§ 1. · Anvendelsesområde og definitioner§-link ↗
Denne bekendtgørelse finder anvendelse på følgende virksomheder ved udbud af betalingstjenester: 1) Pengeinstitutter, der udsteder elektroniske penge eller udbyder betalingstjenester, jf. §§ 2 og 3 i lov om betalinger. 2) Offentlige myndigheder og Danmarks Nationalbank, hvis disse udsteder elektroniske penge eller udbyder betalingstjenester, jf. §§ 2 og 3 i lov om betalinger. 3) Virksomheder, der er meddelt tilladelse som e-pengeinstitut i medfør af § 8 i lov om betalinger, og som udbyder betalingstjenester, jf. bilag 1 i lov om betalinger. 4) Virksomheder, der er meddelt tilladelse som betalingsinstitut i medfør af § 9 i lov om betalinger. 5) Virksomheder, der er meddelt begrænset tilladelse til at udstede elektroniske penge i medfør af § 50 i lov om betalinger. 6) Virksomheder, der er meddelt begrænset tilladelse til at udbyde betalingstjenester i medfør af § 51 i lov om betalinger. 7) Virksomheder, der er meddelt tilladelse til at udbyde kontooplysningstjenester, jf. § 60, stk. 1, i lov om betalinger.
§ 2. · Anvendelsesområde og definitioner§-link ↗
I denne bekendtgørelse forstås ved: 1) Drifts- og sikkerhedshændelse: En enkeltstående eller en række af hændelser, der ikke er planlagt af en virksomhed omfattet af § 1, og som har fået eller formodes at få negativ indvirkning på betalingsrelaterede tjenesters integritet, tilgængelighed, fortrolighed, ægthed eller kontinuitet. 2) Betalingsrelaterede tjenester: Betalingstjenester omfattet af bilag 1 i lov om betalinger og alle de tekniske støttefunktioner, der er nødvendige for den korrekte levering af betalingstjenester.
§ 3. · Indberetning af større hændelser§-link ↗
En virksomhed omfattet af § 1 skal snarest muligt underrette Finanstilsynet om større drifts- og sikkerhedshændelser.
Stk. 2. Omfanget af en drifts- og sikkerhedshændelse skal vurderes ud fra kriterierne angivet i bilag 1. Der vil være tale om en større drifts- og sikkerhedshændelse, når hændelsen opfylder eller forventes at opfylde 1) ét eller flere af kriterierne på højere indvirkningsniveau, jf. bilag 1, eller 2) tre eller flere af kriterierne på lavere indvirkningsniveau, jf. bilag 1.
Stk. 3. Underretningen efter stk. 1 skal bestå af: 1) En indledende rapport, jf. § 4. 2) Foreløbige rapporter om løbende orientering af status på hændelsen, jf. § 5. 3) En endelig rapport, jf. § 6.
Stk. 4. Underretning af hændelser skal ske gennem den fælles digitale løsning for indberetning af hændelser til offentlige myndigheder på www.virk.dk.
§ 4. · Indberetning af større hændelser§-link ↗
En virksomhed omfattet af § 1 skal indsende en indledende rapport til Finanstilsynet snarest muligt efter drifts- og sikkerhedshændelsen konstateres og om muligt indenfor 4 timer. Konstateres drifts- og sikkerhedshændelsen uden for normal arbejdstid, skal den indledende rapport sendes til Finanstilsynet senest 4 timer efter, at normal arbejdstid er påbegyndt den efterfølgende arbejdsdag.
Stk. 2. Er alle oplysninger til brug for underretningen ikke tilgængelige for virksomheden på tidspunktet, hvor underretning skal foretages, jf. stk. 1, skal virksomheden afgive en underretning baseret på skøn.
§ 5. · Indberetning af større hændelser§-link ↗
En virksomhed omfattet af § 1 skal løbende indsende foreløbige rapporter til Finanstilsynet og første gang indenfor 3 arbejdsdage fra, at drifts- og sikkerhedshændelsen konstateres. De foreløbige rapporter skal løbende ajourføres, når virksomheden får kendskab til nye relevante oplysninger eller væsentlige ændringer siden den forudgående underretning, dog ikke med større interval end 3 arbejdsdage, og indtil hændelsens ophør.
