3. Retningslinjer

1.1. De kompetente myndigheder bør vurdere en kontoførende betalingstjenesteudbyder som havende opfyldt de fire betingelser i artikel 33, stk. 6, i de reguleringsmæssige tekniske standarder, hvor den kontoførende betalingstjenesteudbyder opfylder kravene i retningslinje 2-8, forudsat at de opfylder kravene i det andet betalingstjenestedirektiv og i de reguleringsmæssige tekniske standarder.

1.2. De kontoførende betalingstjenesteudbydere bør give de kompetente myndigheder de oplysninger, der er nødvendige for at godtgøre over for den kompetente myndighed, at kravene i retningslinje 2-8 er opfyldt.

2.1. Betalingstjenesteudbyderen bør definere nøgleresultatindikatorer og serviceniveaumål, herunder for problemløsning, support uden for åbningstiden, overvågning, beredskabsplaner og vedligeholdelse af sit dedikerede interface , der er mindst lige så strenge som målene for de(t) interface(s), der stilles til rådighed for dens egne betalingstjenestebrugere med hensyn til at få direkte adgang til deres betalingskonti online.

2.2. Betalingstjenesteudbyderen bør som minimum definere følgende nøgleresultatindikatorer for tilgængeligheden af sit dedikerede interface :

• a. oppetid pr. dag for alle interfaces og
• b. nedetid pr. dag for alle interfaces.

2.3. Ud over de nøgleresultatindikatorer for tilgængelighed i retningslinje 2.2 bør den kontoførende betalingstjenesteudbyder som minimum definere følgende nøgleresultatindikatorer for ydeevnen på det dedikerede interface :

• a. den gennemsnitlige daglige svartid (i millisekunder), som det pr. anmodning tager for den kontoførende betalingstjenesteudbyder at give betalingsinitieringstjenesteudbyderen alle de efterspurgte oplysninger i henhold til artikel 66, stk. 4, litra b), i det andet betalingstjenestedirektiv og artikel 36, stk. 1, litra b), i de reguleringsmæssige tekniske standarder
• b. den gennemsnitlige daglige svartid (i millisekunder), som det pr. anmodning tager for den kontoførende betalingstjenesteudbyder at give kontooplysningstjenesteudbyderen alle de efterspurgte oplysninger i henhold til artikel 36, stk. 1, litra a), i de reguleringsmæssige tekniske standarder
• c. den gennemsnitlige daglige tid (i millisekunder), som det pr. anmodning tager for den kontoførende betalingstjenesteudbyder at sende udstederen af et kortbaseret betalingsinstrument eller betalingsinitieringstjenesteudbyderen en "ja/nej" -bekræftelse i overensstemmelse med artikel 65, stk. 3, i det andet betalingstjenestedirektiv og artikel 36, stk. 1, litra c), i de reguleringsmæssige tekniske standarder
• d. den daglige fejlsvarprocent — beregnet som antallet af fejlmeddelelser vedrørende fejl, der kan tilskrives den kontoførende betalingstjenesteudbyder, og som denne har sendt til betalingsinitieringstjenesteudbyderne, kontooplysningstjenesteudbyderne og udstederne af kortbaserede betalingsinstrumenter i overensstemmelse med artikel 36, stk. 2, i de reguleringsmæssige tekniske standarder pr. dag, divideret med antallet af anmodninger, som den kontoførende betalingstjenesteudbyder har modtaget fra kontooplysningstjenesteudbyderne, betalingsinitieringstjenesteudbyderne og udstederne af kortbaserede betalingsinstrumenter på samme dag.

2.4. Med henblik på at beregne de tilgængelighedsindikatorer, der er fastsat i retningslinje 2.2 for det dedikerede interface , bør den kontoførende betalingstjenesteudbyder:

• a. beregne procentdelen af oppetid som 100 % minus procentdelen af nedetid
• b. beregne den procentvise nedetid på baggrund af det samlede antal sekunder, det dedikerede interface var nede i løbet af en 24-timers-periode, som starter og slutter ved midnat
• c. regne grænsefladen for "nede", når fem på hinanden følgende anmodninger om adgang til oplysninger om betalingsinitieringstjenester, kontooplysningstjenester eller bekræftelse af midler til rådighed ikke besvares inden for en samlet tidsramme på 30 sekunder, uanset om disse anmodninger stammer fra en eller flere betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter. I et sådant tilfælde bør den kontoførende betalingstjenesteudbyder beregne nedetiden fra det tidspunkt, hvor denne har modtaget den første af de fem på hinanden følgende anmodninger, som ikke blev besvaret inden for 30 sekunder, forudsat at der ikke ind imellem de fem anmodninger er fremsat anmodninger, som er er blevet besvaret.

