Delegierte Verordnung (EU) 2018/389 der Kommission vom 27. November 2017 zur Ergänzung der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards für eine starke Kundenauthentifizierung und für sichere offene Standards für die Kommunikation (Text von Bedeutung für den EWR. )

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

gestellt werden, wenn die Einführung nach dem in Artikel 38 Absatz 2 angegebenen Datum erfolgt. Jedoch dürfen über die Testumgebung keine sensiblen Informationen ausgetauscht werden. (6) Die zuständigen Behörden stellen sicher, dass die kontoführenden Zahlungsdienstleister den in den vorliegenden Standards verankerten Verpflichtungen in Bezug auf für die von ihnen eingerichtete(n) Schnittstelle(n) jederzeit nachkommen. Falls ein kontoführender Zahlungsdienstleister die Anforderungen an Schnittstellen gemäß den vorliegenden Standards nicht erfüllt, stellen die zuständigen Behörden sicher, dass die Erbringung von Zahlungsauslösediensten und Kontoinformationsdiensten nicht verhindert oder unterbrochen wird, soweit die betreffenden Anbieter solcher Dienste die in Artikel 33 Absatz 5 festgelegten Bedingungen erfüllen. Artikel 31 Zugangsschnittstellenoptionen Die kontoführenden Zahlungsdienstleister richten die in Artikel 30 genannte(n) Schnittstelle(n) ein, indem sie eine dedizierte Schnittstelle bereitstellen oder den in Artikel 30 Absatz 1 genannten Zahlungsdienstleistern die Nutzung der für die Authentifizierung und die Kommunikation mit den Zahlungsdienstnutzern des kontoführenden Zahlungsdienstleisters verwendeten Schnittstellen erlauben. Artikel 32 Anforderungen an eine dedizierte Schnittstelle (1) Sofern die Anforderungen der Artikel 30 und 31 erfüllt sind, gewährleisten die kontoführenden Zahlungsdienstleister, die eine dedizierte Schnittstelle eingerichtet haben, dass diese Schnittstelle jederzeit denselben Grad an Verfügbarkeit und Leistung, einschließlich Unterstützung, aufweist wie die Schnittstellen, die dem Zahlungsdienstnutzer für den direkten Online-Zugriff auf sein Zahlungskonto zur Verfügung stehen. (2) Kontoführende Zahlungsdienstleister, die eine dedizierte Schnittstelle eingerichtet haben, definieren transparente wesentliche Leistungsindikatoren und Service-Level-Ziele, die im Hinblick auf Verfügbarkeit und die nach Artikel 36 bereitgestellten Daten mindestens so streng sind wie diejenigen, die für die von ihren Zahlungsdienstnutzern verwendete Schnittstelle gelten. Diese Schnittstellen, Indikatoren und Zielvorgaben werden von den zuständigen Behörden überwacht und Stresstests unterzogen. (3) Kontoführende Zahlungsdienstleister, die eine dedizierte Schnittstelle eingerichtet haben, gewährleisten, dass diese Schnittstelle die Bereitstellung von Zahlungsauslöse- und Kontoinformationsdiensten nicht beeinträchtigt. ►C1 Solche Beeinträchtigungen können unter anderem darin bestehen, dass die in Artikel 30 Absatz 1 genannten Zahlungsdienstleister die von den kontoführenden Zahlungsdienstleistern an ihre Kunden ausgegebenen Sicherheitsmerkmale nicht verwenden können, dass eine Umleitung auf die Authentifizierungs- oder anderen Funktionen des kontoführenden Zahlungsdienstleisters auferlegt wird, dass weitere Zulassungen und Registrierungen zusätzlich zu den in den Artikeln 11, 14 und 15 der Richtlinie (EU) 2015/2366 vorgesehenen verlangt werden oder dass eine zusätzliche Prüfung der vom Zahlungsdienstnutzer den Zahlungsauslöse- und den Kontoinformationsdienstleistern erteilten Zustimmung verlangt