Regulamentul Băncii Naţionale a României nr. 2/2020 privind măsurile de securitate referitoare la riscurile operaţionale şi de securitate – modificări (Regulamentul BNR nr. 4/2022)

Noua reglementare

Potrivit noii reglementări, titlul III se modifică și va avea următorul conținut:

„Titlul III: Raportarea incidentelor operaționale și/sau de securitate majore

– CAPITOLUL I: Încadrarea incidentelor operaționale și/sau de securitate în categoria incidentelor majore

Art. 66

Prestatorii de servicii de plată trebuie să evalueze dacă un incident operațional sau de securitate aferent serviciilor de plată prestate se încadrează în categoria incidentelor majore, în baza analizei asupra criteriilor și potrivit metodologiei menționate în anexa nr. 1.

Art. 67

Prestatorii de servicii de plată trebuie să evalueze un incident prin a stabili, pentru fiecare criteriu în parte, dacă pragurile relevante din anexa nr. 2 sunt sau este probabil să fie atinse înainte de soluționarea incidentului.

Art. 68

(1) Prestatorii de servicii de plată trebuie să încadreze în categoria incidentelor majore acele incidente operaționale sau de securitate pentru care:

a) unul sau mai multe criterii se încadrează în categoria «Nivel de impact ridicat»; sau

b) trei sau mai multe criterii se încadrează în categoria «Nivel de impact redus».

(2) Criteriile prevăzute la alin. (1) se încadrează în categoria «Nivel de impact redus», respectiv «Nivel de impact ridicat», prin atingerea pragurilor prevăzute în anexa nr. 2.

Art. 69

Prestatorii de servicii de plată trebuie să recurgă la estimări, de exemplu, în etapa investigației inițiale a incidentului, dacă nu dețin date efective pentru a-și fundamenta evaluarea realizată potrivit art. 66-68, cum ar fi un prag stabilit sau pentru care este o probabilitate foarte mare de a fi atins înainte ca incidentul să fie soluționat.

Art. 70

(1) Prestatorii de servicii de plată trebuie să efectueze evaluarea menționată la art. 66-68 pe bază continuă, pe întreaga durată a existenței incidentului, pentru a identifica orice posibilă schimbare a încadrării incidentului, respectiv prin încadrarea incidentului din incident minor în major sau prin încadrarea incidentului din major în minor.

(2) Orice schimbare a încadrării incidentului din categoria incident major în categoria incident minor trebuie transmisă Băncii Naționale a României fără întârzieri nejustificate, conform art. 91.

– CAPITOLUL II: Notificarea incidentelor operaționale și/sau de securitate majore

– SECȚIUNEA 1: Dispoziții generale

Art. 71

(1) Prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, trebuie să completeze și să transmită Băncii Naționale a României raportul privind incidentul major, potrivit formularelor și instrucțiunilor de completare prevăzute în anexa nr. 3.

(2) Prin excepție de la aplicarea prevederilor art. 1 alin. (2) lit. b), prestatorii de servicii de plată prevăzuți la art. 223 alin. (1) lit. c) și d) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, care desfășoară activitate de prestare de servicii de plată pe teritoriul României, trebuie să transmită Băncii Naționale a României o copie a notificării prevăzute la art. 219 alin. (4) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, prin intermediul rețelei de comunicații interbancare.

Art. 72

(1) Prestatorii de servicii de plată trebuie să utilizeze formularele de raport prevăzute în anexa nr. 3 atunci când transmit rapoartele inițiale, intermediare și finale privind același incident, astfel cum sunt menționate în secțiunile a 2-a-a 4-a.

(2) Prestatorii de servicii de plată trebuie să completeze integral și progresiv rubricile din formularele de raport prevăzute la alin. (1), pe măsură ce sunt disponibile mai multe informații în cursul investigațiilor, și să indice informațiile modificate din rapoartele precedente, dacă este cazul.

