Wees voorbereid op Sterke Cliëntauthenticatie (Strong Customer Authentication, hierna SCA)

SCA is een twee-factor authenticatieproces dat is ontworpen om een extra beveiligingslaag toe te voegen wanneer een Kaarthouder een elektronische betaling uitvoert.

SCA is ontworpen om fraude te verminderen en vereist dat de Kaarthouder twee onafhankelijke bronnen van identiteitsverificatie verstrekt (een proces dat gewoonlijk "twee-factor authenticatie" wordt genoemd), zodat de uitgever van de Kaart de elektronische transactie kan goedkeuren. Twee van de volgende drie onafhankelijke verificatieopties kunnen worden geselecteerd:

• iets wat de Kaarthouder weet (bijvoorbeeld zijn pincode)

• iets wat de Kaarthouder bezit (bijv. een gsm) 
  

• iets dat uniek is voor de Kaarthouder (bijvoorbeeld een vingerafdruk)

SCA zal daarom nieuwe authenticatievereisten inhouden voor online en contactloze betalingen waarbij de handelaar en de Kaarthouder zich in de Europese Economische Ruimte (EER) bevinden.

SCA is een nieuwe Europese vereiste (in het kader van de PSD2 -richtlijn) die in de EER wordt ingevoerd om fraude te verminderen en elektronische betalingen veilig te stellen.

De PSD2-richtlijn is van toepassing op iedereen die betrokken is bij de aan- en verkoop van goederen en diensten binnen de EER. Consumenten, financiële instellingen en de betalingssector, met inbegrip van aggregatoren en aanbieders van rekeninginformatiediensten, vallen allemaal onder de PSD2-richtlijn.

SCA is van toepassing op door de Kaarthouder geïnitieerde elektronische betalingen waarbij zowel de handelaar als de kaartuitgever zich in de Europese Economische Ruimte bevinden.

Transacties die geen door de Kaarthouder geïnitieerde elektronische betalingen zijn, vallen niet onder het toepassingsgebied van SCA. Dit is met name het geval bij betalingen per postorder of telefoon en bij door de handelaar geïnitieerde transacties. 

Er zijn ook een aantal vrijstellingen, zoals transacties ten gunste van een vertrouwde begunstigde, transacties die vanaf een betaalterminal worden geïnitieerd om vervoers- of parkeerkosten te betalen, en online transacties onder een bepaalde drempel voor de analyse van het transactierisico, die afhankelijk is van het fraudepercentage. Express Lijst, is een online tool waarmee American Express Kaarthouders hun webshops, waar ze regelmatig aankopen doen, kunnen toevoegen aan hun lijst met vertrouwde webshops. 

Bovendien heeft de Nationale Bank van België een specifieke vrijstelling verleend voor zakelijke betalingen wanneer deze betalingen onderworpen zijn aan specifieke processen en protocollen die een veiligheidsniveau garanderen dat gelijkwaardig is aan dat van de SCA. Deze vrijstelling geldt voor de Business Travel Account (BTA) en de Travel Card. 

De Richtlijn (de herziene Richtlijn Betalingsdiensten) is in werking getreden op 14 september. Vervolgens stelde het Advies van de Europese Bankautoriteit dat nationale toezichthouders de Richtlijn pas na 31 december 2020 actief zouden moeten toepassen voor e-commerce. De Commissie van de EU en de Europese Bankautoriteit hebben dit nadien ook bevestigd.

Dit betekent dat alle SCA-vereisten vanaf 1 januari 2021 moeten worden toegepast op alle e-commerce-transacties waarbij kaarten uit de EU/EER zijn uitgegeven, tenzij een nationale toezichthouder een andere datum voor de tenuitvoerlegging heeft vastgesteld. Transacties zonder geldige SCA-vrijstelling of een 3D Secure / SafeKey-aanvraag met verificatie op basis van twee verificatievereisten zullen door de kaartuitgever worden geweigerd na de door de nationale toezichthouder vastgestelde afdwingingdatum.

