Płatności po nowemu. Nie wszyscy zdążą?
Komisja Nadzoru Finansowego dopuszcza wydłużenie czasu dla dostawców usług płatniczych na dostosowanie się do europejskich wymogów tzw. silnego uwierzytelnienia, które mają zacząć obowiązywać 14 września 2019 r.
Dotyczy to płatności zbliżeniowych oraz transakcji internetowych.
Jak już pisaliśmy, w związku z wejściem unijnych regulacji jakie wprowadza dyrektywa PSD2 od połowy września klienci banków inaczej będą logować się na swoje konto, a zbliżeniowe transakcje na niskie kwoty, częściej niż teraz, trzeba będzie potwierdzać PIN-kodem, a przy płatnościach internetowych będzie potrzebny dodatkowy element autoryzacyjny. Ma to zwiększyć bezpieczeństwo transakcji.
Wprowadzona zostanie konieczność stosowania procedur silnego uwierzytelnienia, czyli minimum dwuelementowego potwierdzania tożsamości klientów. Opiera się ono na zastosowaniu co najmniej dwóch elementów należących do trzech kategorii: "wiedza", "posiadanie" lub "cecha klienta. Przy czym "wiedza" to kod (np. PIN), hasło lub inny element, który jest i powinien być znany tylko klientowi - posiadaczowi danego instrumentu płatniczego lub bankowości internetowej i którego nie wolno udostępniać osobom trzecim. Z kolei "posiadanie" to element, który dany użytkownik ma w posiadaniu (np. karta plastikowa, telefon z kartą SIM) i który może zostać użyty w trakcie płatności lub korzystania z bankowości internetowej. Trzecie kategoria czyli "cecha klienta" to specyficzna dla danego klienta cecha, którą tylko on dysponuje i jest to np. cecha biometryczna jak odcisku palca czy układ naczyń krwionośnych.
W praktyce to oznacza np., że logując się do banku trzeba będzie oprócz loginu i hasła dodatkowo tę czynność potwierdzić np. smsem autoryzacyjnym czy mobilną autoryzacją. Banki już zaczęły informować klientów z tych zmianach, które zaczną obowiązywać od połowy września.
Trzeba przy tym zauważyć, że unijny regulator dał bardzo mało czasu na przygotowanie do tak ważnych zmian (silne uwierzytelnienie to tylko jedna z nich).
Okazuje się, że zgromadzone przez Europejski Urząd Nadzoru Bankowego informacje wskazują na niedostateczne przygotowanie uczestników tego rynku do pełnego wdrożenia zasad silnego uwierzytelniania klienta przy płatnościach dokonywanych za pośrednictwem kanałów elektronicznych, w tym zwłaszcza w obszarze e-commerce. Dotyczy to nie tylko dostawców usług płatniczych, lecz także nienadzorowanych interesariuszy rynku usług płatniczych, w tym zwłaszcza odbiorców płatności (sprzedawców). Obserwacje te potwierdzają również informacje i analizy przeprowadzone przez Urząd Komisji Nadzoru Finansowego w odniesieniu do polskiego rynku.
KNF przypomina, że EUNB w swojej opinii z 21 czerwca 2019 r. stwierdził, że na zasadzie wyjątku i w celu uniknięcia niezamierzonych negatywnych konsekwencji dla użytkowników usług płatniczych po 14 września 2019 r., organy nadzorcze państw członkowskich mogą dopuścić dodatkowy, ograniczony czas na umożliwienie migracji stosowanych obecnie metod uwierzytelnienia do rozwiązań w pełni zgodnych z wymogami w zakresie silnego uwierzytelniania klienta. Taka elastyczność podejścia nadzorczego wymaga jednak od poszczególnych dostawców usług płatniczych przedstawienia odpowiedniego "planu migracji", uzgodnienia tego planu z organem nadzoru, a także ścisłej współpracy z organem nadzoru przy realizacji tego planu.
- Mając na względzie poczynione ustalenia na temat stanu gotowości uczestników polskiego rynku usług płatniczych do pełnego wdrożenia rozwiązań w zakresie silnego uwierzytelniania klienta oraz potrzebę zapewnienia, aby wdrożenie to nie powodowało zakłóceń w funkcjonowaniu tego rynku oraz niedogodności po stronie użytkowników usług płatniczych, Komisja Nadzoru Finansowego uznaje za dopuszczalne zastosowanie proponowanego przez EUNB rozwiązania w odniesieniu do płatności internetowych przy wykorzystaniu karty płatniczej oraz płatności zbliżeniowych (bezstykowych) realizowanych w terminalach płatniczych. Oznacza to, że wobec dostawców usług płatniczych, którzy przed 14 września 2019 r. zgłoszą Komisji Nadzoru Finansowego potrzebę zastosowania omawianego rozwiązania, a następnie przedstawią stosowny, uzgodniony z Komisją realny "plan migracji", w okresie prawidłowej realizacji tego planu, nie będą stosowane inne środki nadzorcze związane z niestosowaniem silnego uwierzytelniania klienta. Podkreślić jednak należy, że nawet w takim przypadku ryzyko związane z niestosowaniem po 13 września 2019 r. silnego uwierzytelniania klienta zgodnego z przepisami Rozporządzenia w pełni obciąża zobowiązanych do tego dostawców usług płatniczych - podaje KNF w poniedziałkowym komunikacie.
Monika Krześniak-Sajewicz
Biznes INTERIA.PL na Twitterze. Dołącz do nas i czytaj informacje gospodarcze
