Na podlagi tretjega odstavka 13. člena Zakona o bančništvu (Uradni list RS, št. 25/15, 44/16 – ZRPPB, 77/16 – ZCKR, 41/17, 77/18 – ZTFI-1 in 22/19 – ZIUDSOL in 44/19 – odl. US; v nadaljevanju ZBan-2), enajstega odstavka 243. člena Zakona o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih (Uradni list RS, št. 7/18 in 9/18 – popr.; v nadaljevanju: ZPlaSSIED) in prvega odstavka 31. člena Zakona o Banki Slovenije (Uradni list RS, št. 72/06 – uradno prečiščeno besedilo, 59/11 in 55/17) izdaja Svet Banke Slovenije

(1) Evropski bančni organ je na podlagi prvega odstavka 16. člena Uredbe (EU) št. 1093/2010 Evropskega parlamenta in Sveta z dne 24. novembra 2010 o ustanovitvi Evropskega nadzornega organa (Evropski bančni organ) in o spremembi Sklepa št. 716/2009/ES ter razveljavitvi Sklepa Komisije 2009/78/ES (UL L št. 331 z dne 15. decembra 2010, str. 12), zadnjič spremenjena z Uredbo (EU) 2018/1717 Evropskega parlamenta in Sveta z dne 14. novembra 2018 o spremembi Uredbe (EU) št. 1093/2010, kar zadeva lokacijo sedeža Evropskega bančnega organa (UL L št. 291 z dne 16. novembra 2018, str. 1) (v nadaljevanju Uredba (EU) št. 1093/2010) dne 28. novembra 2019 na svoji spletni strani objavil Smernice o upravljanju tveganj, povezanih z informacijsko in komunikacijsko tehnologijo (v nadaljevanju: IKT) in varnostjo (EBA/GL/2019/04; v nadaljevanju: smernice).

(2) Smernice iz prvega odstavka tega člena določajo ukrepe za obvladovanje tveganja, ki jih morajo finančne institucije sprejeti v skladu s 74. členom Direktive 2013/36/EU Evropskega parlamenta in Sveta z dne 26. junija 2013 o dostopu do dejavnosti kreditnih institucij in bonitetnem nadzoru kreditnih institucij in investicijskih podjetij, spremembi Direktive 2002/87/ES in razveljavitvi direktiv 2006/48/ES in 2006/49/ES za obvladovanje svojih tveganj, povezanih z IKT in varnostjo, za vse dejavnosti, in ki jih morajo ponudniki plačilnih storitev, sprejeti v skladu s prvim odstavkom 95. člena Direktive (EU) 2015/2366 Evropskega parlamenta in Sveta z dne 25. novembra 2015 o plačilnih storitvah na notranjem trgu, spremembah direktiv 2002/65/ES, 2009/110/ES ter 2013/36/EU in Uredbe (EU) št. 1093/2010 ter razveljavitvi Direktive 2007/64/ES (UL L št. 337 z dne 23. decembra 2015, str. 35–127) (v nadaljevanju Direktiva (EU) 2015/2366) za obvladovanje operativnih in varnostnih tveganj, povezanih s plačilnimi storitvami, ki jih opravljajo. Smernice vključujejo zahteve za informacijsko varnost, vključno s kibernetsko varnostjo, če so informacije shranjene v sistemih IKT.

(3) Smernice so naslovljene na:

1. institucije, kot so opredeljene v 3. točki prvega odstavka 4. člena Uredbe (EU) št. 575/2013 Evropskega parlamenta in Sveta z dne 26. junija 2013 o bonitetnih zahtevah za kreditne institucije in investicijska podjetja ter o spremembi Uredbe (EU) št. 648/2012 (UL L št. 176 z dne 27. junija 2013, str. 1), zadnjič spremenjena z Uredbo (EU) 2019/876 Evropskega parlamenta in Sveta z dne 20. maja 2019 o spremembi Uredbe (EU) št. 575/2013 v zvezi s količnikom finančnega vzvoda, količnikom neto stabilnega financiranja, zahtevami glede kapitala in kvalificiranih obveznosti, kreditnim tveganjem nasprotne stranke, tržnim tveganjem, izpostavljenostmi do centralnih nasprotnih strank, izpostavljenostmi do kolektivnih naložbenih podjemov, velikimi izpostavljenostmi, zahtevami glede poročanja in razkritja ter Uredbe (EU) št. 648/2012 (UL L št. 150 z dne 7. junija 2019, str. 1–225) (v nadaljevanju Uredba (EU) št. 575/2013);

2. ponudnike plačilnih storitev, kot so opredeljeni v 11. točki, 4. člena Direktive (EU) 2015/2366;

3. pristojne organe, kot so opredeljeni v 40. točki prvega odstavka 4. člena Uredbe (EU) št. 575/2013.

4. Evropsko centralno banko v zvezi z zadevami, ki se nanašajo na naloge, prenesene nanjo v skladu z Uredbo (EU) št. 1024/2013

5. pristojne organe v skladu z Direktivo (EU) 2015/2366, kot so navedeni v členu 4(2)(i) Uredbe (EU) št. 1093/2010.

(1) Banka Slovenije s tem sklepom določa uporabo smernic za:

1. banke in hranilnice, ki so v skladu z ZBan-2 pridobile dovoljenje za opravljanje bančnih storitev v RS (v nadaljevanju banke),

2. druge ponudnike plačilnih storitev, kot so opredeljeni v 20. členu ZPlaSSIED,

3. Banko Slovenije, kadar v skladu z ZBan-2 in ZPlaSSIED v vlogi pristojnega organa izvaja pristojnosti in naloge nadzora nad bankami iz 1. točke tega odstavka ter ponudniki plačilnih storitev iz 2. točke tega odstavka.

(2) Banke iz 1. točke prvega odstavka tega člena v celoti upoštevajo določbe smernic v delu, v katerem so naslovljene na banke.

(3) Drugi ponudniki plačilnih storitev iz 2. točke prvega odstavka tega člena v celoti upoštevajo določbe smernic v delu, v katerem so naslovljene na druge ponudnike plačilnih storitev.

(4) Banka Slovenije pri opravljanju nalog in pristojnosti nadzora v skladu z ZBan-2, ZPlaSSIED in Uredbo (EU) št. 575/2013 v celoti upošteva določbe smernic v delu, ki se nanaša na izvajanje nalog in pooblastil pristojnega organa.

Z dnem začetka uporabe tega sklepa preneha veljati Sklep o uporabi Smernic o varnostnih ukrepih za operativna in varnostna tveganja pri plačilnih storitvah na podlagi Direktive (EU) 2015/2366 (Uradni list RS, št. 11/18).

Ta sklep začne veljati naslednji dan po njegovi objavi v Uradnem listu Republike Slovenije, uporabljati pa se začne 30. junija 2020.