CELEX: 
Language: nl
Date: 2017-11-27 00:00:00
Title: GEDELEGEERDE VERORDENING (EU) …/... VAN DE COMMISSIE tot aanvulling van Richtlijn 2015/2336 van het Europees Parlement en de Raad wat betreft technische reguleringsnormen voor sterke cliëntauthenticatie en gemeenschappelijke en veilige open communicatiestandaarden

TOELICHTING
            
            
               1.ACHTERGROND VAN DE GEDELEGEERDE HANDELING
            
            
               Door artikel 98, lid 4, van Richtlijn (EU) 2015/2366 wordt de Commissie gemachtigd om, na voorlegging door de Europese Bankautoriteit (EBA) van ontwerpnormen en overeenkomstig de artikelen 10 tot en met 14 van Verordening (EU) nr. 1093/2010, gedelegeerde handelingen vast te stellen tot nadere invulling van de vereisten inzake strenge cliëntauthenticatie, de vrijstellingen van de toepassing ervan en gemeenschappelijke en veilige open communicatiestandaarden.
            
            
               Overeenkomstig artikel 10, lid 1, van Verordening (EU) nr. 1093/2010 tot oprichting van de EBA moet de Commissie binnen drie maanden na ontvangst van de ontwerpnormen besluiten of zij de voorgelegde ontwerpen bevestigt. De Commissie kan ook besluiten de ontwerpnormen slechts gedeeltelijk of gewijzigd te bevestigen indien de belangen van de Unie dit vereisen, waarbij zij de specifieke procedure in acht neemt welke in die artikelen is neergelegd.
            
            
               2.RAADPLEGINGEN VOORAFGAAND AAN DE VASTSTELLING VAN DE HANDELING
            
            
               In overeenstemming met artikel 10, lid 1, derde alinea, van Verordening (EU) nr. 1093/2010 heeft de EBA een openbare raadpleging gehouden over de ontwerpen van technische normen die overeenkomstig artikel 98, lid 4, van Richtlijn (EU) 2015/2366 aan de Commissie zijn voorgelegd. Op 12 augustus 2016 is op de website van de EBA een raadplegingsdocument gepubliceerd en op 12 oktober 2016 is de raadpleging afgesloten. Voorts heeft de EBA de bij artikel 37 van Verordening (EU) nr. 1093/2010 opgerichte EBA-Stakeholdergroep bankwezen uitgenodigd om advies te verstrekken over deze ontwerpen van technische normen. De EBA heeft tevens een toelichting ingediend over de wijze waarop de uitkomsten van deze raadplegingen bij de uitwerking van de aan de Commissie voorgelegde definitieve ontwerpen van technische normen zijn meegenomen.
            
            
               Verder heeft de EBA, overeenkomstig artikel 10, lid 1, derde alinea, van Verordening (EU) nr. 1093/2010, naast de ontwerpen van technische normen, haar effectbeoordeling voorgelegd, samen met een kosten-batenanalyse van de aan de Commissie voorgelegde ontwerpen van technische normen. Deze analyse is te vinden onder 
               
                  https://www.eba.europa.eu/documents/10180/1761863/Final+draft+RTS+on+SCA+and+CSC+under+PSD2+%28EBA-RTS-2017-02%29.pdf
               
               , op de bladzijden 40 tot en met 44 van het Final Draft Regulatory Technical Standards pakket.
            
            
               3.JURIDISCHE ELEMENTEN VAN DE GEDELEGEERDE HANDELING
            
            
               Met deze technische reguleringsnormen wordt, op grond van artikel 98 van Richtlijn (EU) 2015/2366 (hierna "PSD2" genoemd), nadere invulling gegeven aan de voorwaarden voor sterke cliëntauthenticatie, de vrijstellingen van de toepassing van sterke cliëntauthenticatie, de eisen waaraan beveiligingsmaatregelen moeten voldoen om de vertrouwelijkheid en integriteit van de persoonlijke beveiligingsgegevens (credentials) van betaaldienstgebruikers te beschermen, en de voorschriften voor gemeenschappelijke en veilige open communicatiestandaarden tussen rekeninghoudende betaaldienstverleners, betaalinitiatiedienstverleners, rekeninginformatiedienstverleners, betalers, betalingsbegunstigden en andere betaaldienstverleners.
            
            
               Deze technische reguleringsnormen houden rekening met de diverse doelstellingen van PSD2, zoals het versterken van beveiliging, het bevorderen van concurrentie, het borgen van technologie- en bedrijfsmodelneutraliteit, het bijdragen aan de integratie van betalingen binnen de EU, consumentenbescherming, het bevorderen van innovatie en het vergroten van het gebruiksgemak voor cliënten. 
            
            
               Deze technische reguleringsnormen zijn technologie- en bedrijfsmodelneutraal. De technische reguleringsnormen bevatten een aantal vrijstellingen, onder meer twee vrijstellingen voor betalingen op afstand: één voor de analyse van transactierisico's en een tweede voor betalingen van kleine bedragen (minder dan 30 EUR). Ook bevatten ze vrijstellingen voor contactloos betalen. Aangezien bij de vrijstelling op basis van de analyse van transactierisico's wordt gekeken naar vooraf bepaalde referentiepercentages inzake fraude, is het passend dat de toereikendheid van de monitoringmechanismen voor het fraudeniveau van de betaaldienstverlener wordt onderzocht door een wettelijke auditor, om zo een onpartijdige beoordeling van de juistheid van de gegevens te garanderen. Het daadwerkelijk bereikte fraudeniveau dient alleen te worden gemeld aan de bevoegde autoriteiten, om een doeltreffende handhaving van de vrijstellingen te garanderen. Zij dienen ook rechtstreeks aan EBA te worden gemeld zodat deze onderzoek kan voeren naar de referentiepercentages voor fraude in de technische uitvoeringsnorm binnen achttien maanden na de inwerkingtreding daarvan. 
            
            
               Ten opzichte van het EBA-voorstel heeft de Commissie nog een vrijstelling opgenomen van strenge cliëntauthenticatie, die geldt voor elektronische betalingstransacties die worden uitgevoerd via speciale betalingsprocedures of -protocollen die doorgaans door bedrijven worden gebruikt en waarbij de beveiliging verloopt via andere middelen dan de authenticatie van een bepaald persoon. Aan deze vrijstelling is wel de voorwaarde verbonden dat bevoegde autoriteiten zich ervan hebben kunnen vergewissen dat die betalingsmethoden het hoge beveiligingsniveau voor betalingen bereiken waar PSD2 op inzet.  
            
            
               Voor betalingen die via anonieme betaalinstrumenten verlopen, geldt, naar hun aard, geen verplichting van strenge cliëntauthenticatie. Het spreekt voor zich dat, wanneer het anonieme karakter van die instrumenten op contractuele gronden of op grond van wetgeving wordt opgeheven, voor die betalingen de beveiligingseisen gelden die voortvloeien uit PSD2 en uit deze technische reguleringsnorm.  
            
            
               In deze technische reguleringsnormen worden ook eisen bepaald ten aanzien van de communicatie tussen rekeninghoudende betaaldienstverleners, rekeninginformatiedienstverleners en betaalinitiatiedienstverleners, zoals de verplichting voor de rekeninghoudende betaaldienstverleners om voor rekeninginformatiedienstverleners en betaalinitiatiedienstverleners ten minste één interface aan te bieden die toegang geeft tot betaalrekeninginformatie. Wat betreft de communicatie tussen rekeninghoudende betaaldienstverleners, rekeninginformatiedienstverleners en betaalinitiatiedienstverleners, zal bijgevolg de bestaande praktijk van derdentoegang zonder identificatie (in sectorjargon ook wel "screen scraping" of, verkeerdelijk, "directe toegang" genoemd), niet langer toegestaan zijn wanneer de overgangsperiode op grond van artikel 115, lid 4, PSD2 is verstreken en de technische reguleringsnormen van toepassing worden. In de technische reguleringsnormen worden evenwel eisen bepaald voor rekeninghoudende betaaldienstverleners om een communicatie-interface te ontwikkelen en in stand te houden waarmee betaalinitiatiedienstverleners, rekeninginformatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven, toegang krijgen tot de gegevens die zij nodig hebben om aan PSD2 te kunnen voldoen. De technische reguleringsnormen gelden alleen voor betaalrekeningen, in overeenstemming met het toepassingsgebied van PSD2. Deze normen gelden dus niet voor de toegang tot rekeningen niet zijnde betaalrekeningen, waarvoor de lidstaten bevoegd zijn. 
            
            
               Wanneer de rekeninghoudende betaaldienstverlener besluit een speciale interface te gebruiken, wordt in de technische reguleringsnorm geëist dat deze partij voor de interface transparante kritische prestatie-indicatoren (KPI's) en serviceniveaudoelstellingen vastlegt. Deze moeten ten minste even streng zijn als die welke zijn bepaald voor de interface die wordt gebruikt door betaaldienstgebruikers van de rekeninghoudende betaaldienstverlener. Voorts moeten zij de gegevens ook op kwartaalbasis publiceren. 
            
            
               Om te beletten dat verleners van betaalinitiatiediensten en rekeninginformatiediensten door de onbeschikbaarheid of ontoereikende prestaties van de speciale interface hun diensten niet kunnen verlenen, terwijl tegelijkertijd de user-facing interfaces probleemloos functioneren en de rekeninghoudende betaaldienstverlener daarmee zijn eigen betaaldiensten kan verlenen, heeft de Commissie het ontwerp van technische reguleringsnorm gewijzigd en een terugvalmechanisme opgenomen in de vorm van een uitwijkvoorziening. Die bestaat erin dat de user-facing interfaces worden opengesteld als een veilig communicatiekanaal voor verleners van betaalinitiatiediensten en rekeninginformatiediensten. Wanneer van deze uitwijkvoorziening wordt gebruikgemaakt, zijn de desbetreffende PSD2-bepalingen (de artikelen 65, 66 en 67) van toepassing voor verleners van betaalinitiatiediensten en rekeninginformatiediensten, met inbegrip van identificatie- en authenticatieprocedures. Het gebruik ervan moet volledig worden gedocumenteerd en, op verzoek, door de betrokken dienstverleners aan de autoriteiten worden gemeld. 
            
            
            
               EBA heeft in haar advies over de wijzigingen van de Commissie dit terugvalmechanisme verworpen op grond van twee hoofdargumenten: het eerste betrof de kosten van de uitwijkvoorziening die voor rekening zouden komen van rekeninghoudende betaaldienstverleners, naast de kosten voor goed functionerende speciale interfaces; in de tweede plaats maakte EBA zich zorgen dat het eisen van een terugvalmechanisme de prikkels zou afzwakken om gestandaardiseerde speciale interfaces te ontwikkelen, omdat het terugvalmechanisme op zich reeds voldoende zou zijn voor rekeninghoudende betaaldienstverleners om aan de voorwaarden van PSD2 te voldoen.
            
            
               In het licht van het advies van EBA heeft de Commissie haar wijzigingen van de technische reguleringsnorm herzien, waarbij zij de uitwijkvoorziening als algemeen beginsel heeft gehandhaafd, maar zij nationale bevoegde autoriteiten machtigt om banken ontheffing te verlenen van de verplichting om dit mechanisme aan te bieden wanneer aan strikte voorwaarden wordt voldaan, hetgeen ervoor moet zorgen dat speciale interfaces de markt voor betaaldiensten daadwerkelijk openstellen. Daarom moeten speciale interfaces worden getest door de betaaldienstverleners die deze zullen gaan gebruiken, en zullen bevoegde autoriteiten op die interfaces stresstests uitvoeren en deze monitoren. Mochten die speciale interfaces niet door de testfases komen of niet slagen voor de stresstest, dan zullen betaaldienstverleners de uitwijkvoorziening kunnen gebruiken die door de technische reguleringsnorm wordt opgelegd. 
            
         
         
            
               Voor gevallen waar een speciale interface vrijstelling heeft gekregen van de uitwijkvoorziening op basis van de cliëntinterface, maar niet langer voldoet aan de voorwaarden voor dit soort vrijstelling, of voor gevallen waarin een rekeninghoudende betaaldienstverlener geen interface aanbiedt die voldoet aan de vereisten van PSD2 en de technische reguleringsnorm, heeft de Commissie een bepaling opgenomen die bedrijfscontinuïteit op de markt voor betalingen moet verzekeren. In dat soort situatie moeten bevoegde autoriteiten ervoor zorgen dat verleners van rekeninginformatie- en betaalinitiatiediensten niet geblokkeerd of belemmerd worden bij het verlenen van hun diensten. 
            
