Il 24 maggio la Commissione ha inviato una lettera all'ABE, dichiarando la sua intenzione di modificare la versione finale della norma tecnica di regolamentazione.
La Commissione propone quattro emendamenti. Nessuno di questi apporta modifiche significative ai requisiti fondamentali della Strong Customer Authentication e dell'analisi del rischio delle transazioni disposti nella versione finale della norma tecnica di regolamentazione dell’ABE. In altre parole, restano invariati tutti i requisiti fondamentali relativi all'autenticazione a due fattori, al collegamento dinamico, alla protezione della replica per l'elemento di possesso (ad esempio applicazioni mobili) e alla protezione delle applicazioni per garantire l’indipendenza degli elementi di autenticazione.
Le modifiche previste dalla Commissione riguardano quattro ambiti:
1. Controllo di sicurezza indipendente sull’esenzione da Strong Customer Authentication basata sull’analisi del rischio delle transazioni. Ai fornitori di servizi di pagamento è richiesto che revisori indipendenti di sicurezza controllino la loro metodologia di rischio delle transazioni, il loro modello di rischio e i tassi di frode sui pagamenti riportati. Lo scopo di questo emendamento è quello di garantire l’obiettività nell’applicazione dell'esenzione dalla Strong Customer Authentication basata sull’analisi del rischio delle transazioni. È prevedibile che i fornitori di servizi di pagamento spostino (in parte) la responsabilità di riesaminare i propri processi di analisi del rischio delle transazioni sui vendor di tale tipologia di prodotti.
2. Nuova esenzione dalla Strong Customer Authentication per alcuni processi di pagamento aziendali. I fornitori di servizi di pagamento non devono applicare la Strong Customer Authentication ai pagamenti aziendali se questi vengono eseguiti utilizzando determinati processi o protocolli che raggiungono un elevato livello di sicurezza.
3. I fornitori di servizi di pagamento dovrebbero segnalare le frodi sui pagamenti direttamente all’ABE. Oltre ai dati aggregati sulle frodi, dovrebbero essere forniti all’ABE anche dati e rapporti sui casi singoli di frodi sui pagamenti.
4. Misure d’emergenza in caso di indisponibilità o inadeguatezza delle prestazioni dell’interfaccia di comunicazione dedicata delle banche. La PSD2 impone alle banche di offrire un'interfaccia di comunicazione dedicata ai cosiddetti Third Party Providers (TPP). Ad esempio, le banche devono esporre una funzione API che consente ai TPP di controllare lo stato dei conti dei propri utenti. L'emendamento della Commissione Europea stabilisce che se l'interfaccia dedicata offerta da una banca non risulti disponibile o non funzioni in modo adeguato, la banca deve consentire ai TPP di utilizzare la propria normale interfaccia di comunicazione con gli utenti. In altre parole, i TPP possono utilizzare l’accesso diretto o lo “screen scraping” per accedere ai sistemi di una banca quando questi non siano disponibili o non funzionino in modo adeguato. Questo emendamento, che in una certa misura riprende le considerazioni espresse da circa 70 TPP nel loro recente Manifesto per l'impatto della PSD2 sul futuro del FinTech europeo, ha già suscitato notevoli preoccupazioni da parte della Federazione bancaria europea.
Come passo successivo, l’ABE esaminerà gli emendamenti proposti dalla Commissione Europea.