wird. ◄ (4) Die kontoführenden Zahlungsdienstleister überwachen die Verfügbarkeit und Leistung der dedizierten Schnittstelle für die Zwecke der Absätze 1 und 2. Die kontoführenden Zahlungsdienstleister veröffentlichen auf ihrer Website vierteljährliche Statistiken über die Verfügbarkeit und die Leistung der dedizierten Schnittstelle und der von ihren Zahlungsdienstnutzern verwendeten Schnittstelle. Artikel 33 Notfallmaßnahmen für eine dedizierte Schnittstelle (1) Für den Fall, dass die Schnittstelle die in Artikel 32 vorgesehene Leistung nicht erbringt oder eine unvorhergesehene Nichtverfügbarkeit der Schnittstelle oder ein Systemausfall auftritt, beziehen die kontoführenden Zahlungsdienstleister in die Gestaltung der dedizierten Schnittstelle eine Notfallstrategie und Notfallpläne ein. Von einer unvorhergesehenen Nichtverfügbarkeit oder einem Systemausfall wird ausgegangen, wenn fünf aufeinanderfolgende Anfragen für den Zugang zu Informationen zur Bereitstellung von Zahlungsauslösediensten oder Kontoinformationsdiensten nicht innerhalb von 30 Sekunden beantwortet werden. (2) Die Notfallmaßnahmen müssen Kommunikationspläne umfassen, um die die dedizierte Schnittstelle nutzenden Zahlungsdienstleister über Maßnahmen zur Wiederherstellung des Systems zu informieren; ferner müssen die Notfallmaßnahmen eine Beschreibung der sofort verfügbaren alternativen Optionen vorsehen, die die Zahlungsdienstleister während dieser Zeit unter Umständen haben. (3) Der kontoführende Zahlungsdienstleister sowie die in Artikel 30 Absatz 1 genannten Zahlungsdienstleister melden Probleme mit den dedizierten Schnittstellen entsprechend Absatz 1 des vorliegenden Artikels ihren zuständigen nationalen Behörden unverzüglich. (4) Im Rahmen eines Notfallmechanismus ist den in Artikel 30 Absatz 1 genannten Zahlungsdienstleistern die Nutzung der Schnittstellen, die der kontoführende Zahlungsdienstleister seinen Zahlungsdienstnutzern für die Authentifizierung und Kommunikation bereitstellt, so lange gestattet, bis für die dedizierte Schnittstelle das in Artikel 32 vorgesehene Verfügbarkeits- und Leistungsniveau wiederhergestellt ist. (5) Zu diesem Zweck gewährleisten die kontoführenden Zahlungsdienstleister, dass die in Artikel 30 Absatz 1 genannten Zahlungsdienstleister identifiziert werden und sich auf die Authentifizierungsverfahren verlassen können, die der kontoführende Zahlungsdienstleister dem Zahlungsdienstnutzer bereitstellt. Wenn die in Artikel 30 Absatz 1 genannten Zahlungsdienstleister die Schnittstelle gemäß Absatz 4 nutzen, a) ergreifen sie die notwendigen Maßnahmen, um sicherzustellen, dass sie nur für den Zweck der Bereitstellung des vom Zahlungsdienstnutzer angeforderten Dienstes Daten abrufen, speichern oder verarbeiten; b) kommen sie weiterhin den Verpflichtungen gemäß Artikel 66 Absatz 3 bzw. Artikel 67 Absatz 2 der Richtlinie (EU) 2015/2366 nach; c) protokollieren sie die Daten, die über die vom kontoführenden Zahlungsdienstleister für seine Zahlungsdienstnutzer betriebene Schnittstelle abgerufen werden, und stellen ihrer zuständigen nationalen Behörde auf Verlangen die Protokolldateien unverzüglich zur Verfügung; d) legen sie gegenüber ihrer zuständigen nationalen Behörde auf Verlangen unverzüglich die Gründe für die Nutzung der Schnittstelle dar, die den Zahlungsdienstnutzern für den direkten Online-Zugriff auf ihr Zahlungskonto bereitgestellt wird; e) informieren sie den kontoführenden Zahlungsdienstleister diesbezüglich. (6) Die zuständigen Behörden