PSD2-dato: Tidslinje for e-handlen

Deadlines, udsættelse og udrulning. I dette blogindlæg finder du opdateret information om indførelsen af stærk kundeautentificering og udfasningen af 3D Secure 1.

PSD2, også kaldet det reviderede betalingstjenestedirektiv, er et EU-direktiv med det formål at øge sikkerheden omkring betalinger på nettet. PSD2 dækker mange forskellige områder inden for betalinger og banktjenester. En vigtig del af PSD2 er stærk kundeautentificering(på engelsk kaldet strong customer authentification, SCA)

Stærk kundeautentificering eller SCA handler om sikkerhed. Kortudstedende banker skal kræve data på, at kunden er den, som vedkommende udgiver sig for at være. Hvis dette ikke lykkes, afbrydes købet.

Branchestandarden for en sådan dataudveksling kaldes for 3D Secure. Der findes to forskellige standarder for 3D Secure, version 1 og version 2. Det betyder, at e-handlere skal tilbyde en eller anden type 3D Secure, for at købet går igennem.

Indførelsen af SCA som en del af PSD2 har set forskellig ud på forskellige markeder. Og det er også forskelligt fra bank til bank. Visse lande har besluttet at udsætte kravet om SCA, hvilket rent praktisk betyder, at 3D Secure ikke kræves, for at alle køb skal gå igennem. Derimod kan visse banker kræve SCA, selv om landets lovgivning ikke kræver det. Derfor anbefaler Adyen alle virksomheder, som modtager betalinger på nettet i Europa, at være klar med den seneste version af 3D Secure 2.

3D Secure 2 har flere fordele end 3D Secure 1. 3D Secure 2 giver f.eks. højere konvertering til e-handlere, en mere ukompliceret oplevelse for brugeren og mere data til den kortudstedende bank. Fra og med den29. december 2020begynder Visa og Mastercard at udfase 3D Secure 1.

Det kan være kompliceret at sætte sig ind i PSD2, SCA og 3D Secure, da alle lande og kortudstedere håndterer kravene på forskellig vis.

Adyen håndterer altid 3D Secure dynamisk. Det betyder, at Adyens betalingsplatform tilpasser sig efter beredskabet hos forbrugerens kortudstedende bank. Afhængigt af banken igangsættes 3D Secure 1 eller 2. For dansk e-handel betyder det, at man med fordel kan bruge 3D Secure 2, men at en tilbagevendende kunde kan falde tilbage på 3D Secure 1, hvis beredskabet hos banken er lavt.

Adyens undersøgelse Retailbarometeret fra 2019 viste, at kun 23 procent af alle nordiske virksomheder var klar til PSD2 inden den 14. september 2019 – bagefter Tyskland, Spanien, Frankrig og Italien.

Trods det har Finanstilsynet meddelt, at Danmark følger EU’s anbefaling om at indføre kravet om stærk kundeautentificering fra og med den 14. september 2019. Det betyder, at danske banker skal rette sig efter kravet om at kræve stærk kundeautentificering. På nuværende tidspunkt oplever vi, at der er et fornuftigt beredskab hos kortudstedende banker til at tage imod 3D Secure 2 som standard.

For virksomheder med internationalt salg er det vigtigt at vide, hvilke lande der giver bankerne udsættelse med at indføre kravet om SCA. Se hvordan hvert land forholder sig til kravet om SCA.

På sigt vil 3D Secure 1 blive udfaset. Kortnetværk, kortudstedende banker og lovgivningen presser på for at udfase 3D Secure 1. Da det kan være svært at holde øje med alle ændringer, der sker, anbefaler Adyen dynamisk 3D Secure, der automatisk registrerer, om 3D Secure skal vises eller ej, samt om 3D Secure 2 skal anvendes.

Alle onlinekøb, som gennemføres med kort, hvor forhandleren eller kortindløseren har base i Europa, kan kræve stærk kundeautentificering (Strong Customer Authentification, SCA).

Formålet med SCA-kravet er at sikre, at det rent faktisk er kortindehaveren, der gennemfører købet. I visse tilfælde er dette ikke muligt, f.eks. ved køb der gennemføres med virksomhedskort, ved løbende abonnementer, eller køb der gennemføres telefonisk. Disse transaktioner er ikke omfattet af direktivet. Forhandleren kan vælge at anvende 3D Secure, men banken overtager ikke risikoen.

Der findes dog undtagelser, som forhandlere eller forbrugere kan anmode om. Ved køb under 300 kroner kan forhandleren bede den kortudstedende bank om ikke at anvende 3D Secure. Forbrugere kan også vælge at sætte en forhandler på en ”positivliste”, efter de har gennemgået 3D Secure én gang.

Ved køb, som ikke er omfattet af direktivet, vil den kortudstedende bank aldrig bede om 3D Secure, og de vil heller ikke overtage risikoen, selvom kunden gennemgår 3D Secure.

Ved undtagelser er der stadig en mulighed for, at brugeren skal igennem 3D Secure. I dette tilfælde overtager den kortudstedende bank risikoen.

Læs mere om undtagelser, og hvordan man kan håndtere dem (ska va länk här till blogginlägg om vad stark autentisering är)

Flere lande har valgt at udrulle direktivet i forskellige faser for at give forhandlere og banker mere tid til at tilpasse sig de nye regler. Bemærk dog, at 3D Secure vil blive udfaset efter den29. december 2020og skal erstattes af 3D Secure 2.