Art. 73

Prestatorii de servicii de plată trebuie să prezinte Băncii Naționale a României o copie a informării clienților săi, utilizatori ai serviciilor de plată, cu privire la incidentul operațional sau de securitate major și la toate măsurile pe care utilizatorii de servicii de plată le pot lua pentru a atenua efectele negative ale acestuia, conform prevederilor art. 219 alin. (2) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, de îndată ce această informare este disponibilă, dacă este cazul.

Art. 74

(1) Prestatorii de servicii de plată trebuie să pună la dispoziția Băncii Naționale a României, la cererea acesteia, orice informații, date și documente suplimentare rapoartelor transmise.

(2) Orice informație adițională conținută în documentele furnizate Băncii Naționale a României, din propria inițiativă sau la cererea acesteia, trebuie să fie inclusă în rapoarte.

Art. 75

Prestatorii de servicii de plată trebuie să răspundă oricăror solicitări de furnizare de informații suplimentare sau clarificări din partea Băncii Naționale a României cu privire la documentația care a fost deja transmisă.

Art. 76

Prestatorii de servicii de plată trebuie să păstreze în permanență confidențialitatea și integritatea informațiilor schimbate cu Banca Națională a României și să se autentifice în mod corespunzător în raporturile cu aceasta.

– SECȚIUNEA 2: Raportul inițial

Art. 77

Prestatorii de servicii de plată trebuie să transmită un raport inițial Băncii Naționale a României după ce un incident operațional și/sau de securitate a fost clasificat ca fiind major.

Art. 78

Prestatorii de servicii de plată trebuie să indice codul unic de referință de identificare a incidentului comunicat de către Banca Națională a României, atunci când transmit o actualizare a raportului inițial și rapoartele intermediar și final, exceptând situația în care rapoartele intermediar și final sunt transmise împreună cu raportul inițial.

Art. 79

Prestatorii de servicii de plată trebuie să transmită raportul inițial prevăzut la art. 77 în termen de 4 ore de la clasificarea incidentului ca incident operațional și/sau de securitate major, prin canalele de raportare comunicate de către Banca Națională a României sau de îndată ce aceste canale devin din nou disponibile/operaționale, dacă se constată la momentul transmiterii raportării către Banca Națională a României indisponibilitatea canalelor de raportare.

Art. 80

(1) Prestatorii de servicii de plată trebuie să clasifice incidentul ca incident operațional și/sau de securitate major conform prevederilor art. 68 și anexei nr. 2, în timp util de la detectarea incidentului, dar nu mai târziu de 24 de ore de la detectarea incidentului și fără întârzieri nejustificate din momentul în care prestatorul de servicii de plată are disponibile informațiile necesare procesului de clasificare a incidentului.

(2) Dacă este necesară extinderea termenului precizat la alin. (1) pentru clasificarea incidentului, prestatorii de servicii de plată trebuie să explice această necesitate în raportul inițial care va fi transmis Băncii Naționale a României.

Art. 81

(1) Prestatorii de servicii de plată trebuie să transmită, de asemenea, un raport inițial Băncii Naționale a României atunci când un incident cunoscut anterior ca fiind minor este reclasificat ca unul major, ca urmare a evaluării efectuate potrivit art. 70.

(2) În situația prevăzută la alin. (1), prestatorii de servicii de plată trebuie să transmită Băncii Naționale a României, prin canalele de raportare comunicate de către aceasta, raportul inițial, de îndată ce se identifică o schimbare de stare sau de îndată ce aceste canale devin din nou disponibile/operaționale, dacă se constată la momentul transmiterii raportării către Banca Națională a României indisponibilitatea canalelor de raportare.

Art. 82

(1) În rapoartele lor inițiale, prestatorii de servicii de plată trebuie să includă informațiile prevăzute în formularul «A – Raport inițial», cuprins în anexa nr. 3, prezentând unele caracteristici de bază ale incidentului și consecințele preconizate ale acestuia pe baza informațiilor disponibile imediat după încadrarea acestuia ca major, potrivit art. 70.

