613/2024

Betalningsinstitut, personer som tillhandahåller betaltjänster med stöd av ett undantag enligt 7 § och sådana leverantörer av kontoinformationstjänster som avses i 7 b § ska inrätta ett tillräckligt riskhanteringssystem med riskhanteringsåtgärder och kontrollmekanismer för att hantera operativa risker och säkerhetsrisker i anslutning till de betaltjänster som de tillhandahåller. De ska ha ett effektivt incidenthanteringsförfarande och kunna upptäcka och klassificera allvarliga operativa incidenter och säkerhetsincidenter. Bestämmelserna i detta moment begränsar inte tillämpningen av kapitel II i Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011, nedan EU:s DORA-förordning , och de bestämmelser som utfärdats med stöd av det.

Ett kontoförande betalningsinstitut och en person som tillhandahåller betaltjänster med stöd av ett undantag enligt 7 § ska göra en anmälan till Finansinspektionen, om de upptäcker att en leverantör av kontoinformationstjänster eller en leverantör av betalningsinitieringstjänster använder ett betalkonto på ett obehörigt eller bedrägligt sätt och det kontoförande betalningsinstitutet eller den som tillhandahåller betaltjänster med stöd av ett undantag enligt 7 § på denna grund förhindrar leverantörens tillträde till betalkontot. Anmälan ska innehålla tillräcklig information om incidenten och om åtgärder med anledning av den. Finansinspektionen ska bedöma fallet och vidta behövliga åtgärder.

Betalningsinstitut, personer som tillhandahåller betaltjänster med stöd av ett undantag enligt 7 § och sådana leverantörer av kontoinformationstjänster som avses i 7 b § ska minst en gång per år lämna Finansinspektionen statistiska uppgifter om bedrägerier i samband med betalningsinstrument. Finansinspektionen ska lämna Europeiska bankmyndigheten och Europeiska centralbanken dessa uppgifter i aggregerad form. Finansinspektionen får meddela närmare föreskrifter om den rapporteringsskyldighet som avses i detta moment.

Vad som föreskrivs i 1 och 2 mom. tillämpas inte på institut för elektroniska pengar.

Bestämmelser om skyldigheten för betalningsinstitut, personer som tillhandahåller betaltjänster med stöd av ett undantag enligt 7 §, sådana leverantörer av kontoinformationstjänster som avses i 7 b § och utgivare av elektroniska pengar att anmäla incidenter relaterade till informations- och kommunikationsteknik samt betalningsrelaterade operativa incidenter eller säkerhetsincidenter finns i kapitel III i EU:s DORA-förordning.