Hopp til innhold
Forskrift
Finansdepartementet

Forskrift om systemer for betalingstjenester

forskrift/2019-02-15-152·15 paragrafer·Sist endret 25. juli 2023·Utforsk grafen
I kraft 2019-04-01Kunngjort 2019-02-28Sist endret ved forskrift/2023-07-05-1245 fra 2023-07-25
Hjemmel§ 3-3Betalingssystemloven§ 6-2Betalingssystemloven
Innhold15 paragrafer
§ 1

Virkeområde

Forskriften gjelder for banker, kredittinstitusjoner, e-pengeforetak, betalingsforetak, opplysningsfullmektiger og filialer av slike foretak med hovedsete i annen EØS-stat jf. finansforetaksloven § 2-3. Forskriften gjelder likevel ikke for betalingsforetak med begrenset tillatelse, jf. finansforetaksloven § 2-10 fjerde ledd.

Denne forskriften bestemmer hvem regelverket for betalingstjenester gjelder for. Den omfatter ulike typer finansielle foretak og banker, inkludert filialer fra EØS-stater, men unntar betalingsforetak med begrenset tillatelse.AI

Se ogsåFinansforetaksloven § 2-3Finansforetaksloven § 2-10 første ledd

§ 2

Risikovurdering og etterlevelse av regelverk

Betalingstjenestetilbydere skal gjennomføre risiko- og sårbarhetsvurderinger før en ny betalingstjeneste lanseres og ved hendelser eller endringer av betydning for sikkerhetsnivået. Betalingstjenestetilbydere skal ha systemer og kontrollmekanismer for operasjonell og sikkerhetsmessig risiko knyttet til ytelsen av betalingstjenester, samt effektive fremgangsmåter for å håndtere hendelser, inkludert alvorlige operasjonelle hendelser og sikkerhetshendelser. Systemene skal sikre etterlevelse av regelverk, avtaler og interne rutiner. Datatrafikk i elektroniske betalingstjenester skal overvåkes for å sikre tilstrekkelig sikkerhetsnivå og kunne avdekke og hindre uautorisert bruk av tjenesten. Betalingstjenestetilbydere skal minst årlig gi Finanstilsynet en samlet vurdering av operasjonell risiko og sikkerhetsrisiko knyttet til tilbyderens betalingstjenester, samt om tilbyderens tiltak er tilstrekkelige. Betalingstjenestetilbydere skal minst årlig rapportere statistikk om svindel knyttet til betalingstjenestene til Finanstilsynet, på den måten Finanstilsynet angir.

Betalingstjenestetilbydere må vurdere risiko og sårbarhet før nye tjenester lanseres og ved viktige endringer. De skal ha systemer for å håndtere sikkerhetshendelser og overvåke datatrafikk for å hindre ulovlig bruk. Det kreves årlige rapporter til Finanstilsynet om risiko og svindel.AI

Endret 6. juli 2023 · i kraft 25. juli 2023
§ 3

Underretning om hendelser

Dersom hendelse som angitt i forskrift 21. mai 2003 nr. 630 om bruk av informasjons- og kommunikasjonsteknologi (IKT) § 9 tredje ledd påvirker eller kan påvirke betalingstjenestebrukernes økonomiske interesser, skal betalingstjenestetilbyderen uten ugrunnet opphold underrette brukerne om hendelsen. Meldingen skal omtale tiltak brukeren kan iverksette.

Betalingstjenester må raskt varsle kundene dersom tekniske hendelser påvirker eller kan påvirke kundenes økonomiske interesser. Varslet skal inneholde informasjon om hva kunden selv kan gjøre.AI

Se ogsåForskrift om bruk av informasjons- og kommunikasjonsteknologi (IKT) § 9

§ 4

Krav til sikker ytelse av betalingstjenester

Betalingstjenestetilbydere skal på bakgrunn av risiko- og sårbarhetsvurderingen etablere tiltak for å sikre nødvendig konfidensialitet, integritet og tilgjengelighet for tjenestene. Gjeldende nasjonale standarder og internasjonalt anerkjente standarder skal følges. Betalingstjenestetilbyderen er ansvarlig for at tjenesten i sin helhet (ende til ende) er beskyttet gjennom logiske og fysiske sikringstiltak.

