Az Európai Bizottság kihirdette az erős ügyfélhitelesítés (SCA), valamint a biztonságos, nyílt kommunikáció (API) szabályairól szóló rendeletet. A bankoknak legkésőbb 2019. március 14-től elérhetővé kell tenniük a jogszabályban előírt rendszereikhez hozzáférést biztosító technikai dokumentációkat.

Elfogadták az erős ügyfélhitelesítésre, a nyílt kommunikációs szabványokra vonatkozó PSD2 előírásokat

A viták során az Európai Bizottság és az Európai Parlament is kiállt amellett, hogy a bankszektor versenyképességét a piac megnyitásával, új szereplők „beengedésével” lehet fokozni. Ennek a feltételeit teremtette meg a második pénzforgalmi irányelv (PSD2 – Payment Services Directive), az ahhoz kapcsolódó szabályozástechnikai standardok (RTS), valamint az EU nemrég elfogadott FinTech Akcióterve is. Az RTS a bank és a banki infrastruktúrára rátelepülő új szolgáltatók – pl. fintech startupok, kereskedők, távközlési, vagy közműszolgáltatók – összekapcsolódásának technikai előírásait tartalmazó legfontosabb részletszabálya.

Transzparens API követelmények

Legkésőbb 2019. március 14-ére a bankoknak biztosítaniuk kell, hogy a PSD2 szerinti új szolgáltatók (Számlainformációkat Összesítő Szolgáltatók – AISP, Fizetés-kezdeményezési Szolgáltatók – PISP) a folyószámlavezető rendszerhez hozzáférést biztosító interfészeket, az API-kat elkezdhessék tesztelni.

A bankoknak a weboldalukon díjmentesen hozzáférhetővé kell tenniük az interfész specifikációkat és azok összefoglaló dokumentációját. Az új szolgáltatók kiszolgáltatottságát csökkenti a szabályozás azzal, hogy a banki API hozzáféréseken keresztül ugyanolyan rendelkezésre állást kell biztosítani, mint amit a netbankon keresztül nyújtanak a felhasználóknak. Ennek ellenőrzésére a bankok negyedévente kötelesek nyilvánosságra hozni az API és a netbank rendelkezésre állásának statisztikáit.

A tartalékmechanizmus intézményének bevezetése

Az Európai Bizottság javaslatára a szabályozásba bekerült tartalékmechanizmus célja, hogy az AISP és a PISP szolgáltatók a banki API-k „meghibásodása” vagy nem kielégítő működése esetén is tudjanak szolgáltatni. A szabályozás alapján, ha 5 egymást követő API hívás esetén 30 másodperc alatt nem érkezik válasz, a banknak biztosítania kell, hogy a szolgáltató a felhasználó fizetési számla adataihoz a felhasználói interfészen keresztül hozzáférhessen (pl. screen scraping eljárással).

A helyi hatóságok adhatnak a banknak mentességet a tartalékmechanizmus kötelezettsége alól, amennyiben az API paraméterei az RTS-nek teljeskörűen megfelelnek és ezt legalább 3 hónapos piaci tesztekkel is igazolni tudják. Ez a mentesség azonban nem szól korlátlan ideig. Amennyiben egymást követő 2 héten túl az API nem teljesíti a dokumentációban leírt rendelkezésre állással és a teljesítménnyel kapcsolatos paramétereket, a bank elveszíti a mentességet.

Az API-n keresztül elérhető adatok és az API lekérdezés gyakoriságának szabályozása

Az RTS előírja, hogy a Számlainformációs Szolgáltató (AISP) ugyanazokhoz a fizetési számla adatokhoz férjen hozzá, mint amiket a felhasználó a netbanki felületén lát. Továbbá a PISP a fizetési megbízás befogadásához és végrehajtásához ugyanazokat az információkat kapja meg, mintha a felhasználó közvetlenül indítaná a megbízást. Az AISP szolgáltató minden olyan esetben, amikor a felhasználó aktív kéréssel fordul hozzá haladéktalanul, aktív felhasználói kérés hiányában naponta négyszer kérhet le adatokat.

Az adatlekérés módja és az alkalmazott ügyfélhitelesítés

Alapszabály, hogy minden alkalommal, amikor az AISP vagy a PISP szolgáltató a fizetési számlához hozzá akar férni, erős ügyfélhitelesítést (SCA) kell alkalmazni. Ugyanakkor az RTS megfogalmaz kivételeket, pl:

• az AISP csak a legelső adatkérésnél köteles erős ügyfélhitelesítést alkalmazni, ezt követően 90 napig nem kell alkalmaznia.
• A felhasználó a bankján keresztül létrehozhatja a saját ”Megbízható kedvezményezettek listáját”. A lista létrehozásakor és módosításakor szükséges erős ügyfélhitelesítést alkalmazni, a listán szereplő kedvezményezettnek a fizetés indításakor nem – akár közvetlenül, akár PISP szolgáltatóján keresztül történik.
• Ugyanazon felhasználónak szóló, ugyanazon összegű rendszeres fizetési megbízás esetén is csak az első alkalommal kell erős ügyfélhitelesítést alkalmazni.
• Kivételt képeznek ugyanazon bankszámlatulajdonos azonos bankon belüli számlaátvezetései is.

Jönnek az API szabványok is

Az API szabványosításán a piaci munkacsoportok már dolgoznak. A Berlin Group és az angol Open Banking Implementation Entity is közzétették API szabvány javaslataik első változatát. A javaslatok alapján az Európai Bizottság a Fintech Akciótervben 2019 második negyedévét jelölte meg, amikorra az API szabványok publikálásra kerülhetnek.

A PSD2 mini Akadémián a hazai szabályozóval közösen vitatjuk meg az RTS szabályait, tekintjük át a piacra lépés kihívásait fintech és szabályozói szemmel. Részletek: FinTechShow 2018.