REGULAMENT nr. 4 din 4...
REGULAMENT nr. 4 din 4 martie 2022
EMITENT
BANCA NAȚIONALĂ A ROMÂNIEI
Având în vedere:– prevederile art. 218,...
în temeiul dispozițiilor art. 243...
Banca Națională a României emite...
Articolul I
Regulamentul Băncii Naționale a României...
1. La articolul 2 alineatul...
2. La articolul 2 alineatul...
3. La articolul 2 alineatul...
4. La articolul 2 alineatul...
5.
Titlul III se modifică și va avea următorul cuprins: Titlul III Raportarea incidentelor operaționale și/sau de securitate majore Capitolul I Încadrarea incidentelor operaționale și/sau de securitate în categoria incidentelor majore Articolul 66 Prestatorii de servicii de plată trebuie să evalueze dacă un incident operațional sau de securitate aferent serviciilor de plată prestate se încadrează în categoria incidentelor majore, în baza analizei asupra criteriilor și potrivit metodologiei menționate în anexa nr. 1. Articolul 67 Prestatorii de servicii de plată trebuie să evalueze un incident prin a stabili, pentru fiecare criteriu în parte, dacă pragurile relevante din anexa nr. 2 sunt sau este probabil să fie atinse înainte de soluționarea incidentului. Articolul 68 (1) Prestatorii de servicii de plată trebuie să încadreze în categoria incidentelor majore acele incidente operaționale sau de securitate pentru care: a) unul sau mai multe criterii se încadrează în categoria «Nivel de impact ridicat»; sau ... b) trei sau mai multe criterii se încadrează în categoria «Nivel de impact redus». ... (2) Criteriile prevăzute la alin. (1) se încadrează în categoria «Nivel de impact redus», respectiv «Nivel de impact ridicat», prin atingerea pragurilor prevăzute în anexa nr. 2. Articolul 69 Prestatorii de servicii de plată trebuie să recurgă la estimări, de exemplu, în etapa investigației inițiale a incidentului, dacă nu dețin date efective pentru a-și fundamenta evaluarea realizată potrivit art. 66-68, cum ar fi un prag stabilit sau pentru care este o probabilitate foarte mare de a fi atins înainte ca incidentul să fie soluționat. Articolul 70 (1) Prestatorii de servicii de plată trebuie să efectueze evaluarea menționată la art. 66-68 pe bază continuă, pe întreaga durată a existenței incidentului, pentru a identifica orice posibilă schimbare a încadrării incidentului, respectiv prin încadrarea incidentului din incident minor în major sau prin încadrarea incidentului din major în minor.(2) Orice schimbare a încadrării incidentului din categoria incident major în categoria incident minor trebuie transmisă Băncii Naționale a României fără întârzieri nejustificate, conform art. 91. Capitolul II Notificarea incidentelor operaționale și/sau de securitate majore Secţiunea 1 Dispoziții generale Articolul 71 (1) Prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, trebuie să completeze și să transmită Băncii Naționale a României raportul privind incidentul major, potrivit formularelor și instrucțiunilor de completare prevăzute în anexa nr. 3. (2) Prin excepție de la aplicarea prevederilor art. 1 alin. (2) lit. b), prestatorii de servicii de plată prevăzuți la art. 223 alin. (1) lit. c) și d) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, care desfășoară activitate de prestare de servicii de plată pe teritoriul României, trebuie să transmită Băncii Naționale a României o copie a notificării prevăzute la art. 219 alin. (4) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, prin intermediul rețelei de comunicații interbancare. Articolul 72 (1) Prestatorii de servicii de plată trebuie să utilizeze formularele de raport prevăzute în anexa nr. 3 atunci când transmit rapoartele inițiale, intermediare și finale privind același incident, astfel cum sunt menționate în secțiunile a 2-a-a 4-a.(2) Prestatorii de servicii de plată trebuie să completeze integral și progresiv rubricile din formularele de raport prevăzute la alin. (1), pe măsură ce sunt disponibile mai multe informații în cursul investigațiilor, și să indice informațiile modificate din rapoartele precedente, dacă este cazul. Articolul 73 Prestatorii de servicii de plată trebuie să prezinte Băncii Naționale a României o copie a informării clienților săi, utilizatori ai serviciilor de plată, cu privire la incidentul operațional sau de securitate major și la toate măsurile pe care utilizatorii de servicii de plată le pot lua pentru a atenua efectele negative ale acestuia, conform prevederilor art. 219 alin. (2) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, de îndată ce această informare este disponibilă, dacă este cazul. Articolul 74 (1) Prestatorii de servicii de plată trebuie să pună la dispoziția Băncii Naționale a României, la cererea acesteia, orice informații, date și documente suplimentare rapoartelor transmise.