Articolul 129
Art. 129 din REGULAMENT nr. 3 din 1 august 2018 privind monitorizarea infrastructurilor pieței financiare și a instrumentelor de plată
- Titlul III Autorizarea infrastructurilor pieței financiare și notificarea punerii în circulație a instrumentelor de plată
- Capitolul II
(1) În vederea notificării emiterii instrumentelor de plată electronică, prestatorul de servicii de plată va transmite Băncii Naționale a României următoarele documente:
1. În cazul cardurilor:
a) formularul de notificare conform modelului prevăzut la anexa nr. 4 ; o imagine a cardului, scala 1 la 1, avers și revers;
b) fișa de produs.
2. În cazul instrumentelor de plată electronică cu acces la distanță:
a) formularul de notificare conform modelului prevăzut la anexa nr. 5 ;
b) fișa de produs;
c) raportul testelor de penetrare a aplicațiilor software și sistemelor informatice ale prestatorilor de servicii de plată utilizate pentru asigurarea funcționării instrumentului de plată electronică cu acces la distanță. Testarea se va efectua corespunzător nivelului de risc asociat resurselor testate și având în vedere clasificarea lor, așa cum este prevăzută la privind măsurile de securitate referitoare la riscurile operaționale și de securitate și cerințele de raportare aferente serviciilor de plată, cu modificările ulterioare. Testarea se va efectua atât pentru aplicațiile software și sistemele informatice utilizate pentru funcționarea acestor instrumente, cât și pentru cele utilizate în cadrul mecanismelor de autentificare a utilizatorului de servicii de plată;
(la 16-08-2024, Litera c), Punctul 2., Alineatul (1), Articolul 129, Capitolul II, Titlul III a fost modificată de )
d) dovezi cu privire la efectuarea testelor de penetrare menționate la lit. c) de către evaluatori ce fac parte din structuri organizatorice interne sau entități externe independente, care dețin cunoștințe, competențe și expertiză în testarea măsurilor de securitate a informațiilor aferente serviciilor de plată, certificări profesionale în acest scop, precum și declarația din care să rezulte faptul că nu au fost implicați în dezvoltarea măsurilor de securitate a informațiilor aferente serviciilor de plată sau a sistemelor testate;
(la 16-08-2024, Punctul 2., Alineatul (1), Articolul 129, Capitolul II, Titlul III a fost completat de )
e) raportul de audit aprobat de către organul de conducere al prestatorului de servicii de plată, care să îndeplinească cumulativ condițiile prevăzute la alin. (1^1) ;
(la 16-08-2024, Punctul 2., Alineatul (1), Articolul 129, Capitolul II, Titlul III a fost completat de )
f) dovezi cu privire la independența auditorului care întocmește raportul menționat la lit. e) , precum și cu privire la faptul că acesta deține cunoștințe, competențe și experiență în riscurile TIC și de securitate și în plăți, precum și certificări profesionale relevante, în conformitate cu cerințele de la lit. d) ;
(la 16-08-2024, Punctul 2., Alineatul (1), Articolul 129, Capitolul II, Titlul III a fost completat de )
g) lista sistemelor și serviciilor externalizate, care să cuprindă cel puțin denumirea componentei externalizate, o descriere a funcționalităților acesteia și numele furnizorului către care este externalizată componenta respectivă;
(la 16-08-2024, Punctul 2., Alineatul (1), Articolul 129, Capitolul II, Titlul III a fost completat de )
h) ordinul de acreditare ca administrator de arhivă electronică, emis potrivit prevederilor privind arhivarea documentelor în formă electronică, republicată, sau contractul încheiat cu un administrator de arhivă electronică acreditat.
(la 16-08-2024, Punctul 2., Alineatul (1), Articolul 129, Capitolul II, Titlul III a fost completat de )
(1^1) Condițiile la care se referă alin. (1) pct. 2 lit. e) sunt:
a) să conțină concluziile cu privire la măsurile de diminuare a riscurilor operaționale și de securitate, precum și mecanismele de control adecvate pentru a gestiona riscurile TIC și de securitate legate de serviciile de plată oferite prin intermediul instrumentului de plată electronică cu acces la distanță notificat;
b) concluziile formulate potrivit lit. a) trebuie să se bazeze pe examinarea măsurilor implementate de prestatorul de servicii de plată pentru conformarea la cerințele privind măsurile de securitate referitoare la riscurile operaționale și de securitate și cerințele de raportare aferente serviciilor de plată, cu modificările ulterioare;
c) să ia în considerare analiza riscurilor aferente activității, raportul de testare menționat la alin. (1) pct. 2 lit. c) , posibilele deficiențe ale sistemului informatic auditat și măsurile de reducere a riscurilor asociate;
d) să includă metodologia de evaluare;
e) data de întocmire a raportului nu trebuie să fie mai veche de 180 de zile față de data depunerii documentației aferente notificării.
(la 16-08-2024, Articolul 129, Capitolul II, Titlul III a fost completat de )
Notă
și , prevăd:
(2) Instrumentele de plată electronică aflate în circulație și notificate Băncii Naționale a României la data intrării în vigoare a prevederilor prezentului regulament, la expirarea avizului care a stat la baza notificării potrivit cerințelor art. 129 alin. (1) pct. 2 din Regulamentul Băncii Naționale a României nr. 3/2018, cu modificările și completările ulterioare, nu fac obiectul reavizării în baza cerințelor nou-instituite potrivit art. 129 alin. (1) pct. 2 lit. c)-h) din același regulament.
(3) Pentru instrumentele de plată electronică puse în circulație între data publicării și data intrării în vigoare a prevederilor art. I pct. 13-15, prestatorii de servicii de plată au obligația să transmită Băncii Naționale a României avizul emis de către Autoritatea pentru Digitalizarea României. Aceste instrumente de plată nu fac obiectul reavizării la Banca Națională a României în conformitate cu dispozițiile art. I pct. 13-15.
(2) Banca Națională a României poate solicita orice alte informații, date, documente și declarații necesare în vederea evaluării cu privire la punerea în circulație a instrumentului de plată electronică. Prestatorul de servicii de plată trebuie să transmită informațiile solicitate în termen de maximum 30 de zile lucrătoare de la data comunicării solicitării.
(la 15-03-2020, Alineatul (2) din Articolul 129, Capitolul II, Titlul III a fost modificat de )