Articolul 37

a) evaluarea detaliată a riscurilor TIC și de securitate aferente serviciilor de plată pe care solicitantul intenționează să le desfășoare/să le presteze, inclusiv riscul de fraudă și descrierea măsurilor de control de securitate și de diminuare a riscurilor identificate pentru protejarea utilizatorilor serviciilor de plată, cu respectarea cerințelor art. 24 alin. (2) ;

b) descrierea sistemelor TIC, inclusiv: arhitectura de sistem și elementele rețelei; sistemele-suport ale afacerii, precum website-ul, portofelul electronic, motorul de plăți, motorul de gestionare a riscurilor și fraudelor și sistemul de evidență a clienților; sistemul informatic folosit pentru organizarea și administrarea instituției emitente de monedă electronică, precum: sistemul de contabilitate, raportări în conformitate cu cadrul legal, gestiunea personalului, gestiunea relației cu clienții, serverul de e-mailuri și de fișiere cu date interne; informații legate de utilizarea curentă a sistemului de către solicitant sau grupul din care face parte sau, după caz, data estimată a implementării;

c) prezentarea tipurilor de conexiuni externe permise, precum cele cu parteneri, furnizori externi, entități din grup și angajați care lucrează de la distanță, însoțită de justificarea acestor conexiuni și măsurile de securitate aferente acestora, natura și frecvența verificărilor pe care solicitantul le efectuează asupra conexiunilor respective: din perspectivă tehnică și organizațională, preventivă sau investigatorie, monitorizare în timp real sau verificare periodică prin utilizarea pe server a unui director separat de grup, deschiderea/închiderea liniilor de comunicare, configurarea echipamentelor de securitate, generarea de parole sau certificate de autentificare, monitorizarea sistemelor, autentificare, confidențialitatea comunicațiilor, sisteme de conectare, detectarea accesului nepermis, sisteme antivirus;

d) măsurile și mecanismele de securitate care guvernează accesul la sistemul informatic, inclusiv natura tehnică sau organizațională și frecvența fiecărei măsuri, respectiv dacă este preventivă sau investigatorie și dacă este aplicată în timp real, precum și modul în care este gestionată problema delimitării clare a mediului în care este permis accesul clienților în cazul în care resurse informatice ale instituției sunt partajate cu aceștia;

e) măsurile și mecanismele de securitate fizică la intrarea în sedii, precum acces controlat și securitatea mediului de lucru;

f) securitatea proceselor de plată, inclusiv: descrierea procedurii de autentificare a clientului, atât pentru consultarea informațiilor, cât și pentru efectuarea de tranzacții și, dacă este cazul, pentru fiecare instrument de plată; prezentarea modului în care se asigură transmiterea în siguranță și nealterate către utilizatorul legitim al serviciilor cu monedă electronică și, dacă este cazul, al serviciilor de plată, a dispozitivelor și procedurilor de autentificare, respectiv tokenuri și aplicații mobile, atât la inițierea relației, cât și la prelungirea acesteia; descrierea sistemelor și procedurilor pe care instituția emitentă de monedă electronică le-a implementat pentru a analiza tranzacțiile și a identifica tranzacții neobișnuite sau suspecte;

g) lista procedurilor scrise referitoare la sistemul informatic.