EBA欧洲银行-Guidelines-on-incident-reporting-under-PSD2-28EBA-GL-2017-1029_SV_34页_582kb

报告摘要

Status: Riktlinjer utgiven enligt artikel 16 i förordning (EU) nr 1093/2010. De ska följas av behöriga myndigheter och finansinstitut, även om de inte riktas direkt till dem.
Syfte: Att specificera kriterier för klassificering av allvarliga operativa eller säkerhetsincidenter och att definiera format och förfaranden för rapportering till den behöriga myndigheten i hemmemedlemsstaten. Riktlinjerna syftar till att främja en gemensam och enhetlig strategi inom EU:s finanssystem.

Riktlinjerna gäller för:
- Betaltjänstleverantörer: Enligt artikel 4.11 i (EU) 2015/2366.
- Behöriga myndigheter: Enligt artikel 4.2 i (EU) 1093/2010.
De är tillämpbara på:
- Allvarliga operativa eller säkerhetsincidenter.
- Incidenter som har ursprungr i EU eller utanför EU, men påverkar betaltjänster inom EU.
- Incidenter som påverkar andra betaltjänstleverantörer eller finansiella infrastrukturer.

Operativ eller säkerhetsincident: En enskild händelse eller serie sammanhängande händelser som inte har planerats och kan ha negativ effekt på betalningsrelaterade tjänster i förhållande till integritet, tillgänglighet, konfidentialitet, autenticitet och kontinuitet.
Integritet: Korrekthet och fullständighet av tillgångar (inklusive data).
Tillgänglighet: Betaltjänster ska vara tillgängliga och användbara för användare.
Konfidentialitet: Information ska inte lämnas ut till obehöriga.
Autenticitet: Källan ska vara authentisk.
Kontinuitet: System, processer och tillgångar ska fungera på ett acceptabelt sätt.
Betalningsrelaterade tjänster: Alla affärsverksamheter och tekniskt stöd i samband med betaltjänster.

Betaltjänstleverantörer ska klassificera incidenter som allvarliga om de uppfyller:
- En eller flera av kriterierna för "högre effektnivå".
- Tre eller flera av kriterierna för "lägre effektnivå".
Tröskelvärden (tabell 1):
- Berörda transaktioner:
  - Lägre: >10 % av normala transaktioner eller >100 000 euro.
  - Högre: >25 % av normala transaktioner eller >5 miljoner euro.
- Berörda användare:
  - Lägre: >5 000 eller >10 % av totala användare.
  - Högre: >50 000 eller >25 % av totala användare.
- Driftavbrott: >2 timmar.
- Ekonomiska effekter: >0,1 % av primärkapitalet eller >5 miljoner euro.
- Hög intern upptrappningsnivå: Ja.
- Påverkan på andra leverantörer/infrastruktur: Ja.
- Effekter på anseendet: Ja.

Rapporteringsfrist: De behöriga myndigheterna ska rapportera till EBA om de följer eller avsikter att följa riktlinjerna, senast 19/02/2018.
Format: Används mallen i bilaga 1, som ska fyllas i enligt instruktioner.
Tillgänglighet: Rapportering ska ske via e-post till compliance@eba.europa.eu med hänvisning "EBA/GL/2017/10".

Inledande rapport: Skall skickas inom fyra timmar efter upptäckt av incidenten.
Mellanliggande rapporter: Skall ges in vid relevanta statusförändringar och minst varje tredje arbetsdag.
Slutrapport: Skall skickas inom två veckor efter återställning av drift, med detaljerad beskrivning av orsaker och åtgärder.

Delegering: Tillåts om villkoren i artikel 19.6 i andra betaltjänstdirektivet uppfylls, samt CEBS-riktlinjerna.
Konsoliderad rapportering: Tillåts endast om incidenten beror på störningar i tjänster från tredje part, och ska inkludera berörda leverantörer i samma medlemsstat.
Förutsättningar för delegering:
- Delegeringen ska formellt fastställas.
- Tredje part ska bedöma incidentens allvarlighet för varje leverantör.
- Information ska ges till myndigheten före och under tidsfrister.
- Sekretess ska skyddas, särskilt när information rör andra leverantörer.

Betaltjänstleverantörer ska:
- Försäkra sig om att informationen är korrekt och autentisk.
- Använda samma mall för alla rapporter.
- Fylla i mallen stegvis efter tillgång till nya uppgifter.
- Skicka en slutrapport om incidenten inte längre uppfyller allvarligskriterier, i sådana fall markera "incident omklassificerad som mindre".

展开完整摘要