La EBA publica el consultation paper sobre las directrices para las medidas de seguridad en la PSD 2

La EBA (European Banking Association) publicó el 5-5-2017, el consultation paper sobre las directrices relativas a las medidas de seguridad para los riesgos operativos y riesgos de seguridad en el marco de la directiva de servicios de pago (PSD 2).

Las Directrices se han elaborado en estrecha cooperación con el Banco Central Europeo (BCE) y en ellas se refuerzan los objetivos de PSD 2, como el fortalecimiento del mercado integrado de pagos en la UE, la mitigación de los riesgos de seguridad derivados de los pagos electrónicos y la promoción de igualdad de condiciones para la competencia.

La consulta se prolongará hasta el 7-8-2017.

Para obtener la autorización como entidad de pago, entre otra documentación, se requiere disponer de una política de seguridad que incluya la evaluación pormenorizada de riesgos en relación con los servicios de pago y una descripción de las medidas de control de la seguridad y mitigación de los riesgos adoptadas para proteger adecuadamente de esos riesgos a los usuarios de los servicios de pago, incluidos el fraude, y el uso ilegal de datos sensibles y de carácter personal. Esas medidas comprenderán, asimismo, las formuladas por la EBA basándose en el artículo 95 de la PSD 2, e incluyendo también los criterios y las condiciones para establecer y seguir las medidas de seguridad.

En este documento, la EBA trata también, la gobernanza que debe preverse para la gestión de riesgos (tanto operacional como de seguridad), los modelos de gestión y control de riesgos al establecer las medidas de seguridad, la externalización, la identificación, clasificación y evaluación de esos riesgos, así como la protección de la integridad y confidencialidad de los datos.

Además, se proponen los requisitos para la vigilancia, detección y notificación de los incidentes de seguridad y de los riesgos identificados, así como para los planes de continuidad de negocio, los planes de continuidad basados en escenarios, las comunicaciones de incidentes de negocio y crisis, el testeo de las medidas de seguridad, y los requisitos para el conocimiento de la situación y el aprendizaje continuo, entre otros.