Commission Delegated Regulation (EU) 2018/389 of 27 November 2017 supplementing Directive (EU) 2015/2366 of the European Parliament and of the Council with regard to regulatory technical standards for strong customer authentication and common and secure open standards of communication (Text with EEA relevance)Text with EEA relevance

Coming into Force25 July 2023
Date25 July 2023
Celex Number02018R0389-20230725
Published date25 July 2023
Konsolidierter TEXT: 32018R0389 — DE — 25.07.2023

02018R0389 — DE — 25.07.2023 — 001.001


Dieser Text dient lediglich zu Informationszwecken und hat keine Rechtswirkung. Die EU-Organe übernehmen keine Haftung für seinen Inhalt. Verbindliche Fassungen der betreffenden Rechtsakte einschließlich ihrer Präambeln sind nur die im Amtsblatt der Europäischen Union veröffentlichten und auf EUR-Lex verfügbaren Texte. Diese amtlichen Texte sind über die Links in diesem Dokument unmittelbar zugänglich

►B DELEGIERTE VERORDNUNG (EU) 2018/389 DER KOMMISSION vom 27. November 2017 zur Ergänzung der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards für eine starke Kundenauthentifizierung und für sichere offene Standards für die Kommunikation (Text von Bedeutung für den EWR) (ABl. L 069 vom 13.3.2018, S. 23)

Geändert durch:

Amtsblatt
Nr. Seite Datum
►M1 DELEGIERTE VERORDNUNG (EU) 2022/2360 DER KOMMISSION vom 3. August 2022 L 312 1 5.12.2022


Berichtigt durch:

►C1 Berichtigung, ABl. L 088 vom 24.3.2020, S. 11 (2018/389)




▼B

DELEGIERTE VERORDNUNG (EU) 2018/389 DER KOMMISSION

vom 27. November 2017

zur Ergänzung der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards für eine starke Kundenauthentifizierung und für sichere offene Standards für die Kommunikation

(Text von Bedeutung für den EWR)



KAPITEL I

ALLGEMEINE BESTIMMUNGEN

Artikel 1

Gegenstand

In dieser Verordnung werden die Anforderungen festgelegt, die Zahlungsdienstleister für die Umsetzung von Sicherheitsmaßnahmen erfüllen müssen, die es ihnen ermöglichen,

a)

das Verfahren zur starken Kundenauthentifizierung nach Artikel 97 der Richtlinie (EU) 2015/2366 anzuwenden;

b)

unter genau festgelegten, eingeschränkten Voraussetzungen, die auf die Höhe des Risikos, den Betrag und die Häufigkeit des Zahlungsvorgangs sowie auf den für dessen Ausführung genutzten Zahlungsweg abstellen, von der Durchführung der aus Sicherheitsgründen vorgeschriebenen starken Kundenauthentifizierung abzusehen;

c)

die Vertraulichkeit und Integrität der personalisierten Sicherheitsmerkmale der Zahlungsdienstnutzer zu schützen;

d)

gemeinsame und sichere offene Standards für die Kommunikation zwischen kontoführenden Zahlungsdienstleistern, Zahlungsauslösedienstleistern, Kontoinformationsdienstleistern, Zahlern, Zahlungsempfängern und anderen Zahlungsdienstleistern im Zusammenhang mit der Erbringung und der Nutzung von Zahlungsdiensten gemäß Titel IV der Richtlinie (EU) 2015/2366 festzulegen.

Artikel 2

Allgemeine Anforderungen an die Authentifizierung

(1)
Die Zahlungsdienstleister verfügen über Transaktionsüberwachungsmechanismen, die ihnen für den Zweck der Umsetzung der in Artikel 1 Buchstaben a und b genannten Sicherheitsmaßnahmen die Erkennung nicht autorisierter oder betrügerischer Zahlungsvorgänge ermöglichen.

Diese Mechanismen basieren auf der Analyse von Zahlungsvorgängen unter Berücksichtigung der Elemente, die für den Zahlungsdienstnutzer im Rahmen einer normalen Verwendung der personalisierten Sicherheitsmerkmale typisch sind.

