Regolamento delegato (UE) 2018/389 della Commissione del 27 novembre 2017 che integra la direttiva (UE) 2015/2366 del Parlamento europeo e del Consiglio per quanto riguarda le norme tecniche di regolamentazione per l'autenticazione forte del cliente e gli standard aperti di comunicazione comuni e sicuri (Testo rilevante ai fini del SEE)

visto il trattato sul funzionamento dell'Unione europea,

vista la direttiva (UE) 2015/2366 del Parlamento europeo e del Consiglio, del 25 novembre 2015, relativa ai servizi di pagamento nel mercato interno, che modifica le direttive 2002/65/CE, 2009/110/CE e 2013/36/UE e il regolamento (UE) n. 1093/2010, e abroga la direttiva 2007/64/CE1, in particolare l'articolo 98, paragrafo 4, secondo comma,

I servizi di pagamento offerti elettronicamente dovrebbero essere prestati in maniera sicura, ricorrendo a tecnologie in grado di garantire l'autenticazione sicura dell'utente e di ridurre il più possibile il rischio di frode. La procedura di autenticazione dovrebbe includere, in generale, meccanismi di monitoraggio delle operazioni al fine di rilevare i tentativi di utilizzo delle credenziali di sicurezza personalizzate di un utente dei servizi di pagamento che sono state perse, rubate o oggetto di appropriazione indebita e dovrebbe altresì garantire che l'utente dei servizi di pagamento sia l'utente legittimo, che pertanto acconsente al trasferimento di fondi e all'accesso alle informazioni sul suo conto attraverso un utilizzo normale delle credenziali di sicurezza personalizzate. Inoltre, è necessario specificare i requisiti dell'autenticazione forte del cliente che dovrebbero essere applicati ogni volta che un pagatore accede al suo conto di pagamento online, dispone un'operazione di pagamento elettronico o effettua qualsiasi azione tramite un canale a distanza che possa comportare un rischio di frode nei pagamenti o altri abusi, imponendo la generazione di un codice di autenticazione che sia difficile da falsificare nella sua interezza o mediante la divulgazione di uno degli elementi sulla base dei quali il codice è stato generato.

Poiché i metodi utilizzati per commettere frodi sono in continua evoluzione, i requisiti dell'autenticazione forte del cliente dovrebbero consentire soluzioni tecniche innovative per fronteggiare l'emergere di nuove minacce per la sicurezza dei pagamenti elettronici. Al fine di garantire che i requisiti stabiliti siano effettivamente attuati su base continuativa, è inoltre opportuno richiedere che le misure di sicurezza per l'applicazione dell'autenticazione forte del cliente e le sue esenzioni, le misure volte a tutelare la riservatezza e l'integrità delle credenziali di sicurezza personalizzate e le misure che stabiliscono standard aperti di comunicazione comuni e sicuri siano documentate, sottoposte a prove periodiche, valutate e controllate da revisori con competenze in materia di sicurezza informatica e pagamenti e indipendenti dal punto di vista operativo. Per consentire alle autorità competenti di monitorare la qualità del riesame di dette misure, tali riesami dovrebbero essere resi disponibili su loro richiesta.

Poiché le operazioni di pagamento elettronico a distanza sono maggiormente esposte al rischio di frode, è necessario introdurre requisiti aggiuntivi per l'autenticazione forte del cliente per tali operazioni, al fine di assicurare che gli elementi colleghino in modo dinamico l'operazione all'importo e al beneficiario specificati dal pagatore al momento di disporre l'operazione.

Il collegamento dinamico è possibile attraverso la generazione di codici di autenticazione soggetti a una serie di rigorosi requisiti di sicurezza. Per mantenere un approccio neutro dal punto di vista tecnologico, è opportuno che non venga richiesta una tecnologia specifica per l'attuazione dei codici di autenticazione. Pertanto, tali codici dovrebbero essere basati su soluzioni quali la generazione e la convalida di password monouso, firme elettroniche o altre conferme della validità basate sulla crittografia che utilizzano chiavi o materiale crittografico contenuto negli elementi di autenticazione, purché siano rispettati i requisiti di sicurezza.

È necessario stabilire requisiti specifici per i casi in cui l'importo definitivo non è noto nel momento in cui il pagatore dispone un'operazione di pagamento elettronico a distanza, al fine di garantire che l'autenticazione forte del cliente sia specifica per l'importo massimo per il quale il pagatore ha prestato il consenso, come previsto dalla direttiva (UE) 2015/2366.