Het is belangrijk om te weten dat sommige nationale toezichthouders een nieuwe datum hebben vastgelegd voor lokaal uitgegeven kaarten. In het Verenigd Koninkrijk heeft de Financial Conduct Authority een herziene handhavingsdatum van 14 september 2021 bevestigd. Andere landen, zoals Frankrijk, overwegen ook een korte periode van verdraagzaamheid tot het voorjaar van 2021. Tegelijkertijd hebben sommige toezichthouders, in landen als België en Nederland, van de industrie geëist dat ze vóór de deadline van december met SCA zou beginnen.

Gezien deze omstandigheden sporen we handelaren in de hele EU/EER aan om onmiddellijk stappen te ondernemen om de invoering van de nieuwe SCA-vereisten te prioritiseren, met name door SafeKey te activeren voor alle online transacties. American Express is technisch klaar en heeft unieke mogelijkheden om consumenten en handelaren een eersteklas ervaring te bieden.

We verwachten niet dat Kaarhouders grote hinder zullen ondervinden bij het uitvoeren van online transacties. Wij bevelen echter aan dat handelaren in de EU/EER stappen blijven ondernemen om prioriteit te geven aan de invoering van de nieuwe SCA-vereisten, waaronder het activeren van SafeKey® voor alle onlinetransacties.

De Nationale Bank van België (NBB) heeft besloten dat vanaf 24 augustus 2020 transacties boven €1500 via SafeKey® moeten verlopen. Als een handelaar SafeKey® voor online transacties niet heeft geactiveerd, wordt de aankoop geweigerd. Vanaf januari 2021 zal dit het geval zijn voor alle transacties boven €500 (behalve voor transacties met handelaren op de Express Lijst).

In zeldzame gevallen, wanneer de Kaarthouder fysiek aanwezig is om een transactie uit te voeren, kan hij of zij moeilijkheden ondervinden op het verkooppunt als de handelaar de vereiste technische verbeteringen aan de terminals nog niet heeft uitgevoerd. We dringen er bij handelaren in de hele EU/EER op aan onmiddellijke stappen te blijven ondernemen om de invoering van de nieuwe SCA-vereisten te prioritiseren, met name door SafeKey te activeren voor alle online transacties.

Kaarthouders kunnen problemen ervaren wanneer zij een transactie uitvoeren waarbij een handelaar geen technische upgrades heeft uitgevoerd naar zijn online kassa om SCA te ondersteunen.

Bovendien zien Kaarthouders veranderingen in de manier waarop ze online transacties doen. Als ze geen actuele contactgegevens hebben, wordt hun transactie ook geweigerd.

Het gaat om betalingen met de kaart in de handelszaken en online betalingen met om het even welke betaalkaart (kredietkaart, uitgestelde debitering, debetkaart, prepaid), met inbegrip van bedrijfskaarten die in de EER zijn uitgegeven en bij EER-handelaren worden gebruikt.

Niettemin, heeft de Nationale Bank van België een specifieke vrijstelling verleend voor zakelijke betalingen wanneer deze betalingen onderworpen zijn aan specifieke processen en protocollen die een veiligheidsniveau garanderen dat gelijkwaardig is aan dat van de SCA. Deze vrijstelling geldt voor de Business Travel Account (BTA) en de Travel Card. Ook in de toekomst blijven we actief samenwerken met de Nationale Bank van België met betrekking tot deze vrijstellingen en hoe deze in bepaalde gevallen worden toegepast.  

Ja, de NBB heeft echter een specifieke vrijstelling verleend voor betalingen aan ondernemingen wanneer deze betalingen onderworpen zijn aan specifieke processen en protocollen die een veiligheidsniveau garanderen dat gelijkwaardig is aan het niveau dat door de SCA wordt geboden. Deze vrijstelling geldt voor het Business Travel Accounts (BTA) en de Travel Cards. Ook in de toekomst blijven we actief samenwerken met de Nationale Bank van België met betrekking tot deze vrijstellingen en hoe deze in bepaalde gevallen worden toegepast.  

