EBA欧洲银行-Guidelines-on-incident-reporting-under-PSD2-28EBA-GL-2017-1029_SL_32页_666kb

Zakonodarna smernica EBA/GL/2017/10 – Poročanje o večjih incidentih v skladu z PSD2

1. Obveznosti glede skladnosti in poročanja

• Vloga smernic: Smernice so izdane v skladu s členom 16 Uredbe (EU) št. 1093/2010. Pristojni organi in finančne institucije morajo na vsak način pripraviti nadzorniške prakse, da upoštevajo te smernice.
• Dolžnost poročanja: Pristojni organi morajo do 19. februarja 2018 uradno obvestiti EBA, ali uporabljajo te smernice ali pa jih ne upostevajo. Če ne obvestijo, bo EBA predpostavil, da jih ne upostevajo.
• Obrazec za obveščanje: Uradna obvestila morajo biti poslana na elektronski naslov compliance@eba.europa.eu s sklicem na dokument EBA/GL/2017/10. Obveščenje mora biti izvedeno osebo, pooblaščeno za poročanje o skladnosti v imenu pristojnih organov.
• Obveščanje o spremembah: Pristojni organi morajo obvestiti EBA o vsakih spremembah v stanju upostevanja smernic.

2. Predmet urejanja, področje uporabe in opredelitev pojmov

• Predmet urejanja: Smernice urejajo poročanje o večjih operativnih in varnostnih incidentih, ki jih ponudniki plačilnih storitev (PSD2) morajo obvestiti pristojnim organom.
• Področje uporabe: Smernice se uporabljajo za vse incidente, ki spadajo v definicijo "večjega operativnega ali varnostnega incidenta", vključno tudi tiste, ki izvira iz zunanjih območij (npr. zunanje družbe ali infrastruktura).
• Opredelitev pojmov:
  • Operativni ali varnostni incident: Enkratni dogodek ali niz povezanih dogodkov, ki ima ali bo imel negativen učinek na celovitost, razpoložljivost, zaupnost, avtentičnost in neprekinjenost storitev.
  • Celovitost: Ohranjanje točnosti in popolnosti sredstev in podatkov.
  • Razpoložljivost: Dostopnost in uporabnost storitev za uporabnike.
  • Zaupnost: Zadrževanje informacij pred nepooblaščenimi strankami.
  • Avtentičnost: Potrditev, da je vir točno ta, za katerega se predstavlja.
  • Neprekinjenost: Izvajanje storitev na sprejemljivi ravni in brez prekinitve.
  • S plačilom povezane storitve: Vse poslovne dejavnosti in tehnološke podpore, povezane z izvajanjem plačilnih storitev.

3. Izvajanje smernic

• Datum začetka uporabe: Smernice se začnejo uporabljati 13. januarja 2018.

4. Smernice za ponudnike plačilnih storitev – obveščanje pristojnih organov

Smernica 1: Razvrstitev incidenta v kategorijo večjih incidentov

• Kriteriji za razvrstitev:
  • Višja stopnja učinka: Izbira enega ali več meril iz preglednice 1.
  • Nižja stopnja učinka: Izbira treh ali več meril iz preglednice 1.
• Preglednica 1 – Mejne vrednosti:
  • Transakcije: >10 % rednih transakcij ali >100.000 EUR (nižja stopnja); >25 % ali >5 milijonov EUR (višja stopnja).
  • Uporabniki: >5.000 uporabnikov ali >10 % (nižja stopnja); >50.000 uporabnikov ali >25 % (višja stopnja).
  • Čas nedelovanja: >2 uri (nižja stopnja); ne uporablja se (višja stopnja).
  • Gospodarski učinek: >0,1 % temeljnega kapitala ali >5 milijonov EUR.
  • Notranje stopnjevanje: Da (nižja stopnja); Da in verjetno sprožen krizni način delovanja (višja stopnja).
  • Vpliv na druge ponudnike: Da (nižja stopnja); ne uporablja se (višja stopnja).
  • Učinek na ugled: Da (nižja stopnja); ne uporablja se (višja stopnja).

Smernica 2: Postopek obveščanja

• Prvo poročilo:
  • Morajo biti predložena ob prvem odkritju incidenta.
  • Obvezno v 4 urah od odkritja ali takoj, ko kanali ne delujejo.
  • Vključuje razdelek A predloge (osnovne informacije) in datum naslednje dopolnitve (najpozneje v treh delovnih dneh).
• Vmesno poročilo:
  • Predložiti morajo vsakič, ko se pojavijo pomembne spremembe.
  • Vključuje razdelek B predloge (podrobnejše informacije).
  • Če se običajno poslovanje vzpostavi pred iztekom štirih ur, morajo prizadevati za posredovanje prvega in zadnjega vmesnega poročila v tem času.
• Končno poročilo:
  • Predložiti morajo, ko je analiza vzrokov opravljena in so na voljo dejanski podatki.
  • Najpozneje v dveh tednih po vzpostavitvi običajnega poslovanja.
  • Vključuje razdelek C predloge (temeljni vzroki, ukrepi za odpravo in preprečevanje).
  • Če incident ne izpolnjuje več meril, morajo predložiti končno poročilo takoj, ko ugotovijo to.

Smernica 3: Delegirano in konsolidirano poročilo

• Delegirano poročilo:
  • Ponudniki storitev morajo obvestiti pristojni organ, če želijo prenesti obveznosti poročanja na tretjo stran.
  • Formalna pogodba mora nedvomno opredeliti porazdelitev odgovornosti.
  • Informacije morajo biti predložene pristojnemu organu v skladu z vsemi roki in postopki.
• Konsolidirano poročilo:
  • Vključuje več ponudnikov, na katere je incident vplival.
  • Vsebina poročila mora biti odvisna od vpliva incidenta na storitve tretje strani.
  • Tretja stran mora oceniti pomembnost incidenta za vsakega ponudnika.
  • V primeru, da je skupen odgovor ni možen, mora tretja stran izpolniti posebej za vsakega ponudnika.
• Obveznost ponudnika storitev:
  • Ne smejo prenesti svojih obveznosti poročanja, če ne obvestijo pristojnega organa.
  • Če želijo odstopiti, morajo to obvestiti pristojnemu organu v skladu z njegovimi roki in postopki.

Smernica 4: Operativna in varnostna strategija

• Ponudniki storitev morajo zagotoviti, da njihova splošna strategija jasno opredeljuje odgovornosti za poročanje o incidentih v skladu z PSD2 ter vse postopke, ki jih izvajajo.

5. Smernice za pristojne organe – ocenjevanje pomembnosti incidentov

• Ocenjevanje pomembnosti:
  • Pristojni organi morajo oceniti pomembnost incidenta in pripraviti poročilo za druge domače organe.
  • Porocilo mora vključevati podrobne informacije o incidentu, njegovih posledicah in vplivu na druge storitve in infrastrukturo.
  • Vključuje tudi oceno vpliva na ugled, vključno z družbenimi posledicami in mediji.