PSD2 datum: tidslinje för e-handeln

Deadlines, uppskov och utrullning. I det här blogginlägget hittas uppdaterad information om införandet avstark kundautentiseringoch utfasningen av 3-D Secure 1.

PSD2, eller det Andra betaltjänstdirektivet, är ett EU-direktive för att skapa säkrare betalningar på nätet. PSD2 täcker många olika områden av betalningar och banktjänster. En viktig del av PSD2 ärstark kundautentisering (en:strong customer authentication, SCA).

Stark kundautentisering, ellerSCAhandlar om säkerhet. Kortutgivande banker behöver kräva data på att kunden är den de utger sig för att vara. Om detta inte lyckas nekas köpet.

Branschstandarden för ett sådant datautbyte kallas för 3-D Secure. Det finns två olika standarder för 3-D Secure, version 1 och version 2. Detta innebär att e-handlare måste erbjuda någon typ av 3-D Secure för att köpet ska gå igneom.

Införandet av SCA som en del av PSD2 har sett olika ut i olika marknader. Det skiljer sig även mellan olika banker. Vissa länder har tagit beslutet att fördröja kravet på SCA, vilket i praktiken betyder att 3-D Secure inte krävs för att alla köp ska gå igenom. Däremot kan vissa banker kräva SCA även fast lagen i landet inte gör det. Därför rekommenderar Adyen alla företag som tar betalt på nätet i Europa att vara redo med den senaste standarden av3-D Secure 2.

3-D Secure 2 har flera fördelar framför 3-D Secure 1. 3-D Secure 2 ger till exempel  högre konvertering åt e-handlare, en smdigare upplevelse för användaren och ger mer data åt den kortutgivande banken. Från och med 29 december, 2020 så kommer 3-D Secure 1 att börja fasas ut av Visa och Mastercard.

PSD2, SCA och 3-D Secure kan vara komplicerat att sätta sig in i, eftersom alla länder och kortutgivare hanterar kraven på olika sätt. 

Adyen hanterar alltid 3-D Secure dynamiskt. Detta innebär att Adyens betalplattform anpassar sig efter beredskapen hos konsumentens kortutgivande bank. Beroende på banken triggas 3-D Secure 1 eller 2. För svensk e-handel betyder det att man kan dra nytta av fördelarna av3-D Secure 2, men fortfarande kunde falla tillbaka på 3-D Secure 1 om beredskapen hos banken är låg.

Adyens undersökningRetailbarometern 2019Retailbarometern 2019 visade att endast 23 procent av nordiska företag var beredda på PSD2 innan 14 september 2019 – bakom Tyskland, Spanien, Frankrike och Italien.

Trots det har Finansinspektionenmeddelat att Sverige följer EU:s rekommendation om att införa kravet på stark kundautentisering från och med 14 september 2019. Detta innebär att svenska banker måste rätta sig efter kraven på att begära stark kundautentisering. I dagsläget ser vi att det finns en hyfsad beredskap hos korutgivande banker att ta emot 3-D Secure 2 som standard. 

För den som säljer internationellt är det viktigt att vara medveten om vilka länder som gett bankerna uppskov på att införa krav på SCA. I dessa länder. 

På sikt kommer 3-D Secure 1 att fasas ut. Utvecklingen för att fasa ut 3-D Secure 1 drivs på av kortnätverken, kortutgivande banker och lagstiftning. Eftersom det kan vara svårt att ha uppsikt på alla ändringar som sker så rekommenderar Adyen dynamiskt 3-D Secure, som automatiskt känner om 3-D Secure ska visas eller inte, samt om 3-D Secure 2 ska användas. 

Alla nätköp som genomförs med kort där handlaren eller kortinlösaren är baserade i Europa kan krävastark kundautentisering(Strong Customer Authentication, SCA).

Syftet med SCA-kraven är att säkerställa att det är kortägaren som utför köpet. I vissa fall är detta inte möjligt, t.ex. köp som görs med företagskort eller vid rullande abonnemang och prenumerationer, eller köp som görs över telefon. Dessa transaktioner omfattas inte av direktivet. Handlaren kan välja att använda 3-D Secure men banken kommer inte att ta över risken.

Det finns även undantag som handlare eller konsumenter kan be om. För köp under 300 kronor kan handlaren be den kortutgivande banken att inte använda 3-D Secure. Konsumenter kan även välja att vitlista en handlare efter att de genomgått 3-D Secure en gång.

För köp som inte omfattas av direktivet kommer den kortutgivande banken aldrig att be om 3D Secure och de kommer heller inte att ta över risken, även om kunden genomgår 3D Secure. 

Vid undantag så finns det fortfarande en möjlighet att användaren behöver gå igenom 3D Secure. Då tar den kortutugivande banken över risken. 

Läs mer om undantag och hur man kan hantera dem

Flera länder har valt att rulla ut direktivet i olika faser, för att ge handlare och banker mer tid att anpassa sig till de nya reglerna. Notera även att 3-D Secure kommer att fasas ut efter29 december 2020, och behöva ersättas med 3-D Secure 2.