(2) Prestatorii de servicii de plată trebuie să recurgă la estimări atunci când nu sunt disponibile date efective, în acord cu dispozițiile art. 69.

– SECȚIUNEA 3: Raportul intermediar

Art. 83

(1) Prestatorii de servicii de plată trebuie să transmită raportul intermediar potrivit formularului «B – Raport intermediar», cuprins în anexa nr. 3, când activitățile desfășurate în mod uzual au revenit la normal, cu informarea corespunzătoare a Băncii Naționale a României cu privire la această situație.

(2) Prestatorii de servicii de plată trebuie să considere că activitățile/operațiunile au revenit la normal atunci când acestea se desfășoară la nivelurile acceptabile predefinite anterior sau la nivelurile incluse în contractele încheiate cu furnizorii terți privind nivelul serviciilor cu referire cel puțin la timpii de prelucrare, capacitatea și cerințele de securitate și când măsurile de urgență nu mai sunt aplicabile.

Art. 84

(1) Prestatorii de servicii de plată trebuie să transmită Băncii Naționale a României raportul intermediar potrivit formularului «B – Raport intermediar», cuprins în anexa nr. 3, care să conțină o descriere mai detaliată a incidentului și a consecințelor acestuia.

(2) Dacă activitățile desfășurate în mod uzual nu au fost restabilite, prestatorii de servicii de plată trebuie să transmită Băncii Naționale a României un raport intermediar în termen de 3 zile lucrătoare de la data transmiterii raportului inițial.

(3) Prestatorii de servicii de plată trebuie să actualizeze informațiile deja furnizate în formularele «A – Raport inițial» și «B – Raport intermediar», cuprinse în anexa nr. 3, atunci când au cunoștință despre schimbări semnificative de la data transmiterii raportului anterior, cum ar fi, de exemplu, faptul că incidentul a crescut sau a scăzut în intensitate, sunt identificate cauze noi sau sunt luate măsuri pentru soluționarea incidentului.

(4) În situația în care incidentul nu a fost soluționat în termen de 3 zile lucrătoare, prestatorii de servicii de plată vor actualiza informațiile potrivit alin. (3) și vor transmite Băncii Naționale a României un raport intermediar suplimentar.

(5) Prestatorii de servicii de plată trebuie să transmită un raport intermediar suplimentar la solicitarea Băncii Naționale a României.

Art. 85

Când datele efective nu sunt disponibile, prestatorii de servicii de plată trebuie să recurgă la estimări, prin aplicarea în mod corespunzător a prevederilor art. 69.

Art. 86

În cazul în care activitatea prestatorului de servicii de plată a revenit la normal în termenul de 4 ore de la momentul clasificării incidentului operațional și/sau de securitate ca major, prestatorii de servicii de plată trebuie să aibă în vedere transmiterea în mod simultan a raportului inițial și a raportului intermediar, prin completarea și transmiterea formularelor «A – Raport inițial» și «B – Raport intermediar», cuprinse în anexa nr. 3, înainte de termenul de 4 ore.

– SECȚIUNEA 4: Raportul final

Art. 87

Prestatorii de servicii de plată trebuie să trimită un raport final potrivit formularului «C – Raport final», cuprins în anexa nr. 3, atunci când a fost efectuată analiza cauzelor principale, indiferent dacă au fost deja implementate măsurile de atenuare a incidentului sau dacă a fost identificată cauza principală finală, și atunci când există date disponibile pentru a înlocui orice estimări.

Art. 88

(1) Prestatorii de servicii de plată trebuie să transmită raportul final Băncii Naționale a României în termen de maximum 20 de zile lucrătoare de la data la care aceștia pot demonstra că activitatea a revenit la normal.

(2) Prestatorii de servicii de plată care au nevoie de o prelungire a termenului prevăzut la alin. (1), inclusiv dacă nu sunt încă disponibile date efective cu privire la impact sau dacă nu a fost identificată cauza principală finală, trebuie să contacteze Banca Națională a României înainte de împlinirea termenului prevăzut la alin. (1) și să comunice o justificare adecvată a întârzierii, precum și o nouă dată estimată pentru transmiterea raportului final.

