приложение I към Директива (ЕС) 2015/2366 (услуги по предоставяне на информация за сметка)

Насока 1: Общи принципи

1.1 Тези насоки са приложими за заявителите за получаване на регистрация като доставчици на услуги по предоставяне на информация за сметка (ДПИС). Те се отнасят до заявители, които възнамеряват да предоставят само услуги по предоставяне на информация за сметка (ПИС). Ако възнамерява да предоставя допълнителни услуги освен ПИС, заявителят трябва да подаде заявление за получаване на лиценз и да се позове на насоките за платежни институции (ПИ)в раздел 4.1.

1.2 Информацията, предоставена от заявителите, следва да бъде достоверна, пълна, точна и актуална. Всички заявители следва да спазват всички разпоредби в насоките, които

изискванията, трябва да бъде пропорционална на размера и вътрешната организация на заявителя, както и на естеството, обхвата, сложността и рисковете, свързани с конкретната услуга(и), която заявителят възнамерява да предоставя. Във всички случаи, в съответствие с Директива (ЕС) 2015/2366, директорите и лицата, отговарящи за управлението на платежната институция, следва да са с добра репутация и да притежават подходящата квалификация и опит за предоставяне на платежни услуги,

естеството, обхвата и сложността на нейните дейности и независимо от задълженията и отговорностите на конкретната позиция.

1.3 Когато подава изисканата информация, заявителят следва да избягва позоваване на конкретни раздели от вътрешните процедури/документи. Вместо това той трябва да извлече съответните раздели и да ги предостави на компетентния орган (КО).

1.4 Ако КО изискат пояснения относно подадената информация, заявителят трябва своевременно да предостави подобно пояснение. 1.5 Всички данни, изискани по силата на настоящите насоки за получаване на регистрация като доставчици на услуги по предоставяне на информация за сметка (ДПИС), са необходими за оценката на заявлението и ще бъдат третирани от компетентния орган в съответствие със задълженията за опазване на професионалната тайна, определени в ДПУ2, без да се засягат приложимото право на Съюза и националните изисквания и процедури относно упражняването на правото на достъп, коригиране, анулиране или противопоставяне.

Насока 2: Идентификационни данни

2.1 Ако заявителят е физическо лице, идентификационните данни, които се предоставят от заявителя, трябва да съдържат следната информация:

• а) име, адрес, националност и дата и място на раждане;
• б) копие от личната карта или еквивалентен документ за самоличност;
• в) актуална автобиография;
• г) свидетелство за съдимост, издадено преди не повече от 3 месеца;
• д) името на лицето(ата), което работи по досието за заявлението и процедурата за получаване на лиценз, както и данни за връзка.

2.2 Ако заявителят е юридическо лице, идентификационните данни, които се предоставят от заявителя, трябва да съдържат следната информация:

• а) наименование на фирмата на заявителя и, ако е различно, търговско наименование;
• б) информация за това дали заявителят е вече учреден или е в процес на учредяване;
• в) национален идентификационен номер на заявителя, ако е приложимо;
• г) правен статус и (проект на) устав на заявителя и/или учредителни документи, в които се посочва правният статус на заявителя;
• д) адрес на главното управление и седалището на заявителя;
• е) електронен адрес и уебсайт на заявителя, ако има такива;
• ж) името на лицето(ата), което работи по досието за заявлението и процедурата за получаване на лиценз, както и данни за връзка;
• з) информация за това дали заявителят е бил регулиран, или в момента се регулира, от компетентен орган в сектора на финансовите услуги;
• и) свидетелството за учредяване, издадено от търговския регистър, или, ако е приложимо, удостоверение от търговски регистър, удостоверяващо, че името, използвано от дружеството, е свободно;
• й) доказателство за плащането на такси или депозирането на средства за подаване на заявление за получаване на регистрация като доставчик на услуги по предоставяне на информация за сметка, ако е приложимо съгласно националното законодателство.

