Bankene jobber på spreng med PSD2-innspurt

Det har gått et par uker siden Den europeiske bankmyndigheten, EBA, kom med et skriv som gjorde det klart at myndigheten nå ønsker å få PSD2-regelverket på plass en gang for alle.

«EBA forventer, i tilfelle hindringer fortsatt eksisterer etter nevnte deadline, at nasjonale tilsynsmyndigheter tar i bruk mer effektive tiltak for å forsikre at lovene etterleves, inkludert, men ikke begrenset til, å tilbakekalle fritaket fra reserveløsning som banker, kortutstedere eller e-pengeforetak allerede har fått og/eller utstede bøter», skrev EBA i slutten av februar.

Nytt EU-krav: Bankene må få på plass PSD2 før utgangen av april – ellers blir det bøter

Finanstilsynets reaksjon på meldingen fra EBA, var avventende. Tilsynet svarte ikke på Shifters spørsmål om tilsynet var beredt på å innføre sanksjoner, men påpekte at «når banker som har valgt å utvikle dedikerte grensesnitt (Api-er) ikke har på plass funksjonalitet og tilgjengelighet som er tilsvarende bankens ordinære kundegrensesnitt (nettbanker mm) nærmere 1,5 år etter at delegert kommisjonsforordning (EU) 2018/389 trådte i kraft, sier det seg selv at det ikke er tilfredsstillende»

Lite å melde fra DNB

Så hvordan står det egentlig til i den norske bankverden. Vil bankene bli klare i tide? Shifter har stilt spørsmålet til fire banker/allianser.

Fra Norges største bank, DNB, ble svaret kort:

«Foreløpig så har vi ikke noe mer å meddele enn hva vi har kommunisert eksternt tidligere. Som vi har sagt før, så har dette arbeidet høy prioritet hos oss», skriver Erik Olav Landsværk, leder for Open Banking Payments i DNB i en epost til Shifter.

Har slitt med å få API-ene godkjent

Øyvind Aass, administrerende direktør i Sparebank 1 Utvikling, som tar hånd om alt PSD2-relatert for Sparebank 1-Alliansen hadde litt mer å fortelle. Ifølge Aass var Sparebank 1 klare med både kontoinformasjon og betaling allerede 14. september 2019, det vi si dagen da PSD2-direktivet ble innført i Norge.

– Helt siden PSD2 ble et tema har vi hatt en ganske så offensiv holdning og tenkt at vi skal lage veldig gode løsninger for våre kunder, sier han.

Det betyr ikke at alt har vært problemfritt underveis.

– Vi, som alle andre, har slitt med å få API-ene godkjent. Vi trodde vi skulle få våre personmarkeds-API-er godkjent i fjor. Da pekte Finanstilsynet på noen mindre mangler med dem. Dem er vi i ferd med å utbedre, sier Aass.

– Hva har vært problemet?

– På kontoinformasjonssiden har det handlet om transaksjonshistorikk. Og for betalings-API-et har det vært ulikheter i muligheten for å bunte sammen flere betalinger i en «batch», sier Aass.

– Tar man utgangspunkt i EBA-regelverket, mener vi at våre API-er er på stell, men vi har utviklet noe funksjonalitet i våre digitale flater, som vi ikke har hatt tilsvarende i API-er. Det har vi vært nødt til rette opp, fortsetter han.

I dag har Sparebank 1 Alliansen cirka 100 eksterne brukere av sine API-er. Det er alt fra andre banker, til aggregatorer som Nets eller Neonomics, og aktører som Horde.

Kjenner ikke igjen seg i kritikken

Som ansvarlig for PSD2-håndteringen for alle bankene i alliansen, har Aass vært tett på PSD2-problematikken i lang tid. Han kjenner seg ikke helt igjen i kritikken om at bankene trenerer arbeidet med PSD2-API-er og sterk kundeautentisering (SKA).

– Vi har hatt API-er helt siden 2019 og hele veien jobbet med å forbedre dem. Vi har ikke noe ønske om å diskriminere andre aktører, sier han.

Hva gjelder sterk kundeautentisering mener tredjepartsaktørene med Horde i spissen at Vipps har fått urettmessige fordeler. Det benekter Aass er tilfelle i Sparebank 1.

– Grunnen til at Vipps har et annet regime nå, er at Vipps-koblingen ble etablert før PSD2. Vi har ikke maktet å få dem over på det nye API-et enda. Men det skal de.

– Vi har en generell avtale hva gjelder delegert SKA. Den gjelder Vipps så vel som alle andre. Vi er ikke interessert eller i posisjon til å kunne tilby Vipps en særordning på dette området.

