EBA欧洲银行-Guidelines-on-incident-reporting-under-PSD2-28EBA-GL-2017-1029_CS_33页_696kb

Souhrnná analýza obecných pokynů EBA/GL/2017/10

Úvod

Dokument EBA/GL/2017/10 obsahuje obecné pokyny vydané Evropskou bankovní autoritou (EBA) podle nařízení (EU) č. 1093/2010. Tyto pokyny jsou zaměřeny na klasifikaci a oznamování významných operacních a bezpečnostních incidentů poskytovatelů platebních služeb (PSD2). Cílem je zajistit konzistentní a transparentní postupy v rámci Evropského systému dohledu nad finančním trhem.

Hlavní body

1. Dodržování pravidel a oznamovací povinnost

• Povinnost oznamování: Príslušné orgány musí do 19.02.2018 oznámit EBA, zda se těmito pokynůmi řídí nebo závazně hodlají dodržovat. Pokud neodpovědí, EBA považuje za to, že se těmito pokynůmi neřídí.
• Způsob oznámení: Oznámení musí být poskytnuto formou formuláře, který je dostupný na webových stránkách EBA, a odesíláno na e-mail compliance@eba.europa.eu s označením „EBA/GL/2017/10“.
• Změny stavu: Každá změna stavu dodržování pokynů musí být oznámena EBA.

2. Předmět, působnost a definice

• Předmět: Pokyny se týkají klasifikace a oznamování významných operacních a bezpečnostních incidentů podle PSD2.
• Působnost: Platí pro všechny poskytovatele platebních služeb a príslušné orgány v rámci EU.
• Definice:
  • Významný operacní nebo bezpečnostní incident: Jednorázová událost nebo řada neplánovaných událostí, která může mít nevýhodný dopad na integritu, dostupnost, důvěrnost, autenticitu a kontinuitu služeb.
  • Služby související s platbami: Všechny podnikatelské činnosti a technické podpůrné funkce, které jsou nezbytné pro poskytování platebních služeb.

3. Oznamování incidentů

3.1 Klasifikace významného incidentu

• Poskytovatelé služeb musí klasifikovat incident jako významný, pokud splňuje jedno z následujících kritérií:
  • Nižší úroveň dopadu:

    • 10% běžné úrovně transakcí nebo > 100 000 EUR

  • Vyšší úroveň dopadu:

    • 25% běžné úrovně transakcí nebo > 5 milionů EUR

  • Jiná kritéria, jako je interní eskalace, dopad na dobré jméno, systémový dopad atd., mohou také vést k klasifikaci jako významný.

3.2 Postup pro oznamování

• Úvodní zpráva: Musí být odeslána do 4 hodin od zjištění incidentu.
• Průběžné zprávy: Musí být poskytnuty pravidelně během trvání incidentu a aktualizovány co nejdříve, nejpozději do 3 pracovních dnů.
• Závěrečná zpráva: Musí být odeslána nejpozději do 2 týdnů od obnovení činnosti. Pokud je incident přeškolen na nevýznamný, může být závěrečná zpráva odeslána dříve s vysvětlením změny klasifikace.

3.3 Přenesené a konsolidované oznamování

• Pokud je incident přenesen třetí straně, musí být v souladu s:
  • Formální smlouva nebo interní ujednání v rámci skupiny, která upravuje přenesené oznamování.
  • Podmínky outsourcingu (včetně Čl. 19 odst. 6 směrnice o platebních službách).
  • Postupy a lhůty stanovené príslušným orgánem.
  • Zajištění důvěrnosti informací a jejich kvality.
• Konsolidované oznamování musí být omezeno na poskytovatele v jednom členském státě a zahrnovat pouze významné incidenty. Třetí strana musí poskytovat informace pro každého poskytovatele zvlášť, pokud není možné uvést společnou odpověď.

4. Operacní a bezpečnostní zásady

• Poskytovatelé služeb musí zajistit, aby jejich operacní a bezpečnostní zásady jasné definují povinnosti související s oznamováním incidentů a procesy pro splnění požadavků těchto pokynů.

5. Posouzení závažnosti incidentu

• Príslušné orgány musí posuzovat závažnost incidentu na základě následujících kritérií:

  • Dotčené transakce
  • Dotčení uživatelů
  • Délka výpadku služby
  • Ekonomický dopad
  • Interní eskalace
  • Systémový dopad
  • Dopad na dobré jméno

• Pokud je incident klasifikován jako významný, musí být zpráva o něm poskytnuta príslušnému organu v domovském členském státě. Pokud se incident zhorší nebo zlepší, musí být zpráva aktualizována.

Závěr

Tato dokumentace stanovuje konkrétní způsob, jakým poskytovatelé platebních služeb a príslušné orgány musí klasifikovat a oznamovat významné incidenty. Zahrnuje podrobné kriteria, formát a postupy pro oznamování, zároveň zajišťuje harmonizaci průběžného a závěrečného oznámení, a zároveň upravuje přenesené a konsolidované oznamování v případě spolupráce s třetími stranami. Všechny informace musí být poskytnuty s důrazem na důvěrnost a integritu.