Art. 10

W ustawie z dnia 19 sierpnia 2011 r. o usługach płatniczych (Dz. U. z 2025 r. poz. 611) wprowadza się następujące zmiany:

1) w art. 2 po pkt 9aa dodaje się pkt 9ab w brzmieniu:

„9ab) ICT – technologie informacyjno-komunikacyjne, o których mowa w przepisach rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniającego rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz. Urz. UE L 333 z 27.12.2022, str. 1, z późn. zm. ), zwanym dalej „rozporządzeniem 2022/2554”;”;

2) w art. 6 pkt 10 otrzymuje brzmienie:

„10) usług świadczonych przez dostawców usług technicznych, wspierających świadczenie usług płatniczych, jeżeli nie wchodzą oni w posiadanie środków pieniężnych będących przedmiotem transakcji płatniczej, w szczególności usług przetwarzania i przechowywania danych, usług powierniczych i ochrony prywatności, uwierzytelniania danych i podmiotów, ICT, dostarczania technologii informatycznych i sieci komunikacyjnych, dostarczania i utrzymania terminali i urządzeń wykorzystywanych do świadczenia usług płatniczych, z wyjątkiem usług inicjowania transakcji płatniczej i usług dostępu do informacji o rachunku;”;

3) po art. 32g dodaje się art. 32ga w brzmieniu:

„Art. 32ga. Przepisów art. 32g nie stosuje się do dostawców, o których mowa w art. 4 ust. 2 pkt 1–4, 6 i 9–12.”;

4) w art. 61 w ust. 1 pkt 6 otrzymuje brzmienie:

„6) opis systemu zarządzania ryzykiem i kontroli wewnętrznej, o którym mowa w art. 64 ust. 1 pkt 3, zatwierdzone regulacje wewnętrzne w tym zakresie oraz ustalenia dotyczące korzystania z usług ICT w rozumieniu art. 3 pkt 21 rozporządzenia 2022/2554, wykazujące, że te zasady zarządzania ryzykiem i mechanizmy kontroli wewnętrznej są proporcjonalne, właściwe, rzetelne i adekwatne;”;

5) w art. 64a:

a) w ust. 1 w pkt 4:

– lit. b otrzymuje brzmienie:

„b) procedur monitorowania incydentów związanych z bezpieczeństwem oraz monitorowania i rozpatrywania skarg użytkowników, w tym skarg związanych z bezpieczeństwem, a także działań następczych w przypadku wystąpienia takich incydentów i skarg, wraz z mechanizmem zgłaszania incydentów uwzględniającym obowiązki instytucji płatniczej w zakresie zgłaszania, o których mowa w przepisach rozdziału III rozporządzenia 2022/2554,”,

Zmiana wymienionego rozporządzenia została ogłoszona w Dz. Urz. UE L 2024/90177 z 12.03.2024.

Zmiany wymienionego rozporządzenia zostały ogłoszone w Dz. Urz. UE L 329 z 15.12.2025, str. 28, Dz. Urz. UE L 149 z 07.06.2016, str. 10, Dz. Urz. UE L 156 z 20.06.2017, str. 1, Dz. Urz. UE L 26 z 31.01.2018, str. 53, Dz. Urz. UE L 215 z 07.07.2020, str. 3, Dz. Urz. UE L 89 z 16.03.2021, str. 1, Dz. Urz. UE L 270 z 29.07.2021, str. 39, Dz. Urz. UE L 119 z 05.05.2023, str. 159 oraz Dz. Urz. UE L 167 z 30.06.2023, str. 1.

Zmiana wymienionego rozporządzenia została ogłoszona w Dz. Urz. UE L 2024/90177 z 12.03.2024.

– lit. e otrzymuje brzmienie:

„e) rozwiązań zapewniających ciągłość działania, w tym wyczerpujące i dokładne określenie krytycznych operacji oraz określenie skutecznych planów awaryjnych i procedury na rzecz ciągłości działania w zakresie ICT oraz planów reagowania i przywracania sprawności ICT, a także procedury na potrzeby regularnego weryfikowania i przeglądu adekwatności i skuteczności takich planów zgodnie z przepisami rozporządzenia 2022/2554,”,

b) ust. 3a otrzymuje brzmienie:

„3a. Środki kontroli bezpieczeństwa i ograniczania ryzyka, o których mowa w ust. 1 pkt 4 lit. g, wskazują sposób zapewnienia wysokiego poziomu operacyjnej odporności cyfrowej zgodnie z przepisami rozdziału II rozporządzenia 2022/2554, w szczególności w zakresie bezpieczeństwa technicznego i ochrony danych, w tym w odniesieniu do oprogramowania i systemów ICT stosowanych przez wnioskodawcę lub podmiot, któremu wnioskodawca powierzył wykonywanie całości albo części czynności operacyjnych. Środki te obejmują również środki bezpieczeństwa, o których mowa w przepisach działu IIa.”;

6) w art. 86 w ust. 5 wprowadzenie do wyliczenia otrzymuje brzmienie:

„Krajowa instytucja płatnicza może powierzyć innemu przedsiębiorcy wykonywanie istotnych czynności operacyjnych, w tym związanych z systemami ICT, jeżeli nie wpłynie to niekorzystnie na prowadzenie przez krajową instytucję płatniczą działalności zgodnie z przepisami prawa i wydanym jej zezwoleniem oraz na ostrożne i stabilne zarządzanie krajową instytucją płatniczą oraz jeżeli:”.