Vahvan tunnistautumisen rajat ja SEPA-pikasiirrot asetuksen (EU) 2024/886 mukaan

1. Johdanto

Kolmannen osapuolen käynnistämät tililtä tilille -maksut ovat kehittyneet vuoden 2018 sääntelyuutuudesta vakiintuneeksi maksutavaksi verkkokaupassa, tilauspalveluissa ja yritysten maksatuksissa koko Pohjois-Euroopassa. Niiden toiminnallinen profiili tunnetaan kuitenkin edelleen heikosti erikoistuneiden tiimien ulkopuolella. Tuotekeskusteluissa palveluntarjoajia verrataan usein konversion tai käyttöliittymän perusteella, vaikka onnistumisasteen, selvitysajan ja vastuunjaon todellisuudessa ratkaisevat sääntely ja maksajan pankki.

Kaksi sääntelykehitystä tekee uudesta analyysista tarpeellisen. Ensinnäkin vahvaa tunnistautumista sekä yhteisiä ja turvallisia avoimia viestintästandardeja koskevia teknisiä sääntelystandardeja on sovellettu niin kauan, että kansalliset valvojat ja Euroopan pankkiviranomainen ovat selventäneet useimmat tulkintakysymykset, mukaan lukien vastuun poikkeusten soveltamisesta. Toiseksi asetus (EU) 2024/886 on tehnyt euromääräisistä pikasiirroista pakollisen palvelun euroalueen maksupalveluntarjoajille porrastetuin määräajoin muualla unionissa ja tuonut mukanaan saajan varmennuksen sekä uuden pakoteseulonnan mallin.

Raportti etenee seuraavasti. Luku 2 kuvaa sääntelyn rajat. Luku 3 analysoi vahvan tunnistautumisen rajoja maksun käynnistämisessä. Luku 4 käsittelee SEPA-pikasiirtojärjestelmää ja asetuksen (EU) 2024/886 lisäämiä velvoitteita. Luku 5 kuvaa selvitysinfrastruktuurin. Luku 6 käsittelee rajapintojen standardointia Berlin Group NextGenPSD2 -kehyksen kautta. Luku 7 esittää johtopäätökset yritysintegraattoreille, ja luku 8 toteaa analyysin rajoitukset.

2. Sääntelyn rajat

PSD2 määrittelee maksutoimeksiantopalvelun palveluksi, jossa maksupalvelun käyttäjän pyynnöstä annetaan maksutoimeksianto toisen maksupalveluntarjoajan hallinnoimaa maksutiliä koskien. Direktiivin 66 artikla antaa maksajalle oikeuden käyttää tällaista palvelua, kun tili on käytettävissä verkossa, ja velvoittaa tilinpitäjänä toimivan maksupalveluntarjoajan (ASPSP) käsittelemään palvelun kautta välitetyt toimeksiannot syrjimättä, ellei siihen ole objektiivisia syitä.

Direktiivin 97 artikla edellyttää vahvaa tunnistamista, kun maksaja käyttää maksutiliään verkossa, käynnistää sähköisen maksutapahtuman tai suorittaa etäyhteyden kautta toimen, johon voi liittyä maksupetoksen tai muun väärinkäytön riski. Etämaksutapahtumissa tunnistamiseen on sisällyttävä tekijöitä, jotka yhdistävät tapahtuman dynaamisesti tiettyyn summaan ja tiettyyn maksunsaajaan.

RTS antaa näille velvoitteille toiminnallisen sisällön. Artiklat 4–9 määrittelevät todennuskoodin, dynaamisen yhdistämisen ja tunnistamistekijöiden riippumattomuuden. Artiklat 10–18 sisältävät poikkeukset. Artiklat 30–36 vahvistavat yhteiset ja turvalliset avoimet viestintästandardit, mukaan lukien erillisen rajapinnan, jonka kautta kolmannet osapuolet pääsevät tileille, varamekanismin sekä palveluntarjoajien tunnistamisen eIDAS-asetuksen mukaisilla hyväksytyillä varmenteilla.

Asetus (EU) 2024/886 kohdistuu eri säädökseen: se muuttaa asetusta (EU) N:o 260/2012 (SEPA-asetus) ja osin PSD2:ta sekä selvityksen lopullisuutta koskevaa direktiiviä. Se ei muuta RTS:ää, mutta se muuttaa ympäristön, jossa käynnistetty maksu toteutetaan. Euroopan komission kesäkuussa 2023 julkaisemat ehdotukset kolmanneksi maksupalveludirektiiviksi ja maksupalveluasetukseksi uudistaisivat avoimen pankkitoiminnan sääntelyä edelleen; lukijan tulee tarkistaa niiden lainsäädäntövaihe ennen minkään säännöksen varaan rakentamista.