Al fine di garantire l'applicazione dell'autenticazione forte del cliente, è altresì necessario imporre adeguate caratteristiche di sicurezza per gli elementi dell'autenticazione forte del cliente classificati nella categoria della conoscenza (qualcosa che solo l'utente conosce), come ad esempio la lunghezza o la complessità, per gli elementi classificati nella categoria del possesso (qualcosa che solo l'utente possiede), come ad esempio le specifiche dell'algoritmo, la lunghezza della chiave e l'entropia delle informazioni, e per i dispositivi e il software che leggono gli elementi classificati nella categoria dell'inerenza (qualcosa che caratterizza l'utente), come ad esempio le specifiche dell'algoritmo, il sensore biometrico e le funzioni di protezione del modello, in particolare per attenuare il rischio che tali elementi siano scoperti o svelati a soggetti non autorizzati e utilizzati da questi ultimi. È inoltre necessario stabilire i requisiti volti a garantire che tali elementi siano indipendenti, in modo tale che la violazione di uno di essi non comprometta l'affidabilità degli altri, in particolare quando uno qualsiasi di questi elementi è utilizzato mediante un dispositivo multifunzione, vale a dire un dispositivo come un tablet o un telefono cellulare che può essere utilizzato sia per disporre l'esecuzione del pagamento sia nel processo di autenticazione.

I requisiti dell'autenticazione forte del cliente si applicano ai pagamenti disposti dal pagatore, indipendentemente dal fatto che questo sia una persona fisica o una persona giuridica.

Per la loro stessa natura, i pagamenti effettuati attraverso strumenti di pagamento anonimi non sono soggetti all'obbligo dell'autenticazione forte del cliente. Qualora l'anonimato di tali strumenti sia rimosso per motivi contrattuali o legislativi, i pagamenti sono soggetti ai requisiti di sicurezza imposti dalla direttiva (UE) 2015/2366 e dalle norme tecniche di regolamentazione.

A norma della direttiva (UE) 2015/2366, le deroghe al principio dell'autenticazione forte del cliente sono state definite in base al livello di rischio, all'importo, alla frequenza dell'operazione e al canale di pagamento utilizzato per l'esecuzione dell'operazione di pagamento.

Le azioni che comportano l'accesso al saldo e alle operazioni recenti di un conto di pagamento senza la divulgazione dei dati sensibili relativi ai pagamenti, i pagamenti ricorrenti a favore dello stesso beneficiario precedentemente impostati o confermati dal pagatore attraverso il ricorso all'autenticazione forte del cliente e i pagamenti da e verso la stessa persona fisica o giuridica con conti presso lo stesso prestatore di servizi di pagamento presentano un basso livello di rischio, il che permette ai prestatori di servizi di pagamento di non applicare l'autenticazione forte del cliente. Ciò non tiene conto del fatto che a norma degli articoli 65, 66 e 67 della direttiva (UE) 2015/2366, i prestatori di servizi di disposizione di ordine di pagamento, i prestatori di servizi di pagamento che emettono strumenti di pagamento basati su carta e i prestatori di servizi di informazione sui conti dovrebbero richiedere al prestatore di servizi di pagamento di radicamento del conto le informazioni necessarie ed essenziali per la fornitura di un determinato servizio di pagamento, e ottenerle dallo stesso, solo con il consenso dell'utente del servizio di pagamento. Tale consenso può essere fornito singolarmente per ogni richiesta di informazioni o per ogni pagamento da disporre o, per i prestatori di servizi di informazione sui conti, sotto forma di mandato per i conti di pagamento designati e le operazioni di pagamento associate, come stabilito nell'accordo contrattuale con l'utente del servizio di pagamento.

Le esenzioni per i pagamenti di importo ridotto senza contatto fisico al punto vendita, che sono condizionate anche ad un numero massimo di operazioni consecutive o di un determinato valore massimo fisso delle operazioni consecutive senza applicazione dell'autenticazione forte del cliente, consentono lo sviluppo di servizi di pagamento intuitivi e a basso rischio e dovrebbero pertanto essere previste. È altresì opportuno prevedere un'esenzione per le operazioni di pagamento elettronico disposte da terminali incustoditi, nel cui caso l'autenticazione forte del cliente non sempre è facilmente applicabile per ragioni operative (ad esempio, per evitare code e potenziali incidenti ai caselli o altri rischi per la sicurezza).

