven för ett sådant undantag, eller om en kontoförvaltande betaltjänstleverantörer inte erbjuder något gränssnitt som uppfyller kraven i andra betaltjänstdirektivet eller i standarderna. I en sådan situation ska behöriga myndigheter garantera att leverantörer av betalningsinitieringstjänster och leverantörer av kontoinformationstjänster varken blockeras eller hindras från att tillhandahålla sina tjänster. 
            
            
                 
            
            
               KOMMISSIONENS DELEGERADE FÖRORDNING (EU) …/…
            
            
               av den XXX
            
            
               om komplettering av Europaparlamentets och rådets direktiv 2015/2366 vad gäller tekniska tillsynsstandarder för sträng kundautentisering och gemensamma och säkra öppna kommunikationsstandarder
            
            
               (Text av betydelse för EES)
            
            
               EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING
            
            
               med beaktande av fördraget om Europeiska unionens funktionssätt,
            
            
               med beaktande av Europaparlamentets och rådets direktiv (EU) 2015/2366 av den 25 november 2015 om betaltjänster på den inre marknaden, om ändring av direktiven 2002/65/EG, 2009/110/EG och 2013/36/EU samt förordning (EU) nr 1093/2010 och om upphävande av direktiv 2007/64/EG, särskilt artikel 98.4 andra stycket
                  1
               , och
            
            
               av följande skäl:
            
            
               (1)Betaltjänster som tillhandahålls elektroniskt bör utföras på ett säkert sätt, med hjälp av teknik som kan garantera säker autentisering av användaren och i största möjliga utsträckning minska risken för bedrägeri. För att upptäcka försök att använda betaltjänstanvändarnas personliga säkerhetsbehörighetsuppgifter då dessa förlorats, stulits eller missbrukats bör autentiseringsförfarandet som allmän regel innehålla mekanismer för transaktionsövervakning som även säkerställer att betaltjänstanvändaren är den rättmätige användaren och därför godkänner överföring av medel och tillgång till dennes kontoinformation genom normal användning av personliga säkerhetsbehörighetsuppgifter. Det är vidare är det nödvändigt att specificera kraven för den stränga kundautentisering som bör tillämpas varje gång en betalare loggar in på sitt konto online, initierar en elektronisk betalningstransaktion eller genomför någon åtgärd på distans som kan innebära en risk för betalningsbedrägeri eller andra missbruk, genom att kräva att en autentiseringskod genereras som inte bör kunna förfalskas, vare sig i sin helhet eller genom att någon av de komponenter utifrån vilka den genererades blir känd. 
            
            
               (2)Eftersom bedrägerimetoderna ständigt förändras bör den stränga kundautentiseringen kunna anpassas till tekniska innovationer som syftar till att möta framväxande säkerhetshot i fråga om elektroniska betalningar. För att säkerställa att de krav som föreskrivs verkligen tillämpas på stadigvarande basis är det även lämpligt att kräva att säkerhetsåtgärderna för tillämpning av sträng kundautentisering och undantag från sådan kundautentisering, åtgärderna för att skydda de personliga säkerhetsbehörighetsuppgifternas konfidentialitet och integritet, samt åtgärderna för att fastställa gemensamma och säkra öppna kommunikationsstandarder dokumenteras, regelbundet testas, utvärderas och revideras av operativt oberoende revisorer med expertis inom IT-säkerhet och betalningar. För att ge behöriga myndigheter möjlighet att övervaka kvaliteten på granskningar av dessa åtgärder bör de på begäran få tillgång till sådana granskningar.
            
            
               (3)Eftersom bedrägeririsken är större för elektroniska betalningstransaktioner på distans är det nödvändigt att införa ytterligare krav på sträng kundautentisering för sådana transaktioner som säkerställer att elementen dynamiskt kopplar transaktionen till det belopp och den betalningsmottagare som betalaren angav då transaktionen initierats. 
            
            
               (4)Dynamiska kopplingar är möjliga genom generering av autentiseringskoder som omfattas av stränga säkerhetskrav. Tekniskneutralitet bör säkerställas genom att det inte ska krävas någon särskild teknik för införandet av autentiseringskoder. Autentiseringskoder bör därför bygga på lösningar såsom generering och validering av engångslösenord, digitala signaturer eller annan kryptografiskt baserad validering genom nycklar eller kryptografiskt material som lagras i autentiseringselementen, så länge säkerhetskraven uppfylls. 
            
            
               (5)Det är nödvändigt att fastställa särskilda krav för situationer där det slutliga beloppet inte är känd när betalaren initierar en elektronisk betalningstransaktion på distans för att säkerställa att den stränga kundautentiseringen respekterar det högsta belopp som betalaren har godkänt i enlighet meddirektiv (EU) 2015/2366.
            
            
               (6)För att säkerställa att den stränga kundautentiseringen tillämpas är det också nödvändigt att föreskriva tillräckliga säkerhetsegenskaper hos de element i den stränga kundautentiseringen som kategoriseras som kunskap (något som endast användaren vet), t.ex. längd eller komplexitet, för de element som kategoriseras som innehav (något som bara användaren har), t.ex. algoritmspecifikationer, nyckellängd och entropi, och hos utrustning och programvara som läser element som kategoriseras som unik egenskap (något som användaren är), t.ex. algoritmspecifikationer, skydd för biometriska sensorer och mallar, i synnerhet för att minska risken att dessa element lämnas ut till eller röjs används av icke auktoriserade parter. Det är också nödvändigt att fastställa krav som säkerställer dessa elements oberoende, så att en överträdelse i fråga om ett element inte äventyrar den anordning med flera funktioner, såsom en tablett eller mobiltelefon som kan användas både för att ge betalningsinstruktioner och i autentiseringsförfarandet.
            
            
               (7)Kraven på sträng kundautentisering gäller betalningar som initieras av betalaren, oavsett om denne är en fysisk eller juridisk person.
            
            
               (8)Det ligger i sakens natur att betalningar som görs via anonyma betalningsinstrument inte kan omfattas av kravet på sträng kundautentisering.  Om anonymiteten i denna typ av instrument hävs på avtalsmässiga eller rättsliga grunder ska betalningarna omfattas av de säkerhetskrav som följer av direktiv (EU) 2015/2366 och dessa tekniska tillsynsstandarder.
            
            
               (9)I enlighet med direktiv (EU) 2015/2366 fastställs undantag från principen om sträng kundautentisering baserat på betalningstransaktionens risknivå, belopp, huruvida den upprepas samt den betalningskanal som används vid utförandet av betalningstransaktionen.
            
            
               (10)Åtgärder som innebär tillgång till ett betalkontos saldo och senaste transaktioner utan att känsliga betalningsuppgifter lämnas ut, återkommande betalningar till samma betalningsmottagare som i ett tidigare skede skapats och bekräftats av betalaren genom sträng kundautentisering samt betalningar till och från samma fysiska eller juridiska person vars konton finns hos samma betaltjänstleverantör, utgör en låg risk och betaltjänstleverantörerna behöver därför inte tillämpa sträng kundautentisering i dessa fall. Trots denna låga risk bör leverantörer av betalningsinitieringstjänster, betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument och leverantörer av kontoinformationstjänster, i enlighet med artiklarna 65, 66 och 67 i direktiv (EU) 2015/2366, från den kontoförvaltande betaltjänstleverantören endast begära de uppgifter som är nödvändiga för tillhandahållandet av en viss betaltjänst med betaltjänstanvändarens godkännande. Godkännande kan  ges för varje enskild begäran om uppgifter eller för varje betalning som ska initieras eller, för leverantörer av kontoinformationstjänster, som ett mandat för specifika betalkonton och tillhörande betalningstransaktioner i enlighet med vad som avtalats med betaltjänstanvändaren.
            
         
         
            
               (11)Undantag för små kontaktfria betalningar vid försäljningsställen– där hänsyn även tas till ett maximalt antal på varandra följande transaktioner eller ett särskilt fastställt högsta värde för på varandra följande transaktioner men där sträng kundautentisering inte tillämpas – främjar utvecklingen av användarvänliga betaltjänster som kännetecknas av låg risk och bör därför föreskrivas. Det är vidare lämpligt att föreskriva undantag för elektroniska betalningstransaktioner som initieras genom obemannade terminaler, där sträng kundautentisering av operativa inte alltid är lätt att tillämpa (t.ex. för att undvika köer och potentiella olyckor vid vägtullstationer eller andra säkerhetsrisker). 
            
            
               (12)I likhet med undantaget för små kontaktfria betalningar vid försäljningsställen måste en lämplig avvägning göras mellan å ena sidan ökad säkerhet för distansbetalningar och användarvänlighet och å andra sidan tillgänglighet inom e-handeln. I linje med dessa principer bör försiktiga tröskelvärden fastställas under vilka sträng kundautentisering undantas, så att endast onlineköp till låga belopp omfattas. Särskilt försiktiga tröskelvärden bör fastsällas för onlineköp fastställs med tanke på att personen som genomför köpet inte är fysiskt närvarande vid köpet, vilket medför en något högre säkerhetsrisk.
            
            
               (13)Kraven på sträng kundautentisering gäller betalningar som initieras av betalaren, oavsett om denne är en fysisk eller juridisk person. Många företagsbetalningar initieras genom särskilda processer eller protokoll som garanterar den höga säkerhetsnivå som direktiv (EU) 2015/2366 syftar till att uppnå genom sträng kundautentisering. Om de behöriga myndigheterna slår fast att dessa betalningsprocesser och betalningsprotokoll, som endast är tillgängliga för betalare som inte är konsumenter, uppfyller målen med direktiv (EU) 2015/2366 i fråga om säkerhet, kan betaltjänstleverantörer, när det gäller dessa processer eller protokoll, undantas från kraven på sträng kundautentisering.
            