            
                 
            
            
               GEDELEGEERDE VERORDENING (EU) …/... VAN DE COMMISSIE
            
            
               van XXX
            
            
               tot aanvulling van Richtlijn 2015/2336 van het Europees Parlement en de Raad wat betreft technische reguleringsnormen voor sterke cliëntauthenticatie en gemeenschappelijke en veilige open communicatiestandaarden
            
            
               (Voor de EER relevante tekst)
            
            
               DE EUROPESE COMMISSIE,
            
            
               Gezien het Verdrag betreffende de werking van de Europese Unie,
            
            
               Gezien Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad van 25 november 2015 betreffende betalingsdiensten in de interne markt en tot wijziging van de Richtlijnen 2002/65/EG, 2009/110/EG, 2013/36/EU en Verordening (EU) nr. 1093/2010 en tot intrekking van Richtlijn 2007/64/EG
                  1
               , en met name artikel 98, lid 4, tweede alinea,
            
            
               Overwegende hetgeen volgt:
            
            
               (1)Elektronische betaaldiensten dienen op een beveiligde wijze te worden uitgevoerd, met gebruikmaking van technologieën die de veilige authenticatie van de gebruiker kunnen garanderen en het risico op fraude zoveel als mogelijk kunnen beperken. De authenticatieprocedure dient in de regel transactiemonitoringmechanismen te bevatten, met het oog op het opsporen van pogingen om gebruik te maken van persoonlijke beveiligingsgegevens (credentials) van een betaaldienstgebruiker die verloren, gestolen of ontvreemd zijn, en dient ook te garanderen dat de betaaldienstgebruiker de rechtmatige gebruiker is en dus instemt met de overdracht van middelen en de toegang tot zijn rekeninginformatie via een normaal gebruik van persoonlijke beveiligingsgegevens. Voorts dient nadere invulling te worden gegeven aan de vereisten van de sterke cliëntauthenticatie die dienen te worden toegepast telkens als een betaler zich online toegang verschaft tot zijn betaalrekening, een elektronische betalingstransactie initieert of via een communicatiemiddel op afstand een handeling uitvoert die een risico op betalingsfraude of andere vormen van misbruik met zich kan meebrengen, door te eisen dat een authenticatiecode wordt gegenereerd die bestand is tegen het risico dat deze volledig wordt vervalst of door onthulling van elementen op basis waarvan de code is gegenereerd. 
            
            
               (2)Aangezien fraudemethoden voortdurend veranderen, dienen de eisen inzake strenge cliëntenauthenticatie ruimte te laten voor innovatie bij de technische oplossingen die een antwoord moeten bieden voor de opkomst van nieuwe bedreigingen voor de veiligheid van elektronische betalingen. Teneinde te garanderen dat de vastgestelde eisen daadwerkelijk doorlopend worden toegepast, dient ook te worden verplicht dat de beveiligingsmaatregelen voor de toepassing van strenge cliëntauthenticatie en vrijstellingen daarvan, de maatregelen om vertrouwelijkheid en integriteit van de persoonlijke beveiligingsgegevens en de maatregelen voor het vaststellen van gemeenschappelijke en veilige open communicatiestandaarden worden gedocumenteerd, op gezette tijden worden getest, geëvalueerd en gecontroleerd door auditors met deskundigheid op het gebied van IT-beveiliging en betalingen en die operationeel onafhankelijk zijn. Om bevoegde autoriteiten in staat te stellen de kwaliteit van de toetsing van deze maatregelen te monitoren, dienen die toetsingen hun, op verzoek, beschikbaar te worden gesteld.
            
            
               (3)Aangezien transacties voor elektronisch betalen op afstand fraudegevoeliger zijn, dienen aanvullende voorwaarden te worden ingevoerd voor de sterke cliëntauthenticatie van dergelijke transacties, hetgeen ervoor moet zorgen dat de elementen de transactie dynamisch koppelen aan een bedrag en een door de betaler bij het initiëren van de transactie nader aangegeven betalingsbegunstigde. 
            
            
               (4)Dynamische koppeling wordt mogelijk dankzij het genereren van authenticatiecodes waaraan een reeks strenge beveiligingseisen worden gesteld. Om technologisch neutraal te blijven, mag voor de implementatie van authenticatiecodes geen specifieke technologie worden voorgeschreven. Daarom dienen authenticatiecodes te zijn gebaseerd op oplossingen zoals het genereren en valideren van eenmalige wachtwoorden, digitale handtekeningen of andere validiteitsbeweringen die cryptografisch zijn onderbouwd aan de hand van sleutels of andere in de authenticatie-elementen besloten cryptografisch materiaal, zolang de beveiligingsvereisten zijn vervuld. 
            
            
               (5)Specifieke eisen dienen te worden vastgesteld voor de situatie waarin het eindbedrag niet bekend is op het tijdstip dat de betaler een elektronische betalingstransactie op afstand initieert, om ervoor te zorgen dat de sterke cliëntauthenticatie specifiek is voor het maximumbedrag waarvoor de betaler zijn instemming heeft gegeven als bedoeld in Richtlijn (EU) 2015/2366.
            
            
               (6)Om de toepassing van sterke cliëntauthenticatie te verzekeren, dienen ook adequate beveiligingskenmerken te worden geëist voor de elementen van sterke cliëntauthenticatie die zijn gekwalificeerd als kennis (iets dat alleen de gebruiker kent), zoals lengte of complexiteit, voor de elementen die als bezit worden gekwalificeerd (iets dat alleen de gebruiker bezit), zoals algoritmespecificaties, lengte van de sleutel en informatie-entropie, en voor de apparatuur en software die elementen lezen die worden gekwalificeerd als inherentie (iets wat de gebruiker is) zoals algoritmespecificaties, biometrische sensor- en template protection-kenmerken, met name om het risico te mitigeren dat die elementen worden onthuld aan, vrijgegeven aan en gebruikt door onbevoegde partijen. Ook dienen de vereisten te worden vastgesteld die ervoor moeten zorgen dat die elementen onderling onafhankelijk zijn, zodat het kraken van een van die elementen de betrouwbaarheid van de overige elementen niet in gevaar brengt, met name wanneer een van die elementen wordt gebruikt via een multipurpose apparaat, met name een apparaat zoals een tablet of een mobiele telefoon dat kan worden gebruikt voor het zowel het doorgeven van de instructie om de betaling uit te voeren als bij de authenticatieprocedure.
            
            
               (7)De vereisten voor sterke cliëntauthenticatie gelden voor betalingen die worden geïnitieerd door de betaler, ongeacht of de betaler een natuurlijke persoon is of een rechtspersoon.
            
            
               (8)Voor betalingen die via anonieme betaalinstrumenten verlopen, geldt, naar hun aard, geen verplichting van strenge cliëntauthenticatie.  Wanneer het anonieme karakter van die instrumenten op contractuele gronden of op grond van wetgeving wordt opgeheven, gelden voor die betalingen de beveiligingseisen die voortvloeien uit Richtlijn (EU) 2015/2366 en uit deze technische reguleringsnorm.
            
            
               (9)Overeenkomstig Richtlijn (EU) 2015/2366 zijn de vrijstellingen van het beginsel van sterke cliëntauthenticatie vastgesteld op basis van de omvang van het risico, het bedrag, de recurrentie en het voor de uitvoering van de betalingstransactie gebruikte betalingskanaal.
            
            
               (10)Handelingen waarvoor toegang tot het saldo en de recente transacties van een betaalrekening nodig zijn zonder dat gevoelige betalingsgegevens worden vrijgegeven, recurrente betalingen aan dezelfde betalingsbegunstigden die vooraf zijn ingesteld of bevestigd door de betaler met gebruikmaking van sterke cliëntauthenticatie, en betalingen aan en van dezelfde natuurlijke persoon of rechtspersoon met rekeningen bij dezelfde betaaldienstverlener, houden een laag risico in, zodat betaaldienstverleners geen sterke cliëntauthenticatie hoeven toe te passen. Een en ander laat onverlet dat betaalinitiatiedienstverleners, betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven en rekeninginformatiedienstverleners, overeenkomstig de artikelen 65, 66 en 67 van Richtlijn (EU) 2015/2366, met de instemming van de gebruiker van de betaaldienst, van de rekeninghoudende betaaldienstverlener alleen de informatie dienen te vragen en te verkrijgen die noodzakelijk en van essentieel belang is om een bepaalde betaaldienst te verrichten. Deze instemming kan afzonderlijk worden gegeven voor ieder verzoek om informatie of voor iedere te initiëren betaling of, in het geval van rekeninginformatiedienstverleners, als mandaat voor welbepaalde betaalrekeningen en daarmee samenhangende betalingstransacties zoals bepaald in de contractuele overeenkomst met de betaaldienstgebruiker.
            
         
         
            
               (11)Vrijstellingen voor contactloze betalingen van kleine bedragen in verkooppunten, waarbij ook rekening wordt gehouden met een maximumaantal opeenvolgende transacties of een bepaald vast maximumbedrag van opeenvolgende transacties zonder dat sterke cliëntauthenticatie wordt toegepast, helpen de ontwikkeling mogelijk te maken van gebruiksvriendelijke betaaldiensten met laag risico, zodat in dergelijke vrijstellingen dient te worden voorzien. Ook is het passend om een vrijstelling te bepalen voor het geval van elektronische betalingstransacties die worden geïnitieerd vanaf onbemande betaalautomaten waar het gebruik van sterke cliëntauthenticatie om operationele redenen niet steeds gemakkelijk is toe te passen (bijv. om wachtrijen en de kans op ongevallen bij tolpoortjes te vermijden of wegens andere veiligheids- of beveiligingsrisico's). 
            
            
               (12)Evenals bij de vrijstelling voor het contactloos betalen van kleine bedragen in verkooppunten, dient een goed evenwicht te worden gevonden tussen het belang van versterkte beveiliging bij betalingen op afstand en de behoeften van gebruiksvriendelijkheid en toegankelijkheid van betalingen in de e-commercesector. In lijn met die beginselen dienen de drempels waaronder geen sterke cliëntauthenticatie hoeft te worden toegepast, behoedzaam te worden vastgesteld, zodat hiermee alleen onlineaankopen voor een laag bedrag worden gedekt. De drempels voor onlineaankopen dienen behoedzamer te worden vastgesteld, omdat het feit dat de persoon niet fysiek aanwezig is bij het doen van de aankoop, een iets hoger veiligheidsrisico oplevert.
            
            
               (13)De vereisten voor sterke cliëntauthenticatie gelden voor betalingen die worden geïnitieerd door de betaler, ongeacht of de betaler een natuurlijke persoon is of een rechtspersoon. Talrijke zakelijke betalingen worden geïnitieerd via specifieke procedures of protocollen die de hoge niveaus van betalingsbeveiliging garanderen die Richtlijn (EU) 2015/2366 via sterke cliëntauthenticatie tracht te bereiken. Wanneer de bevoegde autoriteiten vaststellen dat met die betalingsprocedures en -protocollen die alleen beschikbaar worden gesteld aan betalers niet zijnde consumenten, de doelstellingen van Richtlijn (EU) 2015/2366 in termen van beveiliging worden verwezenlijkt, kunnen betaaldienstverleners, met betrekking tot die procedures of protocollen, vrijstelling krijgen van de voorwaarden voor sterke cliëntauthenticatie.
            
            
               (14)In het geval van realtimeanalyse van transactierisico's die een betalingstransactie kenmerken als een transactie met laag risico, is het ook passend om een vrijstelling in te voeren voor de betaaldienstverlener die voornemens is geen sterke cliëntauthenticatie toe te passen door de vaststelling van effectieve en risicoafhankelijke eisen die de veiligheid van de middelen en persoonsgegevens van de betaaldienstgebruiker verzekeren. Die risicoafhankelijke vereisten dienen de scores te combineren van de risicoanalyse, en zo te bevestigen dat geen abnormaal uitgave- of gedragspatroon van de betaler is geconstateerd, rekening houdende met andere risicofactoren zoals informatie over de locatie van de betaler en de betalingsbegunstigde, met financiële drempels die zijn gebaseerd op fraudepercentages die voor betalingen op afstand zijn berekend. Wanneer op basis van de realtimeanalyse van transactierisico's een betaling niet kan worden gekwalificeerd als een transactie met een laag risico, dient de betaaldienstverlener terug te keren naar sterke cliëntauthenticatie. Het maximumbedrag van dit soort risicoafhankelijke vrijstelling dient zodanig te worden vastgesteld dat dit correspondeert met een zeer laag fraudepercentage, ook vergeleken met de fraudepercentages van alle betalingstransacties van de betaaldienstverlener, met inbegrip van die welke zijn geauthenticeerd via sterke cliëntauthenticatie, binnen een bepaalde tijdspanne en op voortschrijdende basis. 
            
