Invoering SCA: ‘Balans tussen veiligheid en omzet moet gevonden worden’

Afgelopen zaterdag was het dan zover: de inwerkingtreding van de nieuwe PSD2-regel SCA (Strong Customer Authentication). Deze regel, waarbij een extra authenticatiestap aan een online betaling wordt toegevoegd, moet online fraude tegengaan. Wat gaan we daarvan merken? ‘In eerste instantie vrij weinig.’

Dat laat Just Hasselaar, Thuiswinkel.org-beleidsadviseur digital transactions, weten aan Twinkle. Volgens hem is het mogelijk dat over achttien maanden, wanneer handhaving op het gebied van SCA in gaat, creditcardbetalingen voor problemen kunnen zorgen. Zo liet hij eerder weten dat retailers die met de creditcard werken naar verwachting ‘een knauw krijgen’. Maar, voegt hij toe, de kans dat het zover komt is gering. ‘De sector is nu een migratieplan aan het vaststellen om te verzekeren dat we straks overal voldoen, ook bij creditcards.’

Achter de schermen wordt dus hard gewerkt aan het migratieplan, dat moet zorgen dat alles is geregeld tegen de tijd dat er handhaving plaatsvindt. Hasselaar legt uit: ‘In dit plan staat wanneer welke betrokken stakeholder aan welke eisen en voorwaarden moet voldoen. Dit plan moet goedkeuring krijgen van De Nederlandsche Bank (DNB), die weer wacht op een Europees akkoord.’ Hij vervolgt: ‘In Europa zijn we druk aan het lobbyen om te zorgen dat het level playing field tussen de lidstaten overeind blijft en dat we allemaal consistent de nieuwe SCA-wereld in gaan.’

Wat weet/heb/ben ik?

Strong Customer Authentication is dus bedoeld om online fraude tegen te gaan. Voorheen was bij een online betaling een enkele authenticatiestap genoeg. De nieuwe regels schrijven echter voor dat een extra authenticatiestap moet worden toegevoegd. Dat kan zijn: iets wat je weet (bijvoorbeeld een wachtwoord), iets wat je hebt (bijvoorbeeld een smartphone) en iets dat je bent (bijvoorbeeld een vingerafdruk). De nieuwe regels gelden overigens niet voor alle betalingen. Zo zijn er nogal wat uitzonderingen. Betalingen onder de 30 euro komen sowieso niet in aanmerking voor de nieuwe regels. Ook geldt het niet voor verkopers of consumenten van buiten Europa of voor betalingen met betaalpassen van buiten Europa. Daarnaast vallen ook betalingen die per telefoon, mail of post zijn geplaatst buiten de nieuwe regels. Het gaat dus specifiek om online betalingen boven de 30 euro binnen Europa.

Voor webwinkeliers die nu nog geen rekening hebben gehouden met de regels is er geen man overboord, stelt Hasselaar. ‘Maar neem wel contact op met je betaaldienstverleners om te vragen hoe zij zorgen dat jij zo goed mogelijk geholpen kan worden.’ Want, vervolgt Hasselaar, slecht georganiseerd SCA invoeren is ‘uiteraard’ slecht voor je conversie. ‘Dus de balans tussen veiligheid en omzet moet gevonden worden. De nieuwe aanpak lijkt deze balans goed te hebben.’

Deadline verlengd
Niet alleen in Nederland ging SCA afgelopen zaterdag in. Ook België is aan de beurt. Andere landen, zoals Frankrijk, Groot-Brittannië en Denemarken hebben de deadline verlengd. Dat kon nadat The European Banking Authority (EBA) besloot dat de deadline ‘op uitzonderlijke basis’ door nationale toezichthouders mocht worden verlengd.

Lees ook: 'SCA: de deadline nadert, wat verandert?' (12 augustus 2019)