(2) Orice informație adițională conținută în documentele furnizate Băncii Naționale a României, din propria inițiativă sau la cererea acesteia, trebuie să fie inclusă în rapoarte. Articolul 75 Prestatorii de servicii de plată trebuie să răspundă oricăror solicitări de furnizare de informații suplimentare sau clarificări din partea Băncii Naționale a României cu privire la documentația care a fost deja transmisă. Articolul 76 Prestatorii de servicii de plată trebuie să păstreze în permanență confidențialitatea și integritatea informațiilor schimbate cu Banca Națională a României și să se autentifice în mod corespunzător în raporturile cu aceasta. Secţiunea a 2-a Raportul inițial Articolul 77 Prestatorii de servicii de plată trebuie să transmită un raport inițial Băncii Naționale a României după ce un incident operațional și/sau de securitate a fost clasificat ca fiind major. Articolul 78 Prestatorii de servicii de plată trebuie să indice codul unic de referință de identificare a incidentului comunicat de către Banca Națională a României, atunci când transmit o actualizare a raportului inițial și rapoartele intermediar și final, exceptând situația în care rapoartele intermediar și final sunt transmise împreună cu raportul inițial. Articolul 79 Prestatorii de servicii de plată trebuie să transmită raportul inițial prevăzut la art. 77 în termen de 4 ore de la clasificarea incidentului ca incident operațional și/sau de securitate major, prin canalele de raportare comunicate de către Banca Națională a României sau de îndată ce aceste canale devin din nou disponibile/operaționale, dacă se constată la momentul transmiterii raportării către Banca Națională a României indisponibilitatea canalelor de raportare. Articolul 80 (1) Prestatorii de servicii de plată trebuie să clasifice incidentul ca incident operațional și/sau de securitate major conform prevederilor art. 68 și anexei nr. 2, în timp util de la detectarea incidentului, dar nu mai târziu de 24 de ore de la detectarea incidentului și fără întârzieri nejustificate din momentul în care prestatorul de servicii de plată are disponibile informațiile necesare procesului de clasificare a incidentului.(2) Dacă este necesară extinderea termenului precizat la alin. (1) pentru clasificarea incidentului, prestatorii de servicii de plată trebuie să explice această necesitate în raportul inițial care va fi transmis Băncii Naționale a României. Articolul 81 (1) Prestatorii de servicii de plată trebuie să transmită, de asemenea, un raport inițial Băncii Naționale a României atunci când un incident cunoscut anterior ca fiind minor este reclasificat ca unul major, ca urmare a evaluării efectuate potrivit art. 70. (2) În situația prevăzută la alin. (1), prestatorii de servicii de plată trebuie să transmită Băncii Naționale a României, prin canalele de raportare comunicate de către aceasta, raportul inițial, de îndată ce se identifică o schimbare de stare sau de îndată ce aceste canale devin din nou disponibile/operaționale, dacă se constată la momentul transmiterii raportării către Banca Națională a României indisponibilitatea canalelor de raportare. Articolul 82 (1) În rapoartele lor inițiale, prestatorii de servicii de plată trebuie să includă informațiile prevăzute în formularul «A - Raport inițial», cuprins în anexa nr. 3, prezentând unele caracteristici de bază ale incidentului și consecințele preconizate ale acestuia pe baza informațiilor disponibile imediat după încadrarea acestuia ca major, potrivit art. 70. (2) Prestatorii de servicii de plată trebuie să recurgă la estimări atunci când nu sunt disponibile date efective, în acord cu dispozițiile art. 69. Secţiunea a 3-a Raportul intermediar Articolul 83 (1) Prestatorii de servicii de plată trebuie să transmită raportul intermediar potrivit formularului «B - Raport intermediar», cuprins în anexa nr. 3, când activitățile desfășurate în mod uzual au revenit la normal, cu informarea corespunzătoare a Băncii Naționale a României cu privire la