Digitaal identificeren en ondertekenen voor banken

Een bank identificeert nieuwe klanten, laat bestaande klanten veilig inloggen en betalen, en laat contracten tekenen. Voor alle drie gelden eigen regels, en eind 2027 komt de EUDI Wallet erbij.

Cliëntenonderzoek

De Wwft is van toepassing op banken en andere financiële ondernemingen (art. 1a lid 1). Een bank doet cliëntenonderzoek: de cliënt identificeren en diens identiteit verifiëren, en de uiteindelijk belanghebbende vaststellen (art. 3 Wwft).

Vanaf 10 juli 2027 geldt de Europese anti-witwasverordening, de AMLR, waarin kredietinstellingen meldingsplichtige entiteiten zijn (art. 3). Identificatie op afstand kan dan met een elektronisch identificatiemiddel op eIDAS-niveau substantieel of hoog, en relevante gekwalificeerde vertrouwensdiensten (art. 22 lid 6). Meer in AMLR vanaf 10 juli 2027.

Sterke klantauthenticatie

Onder PSD2 past een betaaldienstverlener sterke klantauthenticatie toe als de betaler online zijn betaalrekening opent, een elektronische betaling start, of via een kanaal op afstand iets doet waarbij risico op fraude bestaat (art. 97 lid 1). In Nederland staat die regel in het Besluit prudentiële regels Wft (art. 26h).

De EUDI Wallet accepteren

Wie voor online identificatie sterke authenticatie moet gebruiken, moet vanaf 24 december 2027 ook de Europese digitale identiteitswallet accepteren als de gebruiker daarom vraagt. Bankdiensten en financiële diensten worden daarbij met name genoemd (art. 5f lid 2 eIDAS). Uitgewerkt in Moet jouw organisatie straks wallets accepteren?

iDIN

Via iDIN laten mensen bij andere organisaties zien wie ze zijn met hun bank. iDIN is overgenomen door itsme, stopt eind 2027 en gaat in 2028 volledig op in itsme. Zie iDIN stopt.

Waar je op let

• Eén koppeling voor wallets en bestaande middelen. De acceptatieplicht komt bovenop je huidige inlog- en identificatiemethodes. Een connector of verifier die beide aankan, scheelt werk.
• Het niveau van de identificatie. Voor de AMLR telt eIDAS-niveau substantieel of hoog. Bij elke aanbieder staat welk niveau hij opgeeft, en of wij dat hebben kunnen controleren.