Prestatori di servizi di pagamento: attuazione degli Orientamenti EBA in materia di segnalazione dei gravi incidenti ai sensi della direttiva PSD2 (EBA/GL/2021/03)
Con la presente comunicazione la Banca d’Italia dà attuazione, con riferimento ai prestatori di servizi di pagamento, agli Orientamenti aggiornati dell’EBA in materia di segnalazione dei gravi incidenti ai sensi della PSD2.
Gli Orientamenti si applicano alle banche, alle succursali di banche extracomunitarie, agli istituti di pagamento, agli istituti di moneta elettronica e a Bancoposta.
Rispetto alla precedente versione, gli Orientamenti aggiornano il framework per rafforzare e, allo stesso tempo, semplificare il regime di segnalazione dei gravi incidenti alla luce dell’esperienza maturata.
In particolare, gli Orientamenti introducono un nuovo criterio segnaletico relativo alla violazione della sicurezza della rete o dei sistemi informativi, con l’obiettivo di catturare in maniera più adeguata gli incidenti derivanti da un’azione dolosa.
Banca d’Italia indica inoltre le seguenti semplificazioni negli obblighi in capo agli intermediari:
- l’ampliamento delle tempistiche per l’invio del report iniziale (che va trasmesso non più entro 4 ore dal momento in cui l’incidente viene rilevato, ma da quando viene classificato come grave) e del report finale (da trasmettere 20 giorni lavorativi dopo la chiusura dell’incidente, anziché dopo 2 settimane);
- la limitazione dell’obbligo di inviare report intermedi periodici soltanto nei casi in cui la durata dell’incidente grave si prolunghi oltre i tre giorni lavorativi;
- l’innalzamento delle soglie operative, relative al volume di transazioni interessate, oltre le quali l’incidente deve essere classificato come grave;
- l’allineamento della tassonomia adottata a quelle di altri sistemi di segnalazione degli incidenti sviluppati nell’UE.
Le previsioni contenute negli Orientamenti si applicano a partire dal 1° gennaio 2022.
Per consultare la documentazione:
Scopri il nostro servizio di reporting periodico ai sensi dell’art. 96 (6) della PSD2