EBA欧洲银行-Guidelines-on-incident-reporting-under-PSD2-28EBA-GL-2017-1029_HR_31页_660kb

EBA/GL/2017/10 - Smjernice o izvjesćivanju o značajnim incidentima u skladu s PSD2

1. Obveze usklaživanja i izvješćivanja

• Ove smjernice su izdane na temelju Članka 16. stavka 3. Uredbe (EU) br. 1093/2010 i predstavljaju EBA-ino stajalište o nadzornim praksama u skladu s tim dokumentom.
• Nadležna tijela i financijske institucije moraju usklažiti se s ovim smjernicama i uključiti ih u svoje prakse, uključujući i u slučajevima kada su primjenjene na druge institucije.
• Nadležna tijela su obvezana obavijestiti EBA o usklađenosti s ovim smjernicama do 19.02.2018. Ako se ne obavijesti, EBA će smatrati da su nadležna tijela neusklađena.
• Obavijesti se dostavljaju ispunjenim obrazcem na adresu Compliance@eba.europa.eu s uputom „EBA/GL/2017/10".

2. Predmet, područje primjene i definicije

Predmet

• Smjernice se odnose na klasifikaciju i izvješćivanje o značajnim operativnim ili sigurnosnim incidentima u skladu s Člankom 96. PSD2.
• Odnose se i na format i procedure za izvješćivanje nadležnom tijelu u matičnoj državi članici.

Područje primjene

• Primjenjuju se na sve incidente koji ispunjavaju definiciju „značajnog operativnog ili sigurnosnog incidenta", uključujući i vanjske i unutarnje događaje, zlonamjerne i nenamjerne prirode.
• Primjenjuju se i na incidente koji potječu izvan Unije, ali utječu na platne usluge u Uniji.

Definicije

• Operativni ili sigurnosni incident: Događaj ili niz povezanih događaja koji nisu planirani i imaju negativan učinak na cjelovitost, dostupnost, povjerljivost, autentičnost i kontinuitet usluga povezanih s plaćanjem.
• Cjelovitost: Čuvanje točnosti i potpunosti imovine (uključujući podatke).
• Dostupnost: Mogućnost korištenja usluga povezanih s plaćanjem korisnicima.
• Povjerljivost: Informacije nisu dostupne neovlaštenim osobama.
• Autentičnost: Informacije su tačne i ispravne.
• Kontinuitet: Potpuna dostupnost procesa, zadataka i imovine potrebnih za pružanje usluga povezanih s plaćanjem.
• Usluge povezane s plaćanjem: Bilo koja poslovna aktivnost i tehnička podrška potrebna za ispravno pružanje platnih usluga.

3. Provedba

• Smjernice se primjenjuju od 13. siječnja 2018.

4. Smjernice za pružatelje platnih usluga: izvješćivanje nadležnog tijela u matičnoj državi članici

Smjernica 1: Klasifikacija značajnog incidenta

• Pružatelji platnih usluga moraju klasificirati incident kao značajan ako ispunjava:
  • Višu razinu utjecaja: Jedan ili više kriterija iz Tablice 1.
  • Nižu razinu utjecaja: Tri ili više kriterija iz Tablice 1.
• Tablica 1: Pragovi za klasifikaciju incidenta

  Kriterij	Niža razina utjecaja	Viša razina utjecaja
  Zahvaćene transakcije	>10% redovnog volumena ili >100 000 EUR	>25% redovnog volumena ili >5 milijuna EUR
  Zahvaćeni korisnici platnih usluga	>5 000 ili >10% korisnika	>50 000 ili >25% korisnika
  Razdoblje prekida rada usluge	>2 sata	Nije primjenjivo
  Ekonomski učinak	Nije primjenjivo	>0,1% osnovnog kapitala ili >5 milijuna EUR
  Visoka razina unutarnje eskalacije	Da	Da i vjerojatno aktivacija kriznog stanja
  Potencijalno zahvaćeni drugi PPU ili infrastruktura	Da	Nije primjenjivo
  Učinak na reputaciju	Da	Nije primjenjivo