Come nel caso dell'esenzione per i pagamenti di importo ridotto senza contatto fisico al punto vendita, occorre trovare il giusto equilibrio tra l'interesse a una maggiore sicurezza nei pagamenti a distanza e le esigenze di facilità di utilizzo e accessibilità dei pagamenti nel settore del commercio elettronico. In linea con tali principi, le soglie al di sotto delle quali non occorre applicare l'autenticazione forte del cliente dovrebbero essere fissate con prudenza, in modo da limitarle unicamente agli acquisti online di importo ridotto. Le soglie per gli acquisti online dovrebbero essere stabilite con maggiore prudenza, in quanto il fatto che la persona non sia fisicamente presente al momento dell'acquisto pone un rischio leggermente più elevato per la sicurezza.

I requisiti dell'autenticazione forte del cliente si applicano ai pagamenti disposti dal pagatore, indipendentemente dal fatto che questo sia una persona fisica o una persona giuridica. Molti pagamenti per le imprese sono disposti mediante appositi processi o protocolli che garantiscono gli elevati livelli di sicurezza dei pagamenti che la direttiva (UE) 2015/2366 mira a conseguire attraverso l'autenticazione forte del cliente. Se le autorità competenti constatano che i processi e i protocolli di pagamento resi disponibili unicamente ai pagatori che non sono consumatori consentono di conseguire gli obiettivi della direttiva (UE) 2015/2366 in termini di sicurezza, i prestatori di servizi di pagamento possono essere esentati dai requisiti relativi all'autenticazione forte del cliente in relazione a detti processi o protocolli.

Nel caso di analisi dei rischi connessi all'operazione in tempo reale che classifichino un'operazione di pagamento come a basso rischio, è opportuno prevedere un'esenzione per i prestatori di servizi di pagamento che non intendono applicare l'autenticazione forte del cliente mediante l'adozione di requisiti efficaci e basati sul rischio che garantiscano la sicurezza dei fondi e dei dati personali dell'utente del servizio di pagamento. Tali requisiti basati sul rischio dovrebbero combinare i risultati dell'analisi dei rischi, che confermino che non sono stati rilevati schemi di spesa o di comportamento anomali del pagatore, tenendo conto di altri fattori di rischio come le informazioni sulla localizzazione del pagatore e del beneficiario, con soglie monetarie basate sui tassi di frode calcolati per i pagamenti a distanza. Qualora, sulla base dell'analisi dei rischi connessi alle operazioni in tempo reale, un pagamento non possa essere considerato a basso rischio, il prestatore di servizi di pagamento dovrebbe tornare ad applicare l'autenticazione forte del cliente. Il valore massimo di tale esenzione basata sul rischio dovrebbe essere fissato in modo da corrispondere a un tasso di frode molto basso, anche facendo un raffronto con i tassi di frode di tutte le operazioni di pagamento del prestatore di servizi di pagamento, comprese quelle per le quali è stata utilizzata l'autenticazione forte del cliente, in un determinato periodo di tempo e su base continuativa.

Ai fini di un'attuazione efficace, i prestatori di servizi di pagamento che desiderano beneficiare delle esenzioni dall'autenticazione forte del cliente dovrebbero monitorare regolarmente e comunicare alle autorità competenti e all'Autorità bancaria europea (ABE), su loro richiesta, per ogni tipo di operazione di pagamento, il valore delle operazioni di pagamento fraudolente o non autorizzate e i tassi di frode osservati per l'insieme delle loro operazioni di pagamento, siano esse effettuate ricorrendo all'autenticazione forte del cliente o disposte in regime di esenzione da tale autorizzazione.

La raccolta di questi nuovi dati storici sui tassi di frode delle operazioni di pagamento elettronico contribuirà anche ad un efficace riesame da parte dell'ABE delle soglie applicabili per un'esenzione dall'autenticazione forte del cliente sulla base dell'analisi dei rischi connessi alle operazioni in tempo reale. A norma dell'articolo 98, paragrafo 5, della direttiva (UE) 2015/2366 e dell'articolo 10 del regolamento (UE) n. 1093/2010 del Parlamento europeo e del Consiglio², l'ABE dovrebbe rivedere le norme tecniche di regolamentazione e, se del caso, trasmettere i progetti di aggiornamento delle stesse alla Commissione, presentando nuovi progetti di soglie e di tassi di frode corrispondenti, allo scopo di migliorare la sicurezza dei pagamenti elettronici a distanza.

Ai prestatori di servizi di pagamento che si avvalgono di una qualsiasi delle esenzioni previste dovrebbe essere consentito in qualsiasi momento di scegliere di applicare l'autenticazione forte del cliente alle azioni e alle operazioni di pagamento di cui alle suddette disposizioni.

