Regolamento (UE) 2018/389

Oggetto e finalità

L’articolo 1 definisce quattro blocchi di disciplina: applicazione della strong customer authentication ai sensi dell’articolo 97 della direttiva (UE) 2015/2366; esenzioni limitate fondate su rischio, importo, frequenza e canale; tutela della riservatezza e integrità delle credenziali di sicurezza personalizzate; standard aperti, comuni e sicuri di comunicazione tra prestatore di servizi di pagamento di radicamento del conto, prestatori di informazione sui conti, di disposizione di ordine di pagamento, pagatori, beneficiari e altri PSP.

Obblighi generali di monitoraggio e riesame

L’articolo 2 impone meccanismi di monitoraggio delle operazioni per rilevare pagamenti non autorizzati o fraudolenti, basati sull’analisi delle operazioni e su fattori di rischio minimi (elenchi di elementi compromessi o rubati, importo, scenari di frode noti, malware, utilizzo anomalo di dispositivi o software forniti dal PSP). L’articolo 3 richiede che le misure di sicurezza siano documentate, testate periodicamente, valutate e controllate da revisori competenti e indipendenti; per l’esenzione dell’articolo 18 è previsto almeno un controllo annuale della metodologia, del modello e dei tassi di frode, con revisore esterno indipendente nel primo anno e poi almeno ogni tre anni.

Autenticazione forte del cliente e codice di autenticazione

L’articolo 4 prevede che l’autenticazione si basi su almeno due elementi tra conoscenza, possesso e inerenza e comporti la generazione di un codice di autenticazione accettabile una sola volta. Il codice non deve consentire di ricavare informazioni sugli elementi, non deve permettere di generare nuovi codici da codici precedenti e non deve essere falsificabile; sono inoltre previsti limite a cinque tentativi falliti, protezione delle sessioni, e timeout massimo di inattività di cinque minuti dopo l’accesso online. In caso di blocco temporaneo, durata e numero di nuovi tentativi dipendono dal rischio e l’utente deve essere avvisato prima che il blocco diventi permanente, con procedura protetta di ripristino.

Collegamento dinamico

L’articolo 5 richiede che, per le operazioni elettroniche a distanza, il codice di autenticazione sia collegato in modo dinamico all’importo e al beneficiario, con informazione preventiva del pagatore su importo e beneficiario, validità del codice solo per quella specifica combinazione e invalidazione in caso di modifica. Per pagamenti basati su carta con importo bloccato e per serie di pagamenti ricorrenti a distanza, il codice deve essere specifico rispettivamente per l’importo approvato e per l’importo totale della serie e i beneficiari specifici.

Requisiti per conoscenza, possesso e inerenza; indipendenza degli elementi

Gli articoli 6, 7 e 8 impongono misure per ridurre il rischio che gli elementi rispettivamente di conoscenza, possesso e inerenza siano acquisiti o usati da soggetti non autorizzati, inclusa la prevenzione della duplicazione degli elementi di possesso e la resistenza contro l’uso non autorizzato tramite dispositivi/software biometrico o di autenticazione. L’articolo 9 impone l’indipendenza tecnica degli elementi, così che la compromissione di uno non pregiudichi gli altri; se usati su dispositivo multifunzione, devono essere adottate misure di mitigazione, come ambienti di esecuzione protetti, rilevazione di manomissioni e contromisure in caso di alterazioni.

Esenzioni dall’autenticazione forte del cliente

Gli articoli 10-18 disciplinano le esenzioni: accesso a saldo e operazioni recenti senza dati sensibili, con limite di 90 giorni; pagamenti contactless al punto vendita con soglia di 50 EUR, cumulo massimo di 150 EUR o massimo cinque operazioni consecutive; terminali incustoditi per tariffe di trasporto e parcheggio; beneficiari di fiducia; serie di operazioni ricorrenti; bonifici tra conti della stessa persona fisica o giuridica presso lo stesso PSP; operazioni a distanza di modesta entità con soglia di 30 EUR, cumulo di 100 EUR o massimo cinque operazioni; processi e protocolli sicuri per imprese, previa valutazione positiva dell’autorità competente; e analisi dei rischi in tempo reale per operazioni a distanza considerate a basso rischio.

Esenzione basata su analisi dei rischi e tassi di frode

L’articolo 18 consente l’esenzione solo se il tasso di frode del tipo di operazione è pari o inferiore ai tassi di riferimento dell’allegato, l’importo non supera la soglia applicabile e l’analisi in tempo reale non rileva anomalie, malware, scenari di frode, localizzazione anomala o localizzazione ad alto rischio del beneficiario. L’articolo 19 definisce il metodo di calcolo del tasso di frode su base trimestrale continuativa di 90 giorni, includendo operazioni autenticate e operate in esenzione; l’articolo 20 impone cessazione immediata dell’esenzione in caso di superamento dei tassi di riferimento e reintroduzione solo dopo un trimestre di conformità. L’articolo 21 obbliga al monitoraggio trimestrale di valore, tassi e numero di operazioni per ciascuna esenzione, con disponibilità dei dati alle autorità competenti e all’ABE su richiesta.