nehmen — nach Konsultation der EBA zur Gewährleistung der einheitlichen Anwendung der nachstehend genannten Bedingungen — die kontoführenden Zahlungsdienstleister, die sich für eine dedizierte Schnittstelle entschieden haben, von der Verpflichtung zur Einrichtung des Notfallmechanismus nach Absatz 4 aus, wenn die dedizierte Schnittstelle alle folgenden Bedingungen erfüllt: a) Sie erfüllt alle für dedizierte Schnittstellen in Artikel 32 dargelegten Anforderungen. b) Sie wurde gemäß Artikel 30 Absatz 5 zur Zufriedenheit der darin genannten Zahlungsdienstleister gestaltet und getestet. c) Sie wurde mindestens drei Monate lang von Zahlungsdienstleistern in breitem Umfang für die Erbringung von Kontoinformationsdiensten, Zahlungsauslösediensten und zur Bestätigung der Verfügbarkeit eines Geldbetrags bei kartenbasierten Zahlungsvorgängen genutzt. d) Alle Probleme im Zusammenhang mit der dedizierten Schnittstelle wurden unverzüglich behoben. (7) Wenn die unter a und d genannten Bedingungen von den kontoführenden Zahlungsdienstleistern für einen Zeitraum von mehr als zwei aufeinanderfolgenden Kalenderwochen nicht erfüllt werden, widerrufen die zuständigen Behörden die in Absatz 6 genannte Ausnahme. Die zuständigen Behörden setzen die EBA von diesem Widerruf in Kenntnis und stellen sicher, dass der kontoführende Zahlungsdienstleister schnellstmöglich, spätestens aber innerhalb von zwei Monaten den Notfallmechanismus gemäß Absatz 4 einrichtet. Artikel 34 Zertifikate (1) Zur Identifizierung gemäß Artikel 30 Absatz 1 Buchstabe a verlassen sich die Zahlungsdienstleister auf qualifizierte Zertifikate für elektronische Siegel nach Artikel 3 Absatz 30 der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates oder für die Website-Authentifizierung nach Artikel 3 Absatz 39 der genannten Verordnung. (2) Für die Zwecke der vorliegenden Verordnung ist die Registriernummer gemäß der amtlichen Eintragung nach Anhang III Buchstabe c oder nach Anhang IV Buchstabe c der Verordnung (EU) Nr. 910/2014 die Zulassungsnummer des Zahlungsdienstleisters, der kartengebundene Zahlungsinstrumente ausstellt, des Kontoinformationsdienstleisters oder des Zahlungsauslösedienstleisters, einschließlich der kontoführenden Zahlungsdienstleister, die die betreffenden Dienste erbringen, die nach Artikel 14 der Richtlinie (EU) 2015/2366 im öffentlichen Register des Herkunftsmitgliedsstaats eingetragen ist oder die aus der in Artikel 20 der Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates ( 1 ) vorgesehenen Anzeige einer jeden nach Artikel 8 dieser Richtlinie erteilten Zulassung hervorgeht. (3) Für die Zwecke der vorliegenden Verordnung enthalten die in Absatz 1 genannten qualifizierten Zertifikate für elektronische Siegel oder für die Website-Authentifizierung zusätzliche spezifische Attribute bezüglich einer jeden der folgenden Angaben in einer im Finanzsektor gebräuchlichen Sprache: a) die Rolle des Zahlungsdienstleisters, die eine oder mehrere der folgenden Funktionen umfassen kann: i) Kontoführung; ii) Zahlungsauslösung; iii) Kontoinformation; iv) Ausstellung kartenbasierter Zahlungsinstrumente; b) den Namen der zuständigen Behörden, bei denen der Zahlungsdienstleister eingetragen ist. (4) Die Interoperabilität und die Anerkennung von qualifizierten Zertifikaten für elektronische Siegel oder für die Website-Authentifizierung bleiben von den in Absatz 3 aufgeführten Attributen unberührt. Artikel 35 Sicherheit von Kommunikationssitzungen (1) Kontoführende