PSD2 en sterke klantauthenticatie: wat betekent dit voor je webshop?

Wat PSD2 betekent voor je webshop

PSD2 (Payment Services Directive 2) is een Europese richtlijn over betaaldienstverlening en vervangt de Richtlijn Betaaldiensten uit 2007 (PSD1). In Nederland is PSD2 in februari 2019 ingevoerd en opgenomen in onder meer de Wet op het financieel toezicht en Boek 7, Titel 7B van het Burgerlijk Wetboek.

PSD2 geldt voor betaaldiensten in de EU, ook als slechts één van de betrokken betaaldienstverleners in de EU is gevestigd en de transactie binnen de EU plaatsvindt. De richtlijn is van toepassing op betaaltransacties in alle valuta.

De Nederlandse implementatie raakt meerdere regelingen: de Wet op het financieel toezicht, Boek 7, Titel 7B van het Burgerlijk Wetboek, het Besluit Gedragstoezicht financiële ondernemingen Wft, het Besluit prudentiële regels Wft en het Besluit Markttoegang financiële ondernemingen Wft.

PSD2 heeft vijf doelstellingen: meer concurrentie op de Europese betaalmarkt, innovatie in het betalingsverkeer, bescherming van deelnemers aan het betalingsverkeer, veiliger betalingsverkeer en bijdragen aan één Europese betaalmarkt.

PSD2 regelt de rechten en plichten van partijen die betaaldiensten aanbieden of afnemen, de voorwaarden voor uitvoering van betalingstransacties, toegang tot betaalrekeningen door derde partijen, vergunningvereisten voor betaaldienstverleners en doorlopend toezicht op die aanbieders.

Voor een webshop komt PSD2 op drie plekken samen: in de checkout (eisen aan sterke klantauthenticatie), in de keuze van betaalpartners (nieuwe soorten betaaldiensten) en in de omgang met betaalgegevens. Aanbieders moeten zich aan de AVG houden; de Autoriteit Persoonsgegevens ziet daarop toe.

Sterke klantauthenticatie: waarom je checkout verandert

PSD2 stelt via sterke klantauthenticatie (SCA) eisen aan afrekenen in de checkout. Tweestapsverificatie is in veel gevallen verplicht en maakt online betalen veiliger. Klanten identificeren zich vaker extra, bijvoorbeeld met een code of een bevestiging in de bankapp.

Sterke klantauthenticatie (SCA) is tweefactor-authenticatie: de betaaldienstverlener stelt met een combinatie van twee van drie persoonsgebonden factoren vast dat de rechtmatige opdrachtgever de transactie goedkeurt. De drie factoren zijn: iets wat alleen de gebruiker weet (pincode), iets wat alleen de gebruiker bezit (bankpas, smartphone of smartwatch) en iets wat alleen de gebruiker kenmerkt (vingerafdruk of gezichtsherkenning).

SCA geldt bij online toegang tot een betaalrekening, bij elektronisch betalen en bij een risicovolle online handeling. Voor online aankopen is de SCA-vereiste sinds 1 januari 2021 in het grootste deel van de EER van kracht; in het Verenigd Koninkrijk blijft die normaal gesproken ook na de Brexit-overgangsperiode gelden.

Niet elke betaling vraagt SCA. Betalingen tot €50 zijn meestal vrijgesteld, voor een beperkt aantal ononderbroken herhalingen.

Voor online betalingen kun je met 3D Secure-technologie aan SCA voldoen. De nieuwste versie, EMV 3D Secure, is gebruiksvriendelijker en beter geschikt voor mobiel; zo verklein je de kans dat klanten extra stappen doorlopen of afzien van de aankoop.

Die extra stap verhoogt de veiligheid, maar vraagt meer handelingen in je betaalflow. Zichtbaarheid, volgorde van betaalopties en opbouw van de checkout bepalen direct hoeveel klanten de betaling afmaken. Een onduidelijke of traag ladende SCA-stap kost conversie, ook als de betaling technisch lukt.