Protezione delle credenziali di sicurezza personalizzate

Gli articoli 22-27 impongono la riservatezza e integrità delle credenziali, inclusi i codici di autenticazione, in tutte le fasi del processo. Le credenziali devono essere mascherate in visualizzazione, non conservate in chiaro, protette da divulgazione del materiale crittografico e trattate in ambienti protetti; la creazione deve avvenire in ambiente sicuro, l’associazione al solo utente legittimo deve essere effettuata in ambienti protetti e, a distanza, tramite SCA. La consegna deve essere sicura e prevedere misure contro perdita, furto o copia, autenticità del software fornito via Internet, attivazione in ambiente protetto se richiesta, rinnovo/riattivazione secondo le stesse procedure e distruzione, disattivazione o revoca sicura, anche dei dati memorizzati nei sistemi e archivi pubblici.

Standard di comunicazione, identificazione e tracciabilità

Gli articoli 28 e 29 impongono identificazione protetta tra dispositivo del pagatore e dispositivi di accettazione del beneficiario, e procedure che rendano tracciabili tutte le operazioni e interazioni, con sessioni basate su identificatore univoco, registrazione dettagliata, marcature temporali e sincronizzazione su riferimento orario ufficiale.

Interfacce di accesso per AISP, PISP e emittenti di carte

L’articolo 30 impone almeno un’interfaccia che consenta a prestatori di informazione sui conti, disposizione di ordine di pagamento ed emittenti di strumenti di pagamento basati su carta di identificarsi presso il prestatore di radicamento del conto e di comunicare in modo sicuro. L’interfaccia deve consentire l’uso delle procedure di autenticazione del prestatore di radicamento del conto, essere documentata e pubblicata almeno sei mesi prima dell’applicazione o del lancio, e disporre di un ambiente di prova; le eventuali modifiche vanno rese disponibili con almeno tre mesi di anticipo, salvo emergenze.

Interfacce dedicate, equivalenza di prestazioni e meccanismi di emergenza

Gli articoli 31-33 disciplinano le interfacce dedicate: devono offrire disponibilità e prestazioni equivalenti a quelle dell’interfaccia clienti, con KPI e obiettivi di servizio almeno altrettanto rigorosi, e non devono creare ostacoli indebiti ai PISP e AISP. Devono essere previste strategie di emergenza in caso di indisponibilità o guasti; dopo cinque richieste consecutive senza risposta entro 30 secondi si può presumere un malfunzionamento. In emergenza, PISP e AISP possono usare l’interfaccia clienti del prestatore di radicamento, nel rispetto di obblighi di minimizzazione e tracciamento; in presenza di specifiche condizioni, l’autorità competente può esentare dall’obbligo del meccanismo di emergenza, con revoca se le condizioni vengono meno per più di due settimane consecutive.

Certificati e sicurezza della sessione di comunicazione

L’articolo 34 prevede l’uso di certificati qualificati di sigillo elettronico o di autenticazione di sito web ai fini dell’identificazione, con il numero di autorizzazione come numero di registrazione e con attributi aggiuntivi sul ruolo del PSP e sull’autorità competente, senza compromettere interoperabilità o riconoscimento. L’articolo 35 impone crittografia sicura per tutta la sessione Internet, sessioni quanto più brevi possibile, collegamento sicuro di sessioni parallele, riferimenti espliciti alle singole sessioni e divieto di rendere leggibili al personale credenziali e codici; in caso di compromissione, l’utente e l’emittente devono essere informati senza ritardo.

Scambio di dati tra prestatori di servizi di pagamento

L’articolo 36 stabilisce che il prestatore di radicamento del conto deve fornire agli AISP le stesse informazioni già disponibili al cliente, senza dati sensibili, agli PISP le informazioni necessarie sull’avvio ed esecuzione dell’operazione e agli altri PSP la conferma sì/no della disponibilità dei fondi. In caso di eventi imprevisti o errori, deve essere inviato un messaggio di notifica; gli AISP devono impedire accessi a dati ulteriori rispetto a quelli autorizzati, e possono accedere alle informazioni al massimo quattro volte in 24 ore se il cliente non richiede esplicitamente l’accesso, salvo accordi diversi con consenso dell’utente.

Riesame e aggiornamento

L’articolo 37 prevede che entro il 14 marzo 2021 l’ABE riesamini i tassi di frode dell’allegato e le esenzioni sulle interfacce dedicate dell’articolo 33, paragrafo 6, e presenti, se del caso, progetti di aggiornamento alla Commissione.

Entrata in vigore e applicazione

L’articolo 38 stabilisce l’entrata in vigore il giorno successivo alla pubblicazione in GUUE e l’applicazione dal 14 settembre 2019; i paragrafi 3 e 5 dell’articolo 30 si applicano dal 14 marzo 2019. Il regolamento è direttamente applicabile in tutti gli Stati membri.