PSD2-datoer: tidslinje for e-handelen

Deadlines, utsettelser og utrulling – i dette blogginnlegget finner du oppdatert informasjon om innføringen av sterk kundeautentisering og utfasingen av 3-D Secure 1.

PSD2, eller EUs reviderte betalingstjenestedirektiv, er et EU-direktiv som skal sørge for sikrere betalinger på nett. PSD2 dekker mange ulike områder innen betalinger og banktjenester. En viktig del av PSD2 er sterk kundeautentisering (en:strong customer authentication, SCA).

Sterk kundeautentisering, eller SCA, handler om sikkerhet. Kortutstedende banker må kreve dokumentasjon på at kunden er den han eller hun utgir seg for å være. Dersom dette ikke blir fremlagt, vil kjøpet bli avvist.

Bransjestandarden for slik datautveksling kalles 3-D Secure. Det finnes to ulike standarder for 3-D Secure, versjon 1 og versjon 2. E-forhandlere må dermed tilby en form for 3-D Secure for at kjøpet skal gå gjennom.

Innføringen av SCA som en del av PSD2 har vært forskjellig på ulike markeder, og varierer fra bank til bank. Noen land har bestemt seg for å utsette kravet om SCA, noe som i praksis betyr at det ikke kreves 3-D Secure for at alle kjøp skal gå gjennom. Derimot kan enkelte banker kreve SCA selv om dette ikke er lovfestet i det aktuelle landet. Adyen anbefaler derfor at alle bedrifter som tar betalt på nettet i Europa, er klare med den nyeste standarden av 3-D Secure 2.

3-D Secure 2 har flere fordeler fremfor 3-D Secure 1. 3-D Secure 2 gir for eksempel høyere konvertering for e-forhandlerne, en mer strømlinjeformet opplevelse for brukeren og mer data til den kortutstedende banken. Fra og med29. desember 2020begynner Visa og Mastercard utfasingen av 3-D Secure 1.

PSD2, SCA og 3-D Secure kan være komplisert å sette seg inn i, fordi alle land og kortutstedere behandler kravene forskjellig.

Adyen behandler alltid 3-D Secure dynamisk. Dette innebærer at Adyens betalingsplattform tilpasser seg beredskapen hos forbrukerens kortutstedende bank. Avhengig av banken trigges 3-D Secure 1 eller 2. For norsk e-handel betyr dette at man kan benytte seg av fordelene ved 3-D Secure 2, men fremdeles falle tilbake på 3-D Secure 1 hvis beredskapen hos banken er lav.

Adyens undersøkelse Retailbarometeret 2019 viste at bare 23 prosent av de nordiske bedriftene var forberedt på PSD2 før 14. september 2019 – bak Tyskland, Spania, Frankrike og Italia.

Til tross for dette harFinanstilsynetvarslet at Norge har fulgt EUs anbefaling om å innføre kravet til sterk kundeautentisering fra og med 14. september 2019. Dette innebærer at norske banker må rette seg etter kravet om å be om sterk kundeautentisering. Per i dag ser vi at det er brukbar beredskap hos kortutstedende banker for å ta imot 3-D Secure 2 som standard.

For de som selger internasjonalt, er det viktig å være bevisst på hvilke land som har gitt bankene utsettelse på å innføre krav til SCA. Slik er situasjonen i de ulike landene:

På sikt vil 3-D Secure 1 bli faset ut. Utviklingen for å fase ut 3-D Secure 1 drives frem av kortnettverkene, de kortutstedende bankene og lovgivningen. Det kan være vanskelig å ha oversikt over alle endringer som skjer, og Adyen anbefaler derfor dynamisk 3-D Secure, som automatisk registrerer om 3-D Secure skal vises eller ikke, og om det er krav om 3-D Secure 2.

Alle nettkjøp som gjennomføres med kort når forhandleren eller kortinnløseren er basert i Europa, kan kreve sterk kundeautentisering länk till sca blogginlägg (Strong Customer Authentication, SCA).

Hensikten med SCA-kravene er å sikre at det er korteieren som gjennomfører kjøpet. I noen tilfeller er ikke dette mulig, f.eks. ved kjøp som blir gjort med firmakort eller ved rullerende abonnementer, eller kjøp som blir gjort over telefon. Disse transaksjonene omfattes ikke av direktivet. Forhandleren kan velge å bruke 3-D Secure, men banken kommer ikke til å overta risikoen.

Forhandlere eller forbrukere har også mulighet til å be om unntak. Forhandleren kan be den kortutstedende banken om ikke å bruke 3-D Secure ved kjøp under 300 kroner. Forbrukere kan dessuten velge å hviteliste en forhandler etter at de har benyttet 3-D Secure én gang.

Ved kjøp som ikke omfattes av direktivet, kommer den kortutstedende banken aldri til å be om 3-D Secure, og de kommer heller ikke til å overta risikoen selv om kunden gjennomgår 3-D Secure.

Ved unntak er det fremdeles en mulighet for at brukeren må gjennomgå 3-D Secure. I så fall overtar den kortutstedende banken risikoen.

es mer om unntak og hvordan de kan behandles (länk till sca vad betyder sca här)

Flere land har valgt å rulle ut direktivet i ulike faser for å gi forhandlere og banker mer tid til å tilpasse seg de nye reglene. Legg også merke til at 3-D Secure 1 vil bli faset ut etter29. desember 2020og må erstattes med 3-D Secure 2.