Art. 89

În cazul în care prestatorii de servicii de plată pot să comunice toate informațiile necesare în raportul final potrivit formularului «C – Raport final», cuprins în anexa nr. 3, în decurs de 4 ore de la momentul clasificării incidentului ca major, aceștia trebuie să aibă în vedere furnizarea agregată a informațiilor referitoare la raportul inițial, raportul intermediar și raportul final prin completarea și transmiterea împreună/simultan a formularelor «A – Raport inițial», «B – Raport intermediar» și «C – Raport final», cuprinse în anexa nr. 3.

Art. 90

Prestatorii de servicii de plată trebuie să includă în rapoartele finale informații complete cu privire la:

a) datele efective privind impactul în locul estimărilor utilizate și orice alte actualizări necesare ale informațiilor referitoare la raportul inițial și raportul intermediar, cuprinse în formularele «A – Raport inițial» și «B – Raport intermediar», prevăzute în anexa nr. 3; și

b) formularul «C – Raport final», cuprins în anexa nr. 3, care să includă cauza principală, dacă aceasta este deja cunoscută, precum și o prezentare succintă a măsurilor adoptate sau planificate a fi adoptate pentru a elimina problema și a preveni reapariția acesteia în viitor.

Art. 91

(1) Prestatorii de servicii de plată trebuie să transmită rapoartele finale și atunci când, ca urmare a evaluării pe bază continuă a incidentului, aceștia constată faptul că un incident major deja raportat nu mai îndeplinește criteriile pentru a fi considerat major și nu se preconizează că acesta le va îndeplini înainte de soluționarea incidentului.

(2) În situația prevăzută la alin. (1), prestatorii de servicii de plată trebuie să trimită rapoartele finale de îndată ce se constată această situație și, în orice caz, până la termenul transmiterii următorului raport.

(3) În situația prevăzută la alin. (1), prestatorii de servicii de plată trebuie să indice reîncadrarea incidentului drept minor, să transmită formularul «C – Raport final», cuprins în anexa nr. 3, și să explice motivele acestei încadrări.

– CAPITOLUL III: Raportarea delegată și consolidată

Art. 92

(1) În cazul prestatorilor de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, care intenționează să delege îndeplinirea obligațiilor de raportare a incidentelor majore unei terțe părți, aceștia trebuie să informeze în prealabil Banca Națională a României și să asigure îndeplinirea următoarelor condiții:

a) contractul sau acordurile interne existente în cadrul unui grup, după caz, care stă/stau la baza raportării delegate dintre prestatorul de servicii de plată și terța parte definește/definesc în mod clar alocarea responsabilităților tuturor părților;

b) delegarea respectă cerințele privind externalizarea funcțiilor operaționale importante prevăzute la:

(i)art. 54 și 55 din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative și art. 46-50 din Legea nr. 210/2019 privind activitatea de emitere de monedă electronică în legătură cu instituțiile de plată și, respectiv, pentru instituțiile emitente de monedă electronică; sau

(ii)cap. V al titlului II din Regulamentul Băncii Naționale a României nr. 5/2013 privind cerințe prudențiale pentru instituțiile de credit, cu modificările și completările ulterioare, pentru instituțiile de credit;

c) asigură în mod corespunzător confidențialitatea datelor sensibile, precum și calitatea, consecvența, integritatea și fiabilitatea informațiilor care vor fi transmise Băncii Naționale a României;

d) transmiterea, în prealabil, către Banca Națională a României a tuturor informațiilor în acord cu prevederile art. 97 și obținerea aprobării prevăzute la art. 98.

(2) În situația prevăzută la alin. (1) lit. a), contractul sau acordurile interne existente în cadrul unui grup, după caz, trebuie să prevadă în mod clar faptul că prestatorul de servicii de plată afectat rămâne pe deplin responsabil și răspunzător pentru îndeplinirea cerințelor prevăzute la art. 219 alin. (1), (2) și (4) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative și pentru conținutul informațiilor prezentate Băncii Naționale a României.

