Caută.ro
RO | EN

Capitolul VII — Gestionarea continuității activității de prestare a serviciilor aferente plăților

On this page

Secțiunea 1 — Dispoziții generale

Articolul 49

Prestatorii de servicii de plată trebuie să instituie un proces solid de gestionare a continuității activității de prestare a serviciilor aferente plăților pentru a-și maximiza capacitatea de a presta servicii de plată în mod continuu și pentru a limita pierderile în caz de întrerupere gravă a activității de prestare a serviciilor aferente plăților, prin aplicarea în mod corespunzător a prevederilor art. 61-64 din Regulamentul nr. 5/2013 privind cerințe prudențiale pentru instituțiile de credit, cu modificările și completările ulterioare.

Secțiunea a 2-a — Analiza impactului asupra activității de prestare a serviciilor aferente plăților

Articolul 50

(1) Prestatorii de servicii de plată trebuie să realizeze o analiză de impact cu privire la expunerea activității de prestare a serviciilor aferente plăților la întreruperea gravă a acesteia, ca parte a bunei gestionări a continuității activității de prestare a serviciilor aferente plăților.

(2) În cadrul analizei prevăzute la alin. (1) prestatorii de servicii de plată trebuie să evalueze, cantitativ și calitativ, impactul potențial al întreruperii grave a activității de prestare a serviciilor aferente plăților, inclusiv asupra confidențialității, integrității și disponibilității, folosind date interne și/sau externe, inclusiv date de la furnizorii terți, relevante pentru un proces aferent activității de prestare a serviciilor aferente plăților, sau date disponibile public care pot fi relevante pentru analiza de impact asupra activității de prestare a serviciilor aferente plăților și analize pe bază de scenariu.

(3) Analiza de impact asupra activității de prestare a serviciilor aferente plăților realizată conform alin. (1) trebuie să țină seama și de nivelul critic al funcțiilor activității de prestare a serviciilor aferente plăților, al proceselor-suport, al terților și al activelor informaționale identificate și clasificate, precum și de interdependențele acestora, în conformitate cu prevederile art. 16-18.

Articolul 50^1

Prestatorii de servicii de plată trebuie să se asigure că sistemele și serviciile lor TIC sunt concepute și în concordanță cu analiza lor de impact asupra activității de prestare a serviciilor aferente plăților, inclusiv din perspectiva redundanței anumitor componente critice, pentru a preveni întreruperile cauzate de evenimente cu impact asupra componentelor respective.

Secțiunea a 3-a — Planificarea continuității activității de prestare a serviciilor aferente plăților pe bază de scenariu

Articolul 51

(1) În baza analizei de impact efectuate potrivit prevederilor art. 50, prestatorii de servicii de plată trebuie să implementeze:

a) planuri de continuitate a activității de prestare a serviciilor aferente plăților pentru a se asigura că pot răspunde în mod corespunzător la urgențe și că pot menține activitățile lor operaționale critice;

b) măsuri de atenuare care trebuie adoptate în cazul încetării prestării serviciilor de plată și în cazul rezilierii contractelor existente, pentru evitarea efectelor negative asupra sistemelor de plăți și asupra utilizatorilor de servicii de plată și pentru a asigura executarea operațiunilor de plată în așteptare.

(2) Prestatorii de servicii de plată trebuie să se asigure că planul de continuitate prevăzut la alin. (1) este documentat și aprobat de organele lor de conducere.

(3) Planurile trebuie să țină seama în mod special de riscurile care ar putea afecta în mod negativ sistemele și serviciile TIC.

(4) Prestatorii de servicii de plată trebuie să se asigure că planurile de continuitate a activității de prestare a serviciilor aferente plăților sprijină obiectivele de a proteja și, dacă este cazul, de a restabili confidențialitatea, integritatea și disponibilitatea funcțiilor activității de prestare a serviciilor aferente plăților, a proceselor-suport și a activelor informaționale.

(5) Prestatorii de servicii de plată trebuie să se coordoneze și să coopereze cu părțile relevante de la nivel intern și extern care sunt interesate, după caz, pe parcursul elaborării planurilor de continuitate a activității de prestare a serviciilor aferente plăților.

