DSP2 och stark autentisering (SCA): en guide till en överensstämmande elektronisk signatur

Vad är stark kundautentifiering (SCA) enligt DSP2?

Styrkt kundautentifiering krävs i artikel 97 i direktiv (EU) 2015/2366 (DSP2). Dess tekniska bestämmelser anges i delegerad förordning (EU) 2018/389 (RTS).

För att gå från teori till praktik kan du upptäcka Certyneo:s elektroniska signatörlösning och dess erbjudande dedikerat till din sektor — eIDAS-kompatibel, utan installation.

• Kunskap: något som endast kunden känner till (passord, kod)
• Innehav: en sak som endast kunden har (telefon som tar emot ett SMS-OTP)
• Inherens: en del som kunden är (biometrin) valfri om de andra två är sammankopplade
• Dynamisk länk: för en betalning ska koden vara kopplad till belopp och mottagare (artikel 5 i EUS TS 2018/389)

Vilka bankhandlingar omfattas av starkt autentiseringssystem?

Hur ser en SCA-kompatibel signaturutgång ut?

1. 1

   Identifiera kunden (kunskap)

   Kunden får tillgång till kuvertet via en säker länk och autentiseras med en första faktor (e-post + lösenord, eller Certyneo-ID).

2. 2

   Kontrollera innehav (OTP)

   En engångskod (OTP) skickas via SMS till kundens verifierade telefon.

3. 3

   Underteckna med tidsstämpel

   Certyneo genererar ett enda signeringscertifikat och en kvalificerad tidsstämpel i enlighet med artikel 26 i eIDAS-förordningen.

4. 4

   Tillverkning av SCA-trail

   Bevis PDF dokumenterar båda faktorerna, kvalificerad tidsstämpel, SHA-256 hash och IP som kan motsvaras av ACPR för att visa att resan är SCA-överensstämd.

Frågor DSP2 & starkt autentisering

Är avancerad signatur (AES) tillräcklig för att uppfylla DSP2:s SCA?

Ja, när den kombinerar två oberoende faktorer. Certyneo-avanserade signaturen omfattar kunskap (password/signatur-e-post) och innehav (OTP-SMS på en verifierad telefon): två olika kategorier av element, enligt artikel 97 i DSG2 och delegerad förordning (EU) 2018/389. Biometrin (inherens) är inte nödvändig när de två faktorerna är sammankopplade.

Vad är skillnaden mellan stark autentisering och elektronisk signatur?

Certyneo kombinerar båda: den starka autentiseringsvägen matchar direkt signaturens audittrail, så att beviset för autentisering och beviset för samtycke utgör en motstridande helhet.

Vad är den dynamiska länken som krävs för betalningar?

Artikel 5 i delegerad förordning (EU) 2018/389 kräver att en autentiseringskod för en betalningstransaktion är specifikt kopplad till beloppet och mottagaren. Alla ändringar av dessa uppgifter gör koden ogiltig. När det gäller att underteckna ett mandat eller ett order ska integriteten som garanteras av dokumentets SHA-256-hash ha en motsvarande funktion av icke-förändring.

Finns det undantag från stark autentisering?

Ja. I delegerad förordning (EU) 2018/389 finns undantag (lågbetalningar, återkommande transaktioner, förtroendeförvärvare, transaktionsriskanalys). De gäller betalning, inte undertecknande av en avtalsenlig handling: undertecknandet av ett kontoavtal eller ett mandat är fortfarande föremål för de beviskrav som anges i artikel 1367 i civillagen.

Är sökrevisionen motsägelsebar mot ACPR vid kontroll?

Ja. Certyneo-trail-audit dokumenterar de två autentiseringsfaktorerna, kvalificerad tidsstämpel, dokumentets integritet och undertecknarens identitet. Det kan exporteras i certifierad PDF och visar för tillsynsmyndigheten (ACPR) att trail-audit uppfyller SCA-kravet i DSP2.

Länk till vägledningar och lösningar

Utforska våra relaterade resurser i vår e-signaturkokon.

• Bank och försäkringsbolag
• Den digitaliserade KYC- och LCB-FT-guiden
• Bank- och försäkringslösning
• eIDAS-guide — SES, AES, QES
• Online-identitetsverifiering