+Artikel 4 Autentifikationskode
---+Artikel 4 1.
---+Artikel 4 2.
---+Artikel 4 3.
---+Artikel 4 4.
|
Artikel 4 Autentifikationskode
1. Oversigt
| Titel |
Regulering |
|
Artikel 4 1.
|
Hvis betalingstjenesteudbydere anvender stærk kundeautentifikation i overensstemmelse med artikel 97, stk. 1, i direktiv (EU) 2015/2366, skal autentifikationen være baseret på to eller flere elementer, der karakteriseres som viden, besiddelse og iboende egenskab, og skal føre til generering af en autentifikationskode. Autentifikationskoden accepteres kun én gang af betalingstjenesteudbyderen, når betaleren anvender autentifikationskoden til at tilgå sin betalingskonto online, til at initiere en elektronisk betalingstransaktion eller til at udføre en handling gennem en fjernkanal, der kan indebære risiko for betalingssvig eller andre former for misbrug.
|
|
Artikel 4 2.
|
Betalingstjenesteudbydere træffer med henblik på stk. 1 sikkerhedsforanstaltninger, som garanterer, at følgende krav opfyldes:
a)
oplysninger om de elementer, der er omhandlet i stk. 1, kan ikke udledes ved visning af autentifikationskoden
b)
en ny autentifikationskode kan ikke genereres baseret på kendskab til andre tidligere genererede autentifikationskoder
c)
autentifikationskoden kan ikke forfalskes.
|
|
Artikel 4 3.
|
Betalingstjenesteudbydere sikrer, at autentifikation ved generering af en autentifikationskode omfatter følgende foranstaltninger:
a)
hvis autentifikation med henblik på fjernadgang, elektroniske fjernbetalinger og andre handlinger gennem en fjernkanal, der kan indebære risiko for betalingssvig eller andre former for misbrug, ikke har genereret en autentifikationskode med henblik på stk. 1, må det ikke være muligt at identificere, hvilket af de i stk. 1 omhandlede elementer der ikke var korrekt
b)
det antal mislykkede forsøg på autentifikation, der kan finde sted konsekutivt, inden de handlinger, der er omhandlet i artikel 97, stk. 1, i direktiv (EU) 2015/2366, blokeres midlertidigt eller permanent, må ikke overstige fem i en given tidsperiode
c)
kommunikationssessioner beskyttes mod fangst af autentifikationsdata fremsendt i forbindelse med autentifikation og mod uautoriserede parters manipulation i overensstemmelse med kravene i kapitel V
d)
det tidsrum uden aktivitet fra betalerens side, der højst må forløbe, efter at betaleren er autentificeret med henblik tilgang til sin betalingskonto online, er på fem minutter.
|
|
Artikel 4 4.
|
Hvis den blokering, der er omhandlet i stk. 3, litra b), er midlertidig, fastsættes varigheden af nævnte blokering og antallet af nye forsøg på grundlag af kendetegnene ved den tjeneste, der ydes betaleren, og alle de relevante involverede risici under hensyntagen til som et minimum de faktorer, der er omhandlet i artikel 2, stk. 2. Betaleren advares, inden blokeringen gøres permanent. Hvis blokeringen er blevet gjort permanent, indføres der en sikker procedure, som giver betaleren mulighed for på ny at anvende de blokerede elektroniske betalingsinstrumenter.
|
,
1.1 Referencer
1.2 Identificerede krav
1.3 Relaterede standarder
2. Identificerede krav
3. Relaterede standarder
|