            
               (14)Om en transaktionsriskanalys i realtid klassificerar en betalningstransaktion som en lågrisktransaktion är det också lämpligt att införa ett undantag för de betaltjänstleverantörer som inte avser att tillämpa sträng kundautentisering genom att göra det möjligt för dessa att i stället anta effektiva och riskbaserade krav som säkerställer att betaltjänstanvändarens medel och personuppgifter är säkra. Dessa riskbaserade krav bör bygga på en kombination av dels resultatet av riskanalysen, som bekräftar att inga betalnings- eller beteendemönster som avviker från betalarens normala beteende har konstaterats, och ta hänsyn till andra riskfaktorer, inbegripet uppgifter om var betalaren och betalningsmottagaren befinner sig, dels monetära tröskelvärden utifrån bedrägerifrekvenser som beräknats för distansbetalningar. Om en betalning på grundval av transaktionsriskanalys i realtid inte kan anses utgöra en lågrisktransaktion bör betaltjänstleverantören tillämpa sträng kundautentisering. Det maximala värdet för ett sådant riskbaserat undantag bör fastställas på ett sätt som säkerställer en mycket låg motsvarande bedrägerifrekvens, även i jämförelse med bedrägerifrekvenserna för alla betaltjänstleverantörens betalningstransaktioner, inbegripet de som autentiserats genom sträng kundautentisering, under en viss period och på löpande basis. 
            
            
               (15)För att säkerställa en effektiv tillämpning bör betaltjänstleverantörer som vill utnyttja undantagen från sträng kundautentisering regelbundet övervaka och, på begäran av behöriga myndigheter eller Europeiska bankmyndigheten (EBA), för varje typ av betalningstransaktion informera om värdet av bedrägliga eller icke auktoriserade betalningstransaktioner och de observerade bedrägerifrekvenserna för alla sina betalningstransaktioner till dessa myndigheter, oavsett om de varit föremål för sträng kundautentisering eller genomförts enligt ett relevant undantag. 
            
            
               (16)Insamlingen av dessa nya historiska uppgifter om bedrägerifrekvensen för elektroniska betalningstransaktioner kommer också att bidra till EBA:s faktiska granskning av tröskelvärden för ett undantag från sträng kundautentisering som baseras en transaktionsriskanalys i realtid. EBA bör se över och, vid behov, lämna förslag till kommissionen på uppdateringar av dessa tekniska tillsynsstandarder i form av förslag till nya tröskelvärden och tillhörande bedrägerifrekvenser, i syfte att öka säkerheten för elektroniska betalningar på distans, i enlighet med artikel 98.5 i direktiv (EU) 2015/2366 och artikel 10 i Europaparlamentets och rådets förordning (EU) nr 1093/2010
                  2
               .
            
            
               (17)Betaltjänstleverantörer som utnyttjar något av dessa undantag bör alltid kunna välja att tillämpa sträng kundautentisering för de åtgärder och betalningstransaktioner som avses i dessa bestämmelser. 
            
            
               (18)De åtgärder som skyddar konfidentialiteten och integriteten hos personliga säkerhetsbehörighetsuppgifter samt hos autentiseringsutrustning och programvara bör begränsa risken för bedrägerier i form av icke auktoriserad eller bedräglig användning av betalningsinstrument och icke auktoriserad tillgång till betalkonton. Det är därför nödvändigt att införa krav på säkert upprättande och leverans av personliga säkerhetsbehörighetsuppgifter och på deras betaltjänstanvändare, och att fastställa villkor för förnyelse och avaktivering av dessa uppgifter. 
            
            
               (19)För att säkerställa effektiv och säker kommunikation mellan relevanta aktörer i fråga om kontoinformationstjänster, betalningsinitieringstjänster och bekräftelse av att medel finns på kontot, är det nödvändigt att specificera kraven för gemensamma och säkra öppna kommunikationsstandarder, som ska efterlevas av alla relevanta betaltjänstleverantörer. Direktiv (EU) 2015/2366 föreskriver att leverantörer av kontoinformationstjänster ska ha  tillgång till och använda betalkontoinformation. Denna förordning ändrar därför inte reglerna för tillgång till andra konton än betalkonton.
            
            
               (20)Varje kontoförvaltande betaltjänstleverantör som har betalkonton som finns tillgängliga online bör erbjuda minst ett inloggningsgränssnitt som möjliggör säker kommunikation med leverantörerna av kontoinformationstjänster, leverantörerna av betalningsinitieringstjänster och betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument. Gränssnittet bör göra det möjligt för leverantörer av kontoinformationstjänster, leverantörer av betalningsinitieringstjänster och betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument att identifiera sig för den kontoförvaltande betaltjänstleverantören. Det bör också göra att leverantörer av kontoinformationstjänster och leverantörer av betalningsinitieringstjänster kan förlita sig på de autentiseringsförfaranden som den kontoförvaltande betaltjänstleverantören tillhandahåller betaltjänstanvändaren.  För att säkerställa teknik- och affärsmodellneutralitet bör de kontoförvaltande betaltjänstleverantörerna kunna välja om de vill erbjuda ett gränssnitt som är avsett för kommunikation med leverantörer av kontoinformationstjänster, leverantörer av betalningsinitieringstjänster och betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument eller om denna kommunikation ska tillåtas med hjälp av gränssnittet för identifiering och kommunikation med de kontoförvaltande betaltjänstleverantörernas betatjänstanvändare.
            
            
               (21)För att göra det möjligt för leverantörer av kontoinformationstjänster, leverantörer av betalningsinitieringstjänster och betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument att utveckla tekniska lösningar bör gränssnittets tekniska specifikation vara korrekt dokumenterad och allmänt tillgänglig. Vidare bör de kontoförvaltande betaltjänstleverantörerna erbjuda betaltjänstleverantörerna möjlighet att testa tekniska lösningar under minst sex månader före dagen för tillämpning av dessa tillsynsstandarder eller, om lanseringen sker efter det att dessa standarder har börjat tillämpas, före dagen då gränssnittet lanseras på marknaden. För att säkerställa driftskompatibilitet mellan olika tekniska kommunikationslösningar bör gränssnittet använda standarder som tagits fram av internationella eller europeiska standardiseringsorganisationer. 
            
            
               (22)Kvaliteten på de tjänster som tillhandahålls av leverantörer av kontoinformationstjänster och leverantörer av betalningsinitieringstjänster kommer att vara beroende av att de gränssnitt som de kontoförvaltande betaltjänstleverantörerna inför eller anpassar fungerar korrekt. Därför är det viktigt att åtgärder vidtas för att garantera driftskontinuitet för användarna av dessa tjänster om gränssnitten inte uppfyller kraven i dessa standarder. Det är de nationella behöriga myndigheternas ansvar att säkerställa att leverantörer av kontoinformationstjänster och leverantörer av kontoinformationstjänster inte blockeras eller hindras när de tillhandahåller tjänster.   
            
            
               (23)Om tillgång till betalkonton erbjuds genom ett särskilt gränssnitt  är det – för att säkerställa betaltjänstanvändarnas rätt att använda sig av leverantörer av betalningsinitieringstjänster och av tjänster som ger tillgång till kontoinformation, i enlighet med direktiv (EU) 2015/2366 – nödvändigt att kräva att särskilda gränssnitt ska ha likvärdig tillgänglighet och funktion som de gränssnitt som finns tillgängliga för betaltjänstanvändare. De kontoförvaltande betaltjänstleverantörerna bör också fastställa transparenta resultatindikatorer och servicenivåmål för de särskilda gränssnittens tillgänglighet och funktion som är minst lika strikta som för de gränssnitt som används för deras betaltjänstanvändare. Dessa gränssnitt bör testas av de betaltjänstleverantörer som ska använda dem, samt stresstestas och övervakas av behöriga myndigheter. 
            
            
               (24)För att säkerställa att betaltjänstleverantörer som använder det särskilda gränssnittet kan fortsätta att tillhandahålla sina tjänster om det uppstår problem med tillgänglighet eller bristfällig funktion, behövs en reservmekanism som omfattas av strikta villkor och som gör det möjligt för leverantörerna att använda det gränssnitt som den kontoförvaltande betaltjänstleverantören upprätthåller för identifiering av och kommunikation med sina egna betaltjänstanvändare. Vissa kontoförvaltande betaltjänstleverantörer kommer att undantas från kravet att tillhandahålla en sådan reservmekanism genom att i stället tillåta tillgång via sina användargränssnitt, om deras behöriga myndigheter fastställer att de särskilda gränssnitten uppfyller särskilda villkor där det säkerställs obehindrad konkurrens.  Om det särskilda gränssnitt som undantagits inte uppfyller villkoren ska de beviljade undantagen återkallas av relevanta behöriga myndigheter. 
            
            
               (25)För att göra det möjligt för behöriga myndigheter att effektivt utöva tillsyn över och övervaka genomförandet och hanteringen av kommunikationsgränssnitten bör de kontoförvaltande betaltjänstleverantörerna publicera en sammanställning av relevant dokumentation på sin webbplats och, på begäran, ge de behöriga myndigheterna med dokumentation om lösningarna i krissituationer. De kontoförvaltande betaltjänstleverantörerna bör också offentliggöra statistik över gränssnittets tillgänglighet och funktion. 
            
            
               (26)I syfte att skydda uppgifternas konfidentialitet och integritet är det nödvändigt att säkerställa att kommunikationen mellan de kontoförvaltande betaltjänstleverantörerna, leverantörer av kontoinformationstjänster, leverantörer av betalningsinitieringstjänster och betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument är säker. Det är i synnerhet nödvändigt att kräva att leverantörer av kontoinformationstjänster, leverantörer av betalningsinitieringstjänster, betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument och kontoförvaltande betaltjänstleverantörer, använder sig av säker kryptering när de utbyter uppgifter.
            
            
               (27)För att stärka användarnas förtroende och säkerställa en sträng kundautentisering bör användning av medel för elektronisk identifiering och betrodda tjänster, som avses i Europaparlamentets och rådets förordning (EU) nr 910/2014
                  3
               , beaktas, i synnerhet med avseende på anmälda system för elektronisk identifiering. 
            
