Verplicht sinds 1 januari 2021

Issuers, acquirers en PSP’s voor online kaartbetalingen moeten sinds 1 januari 2021 voldoen aan de technische standaarden voor sterke klantauthenticatie van PSD2 (strong customer authentication of SCA).

De verplichte invoering van SCA is eerder al meer dan een jaar uitgesteld en de EBA en de Europese Commissie hebben aangegeven dat de coronacrisis geen aanleiding geeft tot verder uitstel.

Veilige tweestapsverificatie

De PSD2-regels voor SCA schrijven voor dat vrijwel iedere online betaling met veilige tweestapsverificatie moet worden goedgekeurd. Alleen in specifieke, nauwkeurig afgebakende gevallen kan daarvoor vrijstelling worden verleend door issuers, voor individuele betalingen.

Het is dus niet meer voldoende dat bijvoorbeeld een creditkaarthouder een online kaartbetaling goedkeurt door het kaartnummer, de vervaldatum en het korte controlenummer op de betaalkaart te verstrekken. Voortaan moet de kaarthouder in beginsel iedere kaartbetaling veilig goedkeuren met een combinatie van iets dat alleen hij of zij bezit (zoals een persoonlijke, uniek identificeerbare smartphone) met iets dat hij of zij alleen weet (zoals een geheime pincode) of met een uniek lichamelijk kenmerk (zoals een biometrische vingerafdruk).

SCA Migration Project

Voor een vlotte migratie van de Nederlandse markt naar wettelijk verplichte SCA voor online kaartbetalingen, coördineerde Betaalvereniging Nederland een migratieproject voor issuers, acquirers en PSPS’s:
het SCA Migration Project.

Het migratieproject voorzag in overleg met andere belanghebbenden zoals vertegenwoordigers van webwinkels en consumenten, card schemes en De Nederlandsche Bank. Zo werd iedereen op de hoogte gehouden van de SCA-ontwikkelingen in de betaalketen. Onbedoelde nadelige effecten tijdens de invoering van SCA bleven daardoor beperkt.

Het SCA Migration Project is inmiddels tot een succesvol einde gebracht. Alle deelnemers hebben SCA op tijd ingevoerd, met minimale verstoringen in de betaalketen voor online creditkaartbetalingen.

EMV 3-D Secure standaard voor
online creditkaartbetalingen

Online creditkaartbetalingen zónder dubbele beveiliging met SCA worden sinds 1 januari 2021 vrijwel altijd afgekeurd door de kaartissuers, tenzij een individuele betaling in aanmerking komt voor vrijstelling. Webwinkeliers moeten zorgen dat hun webwinkel of hun betaaldienstverlener kaartbetalingen met SCA ondersteunt. Zo is de continuïteit van hun betaaltransacties met creditkaarten gegarandeerd.

Voor advies en hulp bij het toepassen van SCA, kunnen online ondernemers contact opnemen met hun PSP of acquirer.

Voor de meeste soorten creditkaarten, waaronder American Express, Mastercard en VISA, moeten webwinkels de EMV 3-D Secure (3DS) standaard voor online kaartbetalingen ondersteunen om aan de regels voor SCA te voldoen. De PSP of acquirer van een webwinkel kan precies uitleggen wat daar voor nodig is.

Met de nieuwste versies van de 3DS-standaard (3DS v2.1 en hoger) kunnen webwinkels profiteren van de best mogelijke klantervaring bij online creditkaartbetalingen. Met 3DS v1.0 voldoet een webwinkel echter ook al aan alle wettelijke eisen.

Alle Nederlandse issuers ondersteunen zowel EMV 3DS v1.0 als v2.1 of hoger.

Creditkaartbetaling afgewezen?
Ga naar de webwinkel!

Niet alleen creditkaartverstrekkers maar ook webwinkels moeten dus EMV 3DS ondersteunen, zodat klanten van die webwinkels zich betrouwbaar kunnen authenticeren bij online kaartbetalingen. Bij webwinkels in de EU die 3DS nog niet ondersteunen, kunnen Nederlandse klanten meestal niet met hun creditkaart betalen. Kaartuitgevers (banken) zijn in veel gevallen wettelijk verplicht om die kaartbetalingen af te wijzen.

Wanneer een klant van een webwinkel zich niet via 3DS kan authenticeren voor een online creditkaartbetaling en die betaling daardoor wordt afgewezen, kan die klant het beste contact opnemen met de webwinkel. De kaartuitgever (de bank) van de klant kan hier verder niets aan doen.

Legacy transactions

Een verouderde SCA-loze betaling  of legacy transaction wordt in de meeste gevallen afgewezen met een zogeheten soft decline (tenzij de transactie daarvan is vrijgesteld). In dat geval kan de webwinkelier de betaling alsnog mét 3DS aanbieden bij de issuer.

