Belangrijkste punten
- PSD2 is een Europees regelgevend kader voor betalingsbeveiliging, toegang tot open banking en consumentenbescherming.
- Sterke cliëntauthenticatie vereist minstens twee onafhankelijke verificatiefactoren om elektronische transacties te beschermen tegen ongeautoriseerde toegang.
- Open banking verplicht banken om door de gebruiker goedgekeurde financiële gegevens te delen met vergunninghoudende externe betaaldienstverleners, waardoor API-verharding, toestemmingsvalidatie en het intrekken van toegang cruciale controlemaatregelen zijn.
- Leveranciersbeoordelingen, continue monitoring en vastgelegde procedures voor incidentmelding zijn essentieel om de blootstelling aan risico’s van derden te beheersen.
- Controlemaatregelen rond endpoints en identiteit vormen de operationele ruggengraat van een PSD2-conforme betaalinfrastructuur.
- De PSD2-compliance-eisen moeten aansluiten op andere regelgevende kaders met overlappende bepalingen.
De Payment Services Directive 2 (PSD2) legt de regels vast waaronder betaaldiensten binnen de Europese Unie (EU) werken. Voor organisaties die financiële transacties binnen de Europese Economische Ruimte (EER) afhandelen of one-leg-out-transacties verwerken is aansluiting op de PSD2-compliance-eisen een must.
Valt uw organisatie binnen dit toepassingsgebied? Lees dan verder: deze gids laat zien hoe u uw IT- en beveiligingsmaatregelen afstemt op de verplichtingen van PSD2.
Wat is PSD2: toepassingsgebied en reikwijdte
PSD2, ook wel de herziene richtlijn betaaldiensten genoemd, speelt in op de snelle ontwikkeling van digitale betaaldiensten, waaronder open banking en de groeiende rol van financiële organisaties buiten het bankwezen.
De opzet van PSD2 richt zich op deze doelstellingen:
| Doelstellingen | Beschrijving |
| Beveiliging | Fraude en ongeautoriseerde toegang in de hele betaalketen terugdringen. |
| Open banking | Concurrentie stimuleren door toegang van derden tot de rekeninginfrastructuur verplicht te stellen. |
| Transparantie | Consumenten duidelijkere rechten, inzicht in tarieven en escalatieprocedures bieden. |
| Standaardisatie van betalingen | De regels voor elektronische betalingen in de EU en de EER gelijktrekken om grensoverschrijdende betalingen te vereenvoudigen. |
PSD2 richt zich weliswaar op financiële instellingen in de EU, maar elke organisatie buiten de EU die financiële diensten aan EU-burgers levert valt eveneens onder de bepalingen. De richtlijn geldt voor traditionele banken én opkomende fintechbedrijven, en meer specifiek voor:
- Banken, kredietinstellingen en andere entiteiten die betaalrekeningen aanbieden of elektronische transacties verwerken.
- Vergunninghoudende betaalinstellingen die betalingstransacties uitvoeren of betalingsinitiatiediensten aanbieden.
- Instellingen voor elektronisch geld (EMI’s) die digitaal geld uitgeven en geldoverdrachten faciliteren.
- Externe betaaldienstverleners (TPP’s), waaronder rekeninginformatiedienstverleners en betalingsinitiatiedienstverleners.
- Fintechbedrijven die actief zijn in de EU of klanten in de EU bedienen, ongeacht hun vestigingsplaats.
Organisaties die onder een van deze categorieën vallen zijn verplicht te voldoen aan de PSD2-compliance-eisen, van het invoeren van sterke cliëntauthenticatie (SCA) tot het beveiligen van open banking-API’s.
Uw IT-infrastructuur afstemmen op de PSD2-compliance-eisen
Om aan PSD2 te voldoen, moeten financiële instellingen opnieuw bekijken hoe hun systemen gebruikers authenticeren, toegang van derden beheren, op incidenten reageren en datatransmissiepaden beschermen.
Voor sommige organisaties betekent dit dat ze hun bestaande infrastructuur onder de loep nemen om hiaten te dichten en de betalingsspecifieke verplichtingen te laten aansluiten op de bredere beveiligings- en compliance-architectuur.
Hieronder vindt u de belangrijkste gebieden waar IT- en beveiligingsmaatregelen moeten aansluiten op de technische verwachtingen van PSD2.
SCA-eisen van PSD2
Dankzij de huidige digitale betaaltechnologie kunnen consumenten eenvoudig producten kopen vanachter hun scherm. Om elektronische betalingstransacties te beschermen, schrijft PSD2 SCA-maatregelen voor: authenticatieprocedures die minstens twee onafhankelijke factoren combineren uit de volgende categorieën:
| Factoren | Definitie | Voorbeelden |
| Kennis | Iets wat de gebruiker weet. |
|
| Bezit | Iets wat de gebruiker bezit. |
|
| Inherentie | Fysieke kenmerken die als biometrische identificatie dienen. |
|
Door authenticatie met minstens twee van bovenstaande factoren te verplichten, wordt ongeautoriseerde toegang beperkt en het frauderisico bij digitale transacties verkleind.
