4.2 Κατευθυντήριες γραμμές σχετικά με τις πληροφορίες που πρέπει να παρέχονται από τους αιτούντες καταχώριση για την παροχή αποκλειστικά της υπηρεσίας 8 του παραρτήματος Ι της οδηγίας (ΕΕ) 2015/2366 (υπηρεσίες πληροφοριών λογαριασμού)

Κατευθυντήρια γραμμή 1: Γενικές αρχές

1.1 Το παρόν σύνολο κατευθυντήριων γραμμών αφορά αιτούντες καταχώριση υπό την ιδιότητα παρόχων υπηρεσιών πληροφοριών λογαριασμού. Πρόκειται για αιτούντες που προτίθενται να παρέχουν αποκλειστικά υπηρεσίες πληροφοριών λογαριασμού. Εάν ο αιτών προτίθεται να παρέχει πρόσθετες υπηρεσίες πέραν των υπηρεσιών πληροφοριών λογαριασμού θα πρέπει να υποβάλει αίτηση για τη χορήγησης άδειας και να ανατρέξει στις κατευθυντήριες γραμμές που παρατίθενται στην ενότητα 4.1 για τα ιδρύματα πληρωμών.

1.2 Οι πληροφορίες που παρέχονται από τους αιτούντες θα πρέπει να είναι αληθείς, πλήρεις, ακριβείς και επικαιροποιημένες. Όλοι οι αιτούντες θα πρέπει να συμμορφώνονται με όλες τις διατάξεις που περιλαμβάνονται στο σύνολο κατευθυντήριων γραμμών που τους αφορά. Το επίπεδο λεπτομέρειας που απαιτείται για τη διασφάλιση της συμμόρφωσης θα πρέπει να είναι ανάλογο με το μέγεθος και την εσωτερική οργάνωση του αιτούντος, καθώς και με τη φύση, την κλίμακα, την πολυπλοκότητα και τον βαθμό επικινδυνότητας της ή των

σύμφωνα με την οδηγία (ΕΕ) 2015/2366, τα διευθυντικά στελέχη και οι υπεύθυνοι για τη διαχείριση του ιδρύματος πληρωμών είναι έντιμοι και διαθέτουν κατάλληλες γνώσεις και πείρα για την παροχή υπηρεσιών πληρωμών, ανεξάρτητα από το μέγεθος και την εσωτερική οργάνωση του ιδρύματος και από τη φύση, την κλίμακα και την πολυπλοκότητα των δραστηριοτήτων του, καθώς και από τα καθήκοντα και τις αρμοδιότητες της συγκεκριμένης θέσης.

1.3 Κατά την υποβολή των απαιτούμενων πληροφοριών, ο αιτών θα πρέπει να αποφεύγει να προβαίνει σε παραπομπές σε συγκεκριμένες ενότητες εσωτερικών διαδικασιών/εγγράφων. Αντ’ αυτού, ο αιτών θα πρέπει να διαβιβάζει στην αρμόδια αρχή τα αποσπάσματα που περιλαμβάνουν τις σχετικές ενότητες.

1.4 Σε περίπτωση που οι αρμόδιες αρχές ζητήσουν διευκρινίσεις σχετικά με τις υποβληθείσες πληροφορίες, ο αιτών θα πρέπει να παράσχει τις εν λόγω διευκρινίσεις χωρίς καθυστέρηση.

1.5 Όλα τα δεδομένα που ζητούνται βάσει των παρουσών κατευθυντήριων γραμμών για την καταχώριση παρόχων υπηρεσιών πληροφοριών λογαριασμού είναι απαραίτητα για την αξιολόγηση της αίτησης και θα υποβάλλονται σε επεξεργασία από την αρμόδια αρχή σύμφωνα με τις υποχρεώσεις επαγγελματικού απορρήτου που προβλέπονται στην οδηγία PSD2 για τις υπηρεσίες πληρωμών, με την επιφύλαξη της εφαρμοστέας ενωσιακής νομοθεσίας και των εθνικών απαιτήσεων και διαδικασιών σχετικά με την άσκηση του δικαιώματος πρόσβασης, διόρθωσης, ακύρωσης ή αντίταξης.

Κατευθυντήρια γραμμή 2: Στοιχεία ταυτοποίησης

2.1 Εάν ο αιτών είναι φυσικό πρόσωπο, στα στοιχεία ταυτοποίησης που πρέπει να παρέχονται από τον αιτούντα θα πρέπει να περιλαμβάνονται οι ακόλουθες πληροφορίες:

• α. ονοματεπώνυμο, διεύθυνση, ιθαγένεια και ημερομηνία και τόπος γέννησης·
• β. αντίγραφο του δελτίου ταυτότητας ή ισοδύναμου εγγράφου ταυτοποίησης·
• γ. ενημερωμένο βιογραφικό σημείωμα·
• δ. ποινικό μητρώο που έχει εκδοθεί εντός του τελευταίου τριμήνου·
• ε. το ή τα ονόματα των προσώπων που είναι υπεύθυνα για τον φάκελο της αίτησης και τη διαδικασία αδειοδότησης, καθώς και τα στοιχεία επικοινωνίας τους.

