DK
Bekendtgørelse om indberetning af drifts- og sikkerhedshændelser for udbydere af betalingstjenester
Table of Provisions (15)
Statutory Text (15 Articles)
Bekendtgørelse om indberetning af drifts- og sikkerhedshændelser for udbydere af betalingstjenester
§ 1.
Denne bekendtgørelse finder anvendelse på følgende virksomheder ved udbud af betalingstjenester
1)
Pengeinstitutter, der udsteder elektroniske penge eller udbyder betalingstjenester, jf. §§ 2 og 3 i lov om betalinger.
2)
Offentlige myndigheder og Danmarks Nationalbank, hvis disse udsteder elektroniske penge eller udbyder betalingstjenester, jf. §§ 2 og 3 i lov om betalinger.
3)
Virksomheder, der er meddelt tilladelse som e-pengeinstitut i medfør af § 8 i lov om betalinger, og som udbyder betalingstjenester, jf. bilag 1 i lov om betalinger.
4)
Virksomheder, der er meddelt tilladelse som betalingsinstitut i medfør af § 9 i lov om betalinger.
5)
Virksomheder, der er meddelt begrænset tilladelse til at udstede elektroniske penge i medfør af § 50 i lov om betalinger.
6)
Virksomheder, der er meddelt begrænset tilladelse til at udbyde betalingstjenester i medfør af § 51 i lov om betalinger.
7)
Virksomheder, der er meddelt tilladelse til at udbyde kontooplysningstjenester i medfør af § 60, stk. 1, i lov om betalinger.
§ 2.
I denne bekendtgørelse forstås ved
1)
Drifts- og sikkerhedshændelse: En enkeltstående eller en række af hændelser, der ikke er planlagt af en virksomhed omfattet af § 1, og som har fået eller formodes at få negativ indvirkning på betalingsrelaterede tjenesters integritet, tilgængelighed, fortrolighed eller ægthed.
2)
Betalingsrelaterede tjenester: Betalingstjenester omfattet af bilag 1 i lov om betalinger og alle de tekniske støttefunktioner, der er nødvendige for den korrekte levering af betalingstjenester.
1)
Bekendtgørelsen indeholder bestemmelser, der gennemfører dele af Europa-Parlamentets og Rådets direktiv 2015/2366/EU af 25. november 2015 om betalingstjenester i det indre marked, om ændring af direktiv 2002/65/EF, 2009/110/EF og 2013/36/EU og forordning (EU) nr. 1093/2010 og om ophævelse af direktiv 2007/64/EF, EU-Tidende 2015, nr. L 337, side 35.
§ 3.
En virksomhed omfattet af § 1 skal snarest muligt indberette større drifts- og sikkerhedshændelser til Finanstilsynet.
Stk. 2.
Virksomheden skal vurdere omfanget af en drifts- og sikkerhedshændelse ud fra kriterierne angivet i bilag 1.
Virksomheden skal for de enkelte kriterier fastslå, om tærskelværdierne som nævnt i bilag 1 er eller sandsynligvis vil blive nået, før hændelsen er afhjulpet.
Der vil være tale om en større drifts- og sikkerhedshændelse, når hændelsen opfylder eller forventes at opfylde
1)
ét eller flere af kriterierne på højere indvirkningsniveau, jf. bilag 1, eller
2)
tre eller flere af kriterierne på lavere indvirkningsniveau, jf. bilag 1.
Stk. 3.
Virksomheden skal klassificere hændelsen snarest muligt efter, at hændelsen er konstateret og virksomheden er i besiddelse af de nødvendige oplysninger for at foretage klassifikationen.
Virksomheden skal senest klassificere hændelsen 24 timer efter, at den er konstateret, jf. dog stk. 4.
Stk. 4.
Har virksomheden behov for længere tid til at klassificere hændelsen, jf. stk. 3, skal den redegøre for årsagen hertil i den indledende rapport, jf. § 4, stk. 1.
Stk. 5.
Indberetningen efter stk. 1 skal bestå af
1)
En indledende rapport, jf. § 4.