Articolul 51^1

(1) Prestatorii de servicii de plată trebuie să pună în aplicare planuri de asigurare a continuității activității de prestare a serviciilor aferente plăților pentru a se asigura că acestea pot reacționa în mod corespunzător la eventuale scenarii de intrare în dificultate și că sunt capabile să își redreseze operațiunile critice ale activității lor de prestare a serviciilor aferente plăților în urma unor întreruperi, conform obiectivului timp de recuperare (RTO) și obiectivului punct de recuperare (RPO).

(2) Prestatorii de servicii de plată trebuie să stabilească ordinea de prioritate pentru acțiunile specifice din cadrul planului de continuitate a activității de prestare a serviciilor aferente plăților, declanșate ca urmare a unei întreruperi grave a activității de prestare a serviciilor aferente plăților, folosind o abordare bazată pe riscuri, care se poate fundamenta pe evaluările riscurilor efectuate potrivit cap. III al prezentului titlu.

(3) Planurile de asigurare a continuității activității de prestare a serviciilor aferente plăților prevăzute la alin. (1) trebuie să faciliteze cel puțin prelucrarea operațiunilor critice, în timp ce continuă eforturile de remediere.

Articolul 52

(1) Prestatorii de servicii de plată trebuie să ia în considerare o serie de scenarii diferite în planul lor de asigurare a continuității activității de prestare a serviciilor aferente plăților, inclusiv cele extreme, dar plauzibile, la care ar putea fi expuși, inclusiv un scenariu de atac cibernetic, și trebuie să evalueze impactul potențial al unor astfel de scenarii.

(2) Pe baza scenariilor prevăzute la alin. (1), prestatorii de servicii de plată trebuie să descrie modul în care sunt asigurate continuitatea sistemelor și serviciilor TIC și securitatea informațiilor acestora.

Secțiunea a 4-a — Planurile de intervenție și de redresare

Articolul 53

(1) În baza analizei de impact asupra activității de prestare a serviciilor aferente plăților efectuate potrivit prevederilor art. 50 și a scenariilor plauzibile identificate potrivit prevederilor art. 52, prestatorii de servicii de plată trebuie să elaboreze planuri de intervenție și de redresare.

(2) Planurile de intervenție și redresare prevăzute la alin. (1) trebuie:

a) să precizeze condițiile în care poate fi declanșată activarea planurilor și măsurile care trebuie luate pentru a asigura disponibilitatea, continuitatea și redresarea cel puțin a sistemelor și serviciilor TIC critice ale prestatorilor de servicii de plată;

b) să vizeze atingerea obiectivelor de redresare a operațiunilor prestatorilor de servicii de plată;

c) să țină seama atât de opțiunile de redresare pe termen scurt, cât și de cele pe termen lung;

d) să se concentreze pe redresarea operațiunilor funcțiilor critice aferente activității de prestare a serviciilor aferente plăților, proceselor-suport, sistemelor și activelor informaționale, precum și ale interdependențelor dintre acestea pentru a evita efectele negative asupra funcționării prestatorilor de servicii de plată și asupra sistemului financiar, inclusiv asupra sistemelor de plată și asupra utilizatorilor serviciilor de plată, și pentru a asigura executarea operațiunilor de plată în așteptare;

e) să fie documentate și puse la dispoziția unităților operaționale și funcțiilor-suport și ușor accesibile în caz de urgență;

f) să fie actualizate în conformitate cu experiența dobândită din incidente și teste, cu noile riscuri și amenințări identificate, precum și cu prioritățile și obiectivele de redresare modificate;

g) să aibă în vedere și opțiuni alternative, în cazul în care este posibil ca redresarea să nu fie fezabilă pe termen scurt, din cauza costurilor, riscurilor, logisticii sau a situațiilor neprevăzute.

(3) În cadrul planurilor de intervenție și de redresare, prestatorul de servicii de plată trebuie să aibă în vedere și punerea în aplicare a măsurilor de asigurare a continuității pentru a atenua incapacitățile furnizorilor terți, măsuri extrem de importante pentru asigurarea continuității serviciilor TIC ale prestatorului de servicii de plată în concordanță cu dispozițiile Ghidului ABE privind externalizarea EBA/GL/2019/02 referitoare la planurile de continuitate a activității.

