PSD2 og åpen bankvirksomhet i Finland: API-infrastruktur, SCA og SEPA-sanntidsoverføringer

Det andre betalingstjenestedirektivet (PSD2) gjorde bankkontoen til et grensesnitt: kredittinstitusjoner må gi regulerte tredjeparter tilgang til betalingskontoer, og betalere må autentisere seg sterkt. Samtidig har SEPA-sanntidsoverføringer (SCT Inst) gått fra å være en valgfri tjeneste til å bli grunnleggende infrastruktur i eurosonen gjennom forordningen om sanntidsbetalinger (EU) 2024/886.

Denne artikkelen beskriver den tekniske grensen mellom disse to lagene: hvilke data som utveksles ved sterk kundeautentisering (SCA), hvordan en autorisert betalingsiverksetting går gjennom API-et, og hvordan en sanntidsoverføring gjøres opp i sentralbankpenger eller forhåndsfinansierte midler innen ti sekunder. Perspektivet er finsk, men mekanismene er felleseuropeiske.

Regelverk

Regelverket består av tre nivåer:

• Direktiv (EU) 2015/2366 (PSD2) definerer betalingsiverksettingstjenester (PIS) og kontoinformasjonstjenester (AIS), og plikten til å bruke sterk kundeautentisering (art. 97).
• Kommisjonens delegerte forordning (EU) 2018/389, de tekniske reguleringsstandardene (RTS) for SCA og felles og sikker kommunikasjon (CSC), fastsetter de tekniske kravene til autentisering, unntakene og kommunikasjonsreglene mellom kontotilbydere (ASPSP) og tredjepartsleverandører (TPP). Den har gjeldt siden 14. september 2019 og er endret ved delegert forordning (EU) 2022/2360.
• Nasjonal gjennomføring: Finland gjennomførte direktivet hovedsakelig gjennom endringer i betalingstjenesteloven (290/2010) og loven om betalingsinstitusjoner (297/2010), som trådte i kraft 13. januar 2018. Ansvarlig myndighet er det finske finanstilsynet (FIN-FSA).

For sanntidsbetalinger er de viktigste kildene SEPA-forordningen (EU) 260/2012, endringen av den gjennom forordningen om sanntidsbetalinger (EU) 2024/886, og Det europeiske betalingsrådets (EPC) regelbøker for SCT Inst og Verification of Payee (VoP).

Parametere for datautveksling ved SCA

Autentiseringselementer

SCA krever minst to uavhengige elementer fra tre kategorier: kunnskap (f.eks. en PIN-kode), besittelse (f.eks. en registrert mobilenhet eller et kort) og iboende egenskap (f.eks. et fingeravtrykk). Uavhengighet betyr at kompromittering av ett element ikke skal svekke påliteligheten til de andre (RTS art. 9). Brukes elementene på en flerbruksenhet som en smarttelefon, må enheten ha atskilte sikre kjøremiljøer.

Krav til autentiseringskoden

Artikkel 4 i RTS fastsetter følgende parametere for koden som autentiseringen genererer:

• ingen informasjon om elementene kan utledes av koden, og en ny kode kan ikke genereres ut fra kjennskap til tidligere koder
• maksimalt fem mislykkede forsøk på rad, deretter blokkeres handlingen midlertidig eller permanent
• maksimalt fem minutters inaktivitet etter autentiseringen før økten avsluttes
• prosessen avslører ikke hvilket element som var feil

Dynamisk kobling

Ved fjernbetalinger må koden være knyttet til beløpet og betalingsmottakeren (RTS art. 5). Betaleren skal se begge under autentiseringen, og enhver endring av dem gjør koden ugyldig. Ved samlebetalinger knyttes koden til totalbeløpet og alle mottakere. På API-nivå betyr dette at feltene instructedAmount og creditorAccount må låses før SCA starter, og at TPP må opprette en ny iverksetting hvis de endres.

Unntak

RTS tillater unntak fra SCA. Å bruke et unntak er alltid betalerens betalingstjenestetilbyders (ASPSP) beslutning.

Terskelverdiene for TRA (vedlegget til RTS) avhenger av betalingstjenestetilbyderens svindelrate per kvartal:

Felles og sikker kommunikasjon (CSC)

Identifisering av partene med eIDAS-sertifikater

Artikkel 34 i RTS krever at betalingstjenestetilbydere identifiserer hverandre med kvalifiserte eIDAS-sertifikater. I praksis viser TPP et QWAC-sertifikat (Qualified Website Authentication Certificate) i transportlaget for gjensidig TLS, og kan signere meldinger på applikasjonsnivå med et QSealC-sertifikat (Qualified Electronic Seal Certificate). Sertifikatet inneholder tillatelsesnummeret fra den nasjonale tilsynsmyndigheten og PSD2-rollene: PSP_AS, PSP_PI, PSP_AI og PSP_IC.