De som tilbyr betalingstjenester må ha tiltak som sikrer at tjenestene er trygge og tilgjengelige. De skal følge nasjonale og internasjonale standarder, og har ansvar for at hele tjenesten er beskyttet fysisk og teknisk.AI

§ 5

Krav til sterk kundeautentisering

En betalingstjenestetilbyder skal anvende sterk kundeautentisering når brukeren a) logger seg inn på sin betalingskonto via nettet, b) initierer en elektronisk betalingstransaksjon, eller c) gjennomfører handling som kan innebære risiko for svindel eller annet misbruk. For transaksjoner som nevnt i første ledd bokstav b skal betalingstjenestetilbyderen ved elektroniske fjernbetalingstransaksjoner anvende sterk kundeautentisering som kobler transaksjonen til et spesifikt beløp og en spesifikk betalingsmottaker. Med «sterk kundeautentisering» menes en løsning basert på bruk av to eller flere elementer, som er uavhengig av hverandre slik at kompromitteringen av ett element likevel ikke vil påvirke de andre elementene. Betalingstjenestetilbyderen skal innføre egnede tiltak for å beskytte brukerens personlige sikkerhetsinformasjon. Videre skal foretaket sikre at kunden på en hensiktsmessig måte kan beskytte sine autentiseringskjennetegn, og foretaket skal etablere løsninger som gjør at kunden kan sperre videre bruk av autentiseringskjennetegn. Kontotilbyder skal gi betalingstjenestetilbydere som tilbyr avtale om betalingsfullmakt og kontoinformasjonstjeneste adgang til å benytte seg av autentiseringsprosedyrene kontotilbyder har gjort tilgjengelig for brukeren.

Betalingstjenester må bruke sterk kundeautentisering ved innlogging, elektroniske betalinger og risikofylte handlinger. Sterk autentisering krever bruk av minst to uavhengige elementer. Tjenestetilbyderen skal beskytte sikkerhetsinformasjon og la kunden sperre tilgang.AI

§ 6

Betalingsfullmakttjenester

I forbindelse med betalingsfullmakttjenesten skal betalingsfullmektigen a) ikke på noe tidspunkt ha rådighet over betalerens midler b) ikke endre betalingsmottaker, beløp eller noe annet kjennetegn ved transaksjonen c) legitimere seg overfor brukerens kontotilbyder, når de iverksetter en betaling d) kommunisere på sikker måte med kontotilbyder, betaleren og betalingsmottakeren e) sikre at betalingstjenestebrukerens personlige sikkerhetsinformasjon (autentiseringskjennetegn) ikke er tilgjengelig for andre enn brukeren og utstederen av den personlige sikkerhetsinformasjonen, og at sikkerhetsinformasjonen overføres gjennom sikre og effektive kanaler f) ikke benytte, ha tilgang til eller lagre opplysninger for andre formål enn utføring av betalingsfullmakttjenesten i samsvar med betalerens uttrykkelige anmodning g) ikke lagre sensitive betalingsopplysninger om betaleren h) ikke be betalingstjenestebrukeren om opplysninger som ikke er nødvendige for å utføre betalingsfullmakttjenesten i) sikre at eventuelle andre opplysninger om betalingstjenestebrukeren som er innhentet om betaleren i forbindelse med betalingstjenesten, bare gis til betalingsmottakeren og bare med betalerens uttrykkelige samtykke. Betalingsfullmektigen skal gjøre betalingstransaksjonens referanse tilgjengelig for kontotilbyderen ved iverksetting av en betalingsordre.

En betalingsfullmektig kan ikke ha tilgang til pengene dine eller endre detaljer i en betaling. De må kommunisere sikkert, beskytte din personlige sikkerhetsinformasjon og kun bruke opplysninger til det formålet du har bedt om.AI

referert av 1 →

§ 7

Kontoinformasjonstjenester

I forbindelse med kontoinformasjonstjenesten skal opplysningsfullmektigen a) legitimere seg overfor brukerens kontotilbyder for hver kommunikasjonsøkt b) kommunisere på sikker måte med kontotilbyder og brukeren c) sikre at brukerens personlige sikkerhetsinformasjon (autentiseringskjennetegn) ikke er tilgjengelig for andre enn brukeren og utstederen av den personlige sikkerhetsinformasjonen, og at sikkerhetsinformasjonen overføres gjennom sikre og effektive kanaler d) kun ha tilgang til opplysninger fra angitte betalingskontoer og tilknyttede betalingstransaksjoner e) ikke be om sensitive betalingsopplysninger knyttet til betalingskontoen f) ikke bruke, ha tilgang til eller lagre opplysninger for andre formål enn for å utføre kontoinformasjonstjenesten i samsvar med brukerens anmodning.

