Ordinul nr. 553/2019 privind reglementarea procedurii de avizare a instrumentelor de plata electronica cu acces la distanta

(1) Documentele prevazute la art. 9 alin. (1) se vor transmite catre MCSI, in limba romana, vor fi semnate de catre reprezentantul legal al prestatorului de servicii de plata sau de catre o persoana imputernicita de catre acesta, in scris, si vor avea mentiunea "Conform cu originalul".
(2) Documentatia va fi paginata si insotita de un opis.

Articolul 11
Documentatia aferenta planului de securitate va avea urmatoarea structura:
1. informatii de identificare:
a) denumirea prestatorului;
b) denumirea instrumentului de plata electronica cu acces la distanta;
c) categoria (internet-banking, home-banking, mobile- banking, phone-banking);
d) statutul operational al sistemului prin intermediul caruia este oferit instrumentul de plata electronica cu acces la distanta;
e) anul intrarii in productie;
f) descrierea generala a solutiei tehnice si dezvoltatorului aplicatiei;
g) interconectarea sistemului;
h) aria geografica in care instrumentul de plata cu acces la distanta poate fi utilizat;
i) datele de contact ale persoanelor responsabile;
2. senzitivitatea sistemului:
a) legislatia aplicabila;
b) descrierea generala a senzitivitatii informatiilor gestionate de catre sistem;
3. masuri pentru securitatea sistemului:
a) evaluarea si managementul riscurilor potentiale;
b) identificarea, analizarea si remedierea riscurilor de securitate in conformitate cu cele mai bune practici in gestionarea acestora;
c) masurile tehnice de securitate implementate;
d) situatia cu inregistrarea si analizarea incidentelor de securitate informatica;
e) metodologia de recuperare a informatiilor in caz de dezastru si continuarea activitatii;
f) rapoartele de testare a functionalitatii instrumentului efectuate in ultimele 12 luni;
g) codurile de conduita/conditiile de utilizare/contractul prin care este oferit instrumentul de plata electronica cu acces la distanta;
h) procedurile operationale de exploatare;
i) masurile aplicate pentru asigurarea securitatii fizice;
j) instruirea personalului propriu in legatura cu administrarea sistemului informatic;
k) instructiunile de utilizare a instrumentului de plata cu acces la distanta (manual de utilizare oferit clientilor);
l) suportul tehnic oferit clientilor care utilizeaza instrumentul de plata electronica cu acces la distanta;
4. orice alte informatii relevante legate de masurile luate de catre emitent pentru a asigura exploatarea in siguranta a instrumentului de plata electronica cu acces la distanta.

CAPITOLUL III
Inscrierea in Lista auditorilor IT

Articolul 12
Lista auditorilor IT este gestionata de catre MCSI si publicata pe site-ul acestuia.

Articolul 13
Auditorul IT care intentioneaza sa presteze servicii de audit IT pentru prestatorii carora le sunt incidente prevederile prezentului ordin are obligatia inscrierii in Lista auditorilor IT prevazuta la art. 12.

Articolul 14
Auditorul IT inscris in lista mentionata la art. 9 poate intocmi si raportul de audit in vederea autorizarii centrelor de date, prevazute in Legea nr. 135/2007, republicata.

Articolul 15
Documentele necesare pentru inscrierea in Lista auditorilor IT, prevazuta la art. 12, sunt urmatoarele:
1. cererea adresata MCSI, conform modelului prevazut in anexa nr. 4;
2. datele de identificare ale auditorului IT:
a) numele complet/denumirea si adresa/sediul - adresa completa;
b) adresa unde isi desfasoara activitatea;
c) telefon/fax, e-mail, adresa paginii de internet;
d) certificat de inregistrare la Oficiul National al Registrului Comertului;
3. pentru auditorul IT persoana fizica certificata si pentru reprezentantul societatii de audit IT, care vor semna raportul de audit, se depun urmatoarele documente:
a) actul de identitate al auditorului IT, in copie;
b) curriculum vitae al auditorului IT, datat si semnat, cu prezentarea experientei profesionale in auditarea IT a sistemelor informatice;