Насока 3: Програма на дейностите

3.1. Програмата на дейностите, която се предоставя от заявителя, трябва да съдържа следната информация:

• а) описание на услугата по предоставяне на информация за сметка, която ще се предоставя, включващо обяснение как заявителят е определил, че дейността отговаря на определението за услуги по предоставяне на информация за сметка по смисъла на член 4, параграф 16 от Директива (ЕС) 2015/2366 (ДПУ2);
• б) декларация от заявителя, че в нито един момент няма да влезе във владение на средствата;
• в) описание на предоставянето на услуги по предоставяне на информация за сметка, включващо:
• i. проекти на договори между всички участващи страни, ако е приложимо;
• ii. условия за предоставянето на услуги по предоставяне на информация за сметка;
• iii. време за обработка;
• г) предвиден брой на различните помещения, от които заявителят възнамерява да предоставя услугите, ако е приложимо;
• д) описание на всякакви спомагателни услуги към услугите по предоставяне на информация за сметка, ако е приложимо;
• е) декларация за това дали заявителят планира да предоставя услуги по предоставяне на информация за сметка в друга държава — членка на ЕС, или в друга държава, след като бъде регистриран;
• ж) информация за това дали заявителят възнамерява през следващите три години да извършва или вече извършва стопански дейности, различни от услугите по предоставяне на информация за сметка, посочени в член 18 от Директива 2015/2366, включително описание на вида и очаквания обем на дейностите;
• з) информацията, посочена в Насоките на ЕБО относно критериите за определяне на минималната парична стойност на застраховката „Професионална отговорност“ или друга сравнима гаранция съгласно член 5, параграф 4 от Директива (ЕС) 2015/2366 (EBA/GL/2017/08), в случай че заявителят възнамерява да предоставя само услуга 8 (ПИС).

Насока 4: Бизнес план

4.1. Бизнес планът, който се предоставя от заявителя, трябва да съдържа:

• а) маркетинг план, съдържащ:
• i. анализ на конкурентната позиция на дружеството;
• ii. описание на ползвателите на услугите по предоставяне на информация за сметка на съответния сегмент от пазара на информация за сметка, маркетинговите материали и каналите за разпространение;
• б) ако има такива, заверените годишни счетоводни отчети за предходните три години или обобщение на финансовото състояние за онези заявители, които все още не са изготвили годишни отчети;
• в) прогнозен бюджет за първите три финансови години, който показва, че заявителят е в състояние да използва подходящи и пропорционални системи, ресурси и процедури, които позволяват надеждното извършване на неговата дейност; прогнозният бюджет следва да включва:
• i. прогнозни отчет за доходите и баланс, включително целеви сценарии и кризисни сценарии, както и техните базови допускания, например брой клиенти, ценообразуване и очаквано увеличение на прага на рентабилност;
• ii. обяснения за основните линии приходи и разходи, финансовите дългове и капиталовите активи;
• iii. схема и подробна разбивка на прогнозните парични потоци за следващите три години. Насока 5: Организационна структура

5.1. Ако заявителят е физическо лице, описанието на организационната структура на предприятието на заявителя трябва да съдържа следната информация:

• а) обща прогноза за броя на персонала за следващите три години;
• б) описание на свързаните условия за възлагане на дейности на външни изпълнители, състоящо се от:
• i. идентификационните данни и географското местоположение на външния изпълнител;
• ii. идентификационните данни на лицата в ДПИС, които отговарят за всяка от дейностите, възложени на външен изпълнител;
• iii. подробно описание на дейностите, възложени на външен изпълнител, и техните основни характеристики;
• в) копие от проекти на споразумения за възлагане на дейности на външни изпълнители;
• г) ако е приложимо, описание на използването на клонове и представители, което включва:
• i. описание на проверките на място и от разстояние, които заявителят възнамерява да извършва на клонове и представители;
• ii. информационните системи, процесите и инфраструктурата, които се използват от представителите на заявителя за извършване на дейности от името на заявителя;
• iii. за представители — политика за подбор, процедури за наблюдение и обучение на представителите и проект на договорни условия, ако има такъв;
• д) списък с всички физически или юридически лица, които се намират в тесни връзки със заявителя-ДПИС, посочващ техните идентификационни данни и естеството на тези връзки.