această situație. (2) Prestatorii de servicii de plată trebuie să considere că activitățile/operațiunile au revenit la normal atunci când acestea se desfășoară la nivelurile acceptabile predefinite anterior sau la nivelurile incluse în contractele încheiate cu furnizorii terți privind nivelul serviciilor cu referire cel puțin la timpii de prelucrare, capacitatea și cerințele de securitate și când măsurile de urgență nu mai sunt aplicabile. Articolul 84 (1) Prestatorii de servicii de plată trebuie să transmită Băncii Naționale a României raportul intermediar potrivit formularului «B - Raport intermediar», cuprins în anexa nr. 3, care să conțină o descriere mai detaliată a incidentului și a consecințelor acestuia. (2) Dacă activitățile desfășurate în mod uzual nu au fost restabilite, prestatorii de servicii de plată trebuie să transmită Băncii Naționale a României un raport intermediar în termen de 3 zile lucrătoare de la data transmiterii raportului inițial.(3) Prestatorii de servicii de plată trebuie să actualizeze informațiile deja furnizate în formularele «A - Raport inițial» și «B - Raport intermediar», cuprinse în anexa nr. 3, atunci când au cunoștință despre schimbări semnificative de la data transmiterii raportului anterior, cum ar fi, de exemplu, faptul că incidentul a crescut sau a scăzut în intensitate, sunt identificate cauze noi sau sunt luate măsuri pentru soluționarea incidentului. (4) În situația în care incidentul nu a fost soluționat în termen de 3 zile lucrătoare, prestatorii de servicii de plată vor actualiza informațiile potrivit alin. (3) și vor transmite Băncii Naționale a României un raport intermediar suplimentar.(5) Prestatorii de servicii de plată trebuie să transmită un raport intermediar suplimentar la solicitarea Băncii Naționale a României. Articolul 85 Când datele efective nu sunt disponibile, prestatorii de servicii de plată trebuie să recurgă la estimări, prin aplicarea în mod corespunzător a prevederilor art. 69. Articolul 86 În cazul în care activitatea prestatorului de servicii de plată a revenit la normal în termenul de 4 ore de la momentul clasificării incidentului operațional și/sau de securitate ca major, prestatorii de servicii de plată trebuie să aibă în vedere transmiterea în mod simultan a raportului inițial și a raportului intermediar, prin completarea și transmiterea formularelor «A - Raport inițial» și «B - Raport intermediar», cuprinse în anexa nr. 3, înainte de termenul de 4 ore. Secţiunea a 4-a Raportul final Articolul 87 Prestatorii de servicii de plată trebuie să trimită un raport final potrivit formularului «C - Raport final», cuprins în anexa nr. 3, atunci când a fost efectuată analiza cauzelor principale, indiferent dacă au fost deja implementate măsurile de atenuare a incidentului sau dacă a fost identificată cauza principală finală, și atunci când există date disponibile pentru a înlocui orice estimări. Articolul 88 (1) Prestatorii de servicii de plată trebuie să transmită raportul final Băncii Naționale a României în termen de maximum 20 de zile lucrătoare de la data la care aceștia pot demonstra că activitatea a revenit la normal. (2) Prestatorii de servicii de plată care au nevoie de o prelungire a termenului prevăzut la alin. (1), inclusiv dacă nu sunt încă disponibile date efective cu privire la impact sau dacă nu a fost identificată cauza principală finală, trebuie să contacteze Banca Națională a României înainte de împlinirea termenului prevăzut la alin. (1) și să comunice o justificare adecvată a întârzierii, precum și o nouă dată estimată pentru transmiterea raportului final. Articolul 89 În cazul în care prestatorii de servicii de plată pot să comunice toate informațiile necesare în raportul final potrivit formularului «C - Raport final», cuprins în anexa nr. 3, în decurs de 4 ore de la momentul clasificării incidentului ca major, aceștia trebuie să aibă în vedere furnizarea agregată a informațiilor referitoare la raportul inițial, raportul intermediar și raportul final prin completarea și transmiterea împreună/simultan a formularelor «A - Raport inițial», «B - Raport intermediar» și «C - Raport final», cuprinse în anexa nr. 3. Articolul 90 Prestatorii de servicii de plată trebuie să includă în rapoartele finale informații complete cu privire la: a) datele efective privind impactul în locul estimărilor utilizate și orice alte