EBA欧洲银行-Guidelines-on-incident-reporting-under-PSD2-28EBA-GL-2017-1029_IT_34页_580kb

报告摘要

Status giuridico: Gli orientamenti sono emanati in applicazione dell'articolo 16 del regolamento (UE) n. 1093/2010 e rappresentano la posizione dell'ABE in materia di vigilanza e applicazione del diritto dell'Unione.
Obblighi di comunicazione: Le autorità competenti devono comunicare all'ABE entro il 19/02/2018 se sono conformi agli orientamenti o se intendono conformarsi. In caso di mancata conformità, l'ABE considera automaticamente le autorità non conformi. Le notifiche devono essere inviate tramite modulo disponibile sul sito web dell'ABE a compliance@eba.europa.eu con il riferimento "EBA/GL/2017/10" da parte di una persona autorizzata. Qualsiasi variazione dello stato di conformità deve essere comunicata.

Oggetti: Gli orientamenti riguardano la classificazione e la segnalazione dei gravi incidenti operativi o di sicurezza da parte dei prestatori di servizi di pagamento (PSP).
Ambito di applicazione: Si applicano a tutti gli incidenti che rientrano nella definizione di "grave incidente operativo o di sicurezza", inclusi quelli esterni, interni, dolosi o accidentali, anche se l'incidente ha origine fuori dall'Unione e riguarda servizi di pagamento forniti da un PSP con sede in UE.
Definizioni chiave:
- Incidente operativo o di sicurezza: Evento non pianificato che ha un impatto negativo su integrità, disponibilità, riservatezza, autenticità e continuità dei servizi di pagamento.
- Integrità: Esattezza e completezza delle risorse e dei dati.
- Disponibilità: Accessibilità e utilizzabilità dei servizi di pagamento.
- Riservatezza: Protezione delle informazioni da accessi non autorizzati.
- Autenticità: Veridicità delle fonti.
- Continuità: Funzionalità e operatività dei servizi a livelli accettabili.
- Servizi connessi ai pagamenti: Attività definite nell'articolo 4, paragrafo 3, della PSD2 e le attività di supporto tecnico necessarie.

Data di applicazione: Gli orientamenti si applicano a partire dal 13 gennaio 2018.

I PSP devono classificare un incidente come grave se soddisfa:
- Livello di impatto maggiore: uno o più criteri raggiunti.
- Livello di impatto minore: tre o più criteri raggiunti.
Criteri di valutazione:
- Transazioni interessate: superiore a 10% o 25% del livello normale, o superiore a 100.000 EUR o 5 milioni di EUR.
- Utenti interessati: superiore a 5.000 o 50.000 utenti.
- Periodo di indisponibilità: superiore a 2 ore.
- Impatto economico: superiore a 0,1% del capitale Tier 1 o 200.000 EUR o 5 milioni di EUR.
- Escalation interna: coinvolgimento del CIO o della modalità di crisi aziendale.
- Impatto sistematico: coinvolgimento di altri PSP o infrastrutture finanziarie.
- Impatto sulla reputazione: visibilità dell'incidente sui media o violazione di obblighi regolamentari.

Rapporto iniziale: Deve essere inviato entro 4 ore dalla rilevazione dell'incidente, o non appena i canali di segnalazione diventano nuovamente operativi.
Rapporto intermedio: Deve essere inviato ogniqualvolta ci sia un aggiornamento rilevante, almeno entro la data indicata nel rapporto precedente.
Rapporto finale: Deve essere inviato una volta completata l'analisi delle cause e disponibili dati effettivi. Entro due settimane dalla ripresa delle normali operazioni. In caso di ritardi, deve essere comunicato e fornita una nuova data.
Contenuti dei rapporti:
- Rapporto iniziale: Informazioni basilari (sezione A del modulo), data del prossimo aggiornamento (entro 3 giorni lavorativi).
- Rapporto intermedio: Aggiornamenti su dati e cause (sezione B del modulo), data del prossimo aggiornamento.
- Rapporto finale: Dati effettivi sull'impatto e cause (sezione C del modulo), inclusa la sintesi delle misure adottate per prevenire futuri incidenti.

Delega: Se un PSP intende delegare la segnalazione a una terza parte, deve informare l'autorità competente e garantire che:
- I contratti o le disposizioni interne definiscano chiaramente le responsabilità.
- La delega sia conforme ai requisiti per l'esternalizzazione di funzioni operative importanti (articolo 19, paragrafo 6, della PSD2 e orientamenti del CEBS).
- Il PSP interessato rimanga responsabile per l'adempimento degli obblighi e della correttezza delle informazioni fornite.

Gli orientamenti forniscono un quadro chiaro per la classificazione e la segnalazione degli incidenti gravi, con un focus su criteri quantificabili e una procedura strutturata per la comunicazione con le autorità competenti.
I PSP devono mantenere la riservatezza e l'integrità delle informazioni scambiate con le autorità.
La segnalazione deve essere continua e tempestiva, con aggiornamenti intermedi e un rapporto finale completo.
La cooperazione tra PSP e autorità è fondamentale per garantire un approccio comune e coerente nella gestione degli incidenti.

展开完整摘要