PSD2 na ostatniej prostej. Otwarta bankowość nie tylko dla banków

Komunikacja między bankiem a stronami trzecimi wymaga odpowiedniego interfejsu i stosownego zabezpieczenia. Mowa tu o dwóch, specjalnych, kwalifikowanych certyfikatach do PSD2. Na polskim rynku obydwa rodzaje certyfikatów posiada w swojej ofercie jedynie KIR, który jednocześnie udostępnia rozwiązanie ułatwiające implementację PSD2 – HUB PSD2.

Nowe przepisy otwierają rynek finansowy dla tzw. trzecich podmiotów (ang. Third Party Providers, TPP). Fintechy oraz firmy, których główna działalność nie opiera się na usługach finansowych, np. Facebook czy Google, będą dopuszczone do obszarów dotychczas zarezerwowanych wyłącznie dla banków. Dzięki PSD2 podmioty trzecie będą mogły, za zgodą klienta, uzyskać dane dotyczące jego rachunku bankowego, np. mieć wgląd w historię transakcji. Dostaną też możliwość inicjowania płatności z rachunku klienta, również za jego wcześniejszą zgodą. Co ważne, aby TPP mógł zlecić transakcję płatniczą w banku klienta, nie musi mieć podpisanej umowy z danym bankiem.

Czytaj także: PSD2: firmy technologiczne staną się największą konkurencją banków w ciągu 3 lat >>>

Punktem zwrotnym będzie wrzesień 2019 r.

Europejska dyrektywa weszła w życie w styczniu 2018 r. i została zaimplementowana do prawa polskiego. Punktem zwrotnym wdrażania nowych regulacji będzie wrzesień 2019 r. Eksperci pracujący nad polskim wariantem otwartej bankowości (Polish API) zgodnie podkreślają, że we wdrażaniu nowych przepisów kluczowe jest utrzymanie wysokiego poziomu bezpieczeństwa. Dyrektywa ogranicza odpowiedzialność klientów za nieautoryzowane transakcje, w największej mierze przenosząc ją na dostawcę usług.

– W celu umożliwienia efektywnej komunikacji, banki są zobowiązane do udostępnienia odpowiednio zabezpieczonego interfejsu – mówi Elżbieta Włodarczyk, dyrektor Linii biznesowej podpis elektroniczny w KIR. – Zgodnie z Polish API, zapewnienie poufności komunikacji oraz uwierzytelnienie komunikujących się ze sobą stron, wymaga stosowania odpowiednich kwalifikowanych certyfikatów – dodaje Elżbieta Włodarczyk.

Trzy rodzaje certyfikatów

Kwalifikowane certyfikaty są wydawane zgodnie z zasadami określonymi w Rozporządzeniu eIDAS. Rozporządzenie wprowadza trzy rodzaje certyfikatów. W kontekście PSD2 mówi się o wykorzystaniu dwóch z nich – certyfikatu uwierzytelniania stron internetowych oraz kwalifikowanego certyfikatu pieczęci elektronicznej. Podmiotem upoważnionym do ich wydawania w Polsce jest KIR, mający status dostawcy kwalifikowanych usług zaufania.

– Kwalifikowany certyfikat do zabezpieczenia witryn internetowych jest wykorzystywany do zestawienia bezpiecznego kanału TLS, który zagwarantuje poufność danych – mówi Elżbieta Włodarczyk. – Dodatkowo każde zapytanie wysyłane do banku oraz jego odpowiedź w ramach tego zabezpieczonego kanału jest opatrzone kwalifikowaną pieczęcią elektroniczną, weryfikowaną  kwalifikowanym certyfikatem. Co ważne, kwalifikowany certyfikat na potrzeby PSD2 zawiera  specjalne dane określające konkretny podmiot w kontekście PSD2.

O wydanie certyfikatów może się ubiegać każdy podmiot, który otrzyma od Komisji Nadzoru Finansowego pozwolenie na świadczenie usług w ramach PSD2. Role, jakie dana firma będzie pełniła w kontekście unijnej dyrektywy, będą zamieszczone w certyfikacie. Termin ich ważności wynosi od 1 roku do 2 lat. Ważność certyfikatu można sprawdzić na listach CRL publikowanych na stronie internetowej KIR lub korzystając z bezpłatnej usługi OCSP również udostępnionej przez KIR.

Innowacyjność i nowoczesność usług płatniczych  

Bezpieczeństwo to słowo klucz, które pojawia się przy okazji dyskusji o PSD2 i otwartej bankowości. Ważnym aspektem jest także innowacyjność i nowoczesność usług płatniczych, które dyrektywa ma jeszcze wzmocnić. Na tym polu sytuacja polskich banków jest wyjątkowa, ponieważ sektor płatniczy w Polsce należy do najnowocześniejszych i najbardziej zaawansowanych technologicznie w skali europejskiej.

Z jednej strony same banki często odgrywają rolę fintechów i dostarczają swoim klientom innowacyjne usługi płatnicze, z drugiej gwarantują wysoki poziom bezpieczeństwa, co – jak pokazują dane Deloitte – dla polskich konsumentów jest szczególnie ważne. Aż 43 proc. z nich deklaruje, że nie czułoby się komfortowo, gdyby musieli dzielić się z zewnętrznymi podmiotami danymi na temat swojego konta.
Z tego samego badania wynika, że zdaniem blisko 30 proc. banków nowe unijne prawo może być dla nich szansą, a 43 proc. z nich ma do niej stosunek neutralny. Może się okazać, że jednym z kluczowych beneficjentów zmian spowodowanych przez dyrektywę PSD2 mogą być właśnie zaawansowane technologicznie banki.