Artykuł 95

1. Państwa członkowskie zapewniają, by dostawcy usług płatniczych ustanawiali ramy obejmujące odpowiednie środki ograniczające ryzyko i mechanizmy kontroli służące zarządzaniu ryzykami operacyjnymi oraz ryzykami dla bezpieczeństwa, związanymi z usługami płatniczymi, które świadczą. Jako część tych ram dostawcy usług płatniczych ustanawiają i utrzymują skuteczne procedury zarządzania incydentami, w tym na potrzeby wykrywania i klasyfikacji poważnych incydentów operacyjnych i incydentów związanych z bezpieczeństwem.

Akapit pierwszy pozostaje bez uszczerbku dla stosowania rozdziału II rozporządzenia (UE) 2022/2554 do:

a) dostawców usług płatniczych, o których mowa w art. 1 ust. 1 lit. a), b) i d) niniejszej dyrektywy;

b) dostawców świadczących usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 niniejszej dyrektywy;

c) instytucji płatniczych zwolnionych zgodnie z art. 32 ust. 1 niniejszej dyrektywy; oraz

d) instytucji pieniądza elektronicznego korzystających z wyłączenia, o którym mowa w art. 9 ust. 1 dyrektywy 2009/110/WE.

2. Państwa członkowskie zapewniają, by dostawcy usług płatniczych przekazywali właściwemu organowi co roku – lub w krótszych odstępach określonych przez właściwy organ – zaktualizowaną i kompleksową ocenę dotyczącą ryzyk operacyjnych i ryzyk dla bezpieczeństwa, związanych z usługami płatniczymi, które świadczą, oraz dotyczącą adekwatności środków ograniczających ryzyko i mechanizmów kontroli wprowadzonych w odpowiedzi na te ryzyka.

3. Do dnia 13 lipca 2017 r. EUNB, w ścisłej współpracy z EBC i po przeprowadzeniu konsultacji ze wszystkimi stosownymi zainteresowanymi podmiotami, w tym podmiotami na rynku usług płatniczych, biorąc pod uwagę wszystkie stosowne interesy, wydaje zgodnie z art. 16 rozporządzenia (UE) nr 1093/2010 wytyczne w odniesieniu do ustanowienia, wdrożenia i monitorowania środków bezpieczeństwa, w tym w stosownych przypadkach procedur certyfikacyjnych.

EUNB, w ścisłej współpracy z EBC, dokonuje przeglądu wytycznych, o których mowa w akapicie pierwszym, regularnie, a w żadnym razie nie rzadziej niż co dwa lata.

4. Biorąc pod uwagę doświadczenia zdobyte przy stosowaniu wytycznych, o których mowa w ust. 3, EUNB – gdy zostanie poproszony o to przez Komisję, stosownie do sytuacji – opracowuje projekt regulacyjnych standardów technicznych dotyczących kryteriów i warunków ustanawiania i monitorowania środków bezpieczeństwa.

Komisji powierza się uprawnienie do przyjęcia regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 10–14 rozporządzenia (UE) nr 1093/2010.

5. EUNB wspiera współpracę, w tym wymianę informacji, w dziedzinie ryzyk operacyjnych i ryzyk dla bezpieczeństwa związanych z usługami płatniczymi, między właściwymi organami oraz między właściwymi organami i EBC i, w stosownych przypadkach, Agencją Unii Europejskiej ds. Bezpieczeństwa Sieci i Informacji.