Eén PSD2-regel raakt de kostenpresentatie: bij online betalen met creditcard mogen bedrijven de consument geen extra kosten rekenen. Dat geldt voor bijna alle creditcards. Reken creditcardkosten dus niet als surcharge door, maar verwerk ze in je prijs of kostenvergelijking van betaalpartners.

Vergelijking van betaalmethoden per doelmarkt in de EU

Voordelen en nadelen van EMV 3D Secure voor SCA

Nieuwe betaalmethoden en de rol van iDEAL

PSD2 maakt het mogelijk dat bedrijven online nieuwe betaalmethoden aanbieden, vergelijkbaar met iDEAL, creditcard- of PayPalbetalingen. Dat is vooral relevant als een klant geen creditcard of PayPalrekening heeft, of als de bank van de webshop niet bij iDEAL is aangesloten.

In Nederland is iDEAL dominant in e-commerce, met een marktaandeel van meer dan 70%. Daarom bereikt een Nederlandse webshop zonder iDEAL een groot deel van de binnenlandse kopers nauwelijks.

Lokale betaalmethoden bepalen in belangrijke mate vertrouwen en conversie. Klanten zijn gewend aan specifieke aanbieders en associëren die met veiligheid en gemak. Ontbreekt hun vertrouwde methode, dan breekt een deel het aankoopproces af, ongeacht product of prijs.

Voor je betaalmix kijk je per doelmarkt naar verspreiding van een methode, gemiddelde transactiekosten, acceptatie bij handelaren en wettelijke kaders. Breid je uit naar andere EU-landen, laat dan landspecifieke compliance-eisen zoals 3D Secure en gegevensbescherming controleren.

Begin per land met twee tot drie dominante methoden en optimaliseer later op basis van gebruikersgedrag. Veel betaaldienstverleners bundelen lokale methoden via één technische aansluiting, wat de integratie-inspanning beperkt.

In Zuid-Europa is de creditcard gangbaarder; in Noord-Europa domineren online bankbetalingen. In Duitsland is factuur populair, in Oostenrijk de EPS-overboeking, in Scandinavië mobiele wallets en in Polen en Tsjechië directe overschrijving of lokale e-wallets.

Toegang tot de betaalrekening: klant geeft toestemming

PSD2 introduceert twee nieuwe betaaldiensten: betaalinitiatiediensten en rekeninginformatiediensten. Rekeninghouders van een online raadpleegbare betaalrekening hebben het recht daarvan gebruik te maken.

Betaalinitiatiedienstverleners kunnen met toestemming van de rekeninghouder de opdracht geven een betalingstransactie vanaf zijn rekening uit te voeren. Rekeninginformatiedienstverleners kunnen met toestemming toegang krijgen tot betaalgegevens en die gegevens ordenen, zodat de rekeninghouder beter inzicht krijgt.

Consumenten bepalen altijd zelf of ze een bedrijf toegang geven tot hun betaalrekening. Voorbeelden van diensten die daarop voortbouwen: één financieel overzicht voor iemand met rekeningen bij meerdere banken, online betalen bij een buitenlandse webshop zonder creditcard of PayPal, en huishoudboekjes die automatisch gegevens van een bankrekening ophalen.

Voor een webshop betekent dit dat de betaalstap niet langer per se via een kaart of wallet hoeft te lopen. Een betaalinitiatiedienst kan de betaling rechtstreeks vanaf de betaalrekening initiëren, mits de klant daar expliciet toestemming voor geeft.

Voor je checkout betekent dit een extra betaalroute naast iDEAL, creditcard en wallets. De klant houdt controle: zonder expliciete toestemming wordt er geen betaling geïnitieerd en geen rekeninginformatie gedeeld.

Stappenplan voor toegang tot betaalrekening via PSD2

Vergunning, toezicht en privacy: waar je op moet letten

Alleen bedrijven met een vergunning mogen zo'n nieuwe betaal- of rekeningdienst aanbieden. In Nederland vraag je die vergunning aan bij De Nederlandsche Bank (DNB). Bedrijven die naast of in het verlengde van een betaaldienst ook financiële diensten verrichten, zoals bemiddeling in of advies over financiële producten, hebben daarvoor een aparte vergunning nodig. De AFM houdt toezicht op adviseurs en bemiddelaars en verleent vergunningen aan ondernemingen die deze aanvullende financiële diensten aanbieden.

