Ordinul nr. 218/2004

Articolul 1

Articolul 2

În înțelesul prezentului ordin, termenii și expresiile de mai jos au următoarele semnificații:

a) instrument de plată cu acces la distanță - soluție informatică ce permite deținătorului să aibă acces la distanță la fondurile aflate în contul său, în scopul obținerii de informații privind situația conturilor și operațiunilor efectuate, efectuării de plăți sau transferuri de fonduri către un beneficiar, prin intermediul unei aplicații informatice, al unei metode de autentificare și al unui mediu de comunicație;

b) emitent - banca autorizată de Banca Națională a României să emită instrumente de plată electronică și care pune la dispoziție deținătorului un instrument de plată electronică cu acces la distanță, pe baza unui contract încheiat cu acesta;

c) deținător - persoana fizică sau juridică care, în baza contractului încheiat cu emitentul, deține un mecanism de autentificare în utilizarea instrumentului de plată cu acces la distanță;

d) utilizator - deținătorul instrumentului de plată cu acces la distanță sau o persoană fizică recunoscută și acceptată de către deținător ca având acces la drepturile sale conferite de către emitent;

e) instrument de plată la distanță tip Internet-banking acel instrument de plată cu acces la distanță care se bazează pe tehnologia Internet (world wide web) și pe sistemele informatice ale emitentului;

f) instrument de plată la distanță tip home-banking - acel instrument de plată cu acces la distanță care se bazează pe o aplicație software a emitentului instalată la sediul deținătorului, pe o stație de lucru individuală sau în rețea;

g) instrument de plată la distanță tip mobile-banking acel instrument de plată cu acces la distanță care presupune utilizarea unui echipament mobil (telefon, PDA Personal Digital Assistant etc.) și a unor servicii oferite de către operatorii de telecomunicații;

h) plan de securitate - document ce descrie totalitatea măsurilor tehnice și administrative care sunt luate de către emitent pentru utilizarea în condiții de siguranță a instrumentului de plată cu acces la distanță;

i) aviz - actul administrativ emis de Ministerul Comunicațiilor și Tehnologiei Informației în conformitate cu prevederile

art. 31 lit. f) din Regulamentul Băncii Naționale a României nr. 4/2002

privind tranzacțiile efectuate prin intermediul instrumentelor de plată electronică și relațiile dintre participanții la aceste tranzacții, care conferă solicitantului dreptul de a obține autorizația din partea Băncii Naționale a României pentru emiterea instrumentului de plată cu acces la distanță;

j) BNR - Banca Națională a României;

k) Regulamentul nr. 4 al BNR -

Regulamentul Băncii Naționale a României nr. 4/2002

privind tranzacțiile efectuate prin intermediul instrumentelor de plată electronică și relațiile dintre participanții la aceste tranzacții, publicat în Monitorul Oficial al României, Partea I, nr. 503 din 12 iulie 2002;

l) MCTI - Ministerul Comunicațiilor și Tehnologiei Informației;

m) CISA - Certified Information Systems Auditor (Auditor pentru sisteme informatice, certificat de ISACA).

Articolul 3

Scopul avizului îl constituie verificarea îndeplinirii de către sistemul informatic al emitentului și de către soluția software, prin intermediul cărora instrumentul de plată cu acces la distanță este oferit, a unor cerințe minime de securitate, referitoare la:

a) confidențialitatea și integritatea comunicațiilor;

b) confidențialitatea și nonrepudierea tranzacțiilor;

c) confidențialitatea și integritatea datelor;

d) autenticitatea părților care participă la tranzacții;

e) protecția datelor cu caracter personal;

f) păstrarea secretului bancar;

g) trasabilitatea tranzacțiilor;

h) continuitatea serviciilor oferite clienților;

i) împiedicarea, detectarea și monitorizarea accesului neautorizat în sistem;

j) restaurarea informațiilor gestionate de sistem în cazul unor calamități naturale, evenimente imprevizibile;

k) gestionarea și administrarea sistemului informatic;

l) orice alte activități sau măsuri tehnice întreprinse pentru exploatarea în siguranță a sistemului.

