EBA欧洲银行-Guidelines-on-the-security-measures-under-PSD2-28EBA-GL-2017-1729_DE_17页_258kb

报告摘要

Status der Leitlinien: Die Leitlinien wurden gemäß Artikel 16 der Verordnung (EU) Nr. 1093/2010 herausgegeben und müssen von den zuständigen Behörden und Finanzinstituten eingehalten werden.
Meldepflichten: Die zuständigen Behörden müssen bis zum 12.03.2018 mitteilen, ob sie den Leitlinien folgen oder nicht. Bei Nichtmeldung wird davon ausgegangen, dass die Vorschriften nicht eingehalten werden. Meldungen sind an compliance@eba.europa.eu mit dem Betreff „EBA/GL/2015/XX“ zu senden. Änderungen des Einhaltungsstatus müssen ebenfalls gemeldet werden.
Veröffentlichung: Die Meldungen werden auf der EBA-Website veröffentlicht.

Gegenstand: Die Leitlinien dienen der Umsetzung der Sicherheitsmaßnahmen gemäß der Richtlinie (EU) 2015/2366 (PSD2) zur Beherrschung von operationellen und Sicherheitsrelevanten Risiken.
Anwendungsbereich: Sie gelten für Zahlungsdienstleister gemäß der Definition in Artikel 4 Absatz 11 der PSD2 sowie für Finanzinstitute und zuständige Behörden.
Begriffsbestimmungen:
- Leitungsorgan: Für Kreditinstitute hat die gleiche Bedeutung wie in der Richtlinie 2013/36/EU. Für Zahlungsinstitute oder E-Geld-Institute umfasst es Geschäftsleiter und Verantwortliche.
- Betriebs- oder Sicherheitsvorfall: Ein unerwartetes Ereignis, das die Integrität, Verfügbarkeit, Vertraulichkeit, Authenticität oder Kontinuität von Zahlungsdiensten negativ beeinflusst oder beeinflussen könnte.
- Sicherheitsrelevantes Risiko: Risiken, die durch interne Prozesse oder externe Ereignisse entstehen und die die IKT-Systeme und Zahlungsdaten beeinträchtigen können, z. B. Cyberattacken oder unzureichende physische Sicherheit.
- Risikobereitschaft: Das Gesamtniveau und die Arten von Risiken, die ein Institut bereit ist einzugehen, im Einklang mit seinem Geschäftsmodell und seiner Risikokapazität.

Zahlungsdienstleister müssen die Bestimmungen der Leitlinien einhalten.
Die Detailgenauigkeit der Maßnahmen muss angemessen zum Umfang und der Risikobehaftung des Dienstes sein.

Risikomanagementrahmenwerk: Ein wirksames System für das Management von operationellen und Sicherheitsrelevanten Risiken, das vom Leitungsorgan genehmigt und jährlich überprüft wird.
Anforderungen:
- Ein umfassendes Sicherheitsstrategiedokument gemäß Artikel 5 Absatz 1 Buchstabe j der PSD2.
- Mit der Risikobereitschaft des Instituts im Einklang stehen.
- Definition und Zuordnung von Aufgaben, Prozessen und Berichtslinien.
- Verfahren zur Identifizierung, Messung, Überwachung und Steuerung der Risiken.
Überarbeitung: Das Rahmenwerk muss regelmäßig auf Grundlage von „Lessons learned“ überarbeitet werden.
Änderungen: Bei wesentlichen Änderungen der Infrastruktur oder schwerwiegenden Vorfällen muss die Wirksamkeit des Rahmenwerks überprüft werden.

Identifizierung: Aufgaben, Prozesse und IT-Betriebsmittel (Assets) müssen erfasst und regelmäßig aktualisiert werden.
Klassifizierung: Kritikalität der Aufgaben, Prozesse und Datenbestände muss bestimmt werden.
Risikobewertung: Risikoszenarien müssen regelmäßig überprüft werden, und Änderungen der Sicherheitsmaßnahmen müssen bei relevanten Risiken geprüft werden.
Maßnahmen: Die Risikobewertung muss mindestens jährlich durchgeführt werden, und bei Änderungen der Infrastruktur oder Prozesse vorab.

