Wat de standaard vastlegt

EMV is een open standaard met specificaties voor creditcards, debitcards en betaalterminals die werken met geïntegreerde circuits, oftewel chips. De specificaties beschrijven de technische eisen die ervoor zorgen dat chipkaarten en terminals wereldwijd op elkaar aansluiten.

In een EMV-chipkaart zit een microprocessor. Die slaat veel meer gegevens veilig op dan een magneetstrip en voert tijdens de transactie cryptografische bewerkingen uit. De kaart rekent mee.

EMVCo, de organisatie achter de standaard

De standaard wordt beheerd door EMVCo, een wereldwijd technisch orgaan dat de EMV-specificaties en de bijbehorende programma's opstelt en onderhoudt. EMVCo is eigendom van zes payment schemes:

• American Express
• China UnionPay
• Discover
• JCB
• Mastercard
• Visa

Daarnaast nemen honderden andere organisaties uit de betaalsector deel als technische en zakelijke partner. EMVCo publiceert de specificaties royaltyvrij, zodat iedereen er interoperabele betaalproducten mee kan bouwen.

Hoe een EMV-transactie verloopt

Een EMV-transactie kent drie beveiligingslagen, elk met een eigen vraag.

Kaartauthenticatie

Is de kaart geen vervalsing? De chip genereert bij elke transactie een eigen cryptogram: een versleutelde code die bij die ene transactie hoort, niet opnieuw kan worden gebruikt en bewijst dat de kaart authentiek is. De cryptografische functies in de chip maken die code aan. Daarmee is een vervalste kaart vrijwel kansloos.

De controle kan online plaatsvinden, waarbij de issuer de transactie authenticeert, of offline, waarbij kaart en terminal het onderling afhandelen zonder verbinding.

Verificatie van de kaarthouder

Is dit de juiste persoon? EMV kent vier Cardholder Verification Methods (CVM):

• Online PIN · de PIN wordt versleuteld en online gecontroleerd door de kaartuitgever.
• Offline PIN · de PIN wordt gecontroleerd door de chip in de kaart zelf.
• Handtekening · de handtekening op de bon wordt vergeleken met die op de achterkant van de kaart.
• Geen CVM · geen controle, meestal bij lage bedragen of onbemande terminals.

Autorisatie

Mag de transactie door? Terminal en chip voeren elk een risicobeoordeling uit. De chip maakt een Authorization Request Cryptogram (ARQC) aan, dat via de acquirer en het payment scheme bij de issuer terechtkomt. De issuer valideert het en stuurt een Authorization Response Cryptogram (ARPC) terug.

Contact en contactloos

EMV met contact

Een contactkaart, ook bekend als Chip & PIN of Chip & Signature, gaat fysiek in de terminal. De chip maakt via de gouden contactpunten op het kaartoppervlak verbinding. De kaart volgt de norm ISO/IEC 7810:2019.

Eind 2024 waren er wereldwijd meer dan 14,7 miljard EMV-chipkaarten in omloop, en 96% van alle transacties waarbij de kaart fysiek aanwezig is, verloopt via EMV-chiptechnologie.

EMV contactloos

Contactloze kaarten gebruiken Near Field Communication (NFC) en voldoen aan ISO/IEC 14443. Deze kaarten:

• hoeven niet in de terminal te worden gestoken;
• werken door de kaart tegen of vlak boven de terminal te houden;
• verwerken een transactie sneller dan een contacttransactie;
• gebruiken dezelfde beveiligingstechnologie als EMV met contact;
• hanteren meestal een bedragslimiet waarboven alsnog een PIN nodig is.

Bekende contactloze uitvoeringen zijn Mastercard Contactless, Visa PayWave en American Express ExpressPay. In 2025 steeg het gebruik van contactloze EMV-kaarten in het openbaar vervoer wereldwijd met 37%.

Chip & PIN of Chip & Signature

Beide berusten op dezelfde chiptechnologie. Het verschil zit in de gekozen verificatiemethode.

Wat EMV heeft opgeleverd

• Vervalsing · dynamische cryptogrammen maken het kopiëren van een kaart vrijwel onmogelijk.
• Gestolen kaarten · PIN-verificatie blokkeert het gebruik door een ander.
• Interoperabiliteit · een EMV-kaart werkt op elke EMV-terminal ter wereld.
• Kosten · de sector bespaart jaarlijks meer dan € 10 miljard aan fraudeverliezen.
• Houdbaarheid · de standaard groeit mee met nieuwe technologie.

Europese fraudecijfers

• Fraude met een fysiek aanwezige kaart daalde wereldwijd met 87% sinds de invoering van EMV.
• In het SEPA-gebied bereikte kaartfraude in 2021 het laagste niveau ooit: € 1,53 miljard op € 5,40 biljoen aan transacties, oftewel 0,028%, tegen € 1,87 miljard in 2019.
• In Europa ondersteunt 97 tot 99% van de betaalterminals EMV (2025).
• Vervalsing speelt nauwelijks nog een rol: in 2023 was dit goed voor 8% van de fraude met een fysiek aanwezige kaart.