Dedikert grensesnitt og reserveløsning

En ASPSP kan tilby tilgang via sitt kundegrensesnitt eller via et dedikert grensesnitt (dedicated interface). Det dedikerte grensesnittet må tilsvare kundekanalen i tilgjengelighet og ytelse, og statistikk skal publiseres kvartalsvis (art. 32). Med mindre den nasjonale tilsynsmyndigheten har gitt fritak, må ASPSP opprettholde en reserveløsning (art. 33).

SCA-modeller i grensesnittet

Den mest brukte europeiske API-standarden er Berlin Groups rammeverk NextGenPSD2 XS2A. De finske bankenes implementasjoner varierer: noen følger Berlin Group-modellen, andre egne eller nordiske varianter. De vanlige SCA-modellene er:

• Redirect: TPP sender brukeren til bankens eget autentiseringsmiljø og tilbake (TPP-Redirect-URI). Den vanligste modellen i Finland.
• Decoupled: autentiseringen skjer i bankens mobilapp, atskilt fra TPPs grensesnitt; TPP spør etter status.
• Embedded: påloggingsopplysningene går gjennom TPPs grensesnitt. Sjelden av sikkerhetshensyn.
• OAuth2: brukes ofte som et forstadium til redirect eller som autorisasjonsmekanisme.

Typiske parametere for datautveksling

Eksempel på innholdet i et samtykke til kontoinformasjon (Berlin Group-stil):

POST /v1/consents
X-Request-ID: 6f1c2a9e-3b7d-4e1a-9c55-2d8f0b7a41e2
PSU-IP-Address: 192.0.2.10
TPP-Redirect-URI: https://tpp.example/cb

{
  "access": {
    "accounts":     [{ "iban": "FI2112345600000785" }],
    "balances":     [{ "iban": "FI2112345600000785" }],
    "transactions": [{ "iban": "FI2112345600000785" }]
  },
  "recurringIndicator": true,
  "validUntil": "2027-04-05",
  "frequencyPerDay": 4,
  "combinedServiceIndicator": false
}

Uten at brukeren aktivt ber om det, kan en AISP hente data høyst fire ganger i døgnet, med mindre annet er avtalt (RTS art. 36 nr. 5). Verdien frequencyPerDay: 4 gjenspeiler denne grensen.

Det finske autentiseringslandskapet

I Finland reguleres sterk elektronisk identifisering av loven om sterk elektronisk identifisering og elektroniske tillitstjenester (617/2009). Bankpålogging og mobilsertifikat (mobiilivarmenne) fungerer som identifiseringsmidler i det finske tillitsnettverket, som Traficom fører tilsyn med.

Arkitektonisk er det viktig å skille mellom to bruksområder som ofte deler samme brukeropplevelse:

• Identitetsverifisering for en tredjeparts tjeneste (det finske tillitsnettverket, lov 617/2009).
• Betalingsautorisasjon eller kontotilgang i bankens eget miljø (PSD2-SCA, forordning 2018/389), der dynamisk kobling gjelder transaksjonen.

Finske banker har i stor grad flyttet SCA til sine egne mobilapper (besittelse pluss PIN-kode eller biometri), noe som gjør redirect- og decoupled-flyter til de dominerende mønstrene i praksis.

SEPA-sanntidsoverføringer (SCT Inst)

EPCs ordning SCT Inst ble lansert i november 2017. Forordningen om sanntidsbetalinger (EU) 2024/886 gjorde sanntidsoverføringer obligatoriske: betalingstjenestetilbydere i eurosonen måtte kunne motta sanntidsoverføringer fra 9. januar 2025, og sende dem og tilby Verification of Payee (VoP) fra 9. oktober 2025. Som medlem av eurosonen er Finland omfattet av disse fristene.

Det tidligere maksimumsbeløpet på ordningsnivå i EPCs regelbok (100 000 € fra 2020) er fjernet for å samsvare med forordningen. Kontroller gjeldende versjon av regelboken før implementering.

Oppgjør i sanntid

Meldingsflyt

1. Betaleren autoriserer betalingen med SCA (i bankens kanal eller via en PISP). Betalerens bank kontrollerer dekning, tar hensyn til VoP-resultatet og reserverer beløpet.
2. Betalerens bank sender en tidsstemplet pacs.008 til clearing- og oppgjørssystemet (CSM).
3. CSM validerer meldingen og videresender den til mottakerens bank.
4. Mottakerens bank kontrollerer kontoen og svarer med en pacs.002 (godtatt eller avvist).
5. Ved positivt svar gjør CSM opp transaksjonen og bekrefter den overfor begge parter. Mottakerens bank godskriver midlene umiddelbart.
6. I PSD2-API-et endres statusen for eksempel fra ACTC til ACSC eller ACCC.

