Undantag för låga belopp
PSD2-regeln som låter småköp på nätet slippa stark kundautentisering, tills de små beloppen blivit ett stort.
Undantaget står i artikel 16 i EU:s tekniska standard för stark kundautentisering. Ett distansköp på högst 30 euro får gå igenom utan tvåfaktorsteg, men bara så länge de undantagna köpen sedan senaste autentiseringen inte överstiger 100 euro sammanlagt eller fem i rad. Därefter måste kunden autentisera sig igen. Utgivaren väljer vilken av räknarna den håller. Kontaktlösa köp i butik har en egen, högre gräns på 50 euro.
Undantaget är en rätt, inte en skyldighet. Handlaren kan begära det via 3-D Secure, men utgivaren kan alltid kräva autentisering ändå, och det är bara utgivaren som vet hur räknaren står. Det gör undantaget svårt att planera kring. Ett kaffe för 4 euro kan plötsligt kräva bankappen, eftersom kunden redan köpt fyra andra saker på nätet sedan senast. Större handlare använder därför oftare transaktionsriskanalys, som har högre gränser.