2)
Foreløbige rapporter om status på hændelsen, jf. § 5.
3)
En endelig rapport, jf. § 6.
Stk. 6.
Indberetning efter stk. 1 skal ske gennem den fælles digitale løsning for indberetning af hændelser til offentlige myndigheder på www.virk.dk.
I medfør af § 127, stk. 4, og § 152, stk. 7, i lov om betalinger, jf. lovbekendtgørelse nr. 53 af 18. januar 2023, fastsættes
Kapitel 1
Anvendelsesområde og definitioner
Kapitel 2
Indberetning af større hændelser
Outsourcing og konsolideret indberetning
Orientering til brugerne af betalingstjenesten
Kapitel 3
Straffebestemmelser
Ikrafttræden
§ 4.
En virksomhed omfattet af § 1 skal indsende en indledende rapport til Finanstilsynet snarest muligt og senest 4 timer efter, at drifts- og sikkerhedshændelsen er klassificeret som større.
Konstateres drifts- og sikkerhedshændelsen uden for normal arbejdstid, skal den indledende rapport sendes til Finanstilsynet senest 4 timer efter, at normal arbejdstid er påbegyndt den efterfølgende arbejdsdag.
Omklassificerer virksomheden en hændelse til en større drifts- og sikkerhedshændelse, skal virksomheden indsende en indledende rapport til Finanstilsynet straks efter omklassificeringen.
Stk. 2.
Er alle oplysninger til brug for indberetningen ikke tilgængelige for virksomheden på tidspunktet, hvor indberetning skal foretages, jf. stk. 1, skal virksomheden indsende en indberetning baseret på skøn.
§ 5.
En virksomhed omfattet af § 1 skal indsende en foreløbig rapport til Finanstilsynet, når driften igen er normal.
Hvis normal drift endnu ikke er genoptaget, skal der senest 3 arbejdsdage efter indsendelsen af den indledende rapport indsendes en foreløbig rapport.
Den foreløbige rapport skal løbende opdateres overfor Finanstilsynet, når virksomheden får kendskab til væsentlige ændringer siden den forudgående indberetning.
Stk. 2.
Er alle oplysninger til brug for indberetningen ikke tilgængelige for virksomheden på tidspunktet, hvor indberetning skal foretages, jf. stk. 1, skal virksomheden afgive en indberetning baseret på skøn.
§ 6.
En virksomhed omfattet af § 1 skal indsende en endelig rapport til Finanstilsynet senest 20 arbejdsdage efter, at drifts- og sikkerhedshændelsen er ophørt, og normal drift er genoptaget.
Stk. 2.
En virksomhed omfattet af § 1 skal indsende en endelig rapport, såfremt det konstateres, at en indberettet hændelse ikke længere opfylder kriterierne for at være en større hændelse.
Stk. 3.
Den endelige rapport skal være baseret på faktiske oplysninger.
§ 7.
En virksomhed omfattet af § 1 kan outsource indberetningen af større drifts- og sikkerhedshændelser efter § 3, jf. §§ 4-6, til en tredjepart, når følgende betingelser er opfyldt, jf. dog stk. 2
1)
Virksomheden underretter forinden Finanstilsynet om outsourcingen af indberetningen.
2)
Den formelle kontrakt mellem virksomheden og tredjeparten, der er grundlaget for outsourcingen af indberetningen, fastlægger entydigt opgavefordelingen mellem parterne.
3)
Fortroligheden af følsomme data samt kvaliteten, sammenhængen, integriteten og pålideligheden af de oplysninger, der gives til Finanstilsynet, er forsvarligt sikret.
Stk. 2.
Virksomheder omfattet af § 1, nr. 3 og 4, skal foruden stk. 1 opfylde de krav til outsourcing af væsentlige driftsmæssige funktioner, som er fastlagt i §§ 39 og 40 i lov om betalinger.
Stk. 3.
Den virksomhed, der efter stk. 1 outsourcer indberetningen efter § 3, har fortsat ansvaret for opfyldelsen af de krav til indberetningen, der følger af §§ 4-6, samt for de oplysninger, der afgives til Finanstilsynet.