3.1 Hvad angår artikel 32, stk. 4, i de reguleringsmæssige tekniske standarder bør den kontoførende betalingstjenesteudbyder forelægge den kompetente myndighed en kvartalsvis plan for offentliggørelse af daglige statistikker om det dedikerede interface s tilgængelighed og ydeevne som fastsat i retningslinje 2.2 og 2.3 og for hver af de grænseflader, der stilles til rådighed for dens egne betalingstjenestebrugere med henblik på direkte online adgang til deres betalingskonti sammen med oplysninger om, hvor disse statistikker vil blive offentliggjort, og datoen for første offentliggørelse.

3.2 Den offentliggørelse, der henvises til i retningslinje 3.1 ovenfor, bør gøre det muligt for betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere, udstedere af kortbaserede betalingsinstrumenter og betalingstjenestebrugere at sammenligne tilgængeligheden og ydeevnen af det dedikerede interface med tilgængeligheden og ydeevnen af hver af de dedikerede interfaces , som den kontoførende betalingstjenesteudbyder har stillet til rådighed for sine betalingstjenestebrugere til direkte, daglig online adgang til deres betalingskonti.

4.1 Med hensyn til de stresstest, der er omhandlet i artikel 32, stk. 2 i de reguleringsmæssige tekniske standarder, bør den kontoførende betalingstjenesteudbyder have procedurer til at fastlægge og vurdere, hvordan det dedikerede interface præsterer, når den udsættes for et ekstremt stort antal anmodninger fra betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter, hvad angår den indvirkning, som en sådan belastning har på det dedikerede interface tilgængelighed og ydeevne og de definerede serviceniveaumål.

4.2 Betalingstjenesteudbyderen bør foretage tilstrækkelig stresstestning af det dedikerede interface , herunder, men ikke begrænset til:

• a. kapaciteten til at håndtere samtidig adgang for flere betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter,
• b. kapaciteten til at håndtere et ekstremt stort antal anmodninger fra betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter i løbet af kort tid uden at bryde ned
• c. anvendelse af et ekstremt højt antal samtidige sessioner til betalingsinitiering, kontooplysninger og bekræftelse forespørgsler om disponible midler samt
• d. anmodninger om store mængder data.

4.3 Betalingstjenesteudbyderen bør give den kompetente myndighed et sammendrag af resultaterne af stresstestene, herunder de antagelser, der lå til grund for stresstestningen af hvert af elementerne i litra a) til d) i retningslinje 4.2 ovenfor, og hvordan eventuelle konstaterede problemer er blevet løst.

5.1 Betalingstjenesteudbyderen bør forelægge den kompetente myndighed:

• a. et sammendrag af den eller de metoder, der anvendes til at gennemføre autentifikationsprocedure(r)n(e) for de betalingstjenestebrugere, der understøttes af det dedikerede interface , dvs. omdirigering, afkoblet, inkorporeret eller en kombination heraf og
• b. en redegørelse for grundene til, at den eller de metoder, der er anvendt til at gennemføre den/de i litra a) omhandlede procedure(r), ikke udgør en hindring, jf. artikel 32, stk. 3, i de reguleringsmæssige tekniske standarder, og hvordan denne eller disse metoder gør det muligt for betalingsinitieringstjenesteudbydere og kontooplysningstjenesteudbydere at forlade sig på alle de autentificeringsprocedurer, som den kontoførende betalingstjenesteudbyder leverer til sine betalingstjenestebrugere, sammen med dokumentation for, at det dedikerede interface ikke giver anledning til unødvendige forsinkelser eller gnidninger i betalingstjenestebrugernes oplevelse, når de tilgår deres konto via en betalingsinitieringstjenesteudbyder, kontooplysningstjenesteudbyder eller udsteder af et kortbaseret betalingsinstrument, eller til eventuelle andre attributter, herunder unødvendige eller overflødige trin eller brugen af uklart eller afskrækkende sprog, som direkte eller indirekte ville afskrække betalingstjenestebrugerne fra at anvende tjenesterne fra betalingsinitieringstjenesteudbyderne, kontooplysningstjenesteudbyderne eller udstederne af kortbaserede betalingsinstrumenter.