3. Vahvan tunnistautumisen rajat maksun käynnistämisessä

Vahva tunnistaminen edellyttää vähintään kahta tekijää tieto-, hallinta- ja ominaisuusluokista, ja tekijöiden on oltava toisistaan riippumattomia siten, ettei yhden murtuminen vaaranna muita. Pohjoismaisilla markkinoilla tekijät toimitetaan lähes kokonaan pankkien myöntämien tai pankkien yhteisten sähköisten tunnisteiden kautta: Ruotsissa ja Norjassa BankID, Tanskassa MitID ja Suomessa luottamusverkostoon kuuluvat pankkitunnisteet. Puolassa pankit nojaavat ensisijaisesti omiin mobiilisovelluksiinsa.

Ensimmäinen raja koskee sitä, kuka tunnistamisen suorittaa. Kolmannen osapuolen käynnistämässä maksussa henkilökohtaiset turvatunnukset on myöntänyt tilinpitäjä, ja tilinpitäjä myös tunnistaa maksajan. Maksun käynnistäjä välittää maksutoimeksiannon ja tunnistamiseen tarvittavat tiedot, mutta se ei päätä, sovelletaanko vahvaa tunnistamista. Erityisesti päätös poikkeuksen soveltamisesta kuuluu tunnukset myöntäneelle maksupalveluntarjoajalle. Integraattori ei siksi voi suunnitella maksupolkua sen oletuksen varaan, että pienmaksu- tai luotetun saajan poikkeus myönnetään.

Toinen raja koskee dynaamista yhdistämistä. Koska todennuskoodin on oltava summa- ja saajakohtainen, kumman tahansa muuttaminen tunnistamisen jälkeen mitätöi hyväksynnän. Tällä on käytännön merkitystä maksupoluissa, joissa lopullinen summa määräytyy vasta maksajan vahvistuksen jälkeen, esimerkiksi kun palkkiot tai valuuttamuunnos lisätään myöhäisessä vaiheessa. Tällaiset polut edellyttävät joko uutta tunnistamista tai toisenlaista maksurakennetta.

Kolmas raja koskee pankin valitsemaa tunnistamismallia. Uudelleenohjausmallissa maksaja ohjataan pankin omaan ympäristöön. Erillisessä mallissa tunnistaminen tapahtuu toisella laitteella tai sovelluksella, tyypillisesti pankkisovelluksessa. Upotetussa mallissa tunnukset syötetään kolmannen osapuolen käyttöliittymään ja välitetään pankille. RTS:n 32 artikla kieltää erillisiä rajapintoja luomasta esteitä maksun käynnistämiselle, mutta se ei määrää yhtä mallia, ja valvojat ovat arvioineet esteitä tapauskohtaisesti. Tämän vuoksi sama käynnistetty maksu voi sisältää olennaisesti eri määrän vaiheita maksajan pankista riippuen.

Yritysmaksujen kannalta keskeisimmät poikkeukset (RTS)

• 13 artikla — luotetut maksunsaajat: maksaja voi lisätä saajan pankkinsa ylläpitämään luetteloon; pankki päättää, sovelletaanko poikkeusta myöhempiin maksuihin.
• 14 artikla — toistuvat maksutapahtumat: saman summan ja saajan maksusarjoissa tunnistaminen vaaditaan vain ensimmäisellä kerralla.
• 15 artikla — tilisiirrot saman luonnollisen henkilön tai oikeushenkilön samassa palveluntarjoajassa olevien tilien välillä.
• 16 artikla — pienet etämaksutapahtumat: enintään 30 euroa, kun edellisen tunnistamisen jälkeiset kumulatiiviset rajat ovat 100 euroa tai viisi peräkkäistä tapahtumaa.
• 17 artikla — turvalliset yritysmaksuprosessit: vain muille kuin kuluttajamaksajille tarkoitetut erityisprosessit, kun toimivaltainen viranomainen on vakuuttunut niiden vastaavasta turvallisuustasosta.
• 18 artikla — tapahtumariskianalyysi: käytettävissä, kun palveluntarjoajan petosaste pysyy viitearvojen alapuolella; etätilisiirroissa viitearvot ovat 0,015 % enintään 100 euroon, 0,01 % enintään 250 euroon ja 0,005 % enintään 500 euroon.