Stk. 4.
Virksomheden skal underrette Finanstilsynet, hvis virksomheden trækker outsourcing efter stk. 1 tilbage.
Virksomheden skal desuden underrette Finanstilsynet om enhver væsentlig ændring, der berører tredjeparten og dennes evne til at opfylde indberetningsforpligtelsen.
§ 8.
En eller flere virksomheder omfattet af § 1 kan på konsolideret niveau outsource indberetning efter § 3 til en tredjepart, som er etableret i Danmark, i de tilfælde hvor en drifts- og sikkerhedshændelse skyldes en afbrydelse af den eller de ydelser, der leveres af den pågældende tredjepart.
Stk. 2.
Virksomheden skal forinden underrette Finanstilsynet om outsourcingen af indberetningen efter stk. 1.
Stk. 3.
Kontrakten mellem virksomheden og tredjeparten, der er grundlaget for outsourcingen af indberetningen, skal entydigt fastlægge opgavefordelingen mellem parterne, og det skal fremgå, at tredjeparten holder virksomheden løbende underrettet om alle relevante oplysninger om hændelsen, herunder den dialog, som tredjeparten har med Finanstilsynet, i det omfang det ikke udgør et brud på fortroligheden af oplysninger, som vedrører andre virksomheder.
§ 9.
En virksomhed omfattet af § 1 skal snarest muligt efter konstatering af en drifts- og sikkerhedshændelse, jf. § 2, nr. 1, vurdere, om drifts- og sikkerhedshændelsen direkte eller indirekte har eller kan få indvirkning på betalingstjenestens brugere og deres økonomiske interesser.
Stk. 2.
Viser virksomhedens vurdering, jf. stk. 1, at drifts- og sikkerhedshændelsen direkte eller indirekte har eller kan få indvirkning på brugernes økonomiske interesser, skal virksomheden snarest muligt orientere brugerne om hændelsen og om de tilgængelige foranstaltninger, som de kan træffe for at begrænse hændelsens negative følger.
Ved orienteringen til brugerne skal virksomheden tage hensyn til drifts- og sikkerhedshændelsens negative følger samt den måde, hvorpå virksomheden normalt kommunikerer med sine brugere på.
§ 10.
Overtrædelse af § 3, stk. 1, stk. 2, 1. pkt., og stk. 3, §§ 4-6 og § 9 straffes med bøde.
Stk. 2.
Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel.
§ 11.
Bekendtgørelsen træder i kraft den 1. februar 2023.
Stk. 2.
Bekendtgørelse nr. 1428 af 3. december 2018 om indberetning af drifts- og sikkerhedshændelser m.v. for udbydere af betalingstjenester ophæves.
Stk. 3.
Bekendtgørelse nr. 43 af 16. januar 2023 om indberetning af drifts- og sikkerhedshændelser for udbydere af betalingstjenester ophæves.
Bilag 1
Kriterier for vurdering af drifts- og sikkerhedshændelser
Omfanget af en drifts- og sikkerhedshændelse skal vurderes ud fra følgende kriterier og ud fra en vurdering af, om tærskelværdierne i tabellen er eller sandsynligvis vil blive nået, før hændelsen er afhjulpet
Kriterier
Beskrivelse af kriterier
Lavere indvirkningsniveau
Højere indvirkningsniveau
Berørte transaktioner
Virksomheden skal fastslå den samlede værdi af alle transaktioner, der er blevet eller sandsynligvis vil blive direkte eller indirekte berørt af hændelsen, samt antallet af berørte betalinger som en procentdel af det antal transaktioner, der normalt foretages med de berørte betalingstjenester.
Ved det ”normale niveau af betalingstransaktioner” forstås den daglige mængde, beregnet som årsgennemsnit af transaktioner, der udføres med de betalingstjenester, der er blevet berørt af hændelsen, idet referenceperioden er det forudgående år.
For driftshændelser, der påvirker evnen til at initiere eller behandle transaktioner, skal virksomheden kun indberette hændelser, der har en varighed på mere end en time.