5.2. Ако заявителят е юридическо лице, описанието на организационната структура на неговото предприятие трябва да съдържа следната информация:

• а) подробна органиграма, показваща всяко подразделение, отдел или подобно структурно звено, включително името на отговорното лице(а), и по-конкретно тези, които отговарят за функциите за вътрешен контрол; органиграмата следва да бъде придружена от описание на функциите и отговорностите на всяко подразделение, отдел или подобно структурно звено;
• б) обща прогноза за броя на персонала за следващите три години;
• в) описание на свързаните условия за възлагане на дейности на външни изпълнители, състоящо се от:
• i. идентификационните данни и географското местоположение на външния изпълнител;
• ii. идентификационните данни на лицата в ДПИС, които отговарят за всяка от дейностите, възложени на външен изпълнител;
• iii. подробно описание на дейностите, възложени на външен изпълнител, и техните основни характеристики;
• г) копие от проекти на споразумения за възлагане на дейности на външни изпълнители;
• д) ако е приложимо, описание на използването на клонове и представители, което включва:
• i. описание на проверките на място и от разстояние, които заявителят възнамерява да извършва на клонове и представители;
• ii. информационните системи, процесите и инфраструктурата, които се използват от представителите на заявителя за извършване на дейности от името на заявителя;
• iii. за представители — политика за подбор, процедури за наблюдение и обучение на представителите и проект на договорни условия, ако има такъв;
• е) списък с всички физически или юридически лица, които се намират в тесни връзки със заявителя, посочващ техните идентификационни данни и естеството на тези връзки.

Насока 6: Управленска рамка и механизми за вътрешен контрол

6.1. Заявителят трябва да предостави описание на управленската рамка и механизмите за вътрешен контрол, което се състои от:

• а) описание на рисковете, установени от заявителя, включително на вида рискове и процедури, които заявителят ще въведе с цел оценяване и предотвратяване на подобни рискове;

контрол, включително честотата и предвидените човешки ресурси;

• в) счетоводните процедури, чрез които заявителят ще записва и докладва своята финансова информация;
• г) идентификационните данни на лицето(ата), които са отговорни за функциите по вътрешен контрол, включително за периодичния контрол, постоянния контрол и контрола по спазване на изискванията, както и актуална автобиография;
• д) идентификационните данни на всеки одитор, който не е задължителен одитор съгласно Директива 2006/43/ЕО;
• е) състав на ръководния орган и, ако е приложимо, на всякакъв друг надзорен орган или комитет;
• ж) описание на начина, по който се наблюдават и контролират функциите, възложени на външен изпълнител, за да се избегне влошаване на качеството на вътрешния контрол на заявителя;
• з) описание на начина, по който представителите и клоновете се наблюдават и контролират в рамките на вътрешния контрол на заявителя;
• и) ако заявителят е дъщерно предприятие на регулиран субект в друга държава — членка на ЕС, описание на управленската рамка на групата.

Насока 7: Процедура за наблюдение, обработване и проследяване на инциденти, свързани със сигурността и жалби на клиенти във връзка със сигурността

7.1. Заявителят трябва да предостави описание на въведената процедура за наблюдение, обработване и проследяване на инциденти, свързани със сигурността и жалби на клиенти във връзка със сигурността, която следва да бъде осигурена от него. Описанието трябва да съдържа:

• а) организационни мерки и средства за предотвратяване на измама;
• б) данни на лицата и органите, които отговарят за предоставянето на помощ на клиенти в случаи на измама, технически проблеми и/или уреждане на претенции;
• в) изисквания за отчетност в случай на измама;
• г) звеното за контакт с клиенти, включително име и електронен адрес;
• д) процедурите за докладване на инциденти, включващи оповестяването на тези доклади пред вътрешни и външни органи, включително уведомяването на националните компетентни органи за значими инциденти, съгласно член 96 от ДПУ2 и Насоките на ЕБО за докладване на инциденти, посочени във въпросния член;
• е) използваните средства за наблюдение и въведените мерки и процедури за проследяване с цел намаляване на рисковете за сигурността.