actualizări necesare ale informațiilor referitoare la raportul inițial și raportul intermediar, cuprinse în formularele «A - Raport inițial» și «B - Raport intermediar», prevăzute în anexa nr. 3; și ... b) formularul «C - Raport final», cuprins în anexa nr. 3, care să includă cauza principală, dacă aceasta este deja cunoscută, precum și o prezentare succintă a măsurilor adoptate sau planificate a fi adoptate pentru a elimina problema și a preveni reapariția acesteia în viitor. ... Articolul 91 (1) Prestatorii de servicii de plată trebuie să transmită rapoartele finale și atunci când, ca urmare a evaluării pe bază continuă a incidentului, aceștia constată faptul că un incident major deja raportat nu mai îndeplinește criteriile pentru a fi considerat major și nu se preconizează că acesta le va îndeplini înainte de soluționarea incidentului. (2) În situația prevăzută la alin. (1), prestatorii de servicii de plată trebuie să trimită rapoartele finale de îndată ce se constată această situație și, în orice caz, până la termenul transmiterii următorului raport. (3) În situația prevăzută la alin. (1), prestatorii de servicii de plată trebuie să indice reîncadrarea incidentului drept minor, să transmită formularul «C - Raport final», cuprins în anexa nr. 3, și să explice motivele acestei încadrări. Capitolul III Raportarea delegată și consolidată Articolul 92 (1) În cazul prestatorilor de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, care intenționează să delege îndeplinirea obligațiilor de raportare a incidentelor majore unei terțe părți, aceștia trebuie să informeze în prealabil Banca Națională a României și să asigure îndeplinirea următoarelor condiții: a) contractul sau acordurile interne existente în cadrul unui grup, după caz, care stă/stau la baza raportării delegate dintre prestatorul de servicii de plată și terța parte definește/definesc în mod clar alocarea responsabilităților tuturor părților; ... b) delegarea respectă cerințele privind externalizarea funcțiilor operaționale importante prevăzute la: (i) art. 54 și 55 din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative și art. 46-50 din Legea nr. 210/2019 privind activitatea de emitere de monedă electronică în legătură cu instituțiile de plată și, respectiv, pentru instituțiile emitente de monedă electronică; sau (ii) cap. V al titlului II din Regulamentul Băncii Naționale a României nr. 5/2013 privind cerințe prudențiale pentru instituțiile de credit, cu modificările și completările ulterioare, pentru instituțiile de credit; ... c) asigură în mod corespunzător confidențialitatea datelor sensibile, precum și calitatea, consecvența, integritatea și fiabilitatea informațiilor care vor fi transmise Băncii Naționale a României; ... d) transmiterea, în prealabil, către Banca Națională a României a tuturor informațiilor în acord cu prevederile art. 97 și obținerea aprobării prevăzute la art. 98. ... (2) În situația prevăzută la alin. (1) lit. a), contractul sau acordurile interne existente în cadrul unui grup, după caz, trebuie să prevadă în mod clar faptul că prestatorul de servicii de plată afectat rămâne pe deplin responsabil și răspunzător pentru îndeplinirea cerințelor prevăzute la art. 219 alin. (1), (2) și (4) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative și pentru conținutul informațiilor prezentate Băncii Naționale a României. (3) În situația prevăzută la alin. (1) lit. b) pct. (i), prestatorii de servicii de plată vor trata obligația de raportare a incidentelor majore ca funcție operațională importantă. (4) În situația prevăzută la alin. (1) lit. b) pct. (ii), prestatorii de servicii de plată vor trata obligația de raportare a incidentelor majore ca activitate semnificativă, în înțelesul Regulamentului Băncii Naționale a României nr. 5/2013 privind cerințe prudențiale pentru instituțiile de credit, cu modificările și completările ulterioare. Articolul 93 (1) Prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, care intenționează să delege unei terțe părți îndeplinirea obligațiilor de raportare în mod consolidat, prin transmiterea unui singur raport care face referire la mai mulți prestatori de servicii de plată afectați de același incident operațional sau de securitate major, trebuie să informeze Banca Națională a României, să includă informațiile de contact cu privire la prestatorii de servicii de plată