3. Riktlinjer

1.1. De behöriga myndigheterna bör anse att en kontoförvaltande betaltjänstleverantör har uppfyllt de fyra villkor som anges i artikel 33.6 i förordningen om tekniska tillsynsstandarder om den kontoförvaltande betaltjänstleverantören uppfyller de krav som anges i riktlinjerna 2–8, under förutsättning att kraven i andra betaltjänstdirektivet och förordningen är uppfyllda.

1.2. Kontoförvaltande betaltjänstleverantörer bör förse de behöriga myndigheterna med den information som krävs för att visa myndigheten att kraven i riktlinjerna 2–8 är uppfyllda.

2.1. Kontoförvaltande betaltjänstleverantörer bör fastställa resultatindikatorer och servicenivåmål, inklusive för problemlösning, support utanför kontorstid, övervakning, beredskapsplaner och underhåll för sitt särskilda gränssnitt, som är minst lika stränga som de som gäller för det eller de gränssnitt som de tillhandahåller sina betaltjänstanvändare för direkt tillgång till deras betalkonto online.

2.2. Kontoförvaltande betaltjänstleverantörer bör åtminstone fastställa följande resultatindikatorer för det särskilda gränssnittets tillgänglighet:

• a. Drifttid per dag för samtliga gränssnitt.
• b. Nedtid per dag för samtliga gränssnitt.

2.3. Utöver resultatindikatorerna för tillgänglighet i riktlinje 2.2 bör kontoförvaltande betaltjänstleverantörer åtminstone fastställa följande resultatindikatorer för det särskilda gränssnittets funktion:

• a. Dagligt genomsnitt per begäran (i millisekunder) för den tid det tar den kontoförvaltande betaltjänstleverantören att förse leverantörer av betalningsinitieringstjänster med all den information som krävs i enlighet med artikel 66.4 b i andra betaltjänstdirektivet och artikel 36.1 b i förordningen.
• b. Dagligt genomsnitt (i millisekunder) per begäran, för den tid det tar den kontoförvaltande betaltjänstleverantören att förse leverantörer av kontoinformationstjänster med all den information som krävs i enlighet med artikel 36.1 a i förordningen.
• c. Dagligt genomsnitt (i millisekunder) per begäran, för den tid det tar den kontoförvaltande betaltjänstleverantören att förse utfärdare av kortbaserade betalningsinstrument eller leverantörer av betalningsinitieringstjänster med en bekräftelse i ett enkelt ja eller nej-format i enlighet med artikel 65.3 i andra betaltjänstdirektivet och artikel 36.1 c i förordningen.
• d. Felsvarsfrekvens – beräknad som antalet felmeddelanden om fel som kan hänföras till den kontoförvaltande betaltjänstleverantören och som denna har sänt per dag till leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument i enlighet med artikel 36.2 i förordningen, dividerat med antalet begäranden som den kontoförvaltande betaltjänstleverantören har mottagit från leverantören av betalningsinitieringstjänster, leverantören av kontoinformationstjänster och den betaltjänstleverantör som ger ut kortbaserade instrument samma dag.

2.4. För att beräkna de tillgänglighetsindikatorer för det särskilda gränssnittet som anges i riktlinje 2.2 bör den kontoförvaltande betaltjänstleverantören

• a. beräkna procentandelen för drifttiden som 100 procent minus procentandelen nedtid,
• b. beräkna procentandelen nedtid med användning av det totala antalet sekunder som det särskilda gränssnittet låg nere under en 24-timmarsperiod, med början och slut vid midnatt,
• c. räkna gränssnittet som att det ligger ”nere” när fem på varandra följande begäranden om tillgång till information för tillhandahållande av betalningsinitieringstjänster, kontoinformationstjänster eller bekräftelse av att medel finns på kontot inte besvaras inom en total tidsram på 30 sekunder, oavsett om sådana begäranden kommer från en eller flera leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster eller utfärdare av kortbaserade betalningsinstrument. I ett sådant fall bör den kontoförvaltande betaltjänstleverantören beräkna nedtiden från den tidpunkt då den mottar den första begäran i serien av fem på varandra följande begäranden som inte besvarades inom 30 sekunder, under förutsättning att ingen begäran har besvarats mellan dessa fem begäranden.

3.1 Vid tillämpning av artikel 32.4 i förordningen bör den kontoförvaltande betaltjänstleverantören förse sin behöriga myndighet med en plan för att publicera daglig statistik på kvartalsbasis över det särskilda gränssnittets tillgänglighet och prestanda enligt riktlinjerna 2.2 och 2.3, och för vart och ett av de gränssnitt som den tillhandahåller sina betaltjänstanvändare för direkt tillgång till deras betalkonto online, tillsammans med information om var denna statistik kommer att publiceras samt första publiceringsdatum.