            
               (15)Met het oog op een doeltreffende handhaving dienen betaaldienstverleners die aanspraak willen maken op de vrijstellingen van sterke cliëntauthenticatie, regelmatig voor elk type betalingstransactie de waarde van frauduleuze of ongeoorloofde betalingstransacties en de waargenomen fraudepercentages voor al hun betalingstransacties, ongeacht of deze zijn geauthenticeerd met sterke cliëntauthenticatie of zijn uitgevoerd op grond van een desbetreffende vrijstelling, te monitoren en beschikbaar te stellen aan bevoegde autoriteiten en de Europese Bankautoriteit (hierna "EBA" genoemd), op hun verzoek. 
            
            
               (16)Het verzamelen van dit nieuwe historische bewijsmateriaal over de fraudepercentages bij elektronische betalingstransacties zal ook bijdragen aan een effectieve herziening door EBA van de drempels voor vrijstelling van sterke cliëntauthenticatie op basis van een realtimeanalyse van transactierisico's. EBA dient deze technologische reguleringsnormen te evalueren en, in voorkomend geval, ontwerpactualiseringen voor te leggen aan de Commissie, door het voorleggen van nieuwe ontwerpdrempels en daarmee samenhangende fraudepercentages, met het oog op het versterken van de veiligheid van elektronische betalingen op afstand, in overeenstemming met artikel 98, lid 5, van Richtlijn (EU) 2015/2366 en artikel 10 van Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad
                  2
               .
            
            
               (17)Betaaldienstverleners die van de vast te stellen vrijstellingen gebruikmaken, dienen de mogelijkheid te krijgen om te allen tijden ervoor te kiezen sterke cliëntauthenticatie toe te passen op de in die bepalingen bedoelde handelingen en betalingstransacties. 
            
            
               (18)De maatregelen die de vertrouwelijkheid en integriteit beschermen van persoonlijke beveiligingsgegevens, alsmede van authenticatieapparatuur en -software, dienen de risico's te beperken met betrekking tot fraude door ongeoorloofd of frauduleus gebruik van betaalinstrumenten en ongeoorloofde toegang tot betaalrekeningen. Met het oog daarop dienen voorwaarden te worden ingevoerd betreffende het veilig aanmaken en aanleveren van de persoonlijke beveiligingsgegevens en de koppeling daarvan aan de betaaldienstgebruiker, en dienen voorwaarden te worden bepaald voor het verlengen en deactiveren van die beveiligingsgegevens. 
            
            
               (19)Teneinde doeltreffende en veilige communicatie te waarborgen tussen de betrokken actoren in het kader van rekeninginformatiediensten, betaalinitiatiediensten en de bevestiging betreffende de beschikbaarheid van middelen, dienen de vereisten nader te worden bepaald voor gemeenschappelijke en veilige open communicatiestandaarden waaraan alle betrokken betaaldienstverleners dienen te voldoen. Door Richtlijn (EU) 2015/2366 wordt voorzien in de toegang en het gebruik van betaalrekeninginformatie door rekeninginformatiedienstverleners. Met deze verordening worden de regels inzake de toegang tot rekeningen niet zijnde betaalrekeningen dus niet gewijzigd.
            
            
               (20)Iedere rekeninghoudende betaaldienstverlener met betaalrekeningen die online toegankelijk zijn, dient ten minste één toegangsinterface aan te bieden die veilige communicatie mogelijk maakt met rekeninginformatiedienstverleners, betaalinitiatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven. Met de interface dienen rekeninginformatiedienstverleners, betaalinitiatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven, zichzelf te kunnen identificeren bij de rekeninghoudende betaaldienstverlener. Ook dient het daarmee mogelijk te zijn dat rekeninginformatiedienstverleners en betaalinitiatiedienstverleners een beroep kunnen doen op de authenticatieprocedures die de rekeninghoudende betaaldienstverlener aan de betaaldienstgebruiker heeft aangeboden.  Met het oog op technologie- en bedrijfsmodelneutraliteit dienen de rekeninghoudende betaaldienstverleners vrij te kunnen kiezen of zij een interface aanbieden die specifiek bestemd is voor de communicatie met rekeninginformatiedienstverleners, betaalinitiatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven, dan wel, ten behoeve van die communicatie, het gebruik van de interface toestaan voor de identificatie van en de communicatie met de betaaldienstgebruikers van de rekeninghoudende betaaldienstverlener.
            
            
               (21)Teneinde rekeninginformatiedienstverleners, betaalinitiatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven, in staat te stellen hun technische oplossingen te ontwikkelen, dienen de technische specificaties van de interface adequaat te worden gedocumenteerd en publiek beschikbaar te worden gesteld. Bovendien dient de rekeninginformatiedienstverlener een voorziening aan te bieden waarmee betaaldienstverleners de technische oplossingen kunnen testen ten minste zes maanden vóór de datum van toepassing van deze reguleringsnormen of, indien de lancering plaatsvindt na de datum van toepassing van deze normen, vóór de datum waarop de interface op de markt wordt gebracht. Om de interoperabiliteit van verschillende technologische communicatieoplossingen te garanderen, dient de interface communicatiestandaarden te gebruiken die zijn ontwikkeld door internationale of Europese standaardisatieorganisaties. 
            
            
               (22)De kwaliteit van de door de rekeninginformatiedienstverleners en betaalinitiatiedienstverleners verleende diensten zal afhankelijk zijn van het correcte functioneren van de interfaces die beschikbaar worden gesteld of die worden aangepast door de rekeninghoudende betaaldienstverleners. Daarom is het van belang dat, wanneer die interfaces niet voldoen aan de in deze normen vervatte bepalingen, maatregelen worden genomen om de bedrijfscontinuïteit te garanderen ten behoeve van de gebruikers van die diensten. Het is de taak van nationale bevoegde autoriteiten ervoor te zorgen dat rekeninginformatiedienstverleners en betaalinitiatiedienstverleners niet geblokkeerd of gehinderd worden bij het verlenen van hun diensten.   
            
            
               (23)Wanneer door middel van een speciale interface tot betaalrekeningen toegang wordt geboden, dienen, om het recht van betaaldienstgebruikers te garanderen om gebruik te maken van betaalinitiatiedienstverleners en van diensten waarmee toegang kan worden verkregen tot rekeninginformatie, zoals bepaald in Richtlijn (EU) 2015/2366, die speciale interfaces dezelfde mate van beschikbaarheid en hetzelfde prestatieniveau te hebben als de interface die voor de betaaldienstgebruiker beschikbaar is. Rekeninghoudende betaaldienstverleners dienen ook transparante kritische prestatie-indicatoren (KPI's) en serviceniveaudoelstellingen vast te leggen voor de beschikbaarheid en de prestaties van speciale interfaces die ten minste even streng zijn als die welke gelden voor de interface die voor hun betaaldienstgebruikers wordt gebruikt. Die interfaces dienen te worden getest door de betaaldienstverleners die deze zullen gaan gebruiken, en bevoegde autoriteiten dienen op die interfaces stresstests uit te voeren en deze te monitoren. 
            
            
               (24)Om te garanderen dat betaaldienstverleners die van de speciale interface gebruikmaken, hun diensten kunnen blijven verlenen bij problemen inzake beschikbaarheid of bij ontoereikende prestaties, dient, onder strikte voorwaarden, te worden voorzien in een terugvalmechanisme waardoor die dienstverleners kunnen gebruikmaken van de interface die de rekeninghoudende betaaldienstverlener onderhoudt voor de identificatie van en de communicatie met zijn eigen betaaldienstgebruikers. Bepaalde rekeninghoudende betaaldienstverleners zullen worden vrijgesteld van de verplichting om dit soort terugvalmechanisme aan te bieden via hun customer facing interfaces wanneer hun bevoegde autoriteiten vaststellen dat de speciale interfaces voldoen aan specifieke voorwaarden die onbelemmerde concurrentie garanderen.  Ingeval de vrijgestelde speciale interfaces niet aan de vereiste voorwaarden voldoen, dient de toegekende vrijstelling te worden ingetrokken door de betrokken bevoegde autoriteiten. 
            
            
               (25)Om bevoegde autoriteiten in staat te stellen doeltreffend toezicht te houden op de implementatie en het beheer van de communicatie-interfaces en een en ander te monitoren, dienen rekeninghoudende betaaldienstverleners een overzicht te maken van de desbetreffende documentatie die op hun website beschikbaar is, en dienen zij, op verzoek, de bevoegde autoriteiten documentatie te verschaffen over de oplossingen bij noodsituaties. De rekeninghoudende betaaldienstverleners dienen ook de statistische gegevens over de beschikbaarheid en de prestaties van die interface publiek beschikbaar te maken. 
            
            
               (26)Om de vertrouwelijkheid en de integriteit van gegevens te garanderen, moet de veiligheid worden verzekerd van communicatiesessies tussen rekeninghoudende betaaldienstverleners, rekeninginformatiedienstverleners, betaalinitiatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven. Het is met name noodzakelijk dat bij het uitwisselen van gegevens tussen rekeninginformatiedienstverleners, betaalinitiatiedienstverleners, betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven en rekeninghoudende betaaldienstverleners veilige versleuteling wordt toegepast.
            
            
               (27)Om het vertrouwen van gebruikers te versterken en om sterke cliëntauthenticatie te verzekeren, dient het gebruik van elektronische identificatiemiddelen en vertrouwensdiensten als uiteengezet in Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad
                  3
                in aanmerking te worden genomen, met name wat betreft aangemelde stelsels voor elektronische identificatie. 
            
            
               (28)Om te zorgen voor onderling afgestemde toepassingsdata, dient deze verordening van toepassing te zijn vanaf dezelfde datum als die waarop de lidstaten moeten zorgen voor de toepassing van de in de artikelen 65, 66, 67 en 97 van Richtlijn (EU) 2015/2366 bedoelde beveiligingsmaatregelen.
            
            
               (29)Deze verordening is gebaseerd op de ontwerpen van technische reguleringsnormen die de Europese Bankautoriteit (EBA) aan de Commissie heeft voorgelegd. 
            
            
               (30)De EBA heeft open en transparante publieksraadplegingen gehouden over de ontwerpen van technische reguleringsnormen waarop deze verordening is gebaseerd, heeft de mogelijke kosten en baten geanalyseerd en heeft het advies van de in overeenstemming met artikel 37 van Verordening (EU) nr. 1093/2010 opgerichte Stakeholdergroep Bankwezen ingewonnen, 
            
         
         
            
               HEEFT DE VOLGENDE VERORDENING VASTGESTELD:
            
            
               HOOFDSTUK I
                  ALGEMENE BEPALINGEN
            
            
               Artikel 1
                  Onderwerp
            
            
               Door deze verordening worden de vereisten vastgesteld die betaaldienstverleners in acht moeten nemen ten behoeve van de uitvoering van beveiligingsmaatregelen die hen in staat stellen het volgende te doen: 
            
            
               (a)toepassen van de procedure voor sterke cliëntauthenticatie in overeenstemming met artikel 97 van Richtlijn (EU) 2015/2366;
            
            
               (b)vrijstellen van de toepassing van de beveiligingsvereisten voor sterke cliëntauthenticatie, afhankelijk van nader omschreven en beperkte voorwaarden op basis van de omvang van het risico, het bedrag en de recurrentie van de betalingstransactie en het voor de uitvoering van de betalingstransactie gebruikte betalingskanaal;
            
            
               (c)beschermen van de vertrouwelijkheid en de integriteit van de persoonlijke beveiligingsgegevens (credentials) van de betaaldienstgebruiker;
            
            
               (d)vaststellen van gemeenschappelijke en veilige open standaarden voor de communicatie tussen rekeninghoudende betaaldienstverleners, betaalinitiatiedienstverleners, rekeninginformatiedienstverleners, betalers, betalingsbegunstigden en andere betaaldienstverleners met betrekking tot het verlenen en gebruik van betaaldiensten uit hoofde van titel IV van Richtlijn (EU) 2015/2366. 
            
