EBA欧洲银行-Guidelines-on-incident-reporting-under-PSD2-28EBA-GL-2017-1029_PT_34页_616kb

Resumo das Orientações EBA/GL/2017/10 sobre a Comunicação de Incidentes de Caráter Severo

1. Natureza e Obrigações

As Orientações EBA/GL/2017/10 foram emitidas ao abrigo do artigo 16.º do Regulamento (UE) n.º 1093/2010 e visam orientar prestadores de serviços de pagamento e autoridades competentes sobre a comunicação de incidentes operacionais ou de segurança de caráter severo. Os prestadores de serviços de pagamento e as autoridades competentes são obrigados a dar cumprimento às orientações, incorporando-as nas suas práticas de supervisão, ou a justificar o não cumprimento até 19/02/2018. Caso contrário, a EBA considerará que não estão a cumprir as orientações.

2. Objeto e Definições

2.1 Objeto

As orientações definem os critérios para classificar incidentes operacionais ou de segurança como de caráter severo, bem como o formato e os procedimentos para a comunicação desses incidentes às autoridades competentes.

2.2 Definições

• Incidente operacional ou de segurança: Um evento ou série de eventos não previstos que podem causar impacto negativo na integridade, disponibilidade, confidencialidade, autenticidade ou continuidade dos serviços de pagamento.
• Integridade: Exatidão e completude dos ativos e dados.
• Disponibilidade: Acesso e utilização dos serviços de pagamento pelos utilizadores.
• Confidencialidade: Proteção contra acesso ou divulgação não autorizada.
• Autenticidade: Veracidade da origem das informações.
• Continuidade: Capacidade da organização de manter a prestação dos serviços de pagamento.
• Servicos relacionados com pagamento: Qualquer atividade comercial e tarefas técnicas necessárias à prestação desses serviços.

3. Classificação de Incidentes Severos

Os prestadores de serviços de pagamento devem classificar um incidente como severo se atender a um ou mais dos seguintes critérios:

3.1 Critérios de Classificação

3.2 Avaliação Contínua

Os prestadores devem avaliar os incidentes durante todo o período de ocorrência, identificando eventuais alterações de estado (agravamento ou desagravamento). Em caso de falta de dados reais, devem recorrer a estimativas.

4. Processo de Comunicação

4.1 Relatório Inicial

• Deve ser enviado dentro de 4 horas após a detecção do incidente, ou assim que os canais de comunicação da autoridade competente estiverem disponíveis.
• Deve incluir informações gerais (seção A do modelo de relatório), descrevendo as características essenciais do incidente e suas consequências.
• Deve conter a data da próxima atualização, que não pode exceder 3 dias úteis.

4.2 Relatório Intercalar

• Deve ser enviado sempre que houver uma atualização relevante.
• Inclui uma descrição detalhada do incidente e suas consequências (seção B do modelo de relatório).
• A data da próxima atualização deve ser incluída e não pode exceder 3 dias úteis.
• Em caso de atraso, o prestador deve contactar a autoridade competente, justificar o atraso e fornecer uma nova estimativa da data de entrega.

4.3 Relatório Final

• Deve ser enviado quando a causa do incidente for analisada e dados reais estiverem disponíveis.
• Deve ser submetido no prazo máximo de 2 semanas após o regresso à normalidade.
• Deve incluir informações reais em vez de estimativas (seção C do modelo de relatório), incluindo a causa do problema e medidas adotadas.
• Se o incidente for reclassificado como não severo, deve ser indicado na seção C e justificados os motivos do desagravamento.

5. Delegação e Consolidação de Comunicações

5.1 Delegação

Os prestadores podem delegar a comunicação de incidentes a terceiros, desde que:

• O contrato ou acordos internos definam claramente as responsabilidades.
• O prestador afetado continua inteiramente responsável pelos requisitos de comunicação.
• A delegação não comprometa os requisitos de externalização de funções operacionais importantes.
• A informação é submetida à autoridade competente e cumpridos todos os prazos e procedimentos estabelecidos.
• A confidencialidade e a qualidade da informação são garantidas.

5.2 Consolidação

A comunicação de incidentes deve ser consolidada, garantindo consistência e transparência entre as autoridades nacionais e a EBA, bem como o BCE.

6. Aplicação e Vigência

• Vigência: As orientações entram em vigor em 13 de janeiro de 2018.
• Âmbito de Aplicação: Aplica-se a todos os incidentes operacionais ou de segurança de caráter severo, incluindo aqueles originados fora da União que afetem serviços de pagamento dentro da União.
• Destinatários:
  • Prestadores de serviços de pagamento: Devem seguir as orientações para classificação e comunicação.
  • Autoridades competentes: Devem avaliar e partilhar informações com outras autoridades nacionais.

7. Conclusão

As Orientações EBA/GL/2017/10 visam estabelecer um quadro claro e consistente para a classificação e comunicação de incidentes de caráter severo no setor de serviços de pagamento, promovendo uma abordagem unificada entre as autoridades nacionais e a EBA. A comunicação deve ser feita utilizando o modelo de relatório disponibilizado, com prazos e requisitos claros, garantindo transparência, integridade e responsabilidade.