Business Travel Account (BTA) en Travel Card worden niet beïnvloed en we verwachten dat de meeste "niet-plastic" producten evenmin worden beïnvloed. Deze producten maken gebruik van specifieke processen en protocollen die een beveiligingsniveau bieden dat gelijkwaardig is aan dat van de SCA. We werken actief samen met de regelgevende instanties met betrekking tot aanvullende vrijstellingen.

Alle andere kaarten, met inbegrip van bedrijfskaarten die in de EER worden uitgegeven en bij EER-handelaren worden gebruikt, zijn betrokken.  

SCA is van toepassing op door Kaarthouders geïnitieerde elektronische betalingen waarbij zowel de handelaar als de kaartuitgever zich binnen de EER bevinden. Transacties die geen door Kaarthouders geïnitieerde elektronische betalingen zijn, zijn vrijgesteld. Dit omvat MOTO-transacties ( Mail Order/Telephone Order) en MIT-transacties (Merchant Initiated Transactions).

Er zijn ook een aantal uitzonderingen, zoals transacties met een vertrouwde begunstigde, transacties aan onbewaakte transport- en parkeerterminals, en online transacties onder een bepaalde drempel voor risicoanalyse van transacties, die wordt bepaald door het fraudepercentage. Express List is het online hulpmiddel dat een American Express Kaarthouder kan gebruiken om zijn vertrouwde handelszaken in op te slagen om zo (in de meeste gevallen) vrijgesteld te zijn van SCA-normen.

De meest gebruikelijke manier om een kaartbetaling online te verifiëren is door gebruik te maken van 3D Secure, een verificatiestandaard die door de overgrote meerderheid van de Europese kaartuitgevers wordt ondersteund. American Express Kaarthouders worden automatisch ingeschreven in het American Express SafeKey®-programma, dat de nieuwste 3D Secure-technologie gebruikt om klanten te beschermen tegen fraude wanneer ze online winkelen bij de deelnemende SafeKey-handelaren.

Wanneer Kaarthouders op bepaalde sites aankopen doen, wordt SafeKey bij het afrekenen als een dialoogvenster weergegeven. Als de handelaar de SCA-vereisten niet in acht neemt, zullen deze transacties geweigerd worden. In de meeste gevallen hoeft de Kaarthouder niets te doen, aangezien SafeKey op basis van de aankoopgeschiedenis van de Kaarthouder zal vaststellen dat de transactie in aanmerking komt voor een laag-risicopad. 

Voor bepaalde aankopen die als risicovol zijn geïdentificeerd of die om een andere reden een sterke klantverificatie vereisen, kunnen we de Kaarthouder een eenmalige verificatiecode via SMS en/of e-mail (naargelang de keuze van de Kaarthouder) sturen. Zodra de Kaarthouder is geverifieerd, wordt de online transactie verwerkt.

Online betalingen: SafeKey zal verder gebruikt worden in de betalingsfase. Waar SCA nodig is, ontvangen Kaarthouders automatisch verificatieverzoeken via SMS of e-mail, naargelang wat ze gekozen hebben.

Om te voorkomen dat de SCA bij elke online aankoop moet worden toegepast, kunnen American Express Kaarthouders gebruik maken van onze nieuwe online verificatieservice: Express Lijst (de lijst met vertrouwde sites). Als een handelaar op de Vertrouwde Lijst van de Kaarthouder staat (en we de transactie niet als ongewoon of verdacht hebben geïdentificeerd), zal SCA niet worden toegepast. 

Contactloze betalingen: Contactloze betalingen worden normaal verwerkt. Soms worden Kaarthouders echter gevraagd om hun pincode in te voeren om zich bekend te maken als ze sinds hun laatste authenticatie specifieke uitgavendrempels hebben bereikt. Bij gebruik van een mobiele portemonnee zoals Amex Pay, Apple Pay, Google Pay of Samsung Pay, zullen Kaarthouders worden gevraagd om zich bekend te maken, zoals gebruikelijk, om hun aankoop te voltooien.