            
               Artikel 2
                  Algemene authenticatievereisten 
            
            
               1.Betaaldienstverleners beschikken over mechanismen voor het monitoren van transacties waarmee zij ongeoorloofde of frauduleuze betalingstransacties voor de toepassing van de in de punten a) en b) van artikel 1 genoemde veiligheidsmaatregelen kunnen implementeren.
            
            
               Die mechanismen zijn gebaseerd op de analyse van betalingstransacties, waarbij rekening wordt gehouden met elementen die typisch zijn voor de betaaldienstgebruiker in omstandigheden van normaal gebruik van de persoonlijke beveiligingsgegevens. 
            
            
               2.Betaaldienstverleners zorgen ervoor dat de mechanismen voor het monitoren van transacties ten minste met elk van de volgende risicofactoren rekening houden: 
            
            
               (a)lijsten van gecompromitteerde of gestolen authenticatie-elementen; 
            
            
               (b)het bedrag van elke betalingstransactie; 
            
            
               (c)bekende fraudescenario's bij het verlenen van betaaldiensten; 
            
            
               (d)tekenen van malwarebesmetting tijdens sessies van de authenticatieprocedure;
            
            
               (e)ingeval de toegangsapparatuur of de software door de betaaldienstverlener wordt verstrekt, een gebruikslog van de aan de betalingsgebruiker verstrekte toegangsapparatuur of software en het abnormale gebruik van de toegangsapparatuur of de software. 
            
            
               Artikel 3
                  Evaluatie van de beveiligingsmaatregelen
            
            
               1.De implementatie van de in artikel 1 bedoelde beveiligingsmaatregelen wordt in overeenstemming met het toepasselijke juridische kader van de betaaldienstverlener gedocumenteerd, op gezette tijden getest, geëvalueerd en gecontroleerd door auditors met deskundigheid op het gebied van IT-beveiliging en betalingen en die operationeel onafhankelijk zijn binnen of ten opzichte van de betaaldienstverlener. 
            
            
               2.De tijdsspanne tussen de in lid 1 bedoelde audits wordt vastgesteld rekening houdende met het desbetreffende boekhoudkundige en wettelijke auditkader dat op de betaaldienstverlener van toepassing is.
            
         
         
            
               Betaaldienstverleners kunnen evenwel gebruikmaken van de in artikel 18 bedoelde afwijking op voorwaarde dat ten minste eenmaal per jaar een audit van de methodologie, het model en de gemelde fraudepercentages plaatsvindt. De auditor die deze audit uitvoert, beschikt over deskundigheid op het gebied van IT-beveiliging en betalingen en is operationeel onafhankelijk binnen of ten opzichte van de betaaldienstverlener. In het eerste jaar dat van de afwijking op grond van artikel 18 wordt gebruikgemaakt en vervolgens ten minste om de drie jaar, of vaker op verzoek van de bevoegde autoriteit, wordt deze audit uitgevoerd door een onafhankelijke en gekwalificeerde externe auditor.
            
            
               3.Deze audit maakt een evaluatie van en doet verslag over de inachtneming van de in deze verordening vastgestelde vereisten door de beveiligingsmaatregelen van de betaaldienstverlener. 
            
            
               Het volledige verslag wordt bevoegde autoriteiten op hun verzoek beschikbaar gesteld.
            
            
               HOOFDSTUK II
                  BEVEILIGINGSMAATREGELEN VOOR DE TOEPASSING VAN STERKE CLIËNTAUTHENTICATIE 
            
            
               Artikel 4
                  Authenticatiecode
            
            
               1.Wanneer betaaldienstverleners in overeenstemming met artikel 97, lid 1, van Richtlijn (EU) 2015/2366 sterke cliëntauthenticatie toepassen, is deze authenticatie gebaseerd op twee of meer elementen die als kennis, bezit en inherentie worden gekwalificeerd en die resulteren in het genereren van een authenticatiecode. 
            
            
               De authenticatie wordt pas door de betaaldienstverlener geaccepteerd wanneer de betaler de authenticatiecode gebruikt om online toegang te krijgen tot zijn betaalrekening, om een elektronische betalingstransactie te initiëren of om via een communicatiemiddel op afstand een handeling uit te voeren die een risico op betalingsfraude of andere vormen van misbruik met zich kan meebrengen.
            
            
               2.Voor de toepassing van lid 1 nemen betaaldienstverleners beveiligingsmaatregelen waarmee aan elk van de volgende voorwaarden kan worden voldaan: 
            
            
               (a)informatie over een van de in lid 1 bedoelde elementen kan niet worden afgeleid uit de openbaarmaking van de authenticatiecode;
            
            
               (b)het is niet mogelijk een nieuwe authenticatiecode te genereren op basis van de kennis van andere, voordien gegenereerde authenticatiecodes;
            
            
               (c)de authenticatiecode kan niet worden vervalst.
            
            
               3.Betaaldienstverleners zorgen ervoor dat de authenticatie door middel van het genereren van een authenticatiecode elk van de volgende elementen omvat:
            
            
               (a)wanneer de authenticatie voor toegang op afstand, elektronische betalingen op afstand of andere handelingen via een communicatiemiddel op afstand die een risico op betalingsfraude of andere vormen van misbruik met zich kunnen meebrengen, geen authenticatiecode voor de toepassing van lid 1 heeft gegenereerd, is het niet mogelijk om te identificeren welke van de in dat lid bedoelde elementen niet correct was;
            
            
               (b)het aantal mislukte authenticatiepogingen dat opeenvolgend kan plaatsvinden voordat de in artikel 97, lid 1, van Richtlijn (EU) 2015/2366 genoemde handelingen tijdelijk of permanent worden geblokkeerd, bedraagt binnen een bepaalde tijdsspanne  maximaal vijf; 
            
            
               (c)de communicatiesessies zijn overeenkomstig de vereisten van hoofdstuk V beschermd tegen onderschepping van authenticatiegegevens die tijdens de authenticatie worden doorgegeven, en tegen manipulatie door onbevoegde partijen; 
            
            
               (d)de maximumtijd zonder activiteit van de betaler nadat deze zich heeft geauthenticeerd om online toegang te krijgen tot zijn betaalrekening, bedraagt niet meer dan vijf minuten.
            
            
               4.Wanneer de in lid 3, onder b), bedoelde blokkering tijdelijk is, wordt de duur van die blokkering en het aantal nieuwe pogingen bepaald op basis van de kenmerken van de aan de betaler geleverde dienst en alle daaraan verbonden betrokken risico's, rekening houdende met ten minste de in artikel 2, lid 2, bedoelde factoren. 
            
            
               De betaler wordt gewaarschuwd voordat de blokkering permanent wordt. 
            
            
               Wanneer de blokkering permanent is geworden, wordt een veilige procedure ingesteld waardoor de betaler opnieuw kan gebruikmaken van de geblokkeerde elektronische betaalinstrumenten.
            
            
               Artikel 5
                  Dynamische koppeling
            
         
         
            
               1.Wanneer betaaldienstverleners sterke cliëntauthenticatie toepassen in overeenstemming met artikel 97, lid 2, van Richtlijn (EU) 2015/2366, stellen zij, afgezien van de vereisten van artikel 4 van deze verordening, ook beveiligingsmaatregelen vast die aan elk van de volgende voorwaarden voldoen:
            
            
               (a)de betaler wordt in kennis gesteld van het bedrag van de betalingstransactie en van de betalingsbegunstigde;
            
            
               (b)de gegenereerde authenticatiecode is specifiek voor het bedrag van de betalingstransactie en de betalingsbegunstigde waarmee de betaler bij het initiëren van de transactie akkoord is gegaan;
            
            
               (c)de door de betaaldienstverlener geaccepteerde authenticatiecode stemt overeen met het oorspronkelijke specifieke bedrag van de betalingstransactie en de identiteit van de betalingsbegunstigde waarmee de betaler akkoord is gegaan;
            
            
               (d)wijzigingen van het bedrag of de betalingsbegunstigde maken de gegenereerde authenticatiecode ongeldig.
            
            
               2.Voor de toepassing van lid 1 nemen betaaldienstverleners beveiligingsmaatregelen die de vertrouwelijkheid, authenticiteit en integriteit van elk van de volgende elementen garanderen: 
            
            
               (a)het transactiebedrag en de betalingsbegunstigde tijdens alle fases van de authenticatie;
            
            
               (b)de informatie die de betaler te zien krijgt tijdens alle fases van de authenticatie, daaronder begrepen het genereren, doorzenden en gebruiken van de authenticatiecode. 
            
            
               3.Voor de toepassing van lid 1, onder b), en wanneer betaaldienstverleners in overeenstemming met artikel 97, lid 2, van Richtlijn (EU) 2015/2366 sterke cliëntauthenticatie toepassen, gelden voor de authenticatiecode de volgende vereisten:
            
            
               (a)wat betreft een op kaarten gebaseerde betalingstransactie waarvoor de betaler heeft ingestemd met het exacte bedrag dat mag worden geblokkeerd overeenkomstig artikel 75, lid 1, van die richtlijn, is de authenticatiecode specifiek voor het bedrag dat met instemming van de betaler is geblokkeerd en waarmee deze akkoord is gegaan bij het initiëren van de transactie;
            
            
               (b)wat betreft betalingstransacties waarvoor de betaler heeft ingestemd met de uitvoering van een batch van elektronische betalingstransacties op afstand aan één of meerdere betalingsbegunstigden, is de authenticatiecode specifiek voor het volledige bedrag van de batch betalingstransacties en de vermelde betalingsbegunstigden.
            
            
               Artikel 6
                  Vereisten voor de als kennis gekwalificeerde elementen
            
            
               1.Betaaldienstverleners nemen maatregelen om het risico te mitigeren dat de als kennis gekwalificeerde elementen van sterke cliëntauthenticatie worden ontdekt door of onthuld aan onbevoegde partijen. 
            
            
               2.Het gebruik van die elementen door de betaler is onderworpen aan risicobeperkende maatregelen die de onthulling ervan aan onbevoegde partijen moeten voorkomen.
            
            
               Artikel 7
                  Vereisten voor de als bezit gekwalificeerde elementen
            
            
               1.Betaaldienstverleners nemen maatregelen om het risico te mitigeren dat de als bezit gekwalificeerde elementen van sterke cliëntauthenticatie worden gebruikt door onbevoegde partijen. 
            
            
               2.Het gebruik van die elementen door de betaler is onderworpen aan maatregelen die replicatie van die elementen moeten voorkomen.
            
            
               Artikel 8
                  Vereisten voor aan als inherentie gekwalificeerde elementen gekoppelde apparatuur en software
            
            
               1.Betaaldienstverleners nemen maatregelen om het risico te mitigeren dat de elementen van sterke cliëntauthenticatie die als inherentie worden gekwalificeerd en worden gelezen door aan de betaler verstrekte toegangsapparatuur en -software, worden ontdekt door onbevoegde partijen. De betaaldienstverleners zorgen er ten minste voor dat bij die toegangsapparatuur en -software de kans zeer klein is dat een onbevoegde partij als de betaler wordt geauthenticeerd.
            
            
               2.Het gebruik van die elementen door de betaler is onderworpen aan maatregelen die ervoor moeten zorgen dat gegarandeerd is dat die apparatuur en de software bestand zijn tegen ongeoorloofd gebruik van de elementen door toegang tot de apparatuur en de software.
            
         
         
            
               Artikel 9
                  Onafhankelijkheid van de elementen 
            
            
               1.Betaaldienstverleners zorgen ervoor dat het gebruik van de in de artikelen 6, 7 en 8 bedoelde elementen van sterke cliëntauthenticatie onderworpen is aan maatregelen die ervoor zorgen dat, in termen van technologie, algoritmen en parameters, het kraken van een van die elementen de betrouwbaarheid van de overige elementen niet in gevaar brengt.
            
            
               2.Betaaldienstverleners nemen beveiligingsmaatregelen wanneer een of meer van de elementen van sterke cliëntauthenticatie of de authenticatiecode zelf worden gebruikt op een multipurpose apparaat, om het risico te mitigeren dat zou voortvloeien uit het feit dat het multipurpose apparaat is gecompromitteerd. 
            
            
               3.Voor de toepassing van lid 2 omvatten de risicobeperkende maatregelen elk van de volgende elementen:
            
            
               (a)het gebruik van gescheiden, beveiligde uitvoeringsomgevingen via de software die op het multipurpose apparaat is geïnstalleerd; 
            
            
               (b)mechanismen om ervoor te zorgen dat de software of het apparaat niet wordt gewijzigd door de betaler of door een derde partij;
            
            
               (c)wanneer wijzigingen hebben plaatsgevonden, mechanismen om de gevolgen daarvan te dempen.
            
