Strong customer authentication jest nowością wprowadzoną przez PSD II. Jest to obowiązek stosowania przez dostawców usług płatniczych mechanizmów tzw. silnego uwierzytelniania użytkownika. Silne uwierzytelnienie ma zapewniać wyższy poziom wiarygodności i odporności na fraudy (oszustwa).
Bardzo ważnym aspektem w doborze każdego z czynników uwierzytelnienia jest brak wzajemnego uzależnienia pomiędzy nimi, co oznacza, że naruszenie jednego z nich nie może powodować utraty lub osłabienia ochrony gwarantowanej przez inny czynnik.
W ramach silnego uwierzytelniania powinna być zweryfikowana tożsamość użytkownika usług płatniczych podczas wykonywania poszczególnych operacji. Silne uwierzytelnianie oznacza, że zastosowano dwuczynnikowy proces weryfikacji tożsamości użytkownika, wykorzystując co najmniej dwie z trzech poniższych kategorii:
- hasło do logowania, PIN w aplikacji mobilnej/karcie debetowej/hasło do bankowości telefonicznej (wiedza - coś, co wie wyłącznie użytkownik),
- sparowana aplikacja mobilna banku, numer telefonu (kody SMS), kody z wiadomości email (posiadanie - coś, co posiada wyłącznie użytkownik),
- odcisk palca/skan twarzy w aplikacji mobilnej (cecha klienta - coś, czym tylko użytkownik jest).