Smjernica 2: Postupak obavješćivanja

• Pružatelji platnih usluga moraju prikupiti relevantne informacije i ispuniti obrazac iz Priloga 1.
• Početno izvješće:
  • Podnosi se četiri sata od otkrivanja incidenta ili kada kanali za izvješćivanje postanu opet dostupni.
  • Moraju navesti datum sljedećeg ažuriranja, koji ne smije biti kasnije od tri radna dana.
• Prijelazno izvješće:
  • Podnosi se svaki put kada se pojave relevantne nove informacije.
  • Treba se navesti datum sljedećeg ažuriranja, a ako se odgađa, treba se objasniti razlozi i predložiti novi datum.
  • Ako se redovito poslovanje ponovno uspostavi unutar četiri sata, podnijeti se i početno i posljednje prijelazno izvješće.
• Konačno izvješće:
  • Podnosi se nakon analize uzroka i utvrđenja stvarnih podataka.
  • Moraju se poslati najkasnije dva tjedna nakon ponovnog uspostavljanja redovitog poslovanja.
  • Ako incident nije više značajan, treba se navesti kao „reklasificiran u incident koji nije značajan" i objasniti razloge.

Smjernica 3: Delegirano i konsolidirano izvješćivanje

• Delegiranje obveza izvješćivanja treba biti izvršeno na temelju jasno definiranih ugovora ili sporazuma.
• Treba osigurati da zahvaćeni pružatelj platnih usluga ostaje odgovoran za ispunjavanje zahtjeva iz PSD2.
• Konsolidirano izvješćivanje može biti izvršeno samo za pružatelje platnih usluga s poslovnim nastanom u istoj državi članici.
• Treća strana mora procijeniti značajnost incidenta za svakog zahvaćenog pružatelja platnih usluga.
• Ako je potrebno, treća strana mora ispuniti polja obrasca zasebno za svakog pružatelja ili upotrijebiti raspone vrijednosti.
• Pružatelji platnih usluga ne smiju delegirati obveze izvješćivanja bez obavijesti nadležnog tijela.
• Ako se odluči otkazati delegiranje, obavijestiti nadležno tijelo i navesti značajne promjene koje utječu na sposobnost treće strane da ispunjava obveze.

Smjernica 4: Operativna i sigurnosna politika

• Pružatelji platnih usluga moraju osigurati da se u svojoj općoj politici jasno određuju obveze izvješćivanja i postupci za njihovo ispunjavanje.

5. Smjernice za nadležna tijela: kriteriji za procjenu relevantnosti i podjela informacija

Smjernica 5: Procjena relevantnosti incidenta

• Nadležna tijela moraju procijeniti relevantnost incidenta za druge domaća tijela na temelju:
  • Uzroka incidenta koji pripadaju njihovoj nadležnosti.
  • Posljedica incidenta koja imaju utjecaj na njihove ciljeve (npr. zaštitu financijske stabilnosti).
  • Učinak incidenta na aktivnosti tih tijela.
• Nadležna tijela moraju podijeliti informacije iz izvještaja s drugima domaćim tijelima u skladu s njihovim stručnim mišljenjem.

Zaključak

Ove smjernice predstavljaju detaljan okvir za klasifikaciju i izvješćivanje o značajnim operativnim ili sigurnosnim incidentima u skladu s PSD2. Pružatelji platnih usluga su obvezani da izvještavaju nadležna tijela u matičnoj državi članici u određenim vremenskim rokovima i u određenom formatu. Nadležna tijela su također obvezana da procijene relevantnost incidenta i podijele informacije s drugima domaćim tijelima. Delegirano izvješćivanje je moguće, ali podložno strokom kontrolama i odgovornosti.