EBA欧洲银行-Guidelines-on-incident-reporting-under-PSD2-28EBA-GL-2017-1029_HU_33页_698kb

EBA/GL/2017/10 Iránymutatások a súlyos működési és biztonsági eseményekhez

1. Megfelelés és beszámolási követelmények

1.1. Az iránymutatások jogállása

• Az EBA (Európai Bankfelügyeleti Hatóság) az 1093/2010/EU rendelet 16. cikke alapján adta ki ezeket az iránymutatásokat.
• A tagállamok és pénzügyi intézmények minden erőfeszítést megtesznek az iránymutatásoknak való megfelelés érdekében.
• A tagállami illetékes hatóságok a megfelelés biztosításához az iránymutatásokat beépítik saját felügyeleti gyakorlataikba.

1.2. Adatszolgáltatási követelmenyek

• A tagállami illetékes hatóságok 2017. február 19-ig értesíteniük kell az EBA-t arról, hogy megfelelnek-e az iránymutatásoknak.
• Ha nem, indokolniuk kell a meg nem felelés okait.
• Az értesítéseket a "EBA/GL/2017/10" hivatkozással kell elküldeni az EBA honlapján található formanyomtatványon a compliance@eba.europa.eu címre.
• Az EBA minden megfelelési változást bejelenteni köteles.

2. Tárgy, alkalmazási kör és fogalommeghatározások

2.1. Tárgy

• Az iránymutatások a 2015/2366/EU irányelv (PSD2) 96. cikke alapján készültek.
• A cél az, hogy meghatározzák a súlyos működési és biztonsági események osztályozási kritériumait.
• Meghatározzák az események bejelentésének módját és folyamatait a tagállami illetékes hatóságok számára.

2.2. Alkalmazási kör

• Az iránymutatások azokra a súlyos működési és biztonsági eseményekre vonatkoznak, amelyek az EU-n belül, vagy az EU-n kívüli, de a belső pénzforgalmi szolgáltatásokat érintő eseményekre is.
• A súlyos eseményeket az EU-n kívüli anyavállalatok vagy leányvállalatok esetén is figyelembe kell venni, ha azok befolyásolják a belső szolgáltatásokat.

2.3. Fogalommeghatározások

• Működési és biztonsági esemény: Olyan esemény, amely negatív hatással van a fizetéshez kapcsolódó szolgáltatásokra, mint például integritás, rendelkezésre állás, titkosság, hitelesség, folyamatosság.
• Integritás: Adataik és eszközeik pontosságának és teljességének megóvása.
• Rendelkezésre állás: A pénzforgalmi szolgáltatások hozzáférhetősége.
• Titkosság: Az információk biztonságos megőrzése.
• Hitelesség: A források hitelessége.
• Folyamatosság: A szolgáltatások hatékony működése.
• Fizetéshez kapcsolódó szolgáltatások: A PSD2 irányelv szerinti pénzforgalmi szolgáltatások és a hozzájuk kapcsolódó technikai támogató feladatok.

3. Végrehajtás

3.1. Alkalmazás időpontja

• Az iránymutatások 2018. január 13-tól hatályosak.

4. Pénzforgalmi szolgáltatóknak címzett iránymutatások

4.1. Iránymutatás 1: A súlyos események osztályozása

• A súlyos eseményeket a következő kritériumok alapján osztályozzák:
  • Kisebb mértékű hatás: Ha az érintett műveletek értéke >10% a szokásos szintjénél vagy >100 000 EUR.
  • Nagyobb mértékű hatás: Ha az érintett műveletek értéke >25% a szokásos szintjénél vagy >5 millió EUR.
  • A szolgáltatás kimaradásának időtartama: >2 nap.
  • Gazdasági hatás: >5 millió EUR vagy >0,1% az alapvető tőkéből.
  • Belső eszkaláció magas szintje: Krízis üzemeltetés bevezetése valószínű.
  • Többi szolgáltató vagy infrastruktúra érintettsége: A pénzügyi infrastruktúrák vagy kártyás fizetési rendszerek érintettsége.
  • Reputációs hatás: A szolgáltatót érintő közismert események vagy szankciók.

4.2. Iránymutatás 2: Az értesítés folyamata

• A pénzforgalmi szolgáltató az 1. mellékletben szereplő sablon alapján készít jelentést az eseményről.
• A jelentést a székhely szerinti tagállam illetékes hatóságának kell benyújtani.
• A kezdeti jelentést 4 órán belül kell elküldeni az esemény észlelését követően, ha a csatornák működőképtelenek.
• Az időközi jelentést minden releváns állapotváltozás esetén, legalább 3 munkanapon belül kell benyújtani.
• A végleges jelentést a szolgáltató az esemény megoldása után, de legfeljebb 2 hét elteltével kell benyújtani.
• Ha az esemény további megfelelési kritériumokat nem teljesít, a végleges jelentésben ezt is meg kell adni.

4.3. Iránymutatás 3: Megbízás alapján készített és konszolidált jelentés

• Ha a pénzforgalmi szolgáltató megbízást ad a harmadik félnek az esemény bejelentésére, az illetékes hatóságokat értesíteni kell.
• A megbízás tartalmazza a felek közötti feladatok felosztását.
• A megbízás megfelel a PSD2 19. cikkének (6) bekezdésének, vagy az EBA által kiadott iránymutatásoknak.
• Az összevont jelentés csak akkor készíthető, ha az esemény a harmadik fél szolgáltatásainak zavarát okozza.
• A jelentés azokat a szolgáltatókat tartalmazza, amelyek ugyanabban a tagállamban működnek.
• A harmadik fél a sablonban a megfelelő mezőket kitölti, külön-külön minden érintett szolgáltatóra.
• A szolgáltató biztosítania kell a harmadik fél részére a megfelelő információk bizalmasságát, minőségét, konzisztenciáját, integritását és megbízhatóságát.

5. Főbb pontok összefoglalása

• A súlyos események osztályozása és bejelentése kötelező.
• A jelentésekben részletes információkra van szükség, amelyek az esemény körülményeit, következményeit és megoldását tartalmazzák.
• A jelentések folyamatosan frissülnek az esemény életciklusának során.
• A megbízás alapján készített jelentéseket konszolidálni kell, és az illetékes hatóságokat értesíteni.