Norea PSD2 Kennissessie

Transcriptie

1 Norea PSD2 Kennissessie Stand van zaken PSD2 access-to-the-account, RTS, API, certificaten, etc. dr. Max Geerling Executive Adviser Amsterdam 5 juli 2018

2 Agenda PSD2 access-to-the-account Stand van zaken wetgevingstraject PSD2 en RTS API Evaluation Group EBA Opinion & Guidelines Praktische zaken API initiatieven in Europa eidas certificaten voor PSPs Vragen 5 juli

3 Agenda PSD2 access-to-the-account Stand van zaken wetgevingstraject PSD2 en RTS API Evaluation Group EBA Opinion & Guidelines Praktische zaken API initiatieven in Europa eidas certificaten voor PSPs Vragen 5 juli

4 PSD2 access-to-the-account (XS2A) Internet / mobile banking Bank account ASPSP Account holder TPP Payment account TPP = Third-Party Payment (Service) Providers Fintechs Bigtechs Merchants Banken Verzekeraars ASPSP = Account Servicing PSP 5 juli

5 Kansen voor betaalinitiatie- en rekeninginformatiediensten Payment Initiation Services (PIS) Betaler initieert via PISP bij zijn bank een betaling (SCT) ten laste van zijn betaalrekening Bijvoorbeeld: Webwinkel initieert met toestemming klant zelf een betaling ten laste van de betaalrekening van de klant (vergunning als betaalinstelling nodig) Account Information Services (AIS) AISP krijgt toegang tot rekeninginformatie (saldo, bij- en afschrijvingen en omschrijvingen) Bijvoorbeeld: Huishoudboekje-app van AISP toont overzicht van wat er maandelijks op betaalrekening binnenkomt en uitgaat, samengevat in categorieën als eten, shoppen, energie/huur, inkomsten, e.d. (registratie bij nationale toezichthouder nodig) 5 juli

6 Essentiële aspecten van XS2A Banken zijn verplicht om betaalrekeningen (consument en zakelijk), mits online toegankelijk, open te stellen voor PIS- en AIS providers Géén contractsverplichting tussen banken en derde partijen (TPPs) TPPs moeten vergunning (PIS) aanvragen of zich registreren (AIS) bij toezichthouder (en kunnen lid Betaalvereniging worden) Consumenten kunnen voor PIS en AIS hun personalised security credentials, die zij van hun bank hebben ontvangen, doorgeven aan de TPP ( TPP may rely on ) TPPs moeten zich keer op keer identificeren / authentiseren aan de ASPSP Bank is altijd 1 ste aanspreekpunt voor consumenten bij ongeautoriseerde / foutieve betaaltransacties. Als TPP verantwoordelijk, dan kan bank de schade verhalen op TPP. TPP heeft een verplichte beroepsaansprakelijkheidsverzekering hiervoor. 5 juli

7 Vier niveaus PSD2 en XS2A D E T A I L Level 1: Wat? De richtlijn zelf: PSD2 Bepaalt dat de betaalrekening voor derde partijen opengesteld moet worden Level 2: Hoe? EBA Regulatory Technical Standards on SCA en CSC Bepalen hoe dat op een veilige manier moet: Dedicated (API) interface; SCA; fall-back; redirect Level 3: Hoe? ERPB PIS WG; API Evaluation Group Opstellen van business requirements; directory service; API principes Level 4: Hoe? API s: UK, Berlin Group, STET, banken... Specificeren hoe een API gebouwd moet worden om RTS-compliant te zijn 5 juli

8 Level 1 PSD2 / EU Iceland Finland Norway Denmark Sweden Estonia Latvia Lithuania Ireland United Kingdom Poland The Netherlands Belgium Germany Czech Republic Luxembourg Slovakia France Italy Austria Hungary Slovenia Croatia Romania Portugal Bulgaria Full transposition Spain Greece No / partial transposition Malta: Cyprus: 8