2.2 Εάν ο αιτών είναι νομικό πρόσωπο, στα στοιχεία ταυτοποίησης που πρέπει να παρέχονται από τον αιτούντα θα πρέπει να περιλαμβάνονται οι ακόλουθες πληροφορίες:

• α. η εταιρική επωνυμία του αιτούντος και, εάν είναι διαφορετική, η εμπορική επωνυμία·
• β. διευκρίνιση σχετικά με το αν ο αιτών είναι εταιρεία που έχει ήδη συσταθεί ή βρίσκεται σε διαδικασία σύστασης·
• γ. ο εθνικός αριθμός μητρώου του αιτούντος, κατά περίπτωση·
• δ. η νομική μορφή και το εταιρικό (ή το σχέδιο εταιρικού) του αιτούντος και/ή καταστατικά έγγραφα που αποδεικνύουν τη νομική μορφή του αιτούντος·
• ε. η διεύθυνση των κεντρικών γραφείων και της καταστατικής έδρας του αιτούντος· στ. η ηλεκτρονική διεύθυνση και ο ιστότοπος του αιτούντος, εάν υπάρχουν·
• ζ. το ή τα ονόματα των προσώπων που είναι υπεύθυνα για τον φάκελο της αίτησης και τη διαδικασία αδειοδότησης, καθώς και τα στοιχεία επικοινωνίας τους·
• η. διευκρίνιση σχετικά με το αν ο αιτών έχει υπαχθεί κατά το παρελθόν, ή υπόκειται επί του παρόντος, σε ρύθμιση από αρμόδια αρχή του τομέα χρηματοοικονομικών υπηρεσιών·
• θ. το πιστοποιητικό καταχώρισης στο οικείο μητρώο επιχειρήσεων ή, κατά περίπτωση, αρνητική βεβαίωση έναρξης από εμπορικό μητρώο με την οποία πιστοποιείται ότι η επωνυμία που χρησιμοποιεί η εταιρεία είναι διαθέσιμη·
• ι. αποδεικτικό καταβολής τυχόν τελών ή κατάθεσης χρηματικών ποσών για την υποβολή αίτησης καταχώρισης υπό την ιδιότητα παρόχου υπηρεσιών πληροφοριών λογαριασμού, όπου απαιτείται βάσει του εθνικού δικαίου.

Κατευθυντήρια γραμμή 3: Πρόγραμμα δραστηριοτήτων

3.1. Στο πρόγραμμα δραστηριοτήτων που πρέπει να παρέχεται από τον αιτούντα θα πρέπει να περιλαμβάνονται οι ακόλουθες πληροφορίες:

• α. περιγραφή της υπηρεσίας πληροφοριών λογαριασμού που πρόκειται να παρέχεται, συμπεριλαμβανομένης επεξήγησης του τρόπου με τον οποίο ο αιτών καθόρισε ότι η δραστηριότητα αντιστοιχεί στον ορισμό των υπηρεσιών πληροφοριών λογαριασμού όπως παρατίθεται στο άρθρο 4 σημείο 16 της οδηγίας (ΕΕ) 2015/2366 (οδηγία PSD2)·
• β. δήλωση του αιτούντος ότι σε καμία στιγμή δεν θα περιέλθουν στην κατοχή του χρηματικά ποσά·
• γ. περιγραφή της παροχής της υπηρεσίας πληροφοριών λογαριασμού η οποία θα περιλαμβάνει:
• i. τα σχέδια συμβάσεων μεταξύ όλων των συμμετεχόντων μερών, κατά περίπτωση·
• ii. τους όρους και τις προϋποθέσεις της παροχής των υπηρεσιών πληροφοριών λογαριασμού·
• iii. τους χρόνους διεκπεραίωσης·
• δ. ο εκτιμώμενος αριθμός διαφορετικών εγκαταστάσεων από τις οποίες ο αιτών προτίθεται να παρέχει τις υπηρεσίες, κατά περίπτωση·

λογαριασμού, κατά περίπτωση·

στ. δήλωση του αιτούντος σχετικά με το αν προτίθεται να παρέχει υπηρεσίες πληροφοριών λογαριασμού σε άλλο κράτος μέλος ή σε άλλη χώρα, αφού καταχωριστεί·

• ζ. αναφορά του αν ο αιτών προτίθεται, εντός των επόμενων τριών ετών, να ασκήσει ή αν ήδη ασκεί επιχειρηματικές δραστηριότητες άλλες από τις υπηρεσίες πληροφοριών λογαριασμού που αναφέρονται στο άρθρο 18 της οδηγίας (ΕΕ) 2015/2366, συμπεριλαμβανομένης της περιγραφής του είδους και του προβλεπόμενου όγκου των δραστηριοτήτων·
• η. οι πληροφορίες που προσδιορίζονται στις κατευθυντήριες γραμμές της ΕΑΤ με θέμα τα κριτήρια καθορισμού του ελάχιστου χρηματικού ποσού της ασφάλισης επαγγελματικής ευθύνης ή άλλης συγκρίσιμης εγγύησης δυνάμει του άρθρου 5 παράγραφος 4 της οδηγίας (ΕΕ) 2015/2366 (EBA/GL/2017/08), σε περίπτωση που ο αιτών προτίθεται να παρέχει αποκλειστικά την υπηρεσία 8 (υπηρεσία πληροφοριών λογαριασμού).

Κατευθυντήρια γραμμή 4: Επιχειρηματικό σχέδιο

4.1. Στο επιχειρηματικό σχέδιο που πρέπει να παρέχεται από τον αιτούντα θα πρέπει να περιλαμβάνονται τα εξής:

• α. σχέδιο ανάπτυξης και προώθησης των υπηρεσιών (marketing) το οποίο περιέχει:
• i. ανάλυση της ανταγωνιστικής θέσης της εταιρείας·
• ii. περιγραφή των χρηστών των υπηρεσιών πληροφοριών λογαριασμού στο σχετικό τμήμα της αγοράς υπηρεσιών πληροφοριών λογαριασμού, του υλικού ανάπτυξης και προώθησης των υπηρεσιών (marketing) και των καναλιών διανομής·
• β. πιστοποιημένοι ετήσιοι λογαριασμοί για τα προηγούμενα τρία έτη, κατά περίπτωση, ή σύνοψη της χρηματοοικονομικής κατάστασης των αιτούντων που δεν έχουν υποβάλει ακόμη ετήσιους λογαριασμούς·
• γ. πρόβλεψη προϋπολογισμού για τα τρία πρώτα οικονομικά έτη, η οποία καταδεικνύει την ικανότητα του αιτούντος να χρησιμοποιεί τα κατάλληλα και ανάλογα συστήματα, πόρους και διαδικασίες που εξασφαλίζουν την εύρυθμη λειτουργία του· θα πρέπει να περιλαμβάνει:
• i. πρόβλεψη κατάστασης λογαριασμού αποτελεσμάτων και ισολογισμού, περιλαμβανομένων σεναρίων επίτευξης του στόχου και σεναρίων ακραίων καταστάσεων καθώς και των βασικών παραδοχών τους, όπως αριθμός πελατών, τιμολόγηση και προβλεπόμενη αύξηση του κατώτατου ορίου αποδοτικότητας ( profitability threshold)·
• ii. επεξήγηση των βασικών γραμμών εσόδων και εξόδων, των χρηματοοικονομικών οφειλών και του πάγιου ενεργητικού·
• iii. διάγραμμα και λεπτομερή ανάλυση των εκτιμώμενων ταμειακών ροών για τα επόμενα τρία έτη.

Κατευθυντήρια γραμμή 5: Οργανωτική δομή

5.1. Εάν ο αιτών είναι φυσικό πρόσωπο, η περιγραφή της οργανωτικής δομής του αιτούντος θα πρέπει να περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. συνολική πρόβλεψη του αριθμού των μελών του προσωπικού για τα επόμενα τρία έτη·

δραστηριοτήτων, η οποία θα περιλαμβάνει:

• i. την ταυτότητα και τη γεωγραφική θέση του παρόχου υπηρεσιών εξωτερικής ανάθεσης·
• ii. τα στοιχεία ταυτότητας των προσώπων εντός του παρόχου υπηρεσιών πληροφοριών λογαριασμού που είναι αρμόδια για καθεμία από τις δραστηριότητες εξωτερικής ανάθεσης·
• iii. λεπτομερή περιγραφή των δραστηριοτήτων εξωτερικής ανάθεσης και των βασικών χαρακτηριστικών τους·
• γ. αντίγραφο των σχεδίων συμβάσεων εξωτερικής ανάθεσης·
• δ. κατά περίπτωση, περιγραφή της χρήσης υποκαταστημάτων και αντιπροσώπων, η οποία θα περιλαμβάνει:
• i. χαρτογράφηση των επιτόπιων και μη επιτόπιων ελέγχων που προτίθεται να διενεργεί ο αιτών στα υποκαταστήματα και στους αντιπροσώπους·
• ii. τα συστήματα πληροφορικής, τις διαδικασίες και τις υποδομές που χρησιμοποιούνται από τους αντιπροσώπους του αιτούντος για την άσκηση δραστηριοτήτων εξ ονόματος του αιτούντος·
• iii. όσον αφορά τους αντιπροσώπους, την πολιτική επιλογής τους, τις διαδικασίες παρακολούθησης και την κατάρτιση των αντιπροσώπων και, κατά περίπτωση, τα σχέδια των όρων πρόσληψής τους·
• ε. κατάλογο όλων των φυσικών ή νομικών προσώπων που έχουν στενούς δεσμούς με τον αιτούντα πάροχο υπηρεσιών πληροφοριών λογαριασμού, με τα στοιχεία ταυτότητας των προσώπων και της φύσης των δεσμών αυτών.

5.2. Εάν ο αιτών είναι νομικό πρόσωπο, η περιγραφή της οργανωτικής δομής της επιχείρησής του θα πρέπει να περιλαμβάνει τις ακόλουθες πληροφορίες:

παρόμοια μονάδα διαρθρωτικού διαχωρισμού, συμπεριλαμβανομένων του ονόματος του αρμόδιου ή των αρμόδιων προσώπων, ιδίως εκείνων που είναι υπεύθυνα για τα καθήκοντα εσωτερικού ελέγχου· το οργανόγραμμα θα πρέπει να συνοδεύεται από περιγραφή των καθηκόντων και των αρμοδιοτήτων κάθε διεύθυνσης, τμήματος ή παρόμοιας μονάδας διαρθρωτικού διαχωρισμού·

• β. συνολική πρόβλεψη του αριθμού των μελών του προσωπικού για τα επόμενα τρία έτη·
• γ. περιγραφή των σχετικών ρυθμίσεων εξωτερικής ανάθεσης η οποία θα περιλαμβάνει:
• i. την ταυτότητα και τη γεωγραφική θέση του παρόχου υπηρεσιών εξωτερικής ανάθεσης·
• ii. τα στοιχεία ταυτότητας των προσώπων εντός του παρόχου υπηρεσιών πληροφοριών λογαριασμού που είναι αρμόδια για καθεμία από τις δραστηριότητες εξωτερικής ανάθεσης·
• iii. λεπτομερή περιγραφή των δραστηριοτήτων εξωτερικής ανάθεσης και των βασικών χαρακτηριστικών τους·
• δ. αντίγραφο των σχεδίων συμβάσεων εξωτερικής ανάθεσης·
• ε. κατά περίπτωση, περιγραφή της χρήσης υποκαταστημάτων και αντιπροσώπων, η οποία θα περιλαμβάνει:
• i. χαρτογράφηση των επιτόπιων και μη επιτόπιων ελέγχων που προτίθεται να διενεργεί ο αιτών στα υποκαταστήματα και στους αντιπροσώπους·
• ii. τα συστήματα πληροφορικής, τις διαδικασίες και τις υποδομές που χρησιμοποιούνται από τους αντιπροσώπους του αιτούντος για την άσκηση δραστηριοτήτων εξ ονόματος του αιτούντος·
• iii. όσον αφορά τους αντιπροσώπους, την πολιτική επιλογής τους, τις διαδικασίες παρακολούθησης και την κατάρτιση των αντιπροσώπων και, κατά περίπτωση, τα σχέδια των όρων πρόσληψής τους· στ. κατάλογο όλων των φυσικών ή νομικών προσώπων που έχουν στενούς δεσμούς με τον αιτούντα, με αναφορά των στοιχείων ταυτότητας των προσώπων και της φύσης των δεσμών αυτών.

Κατευθυντήρια γραμμή 6: Πλαίσιο διακυβέρνησης και μηχανισμοί εσωτερικού ελέγχου

6.1. Ο αιτών θα πρέπει να παρέχει περιγραφή του πλαισίου διακυβέρνησης και των μηχανισμών εσωτερικού ελέγχου, η οποία θα περιλαμβάνει:

• α. χαρτογράφηση των κινδύνων που εντοπίζονται από τον αιτούντα, συμπεριλαμβανομένων του είδους των κινδύνων και των διαδικασιών που θα εφαρμόζει ο αιτών για την αξιολόγηση και την πρόληψη των εν λόγω κινδύνων·
• β. τις διάφορες διαδικασίες που προορίζονται για τη διεξαγωγή των περιοδικών και μόνιμων ελέγχων, συμπεριλαμβανομένης της συχνότητας και των ανθρώπινων πόρων που διατίθενται για τη διεξαγωγή τους·
• γ. τις λογιστικές διαδικασίες μέσω των οποίων ο αιτών θα καταχωρίζει και θα υποβάλλει τις χρηματοοικονομικές πληροφορίες του·
• δ. την ταυτότητα του ή των προσώπων που είναι αρμόδια για τα καθήκοντα του

ελέγχων και των ελέγχων συμμόρφωσης, καθώς και ενημερωμένο βιογραφικό σημείωμα·

• ε. την ταυτότητα τυχόν ελεγκτή που δεν είναι νόμιμος ελεγκτής δυνάμει της οδηγίας 2006/43/ΕΚ·

στ. τη σύνθεση του διοικητικού του οργάνου και, κατά περίπτωση, τυχόν άλλου οργάνου ή επιτροπής εποπτείας·

δραστηριοτήτων εξωτερικής ανάθεσης ώστε να αποφεύγεται το ενδεχόμενο υποβάθμισης της ποιότητας των εσωτερικών ελέγχων του αιτούντος·

• η. περιγραφή του τρόπου παρακολούθησης και ελέγχου τυχόν αντιπροσώπων και υποκαταστημάτων στο πλαίσιο των εσωτερικών ελέγχων του αιτούντος·
• θ. σε περίπτωση που ο αιτών είναι η θυγατρική επιχείρηση ρυθμιζόμενης οντότητας σε άλλο κράτος μέλος της ΕΕ, περιγραφή της διακυβέρνησης του ομίλου. Κατευθυντήρια γραμμή 7: Διαδικασία ελέγχου, διαχείρισης και παρακολούθησης περιστατικών ασφαλείας και παραπόνων των πελατών για ζητήματα σχετικά με την ασφάλεια

7.1. Ο αιτών θα πρέπει να παρέχει περιγραφή της εφαρμοζόμενης διαδικασίας για τον έλεγχο, τη διαχείριση και την παρακολούθηση των περιστατικών ασφαλείας και των παραπόνων των πελατών για ζητήματα σχετικά με την ασφάλεια, η οποία θα πρέπει να περιλαμβάνει τα ακόλουθα:

• α. οργανωτικά μέτρα και εργαλεία για την πρόληψη της απάτης·
• β. στοιχεία των ατόμων και των οργάνων που είναι αρμόδια για την παροχή βοήθειας στους πελάτες σε περιπτώσεις απάτης, τεχνικών προβλημάτων και/ή διαχείρισης αξιώσεων·
• γ. γραμμές αναφοράς σε περίπτωση απάτης·
• δ. το σημείο επαφής για τους πελάτες, συμπεριλαμβανομένων του ονόματος και της διεύθυνσης ηλεκτρονικού ταχυδρομείου·
• ε. τις διαδικασίες για την αναφορά περιστατικών, συμπεριλαμβανομένης της κοινοποίησης των αναφορών αυτών σε εσωτερικά ή εξωτερικά όργανα, μεταξύ άλλων τη γνωστοποίηση μειζόνων συμβάντων στις εθνικές αρμόδιες αρχές δυνάμει του άρθρου 96 της οδηγίας PSD2, και σύμφωνα με τις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την υποβολή αναφορών συμβάντων κατ' εφαρμογή του εν λόγω άρθρου·

στ. τα εργαλεία ελέγχου που χρησιμοποιούνται, τα μέτρα και τις διαδικασίες παρακολούθησης που εφαρμόζονται για τη μείωση των κινδύνων ασφάλειας.

Κατευθυντήρια γραμμή 8: Υφιστάμενη διαδικασία αρχειοθέτησης, παρακολούθησης, εντοπισμού και περιορισμού της πρόσβασης σε ευαίσθητα δεδομένα πληρωμών

8.1. Ο αιτών θα πρέπει να παρέχει περιγραφή της εφαρμοζόμενης διαδικασίας αρχειοθέτησης, παρακολούθησης, εντοπισμού και περιορισμού της πρόσβασης σε ευαίσθητα δεδομένα πληρωμών, η οποία θα πρέπει να περιλαμβάνει:

• α. περιγραφή των ροών δεδομένων που χαρακτηρίζονται ως ευαίσθητα δεδομένα πληρωμών στο πλαίσιο του επιχειρηματικού μοντέλου του παρόχου υπηρεσιών πληροφοριών λογαριασμού·
• β. τις εφαρμοζόμενες διαδικασίες για τη χορήγηση πρόσβασης σε ευαίσθητα δεδομένα πληρωμών·
• γ. περιγραφή του εργαλείου παρακολούθησης·
• δ. την πολιτική όσον αφορά το δικαίωμα πρόσβασης, με αναλυτική περιγραφή της

συμπεριλαμβανομένων των βάσεων δεδομένων και των εφεδρικών υποδομών·

• ε. περιγραφή του τρόπου αρχειοθέτησης των δεδομένων που συλλέγονται·

στ. την προβλεπόμενη εσωτερική και/ή εξωτερική χρήση των δεδομένων που συλλέγονται, μεταξύ άλλων και από τους αντισυμβαλλομένους·

• ζ. το σύστημα πληροφορικής και τα τεχνικά μέτρα ασφάλειας που έχουν τεθεί σε εφαρμογή συμπεριλαμβανομένης της κρυπτογράφησης και/ή της τεχνολογίας tokenisation·
• η. προσδιορισμό των ατόμων, των οργάνων και/ή των επιτροπών που έχουν πρόσβαση σε ευαίσθητα δεδομένα πληρωμών·
• θ. επεξήγηση του τρόπου εντοπισμού και αντιμετώπισης παραβιάσεων·
• ι. ετήσιο πρόγραμμα εσωτερικού ελέγχου όσον αφορά την ασφάλεια των συστημάτων πληροφορικής.

Κατευθυντήρια γραμμή 9: Σχέδιο επιχειρησιακής συνέχειας

9.1. Ο αιτών θα πρέπει να παρέχει περιγραφή του σχεδίου επιχειρησιακής συνέχειας το οποίο θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. ανάλυση επιχειρηματικών επιπτώσεων, συμπεριλαμβανομένων των επιχειρηματικών διαδικασιών και των στόχων αποκατάστασης, όπως οι στόχοι ως προς τον χρόνο αποκατάστασης, οι στόχοι ως προς το σημείο αποκατάστασης και τα προστατευόμενα στοιχεία ενεργητικού·
• β. τον προσδιορισμό της εφεδρικής τοποθεσίας, της πρόσβασης σε υποδομές πληροφορικής, καθώς και του βασικού λογισμικού και των βασικών δεδομένων που πρέπει να ανακτηθούν σε περίπτωση καταστροφής ή διαταραχής·
• γ. επεξήγηση του τρόπου με τον οποίο ο αιτών θα αντιμετωπίζει σημαντικά συμβάντα και διαταραχές της επιχειρησιακής συνέχειας, όπως βλάβη βασικών συστημάτων, απώλεια βασικών δεδομένων, αδυναμία πρόσβασης στις εγκαταστάσεις, απώλεια βασικών προσώπων·
• δ. τη συχνότητα με την οποία ο αιτών προτίθεται να προβαίνει σε δοκιμές των σχεδίων επιχειρησιακής συνέχειας και αποκατάστασης λειτουργίας έπειτα από καταστροφή, συμπεριλαμβανομένου του τρόπου καταγραφής των αποτελεσμάτων των δοκιμών. Κατευθυντήρια γραμμή 10: Έγγραφο που περιγράφει την πολιτική ασφάλειας

10.1. Ο αιτών θα πρέπει να παρέχει έγγραφο που περιγράφει την πολιτική ασφάλειας, το οποίο θα περιλαμβάνει τις ακόλουθες πληροφορίες:

• α. λεπτομερή αξιολόγηση των κινδύνων της ή των υπηρεσιών πληρωμών που προτίθεται να παρέχει ο αιτών, η οποία θα πρέπει να περιλαμβάνει τους κινδύνους απάτης και τον έλεγχο της ασφάλειας, καθώς και τα μέτρα μείωσης των κινδύνων που θα λαμβάνονται για την επαρκή προστασία των χρηστών των υπηρεσιών πληρωμών έναντι των κινδύνων που εντοπίζονται·
• β. περιγραφή των συστημάτων πληροφορικής, η οποία θα πρέπει να περιλαμβάνει:
• i. την αρχιτεκτονική των συστημάτων και τα στοιχεία δικτύου τους·
• ii. τα επιχειρηματικά συστήματα πληροφορικής που υποστηρίζουν τις παρεχόμενες επιχειρηματικές δραστηριότητες, όπως ο ιστότοπος του αιτούντος, η μηχανή διαχείρισης του κινδύνου και της απάτης, και η λογιστική πελατών·
• iii. τα υποστηρικτικά συστήματα πληροφορικής που χρησιμοποιούνται για την οργάνωση και τη διαχείριση του παρόχου υπηρεσιών πληροφοριών λογαριασμού, όπως τα συστήματα λογιστικής, τα συστήματα εκ του νόμου προβλεπόμενης υποβολής εκθέσεων, η διαχείριση προσωπικού, η διαχείριση των σχέσεων με τους πελάτες, οι διακομιστές ηλεκτρονικού ταχυδρομείου και οι εσωτερικοί διακομιστές αρχείων·
• iv. πληροφορίες σχετικά με το αν τα συστήματα αυτά χρησιμοποιούνται ήδη από τον πάροχο υπηρεσιών πληροφοριών λογαριασμού ή τον όμιλο στον οποίο ανήκει, και την εκτιμώμενη ημερομηνία εφαρμογής, κατά περίπτωση·
• γ. το είδος των εξουσιοδοτημένων εξωτερικών συνδέσεων, όπως με εταίρους, παρόχους

συμπεριλαμβανομένης της αιτιολόγησης των συνδέσεων αυτών·

• δ. για καθεμία από τις συνδέσεις που αναφέρονται στο στοιχείο γ), τα μέτρα και τους μηχανισμούς λογικής ασφάλειας που εφαρμόζονται, με προσδιορισμό του ελέγχου που θα ασκεί το ίδρυμα πληρωμών όσον αφορά την πρόσβαση αυτή, καθώς και της φύσης και της συχνότητας κάθε ελέγχου, π.χ. τεχνικός έλεγχος έναντι οργανωτικού ελέγχου, προληπτικός έλεγχος έναντι ελέγχου εντοπισμού, και παρακολούθηση σε πραγματικό χρόνο έναντι τακτικών ελέγχων, όπως η χρήση ενεργού καταλόγου (active directory) χωριστά από τον όμιλο, το άνοιγμα/κλείσιμο των γραμμών επικοινωνίας, η διάρθρωση του εξοπλισμού ασφάλειας, η παραγωγή κλειδιών ή πιστοποιητικών ελέγχου ταυτότητας πελάτη, η παρακολούθηση συστήματος, ο έλεγχος ταυτότητας, το απόρρητο της επικοινωνίας, ο εντοπισμός εισβολών, τα συστήματα προστασίας από ιούς και τα αρχεία καταγραφής ιών·
• ε. τα μέτρα και τους μηχανισμούς λογικής ασφάλειας που διέπουν την εσωτερική πρόσβαση σε συστήματα πληροφορικής, που θα πρέπει να περιλαμβάνουν:
• i. τον τεχνικό και οργανωτικό χαρακτήρα και τη συχνότητα κάθε μέτρου, όπως αν πρόκειται για προληπτικό μέτρο ή μέτρο εντοπισμού ή κατά πόσον εφαρμόζεται ή όχι σε πραγματικό χρόνο·
• ii. τον τρόπο αντιμετώπισης του ζητήματος του διαχωρισμού του περιβάλλοντος πελάτη σε περίπτωση κοινής χρήσης των πόρων πληροφορικής του αιτούντος·

στ. τα μέτρα και τους μηχανισμούς φυσικής ασφάλειας των εγκαταστάσεων και του κέντρου δεδομένων του αιτούντος, όπως έλεγχοι πρόσβασης και ασφάλεια περιβάλλοντος·

• ζ. την ασφάλεια των διαδικασιών πληρωμής, η οποία θα πρέπει να περιλαμβάνει:
• i. τη διαδικασία ελέγχου της ταυτότητας των πελατών που χρησιμοποιείται στο πλαίσιο της παροχής πρόσβασης, τόσο για σκοπούς ενημέρωσης όσο και για την εκτέλεση συναλλαγών·
• ii. επεξήγηση του τρόπου με τον οποίο διασφαλίζονται η ασφαλής παράδοση στον νόμιμο χρήστη της υπηρεσίας πληρωμής και η ακεραιότητα των παραγόντων ελέγχου ταυτότητας, όπως hardware tokens εφαρμογές κινητών συσκευών, τόσο κατά τον χρόνο της αρχικής εγγραφής όσο και κατά τον χρόνο της ανανέωσης·
• iii. περιγραφή των συστημάτων και των διαδικασιών που εφαρμόζει ο αιτών για την ανάλυση των συναλλαγών και τον εντοπισμό ύποπτων ή ασυνήθιστων συναλλαγών·

συμπεριλαμβανομένης της απάτης, με συσχέτιση προς τα μέτρα ελέγχου και μείωσης των κινδύνων που αναλύονται στον φάκελο της αίτησης, από όπου να αποδεικνύεται ότι οι κίνδυνοι αντιμετωπίζονται·

• θ. κατάλογο των βασικών γραπτών διαδικασιών που αφορούν τα συστήματα πληροφορικής του αιτούντος ή, για διαδικασίες που δεν έχουν ακόμη οριστικοποιηθεί, την εκτιμώμενη ημερομηνία ολοκλήρωσης. Κατευθυντήρια γραμμή 11: Ταυτότητα και αξιολόγηση της καταλληλότητας των διευθυντικών στελεχών και των υπευθύνων για τη διαχείριση του παρόχου υπηρεσιών πληροφοριών λογαριασμού

11.1. Για τους σκοπούς της ταυτοποίησης και της αξιολόγησης της καταλληλότητας των διευθυντικών στελεχών και των υπευθύνων για τη διαχείριση του παρόχου υπηρεσιών πληροφοριών λογαριασμού, ο αιτών θα πρέπει να παρέχει τις ακόλουθες πληροφορίες:

