DSP2 i silne uwierzytelnianie (SCA): przewodnik do zgodnego podpisu elektronicznego

Co to jest silne uwierzytelnianie klienta (SCA) w rozumieniu DSP2?

Artykuł 97 dyrektywy (UE) 2015/2366 (DSP2) wymaga silnego uwierzytelniania klienta. Jego techniczne zasady zostały określone w rozporządzeniu delegowanym (UE) 2018/389 (Regulatory Technical Standards, RTS).

Aby przejść od teorii do praktyki, odkryj rozwiązanie podpisu elektronicznego Certyneo i ofertę dedykowaną Twojemu sektorowi (Certyneo rozwiązanie bankowe i ubezpieczeniowe) — zgodne z eIDAS, bez instalacji.

• Wiedza: element, który jest znany tylko klientowi (hasło, kod)
• Posiadanie: element posiadany wyłącznie przez klienta (telefon otrzymujący SMS OTP)
• Inwerencja: jeden element, który jest klientem (biometria) opcjonalny, jeśli dwa pozostałe są połączone
• W przypadku płatności, kod musi być powiązany z kwotą i beneficjentem (art. 5 EU STS 2018/389)

Jakie akty bankowe są objęte silnym uwierzytelnieniem?

Jak wygląda ścieżka podpisania zgodna z SCA?

1. 1

   Identyfikacja klienta (wiedza)

   Klient uzyskuje dostęp do koperty za pośrednictwem bezpiecznego linku i uwierzytelnia się pierwszym czynnikiem (email + hasło lub identyfikator Certyneo).

2. 2

   Weryfikacja posiadania (OTP)

   Kod jednorazowego użycia (OTP) jest wysyłany przez SMS na uprzednio zweryfikowany telefon klienta. Wprowadzenie kodu dowodzi posiadania drugiego niezależnego czynnika.

3. 3

   Podpisz z czasowaniem RFC 3161

   Klient nanosi swój zaawansowany podpis (AES). Certyneo generuje unikalny certyfikat podpisu i czasowanie RFC 3161 zgodne z artykułem 26 rozporządzenia eIDAS.

4. 4

   Wytwarzanie ścieżki audytu SCA

   PDF dowodu dokumentuje oba czynniki, sygnaturę czasową RFC 3161, hash SHA-256 i adres IP — możliwy do wykorzystania wobec ACPR w celu wykazania zgodności SCA ścieżki.

Często zadawane pytania DSP2 & silne uwierzytelnianie

Czy zaawansowany sygnatariusz (AES) jest wystarczający do spełnienia SCA DSP2?

Tak, jeśli łączy dwa niezależne czynniki. Certyneo Advanced Signature obejmuje wiedzę (hasło / e-mail do podpisu) i posiadanie (OTP SMS na zweryfikowanym telefonie): dwa elementy różnych kategorii, zgodnie z art. 97 DSP2 i rozporządzeniem delegowanym (UE) 2018/389.

Jaka jest różnica między silnym uwierzytelnieniem (SCA) a podpisem elektronicznym?

Certyneo łączy je w sobie: silny ścieżek uwierzytelniania bezpośrednio podaje się do ścieżki audytu podpisu, tak że dowód uwierzytelnienia i dowód zgody tworzą jeden przeciwny całość.

Jaki jest dynamiczny link wymagany do płatności?

Artykuł 5 rozporządzenia delegowanego (UE) 2018/389 wymaga, aby w przypadku transakcji płatniczych kod uwierzytelniający był ściśle powiązany z kwotą i odbiorcą. Wszelkie zmiany tych danych uniemożliwiają podpisywanie kodu. W przypadku podpisania nakazu lub polecenia, integralność dokumentu zagwarantowana przez hash SHA-256 pełni równoważną funkcję niezmieniania.

Czy istnieją wyjątki od silnego uwierzytelniania?

Tak. Rozporządzenie Delegowane (UE) 2018/389 przewiduje zwolnienia (płatności o niskiej kwocie, operacje powtarzające się, odbiorcy zaufani, analiza ryzyka transakcji).

Czy w przypadku kontroli ścieżki audytu można ją przeciwstawić ACPR?

Tak. Dziennik audytu Certyneo dokumentuje oba czynniki uwierzytelniania, sygnaturę czasową RFC 3161, integralność dokumentu i tożsamość podpisującego. Możliwy do wyeksportowania jako certyfikowany PDF, pozwala wykazać Urzędowi Nadzoru Ostrożności i Rozwiązywania Kryzysów (ACPR), że ścieżka spełnia wymogi SCA DSP2.

Wytyczne i rozwiązania

Przeglądaj nasze zasoby związane z podpisem elektronicznym.

• Podpisany przewodnik bank i ubezpieczenie
• Dedytuowany przewodnik KYC & LCB-FT
• Banking & Insurance Solution
• Przewodnik eIDAS — SES, AES, QES
• Online weryfikacja tożsamości