afectați, cuprinse în formularul «A - Raport inițial» din anexa nr. 3, și să se asigure de îndeplinirea următoarelor condiții: a) includerea dispozițiilor referitoare la raportarea consolidată în contractul care stă la baza raportării delegate; ... b) raportarea consolidată condiționată de faptul că incidentul este cauzat de o întrerupere a serviciilor prestate de către terța parte; ... c) limitarea raportării consolidate la prestatorii de servicii de plată stabiliți în același stat membru; ... d) transmiterea listei tuturor prestatorilor de servicii de plată afectați de incident și asigurarea faptului că terța parte evaluează semnificația incidentului pentru fiecare prestator de servicii de plată afectat și include în raportul consolidat doar prestatorii de servicii de plată pentru care incidentul a fost clasificat drept unul major. În cazul incertitudinii, asigură includerea unui prestator de servicii de plată în raportul consolidat atât timp cât nu există dovezi în sens contrar; ... e) asigurarea faptului că, atunci când nu este posibil să se furnizeze un singur răspuns în unele câmpuri cuprinse în formularele prevăzute în anexa nr. 3, terța parte fie completează date individuale pentru fiecare prestator de servicii de plată afectat, specificând în plus identitatea fiecărui prestator de servicii de plată la care se referă informațiile, fie utilizează valori agregate, astfel cum au fost observate sau estimate pentru acei prestatori de servicii de plată; ... f) trebuie să se asigure că terța parte informează în permanență prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, cu privire la toate informațiile relevante legate de incident și la toate interacțiunile pe care terța parte le-ar putea avea cu Banca Națională a României, precum și cu privire la conținutul acestora, însă doar în măsura în care acest lucru este compatibil cu evitarea oricărei încălcări a confidențialității în ceea ce privește informațiile referitoare la alți prestatori de servicii de plată. ... (2) Dispozițiile art. 92 alin. (1) lit. b) sunt aplicabile în mod corespunzător în ceea ce privește delegarea unei terțe părți pentru a îndeplini obligațiile de raportare în mod consolidat, în acord cu alin. (1). Articolul 94 Prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, nu trebuie să își delege îndeplinirea obligațiilor de raportare potrivit art. 92 sau 93, după caz, înainte de a obține aprobarea Băncii Naționale a României potrivit prevederilor art. 98 sau după ce au fost informați de către Banca Națională a României cu privire la faptul că acordul de externalizare nu îndeplinește cerințele prevăzute la art. 94 alin. (1) lit. b). Articolul 95 (1) Prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, care intenționează să retragă delegarea îndeplinirii obligațiilor lor de raportare trebuie să informeze Banca Națională a României în termen de maximum 5 zile lucrătoare de la data luării acestei decizii. (2) Prestatorii de servicii de plată prevăzuți la alin. (1) trebuie să informeze Banca Națională a României cu privire la orice evoluție semnificativă care afectează terța parte desemnată și capacitatea acesteia de a-și îndeplini obligațiile de raportare. Articolul 96 (1) Prestatorii de servicii de plată trebuie să își îndeplinească obligațiile de raportare prevăzute în prezentul titlu, fără a recurge la asistența externă, ori de câte ori terța parte desemnată nu a informat Banca Națională a României cu privire la un incident operațional sau de securitate major în conformitate cu prevederile art. 219 alin. (1) și/sau (4) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative și cu cele ale prezentului titlu. (2) Prestatorii de servicii de plată trebuie să se asigure că un incident operațional sau de securitate major nu este raportat de două ori, individual, de către prestatorul de servicii de plată în cauză și încă o dată de către terța parte către care prestatorul de servicii de plată a delegat îndeplinirea obligațiilor de raportare. (3) Prestatorii de servicii de plată trebuie să se asigure că în cazul în care un incident este cauzat de o întrerupere a serviciilor prestate de un furnizor terț de servicii tehnice sau de infrastructură, care afectează mai mulți prestatori de servicii de plată, raportarea delegată se referă la datele individuale aferente prestatorului de servicii de plată afectat, cu excepția