Det system som en betaltjänstleverantör ska ha enligt 5 b kap. 1 § lagen (2010:751) om betaltjänster, ska vara anpassat för leverantörens verksamhet och bestå av ett ramverk av dokumenterade åtgärder som hanterar eller minskar risken för att operativa incidenter eller säkerhetsincidenter inträffar. Inom ramen för systemet ska leverantören åtminstone
- 1.definiera och tilldela de ansvarsfunktioner som leverantören bedömer är nödvändiga för att genomföra säkerhetsåtgärderna,
- 2.fastställa processer, rutiner och system för att identifiera, mäta, övervaka och hantera riskerna som är förknippade med leverantörens betaltjänstverksamhet,
- 3.göra en riskbedömning av betaltjänsterna och ta fram en beskrivning av de säkerhetsåtgärder som ska skydda betaltjänstanvändarna mot de risker som identifierats, bland annat mot bedrägerier och olaglig användning av känsliga uppgifter och personuppgifter,
- 4.ha en intern nivåbaserad modell för att hantera och kontrollera risker i betaltjänstverksamheten,
- 5.ta fram en beskrivning av hur leverantören säkerställer att de operativa riskerna och säkerhetsriskerna hanteras när den uppdrar åt någon annan att utföra en del av betaltjänstverksamheten,
- 6.fastställa en riskaptit för betaltjänstverksamheten samt inventera, klassificera och riskbedöma affärsfunktioner, processer och tillgångar som anses kritiska för verksamheten,
- 7.ta fram säkerhetsåtgärder som hanterar fysisk säkerhet och åtkomstkontroll,
- 8.se till att verksamheten övervakas för att identifiera oplanerade händelser som leder till operativa eller säkerhetsrelaterade incidenter samt hantera, följa upp och rapportera incidenterna,
- 9.ta fram en plan för kontinuitetshantering, som innefattar en beskrivning av hur verksamheten ska upprätthållas i olika scenarier och hur leverantören ska kommunicera i händelse av kris, testa kontinuitetsplanerna årligen och vid behov uppdatera dem,
- 10.ta fram och regelbundet testa kontrollrutiner som säkerställer att säkerhetsåtgärderna är uppdaterade och effektiva,
- 11.ta fram en hotbildsanalys för betaltjänstverksamheten och regelbundet utbilda personalen om hur den ska använda beredskapsplaner, kontinuitetsplaner och återställningsplaner och
- 12.ta fram och vid behov genomföra processer och rutiner för att vägleda och informera betaltjänstanvändarna om säkerhetsrisker och felmeddelanden som är relaterade till de tillhandahållna betaltjänsterna och betaltjänstanvändarnas möjligheter att avaktivera specifika betalningsfunktioner.
Första stycket gäller inte för hantering av sådana IKT-risker som avses i Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011.