5.2 Som en del af den forklaring, der henvises til i litra b) i retningslinje 5.1, bør den kontoførende betalingstjenesteudbyder forelægge den kompetente myndighed en bekræftelse på at:

• a. Det dedikerede interface ikke forhindrer betalingsinitieringstjenesteudbydere og kontooplysningstjenesteudbydere i at forlade sig på den/de autentifikationsprocedure(r), som den kontoførende betalingstjenesteudbyder stiller til rådighed for sine betalingstjenestebrugere
• b. der ikke kræves nogen yderligere tilladelser eller registreringer fra betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter ud over dem, der er pålagt i artikel 11, 14 og 15 i det andet betalingstjenestedirektiv
• c. den kontoførende betalingstjenesteudbyder ikke udfører nogen yderligere kontrol vedrørende det samtykke, jf. artikel 32, stk. 3, i de reguleringsmæssige tekniske standarder, som betalingstjenestebrugeren har givet betalingsinitieringstjenesteudbyderen eller kontooplysningstjenesteudbyderen for at få adgang til oplysningerne om den/de betalingskonto/-konti, der føres hos den kontoførende betalingstjenesteudbyder eller til at initiere betalinger, og
• d. der ikke foretages nogen kontrol af betalingstjenestebrugerens samtykke til udstederen af et kortbaseret betalingsinstrument i overensstemmelse med artikel 65, stk. 2, litra a), i det andet betalingstjenestedirektiv.

6.1 Med henblik på at dokumentere, at kravet i artikel 33, stk. 6, litra b), i de reguleringsmæssige tekniske standarder vedrørende udformningen af det dedikerede interface er overholdt, bør den kontoførende betalingstjenesteudbyder give den kompetente myndighed:

• a. dokumentation for, at det dedikerede interface opfylder de retlige krav til adgang og data i det andet betalingstjenestedirektiv og de reguleringsmæssige tekniske standarder, herunder:
• i. en beskrivelse af de funktionelle og tekniske specifikationer, som den kontoførende betalingstjenesteudbyder har gennemført og
• ii. et sammendrag af, hvordan gennemførelsen af disse specifikationer opfylder kravene i det andet betalingstjenestedirektiv og de reguleringsmæssige tekniske standarder
• b. oplysninger om, hvorvidt, og i givet fald hvordan, den kontoførende betalingstjenesteudbyder har været i kontakt med betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter.

6.2 I disse retningslinjer forstås ved "markedsinitiativ" en gruppe af interessenter, der har udviklet funktionelle og tekniske specifikationer for dedikerede interfaces , og som derved har fået input fra betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter.

6.3 Når den kontoførende betalingstjenesteudbyder gennemfører en standard, der er udviklet ved et markedsinitiativ:

• a. kan de oplysninger, der er omhandlet i retningslinje 6.1, litra a), nr. i), bestå af oplysninger om, hvilken markedsinitiativstandard den kontoførende betalingstjenesteudbyder gennemfører, hvorvidt den har afveget på særlige områder fra en sådan standard, og i givet fald hvori denne afvigelse består, og hvordan den kontoførende betalingstjenesteudbyder opfylder kravene i det andet betalingstjenestedirektiv og de reguleringsmæssige tekniske standarder
• b. kan de oplysninger, der er omhandlet i retningslinje 6.1, litra a), nr. ii), når det er relevant, omfatte resultaterne af den konformitetstest, der er udviklet af markedsinitiativet, og som dokumenterer, at grænsefladen er i overensstemmelse med den pågældende markedsstandard.

6.4 For så vidt angår kravet i artikel 33, stk. 6, litra b), i de reguleringsmæssige tekniske standarder vedrørende test af det dedikerede interface , bør den kontoførende betalingstjenesteudbyder stille de tekniske specifikationer for det dedikerede interface til rådighed for autoriserede betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere, udstedere af kortbaserede betalingsinstrumenter eller betalingstjenesteudbydere, der har ansøgt de kompetente myndigheder om den relevante tilladelse i overensstemmelse med artikel 30, stk. 3, i de reguleringsmæssige tekniske standarder, herunder som minimum offentliggørelse af et sammendrag af specifikationerne for det dedikerede interface på sit websted i overensstemmelse med artikel 30, stk. 3, tredje afsnit, i de reguleringsmæssige tekniske standarder.

