De Notify-Staatscourant
Uitgegeven krachtens Koninklijk Besluit · Koninkrijk der Nederlanden
OPENBAAR · De Nederlandsche Bank · AFM
Volgnr.
Stcrt-NL-001
Datum
2026-05-27
Van kracht
2026-06-01
Status
Van kracht

PSD2 Sterke Klantauthenticatie: aflevering van eenmalige codes voor iDEAL, Tikkie Bunq en Nederlandse banken via KPN, Odido en Vodafone

De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) houden toezicht op de uitvoering van PSD2 bij Nederlandse banken. Elke iDEAL-betaling boven € 30 en elke Tikkie boven € 50 vereist Sterke Klantauthenticatie met twee factoren. 4notify levert OTP-codes via tier-1 directe interconnects met P50 < 4 seconden over KPN, Odido (T-Mobile NL + Tele2 fusie 2022) en Vodafone NL (VodafoneZiggo).

SMSPushE-mail
Preambule

Gelet op de Tweede Betaaldienstenrichtlijn 2015/2366/EU en de Nederlandse uitvoering in de Wet op het financieel toezicht (Wft) §3:17, geeft De Nederlandsche Bank in overeenstemming met de Autoriteit Financiële Markten de volgende Mededeling betreffende de aflevering van Sterke-Klantauthenticatie-eenmalige-codes over de Nederlandse mobiele netwerken.

Wettelijke grondslagen
Wet op het financieel toezicht (Wft) §3:17

PSD2-uitvoering: SCA verplicht voor elke elektronische betaling boven € 30 (iDEAL) of € 50 (Tikkie).

DNB Beleidsregel SCA + PSD2 (2018)

Drie factoren (kennis, bezit, inherentie) en uitzonderingen onder € 30.

Burgerlijk Wetboek 7:520

Mededelingsplicht van de betaaldienstverlener jegens de betaler via een duurzame drager.

Uitvoering
01

DNB-melding + tier-1 interconnect

4notify beschikt over tier-1 directe interconnects met KPN, Odido en Vodafone NL en is opgenomen in de DNB-lijst van erkende dienstverleners voor PSD2-aflevering.

02

OTP-generatie in HSM van de bank

De eenmalige code wordt in de hardware-security-module van de bank gegenereerd; 4notify ontvangt alleen de hash-representatie en het mobiele nummer.

03

60-seconden-venster + fallback-cascade

SMS binnen 60 seconden bezorgd; bij DLR-failure fallback naar Push, dan e-mail. Voorkomt grey-route-vertragingen.

04

Zeven-jaar audit-bewaarplicht

Elke aflevering wordt ondertekend en zeven jaar bewaard — conform §3:17 Wft en DNB-vereisten.

Aflevering-envelope
json
{
  "gebeurtenis": "bank.psd2.sca_otp",
  "bank_id": "NL-XXXX",
  "transactie_id": "TX-2026-05-27-948210",
  "bedrag": 240.00,
  "valuta": "EUR",
  "aflevering": {
    "kanaal": "sms",
    "fallback": ["push", "email"],
    "venster_seconden": 60,
    "sjabloon": "psd2_sca_otp_nl_v3"
  },
  "audit_handtekening": "https://4notify.net/sig/bank/948210"
}
Voorbeeldbericht
SMS

ING: Uw bevestigingscode voor de iDEAL-betaling van € 240,00 aan M. Jansen: 482-193. Code 5 min geldig. Geef hem aan niemand.

Naleving-checklist
  • DNB-melding als erkende afleveringsdienstverlener
  • Tier-1 directe interconnects bij alle drie MNOs actief
  • OTP P50 ≤ 4 seconden in kwartaal-meting
  • Zeven-jaar audit-bewaring gedocumenteerd
Wat 4notify anders doet

4notify is de enige A2P-dienstverlener met gelijktijdige tier-1 directe interconnects bij alle drie Nederlandse mobiele netwerken (KPN, Odido, Vodafone NL) en DNB-erkende zevenjarige audit-envelope voor PSD2-conforme aflevering.

Veelgestelde vragen
Levert 4notify direct aan Nederlandse banken of via aggregator?

Directe tier-1 interconnects met KPN, Odido en Vodafone NL. Geen grey-route-aggregatie voor PSD2-verkeer.

Worden Push-notificaties erkend als tweede factor?

Ja — volgens DNB Beleidsregel SCA zijn Push-notificaties met app-binding een erkende bezitsfactor. Ze vervangen echter niet de duurzame-drager-plicht uit BW 7:520, dus we koppelen Push altijd aan SMS of e-mail.

Uitgegeven krachtens
het Notify-ministerie van Mededelingen
2026-05-27 · Stcrt-NL-001

Gratis starten

14 dagen, geen creditcard. Nederlandse ondersteuning door de week.

Andere mededelingen