Vrijstellingen van SCA

Nederlandse issuers en acquirers ondersteunen vrijstelling van SCA bij een laag bedrag (low value payment of LVP) en bij analyse van het transactierisico door de acquirer (transaction risk analysis of TRA).

Een kaarthouder hoeft bij een vrijgestelde betaling minder handelingen te verrichten. De issuer bepaalt per transactie of de betaling voor vrijstelling van SCA in aanmerking komt.

Vraag het aan uw PSP

Webwinkeliers en PSP's kunnen hun conversieratio's zelf bewaken en hun strategie waar nodig aanpassen.

Authenticatiedrempels voor kaarthouders kunnen ook worden weggenomen als online kaartbetalingen buiten de scope van SCA vallen: webwinkels kunnen hiervoor mogelijk zogeheten Merchant Initiated Transactions (MIT) gebruiken. Bij deze transacties is SCA niet van toepassing. Acquirers kunnen hun klanten (webwinkeliers en PSP’s) daarover informeren.

Video SCA voor online kaartbetalingen

Marnix Blom van Strategie en Externe Betrekkingen bij de Betaalvereniging, legt in deze video uit hoe verplichte SCA in Nederland werd ingevoerd.

Begrippenlijst

Issuer: uitgever van betaalkaarten. De meeste banken geven betaalkaarten uit aan hun rekeninghouders (zowel debit- als creditkaarten). Daarnaast zijn er ook gespecialiseerde uitgevers van vooral creditkaarten, zoals International Card Services (ICS) in Nederland.

Acquirer: Instelling die kaartbetalingen ontvangt ten behoeve van bedrijven en organisaties waar klanten met een debit- of creditkaart kunnen betalen. De grotere banken bieden deze dienst aan maar ook specialisten zoals Worldline bieden het aan.

PSP: payment service provider of betaaldienstverlener. Aanbieder van uiteenlopende betaaldiensten aan ondernemers. Een PSP zit bijvoorbeeld tussen verschillende acquirers en webwinkels in en handelt het elektronische betalingsverkeer voor die webwinkels geheel of gedeeltelijk af, voor meerdere online betaalmiddelen.

Card Scheme: de regels en afspraken voor de betaalkaarten van een bepaald merk waar issuers en acquirers zich aan moeten houden. In Nederland kennen we vooral de schemes van Maestro, Debit Mastercard, V PAY en Visa Debit voor pinpassen en van American Express, Mastercard en Visa voor creditkaarten.

PSD2: Payment Services Directive 2, de meest recente wettelijke richtlijn voor betaaldiensten in de Europese Unie. Één van de bepalingen in PSD2 is dat in beginsel alle elektronische betalingen met SCA door de klant goedgekeurd moeten worden.

SCA: strong customer authentication, tweestapsverificatie of tweefactorauthenticatie. Op grond van PSD2 moeten in beginsel alle elektronische betalingen met SCA worden goedgekeurd door de klant. In de dagelijkse praktijk betekent dit dat de klant een betaling moet goedkeuren met een combinatie van twee veilige en onafhankelijke factoren, zoals bijvoorbeeld een persoonsgebonden bankpas in combinatie met een geheime pincode. Of bijvoorbeeld een geregistreerde app op een persoonsgebonden smartphone in combinatie met een unieke vingerafdruk.

EMV 3-D Secure of 3DS: De technische SCA-standaard voor de meeste kaarttransacties. EMV stond vroeger voor Europay, Mastercard en VISA, drie westerse schemes voor kaartbetalingen. Europay bestaat niet meer en tegenwoordig staat het voor de technische standaarden voor kaartbetalingen van alle toonaangevende card schemes, overal ter wereld, met een veilige betaalchip, contactloos of online. 3DS is de EMV-standaard voor veilige online kaartbetalingen met SCA.

Legacy Transaction: creditkaartbetaling op de oude manier, zonder sterke klantauthenticatie (SCA).

Soft Decline: het afwijzen door een issuer van een online kaartbetaling die niet aan de eisen van SCA voldoet (legacy transaction). De webwinkel kan die betaling vervolgens alsnog mét SCA bij de issuer aanbieden.

Merchant Initiated Transaction (MIT): betaling die door de acceptant (zoals een webwinkel) wordt aangeboden bij de issuer zonder dat de klant (de kaarthouder) daarbij betrokken is. Dat is bijvoorbeeld mogelijk wanneer de webwinkel van tevoren is gemachtigd door de kaarthouder om de betaling op een later moment uit te voeren. Het is een soort automatische incasso voor betaalkaarten, vooral handig om abonnementen maandelijks automatisch af te rekenen of om de klant te laten betalen nadat een bestelling is verzonden.

Veelgestelde vragen

Sluiten
Woordenlijst bekijken