Le misure che tutelano la riservatezza e l'integrità delle credenziali di sicurezza personalizzate, come pure i dispositivi e il software per l'autenticazione, dovrebbero limitare i rischi di frode attraverso l'uso non autorizzato o fraudolento degli strumenti di pagamento e l'accesso non autorizzato ai conti di pagamento. A tal fine è necessario introdurre requisiti relativi alla creazione e alla consegna sicure delle credenziali di sicurezza personalizzate e alla loro associazione all'utente dei servizi di pagamento, nonché creare le condizioni necessarie per il rinnovo e la disattivazione di tali credenziali.

Al fine di assicurare una comunicazione efficace e sicura tra i soggetti interessati nel contesto dei servizi di informazione sui conti, dei servizi di disposizione di ordine di pagamento e della conferma della disponibilità dei fondi, è necessario specificare i requisiti relativi agli standard aperti di comunicazione comuni e sicuri ai quali tutti i prestatori di servizi di pagamento interessati sono tenuti a conformarsi. La direttiva (UE) 2015/2366 prevede l'accesso e l'utilizzo delle informazioni sui conti di pagamento da parte dei prestatori di servizi di informazione sui conti. Il presente regolamento pertanto non modifica le norme sull'accesso ai conti diversi dai conti di pagamento.

Tutti i prestatori di servizi di pagamento di radicamento del conto con conti di pagamento accessibili online dovrebbero offrire almeno un'interfaccia di accesso che consenta la comunicazione sicura con i prestatori di servizi di informazione sui conti, i prestatori di servizi di disposizione di ordine di pagamento e i prestatori di servizi di pagamento che emettono strumenti di pagamento basati su carta. L'interfaccia dovrebbe consentire ai prestatori di servizi di informazione sui conti, ai prestatori di servizi di disposizione di ordine di pagamento e ai prestatori di servizi di pagamento che emettono strumenti di pagamento basati su carta di identificarsi presso il prestatore di servizi di pagamento di radicamento del conto. Essa dovrebbe inoltre consentire ai prestatori di servizi di informazione sui conti e ai prestatori di servizi di disposizione di ordine di pagamento di avvalersi delle procedure di autenticazione fornite dal prestatore di servizi di pagamento di radicamento del conto all'utente dei servizi di pagamento. Per assicurare la neutralità dal punto di vista tecnologico e del modello di attività, i prestatori di servizi di pagamento di radicamento del conto dovrebbero essere liberi di decidere se offrire un'interfaccia dedicata per la comunicazione con i prestatori di servizi di informazione sui conti, i prestatori di servizi di disposizione di ordine di pagamento e i prestatori di servizi di pagamento che emettono strumenti di pagamento basati su carta o se consentire, ai fini di tale comunicazione, l'uso dell'interfaccia per l'identificazione e la comunicazione con gli utenti dei servizi di pagamento dei prestatori di servizi di pagamento di radicamento del conto.

Per consentire ai prestatori di servizi di informazione sui conti, ai prestatori di servizi di disposizione di ordine di pagamento e ai prestatori di servizi di pagamento che emettono strumenti di pagamento basati su carta di sviluppare le loro soluzioni tecniche, le specifiche tecniche dell'interfaccia dovrebbero essere adeguatamente documentate e messe a disposizione del pubblico. Inoltre, il prestatore di servizi di pagamento di radicamento del conto dovrebbe offrire un meccanismo che consenta ai prestatori di servizi di pagamento di provare le soluzioni tecniche almeno sei mesi prima della data di applicazione delle norme di regolamentazione oppure, se il lancio avviene dopo la data di applicazione di tali norme, prima della data di immissione sul mercato dell'interfaccia. Per assicurare l'interoperabilità delle diverse soluzioni tecnologiche di comunicazione, l'interfaccia dovrebbe utilizzare standard di comunicazione sviluppati da organismi di normazione internazionali o europei.

La qualità dei servizi forniti dai prestatori di servizi di informazione sui conti e dai prestatori di servizi di disposizione di ordine di pagamento dipenderà dal corretto funzionamento delle interfacce predisposte o adattate dai prestatori di servizi di pagamento di radicamento del conto. È quindi importante che, nel caso in cui tali interfacce non siano conformi alle disposizioni contenute nelle norme tecniche, siano adottate misure atte a garantire la continuità operativa a vantaggio degli utenti di detti servizi. Spetta alle autorità nazionali competenti provvedere affinché i prestatori di servizi di informazione sui conti e i prestatori di servizi di disposizione di ordine di pagamento non siano bloccati o ostacolati nella fornitura dei loro servizi.