Reglene fastsetter krav til hvordan de som leverer kontoinformasjonstjenester skal håndtere sikkerhet og data. De skal sikre at personlig informasjon holdes hemmelig og kun brukes til det formålet brukeren har bedt om.AI

referert av 1 →

§ 8

Kontotilbyderens plikter

I samsvar med reglene i finansavtaleloven § 4-16, skal utføring av avtale om betalingsfullmakt eller kontoinformasjonstjeneste ikke gjøres betinget på vilkår om at det foreligger en avtale mellom kontotilbyderen og betalingsfullmektigen eller opplysningsfullmektigen om utføring av tjenesten. Kontotilbyderen skal gi fullmaktforetaket nødvendig tilgang til brukerens egne internettbaserte betalingskontoer, med mindre det foreligger objektivt begrunnede og dokumenterte forhold som gir grunn til å tro at nødvendig autorisasjon for utføring av avtale om betalingsfullmakt eller kontoinformasjonstjeneste mangler. Kontotilbyder skal umiddelbart underrette Finanstilsynet dersom det har nektet betalings- eller opplysningsfullmektig tilgang. Underretningen skal angi begrunnelsen for at tilgangen ble nektet. Kontotilbyder skal ikke forskjellsbehandle mellom en betalingsordre som gis av betaler gjennom tilbyder som tilbyr avtale om betalingsfullmakt og betalingsordre som gis direkte fra betaler, særlig med hensyn til tidspunkt, prioritet og gebyrer, med mindre det foreligger saklig grunn. Kontotilbyder skal ikke forskjellsbehandle forespørsler om informasjon som gis gjennom en betalingstjenestetilbyder som tilbyr avtale om kontoinformasjonstjeneste, med mindre det foreligger saklig grunn. Kontotilbyderen skal umiddelbart etter mottak av betalingsordren fra betalingstjenestetilbyder som tilbyr avtale om betalingsfullmakt gjøre all relevant informasjon om initieringen og gjennomføringen av betalingstransaksjonen tilgjengelig for fullmektigen. Kontotilbyder skal kommunisere på sikker måte med betalingstjenestetilbydere som tilbyr avtale om betalingsfullmakt og kontoinformasjonstjeneste.

Banken kan ikke kreve egen avtale med en tjenestetilbyder for å utføre betalinger eller dele kontoinformasjon. Banken skal gi tilgang til kontoer og ikke forskjellsbehandle betalinger som går via slike tilbydere, med mindre det er en saklig grunn til det.AI

Endret 6. juli 2023 · i kraft 25. juli 2023
Noter (1)
  • EndringEndret ved forskrift 5 juli 2023 nr. 1245 (i kraft 25 juli 2023).

Se ogsåFinansavtaleloven § 4-16

§ 9

Kortbaserte betalingstransaksjoner

Kontotilbyder skal ved henvendelse fra en betalingstjenestetilbyder som har utstedt et kortbasert betalingsinstrument umiddelbart angi om transaksjonen knyttet til instrumentet har dekning i betalingskontoen, når denne er tilgjengelig på internett. Dette gjelder bare dersom betalingstjenestebrukeren har gitt sitt samtykke til at kontotilbyderen på anmodning fra en annen betalingstjenestetilbyder, som utsteder kortbaserte betalingsinstrumenter, kan bekrefte at det er dekning på betalingskontoen for et bestemt beløp som den kortbaserte betalingstransaksjonen gjelder. Kontotilbyders svar på om transaksjonen har dekning i kontoen skal være et bekreftende «ja» eller avkreftende «nei». Forespørselen skal ikke gi grunnlag for å reservere midler på betalerens betalingskonto. På forespørsel fra betalingstjenestebrukeren skal kontotilbyderen alltid gi betalingstjenestebrukeren opplysninger om identiteten til betalingstjenestetilbyder som har anmodet om slik dekningsbekreftelse og svaret som ble gitt av kontotilbyderen. Betalingstjenestetilbyderen skal legitimere seg overfor kontotilbyder før hver anmodning om bekreftelse, og kommunisere på sikker måte med kontotilbyder. Bestemmelsene i denne paragrafen gjelder ikke kortbaserte betalingsinstrumenter som er e-penger.

