Ustawodawca unijny wyraźnie wskazuje przy każdym potencjalnym wyłączeniu, że dostawca usług płatniczych może nie stosować silnego uwierzytelniania klienta. Nadal jednak ma taką możliwość, jeśli uzna SCA za niezbędne do zachowania bezpieczeństwa transakcji.