3.2 Den publicering som avses i riktlinje 3.1 bör göra det möjligt för leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster, utfärdare av kortbaserade betalningsinstrument och betaltjänstanvändare att dagligen jämföra det särskilda gränssnittets tillgänglighet och prestanda med tillgänglighet och prestanda för vart och ett av de gränssnitt som den tillhandahåller sina betaltjänstanvändare för direkt tillgång till deras betalkonto online.

4.1 För de stresstester som avses i artikel 32.2 i förordningen bör kontoförvaltande betaltjänstleverantörer ha processer för att fastställa och bedöma hur det särskilda gränssnittet fungerar när det utsätts för extremt många begäranden från leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument, när det gäller hur sådana stressituationer påverkar det särskilda gränssnittets tillgänglighet och prestanda och de fastställda servicenivåmålen.

4.2 Den kontoförvaltande betaltjänstleverantören bör genomföra lämplig stresstestning av det särskilda gränssnittet, som omfattar men inte begränsas till

• a. kapacitet att stödja tillgång för flera leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument,
• b. kapacitet att hantera extremt många begäranden från leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument under en kort tidsperiod och utan fel,
• c. användning av extremt många samtidigt öppna sessioner för betalningsinitiering, kontoinformation och bekräftelse av att medel finns på kontot, och
• d. begäranden om stora datavolymer.

4.3 Den kontoförvaltande betaltjänstleverantören bör förse den behöriga myndigheten med en sammanfattning av stresstesternas resultat, inklusive de antaganden som använts som underlag för att stresstesta vart och ett av de element som anges i riktlinje 4.2 a–d, och hur eventuella identifierade problem har hanterats.

5.1 Den kontoförvaltande betaltjänstleverantören bör förse den behöriga myndigheten med följande:

• a. En sammanfattning av den eller de metoder som används för att utföra betaltjänstkundernas autentiseringsförfaranden och som stöds av det särskilda gränssnittet, dvs. omdirigering, frikoppling, integrering eller en kombination av dessa.
• b. En förklaring av skälen till att den eller de metoder som används för att utföra betaltjänstkundernas autentiseringsförfaranden enligt led a inte utgör ett hinder enligt artikel 32.3 i förordningen, och hur metoden eller metoderna gör att leverantörer av betalningsinitieringstjänster och leverantörer av kontoinformationstjänster kan lita på de autentiseringsförfaranden som den kontoförvaltande betaltjänstleverantören tillhandahåller betaltjänstanvändarna, tillsammans med bevis för att det särskilda gränssnittet inte ger upphov till onödig försening eller friktion för betaltjänstkunderna när de går in på sitt konto via en leverantör av betalningsinitieringstjänster, en leverantör av kontoinformationstjänster eller en betaltjänstleverantör som ger ut kortbaserade instrument, eller för några andra attribut, inklusive onödiga eller överflödiga steg eller användning av oklart eller avskräckande språk, som direkt eller indirekt skulle avskräcka betaltjänstanvändarna från att använda dessa leverantörers tjänster.

5.2 Som en del av den förklaring som avses i riktlinje 5.1 b bör den kontoförvaltande betaltjänstleverantören förse den behöriga myndigheten med en bekräftelse på att

• a. det särskilda gränssnittet inte förhindrar leverantörer av betalningsinitieringstjänster och leverantörer av kontoinformationstjänster att förlita sig på det eller de förfaranden som den kontoförvaltande betaltjänstleverantören tillhandahåller sina betaltjänstkunder,
• b. ingen ytterligare auktorisering och registrering utöver den som föreskrivs i artiklarna 11, 14 och 15 i andra betaltjänstdirektivet krävs av leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument,
• c. den kontoförvaltande betaltjänstleverantören inte gör några extrakontroller av den auktorisering som avses i artikel 32.3 i förordningen, och som betaltjänstanvändarna gett till leverantören av betalningsinitierings- eller kontoinformationstjänster för att få tillgång till den information om betalkonton som den kontoförvaltande betaltjänstleverantören innehar eller för att initiera betalningar, och
• d. inga kontroller utförs av auktoriseringar som betaltjänstkunder gett till utfärdare av kortbaserade betalningsinstrument i enlighet med artikel 65.2 a i andra betaltjänstdirektivet.