Banken skal kunne svare ja eller nei på om det er nok penger på kontoen når man betaler med kort, forutsatt at brukeren har samtykket. Svaret skal ikke føre til at penger blir reservert på kontoen. Reglene gjelder ikke for e-penger.AI

§ 10

Aksept av kortbaserte e-penger utstedt utenfor EØS

Innløsere som er rapporteringspliktige etter hvitvaskingsloven § 4, skal bare akseptere betalingstransaksjoner iverksatt med e-pengeinstrumenter utstedt utenfor EU/EØS-området når disse er utstedt på minst like strenge vilkår som etter hvitvaskingsforskriften § 4-2 første ledd bokstav b og annet ledd.

Selskaper som tar imot betalinger, kan bare godta kortbaserte e-penger fra land utenfor EU/EØS dersom disse er utstedt under minst like strenge vilkår som i hvitvaskingsforskriften.AI

Noter (1)
  • EndringTilføyd ved forskrift 31 mai 2021 nr. 1715 (i kraft 1 juli 2021).

Se ogsåHvitvaskingsloven § 4 første leddHvitvaskingsforskriften § 4-2

§ 11

Tilgang til brukerens sikkerhetsinformasjon

Betalingstjenestetilbydere skal sikre at brukerens personlige sikkerhetsinformasjon til elektronisk identifikasjon og signatur ikke er tilgjengelig for andre enn brukeren og utstederen, når identifikasjonen eller signaturen gir tilgang til elektroniske tjenester fra offentlig sektor og som omfattes av regler som svarer til Europaparlaments- og Rådsforordning (EU) nr. 910/2014.

Tilbydere av betalingstjenester må sørge for at personlig sikkerhetsinformasjon til elektronisk ID og signatur holdes hemmelig. Kun brukeren selv og utstederen skal ha tilgang til denne informasjonen når den brukes til offentlige tjenester.AI

Noter (1)
  • EndringEndret ved forskrift 31 mai 2021 nr. 1715 (i kraft 1 juli 2021, tidligere § 10).
§ 12

Tekniske reguleringsstandarder for sterk kundeautentisering og kommunikasjonsstandarder

EØS-avtalen vedlegg IX nr. 16eb (delegert kommisjonsforordning (EU) 2018/389 om tekniske reguleringsstandarder for sterk kundeautentisering og felles og sikre åpne kommunikasjonsstandarder, som endret ved delegert kommisjonsforordning (EU) 2022/2360) gjelder som forskrift med de tilpasninger som følger av vedlegg IX, protokoll 1 til avtalen og avtalen for øvrig.

Bestemmelsen fastslår at spesifikke tekniske regler fra EU om sterk kundeautentisering og sikre kommunikasjonsstandarder for betalingstjenester gjelder som norsk forskrift.AI

Endret 6. juli 2023 · i kraft 25. juli 2023
Noter (1)
  • EndringTilføyd ved forskrift 5 juli 2023 nr. 1245 (i kraft 25 juli 2023).
§ 13

Frist for gjennomføring av endringsbestemmelser om sterk kundeautentisering

Betalingstjenestetilbydere skal gjennomføre endringer i henhold til delegert kommisjonsforordning (EU) 2022/2360 innen 1. november 2023. Overgangsbestemmelsene i delegert kommisjonsforordning (EU) 2022/2360 art. 2 nr. 1 gjelder for anvendt unntak før 1. november 2023.

Betalingstjenestetilbydere må gjennomføre bestemte endringer knyttet til sterk kundeautentisering innen 1. november 2023. Overgangsregler gjelder for unntak som var i bruk før denne datoen.AI

Endret 6. juli 2023 · i kraft 25. juli 2023
Noter (1)
  • EndringTilføyd ved forskrift 5 juli 2023 nr. 1245 (i kraft 25 juli 2023).
§ 14

Kompetanse til å endre forskriften

Finanstilsynet kan gjøre endringer i denne forskriften for å gjennomføre EØS-forpliktelser i henhold til delegeringsvedtak 29. mars 2022 nr. 484 § 2.