            
            
               HOOFDSTUK III
                  VRIJSTELLINGEN VAN STERKE CLIËNTAUTHENTICATIE 
            
            
               Artikel 10
                  Betaalrekeninginformatie
            
            
               1.Het is betaaldienstverleners toegestaan om sterke cliëntauthenticatie niet toe passen, mits de voorwaarden van artikel 2 en lid 2 van dit artikel in acht worden genomen en wanneer een betaaldienstgebruiker beperkt wordt in zijn onlinetoegang tot een of beide van de volgende elementen zonder dat gevoelige betalingsgegevens worden vrijgegeven: 
            
            
               (a)het saldo van één of meer aangewezen betaalrekeningen;
            
            
               (b)de betalingstransacties die de laatste 90 dagen zijn uitgevoerd via één of meer aangewezen betaalrekeningen. 
            
            
               2.Voor de toepassing van lid 1 zijn betaaldienstverleners niet vrijgesteld van het toepassen van sterke cliëntauthenticatie wanneer een van de beide volgende voorwaarden is vervuld: 
            
            
               (a)de betaaldienstgebruiker krijgt voor het eerst online toegang tot de in lid 1 genoemde informatie;
            
            
               (b)meer dan 90 dagen zijn verstreken sinds de betaaldienstgebruiker toegang heeft gehad tot de in lid 1, onder b), genoemde informatie en sterke cliëntauthenticatie is toegepast.
            
            
               Artikel 11
                  Contactloze betalingen in verkooppunten
            
            
               Het is betaaldienstverleners toegestaan om, mits de voorwaarden van artikel 2 in acht worden genomen, sterke cliëntauthenticatie niet toe passen wanneer de betaler een contactloze elektronische betalingstransactie initieert indien de volgende voorwaarden zijn vervuld:
            
            
               (a)het individuele bedrag van de contactloze elektronische betalingstransactie bedraagt niet meer dan 50 EUR; en
            
            
               (b)het totale bedrag van voorafgaande contactloze elektronische betalingstransacties die zijn geïnitieerd door middel van een betaalinstrument met een contactloze functionaliteit, beloopt sinds de datum van de laatste toepassing van sterke cliëntauthenticatie niet meer dan 150 EUR; of
            
         
         
            
               (c)het aantal opeenvolgende contactloze elektronische betalingstransacties die zijn geïnitieerd via het betaalinstrument dat een contactloze functionaliteit biedt, bedraagt sinds de datum van de laatste toepassing van sterke cliëntauthenticatie niet meer dan vijf.
            
            
               Artikel 12
                  Onbemande betaalautomaten voor vervoerbewijzen en parkeergelden
            
            
               Het is betaaldienstverleners toegestaan om, mits de voorwaarden van artikel 2 in acht worden genomen, sterke cliëntauthenticatie niet toe passen wanneer de betaler een elektronische betalingstransactie initieert op een onbemande betaalautomaat met het oog op de betaling van vervoerbewijzen of parkeergelden. 
            
            
               Artikel 13
                  Betrouwbare betalingsbegunstigden
            
            
               1.Betaaldienstverleners passen sterke cliëntauthenticatie toe wanneer een betaler een lijst van betrouwbare betalingsbegunstigden aanmaakt of aanpast via de rekeninghoudende betaaldienstverlener van de betaler.
            
            
               2.Het is betaaldienstverleners toegestaan om, mits de algemene authenticatievereisten in acht worden genomen, sterke cliëntauthenticatie niet toe te passen wanneer de betaler een betalingstransactie initieert en de betalingsbegunstigde is opgenomen in een voordien door de betaler aangemaakte lijst van betrouwbare betalingsbegunstigden.  
            
            
               Artikel 14
                  Recurrente transacties
            
            
               1.Betaaldienstverleners passen sterke cliëntauthenticatie toe wanneer een betaler een reeks recurrente transacties met hetzelfde bedrag en dezelfde betalingsbegunstigde aanmaakt, aanpast of voor het eerst initieert. 
            
            
               2.Het is betaaldienstverleners toegestaan om, mits de algemene authenticatievereisten in acht worden genomen, sterke cliëntauthenticatie niet toe te passen voor het initiëren van alle volgende betalingstransacties uit de in lid 1 bedoelde reeks transacties. 
            
            
               Artikel 15
                  Overmakingen tussen door dezelfde natuurlijke persoon of rechtspersoon aangehouden rekeningen
            
            
               Het is betaaldienstverleners toegestaan om, mits de voorwaarden van artikel 2 in acht worden genomen, sterke cliëntauthenticatie niet toe passen wanneer de betaler een overmaking initieert wanneer de betaler en de betalingsbegunstigde dezelfde natuurlijke persoon of rechtspersoon zijn en beide betaalrekeningen worden aangehouden bij dezelfde rekeninghoudende betaaldienstverlener.
            
            
               Artikel 16
                  Transacties voor kleine bedragen
            
            
               Het is betaaldienstverleners toegestaan om sterke cliëntauthenticatie niet toe passen wanneer de betaler een elektronische betalingstransactie op afstand initieert mits de volgende voorwaarden zijn vervuld:
            
            
               (a)het bedrag van de elektronische betalingstransactie op afstand bedraagt niet meer dan 30 EUR; en
            
            
               (b)het totale bedrag van voorafgaande elektronische betalingstransacties op afstand die zijn geïnitieerd sinds de laatste toepassing van sterke cliëntauthenticatie, beloopt niet meer dan 100 EUR; of
            
            
               (c)het aantal voorafgaande elektronische betalingstransacties op afstand die zijn geïnitieerd sinds de laatste toepassing van sterke cliëntauthenticatie, beloopt niet meer dan vijf opeenvolgende individuele elektronische betalingstransacties op afstand. 
            
            
               Artikel 17
                  Veilige zakelijke betalingsprocedures en -protocollen
            
            
               Het is betaaldienstverleners toegestaan om sterke cliëntauthenticatie niet toe te passen ten aanzien van rechtspersonen die elektronische betalingstransacties initiëren via het gebruik van speciale betalingsprocedures of -protocollen die alleen beschikbaar worden gesteld aan betalers niet zijnde consumenten wanneer de bevoegde autoriteiten zich ervan hebben vergewist dat die processen of protocollen beveiligingsniveau's garanderen ten minste gelijkwaardig zijn aan die waarin door Richtlijn (EU) 2015/2366 wordt voorzien.
            
            
               Artikel 18
                  Analyse van transactierisico's
            
            
               1.Het is betaaldienstverleners toegestaan om sterke cliëntauthenticatie niet toe te passen wanneer de betaler een elektronische betalingstransactie op afstand initieert die door de betaaldienstverleners volgens de in artikel 2 en in lid 2, onder c), van dit artikel bedoelde mechanismen voor transactiemonitoring is geïdentificeerd als een transactie die weinig risico oplevert. 
            
         
         
            
               2.Een in lid 1 bedoelde elektronische betalingstransactie wordt beschouwd als een transactie die weinig risico oplevert, wanneer elk van de volgende voorwaarden is vervuld:
            
            
               (a)het fraudepercentage voor dat type transactie, zoals gemeld door de betaaldienstverlener en berekend in overeenstemming met artikel 19, is gelijkwaardig aan of ligt lager dan de referentiefraudepercentages die in de tabel in de bijlage worden genoemd voor, onderscheidenlijk, "elektronische op kaarten gebaseerde betalingen op afstand" en "elektronische overmakingen op afstand"; 
            
            
               (b)het transactiebedrag ligt niet hoger dan de betrokken drempelwaarde voor vrijstelling die in de tabel in de bijlage wordt genoemd; 
            
            
               (c)betaaldienstverleners hebben als gevolg van het uitvoeren van een realtime risicoanalyse niet een van de volgende elementen geïdentificeerd: 
            
            
               i)een abnormaal uitgave- of gedragspatroon van de betaler; 
            
            
               ii)ongewone informatie over de toegangsapparatuur of -software van de betaler; 
            
            
               iii)een malwarebesmetting tijdens sessies van de authenticatieprocedure;
            
            
               iv)bekende fraudescenario's bij het verlenen van betaaldiensten;
            
            
               v)een ongebruikelijke locatie van de betaler; 
            
            
               vi)een hoogrisicolocatie van de betalingsbegunstigde.
            
            
               3.Betaaldienstverleners die voornemens zijn elektronische betalingstransacties op afstand vrij te stellen van sterke cliëntauthenticatie op grond van het feit dat deze een laag risico inhouden, nemen ten minste de volgende risicofactoren in aanmerking: 
            
            
               (a)de vroegere uitgavepatronen van de individuele betaaldienstgebruiker; 
            
            
               (b)de betalingstransactiegeschiedenis van elk van de betaaldienstgebruikers van de betaaldienstverlener; 
            
            
               (c)de locatie van de betaler en de betalingsbegunstigde op het tijdstip van de betalingstransactie in gevallen waar de toegangsapparatuur of -software door de betaaldienstverleners wordt verstrekt;
            
            
               (d)de identificatie van ongebruikelijke betalingspatronen van de betaaldienstgebruiker ten opzichte van de betalingstransactiegeschiedenis van de gebruiker.
            
            
               In de beoordeling die een betaaldienstverlener maakt, worden al die risicofactoren gecombineerd tot een risicoscore voor elke individuele transactie, om te bepalen of een specifieke betaling kan worden toegestaan zonder sterke cliëntauthenticatie.
            
            
               Artikel 19
                  Berekening van fraudepercentages 
            
            
               1.Voor elk in de tabel in de bijlage genoemd type transactie zorgt de betaaldienstverlener ervoor dat de totale fraudepercentages voor zowel via sterke cliëntauthenticatie geauthenticeerde betalingstransacties als voor transacties die worden uitgevoerd op grond van een van de in de artikelen 13 tot en met 18 bedoelde vrijstellingen, gelijkwaardig zijn aan of lager dan het referentiefraudepercentage voor hetzelfde type betalingstransactie dat in de tabel in de bijlage is vermeld. 
            
            
               Het totale fraudepercentage voor elk type transactie wordt berekend als de totale waarde van ongeoorloofde of frauduleuze transacties op afstand, ongeacht of de middelen zijn teruggevorderd of niet, gedeeld door de totale waarde van alle transacties op afstand voor hetzelfde type transactie, ongeacht of deze zijn geauthenticeerd met sterke cliëntauthenticatie dan wel zijn uitgevoerd op grond van een van de in de artikelen 13 tot en met 18 bedoelde vrijstellingen, op voortschrijdende kwartaalbasis (90 dagen). 
            
            
               2.De berekening van de fraudepercentages en de daaruit resulterende cijfers worden beoordeeld tijdens de in artikel 3, lid 2, bedoelde audit, hetgeen ervoor zorgt dat deze volledig en nauwkeurig zijn. 
            
         
         
            
               3.De methodologie en eventuele modellen die de betaaldienstverlener gebruikt om de fraudepercentages te berekenen, alsmede de fraudepercentages zelf worden adequaat gedocumenteerd en worden, op hun verzoek, volledig beschikbaar gesteld aan bevoegde autoriteiten en, na voorafgaande kennisgeving aan de betrokken bevoegde autoriteit of autoriteiten, aan EBA.
            
            
               Artikel 20
                  Stopzetting van vrijstellingen op basis van analyse van transactierisico's 
            
            
               1.Betaaldienstverleners die van de in artikel 18 bedoelde vrijstelling gebruikmaken, doen onverwijld melding aan de bevoegde autoriteiten wanneer een van hun gemonitorde fraudepercentages, voor een van de types betalingstransacties uit de tabel in de bijlage, het toepasselijke referentiefraudepercentage overschrijdt en verschaffen de bevoegde autoriteiten een beschrijving van de maatregelen die zij voornemens zijn te nemen zodat hun gemonitorde fraudepercentage opnieuw aan de toepasselijke referentiefraudepercentages voldoet. 
            
            
               2.Betaaldienstverleners zetten onverwijld het gebruik stop van de in artikel 18 bedoelde vrijstelling voor een van de types betalingstransacties die is vermeld in de tabel in de bijlage met de specifieke vrijstellingsbandbreedte wanneer hun gemonitorde fraudepercentage voor twee opeenvolgende kwartalen het toepasselijke referentiefraudepercentage voor dat betaalinstrument of dat type betalingstransactie overschrijdt binnen die vrijstellingsbandbreedte. 
            
