EBA欧洲银行-Guidelines-on-incident-reporting-under-PSD2-28EBA-GL-2017-1029_DE_35页_586kb

报告摘要

EBA/GL/2017/10 ist eine Leitlinie der Europäischen Bankenaufsichtsbehörde (EBA), herausgegeben gemäß Anteil 16 der Verordnung (EU) Nr. 1093/2010.
Die Leitlinien legen fest, wie schwerwiegende Betriebs- oder Sicherheitsvorfälle von Zahlungsdienstleistern zu klassifizieren und zu melden sind.
Die zuständigen Behörden und Finanzinstitute müssen diese Leitlinien in ihre Aufsichtspraktiken integrieren.
Die Leitlinien wurden am 13. Januar 2018 in Kraft gesetzt.

Die Leitlinien betreffen die Klassifizierung und Meldung schwerwiegender Vorfälle gemäß Artikel 96 der Richtlinie (EU) 2015/2366 (PSD2).
Sie gelten für alle Vorfälle, die entweder intern oder extern verursacht wurden und sich auf die Integrität, Verfügbarkeit, Vertraulichkeit, Authenticität oder Kontinuität von Zahlungsdiensten auswirken.
Sie sind auch anzuwenden, wenn ein Vorfall außerhalb der EU stattfindet, aber zahlungsbezogene Dienste in der EU erbracht werden.

Zahlungsdienstleister (gemäß Artikel 4 Absatz 11 der PSD2) und zuständige Behörden (gemäß Artikel 4 Absatz 2 Ziffer i der Verordnung (EU) Nr. 1093/2010) sind die Hauptadressaten.
Die Leitlinien geben klare Anweisungen für die Bewertung und Meldung von Vorfällen an Zahlungsdienstleister und die zuständigen Behörden.

Begriff	Definition
Betriebs- oder Sicherheitsvorfall	Ein unerwünschtes Ereignis, das die Integrität, Verfügbarkeit, Vertraulichkeit, Authenticität oder Kontinuität von Zahlungsdiensten beeinträchtigt.
Integrität	Schutz von Vermögenswerten und Daten vor Manipulation.
Verfügbarkeit	Zugänglichkeit und Nutzungsmöglichkeit von Zahlungsdiensten.
Vertraulichkeit	Verhindern, dass Informationen unbefugt zugänglich gemacht werden.
Authenticität	Sicherstellen, dass Quellen authentisch sind.
Kontinuität	Sicherstellung der Funktionsfähigkeit der Prozesse und Ressourcen.
Zahlungsbezogene Dienste	Gewerbliche Tätigkeiten im Sinne der PSD2 sowie technische Unterstützungsaufgaben für diese Dienste.

Vorfälle, die mindestens drei Kriterien des Lower Impact Level erfüllen, oder mindestens eines Kriteriums des Higher Impact Level.
Tabelle 1 listet die Schwellenwerte für die Kriterien:

Kriterium	Lower Impact Level	Higher Impact Level
Betroffene Zahlungsvorgänge	>10% der üblichen Transaktionsmenge oder >100.000 EUR	>25% der üblichen Transaktionsmenge oder >5 Mio. EUR
Betroffene Zahlungsdienstnutzer	>5.000 oder >10% der Nutzer	>50.000 oder >25% der Nutzer
Dienstausfallzeit	>2 Stunden	Nicht anwendbar
Wirtschaftliche Auswirkungen	Nicht anwendbar	>0,1% Kernkapital (Tier 1) oder >5 Mio. EUR
Hohe interne Eskalationsstufe	Ja	Ja und voraussichtliche Auslösung eines Krisenmodus
Andere Zahlungsdienstleister oder Infrastruktur	Ja	Nicht anwendbar
Reputationsschäden	Ja	Nicht anwendbar

Zahlungsdienstleister müssen die Vorfälle anhand der Kriterien und Indikatoren bewerten.
Bei Unsicherheiten oder fehlenden Daten sind Schätzungen zulässig.
Die Bewertung muss kontinuierlich während des Vorfalls durchgeführt werden, um eine mögliche Statusänderung zu erkennen.

Erstmeldung: Innerhalb von vier Stunden nach Erkennung des Vorfalls.
Zwischenmeldung: Wenn sich der Status des Vorfalls wesentlich geändert hat. Mindestens alle drei Geschäftstage.
Abschlussmeldung: Nach Wiederherstellung des Regelbetriebs, spätestens innerhalb von zwei Wochen. Bei Verzögerung muss dies mit der zuständigen Behörde abgestimmt werden.
Meldungen müssen geheimhaltungsgerecht und authentisch erfolgen.
Die Meldungen werden öffentlich auf der EBA-Website veröffentlicht.

Bei Delegierung der Meldepflichten an Dritte müssen folgende Bedingungen erfüllt sein:
- Klare Zuordnung der Verantwortlichkeiten im Vertrag oder internen Regelungen.
- Verantwortung des Zahlungsdienstleisters bleibt unverändert.
- Delegierung muss mit den Anforderungen für Outsourcing im Einklang stehen.
- Meldungen müssen vorab und gemäß festgelegten Fristen erfolgen.

展开完整摘要