6.1 För att visa efterlevnad av kravet i artikel 33.6 b i förordningen vad gäller det särskilda gränssnittets utformning bör den kontoförvaltande betaltjänstleverantören förse den behöriga myndigheten med följande:

• a. Bevis för att det särskilda gränssnittet uppfyller de rättsliga kraven för tillgång och uppgifter i andra betaltjänstdirektivet och i förordningen, inklusive
• i. en beskrivning av de funktionella och tekniska specifikationer som den kontoförvaltande betaltjänstleverantören har genomfört, och
• ii. en sammanfattning av hur genomförandet av dessa specifikationer uppfyller kraven i andra betaltjänstdirektivet och i förordningen, och
• b. information om huruvida, och i så fall hur, den kontoförvaltande betaltjänstleverantören har samarbetat med leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument.

6.2 I dessa riktlinjer avser ”marknadsinitiativ” en grupp av aktörer som har utvecklat funktionella och tekniska specifikationer för särskilda gränssnitt och som under detta arbete har fått in synpunkter från leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument.

6.3 Om den kontoförvaltande betaltjänstleverantören genomför en standard som har utvecklats av ett marknadsinitiativ:

• a. Den information som avses i riktlinje 6.1 a i får bestå av uppgifter om vilken marknadsinitiativstandard som den kontoförvaltande betaltjänstleverantören genomför, huruvida betaltjänstleverantören har avvikit från en sådan standard i någon specifik aspekt, och om så är fallet, hur den har avvikit och om den uppfyller kraven i andra betaltjänstdirektivet och i förordningen.
• b. Den information som avses i riktlinje 6.1 a ii får, i mån av tillgång, omfatta resultat från det överensstämmelsetest som utvecklats av marknadsinitiativet som intygar att gränssnittet överensstämmer med respektive marknadsinitiativstandard.

6.4 Vid tillämpning av kravet i artikel 33.6 b i förordningen beträffande testning av det särskilda gränssnittet bör den kontoförvaltande betaltjänstleverantören göra det särskilda gränssnittets tekniska specifikationer tillgängliga för auktoriserade leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument eller betaltjänstleverantörer som hos sina behöriga myndigheter har ansökt om relevant auktorisation i enlighet med artikel 30.3 i förordningen, och ska åtminstone publicera en sammanfattning av specifikationen för det särskilda gränssnittet på sin webbplats i enlighet med artikel 30.3 tredje stycket i förordningen.

6.5 Testfunktionen ska göra det möjligt för kontoförvaltande betaltjänstleverantörer, auktoriserade leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument eller betaltjänstleverantörer som hos sina behöriga myndigheter har ansökt om relevant auktorisation att testa gränssnittet i en säker och särskild testmiljö med ej verkliga uppgifter om betaltjänstanvändare, för följande:

• a. en stabil och säker förbindelse,
• b. förmåga hos kontoförvaltande betaltjänstleverantörer och auktoriserade leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument att utbyta relevanta certifikat i enlighet med artikel 34 i förordningen,
• c. förmåga att sända och ta emot felmeddelanden i enlighet med artikel 36.2 i förordningen,
• d. förmåga hos leverantörer av betalningsinitieringstjänster att sända och förvaltande betaltjänstleverantörers förmåga att ta emot anvisningar om betalningsinitiering, och kontoförvaltande betaltjänstleverantörers förmåga att tillhandahålla den information som krävs i enlighet med artikel 66.4 b i andra betaltjänstdirektivet och artikel 36.1 b i förordningen,
• e. förmåga hos leverantörer av kontoinformationstjänster att sända och förvaltande betaltjänstleverantörers förmåga att ta emot begäranden om tillgång till uppgifter om betalkonton, och kontoförvaltande betaltjänstleverantörers förmåga att tillhandahålla den information som krävs i enlighet med artikel 36.1 a i förordningen,
• f. förmåga hos utfärdare av kortbaserade betalningsinstrument och leverantörer av betalningsinitieringstjänster att sända begäranden och kontoförvaltande betaltjänstleverantörers förmåga att ta emot begäranden från dessa, och den kontoförvaltande betaltjänstleverantörens förmåga att sända en ”ja-/nej-bekräftelse” till desamma i enlighet med artikel 36.1 c i förordningen, och
• g. möjlighet för leverantörer av betalningsinitieringstjänster och leverantörer av kontoinformationstjänster att förlita sig på de autentiseringsförfaranden som den kontoförvaltande betaltjänstleverantören tillhandahåller sina betaltjänstanvändare.

6.6 Den kontoförvaltande betaltjänstleverantören bör förse den behöriga myndigheten med en sammanfattning av resultaten av den testning som avses i artikel 30.5 i förordningen för vart och ett av de element som ska testas i enlighet med punkt 6.5 a–g, inklusive det antal leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument som har använt testfunktionen, de synpunkter som den kontoförvaltande betaltjänstleverantören har mottagit från dessa, identifierade problem och en beskrivning av hur sådana problem har lösts.