            
               (28)För att säkerställa att tillämpningstidpunkterna anpassas till varandra bör denna förordning börja tillämpas från och med den dag då medlemsstaterna senast måste ha säkerställt tillämpningen av de säkerhetsåtgärder som av avses i artiklarna 65, 66,67 och 97 i direktiv 2015/2366.
            
            
               (29)Denna förordning baseras på det förslag till tekniska tillsynsstandarder som Europeiska bankmyndigheten (EBA) har överlämnat till kommissionen. 
            
            
               (30)EBA har genomfört ett öppet och transparent offentligt samråd om det förslag till tekniska tillsynsstandarder som denna förordning baseras på, samt gjort en analys av kostnader och fördelar samt begärt ett yttrande från den bankintressentgrupp som inrättats i enlighet med artikel 37 i förordning (EU) nr 1093/2010. 
            
         
         
            
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
            
            
               KAPITEL 1
                  ALLMÄNA BESTÄMMELSER
            
            
               Artikel 1
                  Syfte
            
            
               Denna förordning fastställer de krav som betaltjänstleverantörer ska efterleva i fråga om att genomföra säkerhetsåtgärder, så att det blir möjligt för dem att göra följande: 
            
            
               (a)Tillämpa förfarandet för sträng kundautentisering i enlighet med artikel 97 i direktiv (EU) 2015/2366.
            
            
               (b)Göra undantag från tillämpningen av säkerhetskraven för sträng kundautentisering, om särskilda och begränsade villkor uppfylls som baseras på betalningstransaktionens risk, belopp och upprepning och vilken betalningskanal som används vid genomförandet av transaktionen.
            
            
               (c)Skydda betaltjänstanvändarens personliga säkerhetsbehörighetsuppgifters konfidentialitet och integritet.
            
            
               (d)Upprätta gemensamma och säkra öppna standarder för kommunikation mellan kontoförvaltande betaltjänstleverantörer, leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster, betalare, betalningsmottagare och andra leverantörer av betaltjänster med avseende på tillhandahållande och användning av betaltjänster vid tillämpningen av avdelning IV i direktiv (EU) 2015/2366. 
            
            
               Artikel 2
                  Allmänna autentiseringskrav 
            
            
               1.Betaltjänstleverantörerna ska ha inrättat transaktionsövervakningsmekanismer som gör det möjligt för dem att upptäcka icke auktoriserade eller bedrägliga betalningstransaktioner vid genomförande av de säkerhetsåtgärder som avses i artikel 1 a och b.
            
            
               Dessa mekanismer ska baseras på en analys av betalningstransaktioner som beaktar element som är typiska för betaltjänstanvändaren vid normal användning av personliga säkerhetsbehörighetsuppgifter. 
            
            
               2.Betaltjänstleverantörerna ska säkerställa att transaktionsövervakningsmekanismerna åtminstone beaktar alla följande riskbaserade faktorer: 
            
            
               (a)Förteckningar över element som komprometterats eller stulits. 
            
            
               (b)Transaktionsbeloppet för varje betalning. 
            
            
               (c)Kända bedrägeriscenarier i samband med tillhandahållande av betaltjänster. 
            
            
               (d)Tecken på infektion av sabotageprogram i något skede av  autentiseringsförfarandet.
            
            
               (e)Om inloggningsutrustningen eller programvaran tillhandahålls av betaltjänstleverantören, en loggfil över användningen av den inloggningsutrustning eller programvara som tillhandahålls betaltjänstanvändaren samt avvikande användning av inloggningsutrustningen eller programvaran. 
            
            
               Artikel 3
                  Granskning av säkerhetsåtgärder
            
            
               1.Genomförande av de säkerhetsåtgärder som avses i artikel 1 ska dokumenteras, regelbundet testas, utvärderas och, i enlighet med betaltjänstleverantörens tillämpliga rättsliga ram, revideras av revisorer med expertis inom IT-säkerhet och betalningar som är operativt oberoende inom betaltjänstleverantören eller i förhållande till denna. 
            
            
               2.Perioden mellan de revisioner som avses i punkt 1 ska fastställas med beaktande av de relevanta bokförings- och lagstadgade revisionsregler som betaltjänstleverantören omfattas av.
            
         
         
            
               Betaltjänstleverantörer som utnyttjar det undantag som avses i artikel 18 ska dock genomgå en revision av sina metoder, sin modell och de rapporterade bedrägerifrekvenserna minst en gång per år. Den revisor som genomför denna revision ska ha expertiser inom IT-säkerhet och betalningar och vara operativt oberoende inom betaltjänstleverantören eller i förhållande till denna. Under det första år som undantaget i artikel 18 tillämpas, och minst vart tredje år därefter, eller oftare på den behöriga myndighetens begäran, ska revisionen genomföras av en oberoende och kvalificerad extern revisor.
            
            
               3.Inom ramen för denna revision ska en utvärdering och rapport läggas fram om huruvida betaltjänstleverantörens säkerhetsåtgärder uppfyller kraven i denna förordning. 
            
            
               Behöriga myndigheterna ska på begäran få tillgång till hela rapporten.
            
            
               KAPITEL II
                  SÄKERHETSÅTGÄRDER FÖR TILLÄMPNING AV STRÄNG KUNDAUTENTISERING 
            
            
               Artikel 4
                  Autentiseringskod
            
            
               1.Om betaltjänstleverantörerna tillämpar sträng kundautentisering i enlighet med artikel 97.1 i direktiv (EU) 2015/2366 ska autentiseringen grundas på minst två element som kategoriseras som kunskap, innehav och unik egenskap och leda till att en autentiseringskod genereras. 
            
            
               Autentiseringskoden ska endast godtas en gång av betaltjänstleverantören när betalaren använder autentiseringskoden för att få tillgång till sina betalkonton online, för att initiera en elektronisk betalningstransaktion eller för att genomföra någon åtgärd, på distans, som kan innebära en risk för betalningsbedrägeri eller andra missbruk.
            
            
               2.Vid tillämpning av punkt 1 ska betaltjänstleverantörerna anta säkerhetsåtgärder som säkerställer att alla följande krav uppfylls: 
            
            
               (a)Ingen information om något av de element som avses i punkt 1 kan inhämtas från den autentiseringskod som lämnats ut.
            
            
               (b)Det är inte möjligt att generera en ny autentiseringskod på grundval av kännedom om någon annan autentiseringskod som genererats i ett tidigare skede.
            
            
               (c)Autentiseringskoden kan inte förfalskas.
            
            
               3.Betaltjänstleverantörerna ska säkerställa att autentisering genom generering av en autentiseringskod innehåller alla följande åtgärder:
            
            
               (a)Om generering av en autentiseringskod för tillämpning av punkt 1 – vid autentisering för fjärråtkomst, elektroniska betalningar på distans eller någon annan åtgärd, på distans, som kan innebära en risk för betalningsbedrägeri – misslyckas, ska det inte vara möjligt att avgöra vilket av de element som avses i den punkten som var felaktigt.
            
            
               (b)Högst fem misslyckade autentiseringsförsök i rad under en fastställd tidsperiod får ske innan de åtgärder som avses i artikel 97.1 i direktiv (EU) 2015/2366 tillfälligt blockeras. 
            
            
               (c)Under kommunikationssessionerna finns ett skydd, i enlighet med kraven i kapitel V, mot att uppgifter som överförs under autentiseringen kapas eller manipuleras av icke auktoriserade parter. 
            
            
               (d)Betalaren får vara inaktiv i högst fem minuter från det att denne autentiserats och fått tillgång till sitt betalkonto online.
            
            
               4.Om den blockering som avses i punkt 3 b är tillfällig ska blockeringsperiodens längd och antalet nya försök fastställas på grundval av egenskaperna hos den betaltjänst som tillhandahålls användaren och alla relevanta anknutna risker, med beaktande av, åtminstone, de faktorer som avses i artikel 2.2. 
            
            
               Betalaren ska förvarnas innan blockeringen blir permanent. 
            
            
               Om blockeringen har gjorts permanent ska ett säkert förfarande upprättas genom vilket betalaren åter kan börja använda de blockerade elektroniska betalningsinstrumenten.
            
            
               Artikel 5
                  Dynamiska kopplingar
            
         
         
            
               1.Betaltjänstleverantörer som tillämpar sträng kundautentisering i enlighet med artikel 97.2 i direktiv (EU) 2015/2366 ska, utöver kraven i artikel 4 i denna förordning, anta säkerhetsåtgärder som uppfyller alla följande krav:
            
            
               (a)Betalaren informeras om betalningstransaktionens belopp och betalningsmottagaren.
            
            
               (b)Den autentiseringskod som genereras är specifik för betalningstransaktionens belopp och den betalningsmottagare som betalaren godkände då transaktionen initierades.
            
            
               (c)Den autentiseringskod som betaltjänstleverantören godkänner motsvarar det ursprungliga specifika betalningstransaktionsbelopp och betalningsmottagarens identitet, som godkänts av betalaren.
            
            
               (d)Eventuella ändringar av belopp eller betalningsmottagare leder till att den genererade autentiseringskoden ogiltigförklaras.
            
            
               2.Vid tillämpning av punkt 1 ska betaltjänstleverantörerna anta säkerhetsåtgärder som ska säkerställa konfidentialiteten, autenticiteten och integriteten hos följande: 
            
            
               (a)Transaktionsbeloppet och betalningsmottagaren under alla autentiseringsfaser.
            
            
               (b)Den information som visas för betalaren under alla autentiseringsfaser, inbegripet generering, överföring och användning av autentiseringskoden. 
            
            
               3.Vid tillämpning av punkt 1 b och om betaltjänstleverantörerna tillämpar sträng kundautentisering i enlighet med artikel 97.2 i direktiv (EU) 2015/2366 ska följande autentiseringskrav gälla:
            
            
               (a)Vad gäller kortbaserade betalningstransaktioner där betalaren har godkänt ett exakt belopp av de medel som ska blockeras i enlighet med artikel 75.1 i det direktivet, ska autentiseringskoden vara specifik för det belopp som betalaren har godkänt för blockering och som godkändes av betalaren när transaktionen initierades.
            