Secțiunea a 5-a — Testarea planurilor

Articolul 54

(1) Prestatorii de servicii de plată trebuie să testeze planurile de asigurare a continuității activității de prestare a serviciilor aferente plăților.

(2) Prestatorii de servicii de plată trebuie să se asigure că planurile de asigurare a continuității funcțiilor critice ale activității lor de prestare a serviciilor aferente plăților, ale proceselor-suport, ale activelor informaționale și ale interdependențelor dintre acestea, inclusiv cele furnizate de terți, unde este cazul, sunt testate cel puțin anual potrivit art. 56.

Articolul 55

(1) Prestatorii de servicii de plată trebuie să actualizeze planurile de continuitate a activității de prestare a serviciilor aferente plăților cel puțin anual, pe baza rezultatelor testelor prevăzute la art. 54 alin. (2), a informațiilor privind amenințările curente, a schimbului de informații și a experienței dobândite din evenimentele anterioare.

(2) Orice modificări ale obiectivelor de redresare a activității de prestare a serviciilor aferente plăților (inclusiv ale RTO și RPO) și/sau modificări ale funcțiilor activității lor de prestare a serviciilor aferente plăților, ale proceselor-suport și ale activelor informaționale, dacă este cazul, trebuie să fie luate în considerare, inclusiv ca o bază pentru actualizarea planurilor de asigurare a continuității activității de prestare a serviciilor aferente plăților.

Articolul 56

(1) Testarea planurilor de asigurare a continuității activității de prestare de servicii aferente plăților prevăzută la art. 54 trebuie să demonstreze capacitatea acestora de a susține viabilitatea activității de prestare de servicii aferente plăților a prestatorilor de servicii de plată până la restabilirea operațiunilor lor critice.

(2) Testarea planurilor de asigurare a continuității activității de prestare de servicii aferente plăților prevăzută la alin. (1) trebuie:

a) să includă un set adecvat de scenarii, extreme, dar plauzibile, inclusiv cele avute în vedere la elaborarea planurilor de asigurare a continuității activității de prestare de servicii aferente plăților prevăzute la art. 52, precum și testarea serviciilor prestate de terți, unde este cazul;

b) să includă transferarea funcțiilor critice ale activității de prestare de servicii aferente plăților, ale proceselor-suport și ale activelor informaționale în mediul de redresare în caz de dezastru și demonstrarea faptului că pot fi gestionate astfel o perioadă suficient de reprezentativă și că funcționarea normală poate fi restabilită ulterior;

c) să fie concepute pentru a verifica ipotezele pe care se bazează planurile de asigurare a continuității activității de prestare de servicii aferente plăților, inclusiv mecanismele de guvernanță și planurile de comunicare în situații de criză; și

d) să includă proceduri pentru verificarea capacității personalului și a contractanților, a sistemelor și serviciilor TIC de a răspunde în mod corespunzător la scenariile prevăzute la art. 52.

Articolul 57

Prestatorii de servicii de plată trebuie să documenteze rezultatele testelor și să analizeze, abordeze și să raporteze organului de conducere toate deficiențele identificate în urma testelor.

Secțiunea a 6-a — Comunicările în situații de criză

Articolul 58

Prestatorii de servicii de plată trebuie să se asigure că atât în cazul unei întreruperi a activității lor de prestare de servicii aferente plăților sau al unei situații de urgență, cât și pe parcursul punerii în aplicare a planurilor de asigurare a continuității activității de prestare de servicii aferente plăților au prevăzut măsuri eficiente de comunicare în situații de criză, astfel încât toate părțile interesate interne și externe relevante, inclusiv furnizori de servicii de externalizare, entități din grup sau furnizori terți, precum și Banca Națională a României, sunt informate în timp util și în mod corespunzător.

Source: legislatie.just.ro (Official Gazette). The text shown is the current consolidated form (in Romanian).