Art. 4
Codice di autenticazione
In vigore dal 27 nov 2017
Codice di autenticazione
1. Se i prestatori di servizi di pagamento applicano l'autenticazione forte del cliente conformemente all'articolo 97, paragrafo 1, della direttiva (UE) 2015/2366, l'autenticazione si basa su due o più elementi che sono classificati nelle categorie della conoscenza, del possesso e dell'inerenza e comporta la generazione di un codice di autenticazione.
Il codice di autenticazione è accettato solo una volta dal prestatore di servizi di pagamento quando il pagatore lo utilizza per accedere al suo conto di pagamento online, disporre un'operazione di pagamento elettronico o effettuare qualsiasi azione tramite un canale a distanza che possa comportare un rischio di frode nei pagamenti o altri abusi.
2. Ai fini del paragrafo 1, i prestatori di servizi di pagamento adottano misure di sicurezza al fine di garantire il soddisfacimento di tutti i requisiti elencati di seguito:
a)
nessuna informazione su uno qualsiasi degli elementi di cui al paragrafo 1 può essere ricavata dalla comunicazione del codice di autenticazione;
b)
non è possibile generare un nuovo codice di autenticazione sulla base della conoscenza di un altro codice di autenticazione generato in precedenza;
c)
il codice di autenticazione non può essere contraffatto.
3. I prestatori di servizi di pagamento provvedono affinché l'autenticazione mediante generazione di un codice di autenticazione comprenda le seguenti misure:
a)
se l'autenticazione per l'accesso a distanza, i pagamenti elettronici a distanza e qualsiasi altra azione effettuata tramite un canale a distanza che possa comportare un rischio di frode nei pagamenti o altri abusi non è riuscita a generare un codice di autenticazione per i fini di cui al paragrafo 1, non è possibile stabilire quali elementi di cui al predetto paragrafo non sono corretti;
b)
il numero di tentativi di autenticazione non riusciti che possono essere effettuati consecutivamente, dopo i quali le azioni di cui all'articolo 97, paragrafo 1, della direttiva (UE) 2015/2366 sono temporaneamente o permanentemente bloccate, non è superiore a cinque entro un determinato intervallo di tempo;
c)
le sessioni di comunicazione sono protette contro l'acquisizione dei dati di autenticazione trasmessi durante l'autenticazione e contro la manipolazione da parte di soggetti non autorizzati in conformità con gli obblighi di cui al capo V;
d)
il tempo massimo di inattività del pagatore in seguito all'autenticazione per l'accesso al conto di pagamento online non è superiore a cinque minuti.
4. Quando il blocco di cui al paragrafo 3, lettera b), è temporaneo, la durata del blocco e il numero di nuovi tentativi sono stabiliti in base alle caratteristiche del servizio fornito al pagatore e a tutti i rischi connessi, tenendo conto almeno dei fattori di cui all', paragrafo 2.
Il pagatore è avvisato prima che il blocco venga reso permanente.
Una volta che il blocco è stato reso permanente, è definita una procedura protetta che consente al pagatore di ripristinare l'uso degli strumenti di pagamento elettronico bloccati.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_del:2018:389:oj#art-4