Zahlungsdienstleister, Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, Kontoinformationsdienstleister und Zahlungsauslösedienstleister gewährleisten, dass beim Datenaustausch über das Internet während der jeweiligen Kommunikationssitzung eine sichere Verschlüsselung unter Einsatz weithin anerkannter Verschlüsselungstechnologien zwischen den kommunizierenden Parteien angewendet wird, damit der Schutz der Vertraulichkeit und der Integrität der Daten gewährleistet ist. (2) Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, Kontoinformationsdienstleister und Zahlungsauslösedienstleister halten die von den kontoführenden Zahlungsdienstleistern angebotenen Zugangssitzungen so kurz wie möglich und beenden eine solche Sitzung aktiv schnellstmöglich nach Abschluss der angeforderten Handlung. (3) Bestehen parallele Netzwerksitzungen mit dem kontoführenden Zahlungsdienstleister, stellen Kontoinformationsdienstleister und Zahlungsauslösedienstleister sicher, dass diese Sitzungen auf sichere Weise mit den zu dem oder den Zahlungsdienstnutzer(n) jeweils aufgebauten Sitzungen verknüpft sind, damit verhindert wird, dass die zwischen ihnen ausgetauschten Nachrichten oder Informationen fehlgeleitet werden können. (4) Kontoinformationsdienstleister, Zahlungsauslösedienstleister und Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, liefern bei der Kommunikation mit dem kontoführenden Zahlungsdienstleister unmissverständliche Verweise auf jedes der folgenden Elemente: a) den oder die Zahlungsdienstnutzer und die entsprechende Kommunikationssitzung, damit mehrere Anforderungen von demselben oder denselben Zahlungsdienstnutzer(n) unterschieden werden können; b) für Zahlungsauslösedienste den eindeutig identifizierten ausgelösten Zahlungsvorgang; c) zur Bestätigung der Verfügbarkeit eines Geldbetrags die eindeutig identifizierte Anforderung bezüglich des für die Ausführung des kartenbasierten Zahlungsvorgangs erforderlichen Betrags. (5) Kontoführende Zahlungsdienstleister, Kontoinformationsdienstleister, Zahlungsauslösedienstleister und Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, gewährleisten, dass personalisierte Sicherheitsmerkmale und Authentifizierungscodes bei ihrer Übertragung zu keiner Zeit direkt oder indirekt von Mitarbeitern gelesen werden können. Falls die Vertraulichkeit der in ihren Verantwortungsbereich fallenden personalisierten Sicherheitsmerkmale nicht mehr gegeben ist, unterrichten die betreffenden Dienstleister den betroffenen Zahlungsdienstnutzer sowie den Aussteller der personalisierten Sicherheitsmerkmale unverzüglich. Artikel 36 Datenaustausch (1) Die kontoführenden Zahlungsdienstleister halten jede der folgenden Anforderungen ein: a) Sie stellen den Kontoinformationsdienstleistern dieselben Informationen von bezeichneten Zahlungskonten und damit in Zusammenhang stehenden Zahlungsvorgängen bereit, die auch dem Zahlungsdienstnutzer bereitgestellt werden, wenn er den Zugang zu Kontoinformationen direkt anfordert, sofern diese Informationen keine sensiblen Zahlungsdaten enthalten. b) Sie stellen den Zahlungsauslösedienstleistern sofort nach Eingang des Zahlungsauftrags dieselben Informationen über die Auslösung und die Ausführung des Zahlungsvorgangs bereit, die auch dem Zahlungsdienstnutzer bereitgestellt oder zugänglich gemacht werden, wenn dieser den Zahlungsvorgang direkt auslöst. c) Sie übermitteln den Zahlungsdienstleistern auf Verlangen eine sofortige Bestätigung in Form eines einfachen „Ja“ oder „Nein“, ob der für