Kaarthouders kunnen hun verificatiecode ook per e-mail ontvangen. Ze moeten dus geen mobiele telefoon hebben, omdat ze hun e-mails vanop hun computer kunnen bekijken. Daarom is het belangrijk dat Kaarthouders ervoor zorgen dat het e-mailadres in hun Kaartrekeninggegevens correct is.

Express Lijst is een dienst die wij alleen aan American Express Kaarthouders leveren en die hen in staat stelt een lijst op te stellen van vertrouwde sites van handelaren met wie zij regelmatig online aankopen hebben gedaan. Wanneer een website op de lijst van vertrouwde sites staat (en op voorwaarde dat de transactie ons niet ongewoon of verdacht voorkomt), zal het authenticatieproces niet worden toegepast.

Kaarthouders kunnen hun lijst met vertrouwde sites configureren vanuit de SafeKey-schermen. Elke Kaarthouder zal in staat zijn om individuele handelaren te selecteren of om alle handelaren te selecteren die aan hen worden voorgesteld (Express Lijst kan tot 100 handelaren bevatten bij wie de Kaarthouder al aankopen heeft gedaan). Naast de SafeKey-schermen kunnen Kaarthouders hun Express Lijst ook direct vanuit hun online Kaartrekening instellen. 

Kaarthouders kunnen hun Express Lijst zelf beheren via hun American Express online Kaartrekening.  

U kunt een online Kaartrekening aanmaken via de website van American Express. 

De NBB heeft erkend dat de reis- en horecabranche veel veranderingen moet ondergaan om aan de SCA te voldoen en heeft zich verplicht tot een gedetailleerde herziening van de betalingsscenario's waarmee de reis- en horecabranche te maken krijgt om tijdig duidelijkheid te verschaffen.

Tot op heden is de NBB in België formeel overeengekomen dat alle BTA & Travel Card transacties zullen worden vrijgesteld van de SCA-richtlijnen (onder voorbehoud van bepaalde criteria) en we verwachten dat andere regelgevers binnen de EER hetzelfde standpunt zullen innemen. 

Het is zeer belangrijk dat American Express beschikt over actuele e-mailadressen en mobiele nummers voor Corporate Kaarthouders, zodat eenmalige wachtwoorden naar de Kaarthouders kunnen worden verzonden als onderdeel van de nieuwe tweeledige verificatievereisten onder SCA-transacties.

U kunt uw contactgegevens bijwerken in uw online profiel bij Concur en/of een reisbureau en in uw American Express online Kaartrekening. U kunt ook de American Express klantendienst bellen op het nummer dat u terugvindt op de achterkant van uw Kaart.

American Express neemt de bescherming van uw persoonlijke gegevens zeer serieus en wij zullen uw gegevens nooit gebruiken voor marketingdoeleinden zonder uw toestemming. Uw gegevens worden opgeslagen in overeenstemming met ons privacybeleid, dat u kunt raadplegen via de website van American Express.

Contactloze betalingen zullen gewoon blijven plaatsvinden, maar de nieuwe regelgeving vereist dat Kaarthouders hun pincode invoeren wanneer ze een cumulatief maximumbedrag van €150 voor contactloze betalingen bereiken. In de meeste gevallen zullen de houders van bedrijfskaarten hun contactloze Kaart gewoon kunnen gebruiken. Een contactloze transactie kan echter worden geweigerd als het maximumbedrag voor contactloze uitgaven is bereikt. Als een contactloze transactie wordt geweigerd, kan de Kaarthouder het opnieuw proberen door zijn of haar pincode in te voeren. Alle nieuwe en hernieuwde Corporate Kaarten zijn sinds mei 2020 uitgerust met de contactloze betaalfunctie.

Kaarthouders zullen verplicht zijn om de SafeKey®-functionaliteit te gebruiken die vaker zal worden weergegeven op het moment van de betaling. SafeKey beschermt hen tegen fraude bij het doen van online aankopen door te controleren of de persoon die de aankoop doet de Kaarthouder is. Kaarthouders zullen vaker verificatieverzoeken per SMS of e-mail ontvangen (naargelang wat ze gekozen hebben) bij het doen van online betalingen.