Finanstilsynet har lov til å endre denne forskriften. Dette kan gjøres for å oppfylle EØS-forpliktelser.AI

Endret 6. juli 2023 · i kraft 25. juli 2023
Noter (1)
  • EndringTilføyd ved forskrift 5 juli 2023 nr. 1245 (i kraft 25 juli 2023).

Se ogsåVedtak om delegering av myndighet fra Finansdepartementet til Finanstilsynet § 2

§ 15

Ikrafttredelse

Forskriften trer i kraft 1. april 2019. Fra samme tidspunkt oppheves forskrift 17. desember 2015 nr. 1731 om systemer for betalingstjenester.

Denne forskriften begynner å gjelde fra 1. april 2019. Samtidig slutter en tidligere forskrift fra 17. desember 2015 å gjelde.AI

Endret 6. juli 2023 · i kraft 25. juli 2023
Noter (1)
  • EndringEndret ved forskrifter 31 mai 2021 nr. 1715 (i kraft 1 juli 2021, tidligere § 11), 5 juli 2023 nr. 1245 (i kraft 25 juli 2023, tidligere § 12).

Vanlige spørsmål

✨ AI-generert

Forenklede forklaringer laget med AI og kontrollert automatisk — les alltid selve lovteksten.

Hvilke typer foretak gjelder denne forskriften for?

Denne forskriften bestemmer hvem regelverket for betalingstjenester gjelder for. Den omfatter ulike typer finansielle foretak og banker, inkludert filialer fra EØS-stater, men unntar betalingsforetak med begrenset tillatelse.

Åpne § 1
Når skal en betalingstjenestetilbyder gjennomføre risikovurderinger?

Betalingstjenestetilbydere må vurdere risiko og sårbarhet før nye tjenester lanseres og ved viktige endringer. De skal ha systemer for å håndtere sikkerhetshendelser og overvåke datatrafikk for å hindre ulovlig bruk. Det kreves årlige rapporter til Finanstilsynet om risiko og svindel.

Åpne § 2
Må betalingstjenestetilbyderen varsle om hendelser som påvirker økonomien min?

Betalingstjenester må raskt varsle kundene dersom tekniske hendelser påvirker eller kan påvirke kundenes økonomiske interesser. Varslet skal inneholde informasjon om hva kunden selv kan gjøre.

Åpne § 3
Hva må betalingstjenestetilbydere gjøre for å sikre tjenestene sine?

De som tilbyr betalingstjenester må ha tiltak som sikrer at tjenestene er trygge og tilgjengelige. De skal følge nasjonale og internasjonale standarder, og har ansvar for at hele tjenesten er beskyttet fysisk og teknisk.

Åpne § 4
Hva kreves når jeg logger meg inn på betalingskontoen min på nettet?

Betalingstjenester må bruke sterk kundeautentisering ved innlogging, elektroniske betalinger og risikofylte handlinger. Sterk autentisering krever bruk av minst to uavhengige elementer. Tjenestetilbyderen skal beskytte sikkerhetsinformasjon og la kunden sperre tilgang.

Åpne § 5
Kan den som utfører betalingen endre beløpet?

En betalingsfullmektig kan ikke ha tilgang til pengene dine eller endre detaljer i en betaling. De må kommunisere sikkert, beskytte din personlige sikkerhetsinformasjon og kun bruke opplysninger til det formålet du har bedt om.

Åpne § 6
Må tjenesteyteren bekrefte hvem de er overfor banken?

Reglene fastsetter krav til hvordan de som leverer kontoinformasjonstjenester skal håndtere sikkerhet og data. De skal sikre at personlig informasjon holdes hemmelig og kun brukes til det formålet brukeren har bedt om.

Åpne § 7
Må banken ha en avtale med betalingsfullmektigen for at tjenesten skal fungere?

Banken kan ikke kreve egen avtale med en tjenestetilbyder for å utføre betalinger eller dele kontoinformasjon. Banken skal gi tilgang til kontoer og ikke forskjellsbehandle betalinger som går via slike tilbydere, med mindre det er en saklig grunn til det.

Åpne § 8

Endringshistorikk

Følg endringer (RSS)

Hver oppføring er en kunngjøring i Norsk Lovtidend som endret denne loven.

  1. 2023

EØS-grunnlag

EU-rettsakter denne forskriften gjennomfører eller viser til.