Ordinul nr. 553/2019 privind reglementarea procedurii de avizare a instrumentelor de plata electronica cu acces la distanta

Articolul 4
Cerintele minime de securitate ale sistemelor informatice pe care trebuie sa le indeplineasca prestatorii de servicii de plata prevazuti la art. 1, prin intermediul carora este furnizat instrumentul de plata electronica cu acces la distanta, se refera la:
1. confidentialitatea si integritatea comunicatiilor intre emitent si beneficiarul instrumentului financiar de plata electronica cu acces la distanta;
2. mecanismele care sa garanteze confidentialitatea si nerepudierea operatiunilor efectuate utilizand instrumentul de plata electronica cu acces la distanta;
3. autenticitatea partilor care participa la tranzactii si existenta metodelor de autentificare in concordanta cu nivelul de securitate al platformei software, precum si mijloacele de garantare a identitatii;
4. confidentialitatea, autenticitatea si integritatea informatiilor/datelor aferente tranzactiilor efectuate cu ajutorul instrumentului de plata electronica, prin sistemul informatic al emitentului, in timpul procesarii, stocarii si arhivarii acestora;
5. pastrarea secretului bancar;
6. trasabilitatea tranzactiilor;
7. respectarea protectiei datelor cu caracter personal in sistemele informatice;
8. controlul accesului fizic si logic la sistemul informatic si la platforma/aplicatia software utilizate in procesul de furnizare a instrumentului financiar de plata electronica cu acces la distanta;
9. stocarea, pastrarea datelor inregistrate si jurnalizarea acestora, precum si pastrarea in siguranta a unor copii de rezerva ale datelor si aplicatiilor;
10. prevenirea/limitarea/inlaturarea impactului incidentelor de securitate informatica, reluarea in siguranta a activitatii si recuperarea informatiilor afectate;
11. detectarea, inregistrarea si gestionarea incidentelor de securitate informatica;
12. evaluarea riscurilor de securitate informatica si masuri de gestionare a acestora;
13. asigurarea unui proces formal si continuu (cel putin anual) de pregatire a resurselor umane implicate in operarea, mentenanta si administrarea instrumentelor de plata electronica cu acces la distanta si o evaluare anuala a acestora;
14. continuitatea serviciilor oferite clientilor;
15. gestionarea si administrarea sistemului informatic;
16. impactul operatiilor de modificare a:
a) arhitecturii din cadrul sistemului informatic (componente hardware/software) si aplicatiilor software utilizate in ciclul de viata al instrumentului de plata electronica cu acces la distanta; si
b) planului de securitate specific securitatii aferente instrumentului de plata cu acces la distanta;
17. orice alte activitati sau masuri tehnice intreprinse pentru exploatarea in siguranta a sistemului informatic al emitentului.

Articolul 5
Masurile tehnice si organizatorice intreprinse pentru indeplinirea cerintelor enumerate la art. 4 vor fi in concordanta cu tehnologia utilizata si cu riscurile potentiale.

Articolul 6
Prestatorii au obligatia de a implementa masuri de securitate informatica, de a monitoriza continuu si de a evalua anual riscurile operationale generate de utilizarea sistemelor informatice prin intermediul carora este furnizat instrumentul de plata electronica cu acces la distanta, cu respectarea legislatiei interne si a reglementarilor comunitare.

Articolul 7
Documentele elaborate in format electronic, aferente instrumentului de plata electronica cu acces la distanta, vor fi arhivate conform legislatiei nationale privind arhivarea electronica, pe baza nomenclatorului arhivistic al prestatorului, in concordanta cu cerintele Legii Arhivelor Nationale nr. 16/1996, republicata.

Articolul 8
(1) Prestatorii au obligatia ca, anual, sa efectueze teste de penetrare a aplicatiilor software si sistemelor informatice utilizate in ciclul de viata al instrumentului de plata electronica cu acces la distanta.
(2) Testele de penetrare mentionate la alin. (1) se vor realiza de catre echipe externe/interne, certificate in acest scop, care vor evalua securitatea informatica a aplicatiilor si sistemului informatic al prestatorului care furnizeaza instrumentul de plata electronica cu acces la distanta si vor fi finalizate cu un raport de testare .
(3) Raportul de testare pentru testele prevazute la alin. (2) trebuie sa fie aprobat de catre reprezentantul legal al prestatorului si pastrat la sediul acestuia, care are obligatia sa il prezinte auditorului IT, precum si MCSI, la solicitarea acestuia.

CAPITOLUL II
Eliberarea avizului

Articolul 9
(1) Documentele necesare pentru eliberarea avizului sunt:
a) cererea adresata MCSI, conform modelului prevazut in anexa nr. 1;
b) licenta de functionare/autorizatia acordata de BNR sau notificarea transmisa catre BNR de autoritatea competenta din statul membru de origine;
c) descrierea functionala a sistemului informatic si a aplicatiei software prin intermediul carora este furnizat instrumentul de plata electronica cu acces la distanta;
d) planul de securitate al sistemului informatic, semnat de catre prestatorii de servicii de plata prevazuti la art. 1, cuprinzand descrierea masurilor tehnice si organizatorice prevazute pentru asigurarea cerintelor cuprinse la art. 4;
e) declaratia reprezentantului legal din care sa rezulte efectuarea testelor de penetrare mentionate la art. 8, perioada de efectuare a testelor, precum si datele de identificare ale echipei de testare;
f) certificarile profesionale ale echipei de testare, recunoscute international. Certificarile profesionale agreate pentru efectuarea testelor de penetrare acceptate trebuie sa fie in termenul de valabilitate si sa se regaseasca in lista prevazuta in anexa nr. 2;
g) raportul de audit, care trebuie sa indeplineasca urmatoarele conditii:
1. sa cuprinda elementele prevazute in raportul de audit prezentat in anexa nr. 3, fara a se limita la acestea;
2. sa fie intocmit de catre un auditor selectat din Lista auditorilor IT;
3. data de intocmire a raportului de audit nu trebuie sa depaseasca 180 de zile fata de data depunerii documentatiei de avizare;
h) declaratia pe propria raspundere, din care sa rezulte independenta auditorului fata de sistemul informatic auditat si fata de prestatorul auditat;
i) declaratia pe propria raspundere a reprezentantului legal al prestatorului cu privire la respectarea, in cadrul procesului de furnizare a instrumentelor de plata electronica cu acces la distanta, a cerintelor Legii nr. 190/2018 privind masuri de punere in aplicare a Regulamentului (UE) 2016/679 al Parlamentului European si al Consiliului din 27 aprilie 2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date si de abrogare a Directivei 95/46/CE (Regulamentul general privind protectia datelor);
j) ordinul de acreditare ca administrator de arhiva electronica, in conformitate cu prevederile Legii nr. 135/2007 privind arhivarea documentelor in forma electronica, republicata, sau contractul incheiat cu un administrator de arhiva electronica acreditat.
(2) MCSI va retrage avizul eliberat prestatorului daca contractul de externalizare sau ordinul de acreditare a serviciilor de arhivare este suspendat/retras sau isi pierde valabilitatea.

Articolul 10