Stk. 2. Er alle oplysninger til brug for underretningen ikke tilgængelige for virksomheden på tidspunktet, hvor underretning skal foretages, jf. stk. 1, skal virksomheden afgive en underretning baseret på skøn.
§ 6. · Indberetning af større hændelser§-link ↗
En virksomhed omfattet af § 1 skal indsende en endelig rapport til Finanstilsynet senest to uger efter, at drifts- og sikkerhedshændelsen er ophørt, og driften kan anses for at være tilbage til normal.
Stk. 2. Den endelige rapport skal være baseret på faktiske oplysninger.
§ 7. · Outsourcing og konsolideret indberetning§-link ↗
En virksomhed omfattet af § 1 kan outsource indberetningen af større drifts- og sikkerhedshændelser efter §§ 4-6 til en tredjepart, når følgende betingelser er opfyldt, jf. dog stk. 2: 1) Virksomheden underretter forinden Finanstilsynet om outsourcingen af indberetningen. 2) Den formelle kontrakt mellem virksomheden og tredjeparten, der er grundlaget for outsourcingen af indberetningen, fastlægger entydigt opgavefordelingen mellem parterne. 3) Fortroligheden af følsomme data samt kvaliteten, sammenhængen, integriteten og pålideligheden af de oplysninger, der gives til Finanstilsynet, er forsvarligt sikret.
Stk. 2. Virksomheder omfattet af § 1, nr. 3 og 4, skal foruden stk. 1 opfylde de krav til outsourcing af væsentlige driftsmæssige funktioner, som er fastlagt i §§ 39 og 40 i lov om betalinger.
Stk. 3. Den virksomhed, der outsourcer indberetningen efter §§ 4-6, har fortsat ansvaret for opfyldelsen af kravene til indberetningen samt de oplysninger, der afgives til Finanstilsynet.
Stk. 4. Virksomheden skal underrette Finanstilsynet, hvis virksomheden trækker outsourcingen af indberetningen tilbage. Virksomheden skal desuden underrette Finanstilsynet om enhver væsentlig ændring, der berører tredjeparten og dennes evne til at opfylde indberetningsforpligtelsen.
§ 8. · Outsourcing og konsolideret indberetning§-link ↗
En eller flere virksomheder omfattet af § 1, kan på konsolideret niveau outsource indberetningen efter §§ 4-6 til en tredjepart, som er etableret i Danmark, i de tilfælde hvor en drifts- og sikkerhedshændelse skyldes en afbrydelse af den eller de ydelser, der leveres af den pågældende tredjepart.
Stk. 2. Virksomheden skal forinden underrette Finanstilsynet om outsourcingen af indberetningen efter stk. 1.
Stk. 3. Kontrakten mellem virksomheden og tredjeparten, der er grundlaget for outsourcingen af indberetningen, skal entydigt fastlægge opgavefordelingen mellem parterne, og det skal fremgå, at tredjeparten holder virksomheden løbende underrettet om alle relevante oplysninger om hændelsen, herunder den dialog, som tredjeparten har med Finanstilsynet, i det omfang det ikke udgør et brud på fortroligheden af oplysninger, som vedrører andre virksomheder.
§ 9. · Orientering til brugerne af betalingstjenesten§-link ↗
En virksomhed omfattet af § 1 skal snarest muligt, efter drifts- og sikkerhedshændelsen konstateres, vurdere, om drifts- og sikkerhedshændelsen direkte eller indirekte har eller kan få indvirkning på betalingstjenestens brugere og deres økonomiske interesser.
Stk. 2. Viser virksomhedens vurdering, jf. stk. 1, at drifts- og sikkerhedshændelsen direkte eller indirekte har eller kan få indvirkning på brugernes økonomiske interesser, skal virksomheden snarest muligt orientere brugerne om hændelsen og om de tilgængelige foranstaltninger, som de kan træffe for at begrænse hændelsens negative følger. Ved orienteringen til brugerne skal virksomheden tage hensyn til drifts- og sikkerhedshændelsens negative følger samt den måde, hvorpå virksomheden normalt kommunikerer med sine brugere på.
§ 10. · Straffebestemmelser§-link ↗
Overtrædelse af §§ 3-6 og § 9 straffes med bøde.
Stk. 2. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel.
§ 11. · Ikrafttræden§-link ↗
Bekendtgørelsen træder i kraft den 1. januar 2019.