Elke twee maanden schrijft de CEO van Online Payment Platform en de voorzitter van de Verenigde Betaalinstellingen Nederland (VBIN) Maurice Jongmans een artikel voor Emerce. Als betalingsinnovator schreef hij een artikel over een jaar PSD2 in Nederland. Is dit de stilte voor de storm?  

Tijdens mijn presentatie op Platform Day 2019 besprak ik de impact van de herziene Europese Betalingsrichtlijn 2 (PSD2), die in de Nederlandse wetgeving is omgezet. De verwachtingen in Europa en Nederland zijn hoog. Speculaties over de nieuwe waarheid deden de ronde in de financiële wereld (banken en Fintechs). Hebben banken nog 'het bestaansrecht'? Heeft de consument nog controle over gevoelige persoonlijke gegevens? Wat zullen de Grote Vijf doen (de grootste BigTech-spelers Apple, Google, Facebook, Amazon en Microsoft)? De fundamenten in de financiële wereld wankelen en er werden grote veranderingen verwacht.

Er is al een jaar voorbij en tot nu toe laat het wateroppervlak slechts een kleine rimpeling zien. Is er geen grote verandering? Of is dit slechts de stilte voor de storm?

PSD2

De PSD2-wetgeving bracht enkele fundamentele veranderingen met zich mee.

1. Regels voor betalingsinstellingen werden aangescherpt met extra regels en bewustwording voor IT-beveiligingseisen, IT-risicobeheer en rapportage in geval van incidenten.

Voor bestaande betalingsinstellingen betekende dit aanpassingen in hun organisatie en procedures, die moesten worden gemeld aan de Nederlandsche Bank (DNB) en afgerond voor februari 2019. Deze data zorgen ervoor dat de bestaande betalingsinstelling licentie wordt omgezet naar een nieuwe PSD2 licentie op de ingangsdatum van PSD2. Dit proces werd succesvol afgerond en voor zover bekend, hebben alle betalingsinstellingen een nieuwe PSD2 licentie verkregen. 

Een grote impact voor betalingsinstellingen, maar de consument of ondernemer zal er nauwelijks iets van merken.

2. De reikwijdte van de richtlijn omvat nu ook handelsplatforms.

Waar handelsplatforms of marktplaatsen eerder niet onder de reikwijdte van de richtlijn vielen, werd de reikwijdte van de wetgeving door PSD2 aangepast. Dit omvat handelsplatforms die fondsen van derden verwerken om aan PSD2 te voldoen, evenals het uitbesteden van betalingen aan een platform Betalingsdienstaanbieder (PSP). Ondertussen hebben we al bewegingen in de industrie gedetecteerd, zoals platforms die overstappen naar PSD2-licenties (zoals Uber en Thuisbezorgd) en andere platforms die betalingsprocessen uitbesteden aan Betalingsdienstaanbieders.

Ondanks de 1-jarige verjaardag van PSD2, zijn veel platforms nog niet bewust van hun verplichtingen en kunnen ze handhavingen van de DNB verwachten. De eerste waarschuwingen over deze kwesties zijn al verzonden.

Een grote impact voor handelsplatformen en marktplaatsen, maar de consument of ondernemer zal er nauwelijks iets van merken.

3. Sterke klantauthenticatie (SCA) werd verplicht.

SCA impliceert dat toegang tot betalingsdiensten uitgebreide beveiliging van de identiteit van de gebruiker vereist. Met SCA moet je ervoor zorgen dat de betalingstransactie wordt uitgevoerd door de gemachtigde eigenaar van de rekening of creditcard. SCA betekent: een authenticatie op basis van het gebruik van ten minste 2 van de 3 beschikbare elementen: iets dat je weet (wachtwoord of pincode), iets dat je bezit (telefoon of kaart), en iets dat je bent (vingerafdruk of gezichtsherkenning) 

Voor veel betalingsprocessen was dit al beschikbaar, zoals betalen met een pinpas, inloggen met een lezer of een app met gezichtsherkenning op je (geregistreerde!) telefoon. Maar vooral in de wereld van creditcards is er een slecht geregeld authenticatieproces. Je betaalt vaak met de kaartgegevens, wat niet voldoende is. De implementatieperiode voor SCA van slechts 9 maanden was echter te kort voor alle partijen om wijzigingen door te voeren. Daarom bood Europa uitstel voor de SCA op creditcardbetalingen tot eind 2020.

Vanaf dit jaar moeten consumenten creditcardbetalingen authenticeren met SCA-elementen. Bijvoorbeeld door het gebruik van een tijdelijke code van een (geregistreerde!) app op een telefoon. Ondernemers moeten hun systemen aanpassen aan SCA. Ondernemers die gebruikmaken van een Betalingsdienstaanbieder (PSP) mogen aannemen dat deze alle noodzakelijke aanpassingen dekken. 