9 Level 1 PSD2 / EU 5 juli

10 Level 1 PSD2 / NL Paspoort notificaties 5 juli

11 Level 1 Stavaza PSD2 transpositie NL September 2017 Kamerbrief Minister 13 jan wordt niet gehaald; zou voorjaar 2018 (= juni) worden. Oktober 2017 Implementatiewet PSD2 naar 2 e Kamer + Kamerbrief Banken in NL hoeven tot juni 2018 (nog) geen toegang aan TPPs te verlenen, ook niet voor 3 e partijen met PSD2-paspoort uit andere EU lidstaten Op contractuele basis kan dat wel, mits toestemming rekeninghouder TPP s kunnen in NL tot juni 2018 (nog) geen vergunning (PIS) of registratie (AIS) aanvragen 143 vragen ingediend door 2 de Kamerleden Juni 2018 Nota van wijziging Implementatiewet herziene richtlijn betaaldiensten (PSD2) Antwoord op de 143 Kamervragen Voorstel: toezicht op Art 94(2) toe te delen aan de Autoriteit Persoonsgegevens 5 juli

12 Level 1 Stavaza PSD2 transpositie NL December 2017 Brief AP aan MinFin Over (o.a) door MinFin verkeerd geïmplementeerde relatie PSD2 & AVG Art. 94(2) PSD2: Uitdrukkelijke toestemming vs. grondslagen AVG. NB: EC (mei 2018): PSD2 is op dat punt geen lex specialis t.o.v. AVG. Mei 2018 Maatschappelijk Overleg Betalingsverkeer Neutrale PSD2-voorlichtingscampagne voor publiek: MOB WG Communicatie PSD2 MOB WG consumentenbeschermende maatregelen PSD2 (Ouderenbonden, Consumentenbond, Oogvereniging, DNB, Betaalvereniging) 5 juli

13 Level 2 (vooral) RTS on Strong Customer Authentication and Secure Communication ASPSP moet TPP toegang verlenen 1. via dedicated interface (API), óf 2. via klantinterface (ook screen scraping genoemd) met identificatie van TPP Dedicated interface (API) moet aan zelfde eisen beschikbaarheid / functionaliteit voldoen als klantinterface. Anders mag TPP overgaan naar fall-back, na 5x 30 seconde. Toezichthouder kan ASPSP vrijstelling verlenen m.b.t. verplichting om fall-back aan te bieden, mits dedicated interface aan stringente kwaliteits- en beschikbaarheidscriteria voldoet, uitvoerig is getest, enz. 5 juli

14 Level 2 (vooral) RTS on Strong Customer Authentication and Secure Communication 13 maart 2018 Publicatie in Official Journal of the EU Inwerkingtreding 14 september 2019 juni 2018 aanvullende documenten van EBA EBA Opinion on the implementation of the RTS on gericht aan toezichthouders EBA Guidelines on fall-back exemption conditions ter consultatie (tot half augustus 2018) juni 2018 Q&A tool opengesteld voor PSD2-gerelateerde vragen Vragen over level 1 tekst worden doorgestuurd naar de EC 5 juli

15 Tijdlijn PSD2 en EBA RTS 13 jul. 18 Einde transitieperiode geautoriseerde betaalinstellingen die onder PSD(1) vóór 13 jan. 16 actief waren. Vanaf nu ook autorisatie onder PSD2 nodig PSD2-voorstel COM PSD2 in Official Journal of EU Uiterste datum implementatie PSD2 in nationale wetgeving Implementatie PSD2 in NL se wetgeving afgerond COM reviewrapport PSD2 1 aug jan mrt sept. 19??? Jul dec jan. 18 Herfst jan. 21 Ingangsdatum EBA GLs on the security of internet payments PSD2 treedt in werking Inwerkingtreding EBA RTS als delegated act PSP s voldoen aan EBA RTS ( 18 maanden na inwerkingtreding) PSD3-voorstel COM PSD2 interim periode 5 juli