(3) În situația prevăzută la alin. (1) lit. b) pct. (i), prestatorii de servicii de plată vor trata obligația de raportare a incidentelor majore ca funcție operațională importantă.

(4) În situația prevăzută la alin. (1) lit. b) pct. (ii), prestatorii de servicii de plată vor trata obligația de raportare a incidentelor majore ca activitate semnificativă, în înțelesul Regulamentului Băncii Naționale a României nr. 5/2013 privind cerințe prudențiale pentru instituțiile de credit, cu modificările și completările ulterioare.

Art. 93

(1) Prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, care intenționează să delege unei terțe părți îndeplinirea obligațiilor de raportare în mod consolidat, prin transmiterea unui singur raport care face referire la mai mulți prestatori de servicii de plată afectați de același incident operațional sau de securitate major, trebuie să informeze Banca Națională a României, să includă informațiile de contact cu privire la prestatorii de servicii de plată afectați, cuprinse în formularul «A – Raport inițial» din anexa nr. 3, și să se asigure de îndeplinirea următoarelor condiții:

a) includerea dispozițiilor referitoare la raportarea consolidată în contractul care stă la baza raportării delegate;

b) raportarea consolidată condiționată de faptul că incidentul este cauzat de o întrerupere a serviciilor prestate de către terța parte;

c) limitarea raportării consolidate la prestatorii de servicii de plată stabiliți în același stat membru;

d) transmiterea listei tuturor prestatorilor de servicii de plată afectați de incident și asigurarea faptului că terța parte evaluează semnificația incidentului pentru fiecare prestator de servicii de plată afectat și include în raportul consolidat doar prestatorii de servicii de plată pentru care incidentul a fost clasificat drept unul major. În cazul incertitudinii, asigură includerea unui prestator de servicii de plată în raportul consolidat atât timp cât nu există dovezi în sens contrar;

e) asigurarea faptului că, atunci când nu este posibil să se furnizeze un singur răspuns în unele câmpuri cuprinse în formularele prevăzute în anexa nr. 3, terța parte fie completează date individuale pentru fiecare prestator de servicii de plată afectat, specificând în plus identitatea fiecărui prestator de servicii de plată la care se referă informațiile, fie utilizează valori agregate, astfel cum au fost observate sau estimate pentru acei prestatori de servicii de plată;

f) trebuie să se asigure că terța parte informează în permanență prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, cu privire la toate informațiile relevante legate de incident și la toate interacțiunile pe care terța parte le-ar putea avea cu Banca Națională a României, precum și cu privire la conținutul acestora, însă doar în măsura în care acest lucru este compatibil cu evitarea oricărei încălcări a confidențialității în ceea ce privește informațiile referitoare la alți prestatori de servicii de plată.

(2) Dispozițiile art. 92 alin. (1) lit. b) sunt aplicabile în mod corespunzător în ceea ce privește delegarea unei terțe părți pentru a îndeplini obligațiile de raportare în mod consolidat, în acord cu alin. (1).

Art. 94

Prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, nu trebuie să își delege îndeplinirea obligațiilor de raportare potrivit art. 92 sau 93, după caz, înainte de a obține aprobarea Băncii Naționale a României potrivit prevederilor art. 98 sau după ce au fost informați de către Banca Națională a României cu privire la faptul că acordul de externalizare nu îndeplinește cerințele prevăzute la art. 94 alin. (1) lit. b).

Art. 95

(1) Prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, care intenționează să retragă delegarea îndeplinirii obligațiilor lor de raportare trebuie să informeze Banca Națională a României în termen de maximum 5 zile lucrătoare de la data luării acestei decizii.

(2) Prestatorii de servicii de plată prevăzuți la alin. (1) trebuie să informeze Banca Națională a României cu privire la orice evoluție semnificativă care afectează terța parte desemnată și capacitatea acesteia de a-și îndeplini obligațiile de raportare.

