Art. 7
Modifiche della direttiva (UE) 2015/2366
In vigore dal 14 dic 2022
Modifiche della direttiva (UE) 2015/2366
La direttiva (UE) 2015/2366 è così modificata:
1)
all’, la lettera j) è sostituita dalla seguente:
«j)
ai servizi forniti da prestatori di servizi tecnici, che supportano la prestazione dei servizi di pagamento, senza mai entrare in possesso dei fondi da trasferire, compresi l’elaborazione e la registrazione di dati, i servizi fiduciari e di protezione della riservatezza, l’autenticazione dei dati e delle entità, la fornitura di reti di tecnologie dell’informazione e della comunicazione (information and communication technology – TIC) e di comunicazione, la fornitura e la manutenzione di terminali e dispositivi utilizzati per i servizi di pagamento a esclusione dei servizi di disposizione di ordine di pagamento e dei servizi di informazione sui conti;»;
2)
all’, il paragrafo 1 è così modificato:
a)
il primo comma è così modificato:
i)
la lettera e) è sostituita dalla seguente:
«e)
una descrizione dei dispositivi di governo societario e dei meccanismi di controllo interno, ivi comprese le procedure amministrative, di gestione del rischio e contabili, del richiedente, nonché gli accordi per l’utilizzo di servizi di TIC a noma del regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio (*7), che dimostri che tali dispositivi di governo societario e meccanismi di controllo interno siano proporzionati, appropriati, validi e adeguati;
(*7) Regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativo alla resilienza operativa digitale per il settore finanziario e che modifica i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014, (UE) n. 909/2014 e (UE) 2016/1011 (GU L 333 del 27.12.2022, pag. 1).";"
ii)
la lettera f) è sostituita dalla seguente:
«f)
una descrizione della procedura esistente per monitorare e gestire gli incidenti relativi alla sicurezza e i reclami dei clienti in materia di sicurezza e per darvi seguito, compreso un meccanismo di notifica degli incidenti che tenga conto degli obblighi di notifica dell’istituto di pagamento di cui al capo III del regolamento (UE) 2022/2554»
iii)
la lettera h) è sostituita dalla seguente:
«h)
una descrizione delle disposizioni in materia di continuità operativa, tra cui l’individuazione chiara delle operazioni critiche, politica e piani di continuità operativa delle TIC e piani di risposta e di ripristino relativi alle TIC efficaci nonché una procedura per testare periodicamente e riesaminare l’adeguatezza e l’efficacia di tali piani a norma del regolamento (UE) 2022/2554;»;
b)
il terzo comma è sostituito dal seguente:
«Le misure di controllo e di mitigazione in materia di sicurezza di cui al primo comma, lettera j), indicano in che modo garantiscono un elevato livello di resilienza operativa digitale conformemente al capo II del regolamento (UE) 2022/2554, in particolare, in relazione alla sicurezza tecnica e protezione dei dati, anche per il software e i sistemi TIC utilizzati dal richiedente o dalle imprese alle quali questi esternalizza la totalità o parte delle sue attività. Tali misure comprendono anche le misure di sicurezza di cui all’articolo 95, paragrafo 1, della presente direttiva. Tali misure tengono conto degli orientamenti dell’ABE relativi alle misure di sicurezza di cui all’articolo 95, paragrafo 3, della presente direttiva una volta emanati.»;
3)
all’articolo 19, paragrafo 6, il secondo comma è sostituito dal seguente:
«L’esternalizzazione di funzioni operative importanti, tra cui i sistemi TIC, non deve mettere materialmente a repentaglio la qualità del controllo interno dell’istituto di pagamento né la capacità delle autorità competenti di controllare e documentare che l’istituto di pagamento adempia a tutti gli obblighi definiti dalla presente direttiva.»;
4)
all’articolo 95, paragrafo 1, è aggiunto il comma seguente:
«Il primo comma lascia impregiudicata l’applicazione del capo II del regolamento (UE) 2022/2554:
a)
ai prestatori di servizi di pagamento di cui all’, paragrafo 1, lettere a), b) e d), della presente direttiva;
b)
ai prestatori di servizi di informazione sui conti di cui all’articolo 33, paragrafo 1, della presente direttiva;
c)
agli istituti di pagamento esentati a norma dell’articolo 32, paragrafo 1, della presente direttiva; e
d)
agli istituti di moneta elettronica che beneficiano di un’esenzione ai sensi dell’, paragrafo 1, della direttiva 2009/110/CE.»;
5)
all’articolo 96 è aggiunto il paragrafo seguente:
«7. Gli Stati membri assicurano che i paragrafi da 1 a 5 del presente articolo non si applichino:
a)
ai prestatori di servizi di pagamento di cui all’, paragrafo 1, lettere a), b) e d), della presente direttiva;
b)
ai prestatori di servizi di informazione sui conti di cui all’articolo 33, paragrafo 1, della presente direttiva;
c)
agli istituti di pagamento esentati a norma dell’articolo 32, paragrafo 1, della presente direttiva; e
d)
agli istituti di moneta elettronica che beneficiano di un’esenzione ai sensi dell’, paragrafo 1, della direttiva 2009/110/CE.»;
6)
all’articolo 98, il paragrafo 5 è sostituito dal seguente:
«5. A norma dell’ del regolamento (UE) n. 1093/2010, l’ABE periodicamente rivede e, se del caso, aggiorna le norme tecniche di regolamentazione, tra l’altro, per tenere conto dell’innovazione e dei progressi tecnologici, nonché delle disposizioni del capo II del regolamento (UE) 2022/2554».
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:dir:2022:2556:oj#art-7