16 Level 3 Multi-stakeholder self regulation API Evaluation Group NCA kan ASPSP vrijstelling verlenen m.b.t. verplichting om fall-back aan te bieden, mits dedicated interface aan stringente kwaliteits- en beschikbaarheidscriteria voldoet, uitvoerig is getest, enz. Criteria worden opgesteld en moeten vanwege level playing field voor hele EU gelden dit is het werk van de API Evaluation Group (level 3) initiatief van de Europese Commissie (dec. 2017) vrijstelling wordt bepaald door NCA Organisatie ASPSP TPP vraagzijde EGI / BI EACB, EBF, ESBG, Bankin, PPRO, Klarna, ecommerce Europe, Eurocommerce, BEUC, EMA en EPIF Co-chairs: New Payment Systems Operator (NPSO) en Trustly Secretariaat: EPC Betaalvereniging direct betrokken via EBF 5 juli

17 Level 3 Multi-stakeholder self regulation API Evaluation Group API Initiatief Bank API Specificatie Implementatie van API API Evaluation Criteria (o.b.v. RTS en marktwensen) Vrijstelling fall-back API Evaluation Group / EC NCA (toezichthouder) / EBA 5 juli

18 Level 3 Multi-stakeholder self regulation API Evaluation Group API Initiatief Bank API Specificatie API Evaluation Criteria (o.b.v. RTS en marktwensen) Implementatie van API Vrijstelling fall-back Juni 2018 EBA Opinion on implementation of the RTS on EBA Guidelines on fall-back exemption API Evaluation Group / EC NCA (toezichthouder) / EBA 5 juli

19 EBA Opinion on the implementation of the RTS on Main requirements for dedicated interfaces 5 juli

20 EBA Opinion on the implementation of the RTS on Main requirements for dedicated interfaces 5 juli

21 EBA Opinion on the implementation of the RTS on Specific comments The scope of data and four-times daily limit > 4x access to account data: contract required No legal distinction between real-time booking and delayed (or batch) booking Data to be shared does not include the PSU s identity-related data (e.g. address, date of birth, social security number) Funds available: Y/N taking into account balance available, any overdraft, other data, e.g. any incoming/outgoing payments that will affect the balance or overdraft The application of SCA Card number with CVV, expiry date on card, user ID: not a knowledge element SCA to be applied to access to payment account information and to every payment initiation, including within a session in which SCA was performed to access the account data PSP applying SCA is the PSP that issued the security credentials - That PSP decides whether or not to apply an exemption for AIS and PIS 5 juli

22 EBA Opinion on the implementation of the RTS on Specific comments The application of SCA (cont d) Exemptions from SCA: payees (merchant) can never decide whether or not to use an exemption Contactless: cumulative limit is either the number of transactions (5) or the monetary amount (150 euro); but not both AIS: after 90 days exemption no longer applies; SCA required for a new 90 day period Trusted beneficiaries - not limited to credit transfers, also cards only through payer s PSP, upon payer s confirmation - payee s PSP cannot apply exemption payee cannot have such a list to apply for the exemption Transaction Risk Analysis: still complex (liability, fraud, unauth etc.) Method(s) of carrying out SCA Redirection is not an obstacle per se Its implementation may be an obstacle, just like anything else 5 juli

23 EBA Guidelines on fall-back exemption conditions (draft) Consultation paper Details on Article 33(6) of the RTS What: data, figures, etc How: calculations, processes, etc. Fulfillment of Art 33(6) RTS: if 2-8 are fulfilled exemption from fall back Availability & performance, set KPI s, calculation methods up/down time, stress testing and reporting on quarterly basis to NCA Obstacles; if only one SCA method (e.g. redirect) offered ASPSP must explain why it is not an obstacle; no additional consent check, no unnecessary friction etc. Design and testing to the satisfaction of PSPs (including banks acting as AIS/PIS/PIIS) publish API specs, provide robust test facilities etc. Wide usage of the interface: ASPSPs must take all steps for API to be operationally used; provide NCA with usage statistics by PSPs (including banks acting as AIS/PIS/PIIS) Resolution of problems: systems & procedures for problem solving Consultation with EBA: template for NCAs 5 juli

24 Agenda PSD2 access-to-the-account Stand van zaken wetgevingstraject PSD2 en RTS API Evaluation Group EBA Opinion & Guidelines Praktische zaken API initiatieven in Europa eidas certificaten voor PSPs Vragen 5 juli