            
               (b)För betalningstransaktioner där betalaren har godkänt att en uppsättning elektroniska betalningstransaktioner på distans genomförs till en eller flera betalningsmottagare ska autentiseringskoden vara specifik för betalningstransaktionernas totalbelopp och för de specificerade betalningsmottagarna.
            
            
               Artikel 6
                  Krav beträffande de element som kategoriseras som kunskap
            
            
               1.Betaltjänstleverantörerna ska anta åtgärder för att minska risken för att de element för sträng kundautentisering som kategoriseras som kunskap röjs av eller lämnas ut till icke auktoriserade parter. 
            
            
               2.Betalarens användning av dessa element ska vara föremål för begränsningsåtgärder i syfte att förhindra att de lämnas ut till icke auktoriserade parter.
            
            
               Artikel 7
                  Krav beträffande de element som kategoriseras som innehav
            
            
               1.Betaltjänstleverantörerna ska anta åtgärder för att minska risken för att de element för sträng kundautentisering som kategoriseras som kunskap används av icke auktoriserade parter. 
            
            
               2.Betalarens användning av dessa element ska vara föremål för åtgärder som syftar till att förhindra reproducering av dessa element.
            
            
               Artikel 8
                  Krav beträffande utrustning och programvara kopplad till element 
                  som kategoriseras som unik egenskap
            
            
               1.Betaltjänstleverantörerna ska anta åtgärder för att minska risken för att de autentiseringselement som kategoriseras som unik egenskap och som läses av inloggningsutrustning och programvara som tillhandahålls betalaren röjs av icke auktoriserade parter. Betaltjänstleverantörerna ska minst säkerställa att det föreligger mycket låg sannolikhet att en icke auktoriserad part autentiseras som betalare med hjälp av denna inloggningsutrustning och programvara.
            
            
               2.Betalarens användning av dessa element ska vara föremål för åtgärder som säkerställer att denna utrustning och programvara garanterar skydd mot icke auktoriserad användning av elementen genom tillgång till utrustning och programvara.
            
         
         
            
               Artikel 9
                  Elementens oberoende 
            
            
               1.Betaltjänstleverantörerna ska säkerställa att användning av de element för sträng kundautentisering som avses i artiklarna 6, 7 och 8 omfattas av åtgärder som säkerställer att röjande, med avseende på teknik, algoritmer och parametrar, av ett av elementen inte äventyrar de andra elementens tillförlitlighet.
            
            
               2.Betaltjänstleverantörer ska anta säkerhetsåtgärder om något av elementen för sträng kundautentisering eller autentiseringskoden används med hjälp av en anordning med flera funktioner, för att minska risken som skulle uppkomma om säkerheten i anordningen med flera funktioner skulle äventyras. 
            
            
               3.Vid tillämpning av punkt 2 ska de riskreducerande åtgärderna innehålla följande:
            
            
               (a)Användning av separerade säkra exekveringsmiljöer med hjälp av den programvara som finns installerad i anordningen med flera funktioner. 
            
            
               (b)Mekanismer för att säkerställa att programvaran eller utrustningen inte har ändrats av betalaren eller av en tredjepart.
            
            
               (c)Om ändringar har gjorts, mekanismer för att begränsa konsekvenserna av dem.
            
            
            
               KAPITEL III
                  UNDANTAG FRÅN STRÄNG KUNDAUTENTISERING
            
            
               Artikel 10
                  Betalkontoinformation
            
            
               1.Förutsatt att kraven i artikel 2 och i punkt 2 i denna artikel uppfylls behöver betaltjänstleverantörerna inte tillämpa sträng kundautentisering om en betaltjänstanvändare endast har tillgång till en eller båda följande uppgifter online utan att lämna ut känsliga betalningsuppgifter: 
            
            
               (a)Saldot för ett eller flera specifika betalkonton.
            
            
               (b)Betalningstransaktionerna de senaste 90 dagarna till och från ett eller flera specifika betalkonton. 
            
            
               2.Vid tillämpning av punkt 1 får betaltjänstleverantörerna inte undantas från tillämpning av sträng kundautentisering om något av följande villkor uppfylls: 
            
            
               (a)Det är första gången betaltjänstanvändaren får online-tillgång till de uppgifter som anges i punkt 1.
            
            
               (b)Det har gått mer än 90 dagar sedan betaltjänstanvändaren senaste gången hade online-tillgång till den information som anges i punkt 1 b och sträng kundautentisering tillämpades.
            
            
               Artikel 11
                  Kontaktfria betalningar vid försäljningsställe
            
            
               Förutsatt att kraven i artikel 2 uppfylls behöver betaltjänstleverantörerna inte tillämpa sträng kundautentisering om betalaren initierar en kontaktfri elektronisk betalningstransaktion, under förutsättning att följande villkor uppfylls:
            
            
               (a)Värdet på den enskilda kontaktfria elektroniska betalningstransaktionen är högst 50 euro. 
            
            
               (b)Det ackumulerade värdet av tidigare kontakfria elektroniska betalningstransaktioner som initierats med hjälp av betalningsinstrument med kontaktfri funktion sedan dagen då sträng kundautentisering senast tillämpades är högst 150 euro. 
            
         
         
            
               (c)Högst fem på varandra följande kontaktfria elektroniska betalningstransaktioner har initierats via betalningsinstrument med kontaktfri funktion sedan dagen då sträng kundautentisering senast tillämpades.
            
            
               Artikel 12
                  Obemannade terminaler för transport- och parkeringsavgifter
            
            
               Förutsatt att kraven i artikel 2 uppfylls behöver betaltjänstleverantörerna inte tillämpa sträng kundautentisering om betalaren initierar en elektronisk betalningstransaktion vid en obemannad betalningsterminal för att betala en transport- eller parkeringsavgift. 
            
            
               Artikel 13
                  Betrodda betalningsmottagare
            
            
               1.Betaltjänstleverantörer ska tillämpa sträng kundautentisering om en betalare upprättar eller ändrar en förteckning över betrodda betalningsmottagare genom betalarens kontoförvaltande betaltjänstleverantör.
            
            
               2.Förutsatt att de allmänna autentiseringskraven uppfylls behöver betaltjänstleverantörer inte tillämpa sträng kundautentisering om betalaren initierar en betalningstransaktion och betalningsmottagaren finns med på den förteckning över betrodda betalningsmottagare som tidigare upprättats av betalaren.  
            
            
               Artikel 14
                  Återkommande transaktioner
            
            
               1.Betaltjänstleverantörer ska tillämpa sträng kundautentisering när en betalare för första gången upprättar, ändrar eller för första gången initierar en serie återkommande transaktioner av samma värde och till samma betalningsmottagare. 
            
            
               2.Förutsatt att de allmänna autentiseringskraven uppfylls behöver betaltjänstleverantörer inte tillämpa sträng kundautentisering vid initiering av alla följande betalningstransaktioner som ingår i den serie av betalningstransaktioner som avses i punkt 1. 
            
            
               Artikel 15
                  Kreditöverföringar mellan konton som innehas av samma fysiska eller juridiska person
            
            
               Förutsatt att kraven i artikel 2 uppfylls behöver betaltjänstleverantörer inte tillämpa sträng kundautentisering om betalaren initierar en kreditöverföring under omständigheter då betalaren och betalningsmottagaren är samma fysiska eller juridiska person och båta betalkontona innehas av samma kontoförvaltande betaltjänstleverantör.
            
            
               Artikel 16
                  Transaktioner av begränsat värde
            
            
               Förutsatt att de allmänna autentiseringskraven uppfylls behöver betaltjänstleverantörerna inte tillämpa sträng kundautentisering om betalaren initierar en elektronisk betalningstransaktion på distans, under förutsättning att följande villkor uppfylls:
            
            
               (a)Värdet av den elektroniska betalningstransaktionen på distans är högst 30 euro. 
            
            
               (b)Det ackumulerade värdet av tidigare elektroniska betalningstransaktioner på distans som initierats av betalaren sedan den senaste tillämpningen av sträng kundautentisering är högst 100 euro. 
            
            
               (c)Högst fem på varandra följande enskilda elektroniska betalningstransaktioner på distans har initierats av betalaren sedan den senaste tillämpningen av sträng kundautentisering. 
            
            
               Artikel 17
                  Säkra processer och protokoll för företagsbetalningar
            
            
               Betaltjänstleverantörer behöver inte tillämpa sträng kundautentisering när det gäller juridiska personer som initierar elektroniska betalningstransaktioner genom användning av specifika betalningsprocesser eller protokoll som endast görs tillgängliga för betalare som inte är konsumenter, om de behöriga myndigheterna har förvissat sig om att dessa förfaranden eller protokoll garanterar åtminstone samma säkerhetsnivå som den som föreskrivs i direktiv 2015/2366.
            
            
               Artikel 18
                  Transaktionsriskanalys
            
            
               1.Betaltjänstleverantörer behöver inte tillämpa sträng kundautentisering om betalaren initierar en elektronisk betalningstransaktion, på distans, som betaltjänstleverantören bedömer utgöra en låg risk enligt den transaktionsövervakningsmekanism som avses i artikel 2 och i punkt 2 c i denna artikel. 
            
         
         
            
               2.En sådan elektronisk betalningstransaktion som avses i punkt 1 ska anses utgöra en lågrisktransaktion om samtliga följande villkor uppfylls:
            
            
               (a)Bedrägerifrekvensen, för den aktuella typen av transaktion, som rapporterats av betaltjänstleverantören och som beräknats i enlighet med artikel 19 är lika med eller lägre än de bedrägerifrekvenser som fastställts som referens i tabellen i bilagan, för ”elektroniska kortbaserade betalningar på distans” respektive ”kreditöverföringar på distans”. 
            
            
               (b)Transaktionsbeloppet överskrider inte det relevanta tröskelvärde för undantag som anges i tabellen i bilagan. 
            
