Vyhláška, kterou se mění vyhláška č. 1/2022 Sb., o žádostech a oznámeních k výkonu činnosti podle zákona o platebním styku, ve znění vyhlášky č. 151/2022 Sb., a vyhláška č. 7/2018 Sb., o některých podmínkách výkonu činnosti platební instituce, správce informací o platebním účtu, poskytovatele platebních služeb malého rozsahu, instituce elektronických peněz a vydavatele elektronických peněz malého rozsahu, ve znění pozdějších předpisů

Čl. I

účinné od 17. 1. 2025Vyhláška č. 1/2022 Sb., o žádostech a oznámeních k výkonu činnosti podle zákona o platebním styku, ve znění vyhlášky č. 151/2022 Sb., se mění takto:

1. účinné od 17. 1. 20251. Na konci textu poznámky pod čarou č. 1 se doplňují slova „ , ve znění směrnice Evropského parlamentu a Rady (EU) 2022/2556“.
2. účinné od 17. 1. 20252. V § 2 písm. g) se na konci bodu 4 slovo „a“ nahrazuje čárkou.
3. účinné od 17. 1. 20253. V § 2 písm. g) se na konci bodu 5 čárka nahrazuje slovem „a“ a doplňuje se bod 6, který zní:
   účinné od 17. 1. 2025

   1. účinné od 17. 1. 2025„6. proces vyhodnocení dat a reportování výsledků vyhodnocení v rámci struktury řízení společnosti,“.

1. účinné od 17. 1. 20254. V § 2 písm. h) bodě 4 se slova „pro oznamování závažných bezpečnostních a provozních incidentů podle § 221 zákona“ nahrazují slovy „podle čl. 13 a kapitoly III nařízení Evropského parlamentu a Rady (EU) 2022/2554“.
2. účinné od 17. 1. 20255. V § 2 písm. i), § 3 písm. j), § 6 písm. h), § 8 písm. j), § 11 písm. k), § 14 písm. j) a v příloze č. 5 písm. f) se slova „zajištění kontinuity“ nahrazují slovy „zachování provozu“.
3. účinné od 17. 1. 20256. V § 2 písm. i) úvodní části ustanovení se slovo „obsahující“ nahrazuje slovy „ , včetně identifikace kritických operací, politik a plánů zachování provozu informačních a komunikačních technologií, plánů reakce a obnovy v oblasti informačních a komunikačních technologií, popisu postupů pro pravidelné testování a přezkum těchto plánů podle nařízení Evropského parlamentu a Rady (EU) 2022/2554,“.
4. účinné od 17. 1. 20257. V § 2 písm. i) se body 1 až 6 zrušují.
5. účinné od 17. 1. 20258. V § 3 a 11 písmeno q) zní:
   účinné od 17. 1. 2025

   1. účinné od 17. 1. 2025„q) popis rizik a opatření k jejich řízení zahrnující
      1. účinné od 17. 1. 20251. podrobné hodnocení rizik souvisejících s platebními službami, které žadatel poskytuje nebo hodlá poskytovat, a to s ohledem na plánované technické zabezpečení poskytování těchto platebních služeb, včetně hodnocení rizika podvodného jednání, a bezpečnostní a kontrolní opatření a postupy ke zmírnění identifikovaných rizik a k ochraně držitelů elektronických peněz nebo uživatelů platebních služeb před těmito riziky,
      2. účinné od 17. 1. 20252. popis systému řízení rizik žadatele podle kapitoly II nařízení Evropského parlamentu a Rady (EU) 2022/2554, a to včetně případů, kdy žadatel hodlá svěřit výkon některé provozní činnosti jiné osobě, a
      3. účinné od 17. 1. 20253. vnitřní předpis nebo předpisy, kterými bude žadatel zajišťovat provádění bezpečnostních a kontrolních opatření a postupů ke zmírnění rizik podle bodu 1 a ze kterých bude zřejmé naplnění požadavků podle kapitoly II nařízení Evropského parlamentu a Rady (EU) 2022/2554,“.

1. účinné od 17. 1. 20259. V § 6 písmeno k) zní:
   účinné od 17. 1. 2025

   1. účinné od 17. 1. 2025„k) popis rizik a opatření k jejich řízení zahrnující
      1. účinné od 17. 1. 20251. podrobné hodnocení rizik souvisejících s platebními službami, které žadatel poskytuje nebo hodlá poskytovat, a to s ohledem na plánované technické zabezpečení poskytování těchto platebních služeb, včetně hodnocení rizika podvodného jednání, a bezpečnostní a kontrolní opatření a postupy ke zmírnění identifikovaných rizik a k ochraně držitelů elektronických peněz nebo uživatelů platebních služeb před těmito riziky,
      2. účinné od 17. 1. 20252. popis systému řízení rizik žadatele podle kapitoly II nařízení Evropského parlamentu a Rady (EU) 2022/2554, a to včetně případů, kdy žadatel hodlá svěřit výkon některé provozní činnosti jiné osobě, a
      3. účinné od 17. 1. 20253. vnitřní předpis nebo předpisy, kterými bude žadatel zajišťovat provádění bezpečnostních a kontrolních opatření a postupů ke zmírnění rizik podle bodu 1 a ze kterých bude zřejmé naplnění požadavků podle kapitoly II nařízení Evropského parlamentu a Rady (EU) 2022/2554,“.