Yritysintegraattoreiden on syytä kiinnittää huomiota 17 artiklan poikkeukseen, koska se sekoitetaan usein yleiseen yritysten väliseen käyttöön. Poikkeus koskee vain erityisiä yritysprosesseja ja -protokollia, kuten host-to-host-yhteyksiä, ja edellyttää toimivaltaisen viranomaisen hyväksyntää. Se ei koske yritysmaksajaa, joka yksinkertaisesti käyttää kuluttajatyyppistä verkkopankkia.

4. SEPA-pikasiirrot ja asetus (EU) 2024/886

European Payments Councilin SCT Inst -järjestelmä on ollut käytettävissä marraskuusta 2017. Vuoteen 2024 asti osallistuminen oli vapaaehtoista, ja tavoitettavuus vaihteli huomattavasti maiden ja pankkien välillä. Asetus (EU) 2024/886 muuttaa järjestelmän aseman vapaaehtoisesta pakolliseksi niille palveluntarjoajille, jotka tarjoavat tavallisia euromääräisiä tilisiirtoja.

Asetus määrittelee pikatilisiirron välittömästi, ympäri vuorokauden ja minä tahansa kalenteripäivänä toteutettavaksi siirroksi ja edellyttää, että maksunsaajan palveluntarjoaja asettaa varat saataville kymmenen sekunnin kuluessa maksutoimeksiannon vastaanottamisesta. Pikasiirroista perittävät maksut eivät saa ylittää vastaavasta tavallisesta siirrosta perittäviä maksuja. Maksutilien on oltava tavoitettavissa jatkuvasti.

Saajan varmennus on loppukäyttäjille näkyvin uusi velvoite. Ennen kuin maksaja hyväksyy tilisiirron, sen palveluntarjoajan on tarkistettava, vastaako saajan nimi IBAN-tilinumeroa, ja ilmoitettava tulos, mukaan lukien lähes vastaava tai ei vastaavuutta. Velvoite koskee sekä pikasiirtoja että tavallisia siirtoja kanavasta riippumatta. Kun maksu käynnistetään maksutoimeksiantopalvelun kautta, tilinpitäjän ei tarvitse tehdä tarkistusta; sen sijaan maksun käynnistäjän on varmistettava, että saajatiedot ovat oikein. Muut kuin kuluttajat voivat kieltäytyä palvelusta vain, kun ne lähettävät useita maksutoimeksiantoja yhtenä pakettina.

Asetus korvaa myös pikamaksujen tapahtumatason pakoteseulonnan velvoitteella tarkistaa vähintään päivittäin ja välittömästi uusien tai muutettujen toimenpiteiden tultua voimaan, kohdistuuko palveluntarjoajan omiin asiakkaisiin EU:n kohdennettuja rajoittavia toimenpiteitä. Tämä poistaa viivelähteen, joka oli aiemmin vaikeuttanut kymmenen sekunnin toteutusta.

Euroalueen ulkopuolisille jäsenvaltioille asetus antaa myöhemmät määräajat ja väliaikaisen poikkeuksen: kansallinen viranomainen voi sallia palveluntarjoajien rajoittaa kansallisen valuutan tileiltä lähetettäviä euromääräisiä pikasiirtoja tapahtumakohtaisen rajan ylittäviltä osin; rajan on oltava vähintään 25 000 euroa, ja poikkeus on voimassa vuoden kerrallaan uusittavissa. Euroalueen ulkopuolisten jäsenvaltioiden palveluntarjoajien ei 9.6.2028 asti tarvitse tarjota pikasiirtoja kansallisessa valuutassaan samoin ehdoin. Tämä koskee suoraan ruotsalaisia, tanskalaisia ja puolalaisia maksuvirtoja, jotka yleensä selvitetään kotimaan valuutassa kansallisissa järjestelmissä.

5. Selvitys- ja toimitusinfrastruktuuri

SCT Inst -tapahtumia käsittelee kaksi yleiseurooppalaista infrastruktuuria. Eurojärjestelmän marraskuusta 2018 ylläpitämä TARGET Instant Payment Settlement (TIPS) toimittaa pikamaksut keskuspankkirahassa bruttoperusteisesti. EBA CLEARINGin marraskuusta 2017 ylläpitämä RT1 tarjoaa yleiseurooppalaisen pikamaksujärjestelmän osallistujapankeille. Pirstaloitumisen välttämiseksi eurojärjestelmä hyväksyi vuonna 2020 toimenpiteet, joilla varmistetaan, että SCT Inst -järjestelmään liittyneet ja toisessa selvitysjärjestelmässä tavoitettavat palveluntarjoajat ovat tavoitettavissa myös TIPSin kautta.