Art. 96

(1) Prestatorii de servicii de plată trebuie să își îndeplinească obligațiile de raportare prevăzute în prezentul titlu, fără a recurge la asistența externă, ori de câte ori terța parte desemnată nu a informat Banca Națională a României cu privire la un incident operațional sau de securitate major în conformitate cu prevederile art. 219 alin. (1) și/sau (4) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative și cu cele ale prezentului titlu.

(2) Prestatorii de servicii de plată trebuie să se asigure că un incident operațional sau de securitate major nu este raportat de două ori, individual, de către prestatorul de servicii de plată în cauză și încă o dată de către terța parte către care prestatorul de servicii de plată a delegat îndeplinirea obligațiilor de raportare.

(3) Prestatorii de servicii de plată trebuie să se asigure că în cazul în care un incident este cauzat de o întrerupere a serviciilor prestate de un furnizor terț de servicii tehnice sau de infrastructură, care afectează mai mulți prestatori de servicii de plată, raportarea delegată se referă la datele individuale aferente prestatorului de servicii de plată afectat, cu excepția cazului în care se raportează consolidat.

Art. 97

(1) Prestatorii de servicii de plată, prevăzuți la art. 223 alin. (1) lit. a), b) și e) din Legea nr. 209/2019 privind serviciile de plată și pentru modificarea unor acte normative, care intenționează, în acord cu prevederile art. 92 și 93, să își delege unei terțe părți obligațiile de raportare a incidentelor operaționale sau de securitate majore specifice propriilor servicii de plată prestate, la nivel individual sau consolidat, trebuie să transmită Băncii Naționale a României, fără întârzieri nejustificate, o cerere însoțită de următoarele documente și informații:

a) decizia internă cu privire la raportarea delegată sau consolidată a incidentelor majore specifice propriilor servicii de plată prestate, după caz, semnată la nivelul organului de conducere al prestatorilor de servicii de plată;

b) extrasul din contractul/acordul intern care stă la baza delegării îndeplinirii obligațiilor de raportare, care să probeze îndeplinirea condițiilor prevăzute la art. 92 alin. (1) lit. a) și c) și, respectiv, art. 93 alin. (1) lit. a)-f), după caz.

(2) În situația în care documentația transmisă de către prestatorii de servicii de plată nu îndeplinește cerințele menționate la alin. (1), Banca Națională a României comunică acestora, în termen de 30 de zile lucrătoare, documentele și informațiile necesare pentru conformarea la dispozițiile alin. (1).

(3) Banca Națională a României poate solicita orice alte informații, date, documente și declarații relevante în scopul evaluării cu privire la delegarea obligațiilor de raportare, în acord cu prevederile art. 92 și 93.

(4) Prestatorul de servicii de plată trebuie să transmită informațiile solicitate potrivit alin. (2) și/sau (3) în termen de maximum 45 de zile lucrătoare de la data comunicării solicitării.

(5) Pentru situații bine fundamentate de prestatorul de servicii de plată, la cererea acestuia, Banca Națională a României poate prelungi termenul de transmitere a documentelor și informațiilor prevăzut la alin. (4).

(6) Documentația este completă numai după ce prestatorii de servicii de plată au transmis toate documentele și informațiile potrivit alin. (1)-(3), în termenul prevăzut la alin. (4), respectiv alin. (5), dacă este cazul.

(7) Informațiile și documentele prezentate după expirarea termenelor prevăzute în prezentul articol nu sunt luate în considerare la evaluarea cererii prestatorului de servicii de plată de delegare a unei terțe părți a obligațiilor de raportare a incidentelor operaționale sau de securitate majore.

Art. 98

Banca Națională a României evaluează și comunică prestatorului de servicii de plată decizia sa cu privire la posibilitatea prestatorului de servicii de plată de a delega către o terță parte obligațiile sale de raportare a incidentelor majore potrivit prezentului titlu, în termen de 30 de zile lucrătoare de la data la care documentația este considerată completă potrivit art. 97 alin. (6).”