Articolul 4

Măsurile tehnice și organizatorice întreprinse pentru îndeplinirea cerințelor enumerate la art. 3 vor fi în concordanță cu progresul tehnologic și cu riscurile potențiale.

Articolul 5

Documentele necesare pentru eliberarea avizului sunt:

a) cerere adresată în acest scop MCTI, conform modelului prevăzut în anexa nr. 1 care face parte integrantă din prezentul ordin;

b) licența de funcționare a băncii, acordată de BNR;

c) descrierea funcțională a sistemului informatic prin intermediul căruia este oferit instrumentul de plată cu acces la distanță;

d) planul de securitate al sistemului informatic, semnat de către emitent, cuprinzând totalitatea măsurilor tehnice și organizatorice prevăzute pentru asigurarea cerințelor cuprinse la art. 3;

e) certificări din punct de vedere al securității asupra soluției informatice sau produselor conținute în aceasta, emise de organizații naționale sau internaționale recunoscute, acolo unde există;

f) opinia de audit asupra planului de securitate prevăzut la lit. d) și a soluției informatice prin intermediul căreia este oferit instrumentul de plată cu acces la distanță;

g) o declarație în care este exprimată independența auditorului față de sistemul informatic auditat.

Articolul 6

Articolul 7

Documentele prevăzute la art. 5 se vor transmite către MCTI în limba română.

Articolul 8

Planul de securitate se va întocmi respectându-se următoarea structură:

1. informații de identificare:

a) emitentul instrumentului de plată cu acces la distanță;

b) denumirea instrumentului de plată cu acces la distanță;

c) proveniența instrumentului de plată cu acces la distanță;

d) categoria (Internet, home sau mobile-banking);

e) statutul operațional al sistemului prin intermediul căruia este oferit instrumentul de plată cu acces la distanță și anul intrării în producție;

f) descrierea generală a soluției tehnice;

g) considerații specifice;

h) interconectarea sistemului;

i) aria geografică în care instrumentul de plată cu acces la distanță poate fi utilizat;

j) datele de contact ale persoanelor responsabile;

2. senzitivitatea sistemului:

a) legislația aplicabilă;

b) descrierea generală a senzitivității informațiilor gestionate de către sistem;

3. măsuri pentru securitatea sistemului:

a) evaluarea și managementul riscurilor potențiale;

b) codurile de conduită/condițiile de utilizare/contractul prin care instrumentul de plată cu acces la distanță este oferit;

c) rapoarte de testare;

d) măsurile tehnice de securitate implementate;

e) procedurile operaționale de exploatare;

f) măsurile aplicate pentru asigurarea securității fizice;

g) instruirea personalului propriu al emitentului în legătură cu administrarea sistemului informatic;

h) instrucțiunile de utilizare a instrumentului de plată cu acces la distanță (manual de utilizare oferit clienților);

i) suportul tehnic oferit de către emitent clienților care utilizează instrumentul de plată cu acces la distanță;

4. orice alte informații relevante legate de măsurile luate de către emitent pentru a asigura exploatarea în siguranță a instrumentului de plată cu acces la distanță.

Articolul 9

Articolul 10

În cazul emiterii unui nou instrument de plată cu acces la distanță după data de 1 iulie, emitentul poate solicita avizul MCTI, o dată cu depunerea documentelor necesare, prevăzute la art. 5.

Articolul 11

Articolul 12

Documentele enumerate la art. 5 vor fi întocmite într-un singur exemplar, iar acolo unde este cazul vor fi clasificate din punct de vedere al conținutului acestora, conform legislației în vigoare și procedurilor băncii care solicită avizarea.

Articolul 13

Articolul 14

Articolul 15

Articolul 16

Eliberarea de către MCTI a avizului pentru furnizarea instrumentului de plată cu acces la distanță nu exonerează emitentul sau deținătorul de răspunderile asumate prin contractul încheiat între aceștia.

Articolul 17

Prezentul ordin va fi publicat în Monitorul Oficial al României, Partea I, și va fi pus în aplicare prin grija Direcției de reglementări și standarde în tehnologia informației, antifraudă și securitatea rețelelor.