cazului în care se raportează consolidat. Articolul 97 (1) Prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, care intenționează, în acord cu prevederile art. 92 și 93, să își delege unei terțe părți obligațiile de raportare a incidentelor operaționale sau de securitate majore specifice propriilor servicii de plată prestate, la nivel individual sau consolidat, trebuie să transmită Băncii Naționale a României, fără întârzieri nejustificate, o cerere însoțită de următoarele documente și informații: a) decizia internă cu privire la raportarea delegată sau consolidată a incidentelor majore specifice propriilor servicii de plată prestate, după caz, semnată la nivelul organului de conducere al prestatorilor de servicii de plată; ... b) extrasul din contractul/acordul intern care stă la baza delegării îndeplinirii obligațiilor de raportare, care să probeze îndeplinirea condițiilor prevăzute la art. 92 alin. (1) lit. a) și c) și, respectiv, art. 93 alin. (1) lit. a)-f), după caz. ... (2) În situația în care documentația transmisă de către prestatorii de servicii de plată nu îndeplinește cerințele menționate la alin. (1), Banca Națională a României comunică acestora, în termen de 30 de zile lucrătoare, documentele și informațiile necesare pentru conformarea la dispozițiile alin. (1). (3) Banca Națională a României poate solicita orice alte informații, date, documente și declarații relevante în scopul evaluării cu privire la delegarea obligațiilor de raportare, în acord cu prevederile art. 92 și 93. (4) Prestatorul de servicii de plată trebuie să transmită informațiile solicitate potrivit alin. (2) și/sau (3) în termen de maximum 45 de zile lucrătoare de la data comunicării solicitării. (5) Pentru situații bine fundamentate de prestatorul de servicii de plată, la cererea acestuia, Banca Națională a României poate prelungi termenul de transmitere a documentelor și informațiilor prevăzut la alin. (4). (6) Documentația este completă numai după ce prestatorii de servicii de plată au transmis toate documentele și informațiile potrivit alin. (1)-(3), în termenul prevăzut la alin. (4), respectiv alin. (5), dacă este cazul. (7) Informațiile și documentele prezentate după expirarea termenelor prevăzute în prezentul articol nu sunt luate în considerare la evaluarea cererii prestatorului de servicii de plată de delegare a unei terțe părți a obligațiilor de raportare a incidentelor operaționale sau de securitate majore. Articolul 98 Banca Națională a României evaluează și comunică prestatorului de servicii de plată decizia sa cu privire la posibilitatea prestatorului de servicii de plată de a delega către o terță parte obligațiile sale de raportare a incidentelor majore potrivit prezentului titlu, în termen de 30 de zile lucrătoare de la data la care documentația este considerată completă potrivit art. 97 alin. (6).
Titlul III
Capitolul I
Articolul 66
Prestatorii de servicii de plată...
Articolul 67
Prestatorii de servicii de plată...
Articolul 68
Articolul 69
Prestatorii de servicii de plată...
Articolul 70
Capitolul II
Articolul 71
Articolul 72
Articolul 73
Prestatorii de servicii de plată...
Articolul 74
Articolul 75
Prestatorii de servicii de plată...
Articolul 76
Prestatorii de servicii de plată...
Articolul 77
Prestatorii de servicii de plată...
Articolul 78
Prestatorii de servicii de plată...
Articolul 79
Prestatorii de servicii de plată...
Articolul 80
Articolul 81
Articolul 82
Articolul 83
Articolul 84
Articolul 85
Când datele efective nu sunt...
Articolul 86
În cazul în care activitatea...
Articolul 87
Prestatorii de servicii de plată...
Articolul 88
Articolul 89
În cazul în care prestatorii...
Articolul 90
Prestatorii de servicii de plată...
Articolul 91
Capitolul III
Articolul 92
(i) art. 54 și 55...
(ii) cap. V al titlului...
Articolul 93
Articolul 94
Prestatorii de servicii de plată,...
Articolul 95
Articolul 96
Articolul 97
Articolul 98
Banca Națională a României evaluează...
6.
Anexa nr. 1 se modifică și se înlocuiește cu anexa nr. 1 care face parte integrantă din prezentul regulament.
anexa nr. 1
7.
Anexa nr. 2 se modifică și se înlocuiește cu anexa nr. 2 care face parte integrantă din prezentul regulament.
anexa nr. 2
8.
Anexa nr. 3 se modifică și se înlocuiește cu anexa nr. 3 care face parte integrantă din prezentul regulament.
anexa nr. 3
Articolul II
Prezentul regulament se publică în...