Qualora l'accesso ai conti di pagamento sia offerto tramite un'interfaccia dedicata, al fine di garantire il diritto degli utenti dei servizi di pagamento di avvalersi dei prestatori di servizi di disposizione di ordine di pagamento e dei servizi che consentono l'accesso alle informazioni sui conti, come previsto dalla direttiva (UE) 2015/2366, è necessario prescrivere che le interfacce dedicate presentino lo stesso livello di disponibilità e di prestazioni dell'interfaccia disponibile per l'utente dei servizi di pagamento. I prestatori di servizi di pagamento di radicamento del conto dovrebbero inoltre definire indicatori chiave di prestazione e obiettivi in materia di livello del servizio trasparenti per la disponibilità e le prestazioni delle interfacce dedicate che siano almeno altrettanto rigorosi di quelli definiti per l'interfaccia utilizzata dagli utenti dei servizi di pagamento. Tali interfacce dovrebbero essere provate dai prestatori di servizi di pagamento che le utilizzeranno e dovrebbero altresì essere sottoposte a prove di stress e monitorate dalle autorità competenti.

Affinché i prestatori di servizi di pagamento che si avvalgono dell'interfaccia dedicata possano continuare a prestare i propri servizi in caso di problemi di disponibilità o di prestazioni inadeguate, è necessario prevedere, a condizioni rigorose, un meccanismo alternativo che consenta loro di utilizzare l'interfaccia predisposta dal prestatore di servizi di pagamento di radicamento del conto per identificare i propri utenti dei servizi di pagamento e comunicare con loro. Determinati prestatori di servizi di pagamento di radicamento del conto saranno esentati dall'obbligo di fornire tale meccanismo alternativo attraverso le loro interfacce per l'interazione con i clienti qualora le autorità competenti constatino che le interfacce dedicate soddisfano le condizioni specifiche atte ad assicurare una concorrenza senza ostacoli. Nel caso in cui le interfacce dedicate esentate non soddisfino le condizioni previste, le autorità competenti devono revocare le esenzioni concesse.

Al fine di consentire alle autorità competenti di sorvegliare e monitorare in modo efficace l'attuazione e la gestione delle interfacce di comunicazione, i prestatori di servizi di pagamento di radicamento del conto dovrebbero pubblicare una sintesi della documentazione pertinente disponibile sul proprio sito web e fornire, su richiesta, alle autorità competenti la documentazione delle soluzioni in caso di emergenza. I prestatori di servizi di pagamento di radicamento del conto dovrebbero inoltre rendere accessibili al pubblico le statistiche sulla disponibilità e le prestazioni di detta interfaccia.

Al fine di preservare la riservatezza e l'integrità dei dati, è necessario garantire la sicurezza delle sessioni di comunicazione tra i prestatori di servizi di pagamento di radicamento del conto, i prestatori di servizi di informazione sui conti, i prestatori di servizi di disposizione di ordine di pagamento e i prestatori di servizi di pagamento che emettono strumenti di pagamento basati su carta. È necessario in particolare imporre l'utilizzo della crittografia sicura nello scambio dei dati tra prestatori di servizi di informazione sui conti, prestatori di servizi di disposizione di ordine di pagamento, prestatori di servizi di pagamento che emettono strumenti di pagamento basati su carta e prestatori di servizi di pagamento di radicamento del conto.

Al fine di rafforzare la fiducia degli utenti e garantire l'autenticazione forte del cliente, è opportuno prendere in considerazione l'utilizzo dei mezzi di identificazione elettronica e dei servizi fiduciari, come previsto dal regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio³, in particolare per quanto riguarda i regimi di identificazione elettronica notificati.

Al fine di allineare le date di applicazione, il presente regolamento dovrebbe essere applicabile a decorrere dalla stessa data a partire dalla quale gli Stati membri devono provvedere all'applicazione delle misure di sicurezza di cui agli articoli 65, 66, 67 e 97 della direttiva (UE) 2015/2366.

Il presente regolamento si basa sui progetti di norme tecniche di regolamentazione che l'Autorità bancaria europea (ABE) ha presentato alla Commissione.

L'ABE ha svolto consultazioni pubbliche aperte e trasparenti sul progetto di norme tecniche di regolamentazione su cui si basa il presente regolamento, ne ha analizzato i potenziali costi e benefici e ha richiesto il parere del gruppo delle parti interessate nel settore bancario, istituito dall'articolo 37 del regolamento (UE) n. 1093/2010,