            
               (c)Betaltjänstleverantörerna har efter att ha genomfört en riskanalys i realtid inte konstaterat 
            
            
               i)avvikande betalnings- eller beteendemönster hos betalaren, 
            
            
               ii)avvikande uppgifter avseende betalarens inloggningsutrustning/-programvara, 
            
            
               iii)infektion av sabotageprogram i något av autentiseringsskedena,
            
            
               iv)kända bedrägeriscenarier i samband med tillhandahållandet av betaltjänster,
            
            
               v)att betalarens lokalisering avviker från det normala, 
            
            
               vi)att betalningsmottageren befinner sig på en plats som anses innebära hög risk.
            
            
               3.Betaltjänstleverantörer som avser att undanta elektroniska betalningstransaktioner på distans från sträng kundautentisering med hänvisning till att de utgör lågrisktransaktioner, ska minst beakta följande riskbaserade faktorer: 
            
            
               (a)Den enskilda betaltjänstanvändarens tidigare utgiftsmönster. 
            
            
               (b)Betalningstransaktionshistoriken hos var och en av betaltjänstleverantörens betaltjänstanvändare. 
            
            
               (c)Var betalaren och betalningsmottagaren befinner sig vid tidpunkten för betalningstransaktionen om inloggningsutrustningen eller programvaran tillhandahålls av betaltjänstleverantören.
            
            
               (d)Avvikande betalningsmönster konstateras hos betaltjänstanvändaren i förhållande till dennes betalningstransaktionshistorik.
            
            
               Betaltjänstleverantörens bedömning ska kombinera alla dessa riskbaserade faktorer för att få fram ett riskvärde för varje enskild transaktion som avgör om en specifik betalning ska tillåtas utan sträng kundautentisering.
            
            
               Artikel 19
                  Beräkning av bedrägerifrekvens 
            
            
               1.Betaltjänstleverantören ska för varje typ av transaktion som avses i tabellen i bilagan säkerställa att den övergripande bedrägerifrekvensen – som omfattar såväl betalningstransaktioner som autentiseras genom sträng kundautentisering som sådana som genomförs enligt något av de undantag som avses i artiklarna 13–18 – är lika med eller lägre än de bedrägerifrekvenser för samma typ av betalningstransaktion och som fastställs som referens i tabellen i bilagan. 
            
            
               Den övergripande bedrägerifrekvensen för varje typ av transaktion ska beräknas som det totala värdet av icke auktoriserade eller bedrägliga transaktioner på distans, oavsett om medlen har återvunnits eller ej, dividerat med det totala värdet av alla transaktioner på distans inom respektive transaktionstyp, oavsett om de är autentiserade med tillämpning av sträng kundautentisering eller genomförda enligt de undantag som avses i artiklarna 13–18, på löpande basis en gång i kvartalet (90 dagar). 
            
            
               2.Beräkningen av bedrägerifrekvenserna och de tal som blir resultatet ska bedömas genom den revisorsgranskning som avses i artikel 3.2 vilken ska säkerställa att de är fullständiga och korrekta. 
            
         
         
            
               3.Metoden och eventuella modeller som används av betaltjänstleverantören för att räkna ut bedrägerifrekvensen, samt bedrägerifrekvensen i sig ska dokumenteras på lämpligt sätt och vara tillgängliga i sin helhet för behöriga myndigheter och EBA, med förhandsanmälan till relevant behörig myndighet på deras begäran.
            
            
               Artikel 20
                  Upphävande av undantag som baseras på transaktionsriskanalys 
            
            
               1.Betaltjänstleverantörer som utnyttjar undantagen i artikel 18 ska omedelbart rapportera till de behöriga myndigheterna om en av de bedrägerifrekvenser som de övervakar, för alla typer av betalningstransaktioner som anges i tabellen i bilagan, överskrider den tillämpliga bedrägerifrekvens som fastställts som referens och ska till behöriga myndigheter lämna en redogörelse för de åtgärder som de avser att anta för att deras övervakade bedrägerifrekvens återigen ska överensstämma med tillämpliga bedrägerifrekvenser som fastställts som referens. 
            
            
               2.Betaltjänstleverantörer ska omedelbart upphöra att tillämpa undantaget i artikel 18 för alla typer av betalningstransaktioner som anges i tabellen i bilagan inom de specifika tröskelvärdesintervallet om deras övervakade bedrägerifrekvenser under två på varandra följande kvartal överskrider den tillämpliga bedrägerifrekvens som fastställts som referens för det betalningsinstrumentet eller för den typen av betalningstransaktion inom tröskelvärdesintervallet för det undantaget. 
            
            
               3.Efter upphävandet av det undantaget i artikel 18 i enlighet med punkt 2 i denna artikel får betaltjänstleverantörerna inte tillämpa detta undantag igen förrän deras beräknade bedrägerifrekvenser under ett kvartal är lika med eller lägre än de bedrägerifrekvenser som fastställts som referens som är tillämpliga för den typen av betalningstransaktion inom det tröskelvärdesintervallet för undantag.
            
            
               4.Betaltjänstleverantörer som avser att ånyo utnyttja undantaget i artikel 18 ska anmäla detta till behöriga myndigheter i god tid och ska innan de åter utnyttjar undantaget lägga fram uppgifter som styrker att deras övervakade bedrägerifrekvens återigen efterlever den tillämpliga bedrägerifrekvens som fastställts som referens för tröskelvärdesintervallet för undantag, i enlighet med punkt 3 i denna artikel. 
            
            
               Artikel 21
                  Övervakning
            
            
               1.För att utnyttja undantagen i artiklarna 10–18 ska betaltjänstleverantörerna minst en gång i kvartalet dokumentera och övervaka följande uppgifter för varje typ av transaktion fördelat på betalningstransaktioner på distans och övriga betalningstransaktioner:
            
            
               (a)Det totala värdet av icke auktoriserade eller bedrägliga betalningstransaktioner i enlighet med artikel 64.2 i direktiv (EU) 2015/2366, det totala värdet av alla betalningstransaktioner och de bedrägerifrekvenser som följer av dem, inbegripet en uppdelning av betalningstransaktioner som initierats genom sträng kundautentisering och enligt vart och ett av undantagen.
            
            
               (b)Det genomsnittliga transaktionsvärdet, inbegripet en uppdelning av betalningstransaktioner som initierats genom sträng kundautentisering och enligt vart och ett av undantagen.
            
            
               (c)Antalet betalningstransaktioner där något av undantagen tillämpats och deras andel i förhållande till det totala antalet betalningstransaktioner.
            
            
               2.Betaltjänstleverantörer ska göra resultaten av övervakningen i enlighet med punkt 1 tillgängliga för behöriga myndigheter och EBA, med förhandsanmälan till relevanta behöriga myndigheter på deras begäran.
            
            
               KAPITEL IV
                  BETALTJÄNSTANVÄNDARES PERSONLIGA SÄKERHETSBEHÖRIGHETSUPPGIFTERS KONFIDENTIALITET OCH INTEGRITET 
            
            
               Artikel 22
                  Allmänna krav
            
            
               1.Betaltjänstleverantörerna ska säkerställa konfidentialiteten och integriteten hos betaltjänstanvändarnas personliga säkerhetsbehörighetsuppgifter, inbegripet autentiseringskoder, under alla autentiseringsfaser. 
            
            
               2.Vid tillämpning av punkt 1 ska betaltjänstleverantörerna säkerställer att alla följande krav uppfylls:
            
            
               (a)Personliga säkerhetsbehörighetsuppgifter maskeras när de visas och kan inte läsas i sin helhet när de anges av betaltjänstanvändaren under autentiseringen.
            
            
               (b)Personliga säkerhetsbehörighetsuppgifter i dataformat, samt kryptografiskt material som avser kryptering av de personliga säkerhetsbehörighetsuppgifterna, lagras inte i klartext. 
            
            
               (c)Skydd finns mot icke auktoriserat utlämnande av hemligt kryptografiskt material. 
            
            
               3.Betaltjänstleverantörerna ska fullt ut dokumentera det förfarande som avser hantering av kryptografiskt material för kryptering eller för att på annat göra de personliga säkerhetsbehörighetsuppgifterna oläsbara.
            
         
         
            
               4.Betaltjänstleverantörerna ska säkerställa att hantering och dirigering (routing) av personliga säkerhetsbehörighetsuppgifter och av de autentiseringskoder som genererats i enlighet med kapitel II sker i säkra miljöer i enlighet med strikta och allmänt erkända branschstandarder. 
            
            
               Artikel 23
                  Skapande och överföring av säkerhetsbehörighetsuppgifter
            
            
               Betaltjänstleverantörerna ska säkerställa att skapandet av personliga säkerhetsbehörighetsuppgifter sker i en säker miljö.
            
            
               De ska minska riskerna för icke auktoriserad användning av personliga säkerhetsbehörighetsuppgifter och därpå följande användning av autentiseringsutrustning och programvara, stöld eller kopiering, innan de levereas till betalaren.
            
            
               Artikel 24
                  Anknytning till betaltjänstanvändaren 
            
            
               1.Betaltjänstleverantörerna ska på ett säkert sätt säkerställa att det endast är betaltjänstanvändaren har anknytning till de personliga säkerhetsbehörighetsuppgifterna, autentiseringsutrustningen och programvaran. 
            
            
               2.Vid tillämpning av punkt 1 ska betaltjänstleverantörerna säkerställer att alla följande krav uppfylls: 
            
            
               (a)Anknytningen till mellan betaltjänstanvändarens identitet och de personliga säkerhetsbehörighetsuppgifterna, autentiseringsutrustningen och programvaran sker i en säker miljö på betaltjänstleverantörens ansvar som minst ska omfatta betaltjänstanvändarens lokaler, den internetmiljö som betaltjänstleverantören tillhandahåller eller liknande säkra webbplatser som betaltjänstleverantören använder samt dess bankomattjänster, med beaktande av de risker som förknippas med sådan utrustning och sådana underliggande komponenter som använts under associeringsförfarandet som inte faller under betaltjänstleverantörens ansvar.
            