– Tror du at Sparebank 1 vil ha alt på plass før den 30. april?

– API-ene skal være klare i god tid. Hva gjelder Vipps, er vi midt opp i prosessen med å få dem over på samme avtale som alle andre. Det burde også være mulig å få klart før siste april.

Nå har Sparebanken Vest fått API-er

Sparebanken Vest vekket oppmerksomhet da PDS2-debatten herjet som mest i november i fjor. Banken innrømmet at den ikke hadde søkt om fritak fra reserveløsning og på det tidspunktet manglet PSD2-API-er å dele med tredjepartsaktørene.

Ting har imidlertid endret seg siden da.

– For et par uker siden informerte vi alle som har kontakt med oss at vi har et API som de kan integrere seg imot, forteller Kjetil Sørtun, leder for Banking Services i Sparebanken Vest.

– Det er i henhold til den planen vi har skissert for Finanstilsynet hele veien. Vi valgte jo en litt annen innfallsvinkel, gjennom ikke å søke fritak fra reserveløsning, sier Sørtun og legger til at banken rett over nyttår informerte Finanstilsynet om at banken kommer til å tilby et dedikert grensesnitt.

Sørtun forteller at flere selskaper er godt i gang. En bank og aggregatorselskapet Nets er klare med integrasjonen, mens Nordic API Gateway er midt opp i prosessen.

– Så du regner med at Sparebanken Vest vil være klar til 30. april, som EBA har satt som deadline?

– Vi har ikke fått noen informasjon fra tilsynet enda, så det er litt vanskelig å kommentere det, sier Sørtun.

– Men vi har ikke endret planer eller omprioritert på grunn av beskjeden fra EBA. Vi har dialog med tilsynet i forhold til våre planer og har hatt dialog tredje parter hele veien.

Travle dager for små sparebanker

For Stein Gryte, spesialrådgiver i De Samarbeidende Sparebankene, DSS, fører PSD2 til travle dager og mange møter.

DSS er en paraplyorganisasjon som tar seg av innkjøp og standardisering for ni frittstående sparebanker; Etne Sparebank, Flekkefjord Sparebank, Haugesund Sparebank, Lillesands Sparebank, Luster Sparebank, Skudenes & Aakra Sparebank, Spareskillingsbanken, Søgne og Greipstad Sparebank og Voss Sparebank.

– Bankene i DSS er alle totalkunder hos TietoEvry og løsningen er i sin helhet produsert og kjøpt av dem, forklarer Gryte til Shifter i en e-post.

– I forkant av leveransene fra TietoEvry har vi brukt mye tid på å sette oss inn i regelverket, samt danne oss ett felles inntrykk av kravene i PSD2. DSS har sammen med flere andre banker som bruker TietoEvry, avholdt fellesmøter der forståelse av regelverket, frister og innhold i leveranser ble diskutert, skriver han.

– Reglene er like for alle banker, stor eller liten. Er det slik at et prosjekt som dette, er mer krevende for DSS, enn for de store bankene og alliansene?

– Det er en stor fordel for oss at TietoEvry leverer like løsninger til alle uavhengig av om banken er stor eller liten. Utfordringen vår er kanskje at vi har færre personer å fordele oppgavene på enn de større bankene. De etablerte leveransemodellene gjør det omtrent like krevende for både små og store banker, svar Gryte.

De ni sparebankene i DSS er også medeiere i Balder Betaling, sammen med blant andre Sparebankene Øst, Sør og Vest. Gryte forteller at DDS-bankene og de andre bankene i Balder Betaling sammen har et stort fokus på å forbedre PSD2-grensesnittet.

Men det har vært flere utfordringer underveis, innrømmer han.

– Den første utfordringen vi støtte på, var å sette oss inn i et komplekst regelverk. Deretter har det gått slag i slag fram til vi nå arbeider med å kunne identifisere og kartlegge de muligheter som plattformen gir for ny forretning og verdi for bankene i DSS.

– Har Finanstilsynet hatt innsigelser på API-ene underveis og bedt dere rette opp på ting?

– Jeg kan ikke kommentere enkeltbankers eventuelle dialog med Finanstilsynet, skriver Gryte.

– Vil bankene i DSS ha alt på plass til 30. april?

– Jeg kan dessverre ikke komme inn på detaljer her. Bankene i DSS har tilsvarende systemer og løsninger som en rekke andre banker, jeg vil derfor tro at om det gis pålegg eller krav til endringer, vil dette sannsynligvis også berøre bankene i DSS.