București, 4 martie 2022.
Nr. 4.
Anexa nr. 1
(Anexa nr. 1 la Regulamentul...
Prestatorii serviciilor de plată trebuie...
Operațiuni afectate reprezintă toate operațiunile...
Pentru incidentele operaționale care afectează...
Prestatorii de servicii de plată...
Dacă nu este posibil a...
Prestatorii de servicii de plată...
Utilizatori ai serviciilor de plată...
În cazul grupurilor, fiecare prestator...
Pentru incidentele operaționale care afectează...
Prestatorii de servicii de plată...
Prestatorii de servicii de plată...
Prestatorii de servicii de plată...
Prestatorii de servicii de plată...
Prestatorii de servicii de plată...
Prestatorii de servicii de plată...
Prestatorii de servicii de plată...
Prestatorii de servicii de plată...
Prestatorii serviciilor de plată trebuie...
Prestatorii de servicii de plată...
vedere dacă, în urma impactului...
Prestatorii de servicii de plată...
Prestatorii de servicii de plată...
Prestatorii de servicii de plată...
Prestatorii de servicii de plată...
Prestatorii de servicii de plată...
Anexa nr. 2
(Anexa nr. 2 la Regulamentul...
> 10% din nivelul obișnuit...
și
durata incidentului > o oră*)
sau
> 500.000 EUR
și
durata incidentului > o oră*)
> 25% din nivelul obișnuit...
sau
> 15.000.000 EUR
> 5.000
și
durata incidentului > o oră*)
sau
> 10% dintre utilizatorii serviciilor...
și
durata incidentului > o oră*)
> 50.000
sau
> 25% dintre utilizatorii serviciilor...
> Max. (0,1% fonduri proprii...
sau
> 5.000.000 EUR
*) Pragul privind durata incidentului...
**) Fondurile proprii de nivelul...
Anexa nr. 3
(Anexa nr. 3 la Regulamentul...
*) Modelele formularelor sunt reproduse...
Prestatorii de servicii de plată...
Raport inițial: aceasta este prima...
Raport intermediar: acesta conține o...
Raport final: acesta este ultimul...
Reîncadrarea incidentului drept unul minor:...
Data și ora raportului: data...
Codul de identificare a incidentului...
Tip de raport:
Individual: trebuie indicat dacă raportul...
Consolidat: trebuie indicat dacă raportul...
Prestatorul de servicii de plată...
Denumirea prestatorului de servicii de...
Numărul unic de identificare al...
Conducerea/Entitatea-mamă la nivelul grupului: în...
Țara/Țările afectată/afectate de incident: trebuie...
Persoana de contact principală: trebuie...
E-mail: trebuie indicată adresa de...
Telefon: trebuie indicat numărul de...
Persoana de contact secundară: trebuie...
E-mail: trebuie indicată adresa de...
Telefon: trebuie indicat numărul de...
Entitatea raportoare: această secțiune trebuie...
Denumirea entității raportoare: trebuie indicată...
Numărul unic de identificare al...
Persoana de contact principală: trebuie...
E-mail: trebuie indicată adresa de...
Telefon: trebuie indicat numărul de...
Persoana de contact secundară: trebuie...
E-mail: trebuie indicată adresa de...
Telefon: trebuie indicat numărul de...
Data și ora detectării incidentului:...
Data și ora încadrării incidentului:...
Incidentul a fost detectat de...
Tipul incidentului: trebuie indicat dacă,...
Operațional: reprezintă un incident apărut...
Securitate: reprezintă un incident cauzat...
Criterii care declanșează elaborarea raportului...
O descriere scurtă și generală...
Impactul asupra altor state ale...
Raportarea incidentului către alte autorități:...
Motivul trimiterii întârziate a raportului...
Descrierea mai detaliată a incidentului:...
A fost considerat incidentul în...
Au fost afectați sau implicați...
S-au aplicat măsuri de gestionare...
Data și ora începerii incidentului:...
Data și ora la care...
Arii funcționale afectate: trebuie indicată...
Autentificare/Autorizare: reprezintă procedurile care permit...
Comunicare: reprezintă fluxul de informații...
Compensare: reprezintă un proces de...
Decontare directă: reprezintă încheierea unei...
Decontare indirectă: reprezintă încheierea unei...
Altele: reprezintă altă arie funcțională...
