Gedelegeerde Verordening (EU) 2018/389 van de Commissie van 27 november 2017 tot aanvulling van Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad wat betreft technische reguleringsnormen voor sterke cliëntauthenticatie en gemeenschappelijke en veilige open communicatiestandaarden (Voor de EER relevante tekst)

Betaaldienstverleners beschikken over mechanismen voor het monitoren van transacties waarmee zij ongeoorloofde of frauduleuze betalingstransacties voor de toepassing van de onder a) en b) van artikel 1 genoemde veiligheidsmaatregelen kunnen implementeren.

Die mechanismen zijn gebaseerd op de analyse van betalingstransacties, waarbij rekening wordt gehouden met elementen die typisch zijn voor de betaaldienstgebruiker in omstandigheden van normaal gebruik van de persoonlijke beveiligingsgegevens.

Betaaldienstverleners zorgen ervoor dat de mechanismen voor het monitoren van transacties ten minste met elk van de volgende risicofactoren rekening houden:

1. lijsten van gecompromitteerde of gestolen authenticatie-elementen;

2. het bedrag van elke betalingstransactie;

3. bekende fraudescenario's bij het verlenen van betaaldiensten;

4. tekenen van malwarebesmetting tijdens sessies van de authenticatieprocedure;

5. ingeval de toegangsapparatuur of -software door de betaaldienstverlener wordt verstrekt, een gebruikslog van de aan de betalingsgebruiker verstrekte toegangsapparatuur of -software en het abnormale gebruik van de toegangsapparatuur of -software.

De implementatie van de in artikel 1 bedoelde beveiligingsmaatregelen wordt in overeenstemming met het toepasselijke juridische kader van de betaaldienstverlener gedocumenteerd, op gezette tijden getest, geëvalueerd en gecontroleerd door auditors met deskundigheid op het gebied van IT-beveiliging en betalingen, en die operationeel onafhankelijk zijn binnen of ten opzichte van de betaaldienstverlener.

De tijdsspanne tussen de in lid 1 bedoelde audits wordt vastgesteld rekening houdende met het desbetreffende boekhoudkundige en wettelijke auditkader dat op de betaaldienstverlener van toepassing is.

Betaaldienstverleners kunnen evenwel gebruikmaken van de in artikel 18 bedoelde afwijking op voorwaarde dat ten minste eenmaal per jaar een audit van de methodologie, het model en de gemelde fraudepercentages plaatsvindt. De auditor die deze audit uitvoert, beschikt over deskundigheid op het gebied van IT-beveiliging en betalingen, en is operationeel onafhankelijk binnen of ten opzichte van de betaaldienstverlener. In het eerste jaar dat van de afwijking op grond van artikel 18 wordt gebruikgemaakt en vervolgens ten minste om de drie jaar, of vaker op verzoek van de bevoegde autoriteit, wordt deze audit uitgevoerd door een onafhankelijke en gekwalificeerde externe auditor.

Deze audit maakt een evaluatie van en doet verslag over de inachtneming van de in deze verordening vastgestelde vereisten door de beveiligingsmaatregelen van de betaaldienstverlener.

Het volledige verslag wordt aan bevoegde autoriteiten op hun verzoek ter beschikking gesteld.