EMVCo

EMVCo stond voor Eurocard Mastercard Visa Consortium. Inmiddels bestaat Eurocard niet meer en hebben zich veel andere kaartmerken bij EMVCo aangesloten, zoals American Express, Discover, JCB en UnionPay.

Wat doet EMVCo?

EMVCo ontwikkelt, beheert en onderhoudt technische standaarden voor zowel fysieke als online kaartbetalingen. Dit gebeurt in nauwe samenwerking met kaart- en terminalfabrikanten en met internationale kaartmerken.

Belangrijke activiteiten zijn:

• Het opstellen en actualiseren van wereldwijde EMV-specificaties voor betaalkaarten en betaalautomaten.
• Het onderhouden van certificeringsprogramma’s voor leveranciers van kaarten, terminals en e-commerceoplossingen.
• Accrediteren van gespecialiseerde testorganisaties die producten toetsen aan de EMV-standaarden.
• Marktconsultaties uitvoeren voorafgaand aan nieuwe versies van standaarden.
• Organiseren van een Board of Advisors, waarin marktpartijen feedback geven op ontwikkelingen en stemadvies uitbrengen. De Betaalvereniging zit als Business Associate in deze Board.
• Een jaarlijkse community meeting waarin stakeholders elkaar ontmoeten en informatie uitwisselen.

EMVCo zelf dwingt geen implementatie van standaarden af; dat is de verantwoordelijkheid van de aangesloten kaartmerken.

Belangrijkste EMV-standaarden

Contactrijke kaartbetalingen
De oorspronkelijke EMV-specificaties zijn ontwikkeld voor betaalchips in betaalkaarten om het sterk toegenomen ‘skimmen’ van magneetstrips op betaalkaarten te bestrijden. Ze beschrijven precies hoe een betaalchip en een betaalautomaat met elkaar communiceren en hoe de terminal de authenticiteit van de betaalchip controleert.

Contactloze chipkaartbetalingen
EMVCo onderhoudt ook de EMVc-specificaties voor contactloze gegevensuitwisseling tussen een betaalkaart met betaalchip en een betaalterminal, gebaseerd op ISO 14443. Hiermee kunnen kaart en terminal draadloos communiceren op maximaal een paar centimeter afstand. Ieder kaartmerk kent hier bovenop nog zijn eigen contactloze kernelspecificaties. EMVCo heeft in 2023 generieke contactloze kernelspecificaties (C-8) gepubliceerd, maar de adoptie daarvan is nog beperkt.

EMV 3-D Secure (EMV3DS)
Dit authenticatieprotocol wordt gebruikt voor e-commerce kaartbetalingen. Het ondersteunt zowel frictionless flows (waarbij de kaarthouder niets hoeft te doen) als step-ups waarbij authenticatie verplicht is via 2FA (tweefactor-authenticatie). Dit protocol voldoet volledig aan de regels voor Strong Customer Authentication (SCA) uit de Europese PSD2-richtlijn voor betaaldiensten. Een recente ontwikkeling is de ondersteuning van de EU Digital Identity Wallet (EUDIW) bij online kaartbetalingen.

Secure Remote Commerce (SRC)
SRC maakt een uniforme, veilige en eenvoudige online checkout mogelijk, bijvoorbeeld voor makkelijk, snel en veilig bestellen en afrekenen in webwinkels. Het voorkomt dat consumenten handmatig adres- en kaartgegevens moeten invoeren.

Consumenten gebruiken hiervoor een digitaal profiel waarin kaarten en adresgegevens veilig zijn opgeslagen. Betalingen worden beveiligd door dynamische cryptografie. Click-to-Pay is een online ecosysteem van kaartmerken dat op SRC is gebaseerd.

Tokenisation Framework
Tokens vervangen kaartnummers (PAN’s) door unieke surrogaatnummers die alleen in een specifieke context geldig zijn, bijvoorbeeld alleen op één apparaat of alleen bij één webwinkel. Het onderscheppen van een token heeft hierdoor weinig zin.

EMVCo beschrijft in dit raamwerk de rollen en processen van onder meer Token Requestors (zoals Apple Pay en Click-to-Pay) en Token Service Providers (zoals MDES en VTS). Kaartuitgevers (banken) vervullen ook een rol, voor het goedkeuren van iedere token-aanvraag voor een bepaalde betaalkaart.

Innovatie en nieuwe use cases

EMVCo ontwikkelt de EMV-standaarden voortdurend verder en kijkt daarbij ook naar nieuwe toepassingen en technologische ontwikkelingen die van invloed kunnen zijn op kaartbetalingen.

Betalen bij het laden van elektrische auto’s

Een voorbeeld van een nieuwe toepassing is Electronic Vehicle Charging (EV-laden). Door Secure Remote Commerce te combineren met de ISO 15118 Plug and Charge-standaard kunnen consumenten hun auto overal (open loop) opladen zonder zich vooraf te registreren bij EV-exploitanten. De auto identificeert automatisch de gekoppelde betaalkaart en de betaling verloopt via e-commerce rails, zonder dat laadpalen extra hardware voor fysieke kaartbetalingen hoeven te bevatten.

Quantum computing

EMVCo volgt ook de ontwikkelingen rond quantum computing nauwgezet. Op langere termijn, naar verwachting na 2040, kunnen quantumcomputers een bedreiging vormen voor asymmetrische cryptografie (public key-algoritmen). Hierdoor zouden bijvoorbeeld vervalste EMV-kaarten kunnen worden gebruikt in offline situaties, zoals in het openbaar vervoer.

Het overgrote deel van de EMV-transacties vindt echter online plaats en maakt gebruik van symmetrische cryptografie. Algoritmen zoals AES-128 zijn veel minder kwetsbaar voor aanvallen met quantumcomputers. EMVCo werkt ondertussen aan maatregelen om de risico’s van quantum computing voor asymmetrische algoritmen te beperken.

Betekenis van EMVCo voor kaarthouders en acceptanten

Kaarthouders en acceptanten hoeven niets te weten van EMV-specificaties maar ondervinden wel dagelijks de voordelen:

• contactloos betalen werkt overal hetzelfde dankzij EMV-standaarden;
• makkelijke en veilige online betalingen via Click-to-Pay en EMV3DS;
• tokenized betalingen in apps en wallets zoals Apple Pay en Google Pay.

De complexiteit blijft onder de motorkap, de standaarden zorgen voor veiligheid, interoperabiliteit en wereldwijde acceptatie.

Herkenbare symbolen

Perspectief

EMVCo blijft het vehikel voor wereldwijde standaarden in kaartbetalingen. Zolang kaartbetalingen belangrijk blijven in het retail-betalingsverkeer, blijft EMVCo een essentiële rol spelen. De Betaalvereniging neemt actief deel aan EMVCo en volgt de standaarden die relevant zijn voor de Nederlandse markt.