6.5 Testfaciliteten bør gøre det muligt for kontoførende betalingstjenesteudbydere, autoriserede betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter, der har ansøgt de kompetente myndigheder om den relevante tilladelse til at afprøve det dedikerede interface i et sikkert, tilpasset testmiljø med ikke-reelle betalingstjenestebrugerdata for følgende:

• a. en stabil og sikker forbindelse
• b. muligheden for at kontoførende betalingstjenesteudbydere og autoriserede betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter kan udveksle de relevante certifikater i overensstemmelse med artikel 34 i de reguleringsmæssige tekniske standarder
• c. muligheden for at sende og modtage fejlmeddelelser i overensstemmelse med artikel 36, stk. 2, i de reguleringsmæssige tekniske standarder
• d. muligheden for, at betalingsinitieringstjenesteudbydere kan sende, og kontoførende betalingstjenesteudbydere kan modtage, betalingsinitieringsordrer, og kontoførende betalingstjenesteudbyderes mulighed for at levere de ønskede oplysninger i overensstemmelse med artikel 66, stk. 4, litra b), i det andet betalingstjenestedirektiv og artikel 36, stk. 1, litra b), i de reguleringsmæssige tekniske standarder
• e. muligheden for, at kontooplysningstjenesteudbydere kan sende, og kontoførende betalingstjenesteudbydere kan modtage, anmodninger om adgang til betalingskontodata, og kontoførende betalingstjenesteudbyderes mulighed for at levere de ønskede oplysninger i overensstemmelse med artikel 36, stk. 1, litra a), i de reguleringsmæssige tekniske standarder
• f. muligheden for, at udstedere af kortbaserede betalingsinstrumenter og betalingsinitieringstjenesteudbydere kan sende, og kontoførende betalingstjenesteudbydere kan modtage, anmodninger fra udstedere af kortbaserede betalingsinstrumenter og betalingsinitieringstjenesteudbydere, og den kontoførende betalingstjenesteudbyders mulighed for at sende en "ja/nej"-bekræftelse til udstedere af kortbaserede betalingsinstrumenter og betalingsinitieringstjenesteudbydere i overensstemmelse med artikel 36, stk. 1, litra c), i de reguleringsmæssige tekniske standarder og
• g. muligheden for, at betalingsinitieringstjenesteudbydere og kontooplysningstjenesteudbyder kan forlade sig på alle de autentifikationsprocedurer, som den kontoførende betalingstjenesteudbyder stiller til rådighed for sine betalingstjenestebrugere.

6.6 Den kontoførende betalingstjenesteudbyder bør forelægge den kompetente myndighed et sammendrag af resultaterne af de test, der er omhandlet i artikel 30, stk. 5, i de reguleringsmæssige tekniske standarder, for hvert af de elementer, der skal testes i henhold til litra a) til g) i stk. 6.5 ovenfor, herunder antallet af betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter, der har anvendt testfaciliteten, den feedback, som den kontoførende betalingstjenesteudbyder har modtaget fra disse betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter, de identificerede problemer og en beskrivelse af, hvad der er gjort for at løse dem.

6.7 Med henblik på at vurdere, om den kontoførende betalingstjenesteudbyder opfylder kravene i artikel 33, stk. 6, litra b), i de reguleringsmæssige tekniske standarder, kan den kompetente myndighed også tage hensyn til eventuelle problemer indberettet til den af betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter i forbindelse med retningslinje 6.5 ovenfor.

7.1 Med henblik på at dokumentere, at kravet i artikel 33, stk. 6, litra c), i de reguleringsmæssige tekniske standarder er overholdt, bør den kontoførende betalingstjenesteudbyder give den kompetente myndighed:

• a. en beskrivelse af anvendelsen af det dedikerede interface i den i artikel 33, stk. 6, litra c), omhandlede periode, herunder, men ikke begrænset til:

1. antallet af betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter, som har benyttet grænsefladen til at levere tjenester til kunder, og

2. antallet af anmodninger, der er sendt fra disse betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter til den kontoførende betalingstjenesteudbyder via det dedikerede interface , og som den kontoførende betalingstjenesteudbyder har besvaret.