Volgens de Europese Centrale Bank ligt kaartfraude binnen de Europese Economische Ruimte tien keer lager dan bij transacties met landen daarbuiten, waar EMV en Strong Customer Authentication (SCA) niet verplicht zijn.

Fraudemigratie

EMV heeft de fraude niet weggenomen, maar verplaatst. Criminelen zijn overgestapt op vormen waar de chip geen rol speelt:

• Card not present · fraude bij online betalingen en telefonische bestellingen nam toe.
• Grensoverschrijdend · gestolen kaartgegevens worden gebruikt in landen zonder EMV.
• Geldautomaten · deze blijven een doelwit, vooral in regio's met minder EMV-adoptie.

Dat maakt een gelaagde aanpak noodzakelijk. 3D Secure en tokenization zijn onmisbaar om fraude bij card not present te bestrijden.

De invoering van EMV in Nederland

Tijdlijn

• 2002 · Nederlandse banken starten de uitrol van EMV-chipkaarten.
• 2002-2005 · grootschalige vervanging van magneetstripkaarten door chipkaarten.
• 2004-2006 · alle betaalterminals in winkels worden geschikt gemaakt voor chiplezing.
• 2006 · de migratie is in de detailhandel grotendeels voltooid.
• 2010 · introductie van contactloos betalen in Nederland.
• 2015-2020 · snelle groei van contactloos betalen.
• 2020-2026 · vrijwel alle kaarten en terminals ondersteunen contactloos EMV.

Nederlandse bijzonderheden

• Nederland zette van oudsher sterk in op offline PIN-verificatie.
• Het Nederlandse pinsysteem was al vóór EMV ver ontwikkeld.
• De overgang verliep relatief snel dankzij samenwerking tussen de banken.
• Contactloos betalen is populair, met een limietverhoging in 2020 tijdens de coronaperiode.

EMV wereldwijd

Adoptie per regio

• Europa · 99% van de betaalterminals ondersteunt EMV.
• Canada · meer dan 99%.
• Azië-Pacific · 1,9 miljard contactloze EMV-kaarten uitgegeven.
• China · meer dan 4,1 miljard EMV-chipkaarten in omloop.
• Verenigde Staten · 72% van de kleine bedrijven heeft een EMV-terminal.
• Brazilië · 95,6% van de terminals in de detailhandel is EMV-geschikt.
• Afrika · 65%, en groeiend.

Ontwikkelingen

• Biometrische kaarten · meer dan 24 miljoen gebruikers wereldwijd in 2025, met een vingerafdruksensor in de kaart.
• Wearables · 48% groei in gebruik, met een transactiewaarde van $ 78 miljard.
• Terminals op 5G · verwerking binnen één seconde.
• Quantumbestendige cryptografie · EMVCo werkt aan specificaties tegen toekomstige quantumdreigingen.
• Duurzame kaarten · 72% gerecycled materiaal in nieuwe EMV-kaarten.

Meer dan chipkaarten

EMVCo beheert inmiddels een reeks specificaties voor moderne betaaltechnologie:

• EMV Contact Chip · de oorspronkelijke specificatie voor de chip in de terminal.
• EMV Contactless Chip · voor contactloze kaarten en apparaten.
• EMV 3-D Secure · authenticatie voor card not present-transacties.
• EMV Payment Tokenisation · kaartgegevens vervangen door tokens bij mobiele en e-commercebetalingen.
• EMV Secure Remote Commerce · een vereenvoudigde en beveiligde afrekenstap online.
• EMV QR Code · specificaties voor betalingen met een QR-code.
• EMV Mobile · ondersteuning voor mobiele betalingen.

In 2025 ondersteunt 85% van alle digitale wallets wereldwijd EMV-tokenization, met meer dan 2,8 miljard gebruikers.

Certificering en testen

Voor acquirers, kaartuitgevers en terminalfabrikanten gelden strikte certificeringseisen:

• EMVCo Type Approval · voor betaalterminals en kaartacceptatieapparatuur.
• EMV Level 3 Testing · functioneel testen van de implementatie.
• Security Evaluation · beveiligingsevaluatie van de chip.
• Laboratory Recognition · erkenning van onafhankelijke testlaboratoria door EMVCo.
• End-to-End Certification · testen van de volledige betaalketen.

Die procedures zorgen ervoor dat EMV-producten wereldwijd op elkaar aansluiten en aan dezelfde beveiligingseisen voldoen. Ze zorgen er ook voor dat een terminalproject langer duurt dan gepland.