Насока 8: Въведена процедура за записване, наблюдение, проследяване и ограничаване на достъпа до чувствителни данни за плащанията

8.1. Заявителят трябва да предостави описание на въведения процес за записване, наблюдение, проследяване и ограничаване на достъпа до чувствителни данни за плащанията, което се състои от:

• а) описание на потока от данни, класифицирани като чувствителни данни за плащанията в контекста на бизнес модела на ДПИС;
• б) въведените процедури за разрешаване на достъпа до чувствителни данни за плащанията;
• в) описание на средството за наблюдение;

инфраструктурни компоненти и системи, включително бази данни и резервни инфраструктури;

• д) описание на начина, по който се записват събраните данни;
• е) очакваното вътрешно и/или външно използване на събраните данни, включително от контрагенти;
• ж) информационните системи и мерките за техническа сигурност, които са въведени, включително криптиране и/или токенизация;
• з) идентификационни данни на лицето(ата), органите и/или комитета(ите), които имат достъп до чувствителни данни за плащанията;
• и) обяснение как ще бъдат откривани и преодолявани нарушенията;
• й) годишна програма за вътрешен контрол по отношение на сигурността на информационните системи. Насока 9: Мерки за осигуряване на непрекъснатост на стопанската дейност

9.1. Заявителят трябва да предостави описание на мерките за осигуряване на непрекъснатост на стопанската дейност, което се състои от следната информация:

процеси и целите за възстановяване, например целите по отношение на времето за възстановяване, целите по отношение на етапите за възстановяване и защитените активи;

• б) идентификационните данни на резервния обект, достъп до ИТ инфраструктура и ключовия софтуер и данни за възстановяване след бедствие или прекъсване;

непрекъснатостта, и с прекъсвания, например повреда в ключовите системи; загуба на ключови данни; недостъпност на помещенията; и загуба на важен персонал;

• г) периодичността, с която заявителят възнамерява да тества непрекъснатостта на стопанската дейност и плановете за възстановяване след бедствия, включително как ще бъдат записвани резултатите от тестовете.

Насока 10: Документ относно политиката за сигурност

10.1. Заявителят трябва да предостави документ относно политиката за сигурност, който съдържа следната информация:

• а) подробна оценка на риска по отношение на платежната услуга(и), която заявителят възнамерява да предоставя, която следва да включва рисковете от измама и предприетите мерки за контрол на сигурността и намаляване на риска с цел

рискове;

• б) описание на информационните системи, което следва да включва:
• i. архитектурата на системите и техните мрежови елементи;
• ii. информационните бизнес системи, които подпомагат предоставяните стопански дейности, например уебсайта на заявителя, механизмите за управление на риска и измамите и управление на сметките на клиентите;
• iii. помощните информационни системи, които се използват за организацията и управлението на ДПИС, например системи за счетоводно отчитане, докладване, управление на персонала, управление на връзките с клиентите, сървъри за електронна поща и вътрешни документи;
• iv. информация за това дали тези системи вече се използват от ДПИС или неговата група и прогнозната дата на въвеждане, ако е приложимо;
• в) тип разрешени външни връзки, например с партньори, доставчици на услуги, дружества от групата и служители, които работят дистанционно, включително обосновката за тези връзки;
• г) за всяка от връзките, изброени в буква в), логичните мерки за сигурност и действащите механизми, като се опише контролът, който платежната институция ще има над подобен достъп, както и естеството и честотата на всяка контролна проверка, например техническа спрямо организационна; превантивна спрямо разследваща; наблюдение в реално време спрямо редовни прегледи, например използването на активна директория, отделно от групата, отварянето/затварянето на линии за комуникация, конфигурация на оборудването за сигурност, генериране на ключове или идентификационни сертификати за клиенти, системно наблюдение, установяване на идентичност, поверителност на комуникацията, откриване на проникване, антивирусни системи и регистри;
• д) логическите мерки за сигурност и механизмите, които управляват вътрешния достъп до информационните системи, които следва да включват:
• i. техническия и организационния характер и честота на всяка мярка, например дали тя е превантивна или разследваща и дали се извършва в реално време или не;
• ii. как се решава въпросът за разделение на клиентската среда в случаите, когато информационните ресурси на заявителя са споделени;

