Förteckningar över element som komprometterats eller stulits.

Transaktionsbeloppet för varje betalning.

Kända bedrägeriscenarier i samband med tillhandahållande av betaltjänster.

Tecken på infektion av sabotageprogram i något skede av autentiseringsförfarandet.

Om inloggningsutrustningen eller programvaran tillhandahålls av betaltjänstleverantören, en loggfil över användningen av den inloggningsutrustning eller programvara som tillhandahålls betaltjänstanvändaren samt avvikande användning av inloggningsutrustningen eller programvaran.

Ingen information om något av de element som avses i punkt 1 kan inhämtas från den autentiseringskod som lämnats ut.

Det är inte möjligt att generera en ny autentiseringskod på grundval av kännedom om någon annan autentiseringskod som genererats i ett tidigare skede.

Autentiseringskoden kan inte förfalskas.

Om generering av en autentiseringskod för tillämpning av punkt 1 – vid autentisering för fjärråtkomst, elektroniska betalningar på distans eller någon annan åtgärd, på distans, som kan innebära en risk för betalningsbedrägeri – misslyckas, ska det inte vara möjligt att avgöra vilket av de element som avses i den punkten som var felaktigt.

Högst fem misslyckade autentiseringsförsök i rad under en fastställd tidsperiod får ske innan de åtgärder som avses i artikel 97.1 i direktiv (EU) 2015/2366 tillfälligt blockeras.

Under kommunikationssessionerna finns ett skydd, i enlighet med kraven i kapitel V, mot att uppgifter som överförs under autentiseringen kapas eller manipuleras av icke auktoriserade parter.

Betalaren får vara inaktiv i högst fem minuter från det att denne autentiserats och fått tillgång till sitt betalkonto online.

Betalaren informeras om betalningstransaktionens belopp och betalningsmottagaren.

Den autentiseringskod som genereras är specifik för betalningstransaktionens belopp och den betalningsmottagare som betalaren godkände då transaktionen initierades.

Den autentiseringskod som betaltjänstleverantören godkänner motsvarar det ursprungliga specifika betalningstransaktionsbelopp och betalningsmottagarens identitet, som godkänts av betalaren.

Eventuella ändringar av belopp eller betalningsmottagare leder till att den genererade autentiseringskoden ogiltigförklaras.

Transaktionsbeloppet och betalningsmottagaren under alla autentiseringsfaser.

Den information som visas för betalaren under alla autentiseringsfaser, inbegripet generering, överföring och användning av autentiseringskoden.

Vad gäller kortbaserade betalningstransaktioner där betalaren har godkänt ett exakt belopp av de medel som ska blockeras i enlighet med artikel 75.1 i det direktivet, ska autentiseringskoden vara specifik för det belopp som betalaren har godkänt för blockering och som godkändes av betalaren när transaktionen initierades.

För betalningstransaktioner där betalaren har godkänt att en uppsättning elektroniska betalningstransaktioner på distans genomförs till en eller flera betalningsmottagare ska autentiseringskoden vara specifik för betalningstransaktionernas totalbelopp och för de specificerade betalningsmottagarna.

Användning av separerade säkra exekveringsmiljöer med hjälp av den programvara som finns installerad i anordningen med flera funktioner.

Mekanismer för att säkerställa att programvaran eller utrustningen inte har ändrats av betalaren eller av en tredjepart.

Om ändringar har gjorts, mekanismer för att begränsa konsekvenserna av dem.

Saldot för ett eller flera specifika betalkonton.

Betalningstransaktionerna de senaste 90 dagarna till och från ett eller flera specifika betalkonton.

Det är första gången betaltjänstanvändaren får online-tillgång till de uppgifter som anges i punkt 1.

Det har gått mer än 180 dagar sedan betaltjänstanvändaren senaste gången hade online-tillgång till de uppgifter som anges i punkt 1 och stark kundautentisering tillämpades.

Saldot för ett eller flera specifika betalkonton.

Betalningstransaktionerna de senaste 90 dagarna till och från ett eller flera specifika betalkonton.

Det är första gången betaltjänstanvändaren får online-tillgång till de uppgifter som anges i punkt 1 via leverantören av kontoinformationstjänster.