            
               3.Na de stopzetting van de in artikel 18 bedoelde vrijstelling overeenkomstig lid 2 van dit artikel maken betaaldienstverleners pas opnieuw gebruik van die vrijstelling wanneer hun berekende fraudepercentage gelijk is aan of lager ligt dan de referentiefraudepercentages over één kwartaal voor dat type betalingstransactie binnen die vrijstellingsbandbreedte.
            
            
               4.Wanneer betaaldienstverleners opnieuw willen gebruikmaken van de in artikel 18 bedoelde vrijstelling, stellen zij de bevoegde autoriteiten binnen een redelijk tijdsbestek in kennis en verschaffen zij, voordat zij opnieuw van die vrijstelling gebruikmaken, bewijsmateriaal voor het feit dat hun gemonitorde fraudepercentage, in overeenstemming met lid 3 van dit artikel, opnieuw binnen het toepasselijke fraudepercentage is gebracht voor die vrijstellingsbandbreedte. 
            
            
               Artikel 21
                  Monitoring
            
            
               1.Om gebruik te kunnen maken van de in de artikelen 10 tot en met 18 bepaalde vrijstellingen leggen betaaldienstverleners voor elk type betalingstransactie de volgende gegevens vast en monitoren ze deze, met een uitsplitsing in betalingstransacties op afstand en betalingstransacties niet op afstand, ten minste op kwartaalbasis:
            
            
               (a)de totale waarde van ongeoorloofde of frauduleuze betalingstransacties overeenkomstig artikel 64, lid 2, van Richtlijn (EU) 2015/2366, de totale waarde van alle betalingstransacties en het daaruit resulterende fraudepercentage, met inbegrip van een uitsplitsing van via sterke cliëntauthenticatie geïnitieerde betalingstransacties en volgens elk van de vrijstellingen;
            
            
               (b)de gemiddelde transactiewaarde, met inbegrip van een uitsplitsing van via sterke cliëntauthenticatie geïnitieerde betalingstransacties en volgens elk van de vrijstellingen;
            
            
               (c)het aantal betalingstransacties waar elk van de vrijstellingen is toegepast en hun aandeel in het totale aantal betalingstransacties.
            
            
               2.Betaaldienstverleners stellen de uitkomsten van de monitoring overeenkomstig lid 2 beschikbaar aan bevoegde autoriteiten en, na voorafgaande kennisgeving aan de betrokken bevoegde autoriteit of autoriteiten, aan EBA.
            
            
               HOOFDSTUK IV
                  VERTROUWELIJKHEID EN INTEGRITEIT VAN PERSOONLIJKE BEVEILIGINGSGEGEVENS VAN BETAALDIENSTGEBRUIKERS 
            
            
               Artikel 22
                  Algemene vereisten
            
            
               1.Betaaldienstverleners verzekeren de vertrouwelijkheid en integriteit van de persoonlijke beveiligingsgegevens van de betaaldienstgebruiker, daaronder begrepen authenticatiecodes, tijdens alle fasen van de authenticatie. 
            
            
               2.Voor de toepassing van lid 1 zorgen betaaldienstverleners ervoor dat aan elk van de volgende voorwaarden wordt voldaan:
            
            
               (a)persoonlijke beveiligingsgegevens worden afgeschermd wanneer ze verschijnen en zijn niet volledig leesbaar wanneer ze door de betaaldienstgebruiker tijdens de authenticatie worden ingegeven;
            
            
               (b)persoonlijke beveiligingsgegevens in gegevensformaat, alsmede cryptografisch materiaal met betrekking tot de versleuteling van de persoonlijke beveiligingsgegevens worden niet opgeslagen als niet-gecodeerde tekst; 
            
            
               (c)geheim cryptografisch materiaal wordt beschermd tegen ongeoorloofde bekendmaking. 
            
            
               3.Betaaldienstverleners documenteren het proces met betrekking tot het beheer van cryptografisch materiaal dat wordt gebruikt voor het versleutelen of anderszins onleesbaar maken van de persoonlijke beveiligingsgegevens, volledig.
            
         
         
            
               4.Betaaldienstverleners zorgen ervoor dat de verwerking en het routeren van persoonlijke beveiligingsgegevens en van de in overeenstemming met hoofdstuk II gegenereerde authenticatiecodes plaatsvindt in een beveiligde omgeving volgens sterke en algemeen erkende sectorale standaarden. 
            
            
               Artikel 23
                  Aanmaken en doorgeven van beveiligingsgegevens 
            
            
               Betaaldienstverleners zorgen ervoor dat het aanmaken van persoonlijke beveiligingsgegevens in een veilige omgeving plaatsvindt.
            
            
               Zij beperken het risico van ongeoorloofd gebruik van de persoonlijke beveiligingsgegevens en van de authenticatieapparatuur en -software als gevolg van verlies, diefstal of kopiëren vóór de levering ervan aan de betaler.
            
            
               Artikel 24
                  Koppeling aan de betaaldienstgebruiker 
            
            
               1.Betaaldienstverleners zorgen ervoor dat alleen de betaaldienstgebruiker veilig wordt gekoppeld aan de persoonlijke beveiligingsgegevens, de authenticatieapparatuur en -software. 
            
            
               2.Voor de toepassing van lid 1 zorgen betaaldienstverleners ervoor dat aan elk van de volgende voorwaarden wordt voldaan: 
            
            
               (a)de koppeling van de identiteit van de betaaldienstgebruiker aan persoonlijke beveiligingsgegevens, authenticatieapparatuur en -software vindt plaats in veilige omgevingen onder de verantwoordelijkheid van de betaaldienstverlener die ten minste omvatten de bedrijfsgebouwen van de betaaldienstverlener, de door de betaaldienstverlener verschafte internetomgeving of andere vergelijkbare veilige websites die door de betaaldienstverlener worden gebruikt en zijn geldautomaatdiensten, en rekening houdende met risico's die verbonden zijn aan apparaten en onderliggende onderdelen die worden gebruikt tijdens de koppelingsprocedure maar die niet onder de verantwoordelijkheid van de betaaldienstverlener vallen;
            
            
               (b)de koppeling via een communicatiemiddel op afstand van de identiteit van de betaaldienstgebruiker aan de persoonlijke beveiligingsgegevens en aan authenticatieapparatuur of -software vindt plaats door middel van sterke cliëntauthenticatie.
            
            
               Artikel 25
                  Levering van beveiligingsgegevens, authenticatieapparatuur en -software
            
            
               1.Betaaldienstverleners zorgen ervoor dat de levering van persoonlijke beveiligingsgegevens, authenticatieapparatuur en -software aan de betaaldienstgebruiker op een veilige manier verloopt die de risico's helpt te voorkomen die zijn verbonden aan het ongeoorloofde gebruik ervan als gevolg van verlies, diefstal of kopiëren. 
            
            
               2.Voor de toepassing van lid 1 passen betaaldienstverleners ten minste elk van de volgende maatregelen toe:
            
            
               (a)doeltreffende en veilige leveringsmechanismen die garanderen dat de persoonlijke beveiligingsgegevens, authenticatieapparatuur en -software aan de rechtmatige betaaldienstgebruiker worden geleverd;
            
            
               (b)mechanismen waarmee de betaaldienstverlener de authenticiteit kan nagaan van de authenticatiesoftware die de betaaldienstgebruiker via het internet wordt geleverd;
            
            
               (c)regelingen die ervoor zorgen dat, wanneer de levering van persoonlijke beveiligingsgegevens plaatsvindt buiten de bedrijfsruimten van de betaaldienstverlener of via een communicatiemiddel op afstand:
            
            
               i)
                     geen onbevoegde partij meer dan één element van de persoonlijke beveiligingsgegevens, de authenticatieapparatuur of -software kan krijgen wanneer die via hetzelfde kanaal worden geleverd;
            
            
               ii)
                     de geleverde persoonlijke beveiligingsgegevens, authenticatieapparatuur of -software moeten worden geactiveerd voordat ze kunnen worden gebruikt;
            
            
               (d)regelingen die ervoor zorgen dat, in gevallen waarin de persoonlijke beveiligingsgegevens, de authenticatieapparatuur of -software moeten worden geactiveerd vóór het eerste gebruik ervan, de authenticatie in een veilige omgeving plaatsvindt in overeenstemming met de in artikel 24 bedoelde koppelingsprocedures.
            
            
               Artikel 26
                  Vernieuwing van persoonlijke beveiligingsgegevens
            
            
               Betaaldienstverleners zorgen ervoor dat de vernieuwing of het opnieuw activeren van persoonlijke beveiligingsgegevens verlopen volgens de procedures voor het aanmaken, koppelen en leveren van de beveiligingsgegevens en de authenticatieapparatuur in overeenstemming met de artikelen 23, 24 en 25.
            
         
         
            
               Artikel 27
                  Vernietiging, deactivering en herroeping 
            
            
               Betaaldienstverleners zorgen ervoor dat zij beschikken over effectieve procedures om elk van de volgende beveiligingsmaatregelen toe te passen:
            
            
               (a)de veilige vernietiging, deactivering of herroeping van de persoonlijke beveiligingsgegevens, authenticatieapparatuur en -software;
            
            
               (b)wanneer de betaaldienstverlener herbruikbare authenticatieapparatuur en -software distribueert, wordt het veilige hergebruik van een apparaat of van software vastgelegd, gedocumenteerd en geïmplementeerd voordat deze aan een andere betaaldienstgebruiker beschikbaar worden gesteld; 
            
            
               (c)het deactiveren of herroepen van informatie met betrekking tot persoonlijke beveiligingsgegevens die zijn opgeslagen in de systemen en databases van de betaaldienstverlener en, in voorkomend geval, in publieke registers.
            
            
               HOOFDSTUK IV
                  GEMEENSCHAPPELIJKE EN VEILIGE OPEN COMMUNICATIESTANDAARDEN 
            
            
               Afdeling 1 
                  Algemene vereisten voor communicatie
            
            
               Artikel 28
                  Identificatievereisten
            
            
               1.Betaaldienstverleners zorgen voor veilige identificatie bij de communicatie tussen de apparatuur van de betaler en de apparatuur van de betalingsbegunstigde voor het accepteren van elektronische betalingen, met inbegrip van, maar niet beperkt tot betaalterminals.
            
            
               2.Betaaldienstverleners zorgen ervoor dat de risico's dat communicatie wordt afgeleid naar onbevoegde partijen in mobiele applicaties en andere interfaces voor betaaldienstgebruikers die elektronische betaaldiensten verlenen, daadwerkelijk worden beperkt.
            
            
               Artikel 29
                  Traceerbaarheid
            
            
               1.Betaaldienstverleners beschikken over procedures die borgen dat alle betalingstransacties en andere interacties met de betaaldienstgebruiker, met andere betaaldienstverleners en met andere entiteiten, daaronder begrepen handelaren, in het kader van het verrichten van de betaaldienst traceerbaar zijn, zodat achteraf alle gebeurtenissen die relevant zijn voor de elektronische transactie in alle verschillende fases, bekend zijn. 
            
            
               2.Voor de toepassing van lid 1 zorgen betaaldienstverleners ervoor dat communicatiesessies die tot stand komen met de betaaldienstgebruiker, andere betaaldienstverleners en andere entiteiten, daaronder begrepen handelaren, gebruikmaken van elk van de volgende elementen:
            
            
               (a)een unieke identificator van de sessie; 
            
            
               (b)beveiligingsmechanismen voor een gedetailleerde logging van de transactie, met onder meer een transactienummer, tijdstempel en alle relevante transactiegegevens;
            
            
               (c)tijdstempels die zijn gebaseerd op een eengemaakt tijdsreferentiesysteem en die zijn gesynchroniseerd met een officieel tijdsignaal.
            
            
               Afdeling 2
                  Specifieke vereisten voor de gemeenschappelijke en veilige open standaarden voor communicatie
            
            
               Artikel 30
                  Algemene verplichtingen voor toegangsinterfaces
            
            
               1.Rekeninghoudende betaaldienstverleners die een betaler een betaalrekening aanbieden die online toegankelijk is, beschikken over ten minste één interface die voldoet aan elk van de volgende vereisten:
            
            
               (a)rekeninginformatiedienstverleners, betaalinitiatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven, zijn in staat om zichzelf te identificeren bij de rekeninghoudende betaaldienstverlener;
            
         
         
            
               (b)rekeninginformatiedienstverleners zijn in staat om veilig te communiceren bij het verzoeken om en ontvangen van informatie over één of meer aangewezen betaalrekeningen en daarmee samenhangende betalingstransacties; 
            
            
               (c)betaalinitiatiedienstverleners zijn in staat om veilig te communiceren bij het initiëren van een betalingsopdracht van de betaalrekening van de betaler en om alle informatie te ontvangen over de initiëring van de betalingstransactie en alle informatie die toegankelijk is voor de rekeninghoudende betaaldienstverleners met betrekking tot de uitvoering van de betalingstransactie.
            