(2)

Die Zahlungsdienstleister stellen sicher, dass die Transaktionsüberwachungsmechanismen zumindest alle nachstehend genannten risikobasierten Faktoren einbeziehen:

a)

Liste der missbräuchlich verwendeten oder gestohlenen Authentifizierungselemente;

b)

Betrag eines jeden Zahlungsvorgangs;

c)

bekannte Betrugsszenarien bei der Erbringung von Zahlungsdienstleistungen;

▼C1

d)

Anzeichen für eine Malware-Infektion in einer Phase des Authentifizierungsverfahrens;

▼B

e)

falls das Zugangsgerät oder die Zugangssoftware vom Zahlungsdienstleister bereitgestellt wird, ein Protokoll über die Nutzung des Zugangsgeräts oder der Zugangssoftware, die dem Zahlungsdienstnutzer zur Verfügung gestellt werden, sowie über die ungewöhnliche Nutzung dieses Geräts oder der Software.

Artikel 3

Überprüfung der Sicherheitsmaßnahmen

(1)
Die Umsetzung der in Artikel 1 genannten Sicherheitsmaßnahmen wird dokumentiert, regelmäßig getestet, bewertet und von Prüfern mit Fachwissen auf dem Gebiet der IT-Sicherheit und des Zahlungsverkehrs, die innerhalb des Zahlungsdienstleisters oder von diesem operativ unabhängig sind, gemäß dem geltenden Rechtsrahmen des Zahlungsdienstleisters geprüft.
(2)
Die Zeiträume zwischen den nach Absatz 1 durchzuführenden Prüfungen werden gemäß dem für den Zahlungsdienstleister geltenden maßgeblichen Rechnungslegungs- und Abschlussprüfungsrahmenwerk festgelegt.

Für Zahlungsdienstleister, die die Ausnahme nach Artikel 18 in Anspruch nehmen, wird mindestens einmal jährlich eine Prüfung der Methodik, des Modells und der gemeldeten Betrugsraten durchgeführt. Der diese Prüfung vornehmende Prüfer verfügt über Fachwissen auf dem Gebiet der IT-Sicherheit und des Zahlungsverkehrs und ist innerhalb des Zahlungsdienstleisters oder von diesem operativ unabhängig. Diese Prüfung wird im ersten Jahr der Inanspruchnahme der Ausnahme nach Artikel 18 sowie im Anschluss daran mindestens alle drei Jahre — oder auf Verlangen der zuständigen Behörde häufiger — von einem unabhängigen, qualifizierten externen Prüfer durchgeführt.

(3)
Als Ergebnis dieser Prüfung werden eine Bewertung und ein Bericht erstellt, aus denen hervorgeht, ob die Sicherheitsmaßnahmen des Zahlungsdienstleisters die in dieser Verordnung dargelegten Anforderungen erfüllen.

Der Gesamtbericht wird den zuständigen Behörden auf Verlangen zur Verfügung gestellt.



KAPITEL II

SICHERHEITSMAẞNAHMEN FÜR DIE DURCHFÜHRUNG EINER STARKEN KUNDENAUTHENTIFIZIERUNG

Artikel 4

Authentifizierungscode

(1)
Wenn Zahlungsdienstleister gemäß Artikel 97 Absatz 1 der Richtlinie (EU) 2015/2366 eine starke Kundenauthentifizierung verlangen, muss die Authentifizierung auf mindestens zwei Elementen der Kategorien Wissen, Besitz und Inhärenz basieren und die Generierung eines Authentifizierungscodes nach sich ziehen.

Der Authentifizierungscode wird vom Zahlungsdienstleister nur einmalig akzeptiert, wenn der Zahler diesen Code für den Online-Zugriff auf sein Zahlungskonto, für die Auslösung eines elektronischen Zahlungsvorgangs oder für die Ausführung einer Handlung über einen Fernzugang, die das Risiko eines Betrugs im Zahlungsverkehr oder eines anderen Missbrauchs in sich birgt, verwendet.