Det har gått mer än 180 dagar sedan betaltjänstanvändaren senaste gången hade online-tillgång till de uppgifter som anges i punkt 1 via leverantören av kontoinformationstjänster och stark kundautentisering tillämpades.

Bedrägerifrekvensen, för den aktuella typen av transaktion, som rapporterats av betaltjänstleverantören och som beräknats i enlighet med artikel 19 är lika med eller lägre än de bedrägerifrekvenser som fastställts som referens i tabellen i bilagan, för ”elektroniska kortbaserade betalningar på distans” respektive ”kreditöverföringar på distans”.

Transaktionsbeloppet överskrider inte det relevanta tröskelvärde för undantag som anges i tabellen i bilagan.

Betaltjänstleverantörerna har efter att ha genomfört en riskanalys i realtid inte konstaterat

Den enskilda betaltjänstanvändarens tidigare utgiftsmönster.

Betalningstransaktionshistoriken hos var och en av betaltjänstleverantörens betaltjänstanvändare.

Var betalaren och betalningsmottagaren befinner sig vid tidpunkten för betalningstransaktionen om inloggningsutrustningen eller programvaran tillhandahålls av betaltjänstleverantören.

Avvikande betalningsmönster konstateras hos betaltjänstanvändaren i förhållande till dennes betalningstransaktionshistorik.

Det totala värdet av icke auktoriserade eller bedrägliga betalningstransaktioner i enlighet med artikel 64.2 i direktiv (EU) 2015/2366, det totala värdet av alla betalningstransaktioner och de bedrägerifrekvenser som följer av dem, inbegripet en uppdelning av betalningstransaktioner som initierats genom sträng kundautentisering och enligt vart och ett av undantagen.

Det genomsnittliga transaktionsvärdet, inbegripet en uppdelning av betalningstransaktioner som initierats genom sträng kundautentisering och enligt vart och ett av undantagen.

Antalet betalningstransaktioner där något av undantagen tillämpats och deras andel i förhållande till det totala antalet betalningstransaktioner.

Personliga säkerhetsbehörighetsuppgifter maskeras när de visas och kan inte läsas i sin helhet när de anges av betaltjänstanvändaren under autentiseringen.

Personliga säkerhetsbehörighetsuppgifter i dataformat, samt kryptografiskt material som avser kryptering av de personliga säkerhetsbehörighetsuppgifterna, lagras inte i klartext.

Skydd finns mot icke auktoriserat utlämnande av hemligt kryptografiskt material.

Anknytningen mellan betaltjänstanvändarens identitet och de personliga säkerhetsbehörighetsuppgifterna, autentiseringsutrustningen och programvaran sker i en säker miljö på betaltjänstleverantörens ansvar, som minst ska omfatta betaltjänstanvändarens lokaler, den internetmiljö som betaltjänstleverantören tillhandahåller eller liknande säkra webbplatser som betaltjänstleverantören använder samt dess bankomattjänster, med beaktande av de risker som förknippas med sådan utrustning och sådana underliggande komponenter som använts under associeringsförfarandet som inte faller under betaltjänstleverantörens ansvar.

Anknytning på distans mellan betaltjänstanvändarens identitet och de personliga säkerhetsbehörighetsuppgifterna, autentiseringsutrustningen och programvaran sker med hjälp av sträng kundautentisering.

Effektiva och säkra leveransmekanismer som säkerställer att de personliga säkerhetsbehörighetsuppgifterna, autentiseringsutrustningen och programvaran levereras till rätt betaltjänstanvändare.

Mekanismer som gör det möjligt för betaltjänstleverantören att kontrollera autenticiteten på den autentiseringsprogramvara som levereras till betaltjänstanvändaren via internet.

Om leveransen av de personliga säkerhetsbehörighetsuppgifterna genomförs utanför betaltjänstleverantörens lokaler eller på distans, arrangemang som säkerställer att

Arrangemang som säkerställer att aktiveringen sker i en säker miljö i enlighethet med de associeringsförfaranden som avses i artikel 24 i fall då de personliga säkerhetsbehörighetsuppgifterna, autentiseringsutrustningen eller programvaran måste aktiveras innan de används för första gången.

En unik identifieringskod för sessionen.

Säkerhetsmekanismer för detaljerad loggning av transaktionen, inbegripet transaktionsnummer, tidsstämplar och all relevant transaktionsdata.