            
               2.Voor de authenticatie van de betaaldienstgebruiker kunnen rekeninginformatiedienstverleners en betaalinitiatiedienstverleners dankzij de in lid 1 bedoelde interface een beroep doen op alle authenticatieprocedures die de rekeninghoudende betaaldienstverlener aan de betaaldienstgebruiker heeft aangeboden. 
            
            
               De interface voldoet ten minste aan elk van de volgende vereisten:
            
            
               (a)een betaalinitiatiedienstverlener of een rekeninginformatiedienstverlener is in staat de rekeninghoudende betaaldienstverlener te instrueren om de authenticatie te starten op basis van de instemming van de betaaldienstgebruiker; 
            
            
               (b)communicatiesessies tussen de rekeninghoudende betaaldienstverlener, de rekeninginformatiedienstverlener, de betaalinitiatiedienstverlener en betaaldienstgebruikers komt tot stand en wordt aangehouden via de authenticatie;
            
            
               (c)de integriteit en de vertrouwelijkheid van de persoonlijke beveiligingsgegevens en van door of via de betaalinitiatiedienstverlener of de rekeninginformatiedienstverlener doorgezonden authenticatiecodes wordt gewaarborgd.
            
            
               3.Rekeninghoudende betaaldienstverleners zorgen ervoor dat hun interfaces communicatiestandaarden volgen die zijn uitgevaardigd door internationale of Europese standaardisatieorganisaties.
            
            
               Rekeninghoudende betaaldienstverleners zorgen er ook voor dat de technische specificaties van de interfaces worden gedocumenteerd, waarbij een stel routines, protocollen en tools wordt aangegeven die betaalinitiatiedienstverleners, rekeninginformatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven, nodig hebben om hun software en toepassingen interoperabel te maken met de systemen van de rekeninghoudende betaaldienstverleners.
            
            
               Rekeninghoudende betaaldienstverleners stellen ten minste, en zeker zes maanden vóór de in artikel 38, lid 2, genoemde toepassingsdatum, of vóór de beoogde datum voor de marktlancering van de toegangsinterface wanneer de lancering plaatsvindt na de in artikel 38, lid 2, genoemde datum, de documentatie kosteloos beschikbaar op verzoek van vergunninghoudende betaalinitiatiedienstverleners, rekeninginformatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven of betaaldienstverleners die bij hun bevoegde autoriteiten de desbetreffende vergunning hebben aangevraagd, en stellen een overzicht van de documentatie publiek beschikbaar op hun website.
            
            
               4.Naast het bepaalde in lid 3 zorgen rekeninghoudende betaaldienstverleners ervoor dat, afgezien van noodsituaties, aanpassingen aan de technische specificaties van hun interface beschikbaar worden gesteld aan vergunninghoudende betaalinitiatiedienstverleners, rekeninginformatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven of betaaldienstverleners die bij hun bevoegde autoriteiten de desbetreffende vergunning hebben aangevraagd, zo snel mogelijk vooraf en ten minste drie maanden voordat de aanpassing wordt geïmplementeerd. 
            
            
               Betaaldienstverleners documenteren noodsituaties waarin aanpassingen zijn geïmplementeerd, en stellen de documentatie op verzoek aan bevoegde autoriteiten beschikbaar.
            
            
               5.Betaaldienstverleners stellen een testvoorziening beschikbaar, met inbegrip van ondersteuning, voor het testen van verbindingen en functionaliteiten zodat vergunninghoudende betaalinitiatiedienstverleners, rekeninginformatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven of betaaldienstverleners die bij hun bevoegde autoriteiten de desbetreffende vergunning hebben aangevraagd, de software en toepassingen kunnen testen die zij gebruiken om een betaaldienst aan gebruikers aan te bieden. Deze testvoorziening dient beschikbaar te worden gesteld uiterlijk zes maanden vóór de in artikel 38, lid 2, genoemde toepassingsdatum of vóór de beoogde datum voor de marktlancering van de toegangsinterface wanneer de lancering plaatsvindt na de in artikel 38, lid 2, genoemde datum,
            
            
               Via de testvoorziening mag evenwel geen gevoelige informatie worden gedeeld.
            
            
               6.Bevoegde autoriteiten zien erop toe dat rekeninghoudende betaaldienstverleners te allen tijde aan de in deze normen opgenomen verplichtingen voldoen wat betreft de interface of interfaces die zij beschikbaar stellen. Ingeval een rekeninghoudende betaaldienstverlener niet aan de in deze normen voor interfaces vastgestelde vereisten voldoet, zorgen bevoegde autoriteiten ervoor dat het verlenen van betaalinitiatiediensten en rekeninginformatiediensten niet wordt belet of verstoord voor zover de betrokken verleners van die diensten aan de in artikel 33, lid 5, bepaalde voorwaarden voldoen.
            
            
               Artikel 31
                  Opties voor toegangsinterfaces
            
            
               Rekeninghoudende betaaldienstverleners zetten de in artikel 30 bedoelde interface of interfaces op via een speciale interface of door toe te staan dat de in artikel 30, lid 1, genoemde betaaldienstverleners gebruikmaken van de interfaces die worden gebruikt voor authenticatie van en communicatie met de betaaldienstgebruikers van de rekeninghoudende betaaldienstverlener.
            
            
               Artikel 32
                  Voor een speciale interface geldende verplichtingen
            
            
               1.Op voorwaarde dat het bepaalde in de artikelen 30 en 31 in acht wordt genomen, zorgen rekeninghoudende betaaldienstverleners die een speciale interface hebben opgezet, ervoor dat die speciale interface te allen tijde hetzelfde niveau van beschikbaarheid en prestaties, met inbegrip van ondersteuning, aanbiedt als de interfaces die aan de betaaldienstgebruiker beschikbaar worden gesteld om direct online toegang te krijgen tot zijn betaalrekening.
            
            
               2.Rekeninghoudende betaaldienstverleners die een speciale interface hebben opgezet, leggen transparante kritische prestatie-indicatoren (KPI's) en serviceniveaudoelstellingen vast, die ten minste even streng zijn als die voor de interface die voor hun betaaldienstgebruikers wordt gebruikt, zowel in termen van beschikbaarheid als gegevens verschaft in overeenstemming met artikel 36. Die interfaces, indicatoren en doelstellingen worden door de bevoegde autoriteiten gemonitord en aan stresstests onderworpen. 
            
         
         
            
               3.Rekeninghoudende betaaldienstverleners die een speciale interface hebben opgezet, zorgen ervoor dat deze interface geen obstakels opwerpt voor het verlenen van betaalinitiatiediensten en rekeninginformatiediensten. Bij dergelijke obstakels kan het onder meer gaan om het beletten van het gebruik door de in artikel 30, lid 1, genoemde betaaldienstverleners van de door rekeninghoudende betaaldienstverleners aan hun cliënten afgegeven beveiligingsgegevens, het opleggen van omleiding naar de authenticatie of andere functies van de rekeninghoudende betaaldienstverlener, het eisen van bijkomende vergunningen en registraties bovenop die welke zijn bepaald in de artikelen 11, 14 en 15 van Richtlijn (EU) 2015/2366, of het eisen van extra controles op de door betaaldienstgebruikers aan betaalinitiatiedienstverleners en rekeninginformatiedienstverleners verleende toestemming.
            
            
               4.Voor de toepassing van de leden 1 en 2 monitoren rekeninghoudende betaaldienstverleners de beschikbaarheid en prestaties van de speciale interface. Rekeninghoudende betaaldienstverleners maken op hun website per kwartaal statistische gegevens bekend over de beschikbaarheid en prestaties van de speciale interface en van de door hun betaaldienstgebruikers gebruikte interface. 
            
            
               Artikel 33
                  Uitwijkvoorzieningen voor een speciale interface
            
            
               1.Rekeninghoudende betaaldienstverleners nemen, bij het vormgeven van de speciale interface, een strategie en plannen voor uitwijkvoorzieningen op voor het geval de interface niet presteert in overeenstemming met artikel 32, de interface ongepland niet-beschikbaar is en het systeem uitvalt. Ongeplande onbeschikbaarheid of een systeemuitval kan worden geacht te hebben plaatsgevonden wanneer op vijf opeenvolgende verzoeken om toegang tot informatie voor het verlenen van betaalinitiatiediensten of rekeninginformatiediensten niet binnen 30 seconden een antwoord is gekomen.
            
            
               2.Uitwijkvoorzieningen omvatten communicatieplannen om betaaldienstverleners die van de speciale interface gebruikmaken, te informeren over maatregelen om het systeem te herstellen en een beschrijving van de meteen beschikbare alternatieve opties waarover betaaldienstverleners in de tussentijd kunnen beschikken.
            
            
               3.Zowel de rekeninghoudende betaaldienstverlener als de betaaldienstverleners genoemd in artikel 30, lid, melden problemen met in lid 1 beschreven speciale interfaces onverwijld bij hun respectieve bevoegde nationale autoriteiten.
            
            
               4.Als onderdeel van een uitwijkvoorziening mogen in artikel 30, lid 1, genoemde betaaldienstverleners gebruikmaken van de interfaces die aan de betaaldienstgebruiker beschikbaar worden gesteld voor de authenticatie door en communicatie met hun rekeninghoudende betaaldienstverlener, totdat de speciale interface is hersteld tot het in artikel 32 bepaalde niveau van betrouwbaarheid en prestaties. 
            
            
               5.Met het oog daarop zorgen rekeninghoudende betaaldienstverleners ervoor dat de in artikel 30, lid 1, genoemde betaaldienstverleners kunnen worden geïdentificeerd en een beroep kunnen doen op de door de rekeninghoudende betaaldienstverlener voor de betaaldienstgebruiker vastgestelde authenticatieprocedures. Wanneer de in artikel 30, lid 1, bedoelde betaaldienstverleners gebruikmaken van de in de lid 4 bedoelde interface, doen zij het volgende:
            
            
               (a)zij nemen de nodige maatregelen om ervoor te zorgen dat zij zich geen toegang verschaffen tot gegevens of deze opslaan of verwerken voor andere doelstellingen dan het verlenen van de door de betaaldienstgebruiker gevraagde dienst;
            
            
               (b)zij blijven voldoen aan de verplichtingen uit hoofde van, onderscheidenlijk, artikel 66, lid 3, en artikel 67, lid 2, van Richtlijn (EU) 2015/2366; 
            
            
               (c)zij loggen de gegevens waartoe zij toegang hadden via de interface die door de rekeninghoudende betaaldienstverlener wordt geëxploiteerd ten behoeve van zijn betaaldienstgebruikers, en verschaffen, op verzoek en onverwijld, de logboekbestanden aan hun bevoegde nationale autoriteit;
            
            
               (d)zij verantwoorden tegenover hun bevoegde nationale autoriteit, op verzoek en onverwijld, deugdelijk het gebruik van de interface die aan de betaaldienstgebruiker beschikbaar is gesteld met het oog op rechtstreekse onlinetoegang tot zijn betaalrekening; 
            
            
               (e)zij informeren de rekeninghoudende betaaldienstverlener in die zin.
            
            
               6.Bevoegde autoriteiten verlenen, na overleg met EBA met het oog op een coherente toepassing van de onderstaande voorwaarden, aan de rekeninghoudende betaaldienstverleners die voor een speciale interface hebben geopteerd, ontheffing van de verplichting om de in lid 4 beschreven uitwijkvoorziening op te zetten wanneer de speciale interface aan elk van de volgende voorwaarden voldoet:
            
            
               (a)hij voldoet aan alle in artikel 32 uiteengezette verplichtingen voor speciale interfaces;
            
            
               (b)hij is ontworpen en getest in overeenstemming met artikel 30, lid 5, tot tevredenheid van de daarin genoemde betaaldienstverleners;
            
            
               (c)hij is ten minste drie maanden door betaaldienstverleners breed gebruikt voor het verlenen van rekeninginformatiediensten en betaalinitiatiediensten en voor het bevestigen van de beschikbaarheid van middelen voor op kaarten gebaseerde betalingen; 
            
            
               (d)problemen met betrekking tot de speciale interface zijn onverwijld opgelost.
            