1. účinné od 17. 1. 202510. V § 8 a 14 písmeno p) zní:
   účinné od 17. 1. 2025

   1. účinné od 17. 1. 2025„p) popis rizik a opatření k jejich řízení zahrnující
      1. účinné od 17. 1. 20251. podrobné hodnocení rizik souvisejících s platebními službami, které žadatel poskytuje nebo hodlá poskytovat, a to s ohledem na plánované technické zabezpečení poskytování těchto platebních služeb, včetně hodnocení rizika podvodného jednání, a bezpečnostní a kontrolní opatření a postupy ke zmírnění identifikovaných rizik a k ochraně držitelů elektronických peněz nebo uživatelů platebních služeb před těmito riziky,
      2. účinné od 17. 1. 20252. popis systému řízení rizik žadatele podle kapitoly II nařízení Evropského parlamentu a Rady (EU) 2022/2554, a to včetně případů, kdy žadatel hodlá svěřit výkon některé provozní činnosti jiné osobě, a
      3. účinné od 17. 1. 20253. vnitřní předpis nebo předpisy, kterými bude žadatel zajišťovat provádění bezpečnostních a kontrolních opatření a postupů ke zmírnění rizik podle bodu 1 a ze kterých bude zřejmé naplnění požadavků podle kapitoly II nařízení Evropského parlamentu a Rady (EU) 2022/2554,“.

1. účinné od 17. 1. 202511. V příloze č. 2 písm. c) bodě 3 se slova „toku peněžních prostředků prováděné platební transakce“ nahrazují slovy „a podrobný rozpis odhadovaných peněžních toků (cash flow)“.
2. účinné od 17. 1. 202512. V příloze č. 3 písm. d) bodech 3 a 7 se číslo „19“ nahrazuje číslem „17“.
3. účinné od 17. 1. 202513. V příloze č. 3 písm. i) se slovo „subjektivity“ nahrazuje slovem „osobnosti“.
4. účinné od 17. 1. 202514. V příloze č. 4 písm. b) se slovo „doklady“ nahrazuje slovem „informace“.
5. účinné od 17. 1. 202515. V příloze č. 5 se na konci písmene h) slovo „a“ zrušuje.
6. účinné od 17. 1. 202516. V příloze č. 5 se na konci písmene i) tečka nahrazuje slovem „a“ a doplňuje se písmeno j), které zní:
   účinné od 17. 1. 2025

   1. účinné od 17. 1. 2025„j) popis zásad pro využívání služeb informačních a komunikačních technologií podle kapitoly V, oddílu I nařízení Evropského parlamentu a Rady (EU) 2022/2554.“.

1. účinné od 17. 1. 202517. Příloha č. 6 se zrušuje.

Čl. II

účinné od 17. 1. 2025Vyhláška č. 7/2018 Sb., o některých podmínkách výkonu činnosti platební instituce, správce informací o platebním účtu, poskytovatele platebních služeb malého rozsahu, instituce elektronických peněz a vydavatele elektronických peněz malého rozsahu, ve znění vyhlášky č. 2/2022 Sb. a vyhlášky č. 151/2022 Sb., se mění takto:

1. účinné od 17. 1. 20251. V poznámce pod čarou č. 1 se věta první nahrazuje větou „Čl. 4 bod 46, čl. 8 odst. 2, čl. 9 odst. 1, čl. 9 odst. 2 a čl. 95 odst. 1 směrnice Evropského parlamentu a Rady (EU) 2015/2366 ze dne 25. listopadu 2015 o platebních službách na vnitřním trhu, kterou se mění směrnice 2002/65/ES, 2009/110/ES a 2013/36/EU a nařízení (EU) č. 1093/2010 a zrušuje směrnice 2007/64/ES, ve znění směrnice Evropského parlamentu a Rady (EU) 2022/2556.“.
2. účinné od 17. 1. 20252. V § 4 odstavec 2 zní:
   účinné od 17. 1. 2025

   účinné od 17. 1. 2025„(2) Odstavcem 1 nejsou dotčeny povinnosti platební instituce řídit rizika v oblasti informačních a komunikačních technologií, kterým platební instituce je nebo by mohla být vystavena v souvislosti s jí poskytovanými platebními službami, podle kapitoly II nařízení Evropského parlamentu a Rady (EU) 2022/2554. Opatření pro zmírnění rizik v oblasti informačních a komunikačních technologií a kontrolní mechanismy zavedené platební institucí podle kapitoly II nařízení Evropského parlamentu a Rady (EU) 2022/2554 jsou součástí jejího řízení bezpečnostních a provozních rizik podle odstavce 1.“.

1. účinné od 17. 1. 20253. V § 4 se odstavce 3 a 4 zrušují.
2. účinné od 17. 1. 20254. Příloha se zrušuje.

Čl. III