Aanbieders van nieuwe betaaldiensten moeten veilig met betaalgegevens omgaan en zich houden aan de Algemene verordening gegevensbescherming (AVG). De Autoriteit Persoonsgegevens controleert dat en kan bij overtreding hoge boetes opleggen.

Voor je inkoop: controleer of een betaalpartner een vergunning heeft, leg vast wie welke betaalgegevens verwerkt en waarom, en beperk de gegevens die je zelf in je webshop opslaat tot wat nodig is. Zo voorkom je dat je via een niet-vergunde of slordig omgaande partij in de privacy- en toezichtrisico's van die partij meebeweegt.

DNB verstrekt de vergunning voor betaalinstellingen. Voor aanvullende financiële diensten is de AFM het aanspreekpunt; vraag bij je betaalpartner na welke vergunning hij heeft en onder welk toezicht hij valt.

Conversie en winkelwagenverlating: de praktische impact

Het ontbreken van een vertrouwde betaalmethode is een van de grootste oorzaken van afhaken. Meer dan 50% van de internationale winkelwagenverlatingen wordt toegeschreven aan het ontbreken van lokale betaalmethoden.

Een gangbare startmix voor een Nederlandse B2C-webshop is iDEAL, één vorm van achteraf betalen (zoals Klarna of Riverty) en minimaal één internationale kaartoptie of wallet (Visa, Mastercard, Apple Pay of Google Pay). Voor Belgische klanten voeg je Bancontact toe; voor B2B-webshops vervang je achteraf betalen door SEPA-overschrijving op factuur.

Let op de wettelijke ondergrens: artikel 7:26 lid 2 van het Burgerlijk Wetboek schrijft voor dat consumenten bij de aankoop van fysieke goederen niet verplicht mogen worden meer dan 50% vooruit te betalen. Je biedt daarom altijd minimaal één optie waarbij de klant na of bij levering betaalt; achteraf betalen via Klarna of Riverty is daarvoor de meest gebruikte route.

Vergelijk betaalpartners op basis van je werkelijke transactiemix, niet alleen op het kaartpercentage: sommige aanbieders rekenen maandelijkse vaste kosten, andere een percentage per transactie. Veel betaaldienstverleners bundelen lokale methoden via één technische aansluiting, wat de integratie-inspanning beperkt en het aantal losse koppelingen in je checkout verkleint.

Een betaalmatrix per doelmarkt helpt: let op verspreiding van de methode, gemiddelde transactiekosten, acceptatie bij handelaren en wettelijke kaders. Begin met twee tot drie dominante methoden per land en optimaliseer op basis van gebruikersgedrag.

Houd bij de checkout rekening met SCA: betalingen tot €50 zijn meestal vrijgesteld, voor een beperkt aantal ononderbroken herhalingen. Gebruik EMV 3D Secure voor online betalingen om de SCA-stap soepel te laten verlopen.

Checklist: PSD2-proof afrekenen in je webshop

PSD2-proof afrekenen in je webshop: praktische stappen

Vooruitblik: PSD3 en Open Finance

Op 28 juni 2023 deed de Europese Commissie nieuwe voorstellen voor een herziening van PSD2: PSD3 en PSR. Daarnaast zijn er voorstellen voor een breder kader voor Open Finance. Het kabinet stelde in 2023 het Nederlandse standpunt voor PSD3 en PSR vast, en ook een Nederlands standpunt voor dat bredere Open Finance-kader. De onderhandelingen over deze voorstellen lopen op dit moment in de Europese Raad.

Voor je betaalmix betekent dit dat je aansluiting en checkout toekomstbestendig moeten blijven. Nieuwe regels kunnen de rol van SCA en toegang tot betaalrekeningen verder veranderen; houd wijzigingen in de Europese Raad en bij je betaalpartner in de gaten.

PSD2-proof afrekenen in je webshop: praktische stappen