Kaarthouders zullen soms extra verificatiecodes moeten invoeren bij het bekijken van hun American Express online Kaartrekening. Bij het inloggen op hun American Express online Kaartrekening moeten ze zoals gebruikelijk hun gebruikersnaam en wachtwoord invoeren. Van tijd tot tijd kan American Express hen een extra verificatieverzoek sturen via SMS of e-mail wanneer zij proberen toegang te krijgen tot bepaalde delen van hun Kaartrekening, zoals het bekijken van hun pincode.

Daarnaast zullen Business, Corporate, Corporate Meeting Card Kaarthouders die toegang hebben tot hun online Kaartrekening ook meer verificatieverzoeken zien.

De regelgeving bepaalt dat de maximale periode van inactiviteit van de betaler na de authenticatie om toegang te krijgen tot zijn online Kaartrekening niet meer dan vijf minuten mag bedragen. Dit geldt voor alle relevante online Kaartrekeningen inclusief de American Express online Kaartrekening van de Kaarthouder.

Nee, elke Kaarthouder kan slechts één telefoonnummer en één e-mailadres opgeven. Het is zeer belangrijk dat American Express een up-to-date telefoonnummer en e-mailadres heeft voor elk Corporate Kaarthouder, zodat ze een eenmalige gebruikscode kunnen sturen als onderdeel van het transactieverificatieproces.

SCA is alleen vereist voor de eerste transactie; latere transacties die door de handelaar worden geïnitieerd (terugkerende betalingen) zijn vrijgesteld. Terugkerende betalingen die al zijn ingesteld, worden niet beïnvloed.

Elke online betaling die niet is vrijgesteld, is onderworpen aan SCA. De twee belangrijkste vrijstellingen voor onlinetransacties zijn de vrijstelling voor de analyse van het transactierisico en de vrijstelling voor transacties van geringe waarde.

De vrijstelling voor de analyse van transactierisico's maakt het voor American Express mogelijk om af te zien van  SCA wanneer transacties worden beschouwd als transacties met een laag risico en de fraudepercentages de specifieke drempels niet overschrijden.

Ook kaarttransacties onder de 30 euro zijn vrijgesteld van SCA.

Het is een 6-cijferige code die per SMS en/of e-mail (naargelang de keuze van de Kaarthouder) wordt verzonden en die de Kaarthouder moet invoeren op het inlogscherm van SafeKey of het toegangsscherm van zijn of haar online Kaartrekening om zijn of haar identiteit te bewijzen. Dankzij deze beveiligingslaag weten we dat het de Kaarthouder is die de aankoop doet, aangezien we de code naar de geregistreerde gegevens van de Kaarthouder sturen.

Een transactie kan om verschillende redenen mislukken. De toegang tot SafeKey kan worden geblokkeerd als u de verificatiecode niet correct hebt ingevoerd of als u sommige beveiligingsvragen niet correct hebt beantwoord. Als na drie pogingen de verificatiecode nog steeds niet correct is ingevoerd vervalt de transactie. De transactie kan ook worden beëindigd in geval van technische problemen met betrekking tot de betalingsdienst van de handelaar. Als uw transactie niet succesvol is, verschijnt er een melding op het scherm. 

U moet ervoor zorgen dat u toegang hebt tot uw mobiele telefoon en e-mail voordat u een transactie bij een deelnemende SafeKey-handelaar begint. U kunt uw verificatiecode zo vaak als u wilt opvragen tijdens de geldigheidsduur van tien minuten. Wij raden u aan uw verificatiecode te verwijderen zodra de transactie is voltooid.

U ontvangt direct een verificatiecode op het door u opgegeven e-mailadres en/of mobiele nummer van American Express (indien van toepassing). Uw verificatiecode is slechts tien minuten geldig vanaf het moment dat u uw kaartgegevens aan de verkoper doorgeeft. Als u uw transactie niet binnen deze tien minuten afrondt, moet u opnieuw beginnen.