Asetus (EU) 2024/886 muuttaa myös selvityksen lopullisuutta koskevaa direktiiviä niin, että maksu- ja sähkörahalaitokset voivat osallistua nimettyihin maksujärjestelmiin, ja PSD2:ta niin, että tällaiset laitokset voivat keskuspankin harkinnan mukaan suojata asiakasvaroja keskuspankkitilillä. Ajan mittaan tämä voi vähentää muiden kuin pankkien riippuvuutta sponsoripankeista pikamaksukanaviin pääsyssä.

Integraattorin näkökulmasta maksukanava ratkaisee lopullisuuden. Avoimen pankkitoiminnan rajapinnan kautta käynnistetty ja SCT Inst -siirtona toteutettu maksu on lopullinen, kun saajan palveluntarjoaja vahvistaa sen järjestelmän aikarajan puitteissa. Tavallisena SEPA-tilisiirtona toteutettu maksu seuraa eräajoja, ja kruunu-, zloty- tai muussa kotimaan valuutassa toteutettu maksu seuraa kyseisen kansallisen järjestelmän sääntöjä. Maksun käynnistäjän vahvistusviestit on siksi tulkittava sen mukaan, mitä kanavaa todellisuudessa käytettiin.

6. Rajapintojen standardointi: Berlin Group NextGenPSD2 XS2A

RTS edellyttää tilinpitäjiltä vähintään yhtä rajapintaa kolmansien osapuolten pääsyä varten, mutta se ei määrää teknistä standardia. Berlin Group NextGenPSD2 Access to Account (XS2A) -kehyksestä on tullut Manner-Euroopan laajimmin käytetty määrittely, ja sitä käyttävät monet pohjoismaiset ja puolalaiset pankit kansallisten sovellusten ja omien rajapintojen rinnalla. Puolassa on käytössä myös kansallisen pankkisektorin kehittämä PolishAPI-standardi.

XS2A-kehys määrittelee tilitieto-, maksutoimeksianto- ja katevahvistuspalvelut ja tukee uudelleenohjaukseen, OAuth2:een perustuvaa, erillistä ja upotettua tunnistamismallia. Kolmannet osapuolet tunnistautuvat pankeille eIDAS-asetuksen mukaisilla hyväksytyillä verkkosivuston todentamisvarmenteilla ja tarvittaessa hyväksytyillä sähköisillä leimavarmenteilla RTS:n 34 artiklan edellyttämällä tavalla.

Määrittelytason standardointi ei takaa yhtenäistä käyttäytymistä. Toteutusvaihtoehdot, valinnaiset kentät, tuetut maksutuotteet ja virheilmoitusten merkitykset vaihtelevat. Maksun käynnistäjän kattavuusväite ("yhteys N pankkiin") on siksi vähemmän informatiivinen kuin tunnistamismallien, tuettujen maksutuotteiden ja havaitun käytettävyyden jakauma niissä pankeissa, joilla on merkitystä tietylle asiakaskunnalle.

7. Johtopäätökset yritysintegraattoreille

• Kartoita jokaisen kohdepankin tunnistamismalli ennen konversion arviointia; uudelleenohjaus- ja erillinen malli tuottavat erilaiset käyttäjäpolut.
• Suunnittele maksupolut niin, että summa ja saaja ovat lopullisia ennen maksajan tunnistamista; myöhäiset muutokset rikkovat dynaamisen yhdistämisen.
• Älä rakenna poikkeusten varaan. Käsittele maksajan pankin myöntämää poikkeusta parannuksena, ei lähtötasona.
• Kirjaa jokaisen maksun selvityskanava ja erota järjestelmätason lopullisuus palveluntarjoajan vahvistuksesta.
• Varmista, miten maksun käynnistäjä täyttää saajan varmennusta koskevan velvollisuutensa ja miten nimien poikkeamat näytetään.
• Suunnittele palautukset ja maksatukset uusina tilisiirtoina, joiden viitteet mahdollistavat automaattisen täsmäytyksen.
• Analysoi ruotsalaisten, tanskalaisten, norjalaisten ja puolalaisten maksuvirtojen kotimainen pikajärjestelmä erikseen SCT Inst -järjestelmästä.

8. Rajoitukset

Raportti kuvaa sääntelykehyksen viimeisimmän tarkistuksen ajankohdan mukaisena eikä se ole oikeudellista neuvontaa. Kansallinen täytäntöönpano, valvontaohjeet ja järjestelmien sääntökirjat muuttuvat, ja PSD2:n ehdotettu uudistus voi muuttaa tässä kuvattua vastuunjakoa. Palveluntarjoajakohtaiset havainnot rajoittuvat julkisesti saatavilla oleviin tietoihin, ja ne esitetään erikseen infrastruktuurivertailussa.