            
               (b)Anknytning på distans mellan betaltjänstanvändarens identitet och de personliga säkerhetsbehörighetsuppgifterna, autentiseringsutrustningen och programvaran sker med hjälp av sträng kundautentisering.
            
            
               Artikel 25
                  Leverans av säkerhetsbehörighetsuppgifter, autentiseringsutrustning och programvara
            
            
               1.Betaltjänstleverantörerna ska säkerställa att leveransen av personliga säkerhetsbehörighetsuppgifter, autentiseringsutrustning och programvara till betaltjänstanvändaren sker på ett säkert sätt som är utformat för att hantera risker avseende icke auktoriserad användning till följd av att de förlorats, stulits eller kopierats. 
            
            
               2.Vid tillämpning av punkt 1 ska betaltjänstleverantörerna åtminstone tillämpa alla följande åtgärder:
            
            
               (a)Effektiva och säkra leveransmekanismer som säkerställer att de personliga säkerhetsbehörighetsuppgifterna, autentiseringsutrustningen och programvaran levereras till rätt betaltjänstanvändare.
            
            
               (b)Mekanismer som gör det möjligt för betaltjänstleverantören att kontrollera autenticiteten på den autentiseringsprogramvara som levereras till betaltjänstanvändaren via internet.
            
            
               (c)Om leveransen av de personliga säkerhetsbehörighetsuppgifter genomförs utanför betaltjänstleverantörens lokaler eller på distans, arrangemang som säkerställer att
            
            
               i)
                     ingen icke auktoriserad part kan få tillgång till mer än en komponent av de personliga säkerhetsbehörighetsuppgifterna, autentiseringsutrustningen eller programvaran, om dessa levereras via samma kanal,
            
            
               ii)
                     aktivering av de personliga säkerhetsbehörighetsuppgifterna, autentiseringsutrustningen eller programvaran krävs innan de kan börja användas.
            
            
               (d)Arrangemang som säkerställer att aktiveringen sker i en säker miljö i enlighethet med de associeringsförfarande som avses i artikel 24 i fall då de personliga säkerhetsbehörighetsuppgifterna, autentiseringsutrustningen eller programvaran måste aktiveras innan de används för första gången.
            
            
               Artikel 26
                  Förnyelse av personliga säkerhetsbehörighetsuppgifter
            
            
               Betaltjänstleverantörerna ska säkerställa att förnyelse eller återaktivering av personliga säkerhetsbehörighetsuppgifter följer förfarandena för upprättande, anknytning och leverans av säkerhetsbehörighetsuppgifterna och autentiseringsutrustningen i enlighet med artiklarna 23, 24 och 25.
            
         
         
            
               Artikel 27
                  Radering, avaktivering och återkallande 
            
            
               Betaltjänstleverantörerna ska säkerställa att de har effektiva förfaranden för att kunna genomföra alla följande säkerhetsåtgärder:
            
            
               (a)Säker radering, avaktivering eller återkallande av personliga säkerhetsbehörighetsuppgifter, autentiseringsutrustning och programvara.
            
            
               (b)Om betaltjänstleverantören distribuerar återanvändbar autentiseringsutrustning och programvara ska säker återanvändning av utrustning eller programvara vara inrättad, dokumenterad och genomförd innan den görs tillgänglig för andra betaltjänstanvändare. 
            
            
               (c)Avaktivering eller återkallande av information som avser personliga säkerhetsbehörighetsuppgifter som lagras i betaltjänstleverantörens system och databaser och, i tillämpliga fall i offentliga transaktionsregister.
            
            
               KAPITEL V
                  GEMENSAMMA OCH SÄKRA ÖPPNA KOMMUNIKATIONSSTANDARDER 
            
            
               Avsnitt 1 
                  Allmänna krav beträffande kommunikation
            
            
               Artikel 28
                  Krav för identifiering
            
            
               1.Betaltjänstleverantörerna ska säkerställa säker identifiering vid kommunikation mellan betalarens utrustning och betalningsmottagarens godkännandeutrustning för elektroniska betalningar, inbegripet men inte begränsat till betalterminaler.
            
            
               2.Betaltjänstleverantörerna ska säkerställa en effektiv minskning av risken att kommunikation felaktigt riktas till icke auktoriserade parter i mobilapplikationer och andra betaltjänstanvändargränssnitt som erbjuder elektronisk betalning effektivt minskas.
            
            
               Artikel 29
                  Spårbarhet
            
            
               1.Betaltjänstleverantörerna ska ha förfaranden för att säkerställa att alla betalningstransaktioner och annan interaktion med betaltjänstanvändaren, andra betaltjänstleverantörer och andra företag, inbegripet säljföretag, i fråga om tillhandahållande av betaltjänster är spårbara, och säkerställa att kunskap inhämtas i efterhand om alla relevanta händelser i alla skeden av den elektroniska transaktionen. 
            
            
               2.Vid tillämpning av punkt 1 ska betaltjänstleverantörerna säkerställa att alla kommunikationssessioner som upprättas med betaltjänstanvändaren, andra betaltjänstleverantörer och andra företag, inbegripet säljföretag, bygger på följande:
            
            
               (a)En unik identifieringskod för sessionen, 
            
            
               (b)Säkerhetsmekanismer för detaljerad loggning av transaktionen, inbegripet transaktionsnummer, tidsstämplar och all relevant transaktionsdata.
            
            
               (c)Tidsstämplar som ska baseras på ett enhetligt tidsreferenssystem och som ska sykroniseras efter en officiell tidssignal.
            
            
               Avsnitt 2
                  Särskilda krav för den gemensamma och säkra öppna kommunikationsstandarden.
            
            
               Artikel 30
                  Allmänna krav beträffande inloggningsgränssnitt
            
            
               1.Kontoförvaltande betaltjänstleverantörer som erbjuder en betalare ett betakonto som finns tillgängligt online ska ha minst ett gränssnitt som uppfyller följande krav:
            
            
               (a)Leverantörer av kontoinformationstjänster, leverantörer av betalningsinitieringstjänster och betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument har möjlighet att identifiera sig för den kontoförvaltande betaltjänstleverantören.
            
         
         
            
               (b)Kontoförvaltande betaltjänstleverantörer har möjlighet att på ett säkert sätt kommunicera för att begära och erhålla information om en eller flera specifika betalkonton och tillhörande betalningstransaktioner. 
            
            
               (c)Leverantörer av betalningsinitieringstjänster har möjlighet att på ett säkert sätt kommunicera för att initiera ett betalningsuppdrag från betalarens betalkonto och erhålla all information om initieringen av betaltransaktioner och all information som finns tillgänglig för de kontoförvaltande betaltjänstleverantörerna avseende utförandet av betalningstransaktionen.
            
            
               2.Vid autentisering av betaltjänstanvändaren ska leverantörerna av kontoinformationstjänster och leverantörerna av betalningsinitieringstjänster, med hjälp av det gränssnitt som avses i punkt 1, kunna förlita sig på alla de autentiseringsförfaranden som den kontoförvaltande betaltjänstleverantören tillhandahåller betaltjänstanvändaren. 
            
            
               Gränssnittet ska minst uppfylla samtliga följande krav:
            
            
               (a)En leverantör av betalningsinitieringstjänster eller en leverantörer av kontoinformationstjänster ska kunna ge den kontoförvaltande betaltjänstleverantören instruktioner om att inleda autentiseringen på grundval av betaltjänstanvändarens godkännande. 
            
            
               (b)Kommunikationssessioner mellan den berörda kontoförvaltande betaltjänstanvändaren, leverantören av kontoinformationstjänster, leverantörer av kontoinformationstjänster och betaltjänstanvändaren ska upprättas och underhållas genom autentiseringen.
            
            
               (c)Integriteten och konfidentialiteten hos de personliga säkerhetsbehörighetsuppgifter och autentiseringskoder som överförs av eller genom leverantören av betalningsinitieringstjänster eller leverantören av kontoinformationstjänster ska säkerställas.
            
            
               3.De kontoförvaltande betaltjänstleverantörerna ska säkerställa att deras gränssnitt uppfyller de kommunikationsstandarder som utfärdats av internationella eller europeiska standardiseringsorganisationer.
            
            
               De kontoförvaltande betaltjänstleverantörerna ska också säkerställa att de tekniska specifikationerna för alla gränssnitt dokumenteras och närmare beskriva en uppsättning rutiner, protokoll och verktyg som leverantörerna av betalningsinitieringstjänster, leverantörerna av kontoinformationstjänster och betaltjänstleverantörerna som ger ut kortbaserade betalningsinstrument behöver för att deras programvara och applikationer ska vara driftskompatibla med den kontoförvaltande betaltjänstleverantörens system.
            
            
               De kontoförvaltande betaltjänstleverantörerna ska åtminstone – och senast sex månader före den tillämpningsdag som avses i artikel 38.2, eller före måldatumet för marknadslansering av inloggningsgränssnittet om lanseringen äger rum efter den dag som avses i artikel 38.2 – kostnadsfritt göra dokumentationen tillgänglig på begäran av auktoriserade leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument eller leverantörer av betaltjänster som hos sina behöriga myndigheter har ansökt om relevant auktorisation, och ska göra en sammanfattning av dokumentationen allmänt tillgänglig på sina webbplatser.
            
            
               4.Utöver vad som anges i punkt 3 ska leverantörerna av betalningsinitieringstjänster –förutom i krissituationer – säkerställa att alla ändringar av de tekniska specifikationerna för deras gränssnitt görs tillgängliga för auktoriserade leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument, eller betaltjänstleverantörer som har ansökt hos sina behöriga myndigheter om relevant auktorisation, på förhand snarast möjligt och senast tre månader innan ändringarna genomförs. 
            
            
               Betaltjänstleverantörerna ska dokumentera krissituationer då ändringar genomförts och på begäran ge behöriga myndigheter tillgång till denna dokumentation.
            