Bij het elke boeking is de Kaarthouder de enige persoon die de Kaart mag gebruiken en die verantwoordelijk is voor het autoriseren van de transactie. De verificatiecode wordt naar de geregistreerde gegevens van de Kaarthouder gestuurd. Indien een andere persoon namens de Kaarthouder een reservering maakt via de reserverings-/aankooptools van het bedrijf, kan het scenario 'ondergebrachte Kaarten' van toepassing zijn (zie het antwoord op het gelogde kaartscenario hieronder).

Tot op heden heeft de NBB er formeel mee ingestemd dat alle transacties met een BTA en Travel Card vrijgesteld zijn van de SCA-richtlijnen (onder voorbehoud van bepaalde criteria) en we verwachten dat andere regelgevers binnen de EER hetzelfde standpunt innemen.

Andere producten zoals Corporate Kaarten/Corporate Meeting Cards in het scenario 'ondergebrachte Kaarten' zijn nog steeds onderwerp van discussie. American Express werkt samen met de regelgevende instanties van de EER om dit standpunt te valideren en ervoor te zorgen dat er geen verstoring is voor handelaren en Kaarthouders.

SCA is een belangrijk initiatief om fraude te verminderen en elektronische betalingen te beveiligen en we verwelkomen alle maatregelen om het aantal fraudegevallen in de sector te verminderen. Wij raden handelaren aan om passende antifraudemaatregelen te blijven nemen om hun bedrijven te beschermen.

American Express België is in juli 2019 begonnen met het verstrekken van SCA-informatie aan zijn Kaarthouders.

We stuurden e-mails en/of mailings naar Kaarthouders. Onze communicatie biedt Kaarthouders ook informatie over de Express Lijst, onze service die werd gecreëerd als antwoord op de SCA regels zijn opgesteld en die vereisen dat kaartuitgevende bedrijven vaker verificatiecodes versturen wanneer hun klanten online aankopen doen.

Met Express Lijst kunnen Kaarthouders een lijst maken van vertrouwde websites waar ze regelmatig aankopen doen. Op deze manier kan American Express de aankopen van de Kaarthoudres automatisch verifiëren zonder dat ze voor elke transactie een verificatiecode hoeven te versturen. 

Het is zeer belangrijk dat American Express een up-to-date telefoonnummer en e-mailadres heeft voor elk Corporate Kaarthouder, zodat een eenmalige verificatiecode kan worden gestuurd als onderdeel van de nieuwe twee-factor authenticatie-eisen onder de SCA-regelgeving.

Online betalingen: SafeKey zal vaker worden weergegeven op het moment van betaling. Bij het online betalen zullen Kaarthouders ook vaker verificatieverzoeken ontvangen via sms of e-mail. Om het aantal verificatieverzoeken tot een minimum te beperken, zullen Kaarthouders gebruik kunnen maken van onze vertrouwde site service Express Lijst. Een SCA is alleen vereist wanneer een betaling de drempel voor de analyse van het transactierisico overschrijdt en de handelaar niet op de lijst van vertrouwenssites staat (en voor dit laatste, op voorwaarde dat de transactie ons niet ongewoon of verdacht is gebleken).

Contactloze betalingen: Contactloze betalingen worden normaal uitgevoerd, maar het nieuwe reglement vereist dat Kaarthouders hun pincode invoeren wanneer ze een cumulatief maximumbedrag van €150 voor contactloze betalingen bereiken. In de meeste gevallen zullen de houders van Corporate Kaarten hun contactloze Kaart gewoon kunnen gebruiken.

Een contactloze transactie kan echter worden geweigerd als het maximumbedrag voor contactloze uitgaven is bereikt. Als een contactloze transactie wordt geweigerd, kan de Kaarthouder het opnieuw proberen door zijn of haar pincode in te voeren.Toegang tot online accounts: Bij het online inloggen op hun American Express Kaartrekening moeten Kaarthouders zoals gebruikelijk hun gebruikersnaam en wachtwoord invoeren. Van tijd tot tijd sturen we hen ook een verzoek voor aanvullende verificatie per SMS of e-mail. Daarom is het belangrijk dat de Kaarthouders ervoor zorgen dat het e-mailadres in hun Kaartrekening geldig is.