Ordinul nr. 16/2003

Articolul 1

Prezentul ordin se aplică băncilor, persoane juridice române, precum și sucursalelor din România ale băncilor, persoane juridice străine, denumite în continuare bănci, și are ca obiect stabilirea procedurii privind eliberarea avizului Ministerului Comunicațiilor și Tehnologiei Informatiei asupra instrumentelor de plată cu acces la distanta tip Internet-banking sau home-banking.

Articolul 2

În înțelesul prezentului ordin, termenii și expresiile de mai jos au următoarele semnificatii:

a) instrument de plată cu acces la distanta - soluție informatica ce permite deținătorului să aibă acces la distanta, prin intermediul unui mediu de comunicație, al unei aplicații informatice și al unei metode de autentificare, la fondurile aflate în contul sau, prin intermediul căreia poate obține informații privind situația conturilor și a operațiunilor efectuate, efectua plati sau alte transferuri de fonduri către un beneficiar;

b) emitent - banca autorizata de Banca Naționala a României sa emita instrumente de plată electronică și care pune la dispoziție deținătorului un instrument de plată electronică cu acces la distanta, pe baza unui contract încheiat cu acesta;

c) deținător - persoana fizica sau juridică care, în baza contractului încheiat cu emitentul, deține un mecanism de autentificare în utilizarea instrumentului de plată cu acces la distanta;

d) utilizator - deținătorul instrumentului de plată cu acces la distanta sau o persoană fizica recunoscută și acceptată de către deținător ca având acces la drepturile sale conferite de către emitent;

e) instrument de plată la distanta tip Internet-banking acel instrument de plată cu acces la distanta care se bazează pe tehnologia Internet (world wide web) și pe sistemele informatice ale emitentului;

f) instrument de plată la distanta tip home-banking - acel instrument de plată cu acces la distanta care se bazează pe o aplicație software a emitentului instalata la sediul deținătorului, pe o statie de lucru individuală sau în rețea;

g) plan de securitate - document ce descrie totalitatea măsurilor tehnice și administrative care sunt luate de către emitent pentru utilizarea în condiții de siguranță a instrumentului de plată cu acces la distanta;

h) aviz - actul administrativ emis de Ministerul Comunicațiilor și Tehnologiei Informatiei în conformitate cu prevederile

art. 31 lit. f) din Regulamentul Băncii Naționale a României nr. 4/2002

privind tranzacțiile efectuate prin intermediul instrumentelor de plată electronică și relațiile dintre participanții la aceste tranzacții, care conferă solicitantului dreptul de a obține autorizația din partea Băncii Naționale a României pentru emiterea instrumentelor de plată cu acces la distanta;

i) BNR - Banca Naționala a României;

j) Regulamentul nr. 4 al BNR -

Regulamentul Băncii Naționale a României nr. 4/2002

privind tranzacțiile efectuate prin intermediul instrumentelor de plată electronică și relațiile dintre participanții la aceste tranzacții, publicat în Monitorul Oficial al României, Partea I, nr. 503 din 12 iulie 2002;

k) MCTI - Ministerul Comunicațiilor și Tehnologiei Informatiei.

Articolul 3

Articolul 4

Avizul se eliberează gratuit de către MCTI.

Articolul 5

În termen de 90 de zile de la intrarea în vigoare a prezentului ordin, băncile care oferă clienților instrumente de plată cu acces la distanta, în sensul prezentului ordin, au obligația întocmirii și transmiterii către MCTI a documentației pentru obținerea avizului.

Articolul 6

Scopul avizului îl constituie verificarea îndeplinirii de către sistemul informatic al emitentului și de către soluția software prin intermediul căreia instrumentul de plată cu acces la distanta este oferit a unor cerințe minime de securitate, referitoare la:

a) confidențialitatea și integritatea comunicațiilor;

b) confidențialitatea și nonrepudierea tranzacțiilor;

c) confidențialitatea și integritatea datelor;

d) autenticitatea părților care participa la tranzacții;

e) protecția datelor cu caracter personal;

f) păstrarea secretului bancar;

g) trasabilitatea tranzacțiilor;

h) continuitatea serviciilor oferite clienților;

i) împiedicarea, detectarea și monitorizarea accesului neautorizat în sistem;

j) restaurarea informațiilor gestionate de sistem în cazul unor calamitati naturale, evenimente imprevizibile;

k) gestionarea și administrarea sistemului informatic;

l) orice alte activități sau măsuri tehnice întreprinse pentru exploatarea în siguranța a sistemului.