(2)

Für die Zwecke des Absatzes 1 ergreifen Zahlungsdienstleister Sicherheitsmaßnahmen, die gewährleisten, dass alle folgenden Anforderungen erfüllt sind:

a)

Aus der Offenlegung des Authentifizierungscodes können keine Informationen über eines der in Absatz 1 genannten Elemente abgeleitet werden.

b)

Aufgrund der Kenntnis eines zuvor generierten anderen Authentifizierungscodes kann kein neuer Authentifizierungscode generiert werden.

c)

Der Authentifizierungscode kann nicht gefälscht werden.

(3)

Die Zahlungsdienstleister stellen sicher, dass die Authentifizierung durch Generierung eines Authentifizierungscodes alle folgenden Sicherheitsmaßnahmen umfasst:

a)

Wenn bei der Authentifizierung für den Fernzugriff, für elektronische Fernzahlungsvorgänge und für Handlungen über einen Fernzugang, die das Risiko eines Betrugs im Zahlungsverkehr oder eines anderen Missbrauchs in sich bergen, die Generierung eines Authentifizierungscodes für die Zwecke des Absatzes 1 fehlgeschlagen ist, darf nicht ermittelt werden können, welches der in jenem Absatz genannten Elemente falsch war.

b)

Die Anzahl der möglichen aufeinanderfolgenden fehlgeschlagenen Authentifizierungsversuche, nach der die in Artikel 97 Absatz 1 der Richtlinie (EU) 2015/2366 aufgeführten Handlungen vorübergehend oder permanent gesperrt werden, darf innerhalb einer bestimmten Zeitspanne nicht mehr als fünf betragen.

c)

Die Kommunikationssitzungen sind gegen den Zugriff auf die während der Authentifizierung übertragenen Authentifizierungsdaten und gegen die Manipulation durch Unbefugte entsprechend den Anforderungen in Kapitel V geschützt.

d)

Die maximale Zeitspanne ohne Aktivität, nachdem der Zahler für den Online-Zugriff auf sein Zahlungskonto authentifiziert wurde, darf nicht mehr als fünf Minuten betragen.

(4)
Wenn die Sperrung nach Absatz 3 Buchstabe b vorübergehend ist, werden die Dauer dieser Sperrung und die Anzahl der erneuten Versuche auf Grundlage der Merkmale des dem Zahler bereitgestellten Dienstes sowie aller damit verbundenen relevanten Risiken festgelegt, wobei mindestens die in Artikel 2 Absatz 2 genannten Faktoren zu berücksichtigen sind.

Der Zahler erhält eine Warnung, bevor die Sperrung dauerhaft wird.

Bei einer dauerhaften Sperrung wird ein sicheres Verfahren eingerichtet, das es dem Zahler ermöglicht, die Nutzung der gesperrten elektronischen Zahlungsinstrumente wiederzuerlangen.

Artikel 5

Dynamische Verknüpfung

(1)

Wenn Zahlungsdienstleister gemäß Artikel 97 Absatz 2 der Richtlinie (EU) 2015/2366 eine starke Kundenauthentifizierung verlangen, müssen sie zusätzlich zu den in Artikel 4 der vorliegenden Verordnung genannten Auflagen Sicherheitsmaßnahmen ergreifen, die alle folgenden Anforderungen erfüllen:

a)

Zahlungsbetrag und Zahlungsempfänger werden dem Zahler angezeigt.

b)

Der generierte Authentifizierungscode gilt speziell für den Zahlungsbetrag und den Zahlungsempfänger, denen der Zahler beim Auslösen des Vorgangs zugestimmt hat.

c)

Der vom Zahlungsdienstleister akzeptierte Authentifizierungscode entspricht dem ursprünglichen spezifischen Zahlungsbetrag und der Identität des Zahlungsempfängers, denen der Zahler zugestimmt hat.

d)

Jede Änderung beim Betrag oder Zahlungsempfänger zieht...

To continue reading

Request your trial

VLEX uses login cookies to provide you with a better browsing experience. If you click on 'Accept' or continue browsing this site we consider that you accept our cookie policy. ACCEPT