DSP2 och stark autentisering (SCA): en guide till en överensstämmande elektronisk signatur

Vad är stark kundautentifiering (SCA) enligt DSP2?

Styrkt kundautentifiering krävs i artikel 97 i direktiv (EU) 2015/2366 (DSP2). Dess tekniska bestämmelser anges i delegerad förordning (EU) 2018/389 (RTS).

För att gå från teori till praktik kan du upptäcka Certyneo:s elektroniska signatörlösning och dess erbjudande dedikerat till din sektor (Certyneo-lösning för bank och försäkring) — eIDAS-kompatibel, utan installation.

• Kunskap: något som endast kunden känner till (passord, kod)
• Innehav: en sak som endast kunden har (telefon som tar emot ett SMS-OTP)
• Inherens: en del som kunden är (biometrin) valfri om de andra två är sammankopplade
• Dynamisk länk: för en betalning ska koden vara kopplad till belopp och mottagare (artikel 5 i EUS TS 2018/389)

Vilka bankhandlingar omfattas av starkt autentiseringssystem?

Hur ser en SCA-kompatibel signaturutgång ut?

1. 1

   Identifiera kunden (kunskap)

   Kunden får tillgång till kuvertet via en säker länk och autentiseras med en första faktor (e-post + lösenord, eller Certyneo-ID).

2. 2

   Kontrollera innehav (OTP)

   En engångskod (OTP) skickas via SMS till kundens verifierade telefon.

3. 3

   Underteckna med RFC 3161-tidsstämpel

   Kunden applicerar sin avancerad signatur (AES). Certyneo genererar ett unikt signeringscertifikat och en RFC 3161-tidsstämpel i enlighet med artikel 26 i eIDAS-förordningen.

4. 4

   Tillverkning av SCA-trail

   Bevis-PDF:en dokumenterar båda faktorerna, RFC 3161-tidsstämpeln, SHA-256-hashen och IP-adressen — kan invändas mot ACPR för att påvisa SCA-överensstämmelse för processen.

Frågor DSP2 & starkt autentisering

Är avancerad signatur (AES) tillräcklig för att uppfylla DSP2:s SCA?

Ja, när den kombinerar två oberoende faktorer. Certyneo-avanserade signaturen omfattar kunskap (password/signatur-e-post) och innehav (OTP-SMS på en verifierad telefon): två olika kategorier av element, enligt artikel 97 i DSG2 och delegerad förordning (EU) 2018/389. Biometrin (inherens) är inte nödvändig när de två faktorerna är sammankopplade.

Vad är skillnaden mellan stark autentisering och elektronisk signatur?

Certyneo kombinerar båda: den starka autentiseringsvägen matchar direkt signaturens audittrail, så att beviset för autentisering och beviset för samtycke utgör en motstridande helhet.

Vad är den dynamiska länken som krävs för betalningar?

Artikel 5 i delegerad förordning (EU) 2018/389 kräver att en autentiseringskod för en betalningstransaktion är specifikt kopplad till beloppet och mottagaren. Alla ändringar av dessa uppgifter gör koden ogiltig. När det gäller att underteckna ett mandat eller ett order ska integriteten som garanteras av dokumentets SHA-256-hash ha en motsvarande funktion av icke-förändring.

Finns det undantag från stark autentisering?

Ja. I delegerad förordning (EU) 2018/389 finns undantag (lågbetalningar, återkommande transaktioner, förtroendeförvärvare, transaktionsriskanalys). De gäller betalning, inte undertecknande av en avtalsenlig handling: undertecknandet av ett kontoavtal eller ett mandat är fortfarande föremål för de beviskrav som anges i artikel 1367 i civillagen.

Är sökrevisionen motsägelsebar mot ACPR vid kontroll?

Ja. Certyneo-granskningsspåret dokumenterar båda autentiseringsfaktorerna, RFC 3161-tidsstämpeln, dokumentintegriteten och signerarens identitet. Exporterbart som certifierad PDF tillåter det att påvisa för Auktoritet för prudentiell kontroll och resolution (ACPR) att processen uppfyller SCA-kraven i DSP2.

Länk till vägledningar och lösningar

Utforska våra relaterade resurser i vår e-signaturkokon.

• Bank och försäkringsbolag
• Den digitaliserade KYC- och LCB-FT-guiden
• Bank- och försäkringslösning
• eIDAS-guide — SES, AES, QES
• Online-identitetsverifiering