Articolul 7

Măsurile tehnice și organizatorice întreprinse pentru îndeplinirea cerințelor enumerate la art. 6 vor fi în concordanta cu progresul tehnologic și cu riscurile potențiale.

Articolul 8

Documentele necesare pentru eliberarea avizului sunt:

a) cerere adresată în acest scop MCTI, conform modelului prevăzut în anexa nr. 1 care face parte integrantă din prezentul ordin;

b) licenta de funcționare acordată de BNR;

c) descrierea funcțională a sistemului informatic prin intermediul căruia este oferit instrumentul de plată cu acces la distanta;

d) descrierea soluției tehnice - hardware și software -, interactiunea cu alte sisteme informatice din interiorul sau din exteriorul băncii emitente;

e) planul de securitate al sistemului informatic, cuprinzând totalitatea măsurilor tehnice și organizatorice prevăzute pentru asigurarea cerințelor cuprinse la art. 6;

f) certificari din punct de vedere al securității, asupra soluției informatice sau produselor conținute în aceasta, emise de organizații naționale sau internaționale recunoscute, acolo unde exista;

g) raport de audit asupra planului de securitate prevăzut la lit. e), efectuat de către o echipa formată din personal independent, specializat și atestat.

Articolul 9

Documentele prevăzute la art. 8 se vor transmite către MCTI în limba română.

Articolul 10

Planul de securitate se va întocmi respectându-se următoarea structura:

1. Informații de identificare:

a) emitentul instrumentului de plată cu acces la distanta;

b) denumirea;

c) proveniență;

d) categoria;

e) statutul operational;

f) descrierea generală;

g) consideratii specifice;

h) interconectarea sistemului;

i) aria geografică în care instrumentul de plată cu acces la distanta poate fi utilizat;

j) datele de contact ale persoanelor responsabile.

2. Senzitivitatea sistemului:

a) legislația aplicabilă;

b) descrierea generală a senzitivitatii informațiilor gestionate de către sistem.

3. Măsuri pentru securitatea sistemului:

a) evaluarea și managementul riscurilor potențiale;

b) codurile de conduita/condițiile de utilizare/contractul prin care instrumentul de plată cu acces la distanta este oferit;

c) rapoartele de testare pe perioada implementarii soluției;

d) măsurile tehnice de securitate;

e) procedurile operationale de exploatare;

f) măsurile privind securitatea fizica;

g) instruirea personalului propriu al emitentului în legătură cu administrarea sistemului informatic;

h) instrucțiunile de utilizare;

i) suportul tehnic.

4. Orice alte informații relevante legate de măsurile luate de către emitent pentru a asigura exploatarea în siguranța a instrumentului de plată cu acces la distanta.

Articolul 11

Articolul 12

Articolul 13

Documentele enumerate la art. 8 vor fi întocmite într-un singur exemplar, iar acolo unde este cazul vor fi clasificate din punct de vedere al confidențialității conținutului acestora, conform legislației în vigoare și procedurilor băncii care solicită avizarea.

Articolul 14

Articolul 15

Articolul 16

Emitentul este obligat sa informeze MCTI, trimestrial, cu privire la numărul de utilizatori ai instrumentului de plată cu acces la distanta tip Internet-banking sau home-banking, numărul de plati efectuate prin intermediul instrumentelor de plată cu acces la distanta, precum și valoarea plăților efectuate prin intermediul acestora.

Articolul 17

Eliberarea de către MCTI a avizului pentru furnizarea instrumentului de plată cu acces la distanta nu exonereaza emitentul sau deținătorul de răspunderile asumate prin contract.

Articolul 18

Prezentul ordin va fi publicat în Monitorul Oficial al României, Partea I, și va fi pus în aplicare prin grija Ministerului Comunicațiilor și Tehnologiei Informatiei.