• b. dokumentation for, at den kontoførende betalingstjenesteudbyder har gjort enhver rimelig indsats for at sikre en bred anvendelse af det dedikerede interface , blandt andet ved at meddele tilgængeligheden heraf via passende kanaler, herunder, hvor det er relevant, den kontoførende betalingstjenesteudbyders websted, sociale medier, industrielle handelsorganer, konferencer og direkte kontakt til kendte markedsaktører.

7.2 Ud over den dokumentation, der henvises til i retningslinje 7.1, bør den kompetente myndighed tage hensyn til de oplysninger, der er modtaget i forbindelse med retningslinje 6 og 8, når den vurderer, hvorvidt den kontoførende betalingstjenesteudbyder opfylder kravet i artikel 33, stk. 6, litra c), i de reguleringsmæssige tekniske standarder.

7.3 Den tremåneders periode, der henvises til i artikel 33, stk. 6, litra c), i de reguleringsmæssige tekniske standarder, kan være sammenfaldende med testen i henhold til artikel 30, stk. 5, i de reguleringsmæssige tekniske standarder.

8.1 Med henblik på artikel 32, stk. 1, og artikel 33, stk. 6, litra d), i de reguleringsmæssige tekniske standarder bør den kontoførende betalingstjenesteudbyder give den kompetente myndighed:

• a. oplysninger om de systemer eller procedurer, der er indført med henblik på at spore, løse og afslutte problemer, navnlig problemer indberettet af betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter, og
• b. en redegørelse for problemerne, navnlig problemer indberettet af betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter, som ikke er løst i overensstemmelse med serviceniveaumålene i retningslinje 2.1.

9.1 Når de kompetente myndigheder hører EBA i overensstemmelse med artikel 33, stk. 6, i de reguleringsmæssige tekniske standarder, bør de forelægge EBA evalueringsskemaet i bilag 1 i forbindelse med hver enkelt anmodning om undtagelse, som de agter at bevilge. De kompetente myndigheder bør ikke træffe nogen afgørelse i forbindelse med undtagelsen, før de har modtaget EBA's bemærkninger til anmodningen eller en måned fra den dato, hvor de kompetente myndigheder hørte EBA. De kompetente myndigheder bør tage behørigt hensyn til EBA's bemærkninger, når de træffer afgørelse om anmodningen.

9.2 Uanset retningslinje 9.1, kan de kompetente myndigheder, der har meddelt EBA, at de overholder disse retningslinjer, indtil den 31. december 2019 bevilge en undtagelse, forudsat at de har hørt EBA og underrettet det om, at de har til hensigt at bevilge en undtagelse ved brug af evalueringsskemaet i bilag 1. I sådanne tilfælde kan de kompetente myndigheder indsende et evalueringsskema vedrørende en eller flere kontoførende betalingstjenesteudbydere.

9.3 Kompetente myndigheder, der har nægtet at fritage en kontoførende betalingstjenesteudbyder fra forpligtelsen til at etablere den i artikel 33, stk. 4, i de reguleringsmæssige tekniske standarder omhandlede beredskabsmekanisme, fordi dennes dedikerede interface ikke opfylder betingelserne i artikel 33, stk. 6, i de reguleringsmæssige tekniske standarder og kravene i retningslinje 2-8 bør indsende evalueringsskemaet i bilag 1 til EBA uden unødig forsinkelse. Den negative evaluering bør gives for alle afviste anmodninger om undtagelse i overensstemmelse med artikel 33, stk. 6, i de reguleringsmæssige tekniske standarder.

9.4 Hvis en kontoførende betalingstjenesteudbyder er del af en koncern med datterselskaber i forskellige medlemsstater, som skal anvende det samme dedikerede interface , bør hver af disse medlemsstaters kompetente myndigheder:

• a. uden unødig forsinkelse underrette de øvrige relevante kompetente myndigheder, hvis den agter at give afslag på fritagelse, og
• b. på anmodning af de øvrige kompetente myndigheder, og uden at det berører eventuelle fortrolighedsforpligtelser, underrette de øvrige kompetente myndigheder om sin begrundelse for, at den agter at give afslag på fritagelse, og, hvis det er relevant, om de spørgsmål, der er indberettet af betalingsinitieringstjenesteudbydere, kontooplysningstjenesteudbydere og udstedere af kortbaserede betalingsinstrumenter til den kompetente myndighed.