§ 4
změněno 1. 7. 2022 zákonem 2/2022 Sb.
§ 4 Systém řízení bezpečnostních a provozních rizik (1) Platební instituce prokazatelně promítne požadavky stanovené na řídicí zavede k řízení bezpečnostních a provozních rizik souvisejících s platebními službami, které poskytuje, opatření pro zmírnění těchto rizik a kontrolní systém mechanismy. Platební instituce stanoví a udržuje účinné postupy k jejich naplňování do svých strategií řízení bezpečnostních a provozních incidentů, organizačního řádu, plánů a dalších vnitřně stanovených zásad to i pro odhalování a postupů platební instituce (dále jen „vnitřní předpis“) klasifikaci závažných bezpečnostních a provozních incidentů. (2) Platební instituce stanoví postup pro přijímání v rámci systému řízení bezpečnostních a změny vnitřních předpisů provozních rizik řídí vždy také rizika v oblasti informačních a zajistí komunikačních technologií a bezpečnosti, aby vnitřní předpisy byly pravidelně vyhodnocovány která zahrnují alespoň a případně upravovány. (3) Platební instituce zajistí rizika ztráty v důsledku narušení důvěrnosti dat, aby všichni pracovníci byli s vnitřními předpisy integrity systémů a dat nebo dostupnosti systémů a dat nebo v potřebném rozsahu seznámeni důsledku neschopnosti změnit informační a postupovali komunikační systémy v souladu přiměřeném čase a s nimi přiměřenými náklady, pokud se mění prostředí nebo činnosti, b) bezpečnostní rizika vyplývající z nedostatečnosti nebo selhání vnitřních procesů nebo z vnějších událostí včetně kybernetických útoků nebo z nedostatečného fyzického zabezpečení. (43) Platební instituce zohlední Podrobnosti k naplnění předpokladu řádné správy a řízení ve vnitřních předpisech vybrané uznávané rizik v oblasti informačních a osvědčené principy komunikačních technologií a postupy vydávané uznávanými osobami a využívané při činnostech obdobného charakteru2) (dále jen „uznávaný standard“) bezpečnosti, ledaže kterým platební instituce je nebo by jejich konkrétní ustanovení bylo mohla být vystavena v rozporu souvislosti s požadavky právních předpisů nebo umožňovalo jejich obcházení. V tomto rozsahu platební instituce uznávané standardy soustavně uplatňuje a pravidelně prověřuje, zda jí zvolené a uplatňované uznávané standardy jsou nadále vhodné a přiměřené povaze poskytovanými platebními službami, rozsahu a složitosti jejích činností a zjištěné nedostatky odstraní jsou uvedeny v příloze k této vyhlášce. (54) Platební instituce zajistí vypracuje politiku bezpečnosti informací, aby byla jasně stanovena oprávnění ke schvalování která vymezuje zásady a podepisování dokumentů v rámci činnosti platební instituce a aby veškeré relevantní schvalovací a rozhodovací procesy a kontrolní činnosti včetně souvisejících odpovědností pravidla na ochranu důvěrnosti, pravomocí integrity a vnitřních předpisů bylo možné zaznamenávat, uchovávat dostupnosti dat a zpětně vysledovat informací platební instituce a rekonstruovat uživatelů platebních služeb. (6) Platební instituce zajistí, že součástí vnitřních předpisů jsou pravidla pro a) systém evidování reklamací a stížností klientů, jejich vyřizování, ohlašování a sledování přijatých opatření, včetně reklamací a stížností týkajících se bezpečnostních incidentů; upraví ve svých vnitřních předpisech přitom vždy zohlední bezpečnostní opatření v souladu s podrobnostmi k tomu vydané obecné pokyny Evropského orgánu dohledu (Evropského orgánu pro bankovnictví) a Společného výboru evropských orgánů dohledu3); a b) systém řízení bezpečnostních a provozních rizik; ve vnitřních předpisech přitom vždy zohlední k tomu vydané obecné pokyny orgánu a výboru podle písmene a)4) přílohy k této vyhlášce.