Capitolul V — Riscuri operaționale și de securitate și autentificarea

(1) Prestatorii de servicii de plată stabilesc un cadru de măsuri de diminuare și mecanisme de control adecvate pentru a gestiona riscurile operaționale și de securitate, legate de serviciile de plată pe care le oferă. Acest cadru de măsuri impune prestatorilor de servicii de plată să instituie, să actualizeze și să aplice proceduri eficace de gestionare a incidentelor, inclusiv pentru identificarea și clasificarea incidentelor operaționale și de securitate majore.

(1^1) Prevederile alin. (1) nu aduc atingere prevederilor capitolului II din Regulamentul (UE) 2022/2.554 al Parlamentului European și al Consiliului din 14 decembrie 2022 privind reziliența operațională digitală a sectorului financiar și de modificare a Regulamentelor (CE) nr. 1.060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 și (UE) 2016/1.011, în cazul în care acestea sunt aplicate de prestatorii de servicii de plată prevăzuți la art. 223 alin. (1) lit. a)-d).

(2) Entitățile prevăzute la art. 223 alin. (1) furnizează Băncii Naționale a României anual, în forma solicitată de aceasta, o evaluare actualizată și completă privind riscurile operaționale și de securitate legate de serviciile de plată pe care le oferă, privind gradul de adecvare a măsurilor de diminuare și a mecanismelor de control puse în aplicare ca răspuns la aceste riscuri.

(3) Banca Națională a României poate să modifice frecvența de transmitere a evaluării prevăzute la alin. (2) de către prestatorii de servicii de plată, în conformitate cu reglementările sale.

(4) În vederea prevenirii și diminuării riscurilor operaționale și de securitate asociate serviciilor de plată furnizate de entitățile prevăzute la art. 223 alin. (1), Banca Națională a României poate coopera și participa la schimbul de informații cu alte autorități competente, Banca Centrală Europeană și Autoritatea Bancară Europeană și, după caz, cu Agenția Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor.

(1) Prestatorii de servicii de plată prevăzuți la art. 223 alin. (1) lit. e), persoane juridice române, care prestează servicii de plată pe teritoriul României, precum și pe teritoriul altor state membre, notifică Băncii Naționale a României orice incident operațional sau de securitate major, fără întârzieri nejustificate și în forma solicitată de Banca Națională a României.

(2) În cazul în care incidentul are sau poate avea un impact asupra intereselor financiare ale utilizatorilor de servicii de plată, prestatorul de servicii de plată informează fără întârzieri nejustificate utilizatorii respectivi cu privire la incident și la toate măsurile pe care utilizatorii le pot lua pentru a atenua efectele negative ale acestuia.

(3) La primirea notificării prevăzute la alin. (1), Banca Națională a României transmite, fără întârzieri nejustificate, Autorității Bancare Europene și Băncii Centrale Europene detaliile relevante ale incidentului. După ce evaluează relevanța incidentului pentru alte autorități naționale din România, Banca Națională a României transmite acestora notificări în consecință. Banca Națională a României în cooperare cu Autoritatea Bancară Europeană și Banca Centrală Europeană evaluează relevanța incidentului pentru alte autorități ale Uniunii Europene și autorități naționale relevante.

(4) Abrogat.

(5) Pe baza notificării primite de la Banca Centrală Europeană și/sau Autoritatea Bancară Europeană cu privire la producerea unui incident, raportat acestora de către autoritatea competentă din statul membru de origine al prestatorului de servicii de plată care a înregistrat incidentul de plată, Banca Națională a României dispune, după caz, toate măsurile necesare pentru protejarea securității imediate a sistemului financiar.

(6) Prestatorii de servicii de plată prevăzuți la art. 223 alin. (1), cu excepția agenților prevăzuți la art. 223 alin. (1) lit. c), furnizează Băncii Naționale a României, cel puțin anual, date statistice privind fraudele legate de diferite mijloace de plată. Banca Națională a României transmite către Autoritatea Bancară Europeană și Banca Centrală Europeană aceste date în formă agregată.

(7) În exercitarea atribuțiilor prevăzute la alin. (5) și (6), Banca Națională a României poate coopera cu alte autorități naționale relevante sau din alte state membre.

(1) Prestatorii de servicii de plată aplică autentificarea strictă a clienților atunci când plătitorul:

(2) Atunci când se inițiază o operațiune de plată electronică în condițiile prevăzute la alin. (1) lit. b), prestatorii de servicii de plată aplică autentificarea strictă a clienților, incluzând elemente care asigură o legătură dinamică între operațiune, o sumă specifică și un beneficiar al plății specific, în cazul în care operațiunile de plată electronică sunt inițiate la distanță.

(3) În cazul prevăzut la alin. (1), prestatorii de servicii de plată instituie măsuri de securitate adecvate în vederea protejării confidențialității și a integrității elementelor de securitate personalizate ale utilizatorilor serviciilor de plată.

(4) Dispozițiile alin. (2) și (3) se aplică în cazul în care plățile sunt inițiate prin intermediul unui prestator de servicii de inițiere a plății, iar dispozițiile alin. (1) și (3) se aplică și în cazul în care informațiile sunt solicitate prin intermediul unui prestator de servicii de informare cu privire la conturi.

(5) Prestatorul de servicii de plată care oferă servicii de administrare cont permite prestatorului de servicii de inițiere a plății să se bazeze pe procedurile de autentificare furnizate utilizatorului de servicii de plată de către prestatorul de servicii de plată care oferă servicii de administrare cont, în cazurile în care este implicat prestatorul de servicii de inițiere a plății, în conformitate cu alin. (1)-(3).

(6) Prestatorul de servicii de plată care oferă servicii de administrare cont permite prestatorului de servicii de informare cu privire la conturi să se bazeze pe procedurile de autentificare furnizate utilizatorului de servicii de plată de către prestatorul de servicii de plată care oferă servicii de administrare cont, în conformitate cu alin. (1) și (3).

(1) Instituțiile de credit, persoane juridice române, precum și sucursalele instituțiilor de credit din state membre și din state terțe, deschise în România, asigură instituțiilor emitente de monedă electronică, instituțiilor de plată și furnizorilor specializați în servicii de informare cu privire la conturi accesul la serviciile de conturi de plăți furnizate de acestea, pe baze obiective, nediscriminatorii și proporționale. Accesul este suficient de extins pentru a permite acestor categorii de prestatori de servicii de plată să furnizeze servicii de plată în mod nerestricționat și eficient.

(2) Instituțiile de credit prevăzute la alin. (1) furnizează Băncii Naționale a României motivația corespunzătoare a oricărei decizii de respingere a accesului la conturile de plăți deschise în evidențele lor, potrivit prevederilor alin. (1).