Hændelsens varighed måles fra det øjeblik, hvor hændelsen opstår, til det øjeblik, hvor de almindelige aktiviteter og funktioner er genetableret på niveauet fra før hændelsen.
> 10 % af betalingstjenesteudbyderens normale transaktionsniveau (i antal transaktioner)
og
hændelsens varighed > 1 time
eller
> 500.000 EUR
og
hændelsens varighed > 1 time
> 25 % af betalingstjenesteudbyderens normale transaktionsniveau (i antal transaktioner)
eller
> 15.000.000 EUR
Berørte betalingstjenestebrugere
Virksomheden skal fastslå det samlede antal af berørte betalingstjenestebrugere, både i absolutte tal og som procentdel af det samlede antal betalingstjenestebrugere.
Der skal medregnes alle både aktive og passive betalingstjenestebrugere, der er kontraktligt bundet til virksomheden på tidspunktet for hændelsen og har adgang til den berørte betalingstjeneste.
For driftshændelser, der påvirker evnen til at initiere eller behandle transaktioner, skal virksomheden kun indberette hændelser, der påvirker betalingstjenestebrugere og har en varighed på mere end en time.
Hændelsens varighed måles fra det øjeblik, hvor hændelsen opstår, til det øjeblik, hvor de almindelige aktiviteter og funktioner er genetableret på niveauet fra før hændelsen.
> 5.000
og
hændelsens varighed > 1 time
eller
> 10 % af betalingstjenesteudbyderens betalingstjenestebrugere
og
hændelsens varighed > 1 time
> 50.000
eller
> 25 % af betalingstjenesteudbyderens betalingstjenestebrugere
Tjenestens nedetid
Virksomheden skal fastslå den periode, hvor tjenesten sandsynligvis vil være utilgængelig for betalingstjenestebrugeren, eller hvor betalingsordrer ikke kan udføres af virksomheden.
> 2 timer
Ikke relevant
Brud på sikkerheden i netværks- eller informations systemer
Virksomheden skal fastslå, om en ondsindet handling har skadet sikkerheden i netværks- eller informationssystemer med relation til levering af betalingstjenester.
Ja
Ikke relevant
Økonomisk indvirkning
Virksomheden skal fastslå de samlede omkostninger, der direkte eller indirekte er relateret til hændelsen, herunder f.eks. omkostninger til udskiftning af hardware eller software, andre omkostninger af retlig eller afhjælpende art, eksterne forpligtelser og tabte indtægter.
Kernekapital er defineret i artikel 25 i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber og om ændring af forordning (EU) nr. 648/2012.
Ikke relevant
> Max[0,1 % af kernekapitalen;
200.000 EUR]
eller
> 5.000.000 EUR
Højt niveau af intern eskalering
Virksomheden skal fastslå, om bestyrelsen eller direktionen er blevet eller sandsynligvis vil blive informeret om hændelsen uden om en eventuel regelmæssig indberetningsprocedure, herunder om hændelsen har eller vil udløse en krisesituation.
Ja
Ja, og en krisesituation (eller tilsvarende) vil sandsynligvis blive udløst.
Andre betalingstjenesteudbydere eller relevante infrastrukturer, der kan være blevet berørt
Virksomheden skal fastslå hændelsens indvirkning på det finansielle markeds infrastrukturer eller betalingsordninger, navnlig om hændelsen har gentaget sig eller sandsynligvis vil gøre det hos andre virksomheder, der udbyder betalingstjenester, om hændelsen har påvirket den gnidningsløse funktion af det finansielle markeds infrastrukturer eller sandsynligvis vil gøre det, og om hændelsen har berørt det finansielle systems funktion som helhed eller sandsynligvis vil gøre det.
Ja
Ikke relevant
Indvirkning på omdømmet
Virksomheden skal fastslå, om hændelsen kan underminere brugernes tillid til virksomheden selv og generelt til den underliggende tjeneste og markedet som helhed, navnlig under hensyntagen til sandsynligheden for, at hændelsen vil være samfundsskadelig.
Ja
Ikke relevant