Articolul 27
Art. 27 din REGULAMENT nr. 2 din 30 ianuarie 2020 privind măsurile de securitate referitoare la riscurile operaționale și de securitate și cerințele de raportare aferente serviciilor de plată
- Titlul II Gestionarea riscurilor TIC și de securitate
- Capitolul IV Măsurile de securitate preventive
- Secţiunea a 2-a Politica în domeniul securității informațiilor
(1) Prestatorii de servicii de plată trebuie să dezvolte și să documenteze o politică în domeniul securității informațiilor care trebuie să definească principiile generale și normele de protejare a confidențialității, integrității și disponibilității datelor și informațiilor prestatorilor de servicii de plată și ale clienților lor.
(2) Politica prevăzută la alin. (1) trebuie să fie inclusă în documentul privind politica de securitate în materia prestării serviciilor de plată, care este adoptat în conformitate cu privind instituțiile de plată și furnizorii specializați în servicii de informare cu privire la conturi.
(3) Politica în domeniul securității informațiilor trebuie să fie în concordanță cu obiectivele de securitate a informațiilor ale prestatorilor de servicii de plată stabilite potrivit art. 7 alin. (1) lit. c) și trebuie să se bazeze pe rezultatele relevante ale procesului de evaluare a riscurilor TIC și de securitate ale activității lor de prestare de servicii aferente plăților.
(4) Politica în domeniul securității informațiilor realizată potrivit alin. (1) trebuie aprobată de organul de conducere.
(5) Politica în domeniul securității informațiilor trebuie:
a) să conțină o descriere a rolurilor și responsabilităților principale de gestionare a securității informațiilor;
b) să stabilească cerințele referitoare la securitatea informațiilor pentru personal și contractanți, procese și tehnologie, inclusiv cu privire la faptul că personalul și contractanții de la toate nivelurile trebuie să fie responsabili în asigurarea securității informațiilor prestatorilor de servicii de plată;
c) să asigure confidențialitatea, integritatea și disponibilitatea activelor fizice și logice critice, ale resurselor și ale datelor sensibile privind plățile, aferente prestatorilor de servicii de plată, fie că sunt în stare de repaus, în tranzit sau în folosință;
d) să fie comunicată tuturor membrilor personalului și contractanților prestatorilor de servicii de plată.
(6) Dacă datele sensibile privind plățile includ date cu caracter personal, astfel de măsuri trebuie puse în aplicare în conformitate cu prevederile privind serviciile de plată și pentru modificarea unor acte normative.