4. Betalingsinitiëringsdiensten zijn nieuw.

PSD2 verwelkomt twee nieuwe betalingsdiensten (met bijbehorende licenties). De eerste is betalingsinitiatie (Betalingsinitiatie Dienst – PIS). Kort gezegd, banken moeten derde partijen met een licentie toestaan betalingen (of reeksen betalingen) te initiëren namens de rekeninghouder. De rekeninghouder wijst dan een PIS aan om een betaling uit te voeren. Alle Europese banken moeten gratis toegang tot de rekening bieden, bij voorkeur met een API-sleutel (technische link).

Met PIS kunnen nieuwe partijen betalingsmethoden ontwikkelen of je kunt bijvoorbeeld Google gebruiken om een betaling uit te voeren (als ze een licentie voor PSD2 hebben).

Echter, in Nederland is dit nog zeer zeldzaam en tot nu toe gebeurt er heel weinig. Dit heeft verschillende oorzaken. Ten eerste is de vergunningsprocedure zwaarder dan aanvankelijk voorzien. Tot nu toe heeft de DNB slechts een handvol vergunningen voor PIS verstrekt (wat later wordt uitgelegd). Uiteindelijk voerde Online Payment Platform samen met iDEAL de eerste PSD2-betaling uit op 29 augustus 2019, door een enkele betaling te plannen. Dit werd uitgevoerd in een besloten groep, maar de eerste pilot voor het grote publiek staat gepland voor eind maart. Er zijn veel kansen te vinden voor ondernemers (geplande betalingen, terugkerende betalingen, het initiëren van meerdere betalingen tegelijk), maar de vraag is nog beperkt. 

5. Rekeninginformatiediensten zijn nieuw.

De tweede nieuwe dienst die onder PSD2 mogelijk is gemaakt, is rekeninginformatie  (de Account Information Services – AIS). Deze dienst stelt de rekeninghouder in staat toegang te geven tot zijn bankrekeningtransacties aan een derde partij. De AIS-aanbieder kan deze transacties vervolgens verwerken en aan de gebruiker tonen. Deze dienstverlening is geschikt voor financiële administratie, huishoudboeken, kasboeken of budgetschema's. Echter, met deze service worden gevoelige en persoonlijke gegevens gedeeld, wat discussies over privacy veroorzaakt. 

Een goed voorbeeld van deze service is Peaks (investeren met je wisselgeld).

Bovendien valt op dat banken wederzijds gebruik maken van deze nieuwe dienst door rekeninginformatie van andere banken in hun eigen bankomgeving te tonen. Je kunt nu je ABN AMRO- en BUNQ-rekening toevoegen bij Rabobank, ABN AMRO introduceerde dit als 'Multi-Banking' (met Rabobank, ING en de Volksbanken-merken). Informatie over het aantal gebruikers dat hun andere bank koppelt, ontbreekt nog.

Licenties

Als consument en ondernemer merken we zeer weinig van PSD2. Om een idee te krijgen van wat we zouden kunnen verwachten, heb ik de huidige positie van licenties op de website van de DNB geanalyseerd.

Ten eerste, wanneer men in een ander Europees land een PSD2-licentie aanvraagt, is het relatief eenvoudig om zich in andere EER-landen te registreren, waardoor je dezelfde diensten kunt aanbieden. In het register van de DNB worden momenteel verschillende partijen weergegeven. Maar voor nu zijn er geen partijen die diensten aanbieden die zich alleen op Nederland richten. Een invasie van andere Europese Fintechs lijkt niet aan de orde.

Bovendien hebben de grote BigTechs in Europa een licentie voor betalingen. Ondertussen is Apple Pay Nederland binnengekomen, maar maakt het nog steeds gebruik van bestaande betalingen systemen. Apple is een groot succes in de fysieke wereld, maar online (eCommerce) wordt het nauwelijks gebruikt. Ik verwacht echter wel een grote toename in het online gebruik. De kracht van Apple Pay ligt in gebruiksvriendelijkheid. Andere fintechs zijn nog stil.

De specifieke Nederlandse licenties blijven nog over. Aangezien er slechts een handjevol van zijn, heb ik ze hieronder verduidelijkt:

Bizcuit – Financiële administratie voor ondernemers. (PIS en AIS)

Cobase – Centrale bankdiensten voor ondernemers. (PIS en AIS)

Dyme – Een duidelijk overzicht van alle vaste kosten voor consumenten. (AIS)

Floryn – Zakelijke krediet zonder gedoe. (AIS)

Online Payment Platform – Betalingsdiensten voor platforms en marktplaatsen. (PIS en AIS)

Huishoudboekje.nl – Verzamelen van consumententransactiegegevens. (AIS)

MoneyMonk – Online boekhouding voor freelancers. (AIS)

Peaks – Investeren met je wisselgeld. (PIS en AIS)

Twinfield – Online boekhouding. (AIS)

Om van PSD2 een succes te maken en innovatieve diensten op de markt te zien komen, moet er nog veel gebeuren. Het zal geen storm zijn die onverwachts woedt. Laten we kijken of 2020 wat wind laat waaien.