欧洲启动支付认证新框架！

欧洲正在为数字身份钱包参与支付强客户认证制定一套共同规则。

支付之家获悉，欧洲支付理事会（EPC）公布SCARLET计划，拟统一支付机构接受欧盟数字身份钱包时的业务、技术及责任安排。EPC预计，这一框架所面向的市场涉及欧盟及欧洲经济区超过3000家支付服务提供商和27家以上数字身份钱包提供商。

欧洲已有支付强客户认证制度，也规定了相关数字身份钱包的接受义务。面对来自不同国家的钱包，数千家支付机构仍需解决系统对接、认证信息核验和责任分配问题。

3000多家支付机构，为什么需要共同规则？

SCARLET的开发于9月24日获得EPC理事会批准，10月19日正式对外公布。其名称意为“面向欧盟数字身份钱包交易的强客户认证受理规则及责任框架”。

EPC计划制定三部分内容：明确参与者资格及权利义务的业务与合同框架、各方共同遵循的功能和运营规则，以及支持信息交换和验证的技术规范。

按照欧盟数字身份框架，成员国可以直接提供数字身份钱包，也可以委托其他主体提供，或者认可独立主体提供的钱包。

欧洲各国的数字身份钱包，需要接入不同银行和支付机构的认证体系。如果各自设计认证接口与业务流程，支付机构可能不得不逐一对接，跨境互操作也会变得复杂。

EPC希望通过SCARLET减少不兼容方案和重复建设，并在欧盟委员会已有的架构参考框架、相关技术规范以及此前大规模试点成果的基础上，建立适合支付行业共同使用的业务和责任安排。

这项工作是在欧盟委员会相关部门邀请下推进的，开发过程将与欧盟委员会、欧洲银行管理局协作，并吸收钱包生态参与者的意见。

EPC所说的超过3000家支付服务提供商和27家以上钱包提供商，指的是预计涉及的市场主体规模，并非已经加入SCARLET的机构数量。

按照计划，SCARLET将于2027年夏季公开征求意见，12月发布首版规则手册。此后还需要经过开发、测试、接入和认证等环节，才能逐步投入实际使用。

数字身份钱包，为什么进入支付认证体系？

SCARLET的开发涉及两套制度：一套是欧盟数字身份框架，另一套是现有支付安全制度。

2024年通过的第2024/1183号条例修订了原有电子身份法规，通常称为eIDAS 2.0。

欧洲数字身份钱包可用于保存和出示身份及其他电子凭证，让用户在不同成员国的公共和私人服务中证明身份，或证明年龄、资格等特定信息。

按照欧盟委员会公布的实施安排，各成员国应于2026年底前提供至少一种符合要求的数字身份钱包。

与此同时，法规为特定服务提供者设定了接受义务。

修订后法规第5f条规定，除微型和小型企业等例外，依法或依合同需要对线上身份识别实施强用户认证的特定私营服务提供者，应在法定期限内接受用户自愿选择使用的欧洲数字身份钱包。

银行和金融服务属于条款列举的领域，具体义务仍取决于法定适用条件。

根据第二版支付服务指令（PSD2），支付服务提供商在用户在线访问支付账户、发起电子支付，或者通过远程渠道执行可能带来欺诈风险的操作等情况下，原则上需要采取强客户认证，同时存在监管规定的豁免情形。

强客户认证需要采用知识、持有物和生物特征三类要素中至少两类相互独立的要素。

对适用相关要求的远程电子支付，认证还应与特定交易金额及收款人动态关联。

数字身份钱包进入支付领域，为用户增加了一种完成认证的选择。

欧盟委员会目前将2027年底作为有关服务提供者落实钱包接受义务的重要节点，具体法定期限则与相应实施法规生效时间挂钩。

eIDAS确立了数字身份钱包及其接受要求，PSD2规定支付强客户认证应达到的安全标准。但钱包如何与银行账户关联、如何出示和核验认证信息，仍需要具体的业务和技术安排。