Tidsstämplar som ska baseras på ett enhetligt tidsreferenssystem och som ska synkroniseras efter en officiell tidssignal.

Leverantörer av kontoinformationstjänster, leverantörer av betalningsinitieringstjänster och betaltjänstleverantörer som ger ut kortbaserade betalningsinstrument har möjlighet att identifiera sig för den kontoförvaltande betaltjänstleverantören.

Kontoförvaltande betaltjänstleverantörer har möjlighet att på ett säkert sätt kommunicera för att begära och erhålla information om en eller flera specifika betalkonton och tillhörande betalningstransaktioner.

Leverantörer av betalningsinitieringstjänster har möjlighet att på ett säkert sätt kommunicera för att initiera ett betalningsuppdrag från betalarens betalkonto och erhålla all information om initieringen av betaltransaktioner och all information som finns tillgänglig för de kontoförvaltande betaltjänstleverantörerna avseende utförandet av betalningstransaktionen.

vidta nödvändiga åtgärder för att säkerställa att de inte kommer åt, lagrar eller använder uppgifter för andra syften än tillhandahållande av den tjänst som betaltjänstanvändaren efterfrågat,

fortsätta att efterleva skyldigheterna i artiklarna 66.3 respektive 67.2 i direktiv (EU) 2015/2366,

logga de uppgifter som de fått tillgång till genom det gränssnitt som den kontoförvaltande betaltjänstleverantören tillhandahåller betaltjänstanvändarna och, på begäran och utan onödigt dröjsmål, lämna loggfilerna till sina behöriga myndigheter,

för sina behöriga nationella myndigheter, på begäran och utan onödigt dröjsmål, vederbörligen motivera användningen av det gränssnitt som gjorts tillgängligt för betaltjänstanvändarna så att dessa ska kunna komma åt sina betalkonton online direkt,

vederbörligen informera den kontoförvaltande betaltjänstleverantören.

Det efterlever alla skyldigheter beträffande särskilda gränssnitt som fastställs i artikel 32.

Det har utformats och testats i enlighet med artikel 30.5 på ett tillfredsställande sätt för de betaltjänstleverantörer som avses däri.

Det har använts i stor utsträckning under minst tre månader av betaltjänstleverantörerna för kontoinformationstjänster, betalningsinitieringstjänster och för att bekräfta tillgängliga medel vid kortbaserade betalningar.

Eventuella problem som rör det särskilda gränssnittet har lösts utan onödigt dröjsmål.

Betaltjänstleverantörens roll, som kan innefatta något av eller allt följande:

Namnet på den behöriga myndighet hos vilken betaltjänstleverantören är registrerad.

Betaltjänstanvändaren eller betaltjänstanvändarna och tillhörande kommunikationssessioner, så att åtskillnad kan göras mellan flera begäranden från samma betaltjänstanvändare.

För betalningsinitieringstjänster, den unikt identifierade betalningstransaktion som initierats.

För bekräftelse av tillgängliga medel, den unikt identifierade begäran avseende det belopp som krävs för att den kortbaserade transaktionen ska kunna utföras.

De ska förse leverantörerna av kontoinformationstjänster med samma information från specifika betalkonton och tillhörande betalningstransaktioner som tillhandahållits betaltjänstanvändaren vid direkt begäran om tillgång till kontoinformation, under förutsättning att denna information inte innehåller känsliga uppgifter.

De ska omedelbart efter mottagande av betalningsuppdraget förse leverantörer av betalningsinitieringstjänster med samma information om initiering och utförande av betalningstransaktionen som lämnats eller tillgängliggjorts för betaltjänstanvändaren när denne direkt initierat transaktionen.

De ska på begäran omedelbart förse betaltjänstleverantörerna med en bekräftelse i ett enkelt ja eller nej-format om huruvida det belopp som krävs för att utföra betalningstransaktionen är tillgängligt på betalarens betalkonto.

När betaltjänstanvändaren aktivt begär sådan information.

Om betaltjänstanvändaren inte aktivt begär informationen, högst fyra gånger under en 24-timmarsperiod, såvida inte fler tillfällen överenskommits mellan betaltjänstleverantören och den kontoförvaltande betaltjänstleverantören, med betaltjänstanvändarens godkännande.