DORA vs PSD2: Come Interagiscono per i Provider di Pagamenti

DORA vs PSD2: Come Interagiscono per i Provider di Pagamenti

La situazione normativa per i provider di servizi di pagamento nell'Unione Europea sta diventando sempre più complessa, con l'introduzione della Direttiva sulla resilienza operativa digitale per il settore finanziario (DORA) e della Direttiva sui servizi di pagamento modificata (PSD2). Entrambe le regulazioni mirano a migliorare la sicurezza, la stabilità ed efficienza del settore finanziario, ma la loro interazione può essere difficile da gestire per gli esperti in conformità e i gestori dei rischi. Questo articolo esplorerà i requisiti e i concetti chiave di DORA e PSD2, delineerà strategie di implementazione pratiche e evidenzierà gli errori comuni da evitarsi.

Requisiti e Concetti Chiave

Segnalazione degli Incidenti: DORA vs PSD2

Una delle sovrapposizioni più significative tra DORA e PSD2 è la segnalazione degli incidenti. Entrambe le regulazioni richiedono ai provider di servizi di pagamento di segnalare gli incidenti che potrebbero influenzare la continuità e la sicurezza dei loro servizi.

• DORA (Articolo 4): Le entità finanziarie devono stabilire un quadro per l'identificazione, la segnalazione e la gestione degli incidenti operativi. Ciò include l'obbligo di segnalare gli incidenti operativi significativi all'autorità competente entro 72 ore.
• PSD2 (Articolo 96): Le istituzioni di pagamento sono tenute a disporre di procedure per l'identificazione precoce di potenzialmente significativi incidenti operativi e di sicurezza e a segnalare tali incidenti all'autorità competente immediatamente.

Per garantire la conformità con entrambe le regole, i provider di servizi di pagamento dovrebbero:

1. Sviluppare un ampio quadro di gestione e segnalazione degli incidenti che copra tutti i tipi di incidenti operativi, inclusi i violamenti della sicurezza, i guasti di sistema e i tentativi di frode.
2. Assicurarsi che tutto il personale pertinente sia formato nell'identificazione, nella segnalazione e nella gestione degli incidenti.
3. Stabilire linee di comunicazione chiare con l'autorità competente per la segnalazione tempestiva di incidenti significativi.

Resilienza Operativa vs Sicurezza dei Pagamenti

DORA si concentra sulla resilienza operativa, richiedendo alle entità finanziarie di valutare e gestire i rischi per la continuità e l'integrità delle loro operazioni. PSD2, d'altro canto, sottolinea la sicurezza dei pagamenti, incluso il proteggere i clienti contro la frode e le transazioni non autorizzate.

• DORA (Articolo 5): Le entità finanziarie devono valutare la loro resilienza operativa, identificare le funzioni critiche e importanti e sviluppare piani per garantire la continuità in caso di interruzioni.
• PSD2 (Articolo 87): Le istituzioni di pagamento devono implementare misure di autenticazione client robuste per proteggere contro la frode e le transazioni non autorizzate.

Per conformarsi a entrambe le regole, i provider di servizi di pagamento dovrebbero:

1. Effettuare una valutazione dei rischi approfondita per identificare le funzioni critiche e i potenziali rischi per la resilienza operativa e la sicurezza dei pagamenti.
2. Sviluppare e implementare piani di resilienza e misure di autenticazione client robuste per affrontare i rischi identificati.
3. Rivedere e aggiornare regolarmente le valutazioni dei rischi, i piani di resilienza e le misure di sicurezza per adattarsi alle esigenze regolamentari mutate e alle minacce emergenti.

Guida all'Implementazione

Passo 1: Sviluppare un Quadro di Conformità Unificato

I provider di servizi di pagamento dovrebbero sviluppare un quadro di conformità unificato che incorpori i requisiti di entrambe le regole DORA e PSD2. Questo quadro dovrebbe includere:

• Un processo di valutazione dei rischi completo che copra tutti i rischi pertinenti per la resilienza operativa e la sicurezza dei pagamenti.
• Procedure di gestione e segnalazione degli incidenti che soddisfano i requisiti di entrambe le regole.
• Piani di resilienza e misure di autenticazione client robuste per affrontare i rischi identificati.

Passo 2: Formare il Personale e Stabilire Linee di Comunicazione Chiare

Tutto il personale pertinente dovrebbe essere formato nei requisiti di entrambe le regole DORA e PSD2, nonché nelle procedure di gestione e segnalazione degli incidenti dell'azienda. Dovrebbero essere stabilite linee di comunicazione chiare con l'autorità competente per la segnalazione tempestiva di incidenti significativi.

Passo 3: Rivedere e Aggiornare Regolarmente le Misure di Conformità

I provider di servizi di pagamento dovrebbero rivedere e aggiornare regolarmente le loro misure di conformità per assicurarsi che rimangano efficaci e allineate con i requisiti regolamentari più recenti. Ciò include l'aggiornamento, quando necessario, delle valutazioni dei rischi, dei piani di resilienza e delle misure di sicurezza.

Errori Comuni o Scalette da Evitare

1. Ignorare la Sovrapposizione: I provider di servizi di pagamento non dovrebbero considerare DORA e PSD2 come regole separate. Invece, dovrebbero riconoscere la sovrapposizione nei requisiti e sviluppare un quadro di conformità unificato che affronti entrambi i set di obblighi.

2. Mancare di Formare il Personale: Tutto il personale pertinente dovrebbe essere formato nei requisiti di entrambe le regole DORA e PSD2, nonché nelle procedure di gestione e segnalazione degli incidenti dell'azienda. Il mancato rispetto di questo passo può comportare non conformità e sanzioni regolamentari.

3. Negligare i Piani di Resilienza e le Misure di Sicurezza: I provider di servizi di pagamento dovrebbero sviluppare e implementare piani di resilienza e misure di autenticazione client robuste per affrontare i rischi identificati. Il mancato rispetto di questo passo può esporre l'azienda a interruzioni operative e violazioni della sicurezza.

Come Matproof Aiuta

La piattaforma di gestione della conformità di Matproof può aiutare i provider di servizi di pagamento a navigare nella complessa situazione normativa di DORA e PSD2. La nostra piattaforma offre un quadro unificato per gestire la conformità con entrambe le regole, inclusa la segnalazione degli incidenti, le valutazioni dei rischi e i piani di resilienza. Sfruttando gli strumenti e le risorse di Matproof, i provider di servizi di pagamento possono garantire di rispettare i propri obblighi in base a DORA e PSD2, riducendo il rischio di sanzioni regolamentari e interruzioni operative.