Open banking en API-governance
De open banking-bepaling van PSD2 geeft vergunninghoudende TPP’s – zoals budgetapps, betaalplatforms of fintechdiensten – toegang tot door de gebruiker goedgekeurde financiële gegevens. API’s vormen de brug tussen bankrekeningen en applicaties van derden.
Om API’s goed te beveiligen, moeten financiële organisaties:
- Encryptiestandaarden, certificaatvalidatie en toegangscontroles afdwingen op elk API-endpoint.
- Zicht houden op aangesloten TPP’s, inclusief welke gegevens zij benaderen en wanneer die toegang plaatsvond.
- API-toegang strikt beperken tot de reikwijdte die de klant heeft goedgekeurd.
- De mogelijkheid inrichten om de toegang van een TPP vrijwel realtime te beëindigen zodra de toestemming wordt ingetrokken.
- Wederzijdse TLS-handshakes en eIDAS-conforme certificaten toepassen voor alle open banking-communicatie.
Goede API-verharding zorgt ervoor dat open banking-procedures beschermd zijn tegen ongeautoriseerde toegang, misbruik en oneigenlijk gebruik door zowel externe als niet-conforme partijen.
Risico’s van derden beheersen
Open banking vergroot het aanvalsoppervlak van een IT-infrastructuur: elke TPP-koppeling is een mogelijke toegangsweg en de blootstelling via verbindingen met derden kan het risicoprofiel van een organisatie beïnvloeden.
Het beperken van risico’s van derden onder PSD2 omvat:
- Risicobeoordeling van leveranciers: een zorgvuldige evaluatie van de beveiligings- en compliancepositie van een TPP voordat toegang wordt verleend.
- Beveiligde API-authenticatie: dwing sterke identiteitsverificatie af voor elke verbinding met derden.
- Zicht op verbindingen met derden: continue monitoring helpt bij het realtime detecteren van verdachte toegangspatronen, pogingen tot data-exfiltratie en beleidsschendingen.
- Procedures voor incidentmelding: leg duidelijke meldingsroutes vast om toezichthouders en betrokken partijen snel te informeren wanneer zich een TPP-gerelateerd incident voordoet.
Door deze gebieden te monitoren, verkleint u het risico in de hele omgeving en kunt u tijdens audits van toezichthouders aantonen dat uw IT-infrastructuur compliant is.
Endpoint- en identiteitsmaatregelen afstemmen op PSD2
PSD2 verplicht financiële organisaties tot strikte identificatie om vertrouwen te creëren bij zowel gebruikers als TPP’s. Technici moeten er dan ook op toezien dat wordt voldaan aan de endpoint- en identiteitsmaatregelen die PSD2 voorschrijft, waaronder:
- Validatie van devicevertrouwen: beoordeelt de integriteit van het device op het moment van authenticatie, met name bij bezitsfactoren op mobiele devices.
- Beveiligde endpointauthenticatie: zorgt ervoor dat alleen vertrouwde devices betalingstransacties kunnen starten of autoriseren.
- Sessiemonitoring: volg actieve sessies om verdacht gedrag te signaleren dat kan duiden op een gecompromitteerd account of gekaapte sessies.
- Toegangslogging en bewaarbeleid: houd controleerbare registraties bij van authenticatiegebeurtenissen en transactieautorisaties, conform de bewaareisen van PSD2.
- Systemen voor fraudedetectie: integreer realtime gedragsanalytics en engines voor transactierisicoanalyse (TRA) in de betaalketen ter ondersteuning van de beveiliging en de SCA-maatregelen.
Sterke betalingsbeveiliging moet vertrouwen opbouwen in de eindgebruiker én in het device dat hij gebruikt. Zwakke maatregelen op dit niveau ondermijnen zelfs de beste strategieën voor SCA, API’s en TPP-beheer.
PSD2 binnen een breder regelgevend landschap
Financiële instellingen die in de EU actief zijn moeten niet alleen voldoen aan de PSD2-compliance-eisen, maar ook aan de bredere regelgevende kaders die op hen van toepassing zijn. Een uniforme complianceaanpak voorkomt dat het naleven van PSD2 tot schendingen van aanpalende kaders leidt.
PSD2 staat bijvoorbeeld het delen van door de gebruiker goedgekeurde financiële gegevens toe, maar die procedures voor gegevensdeling moeten nog steeds voldoen aan de eisen van GDPR-compliance op het gebied van toestemming, dataminimalisatie en het melden van datalekken.
Leg overlappende compliance-eisen expliciet vast om dubbele controlemaatregelen te voorkomen, audits te vereenvoudigen en governancehiaten te verkleinen.
Voldoe aan de PSD2-compliance-eisen en beveilig uw transacties
PSD2 vraagt van financiële instellingen en betaaldienstverleners dat zij authenticatie versterken, open banking-API’s beveiligen en risico’s van derden beheersen. Dat betekent dat identiteitsarchitectuur, eindpuntbeveiliging en API-governance moeten aansluiten op de betalingsspecifieke verplichtingen van PSD2.
NinjaOne helpt klanten te voldoen aan PSD2 met één platform dat endpoint management automatiseert, samen met beveiligingspatches en compliancemonitoring. Zo zijn sterke cliëntauthenticatie en gegevensbescherming geborgd en ontstaan gedetailleerde audittrails waarmee u uw naleving kunt aantonen.
Gerelateerde onderwerpen:
