4.6 Hantering av IKT- och säkerhetsrisker

Kreditinstitut och finansiella institut bör identifiera och hantera de IKT- och säkerhetsrisker som sammanhänger med användningen av processen för etablering av affärsförbindelser med nya kunder på distans, också när de anlitar tredje parter eller utkontrakterar tjänsten externt eller internt inom koncernen.

Vid sidan av att uppfylla kraven i EBA:s riktlinjer om hantering av IKT- och säkerhetsrisker¹⁰ i tillämpliga fall, bör kreditinstitut och finansiella institut använda säkra kommunikationskanaler för att interagera med kunderna under processen för etablering av affärsförbindelser med nya kunder på distans. Lösningen för etablering av affärsförbindelser med nya kunder på distans bör innehålla säkra protokoll och kryptografiska algoritmer som överensstämmer med branschens bästa praxis för att i tillämpliga fall värna om sekretessen, äktheten och integriteten för de data som utbyts.

¹⁰ EBA/GL/2019/04.

Kreditinstitut och finansiella institut bör tillhandahålla en säker åtkomstpunkt för start av processen för etablering av affärsförbindelser med nya kunder på distans, på basis av sådana kvalificerade certifikat för elektroniska stämplar som avses i artikel 3.30 i förordning (EU) nr 910/2014 eller sådana kvalificerade certifikat för autentisering av webbplatser som avses i artikel 3.39 i samma förordning. Kunden bör också informeras om de säkerhetsåtgärder som bör vidtas för att tillse att systemet kan användas på ett säkert sätt.

Om en enhet med flera funktioner används för att genomföra processen för etablering av affärsförbindelser med nya kunder på distans bör en säker miljö i tillämpliga fall användas för exekvering av programvarukoden på kundens sida. Kompletterande säkerhetsåtgärder bör vidtas för att säkerställa att programvarukoden och de insamlade uppgifterna är säkra och tillförlitliga, i enlighet med den bedömning av säkerhetsrisker som föreskrivs i EBA:s riktlinjer om hantering av IKT- och säkerhetsrisker.