• α. προσωπικά στοιχεία, στα οποία θα πρέπει να περιλαμβάνονται:
• i. το πλήρες ονοματεπώνυμο, το γένος, ο τόπος και η ημερομηνία γέννησης, η διεύθυνση και η ιθαγένεια, καθώς και ο προσωπικός αριθμός ταυτότητας ή αντίγραφο του δελτίου ταυτότητας ή ισοδύναμου εγγράφου·
• ii. αναλυτικά στοιχεία της θέσης για την οποία ζητείται η αξιολόγηση και αν η θέση στο διοικητικό όργανο αφορά εκτελεστικά ή μη εκτελεστικά καθήκοντα. Σε αυτά θα πρέπει να περιλαμβάνονται επίσης τα ακόλουθα στοιχεία:

• β. κατά περίπτωση, πληροφορίες σχετικά με την αξιολόγηση καταλληλότητας που έχει διενεργηθεί από τον αιτούντα, στις οποίες θα πρέπει να περιλαμβάνονται λεπτομέρειες σχετικά με το αποτέλεσμα τυχόν αξιολόγησης της καταλληλότητας του ατόμου που διενεργήθηκε από το ίδρυμα, όπως σχετικά πρακτικά επιτροπής ή εκθέσεις αξιολόγησης της καταλληλότητας ή άλλα έγγραφα·
• γ. αποδεικτικά των γνώσεων, των δεξιοτήτων και της πείρας, στα οποία θα πρέπει να περιλαμβάνεται βιογραφικό σημείωμα που θα περιέχει αναλυτικά στοιχεία σχετικά με την εκπαίδευση και την επαγγελματική πείρα, μεταξύ άλλων τους ακαδημαϊκούς τίτλους σπουδών, άλλη συναφή κατάρτιση, το όνομα και τη φύση όλων των οργανισμών για τους οποίους το άτομο εργάζεται ή έχει εργαστεί, καθώς και τη φύση και τη διάρκεια των καθηκόντων που ασκούσε, με ιδιαίτερη έμφαση σε τυχόν δραστηριότητες που εμπίπτουν στο πεδίο εφαρμογής της επιδιωκόμενης θέσης·
• δ. αποδεικτικά στοιχεία της φήμης, της εντιμότητας και της ακεραιότητας, στα οποία θα πρέπει να περιλαμβάνονται:
• i. ποινικά μητρώα και σχετικές πληροφορίες όσον αφορά ποινικές έρευνες και διαδικασίες, συναφείς αστικές και διοικητικές υποθέσεις, καθώς και πειθαρχικές κυρώσεις, συμπεριλαμβανομένων της παύσης από τη θέση διευθυντή εταιρείας ή διαδικασιών πτώχευσης, αφερεγγυότητας ή παρόμοιων διαδικασιών, κυρίως μέσω επίσημης βεβαίωσης ή άλλης αντικειμενικά αξιόπιστης πηγής πληροφοριών σχετικά με την απουσία ποινικής καταδίκης, έρευνας και διαδικασίας, όπως έρευνες τρίτων και μαρτυρίες δικηγόρων ή συμβολαιογράφων που είναι εγκατεστημένοι στην Ευρωπαϊκή Ένωση·
• ii. δήλωση σχετικά με το αν εκκρεμούν ή όχι ποινικές διαδικασίες ή αν το πρόσωπο ή οποιοσδήποτε οργανισμός του οποίου τη διαχείριση ασκεί το εν λόγω πρόσωπο έχει εμπλακεί ως οφειλέτης σε διαδικασία αφερεγγυότητας ή παρόμοια διαδικασία·
• iii. πληροφορίες σχετικά με τα ακόλουθα:

Κατευθυντήρια γραμμή 12: Ασφάλιση επαγγελματικής ευθύνης ή συγκρίσιμη εγγύηση

12.1. Ως αποδεικτικό της ασφάλισης επαγγελματικής ευθύνης ή συγκρίσιμης εγγύησης η οποία συμμορφώνεται με τις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την ασφάλιση επαγγελματικής ευθύνης (EBA/GL/2017/08) και με το άρθρο 5 παράγραφοι 2 και 3 της οδηγίας PSD2, ο αιτών θα πρέπει να παρέχει τις ακόλουθες πληροφορίες:

• α. ασφαλιστήριο συμβόλαιο ή άλλο ισοδύναμο έγγραφο το οποίο επιβεβαιώνει την ύπαρξη ασφάλισης επαγγελματικής ευθύνης ή συγκρίσιμης εγγύησης, με ποσό κάλυψης που συνάδει με τις προαναφερόμενες κατευθυντήριες γραμμές της ΕΑΤ, και το οποίο παρουσιάζει την κάλυψη των σχετικών ευθυνών·
• β. τεκμηρίωση του τρόπου με τον οποίο ο αιτών υπολόγισε το ελάχιστο ποσό κατά τρόπο που συμμορφώνεται με τις προαναφερόμενες κατευθυντήριες γραμμές της ΕΑΤ, συμπεριλαμβανομένων όλων των επιμέρους στοιχείων του μαθηματικού τύπου που αναφέρεται σε αυτές.

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

3. Σχετικά πρότυπα

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/