DSP2 en sterke klantenverificatie (SCA): de gids voor conforme elektronische handtekening

Wat is sterke klantenverificatie (SCA) onder DSP2?

Artikel 97 van richtlijn (EU) 2015/2366 (DSP2) schrijft sterke klantenverificatie voor klanten voor. De technische modaliteiten worden nader bepaald door gedelegeerde verordening (EU) 2018/389 (Regulatory Technical Standards, RTS). SCA is gebaseerd op ten minste twee onafhankelijke elementen uit verschillende categorieën.

Om van theorie naar praktijk over te gaan, ontdek de elektronische handtekeningoplossing van Certyneo en het aanbod speciaal voor uw sector (Certyneo-oplossing voor bank & verzekering) — eIDAS-conform, zonder installatie.

• Kennis: een element dat alleen de klant kent (wachtwoord, code)
• Bezit: een element dat alleen de klant bezit (telefoon die een OTP-sms ontvangt)
• Inherentie: een element dat de klant is (biometrie) — optioneel als de twee andere aanwezig zijn
• Dynamische koppeling: voor een betaling moet de code worden gekoppeld aan het bedrag en de begunstigde (art. 5 RTS EU 2018/389)

Welke bankhandelingen vallen onder sterke klantenverificatie?

Hoe ziet een SCA-conforme ondertekeningstraject eruit?

1. 1

   De klant identificeren (kennis)

   De klant krijgt toegang tot de envelop via een beveiligde link en verifieert zichzelf met een eerste factor (e-mail + wachtwoord, of Certyneo-identificatie). Dit is het kenmerkende element.

2. 2

   Bezit verifiëren (OTP)

   Een eenmalige code (OTP) wordt via sms naar het eerder geverifieerde telefoonnummer van de klant verzonden. Het invoeren van de code bewijst bezit — tweede onafhankelijke factor.

3. 3

   Ondertekenen met RFC 3161-tijdstempel

   De cliënt plaatst een geavanceerde handtekening (AES). Certyneo genereert een uniek ondertekeningscertificaat en een RFC 3161-tijdstempel conform artikel 26 van de verordening eIDAS.

4. 4

   Het SCA-audittrail produceren

   De PDF-bewijs documenteert de twee factoren, de RFC 3161-tijdstempel, de SHA-256-hash en het IP-adres — stellig tegenover de ACPR om de SCA-conformiteit van het parcours aan te tonen.

Veelgestelde vragen — DSP2 & sterke authenticatie

Is geavanceerde handtekening (AES) voldoende voor SCA onder DSP2?

Ja, wanneer deze twee onafhankelijke factoren combineert. De geavanceerde handtekening van Certyneo dekt kennis (wachtwoord / ondertekenings-e-mail) en bezit (OTP per sms op een geverifieerd telefoonnummer): twee elementen uit verschillende categorieën, conform artikel 97 van DSP2 en gedelegeerde verordening (EU) 2018/389. Biometrie (inherentie) is niet nodig zolang deze twee factoren aanwezig zijn.

Wat is het verschil tussen sterke authenticatie (SCA) en elektronische handtekening?

SCA verifieert de toegang en intentie van de klant op het moment van een gevoelige operatie; elektronische handtekening verzegelt een document met duurzame bewijskracht. Certyneo combineert beide: het sterke authenticatietraject voedt rechtstreeks het audittrail van de handtekening, zodat het bewijs van authenticatie en het bewijs van instemming een geheel vormen dat tegen de toezichthouder kan worden ingeroepen.

Wat is de dynamische link die voor betalingen vereist is?

Artikel 5 van gedelegeerde verordening (EU) 2018/389 schrijft voor dat de authenticatiecode voor een betaalbewegingen specifiek aan het bedrag en de begunstigde moet zijn gekoppeld. Elke wijziging van deze gegevens maakt de code ongeldig. Voor de ondertekening van een machtiging of order vervult de integriteit die door de SHA-256-hash van het document wordt gewaarborgd een gelijkaardige functie van niet-wijziging.

Zijn er uitzonderingen op sterke authenticatie?

Ja. Gedelegeerde verordening (EU) 2018/389 voorziet in uitzonderingen (betalingen van laag bedrag, terugkerende operaties, vertrouwde begunstigden, transactierisicoanalyse). Deze betreffen de uitvoering van betalingen, niet de ondertekening van een juridische akte: de ondertekening van een rekeningovereenkomst of machtiging blijft onderworpen aan de bewijsvereisten van artikel 1367 van het Burgerlijk Wetboek.

Is het audit trail opposable aan de ACPR in geval van controle?

Ja. Het Certyneo-audittrail documenteert de twee verificatiefactoren, de RFC 3161-tijdstempel, de documentintegriteit en de identiteit van de ondertekenaar. Exporteerbaar als gecertificeerde PDF, stelt het u in staat aan de Autoriteit voor prudentieel toezicht en afwikkeling (ACPR) aan te tonen dat het parcours voldoet aan de SCA-vereisten van PSD2.

Gerelateerde gidsen en oplossingen

Verken de gerelateerde bronnen van ons elektronisch handtekeningscluster.

• Handtekening gids bank & verzekering
• Gids KYC & KYB gedigitaliseerd
• Oplossing bank & verzekering
• Gids eIDAS — SES, AES, QES
• Online identiteitsverificatie