Oppgjørssystemer

• TIPS (TARGET Instant Payment Settlement): Eurosystemets tjeneste, i drift siden 2018. Oppgjøret skjer i sentralbankpenger på deltakernes dedikerte TIPS-kontoer (DCA), som finansieres fra T2. Oppgjøret er endelig og ugjenkallelig så snart det er bokført.
• RT1 (EBA CLEARING): et privat paneuropeisk system, i drift siden 2017. Deltakerne forhåndsfinansierer sine posisjoner i sentralbankpenger i T2, og systemet gjør opp transaksjonene mot disse posisjonene.

Gjennom Eurosystemets tiltak for tilgjengelighet må banker som har sluttet seg til SCT Inst og som kan nås i T2, også kunne nås via TIPS, noe som muliggjør ruting i hele eurosonen.

Likviditetsstyring

Fordi sanntidsoverføringer gjøres opp døgnet rundt mot forhåndsfinansierte saldoer, flyttes likviditetsprognosene fra intradags batchjobber til en kontinuerlig prosess. Bankene må dimensjonere TIPS- eller RT1-finansieringen sin særlig for helger og helligdager, når mulighetene for å overføre likviditet fra RTGS-systemet er mer begrenset.

Returer og tilbakekallinger

En avvist transaksjon (RJCT) blir aldri gjort opp. Tilbakekalling av en oppgjort transaksjon (camt.056) er mulig innenfor regelbokens frist, for eksempel ved en dobbel eller svikaktig betaling, men mottakerens bank er ikke forpliktet til å tilbakeføre midler uten grunnlag. Returer gjøres med pacs.004 og negative svar med camt.029.

Arkitekturhensyn

• Idempotens: bruk X-Request-ID og ende-til-ende-identifikatoren for å hindre doble iverksettinger etter tidsavbrudd.
• Tilstandsmaskiner: modeller scaStatus og transactionStatus som separate tilstandsmaskiner; en sanntidsoverføring kan nå sin endelige tilstand på sekunder, mens en vanlig SEPA-overføring kan bli værende i ACTC lenger.
• Spørringer kontra varsler: mange ASPSP-er støtter bare statusspørringer; dimensjoner spørringsfrekvensen etter grensesnittets bruksvilkår.
• Avstemming: bruk camt.054-varsler og camt.053-kontoutskrifter til å avstemme sanntidsstatus mot bokført status.
• Kontinuerlig drift: oppgjør døgnet rundt krever også overvåking, vakt og svindelbekjempelse døgnet rundt.
• Sertifikatenes livssyklus: automatiser fornyelse av QWAC- og QSealC-sertifikater og overvåk gyldighet og tilbakekallingsstatus.

Europakommisjonens forslag fra 2023 til et PSD3-direktiv og en betalingstjenesteforordning (PSR) vil trolig endre kravene til grensesnitt og SCA-praksis. Sjekk hvor lovgivningsprosessen står i oppdaterte kilder.

Kilder

1. Direktiv (EU) 2015/2366 om betalingstjenester i det indre marked (PSD2).
2. Kommisjonens delegerte forordning (EU) 2018/389 (RTS for sterk kundeautentisering og felles og sikre åpne kommunikasjonsstandarder).
3. Kommisjonens delegerte forordning (EU) 2022/2360 (endring av 2018/389; 180-dagersunntaket for kontoinformasjon).
4. Forordning (EU) 2024/886 om sanntidsoverføringer i euro (forordningen om sanntidsbetalinger).
5. Forordning (EU) nr. 260/2012 (SEPA-forordningen).
6. Finlands betalingstjenestelov (290/2010) og lov om betalingsinstitusjoner (297/2010).
7. Finlands lov om sterk elektronisk identifisering og elektroniske tillitstjenester (617/2009).
8. European Payments Council: SEPA Instant Credit Transfer Scheme Rulebook; Verification of Payee Scheme Rulebook.
9. The Berlin Group: NextGenPSD2 XS2A Framework, Implementation Guidelines.
10. Den europeiske sentralbanken: dokumentasjon for TARGET Instant Payment Settlement (TIPS).

Denne publikasjonen er en generell informasjonsoversikt og utgjør ikke juridisk rådgivning. Regelverk og ordningenes regelbøker oppdateres jevnlig; kontroller gjeldende versjoner i primærkilder.