Articolul II
Art. II din REGULAMENT nr. 1 din 15 mai 2025 privind modificarea unor acte normative emise de Banca Națională a României
privind instituțiile de plată și furnizorii specializați în servicii de informare cu privire la conturi, , cu modificările și completările ulterioare, se modifică după cum urmează:
1. se modifică și va avea următorul cuprins:
(1) Solicitantul trebuie să demonstreze Băncii Naționale a României că dispune de un cadru de organizare și administrare a activității de prestare de servicii de plată riguros conceput și de mecanisme de control intern care să asigure efectuarea de verificări permanente și periodice, inclusiv politici și proceduri administrative, de gestionare a riscurilor, de asigurare a conformității cu cerințele cadrului legal și de reglementare și contabile, precum și de acorduri contractuale încheiate sau în stadiu de proiect, dacă este cazul, pentru utilizarea serviciilor TIC, în conformitate cu Regulamentul (UE) 2022/2.554 al Parlamentului European și al Consiliului din 14 decembrie 2022 privind reziliența operațională digitală a sectorului financiar și de modificare a Regulamentelor (CE) nr. 1.060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 și (UE) 2016/1.011, care sunt adecvate, cuprinzătoare și adaptate la natura, extinderea și complexitatea serviciilor de plată prestate.
(2) Potrivit naturii, extinderii și complexității serviciilor de plată prestate, mecanismele de control intern cuprind, după caz, funcția de administrare a riscurilor, de asigurare a conformității și de audit intern.
(3) În cadrul mecanismelor de control intern, solicitantul instituie aranjamente de audit, interne sau externe, independente de activitățile controlate, care să asigure că toate operațiunile aferente activității de prestare de servicii de plată pe care le desfășoară solicitantul, inclusiv cele aferente funcțiilor operaționale externalizate, sunt conforme cu politicile și procedurile interne și cu prevederile privind serviciile de plată și pentru modificarea unor acte normative, cu modificările și completările ulterioare, și ale Regulamentului (UE) 2022/2.554.
(4) În cadrul evaluării ducerii la îndeplinire a obligației prevăzute la alin. (1) de către instituțiile de plată care externalizează funcții operaționale potrivit art. 54, 55 și 67 ori desfășoară activitate potrivit , cu modificările și completările ulterioare, Banca Națională a României are în vedere cerințele din Ghidul EBA/GL/2019/02 privind externalizarea.
2. La se modifică și va avea următorul cuprins:
(2) Măsurile de control de securitate și de diminuare a riscurilor TIC trebuie să asigure un nivel ridicat de reziliență operațională digitală potrivit prevederilor cap. II din Regulamentul (UE) 2022/2.554, în special cu privire la securitatea tehnică și protecția datelor, inclusiv pentru programele informatice și sistemele TIC utilizate de solicitant sau de entitățile către care acesta externalizează total sau parțial funcțiile sale operaționale.
3. La se modifică și va avea următorul cuprins:
h) descrierea cadrului de administrare și a mecanismelor de control intern potrivit art. 34 din prezentul regulament, precum și a acordurilor contractuale, încheiate sau în stadiu de proiect, pentru utilizarea serviciilor TIC, în conformitate cu Regulamentul (UE) 2022/2.554;
4. La se modifică și va avea următorul cuprins:
i) descrierea procedurilor pentru monitorizarea, soluționarea și urmărirea incidentelor operaționale și de securitate și a plângerilor utilizatorilor serviciilor de plată legate de securitate, potrivit art. 35 din prezentul regulament, incluzând un mecanism de raportare a incidentelor care ține cont de obligațiile de notificare ale instituției de plată prevăzute la cap. III din Regulamentul (UE) 2022/2.554;
5. La se modifică și va avea următorul cuprins:
k) descrierea aranjamentelor de asigurare a continuității activității, care să cuprindă identificarea de către solicitant a operațiunilor critice, o politică și planuri eficiente de continuitate a activității TIC și planuri de răspuns și de recuperare în domeniul TIC și o procedură pentru testarea și revizuirea periodică a caracterului adecvat și a eficacității acestor planuri, potrivit art. 37 din prezentul regulament, cu respectarea prevederilor Regulamentului (UE) 2022/2.554;
6. La se modifică și va avea următorul cuprins:
e) procedurile de raportare internă și externă a incidentelor operaționale și de securitate, inclusiv notificarea incidentelor majore potrivit prevederilor cap. III din Regulamentul (UE) 2022/2.554;
7. La se modifică și va avea următorul cuprins:
a) evaluarea detaliată a riscurilor TIC și de securitate aferente serviciilor de plată pe care solicitantul intenționează să le presteze, inclusiv riscul de fraudă și descrierea măsurilor de control de securitate și de diminuare a riscurilor identificate pentru protejarea utilizatorilor de servicii de plată, cu respectarea cerințelor art. 25 alin. (2);
8. La se modifică și va avea următorul cuprins:
b) descrierea sistemelor TIC, inclusiv: arhitectura de sistem și elementele rețelei, sistemele-suport ale afacerii, precum website-ul, portofelul electronic, motorul de plăți, motorul de gestionare a riscurilor și fraudelor și sistemul de evidență a clienților; sistemul informatic folosit pentru organizarea și administrarea instituției, precum: sistemul de contabilitate, raportări în conformitate cu cadrul legal, gestiunea personalului, gestiunea relației cu clienții, serverul de e-mailuri și de fișiere cu date interne; informații legate de utilizarea curentă a sistemului de către solicitant sau grupul din care face parte sau, după caz, data estimată a implementării;
9. La se modifică și va avea următorul cuprins:
g) descrierea cadrului de administrare și a mecanismelor de control intern cuprinzând informațiile prevăzute la art. 34 din prezentul regulament, în cazul în care solicitantul este persoană juridică, informațiile prevăzute la art. 34 lit. a)-c) și e)-h) din prezentul regulament, în cazul în care solicitantul este persoană fizică, precum și eventualele acorduri contractuale încheiate sau în stadiu de proiect pentru utilizarea serviciilor TIC, în conformitate cu Regulamentul (UE) 2022/2.554;
10. La se modifică și va avea următorul cuprins:
h) descrierea procedurilor pentru monitorizarea, soluționarea și urmărirea incidentelor operaționale și de securitate și a plângerilor utilizatorilor serviciilor de plată legate de securitate, potrivit art. 35 din prezentul regulament, incluzând un mecanism de raportare a incidentelor care ține cont de obligațiile de notificare ale furnizorului specializat în servicii de informare cu privire la conturi prevăzute la cap. III din Regulamentul (UE) 2022/2/554;
11. La se modifică și va avea următorul cuprins:
j) descrierea aranjamentelor de asigurare a continuității activității, care să cuprindă identificarea de către solicitant a operațiunilor critice, o politică și planuri eficiente de continuitate a activității TIC și planuri de răspuns și de recuperare în domeniul TIC și o procedură pentru testarea și revizuirea periodică a caracterului adecvat și a eficacității acestor planuri, potrivit art. 37 lit. a)-d) din prezentul regulament, cu respectarea prevederilor Regulamentului (UE) 2022/2.554;