            
               5.De kontoförvaltande betaltjänstleverantörerna ska tillhandahålla en testfunktion, inklusive supporttjänster, för testning av förbindelser och funktioner, så att de auktoriserade leverantörerna av betalningsinitieringstjänster, betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument och leverantörer av kontoinformationstjänster, eller betatjänstleverantörer som har ansökt om relevant auktorisering, ska kunna testa den programvara och de applikationer som används för att erbjuda användarna en betaltjänst. Testfunktionen ska erbjudas senast sex månader före den tillämpningsdag som avses i artikel 38.2 eller före det måldatum för marknadslansering av inloggningsgränssnittet om lanseringen äger rum före den dag som avses i artikel 38.2.
            
            
               Inga känsliga uppgifter får emellertid delas genom testfunktionen.
            
            
               6.Behöriga myndigheter ska säkerställa att de kontoförvaltande betaltjänstleverantörerna alltid lever upp till de krav som ingår i dessa standarder i fråga om de gränssnitt som de inrättat. Om en betaltjänstleverantör inte uppfyller de krav beträffande gränssnitt som fastställs i dessa standarder ska de behöriga myndigheterna säkerställa att tillhandahållandet av betalningsinitieringstjänster och kontoinformationstjänster inte hindras eller störs, i den utsträckning som respektive leverantör av sådana tjänster uppfyller villkoren i artikel 33.5.
            
            
               Artikel 31
                  Valmöjlighet beträffande inloggningsgränssnittet
            
            
               De kontoförvaltande betaltjänstleverantörerna ska fastställa de gränssnitt som avses i artikel 30 genom att antingen använda särskilda gränssnitt eller genom att låta de betaltjänstleverantörer som avses i artikel 30.1 använda sig av de gränssnitt för autentisering av och kommunikation med betaltjänstleverantörerens betaltjänstanvändare.
            
            
               Artikel 32
                  Skyldigheter beträffande särskilda gränssnitt
            
            
               1.Under förutsättning att artiklarna 30 och 31 efterlevs ska kontoförvaltande betaltjänstleverantörer som infört ett särskilt gränssnitt säkerställa att detta särskilda gränssnitt alltid erbjuder likvärdig tillgänglighet och funktion, inklusive supporttjänster, som de gränssnitt som tillhandahålls betaltjänstanvändaren för direkt tillgång till dennes betalkonto online.
            
            
               2.Kontoförvaltande betaltjänstleverantörer som har infört ett särskilt gränssnitt ska fastställa transparenta resultatindikatorer och servicenivåmål som är minst lika strikta som de som fastställts för det gränssnitt som används av deras betaltjänstanvändare, både när det gäller tillgänglighet och tillhandahållande av data i enlighet med artikel 36. Dessa gränssnitt, indikatorer och mål ska övervakas av de behöriga myndigheterna och stresstestas. 
            
         
         
            
               3.De kontoförvaltande betaltjänstleverantörer som har infört ett särskilt gränssnitt ska säkerställa att detta gränssnitt inte hindrar tillhandahållandet av betalningsinitierings- och kontoinformationstjänster. Sådana hinder kan bland annat vara att de betaltjänstleverantörer som avses i artikel 30.1 inte kan använda de säkerhetsbehörighetsuppgifter som de kontoförvaltande betaltjänstleverantörerna utfärdat för sina kunder, införande av omdirigeringar till den kontoförvaltande betaltjänstleverantörens autentisering eller andra funktioner, begäranden om ytterligare auktorisering och registrering utöver den som föreskriv i artiklarna 11, 14 och 15 i direktiv 2015/2366 eller begäranden av extrakontroller av det godkännande som betaltjänstanvändarna lämnat till leverantörer av betalningsinitierings- eller kontoinformationstjänster.
            
            
               4.Vid tillämpning av punkterna 1 och 2 ska den kontoförvaltande betaltjänstleverantören övervaka det särskilda gränssnittets tillgänglighetet och prestanda. De kontoförvaltande betaltjänstleverantörerna ska på sina webbplatser publicera kvartalsstatistik över det särskilda gränssnittets tillgänglighet och prestanda och över det gränssnitt som används av deras betaltjänstanvändare. 
            
            
               Artikel 33
                  Beredskapsåtgärder för särskilda gränssnitt
            
            
               1.De kontoförvaltande betaltjänstleverantörerna ska i det särskilda gränssnittet bygga in en strategi och planer för beredskapsåtgärder i händelse av att gränssnittets funktion inte uppfyller kraven i artikel 32, om gränssnittet utsätts för ett oplanerat driftsstopp eller om det inträffar en systemkollaps. Ett oplanerat driftsstopp eller en systemkollaps kan antas ha inträffat när fem på varandra följande begäranden om tillgång till information i syfte att tillhandahålla en betalningsinitieringstjänst eller kontoinformationstjänst inte besvaras inom 30 sekunder.
            
            
               2.Beredskapsåtgärderna ska innehålla kommunikationsplaner för att informera betaltjänstleverantörer som använder sig av särskilda gränssnitt om åtgärder för att återställa systemet och en redogörelse för de omedelbart tillgängliga handlingsalternativ som betaltjänstleverantörerna har i ett sådant läge.
            
            
               3.Såväl den kontoförvaltande betaltjänstleverantören som de betaltjänstleverantörer som avses i artikel 30.1 ska i enlighet med punkt 1 rapportera problem med särskilda gränssnitt till sina respektive behöriga myndigheter utan onödigt dröjsmål.
            
            
               4.Som en del av beredskapsmekanismen ska de betaltjänstleverantörer som avses i artikel 30.1 ha möjlighet att använda de gränssnitt som tillhandahålls betaltjänstanvändaren för autentisering och kommunikation med deras kontoförvaltande betaltjänstleverantör, till dess att det särskilda gränssnittet är återställt till den grad av tillgänglighet och prestanda som föreskrivs i artikel 32. 
            
            
               5.I detta syfte ska de kontoförvaltande betaltjänstleverantörerna säkerställa att de betaltjänstleverantörer som avses i artikel 30.1 kan identifieras och att de kan förlita sig på de autentiseringsförfaranden som den kontoförvaltande betaltjänstleverantören tillhandahåller betaltjänstanvändaren. Om de betaltjänstleverantörer som avses i artikel 30.1 använder sig av det gränssnitt som avses i punkt 4 ska de
            
            
               (a)vidta nödvändiga åtgärder för att säkerställa att de inte kommer åt, lagrar eller använder uppgifter för andra syften än tillhandahållande av den tjänst som betaltjänstanvändaren efterfrågat,
            
            
               (b)fortsätta att efterleva skyldigheterna i artiklarna 66.3 respektive 67.2 i direktiv (EU) 2015/2366, 
            
            
               (c)logga de uppgifter som de fått tillgång till genom det gränssnitt som den kontoförvaltande betatjänstleverantören tillhandahåller betaltjänstanvändarna och, på begäran och utan onödigt dröjsmål, lämna loggfilerna till sina behöriga myndigheter,
            
            
               (d)för sina behöriga nationella myndigheten, på begäran och utan onödigt dröjsmål, vederbörligen motivera användningen av det gränssnitt som gjorts tillgängligt för betaltjänstanvändarna så att dessa ska kunna komma åt sina betalkonton online direkt, 
            
            
               (e)vederbörligen informera den kontoförvaltande betaltjänstleverantören.
            
            
               6.De behöriga myndigheterna ska, efter samråd med EBA för att säkerställa enhetlig tillämpning av följande villkor, undanta de kontoförvaltande betaltjänstleverantörer som har valt att använda ett särskilt gränssnitt, från skyldigheten att upprätta den beredskapsmekanism som beskrivs i punkt 4, förutsatt att det särskilda gränssnittet uppfyller alla följande villkor:
            
            
               (a)Det efterlever alla skyldigheter beträffande särskilda gränssnitt som fastställs i artikel 32.
            
            
               (b)Det har utformats och testats i enlighet med artikel 30.5 på ett tillfredsställande sätt för de betaltjänstleverantörer som avses däri.
            
            
               (c)Det har använts i stor utsträckning under minst tre månader av betaltjänstleverantörerna för kontoinformationstjänster, betalningsinitieringstjänster och för att bekräfta tillgängliga medel vid kortbaserade betalningar. 
            
            
               (d)Eventuella problem som rör det särskilda gränssnittet har lösts utan onödigt dröjsmål.
            
            
               7.Behöriga myndigheter ska återkalla det undantag som avses i punkt 6 om den kontoförvaltande betaltjänstleverantören inte uppfyller villkoren i a och d under mer en två på varandra följande kalenderveckor. Behöriga myndigheter ska informera EBA om detta återkallande och säkerställa att den kontoförvaltande betaltjänstleverantören, så snart som möjligt, dock senast inom två veckor, inrättar den beredskapsmekanism som avses i punkt 4. 
            
            
               Artikel 34
                  Certifikat
            
         
         
            
               1.För den identifiering som avses i artikel 30.1 a ska betaltjänstleverantörerna använda sig av kvalificerade certifikat för elektroniska stämplar, som avses i artikel 3.30 i Europaparlamentets och rådets förordning (EU) nr 910/2014 eller för autentisering av webbplatser, som avses i artikel 3.39 i den förordningen.
            
            
               2.I den här förordningen ska det registreringsnummer som det hänvisas till i offentliga handlingar i enlighet med c i bilaga III eller c i bilaga IV till förordning (EU) nr 910/2014, vara auktoriseringsnumret för betaltjänstleverantören som ger ut kortbaserade betalningsinstrument, leverantörerna av kontoinformationstjänster, leverantörerna av betalningsinitieringstjänster, inbegripet kontoförvaltande betaltjänstleverantörer som tillhandahåller sådana tjänster, vilket finns tillgängligt i respektive medlemsstats offentliga register enligt artikel 14 i direktiv (EU) 2015/2366 eller som blir tillgängligt genom anmälan av varje auktorisation enligt artikel 8 i Europaparlamentets eller rådets direktiv 2013/36/EU
                  4
                i enlighet med artikel 20 i det direktivet.
            