die Ausführung eines Zahlungsvorgangs erforderliche Betrag auf dem Zahlungskonto des Zahlers verfügbar ist. (2) Tritt während der Identifizierung, der Authentifizierung oder des Austauschs von Datenelementen ein unvorhergesehenes Ereignis oder ein unvorhergesehener Fehler auf, sendet der kontoführende Zahlungsdienstleister dem Zahlungsauslösedienstleister oder dem Kontoinformationsdienstleister und dem Zahlungsdienstleister, der kartengebundene Zahlungsinstrumente ausstellt, eine Benachrichtigung, in der der Grund für das unvorhergesehene Ereignis oder den unvorhergesehenen Fehler erläutert wird. Wenn der kontoführende Zahlungsdienstleister eine dedizierte Schnittstelle nach Artikel 32 bereitstellt, muss die Schnittstelle so gestaltet sein, dass jeder Zahlungsdienstleister, der ein unvorhergesehenes Ereignis oder einen unvorhergesehenen Fehler erkennt, entsprechende Benachrichtigungen an die anderen an der Kommunikationssitzung beteiligten Zahlungsdienstleister senden kann. (3) Kontoführende Zahlungsdienstleister verfügen über geeignete und wirksame Mechanismen, damit der Zugriff auf andere Informationen als die von bezeichneten Zahlungskonten und damit in Zusammenhang stehenden Zahlungsvorgängen gemäß der ausdrücklichen Zustimmung des Nutzers verhindert wird. (4) Zahlungsauslösedienstleister stellen den kontoführenden Zahlungsdienstleistern dieselben Informationen bereit, die vom Zahlungsdienstnutzer beim direkten Auslösen des Zahlungsvorgangs angefordert werden. (5) Kontoinformationsdienstleister müssen auf Informationen von bezeichneten Zahlungskonten und damit in Zusammenhang stehenden Zahlungsvorgängen, die von kontoführenden Zahlungsdienstleistern zur Bereitstellung des Kontoinformationsdienstes gehalten werden, jeweils unter folgenden Umständen zugreifen können: a) wann immer der Zahlungsdienstnutzer diese Informationen aktiv anfordert; b) sofern der Zahlungsdienstnutzer diese Informationen nicht aktiv anfordert, maximal viermal innerhalb von 24 Stunden, wenn keine höhere Häufigkeit zwischen dem Kontoinformationsdienstleister und dem kontoführenden Zahlungsdienstleister vereinbart wird, mit Zustimmung des Zahlungsdienstnutzers. KAPITEL VI SCHLUSSBESTIMMUNGEN Artikel 37 Überprüfung Unbeschadet des Artikels 98 Absatz 5 der Richtlinie (EU) 2015/2366 überprüft die EBA am 14. März 2021 die im Anhang der vorliegenden Verordnung angegebenen Betrugsraten sowie die nach Artikel 33 Absatz 6 in Bezug auf dedizierte Schnittstellen erteilten Ausnahmen und übermittelt der Kommission gemäß Artikel 10 der Verordnung (EU) Nr. 1093/2010 gegebenenfalls Entwürfe der Aktualisierung dieser technischen Regulierungsstandards. Artikel 38 Inkrafttreten (1) Diese Verordnung tritt am Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. (2) Diese Verordnung gilt ab dem 14. September 2019. (3) Die Absätze 3 und 5 des Artikels 30 gelten jedoch ab dem 14. März 2019. Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. ANHANG Referenzbetrugsrate (%) für: Ausnahmeschwellenwert Kartengebundene elektronische Fernzahlungsvorgänge Elektronische Überweisungen über einen Fernzugang 500 EUR 0,01 0,005 250 EUR 0,06 0,01 100 EUR 0,13 0,015 ( 1 ) Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates vom 26. Juni 2013 über den Zugang zur Tätigkeit von Kreditinstituten und die Beaufsichtigung von Kreditinstituten und Wertpapierfirmen, zur Änderung der Richtlinie 2002/87/EG und zur Aufhebung der Richtlinien 2006/48/EG und 2006/49/EG (ABl. L 176 vom 27.6.2013, S. 338).