Modificări aduse rapoartelor anterioare: trebuie...
Operațiuni de plată afectate: trebuie...
Utilizatori ai serviciilor de plată...
Încălcare a securității rețelelor sau...
Perioadă de nefuncționare a serviciului:...
Impact economic: trebuie precizate dacă...
Costuri directe: suma de bani...
Costuri indirecte: suma de bani...
Nivel ridicat de escaladare internă:...
Alți PSP sau infrastructuri relevante...
Impact reputațional: trebuie să se...
Tipul incidentului: trebuie precizată natura...
Cauza incidentului: trebuie precizată cauza...
În curs de investigare: cauza...
Acțiune răuvoitoare: acțiuni care vizează...
Eșecul procesului: cauza incidentului a...
Eșecul sistemului: cauza incidentului este...
Eroare umană: incidentul a fost...
Evenimente externe: cauza este asociată...
Altele: cauza incidentului nu este...
Incidentul v-a afectat direct sau...
Impact general: trebuie indicate dimensiunile...
Integritate: proprietatea de a asigura...
Disponibilitate: proprietatea serviciilor aferente plăților...
Confidențialitate: proprietatea de a nu...
Autenticitate: reprezintă proprietatea unei surse...
Canale comerciale afectate: trebuie precizate...
Sucursale: sediul comercial (altul decât...
Servicii bancare electronice (E-banking): utilizarea...
Servicii bancare prin telefon (Telephone...
Servicii bancare prin telefon mobil...
ATM-uri: dispozitive electromecanice care permit...
Punct de vânzare: spațiu fizic...
Comerț electronic: operațiunea de plată...
Altele: canalul comercial afectat nu...
Servicii de plată afectate: trebuie...
Depunere de numerar într-un cont...
Retragere de numerar dintr-un cont...
Operațiuni necesare funcționării unui cont...
Acceptare de instrumente de plată:...
Operațiuni de transfer-credit: un serviciu...
Debitări directe: un serviciu de...
Operațiuni de plată inițiate cu...
Emitere de instrumente de plată:...
Remitere de bani: un serviciu...
Servicii de inițiere a plății:...
Servicii de informare cu privire...
Ce acțiuni/măsuri au fost luate...
Planurile de asigurare a continuității...
Actualizarea informațiilor din raportul inițial...
Măsurile de control inițiale sunt...
Care a fost cauza principală...
Acțiune răuvoitoare: orice acțiune externă...
Software rău intenționat: de exemplu,...
Colectare de informații: de exemplu,...
Intruziuni: de exemplu, compromiterea unui...
Atac distribuit de indisponibilizare a...
Acțiuni interne deliberate: de exemplu,...
Daunele fizice cauzate de acțiuni...
Securitatea conținutului informațiilor: acces neautorizat...
Acțiuni frauduloase: utilizare neautorizată a...
Altele: cauza incidentului nu este...
Eșecul procesului: cauza incidentului a...
Monitorizare și control deficitare: de...
Aspecte de comunicare: de exemplu,...
Operațiuni necorespunzătoare: de exemplu, nu...
Gestionarea inadecvată a schimbării: de...
Neadecvare a procedurilor și a...
Aspecte legate de recuperare: de...
Altele: cauza incidentului nu este...
Eșecul sistemului: cauza incidentului este...
Eșecul echipamentului: defectarea echipamentelor tehnologice...
Eșecul rețelei: funcționarea necorespunzătoare a...
Deficiențe ale bazei de date:...
Eșecul aplicației/software: defecțiuni ale programelor,...
Daună fizică: de exemplu, daune...
Altele: cauza incidentului nu este...
Eroare umană: incidentul a fost...
Neintenționată: de exemplu, greșeli, erori,...
Lipsă de acțiune: de exemplu,...
Resurse insuficiente: de exemplu, lipsa...
Altele: cauza incidentului nu este...
Eveniment extern: cauza este asociată...
Eșec la nivelul unui furnizor/prestator...
Forță majoră: de exemplu, întreruperea...
Altele: cauza incidentului nu este...
Alte informații relevante privind cauza...
Acțiuni/măsuri corective principale luate sau...
Incidentul a fost comunicat altor...
A fost luată vreo măsură...
Evaluarea eficacității măsurilor aplicate: trebuie...
----