            
               3.I den här förordningen ska de kvalificerade certifikat för elektroniska stämplar eller för autentisering av webbplatser som avses i punkt 1, på ett språk som är brukligt i internationella finanskretsar, innefatta ytterligare särskilda egenskaper med avseende på följande:
            
            
               (a)Betaltjänstleverantörens roll, som kan innefatta något av eller allt följande: 
            
            
               i) kontoförvaltning,
            
            
               ii) betalningsinitiering,
            
            
               iii) kontoinformation, 
            
            
               iv) utfärdande av kortbaserade betalningsinstrument.
            
            
               (b)Namnet på den behöriga myndighet hos vilken betaltjänstleverantören är registrerad. 
            
            
               4.De egenskaper som avses i punkt 3 ska inte påverka driftskompatibiliteten och erkännandet av kvalificerade certifikat för elektroniska stämplar eller för autentisering av webbplatser.
            
            
               Artikel 35
                  Säkra kommunikationssessioner
            
            
               1.I syfte att säkerställa uppgifternas konfidentialitet och integritet ska de kontoförvaltande betaltjänstleverantörerna, betaltjänstleverantörerna som ger ut kortbaserade betalningsinstrument, leverantörerna av kontoinformationstjänster och leverantörerna av betalningsinitieringstjänster, med hjälp av effektiva och allmänt erkända krypteringstekniker, säkerställa att säker kryptering tillämpas mellan de kommunicerande parterna under hela respektive kommunikationssession.
            
            
               2.Betaltjänstleverantörerna som ger ut kortbaserade instrument, leverantörer av kontoinformationstjänster och leverantörerna av betalningsinitieringstjänster ska se till att den tillgång de får av de kontoförvaltande betaltjänstleverantörerna är så kortvarig som möjligt, och de ska aktivt avbryta sådan tillgång så snart den begärda åtgärden har slutförts. 
            
            
               3.Leverantörerna av kontoinformationstjänster och leverantörerna av betalningsinitieringstjänster ska under parallella nätverkssessioner med den kontoförvaltande betaltjänstleverantören säkerställa att dessa sessioner på ett säkert sätt är kopplade till relevanta sessioner med betaltjänstanvändaren, i syfte att förhindra att eventuella meddelanden eller uppgifter som överförs mellan dem skulle kunna feldirigeras.
            
            
               4.Om leverantörer av kontoinformationstjänster, leverantörer av betalningsinitieringstjänster och betaltjänstleverantörer ger ut kortbaserade betalningsinstrument tillsammans med den kontoförvaltande betaltjänstleverantören ska otvetydiga hänvisningar till följande finnas:
            
            
               (a)Betaltjänstanvändaren eller betaltjänstanvändarna och tillhörande kommunikationssessioner, så att åtskillnad kan göras mellan flera begäranden från samma betaltjänstanvändare. 
            
            
               (b)För betalningsinitieringstjänster, den unikt identifierade betalningstransaktion som initierats.
            
            
               (c)För bekräftelse av tillgängliga medel, den unikt identifierade begäran avseende det belopp som krävs för att den kortbaserade transaktionen ska kunna utföras. 
            
            
               5.De kontoförvaltande betaltjänstleverantörerna, leverantörerna av kontoinformationstjänster, leverantörerna av betalningsinitieringstjänster och de betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument ska om de överför personliga säkerhetsbehörighetsuppgifter och autentiseringskoder, säkerställa att dessa vid ingen tidpunkt är läsbara, varken direkt eller indirekt eller för personalen. 
            
            
               Om de personliga säkerhetsbehörighetsuppgifter förlorar sin konfidentialitet under dessa leverantörers ansvar ska de utan onödigt dröjsmål informera de betaltjänstanvändare som de är associerade med samt den som har utfärdat de personliga säkerhetsbehörighetsuppgifterna. 
            
         
         
            
               Artikel 36
                  Utbyte av uppgifter
            
            
               1.De kontoförvaltande betaltjänstleverantörerna ska uppfylla följande krav:
            
            
               (a)De ska förse leverantörerna av kontoinformationstjänster med samma information från specifika betalkonton och tillhörande betalningstransaktioner som tillhandahållits betaltjänstanvändaren vid direkt begäran om tillgång till kontoinformation, under förutsättning att denna information inte innehåller känsliga uppgifter.
            
            
               (b)De ska omedelbart efter mottagande av betalningsuppdraget förse leverantörer av betalningsinitieringstjänster med samma information om initiering och utförande av betalningstransaktionen som lämnats eller tillgängliggjorts för betaltjänstanvändaren när denne direkt initierat transaktionen.
            
            
               (c)De ska på begäran omedelbart förse betaltjänstleverantörerna med en bekräftelse i ett enkelt ”ja” eller ”nej”-format om huruvida det belopp som krävs för att utföra betalningstransaktionen är tillgängligt på betalarens betalkonto.
            
            
               2.Om en oväntad händelse eller ett fel inträffar under identifierings-, eller autentiseringsprocessen, eller vid utbyte av dataelement, ska den kontoförvaltande betaltjänstleverantören sända ett meddelande till leverantören av betalningsinitieringstjänster eller leverantören av kontoinformationstjänster och den betaltjänstleverantör som ger ut kortbaserade instrument där orsakerna till den oväntade händelsen eller felet förklaras. 
            
            
               Om den kontoförvaltande betaltjänstleverantören erbjuder ett särskilt gränssnitt i enlighet med artikel 32 ska gränssnittet se till att meddelanden om oförutsedda händelser eller fel kan kommuniceras av alla betaltjänstleverantörer som upptäcker händelsen eller felet till andra kontoförvaltande betaltjänstleverantörer som deltar i kommunikationssessionen.
            
            
               3.Leverantörerna av kontoinformationstjänster ska ha inrättat lämpliga och ändamålsenliga mekanismer för att förhindra åtkomst till annan information än från specifika betalkonton och tillhörande betalningstransaktioner, i enlighet med användarens uttryckliga godkännande.
            
            
               4.Leverantörer av betalningsinitieringstjänster ska förse kontoförvaltande betaltjänstleverantörer med samma information som begärs från betaltjänstanvändaren vid direkt initiering av betalningstransaktionen. 
            
            
               5.Leverantörer av kontoinformationstjänster ska ha tillgång till information från specifika betalkonton och tillhörande betalningstransaktioner som innehas av kontoförvaltande betaltjänstleverantörer i syfte att utföra kontoinformationstjänsten under någon av följande omständigheter:
            
            
               (a)När betaltjänstanvändaren aktivt begär sådan information.
            
            
               (b)Om betaltjänstanvändaren inte aktivt begär informationen, högst fyra gånger under en 24-timmarsperiod, såvida inte fler tillfällen överenskommits mellan betaltjänstleverantören och den kontoförvaltande betaltjänstleverantören, med betaltjänstanvändarens godkännande.
            
            
               KAPITEL VI
                  SLUTBESTÄMMELSER 
            
            
               Artikel 37
                  Översyn
            
            
               Utan att det påverkar tillämpningen av artikel 98.5 i direktiv (EU) 2015/2366 ska EBA senast [OP:  please insert date corresponding to ’18 months after the date of application referred to in Article 38(2)] se över de bedrägerifrekvenser som avses i bilagan till denna förordning samt de undantag som beviljats enligt artikel 33.6 avseende särskilda gränssnitt och, om så är lämpligt, lägga fram förslag till uppdateringar av dessa för kommissionen i enlighet med artikel 10 i förordning (EU) nr 1093/2010. 
            
            
               Artikel 38
                  Ikraftträdande
            
            
               1.Denna förordning träder i kraft dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.
            
            
               2.Denna förordning ska tillämpas från och med [OP: please insert date corresponding to ’18 months after entry into force date’]. 
            
            
               3.Artikel 30.3 och 30.5 ska dock tillämpas [OP: please insert date corresponding to 12 months after entry into force date].
            
            
               Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.
            
         
         
            
               Utfärdad i Bryssel den 27.11.2017
            
            
               
                     På kommissionens vägnar
               
               
                     Ordförande
                     Jean-Claude JUNCKER
               
               
            
         
         
            
                  
                     (1)
                  
                        EUT L 337, 23.12.2015, s. 35. 
               
               
                  
                     (2)
                  
                        Europaparlamentets och rådets förordning (EU) nr 1093/2010 av den 24 november 2010 om inrättande av en europeisk tillsynsmyndighet (Europeiska bankmyndigheten), om ändring av beslut nr 716/2009/EG och om upphävande av kommissionens beslut 2009/78/EG (EUT L 331, 15.12.2010, s. 12).
               
               
                  
                     (3)
                  
                        Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG (EUT L 257, 28.8.2014, s. 53).
               
               
                  
                     (4)
                  
                        Europaparlamentets och rådets direktiv 2013/36/EU av den 26 juni 2013 om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag, om ändring av direktiv 2002/87/EG och om upphävande av direktiv 2006/48/EG och 2006/49/EG (EUT L 176, 27.6.2013, s. 338).
               
            
      
    ---documentbreak--- 
      
         
         
            
               BILAGA
            
            
                     
                  
                  
                     
                        Bedrägerifrekvens som fastställts som referens (%) för:
                     
                  
               
                     
                        Tröskelvärde för undantag
                     
                  
                  
                     
                        Elektroniska kortbaserade betalningar på distans
                     
                  
                  
                     
                        Elektronisk kreditöverföring på distans
                     
                  
               
                     
                        500 EUR
                     
                  
                  
                     
                        0,01
                     
                  
                  
                     
                        0,005
                     
                  
               
                     
                        250 EUR
                     
                  
                  
                     
                        0,06
                     
                  
                  
                     
                        0,01
                     
                  
               
                     
                        100 EUR
                     
                  
                  
                     
                        0,13
                     
                  
                  
                     
                        0,015