данни на заявителя, например контрол на достъпа и екологична сигурност;

• ж) сигурността на платежните процеси, която следва да включва:
• i. процедурата за установяване на идентичността на клиентите, която се използва както при достъп за справки, така и при извършването на операции;
• ii. обяснение как се гарантира сигурната доставка до законните ползватели на платежни услуги и неприкосновеността на факторите за удостоверяване на идентичността, например хардуерни опознавателни знаци и мобилни приложения, както по време на първоначалната регистрация, така и при подновяване;
• iii. описание на системите и процедурите, които заявителят използва за анализ на операциите и за идентифицирането на подозрителни или необичайни операции.
• з) подробна оценка на риска във връзка с платежните услуги, включително измама, с връзка към мерките за контрол и намаляване на риска, обяснени в досието за заявлението, която показва, че рисковете се преодоляват;
• и) списък с основните писмени процедури във връзка с информационните системи на заявителя или, за процедури, които все още не са формализирани, очакваната дата за тяхното приключване.

Насока 11: Оценка на идентификационните данни и пригодността на директорите и лицата, отговарящи за управлението на доставчика на услуги по предоставяне на информация за сметка

11.1. За целите на оценката на идентификационните данни и пригодността на директорите и лицата, отговарящи за управлението на доставчика на услуги по предоставяне на информация за сметка, заявителят трябва да предостави следната информация:

• а) лични данни, включващи:
• i. пълното име, пол, място и дата на раждане, адрес и националност, и личен идентификационен номер или копие от документ за самоличност или еквивалентен документ;
• ii. подробности за позицията, за която се изисква оценката, и информация за

• б) ако е приложимо, информация за оценката на пригодността, извършена от заявителя, която следва да включва подробности за резултата от всякакви оценки на пригодността на лицето, извършени от институцията, например протоколи от заседанията на борда или доклади за оценка на пригодността или други документи;
• в) доказателство за познания, умения и опит, което следва да включва автобиография, съдържаща информация за образование и професионален опит, включително академични квалификации, други обучения в областта, наименованието и характера на всички организации, за които лицето работи или е работило, и естеството и продължителността на изпълняваните функции, по-конкретно като се подчертаят всички дейности, попадащи в обхвата на желаната позиция;
• г) доказателство за репутация, честност и почтеност, което следва да включва:
• i. свидетелства за съдимост и информация за наказателни разследвания и производства, граждански и административни дела, и дисциплинарни действия, включително лишаване от правото на упражняване на дейност като ръководител на предприятие, неплатежоспособност, несъстоятелност и подобни процедури, по-специално чрез официално удостоверение или обективен и надежден източник на информация относно липсата на осъдителна присъда, наказателни разследвания и производства, например разследвания от трети страни, свидетелски показания, дадени от адвокат или нотариус, установен в Европейския съюз;
• ii. декларация за това дали има образувани наказателни производства или дали лицето или организация, управлявана от него или нея, е участвала като длъжник в производства по несъстоятелност или сходни производства;
• iii. информация за следното:

Насока 12: Застраховка „Професионална отговорност“ или сравнима гаранция

12.1. Като доказателство за застраховка „Професионална отговорност“ или сравнима гаранция, която е в съответствие с Насоките на ЕБО относно застраховката „Професионална отговорност“ (EBA/GL/2017/08), и член 5, параграфи 2 и 3 от ДПУ2, заявителят трябва да предостави следната информация:

• а) застрахователен договор или друг еквивалентен документ, потвърждаващ наличието на застраховка „Професионална отговорност“ или сравнима гаранция, с размер на покритието, който е в съответствие с посочените по-горе насоки на ЕБО, посочващ покритието на съответните задължения;
• б) документ как заявителят е изчислил минималната стойност по начин, който е в съответствие с посочените по-горе насоки на ЕБО, включващ всички приложими компоненти от посочената в тях формула.

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

3. Свързани стандарти

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/