EBA欧洲银行-Guidelines-on-incident-reporting-under-PSD2-28EBA-GL-2017-1029_SK_33页_689kb

Zhrnutie dokumentu EBA/GL/2017/10

1. Účel a štruktúra dokumentu

Tento dokument obsahuje usmernenia vydané EBA podľa článku 16 nariadenia (EU) č. 1093/2010, ktoré stanovujú postupy pre oznamovanie a spracovanie závažných prevádzkových alebo bezpečnostných incidentov poskytovateľov platobných služieb. Usmernenia sú súčasťou mandatu EBA podľa smernice (EU) 2015/2366 (PSD2) a sú určené pre poskytovateľov platobných služieb a prislušné orgány.

2. Hlavné požiadavky na vykazovanie

• Príslušné orgány (napr. národné dohliadací orgány) musia oznámiť EBA do 19. februára 2018, či dodržiavajú tieto usmernenia, majú v úmysle ich dodržať alebo nedodržiavajú.
• Ak nie je oznámenie doručené, EBA sa domnieva, že nedodržiavajú usmernenia.
• Oznámenia sa musia odoslať cez špeciálny formulár dostupný na adrese compliance@eba.europa.eu.
• Oznámenia budú uverejnené na webe EBA v súlade s čl. 16 ods. 3 nariadenia (EU) č. 1093/2010.

3. Predmet úpravy a rozsah pôsobnosti

• Usmernenia sa týkajú klasifikácie a oznamovania závažných incidentov v súlade s čl. 96 ods. 1 PSD2.
• Pôsobia na všetky incidenty, ktoré môžu mať nepriaznivý vplyv na integritu, dostupnosť, dôvernosť, hodnotnosť a kontinuitu služieb súvisiacich s platbami.
• Súvisia aj s mimounijnými incidentami, ktoré ovplyvňujú platobné služby poskytované v EÚ.

4. Adresáti

• Prvý súbor usmernení (oddiel 4) je určený poskytovateľom platobných služieb.
• Druhý a tretí súbor (oddiely 5 a 6) je určený príslušným orgánom (napr. národné dohliadacie orgány) v domovskom členskom štáte.

5. Vymedzenia pojmov

• Závažný prevádzkový alebo bezpečnostný incident – jediná udalosť alebo séria udalostí, ktoré neplánovaným spôsobom ovplyvnia integritu, dostupnosť, dôvernosť, hodnotnosť alebo kontinuitu služieb súvisiacich s platbami.
• Integrita – presnosť a úplnosť aktív (vrátane údajov).
• Dostupnosť – prístupnosť služieb používateľom.
• Dôvernosť – ochrana informácií pred neoprávneným prístupom.
• Hodnotnosť – presnosť a autenticita zdrojov.
• Kontinuita – plný a predvídateľný prebieh procesov a aktív potrebných pre poskytovanie služieb.
• Služby súvisiace s platbami – všetky ekonomické činnosti a podporné funkcie, ktoré sú súčasťou poskytovania platobných služieb.

6. Vykonávanie usmernení

6.1. Účinnosť

• Usmernenia sa uplatňujú od 13. januára 2018.

6.2. Klasifikácia incidentov

• Poskytovatelia musia klasifikovať incidenty podľa kritérií uvedených v tabuľke 1:
  • Závažný úroveň (výrazný vplyv)

    • 10 % bežnej úrovne transakcií (počet)

    • 100 000 EUR

  • Mierne úroveň (menší vplyv)

    • 25 % bežnej úrovne transakcií (počet) alebo > 5 miliónov EUR

    • 5 000 používateľov alebo > 25 % používateľov

    • 2 hodiny vypadku služby

    • 0,1 % kapitálu Tier 1 alebo > 5 miliónov EUR

6.3. Postup oznamovania

• Poskytovatelia musia oznámiť incident v úvodnej, priebežnej a záverečnej správe.
• Úvodná správa musí byť odoslaná do 4 hodín od zistenia incidentu.
• Priebežná správa sa musí predkladať každých 4 hodín až do obnovenia normálnej činnosti.
• Záverečná správa musí byť odoslaná do 2 týždňov po návrate do normálneho stavu.
• V prípade zmeny klasifikácie (napr. závažný → nezávažný), musia poskytovatelia oznámiť toto zmenenie a dôvody.

7. Významné kritériá pre hodnotenie incidentov

• Dotknuté transakcie – celková hodnota a počet dotknutých transakcií.
• Dotknutí používatelia – počet a percentuálny podiel dotknutých používateľov.
• Vypadok služby – časové obdobie, počas ktorého je služba nedostupná.
• Hospodársky vplyv – finančné náklady spojené s incidentom.
• Vysoká miera vnútornej eskalácie – informovanie vedenia o incidente.
• Iné dotknuté poskytovatelia a infraštruktúra – systémový vplyv na iné poskytovatele a finančné trhy.
• Vplyv na dobré meno – ohrozenie dôvery a reputácie spoločnosti.

8. Delegované a konsolidované oznamovanie

• Poskytovatelia môžu delegovať oznamovacie povinnosti na tretie strany, ak to umožňuje príslušný orgán.
• Podmienky delegovania:
  • Delegované povinnosti musia byť formálne stanovené vo formálnej zmluve.
  • Tretia strana musí splňať požiadavky na externé zabezpečenie činností (napr. podľa PSD2 alebo CEBS).
  • Poskytovatelia sú zodpovední za obsah informácií a ich právny rámec.
• Konsolidované oznamovanie:
  • Je možné, ak je spoločná zodpovednosť poskytovateľov.
  • Konsolidovaná správa musí zahŕňať len závažné incidenty.
  • Tretia strana musí vyplniť všetky polia v formulári, ktoré sú relevantné pre každého poskytovateľa.
  • Poskytovatelia musia zabezpečiť dôvernosť a kvalitu informácií poskytovaných tretím stranám.

9. Záver

Dokument EBA/GL/2017/10 stanovuje podrobné usmernenia pre klasifikáciu a oznamovanie závažných incidentov v oblasti platobných služieb. Je určený pre poskytovateľov platobných služieb a ich domovské orgány, a poskytuje špecifikácie postupov, prahové hodnoty a formát oznámení, ktoré majú byť dodržiavané. V prípade delegovania alebo konsolidovania povinností, poskytovatelia musia zabezpečiť plnú transparentnosť, dôvernosť a súlad s právnymi predpismi.