Vorbeugende Sicherheitsmaßnahmen: Sicherheitsmaßnahmen müssen den ermittelten Risiken angemessen entsprechen.
Defence-in-depth: Sicherheitsmaßnahmen müssen auf mehreren Ebenen implementiert werden, z. B. Vier-Augen-Prinzip, Zwei-Faktor-Authentifizierung, Netzwerksegmentierung und Firewalls.
Daten- und Systemintegrität: Sicherheit der sensiblen Zahlungsdaten muss sichergestellt werden, unabhängig davon, ob sie gespeichert, übertragen oder genutzt werden.
Physische Sicherheit: Angemessene physische Sicherheitsmaßnahmen müssen eingerichtet werden.
Zugriffskontrolle: Zugriff auf IKT-Systeme muss nur berechtigten Personen gestattet werden. Zugriffsrechte müssen beschränkt, überwacht und regelmäßig geprüft werden.
Zugriffsprotokolle: Protokolle müssen für einen angemessenen Zeitraum aufbewahrt werden, um ungewöhnliche Aktivitäten zu identifizieren.
Administrativer Fernzugriff: Nur mit starken Authentifizierungslösungen und für notwendige Personen erlaubt.

Kontinuierliche Überwachung: Prozesse zur kontinuierlichen Überwachung von Aufgaben, Prozessen und Datenbeständen müssen eingerichtet werden.
Erkennungssysteme: Maßnahmen zur Erkennung von Eindringen, Missbrauch und Verstößen gegen Sicherheitsvorschriften müssen implementiert werden.
Klassifizierung von Vorfällen: Kriterien und Grenzwerte zur Klassifizierung von Betriebs- oder Sicherheitsvorfällen sowie Frühwarnindikatoren müssen festgelegt werden.
Überwachung und Meldung: Prozesse zur Überwachung, Behandlung und Nachverfolgung von Vorfällen sowie zur Meldung von Kundenbeschwerden müssen eingerichtet werden.

Geschäftsfortführung: Zuverlässige Maßnahmen zur Sicherstellung der kontinuierlichen Erbringung von Zahlungsdiensten und zur Begrenzung von Verlusten bei Störungen.
Analyse: Die Maßnahmen müssen sorgfältig analysiert werden, um mögliche Auswirkungen von Störungen zu bewerten.
Pläne zur Geschäftsfortführung: Szenarien müssen berücksichtigt werden, und Notfall- und Wiederherstellungspläne müssen erstellt und dokumentiert werden.
Testen: Die Pläne müssen mindestens jährlich getestet werden und an neue Risiken und Szenarien angepasst werden.
Krisenkommunikation: Wirksame Kommunikationsmaßnahmen müssen eingerichtet werden, um Stakeholder angemessen zu informieren.

Testumgebung: Eine Testumgebung muss eingerichtet werden, um die Robustheit und Wirksamkeit der Sicherheitsmaßnahmen zu überprüfen.
Tests bei Änderungen: Bei Änderungen der Infrastruktur, Prozesse oder schwerwiegenden Vorfällen müssen Tests durchgeführt werden.
Testumfang: Die Testumgebung muss Sicherheitsmaßnahmen für Zahlungsterminals, Authentifizierungssysteme und Software zur Verfügung stellen.
Testmethoden: Tests müssen im Rahmen eines formalen Änderungsmanagementprozesses durchgeführt werden und von unabhängigen Testern mit Fachkenntnissen durchgeführt werden.
Penetrationstests: Sie müssen dem Risikograd entsprechen und mindestens jährlich durchgeführt werden.

Gefahrenlage: Prozesse zur Erkennung und Überwachung von Sicherheits- und operationellen Risiken müssen eingerichtet werden.
Kontinuierliches Lernen: Die Ergebnisse von Tests und Vorfällen müssen genutzt werden, um das Risikomanagement und die Sicherheitsmaßnahmen zu verbessern.

展开完整摘要