SCARLET计划为两套制度的衔接制定共同的行业实施规则。

与此同时，欧盟还在推进第三版支付服务指令（PSD3）及新的支付服务条例（PSR）。

2025年11月，欧洲议会与欧盟理事会就相关立法达成临时政治协议。2026年5月5日，欧洲议会经济与货币事务委员会批准了协议文本，后续仍需完成正式立法程序。

一笔支付交易，数字身份钱包如何完成认证？

以消费者在欧洲电商平台购买商品为例。

付款时，如果交易需要强客户认证，消费者通常通过银行应用程序，结合设备验证、生物识别等符合规定的认证要素完成验证。

欧盟委员会公布过一种数字身份钱包参与支付认证的示例流程。

消费者可以选择用钱包扫描付款界面上的二维码，查看商户、金额及相关信息，再用密码或生物识别确认。

对于支付机构而言，更重要的是钱包如何证明使用者有权操作某个支付账户，以及确认动作怎样与当前交易关联。

欧盟委员会介绍过一种由大规模试点开发的技术模式。

用户首先向支付服务提供商申请，把钱包与特定支付账户及支付工具关联。

支付机构使用现有符合PSD2要求的认证方式验证用户后，向钱包签发专用的强客户认证凭证。

在这一模式下，钱包生成一对密码学密钥。私钥安全保存在设备内，对应的公钥交由支付机构用于后续验证。认证凭证与设备密钥绑定，使用签名密钥还需要经过多因素认证。

完成注册后，当消费者发起需要认证的付款时，钱包可以出示相应凭证，让用户确认交易金额和收款人，并生成与该笔交易绑定的密码学证明。

付款人的支付服务提供商核验凭证及相关证明，据此判断认证是否有效。

例如，一笔向特定商户支付100欧元的交易，其认证信息需要与对应的金额和收款人关联，防止被用于另一笔不同的付款。

在这一试点模式中，钱包负责安全保存和出示认证凭证，支付机构负责凭证签发、核验及认证判断，并继续履行相关合规义务。

欧盟委员会公布的方案可以与银行卡支付、账户到账户转账等现有支付方式结合。数字身份钱包参与认证，资金处理仍由相应的支付服务提供商和支付系统完成。

对于银行和支付机构而言，新增的工作主要集中在认证凭证的签发、接收、验证，以及相关业务系统的衔接。

上述流程属于欧盟委员会公布的试点技术模式，具体用户操作和技术细节仍可能调整。SCARLET最终采用的实施规则，需要以后续正式文件为准。

新认证规则下，欧洲支付机构需要改变什么？

对于欧洲支付机构而言，首先需要解决的是系统接入问题。

欧洲数字身份钱包可能来自不同成员国和提供商。支付机构需要识别凭证来源、核验其有效性，并将相关认证信息接入现有业务流程。

统一技术规则有望减少重复适配，但实际改造成本仍取决于机构原有系统、接入方式及最终技术标准。

其次是运营协作和责任分配。

一次认证可能涉及钱包提供商、付款人的支付服务提供商及其他参与者。

凭证被撤销后如何同步状态，认证失败后由谁排查，发生争议时各方需要提供什么记录，都需要明确的处理流程。

支付机构仍须按照现行法规履行强客户认证及相关合规义务。SCARLET未来制定的行业规则，则需要在适用法律框架内，细化参与机构之间的合同权利及运营责任。

具体如何划分，还需要等待正式规则发布。

最后是实施时间。

EPC计划先推出以PSD2及现有认证技术监管标准为基础的SCARLET 1.0，再开发适配未来PSR的1.1版本。

这一安排旨在帮助支付机构应对监管制度变化，并尽可能保留此前的技术投入。

欧盟委员会目前将2027年底列为有关钱包接受义务的重要落实节点，而SCARLET首版规则也计划在同年12月公布。

按照EPC安排，规则发布后还需要设置实施期，供参与机构完成开发、测试、接入及相关认证工作。

对于需要履行钱包接受义务的支付机构来说，部分准备工作可能需要在SCARLET最终规则公布之前推进。机构既要依据现行法规和已有技术规范开展系统改造，也需要跟进SCARLET的公开咨询和后续规则制定，及时调整接入方案。

这里是支付之家。我们关注支付表象之下的规则差异与逻辑变化，提供支付科技领域增量信息。观点内容仅供参考。