25 API initiatieven in Europa Account holder Internet / mobile banking AISP / PISP Strong Customer Authentication (SCA) using credentials issued by the ASPSP Identification of the AISP / PISP with an eidas certificate Bank account Payment account ASPSP API initiatieven in Europa 1. Berlin Group NextGenPSD2 4. PSD2 Polish API 2. Open Banking UK 5. Slovak Banking Association Open API 3. STET PSD2 API 5 juli

26 Berlin Group / NextGenPSD2 Deelnemers 45 deelnemers - Banking associations - Payments associations - Banks - Processors Betaalvereniging Nederland vertegenwoordigt NLse payment service providers 5 juli

27 Berlin Group / NextGenPSD2 Historie mei 2016 Oprichting NextGenPSD2 taskforce juni 2017 Aankondiging 'Access to Account Framework - press release oktober november 2017 NextGenPSD2 Conference in Berlijn Publieke marktconsultatie - press release februari 2018 NextGenPSD2 Framework v1.0 gepubliceerd - press release mei 2018 NextGenPSD2 Framework v1.1 Convergentie met STET PSD2 API juni 2018 Start Implementation Support project Oprichting NextGenPSD2 Advisory Board 5 juli

28 Berlin Group Diensten AIS Get account details of a list of accessible accounts Get balances for a given account Get transaction information for a given account Establish account information consent (optional) Get list of reachable accounts (optional) PIIS Get confirmation on the availability of funds PIS Initiation of a single payment Initiation of a future dated single payment (optional) Initiation of a multiple / bulk payment (optional) Initiation of a recurring payment (optional) 5 juli

29 Berlin Group Technology & Security Technical Characteristics Aspect Technical standard Transport Protocol HTTP version 1.1 TLS version 1.2 Applicative Protocol Authorisation Protocol Character set Data structures REST OAuth2 (optional) UTF-8 JSON, XML Data model origin ISO Identifier naming convention ISO extended names Security features TPP authentication by the ASPSP Based on TLS Electronic signature at application level (optional) ASPSP authentication by the TPP Based on TLS PSU authentication Delegated by the TPP to the ASPSP Data encryption Based on TLS Fraud detection support Based on PSU-related data 5 juli

30 Berlin Group Planning Outline 5 juli

31 Agenda PSD2 access-to-the-account Stand van zaken wetgevingstraject PSD2 en RTS API Evaluation Group EBA Opinion & Guidelines Praktische zaken API initiatieven in Europa eidas certificaten voor PSPs Vragen 5 juli

32 eidas certificaten voor PSPs Overzicht eidas introductie ETSI Standaard Life-cycle beheer van certificaten - uitgifte, intrekking Rollen en verantwoordelijkheden Account holder Internet / mobile banking AISP / PISP Strong Customer Authentication (SCA) using credentials issued by the ASPSP Identification of the AISP / PISP with an eidas certificate Bank account ASPSP Payment account 5 juli

33 eidas introductie eidas is een EU-breed trust framework eidas certificaten worden uitgegeven door Qualified Trust Service Providers (QTSP) Trust Service Providers ontvangen status qualified van een supervisory government body (geldig in de hele EU) eidas certificaten en Qualified Trust Service Providers bestaan nu al (status april 2018) - 29 QTSPs voor het uitgeven van Qualified Website Certificates (QWACs) - 68 QTSPs voor het uitgeven van Qualified Certificates for electronic Seals (QSEALs) Echter, momenteel zijn er geen PSD2-specifieke eidas certificaten 5 juli

34 ETSI standaard Vereiste RTS gegevens in het certificaat 5 juli

35 ETSI standaard Bron van de gegevens 5 juli

36 ETSI standaard Certificaat uitgifte NCA domein QTSP domein 5 juli

37 ETSI standaard Certificaat uitgifte NCA domein QTSP domein 5 juli

38 ETSI standaard Certificaat intrekken 5 juli

39 ETSI standaard Certificaat intrekken EBA overlegt met NCAs over beide issues, en komt in de herfst 2018 met een toelichting 5 juli

40 Agenda PSD2 access-to-the-account Stand van zaken wetgevingstraject PSD2 en RTS API Evaluation Group EBA Opinion & Guidelines Praktische zaken API initiatieven in Europa eidas certificaten voor PSPs Vragen 5 juli