Common and Secure Communication (CSC)

Definition des Begriffs

CSC, Common and Secure Communication, bezeichnet die gemeinsame und sichere Kommunikation im Zahlungsverkehr unter PSD2. Der Begriff steht für technische und organisatorische Anforderungen an Schnittstellen zwischen kontoführenden Zahlungsdienstleistern, Zahlungsinstituten und zugelassenen Drittdienstleistern. Rechtlich ist CSC vor allem in der Delegierten Verordnung (EU) 2018/389 verankert, die PSD2 durch technische Regulierungsstandards zu starker Kundenauthentifizierung und sichere Kommunikationsstandards ergänzt. Ziel ist ein kontrollierter, nachvollziehbarer und sicherer Datenaustausch für Kontoinformationsdienste, Zahlungsauslösedienste und kartenbasierte Zahlungsbestätigungen.

Vorkommen und Verwendung

CSC kommt im Open-Banking-Umfeld des europäischen Zahlungsverkehrs vor. Kontoführende Zahlungsdienstleister stellen sichere Kommunikationswege bereit, häufig über dedizierte Schnittstellen oder angepasste Kundenschnittstellen. Drittdienstleister nutzen diese Zugänge nach Zulassung oder Registrierung durch eine zuständige Aufsichtsbehörde. Die Kommunikation muss die sichere Weitergabe von Zahlungsaufträgen, Kontosalden, Transaktionsdaten und Bestätigungen unterstützen. Sie darf den Zugang berechtigter Drittdienstleister nicht sachlich unbegründet behindern. Wesentliche Prüffelder sind:

• Identifizierung und Authentifizierung der Kommunikationspartner
• Integrität und Vertraulichkeit der übertragenen Daten
• Verfügbarkeit, Leistungsfähigkeit und Überwachung von Schnittstellen
• Protokollierung, Fehlerbehandlung und Notfallverfahren

Relevanz

CSC ist zentral für den regulierten Zugang zu Zahlungskonten. Die Anforderungen begrenzen Sicherheitsrisiken, schaffen einheitliche Mindeststandards und unterstützen den Wettbewerb zwischen Banken, FinTechs und anderen Zahlungsdienstleistern. Für kontoführende Institute kann CSC technische Investitionen, Schnittstellentests, Dokumentationspflichten und laufendes Monitoring auslösen. Praktisch beeinflusst CSC die Ausgestaltung von API-Portalen, Zertifikatsprüfungen, Testumgebungen und Supportprozessen. Abweichungen können aufsichtsrechtliche Nachfragen oder Anpassungsmaßnahmen auslösen. Für Drittdienstleister bestimmt CSC, wie Kontodaten abgerufen oder Zahlungen ausgelöst werden dürfen. Die Anforderungen stehen in engem Zusammenhang mit starker Kundenauthentifizierung, dynamischer Verknüpfung und dem Schutz personalisierter Sicherheitsmerkmale.

Beispiel/Synonyme oder verwandte Begriffe

• Common and secure open standards of communication, ausführlichere englische Bezeichnung im regulatorischen Kontext
• SCA, Strong Customer Authentication, starke Kundenauthentifizierung mit mindestens zwei unabhängigen Faktoren
• PSD2, zweite Zahlungsdiensterichtlinie der Europäischen Union
• API, Programmierschnittstelle für standardisierten Datenaustausch
• TPP, Third Party Provider, zugelassener Drittdienstleister

Weitere Informationen

Wichtige Rechtsgrundlagen sind Artikel 66 und 67 PSD2 sowie Artikel 30 bis 36 der Delegierten Verordnung (EU) 2018/389. Für die Identifizierung kommen qualifizierte Website-Authentifizierungszertifikate oder gleichwertige Lösungen in Betracht. Nationale Aufsichtsbehörden überwachen die Umsetzung, während die Europäische Bankenaufsichtsbehörde technische Auslegung, Aufsichtskonvergenz und Q&A-Prozesse unterstützt.

Weiterführende Details, regulatorische Vorgaben und Methodikbeschreibungen finden Sie auf Regupedia: www.regupedia.de