            
               7.Bevoegde autoriteiten herroepen de in lid 6 bedoelde ontheffing wanneer de rekeninghoudende betaaldienstverleners voor meer dan twee opeenvolgende kalenderweken niet aan de voorwaarden van de punten a) en d) voldoen. Bevoegde autoriteiten stellen EBA van deze herroeping in kennis en zorgen ervoor dat de rekeninghoudende betaaldienstverlener, binnen de kortst mogelijke tijd en uiterlijk binnen twee maanden, de in lid 4 bedoelde uitwijkvoorziening opzet. 
            
            
               Artikel 34
                  Certificaten
            
         
         
            
               1.Met het oog op identificatie als bedoeld in artikel 30, lid 1, onder a), doen betaaldienstverleners een beroep op gekwalificeerde certificaten voor elektronische zegels als bedoeld in artikel 3, punt 30, van Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad voor websiteauthenticatie als bedoeld in artikel 3, punt 39, van die verordening.
            
            
               2.Voor de toepassing van deze verordening is het registratienummer als vermeld in de officiële registers, in overeenstemming met bijlage III, punt c), of bijlage IV, punt c), bij Verordening (EU) nr. 910/2014, het vergunningnummer van de betaaldienstverlener die op kaarten gebaseerde betaalinstrumenten uitgeeft, de rekeninginformatiedienstverleners en betaalinitiatiedienstverleners, met inbegrip van rekeninghoudende betaaldienstverleners die dergelijke diensten verlenen, dat beschikbaar is in het openbare register van de lidstaat van herkomst overeenkomstig artikel 14 van Richtlijn (EU) 2015/2366 of dat voortvloeit uit de kennisgevingen overeenkomstig artikel 20 van Richtlijn 2013/36/EU van het Europees Parlement en de Raad
                  4
                van elke op grond van artikel 8 van die richtlijn afgegeven vergunning.
            
            
               3.Voor de toepassing van deze verordening bevatten gekwalificeerde certificaten voor elektronische zegels of voor websiteauthenticatie als bedoeld in lid 1, in een in een in internationale financiële kringen gangbare taal, bijkomende specifieke attributen voor elk van de volgende elementen:
            
            
               (a)de rol van de betaaldienstverlener, die een of meer van de volgende kan zijn: 
            
            
               i) dienstverlening op het gebied van het beheer van bankrekeningen;
            
            
               ii) betaalinitiatie;
            
            
               iii) rekeninginformatie; 
            
            
               iv) uitgifte van op kaarten gebaseerde betaalinstrumenten;
            
            
               (b)de naam van de bevoegde autoriteiten waar de betaaldienstverlener is geregistreerd. 
            
            
               4.De in lid 3 genoemde attributen zijn niet van invloed op de interoperabiliteit en erkenning van gekwalificeerde certificaten voor elektronische zegels of websiteauthenticatie.
            
            
               Artikel 35
                  Beveiliging van communicatiesessies
            
            
               1.Rekeninghoudende betaaldienstverleners, betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven, rekeninginformatiedienstverleners en betaalinitiatiedienstverleners zorgen ervoor dat bij gegevensuitwisseling via het internet tussen de communicerende partijen gedurende de hele betrokken communicatiesessie veilige versleuteling wordt toegepast, om de vertrouwelijkheid en de integriteit van gegevens te garanderen, door gebruik te maken van sterke en algemeen erkende versleutelingstechnieken.
            
            
               2.Betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven, rekeninginformatiedienstverleners en betaalinitiatiedienstverleners houden de door rekeninghoudende betaaldienstverleners aangeboden toegangssessies zo kort mogelijk en beëindigen actief dergelijke sessies zodra de gevraagde actie is uitgevoerd. 
            
            
               3.Wanneer zij parallelle netwerksessies met de rekeninghoudende betaaldienstverlener in stand houden, zorgen rekeninginformatiedienstverleners en betaalinitiatiedienstverleners ervoor dat die sessies veilig worden gekoppeld aan de betrokken sessies die tot stand worden gebracht met de betaaldienstgebruiker of betaaldienstgebruikers, om het risico te voorkomen dat onderling tussen hen gecommuniceerde berichten of informatie wordt afgeleid.
            
            
               4.Rekeninginformatiedienstverleners, betaalinitiatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten bij de rekeninghoudende betaaldienstverlener uitgeven, vermelden ondubbelzinnige referenties naar elk van de volgende items:
            
            
               (a)de betaaldienstgebruiker of betaaldienstgebruikers en de overeenkomstige communicatiesessie zodat verschillende verzoeken van dezelfde betaaldienstgebruiker of betaaldienstgebruikers kunnen worden onderscheiden; 
            
            
               (b)voor betaalinitiatiediensten: de uniek geïdentificeerde geïnitieerde betalingstransactie:
            
            
               (c)voor de bevestiging van de beschikbaarheid van middelen: het uniek geïdentificeerde verzoek met betrekking tot het voor de uitvoering van de op kaarten gebaseerde betalingstransactie. 
            
            
               5.Rekeninghoudende betaaldienstverleners, rekeninginformatiedienstverleners, betaalinitiatiedienstverleners en betaaldienstverleners die op kaarten gebaseerde betaalinstrumenten uitgeven, zorgen ervoor dat, wanneer zij persoonlijke beveiligingsgegevens en authenticatiecodes communiceren, deze niet - rechtstreeks of indirect - op enig tijdstip leesbaar zijn voor personeelsleden. 
            
            
               Ingeval van verlies van vertrouwelijkheid van persoonlijke beveiligingsgegevens binnen hun bevoegdheid, stellen die dienstverleners de daaraan gekoppelde betaaldienstgebruiker en de uitgever van de persoonlijke beveiligingsgegevens daarvan onverwijld in kennis. 
            
         
         
            
               Artikel 36
                  Gegevensuitwisseling
            
            
               1.Rekeninghoudende betaaldienstverleners voldoen aan elk van de volgende voorwaarden:
            
            
               (a)zij verstrekken rekeninginformatiedienstverleners dezelfde informatie van aangewezen betaalrekeningen en daarmee samenhangende transacties die aan de betaaldienstgebruiker beschikbaar worden gesteld wanneer rechtstreeks om toegang tot de rekeninginformatie wordt gevraagd, op voorwaarde dat deze informatie geen gevoelige betalingsgegevens bevat;
            
            
               (b)zij verstrekken onmiddellijk na ontvangst van de betalingsopdracht aan betaalinitiatiedienstverleners dezelfde informatie over de initiëring en uitvoering van de betalingstransactie die is verschaft of beschikbaar is gesteld aan de betaaldienstgebruiker wanneer deze laatste de transactie rechtstreeks heeft geïnitieerd;
            
            
               (c)zij verschaffen, op verzoek, aan betaaldienstverleners een bevestiging in de vorm van een eenvoudig "ja" of "neen", op de vraag of het voor de uitvoering van een betaaltransactie vereiste bedrag op de betaalrekening van de betaler beschikbaar is.
            
            
               2.Ingeval van een onverwachte gebeurtenis of een fout tijdens de identificatie- of authenticatieprocedure of bij de uitwisseling van de gegevensbestanddelen, zendt de rekeninghoudende betaaldienstverlener een kennisgevingsbericht aan de betaalinitiatiedienstverlener of de rekeninginformatiedienstverlener en de betaaldienstverlener die op kaarten gebaseerde betaalinstrumenten uitgeeft, waarin de reden voor die onverwachte gebeurtenis of die fout wordt toegelicht. 
            
            
               Wanneer de rekeninghoudende betaaldienstverlener overeenkomstig artikel 32 een speciale interface aanbiedt, wordt bij die interface voorzien in kennisgevingsberichten betreffende onverwachte gebeurtenissen of fouten die door betaaldienstverleners die de gebeurtenis of fout ontdekken, moeten worden meegedeeld aan de overige aan de communicatiesessie deelnemende betaaldienstverleners.
            
            
               3.Rekeninginformatiedienstverleners beschikken over geschikte en doeltreffende mechanismen om ervoor te zorgen dat alleen toegang tot informatie wordt gegeven vanaf aangewezen betaalrekeningen en daarmee samenhangende betalingstransacties, in overeenstemming met de uitdrukkelijke toestemming van de gebruiker.
            
            
               4.Betaalinitiatiedienstverleners verschaffen rekeninghoudende betaaldienstverleners dezelfde informatie als die welke van de betaaldienstgebruiker wordt gevraagd bij het rechtstreeks initiëren van de betalingstransactie. 
            
            
               5.Rekeninginformatiedienstverleners zijn in staat toegang te krijgen tot informatie van aangewezen betaalrekeningen en daarmee samenhangende betalingstransacties waarover rekeninghoudende betaaldienstverleners beschikken om de rekeninginformatiedienst in een van de beide volgende omstandigheden te kunnen uitvoeren:
            
            
               (a)telkens als de betaaldienstgebruiker actief om die informatie verzoekt;
            
            
               (b)telkens als de betaaldienstgebruiker niet actief om die informatie verzoekt, niet minder dan viermaal over een periode van 24 uur, tenzij een hogere frequentie is overeengekomen tussen de betaalinitiatiedienstverlener en de rekeninghoudende betaaldienstverlener, met de toestemming van de betaaldienstgebruiker.
            
            
               HOOFDSTUK VI
                  SLOTBEPALINGEN 
            
            
               Artikel 37
                  Evaluatie
            
            
               Onverminderd het bepaalde in artikel 98, lid 5 van Richtlijn (EU) 2015/2366 evalueert EBA tegen [OP: please insert date corresponding to ’18 months after the date of application referred to in Article 38(2)] de in de bijlage bij deze verordening genoemde fraudepercentages, alsmede de op grond van artikel 33, lid 6, verleende vrijstellingen met betrekking tot speciale interfaces, en legt zij ontwerpactualiseringen hiervan, overeenkomstig artikel 10 van Verordening (EU) nr. 1093/2010, aan de Commissie voor. 
            
            
               Artikel 38
                  Inwerkingtreding
            
            
               1.Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
            
            
               2.Deze verordening is van toepassing met ingang van [OP: please insert date corresponding to ’18 months after entry into force date’] 
            
            
               3.De leden 3 en 5 van artikel 30 zijn evenwel van toepassing met ingang van [OP: please insert date corresponding to 12 months after entry into force date]
            
            
               Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.
            
         
         
            
               Gedaan te Brussel, 27.11.2017
            
            
               
                     Voor de Commissie
               
               
                     De Voorzitter
                     Jean-Claude JUNCKER
               
               
            
         
         
            
                  
                     (1)
                  
                        PB L 337 van 23.12.2015, blz. 35. 
               
               
                  
                     (2)
                  
                        Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad van 24 november 2010 tot oprichting van een Europese toezichthoudende autoriteit (Europese Bankautoriteit), tot wijziging van Besluit nr. 716/2009/EG en tot intrekking van Besluit 2009/78/EG van de Commissie (PB L 331 van 15.12.2010, blz. 12).
               
               
                  
                     (3)
                  
                        Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG (PB L 257 van 28.8.2014, blz. 53).
               
               
                  
                     (4)
                  
                        Richtlijn 2013/36/EU van het Europees Parlement en de Raad van 26 juni 2013 betreffende toegang tot het bedrijf van kredietinstellingen en het prudentieel toezicht op kredietinstellingen en beleggingsondernemingen, tot wijziging van Richtlijn 2002/87/EG en tot intrekking van de Richtlijnen 2006/48/EG en 2006/49/EG (PB L 176 van 27.6.2013, blz. 338).
               
            
      
    ---documentbreak--- 
      
         
         
            
               BIJLAGE
            
            
                     
                  
                  
                     
                        Referentiefraudepercentage (%) voor:
                     
                  
               
                     
                        Drempelwaarde voor vrijstelling
                     
                  
                  
                     
                        Elektronische op kaarten gebaseerde betalingen op afstand
                     
                  
                  
                     
                        Elektronische overmakingen op afstand
                     
                  
               
                     
                        500 EUR
                     
                  
                  
                     
                        0,01
                     
                  
                  
                     
                        0,005
                     
                  
               
                     
                        250 EUR
                     
                  
                  
                     
                        0,06
                     
                  
                  
                     
                        0,01
                     
                  
               
                     
                        100 EUR
                     
                  
                  
                     
                        0,13
                     
                  
                  
                     
                        0,015