6.7 För att bedöma om den kontoförvaltande betaltjänstleverantören uppfyller kraven i artikel 33.6 b i förordningen får den behöriga myndigheten även beakta eventuella problem i samband med riktlinje 6.5 som har rapporterats från leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument.

7.1 För att visa efterlevnad av kravet i artikel 33.6 c i förordningen bör den kontoförvaltande betaltjänstleverantören förse den behöriga myndigheten med följande:

• a. En beskrivning av användningen av det särskilda gränssnittet under den period som avses i artikel 33.6 c, vilket omfattar men inte begränsas till

1. antalet leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument som har använt gränssnittet för att tillhandahålla tjänster till kunder, och

2. antalet begäranden som dessa leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument har sänt till den kontoförvaltande betaltjänstleverantören via det särskilda gränssnittet och som har besvarats av denna,

• b. bevis för att den kontoförvaltande betaltjänstleverantören har vidtagit alla rimliga åtgärder för att säkerställa en bred användning av det särskilda gränssnittet, bland annat genom att informera om att det finns tillgängligt via lämpliga kanaler, om så är relevant via sin webbplats, sociala medier, branschorgan, konferenser och vid direkta kontakter med kända marknadsaktörer.

7.2 Förutom de bevis som avses i riktlinje 7.1 bör den behöriga myndigheten i sin bedömning av huruvida den kontoförvaltande betaltjänstleverantören uppfyller kravet i artikel 33.6 c i förordningen beakta den information som den har tagit emot enligt riktlinjerna 6 och 8.

7.3 Den tremånadersperiod som avses i artikel 33.6 c i förordningen får löpa parallellt med den testning som avses i artikel 30.5 i förordningen.

8.1 Vid tillämpning av artiklarna 32.1 och 33.6 d i förordningen bör den kontoförvaltande betaltjänstleverantören förse den behöriga myndigheten med

• a. information om de system eller rutiner som har införts för att spåra, lösa och avsluta problem, särskilt problem som rapporteras av leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument, och
• b. en redogörelse för de problem, särskilt sådana som har rapporterats av ovanstående leverantörer, som inte har lösts enligt de servicenivåmål som anges i riktlinje 2.1.

9.1 När de behöriga myndigheterna samråder med EBA i enlighet med artikel 33.6 i förordningen bör de till EBA lämna in det bedömningsformulär som anges i bilaga 1 för varje begäran om undantag som de har för avsikt att bevilja. De behöriga myndigheterna bör inte fatta beslut om undantaget förrän de mottagit EBA:s kommentarer om begäran eller en månad från datumet för den behöriga myndighetens samråd med EBA, beroende på vilket som inträffar först. De behöriga myndigheterna bör vederbörligen beakta EBA:s kommentarer när den fattar beslut om begäran.

9.2 Genom undantag från riktlinje 9.1 och fram till den 31 december 2019, kan behöriga myndigheter som har informerat EBA om att de uppfyller dessa riktlinjer bevilja undantag på villkor att de har samrått med EBA genom att informera EBA om sin avsikt att bevilja undantaget genom användning av bedömningsformuläret i bilaga 1. I sådana fall får de behöriga myndigheterna lämna in bedömningsformuläret, som kan omfatta en eller flera kontoförvaltande betaltjänstleverantörer.

9.3 Behöriga myndigheter som har avslagit undantag för en kontoförvaltande betaltjänstleverantör från skyldigheten att upprätta den beredskapsmekanism som avses i artikel 33.4 i förordningen på grund av att dess särskilda gränssnitt inte uppfyller villkoren i artikel 33.6 i förordningen och kraven i riktlinjerna 2–8, bör utan onödigt dröjsmål lämna in bedömningsformuläret i bilaga 1 till EBA. En negativ bedömning bör lämnas för alla avslagna begäranden om beviljande av undantag i enlighet med artikel 33.6 i förordningen.

9.4 Om en kontoförvaltande betaltjänstleverantör ingår i en grupp med dotterföretag i olika medlemsstater som kommer att använda samma särskilda gränssnitt bör varje behörig myndighet i dessa medlemsstater

• a. utan onödigt dröjsmål informera de berörda behöriga myndigheterna om den har för avsikt att avslå en begäran om beviljande av undantag, och
• b. på begäran från de andra behöriga myndigheterna, och utan att det påverkar eventuella sekretesskyldigheter, informera de andra behöriga myndigheterna om orsakerna till att den har för avsikt att avslå begäran om beviljande av undantag, och i relevanta fall, om de problem som har rapporterats av leverantörer av betalningsinitieringstjänster, leverantörer av kontoinformationstjänster och utfärdare av kortbaserade betalningsinstrument.