Pružalac platnih usluga dužan je da uspostavi odgovarajući sistem upravljanja operativnim i bezbednosnim rizicima u vezi s platnim uslugama koje pruža, a koji sadrži odgovarajuće mere i mehanizme unutrašnjih kontrola radi umanjenja tih rizika.

Pružalac platnih usluga dužan je da obezbedi da sistem iz

stava 1. ovog člana

naročito obuhvati efektivne procedure upravljanja incidentima, uključujući procedure za otkrivanje i klasifikaciju značajnih operativnih i bezbednosnih incidenata.

Pružalac platnih usluga dužan je da izradi dokument o politici bezbednosti, koji sadrži detaljnu procenu i utvrđivanje rizika u vezi s platnim uslugama koje pruža, kao i opis bezbednosnih kontrola i mera za ublažavanje tih rizika, uključujući i mere i mehanizme iz

stava 1. ovog člana

, koji se primenjuju radi adekvatne zaštite korisnika platnih usluga od ovih rizika, uključujući i zaštitu od prevare i nezakonite upotrebe osetljivih i ličnih podataka.

Opis bezbednosnih kontrola i mera iz

stava 3. ovog člana

mora da sadrži podatke o tome na koji način te kontrole i mere obezbeđuju visok nivo tehničke bezbednosti i zaštite podataka, uključujući i kada se radi o softveru i informaciono-komunikacionom sistemu pružaoca platnih usluga ili lica kome je pružalac platnih usluga poverio obavljanje pojedinih operativnih poslova u vezi s pružanjem platnih usluga.

Pružaoci platnih usluga iz člana 10. stav 1. tač. 1), 2), 3) i 6) ovog zakona dužni su da, najmanje jednom godišnje ili u kraćem periodu koji utvrdi Narodna banka Srbije, dostavljaju Narodnoj banci Srbije ažuriranu i sveobuhvatnu procenu operativnog rizika i bezbednosnog rizika u vezi s pružanjem platnih usluga, kao i procenu adekvatnosti mera za ublažavanje tih rizika i unutrašnjih kontrola, uspostavljenih kao odgovor na te rizike.

Narodna banka Srbije može bliže propisati način i uslove uspostavljanja, održavanja i unapređenja sistema iz

stava 1. ovog člana

, kao i uslove i način dostavljanja procene iz ovog člana.

Pružalac platne usluge iz člana 10. stav 1. tač. 1), 2), 3) i 6) ovog zakona dužan je da bez odlaganja obavesti Narodnu banku Srbije o svakom značajnom operativnom ili bezbednosnom incidentu.

Ako incident iz

stava 1. ovog člana

ima ili bi mogao imati finansijske posledice po njegove korisnike platnih usluga, pružalac platnih usluga dužan je da bez odlaganja obavesti svoje korisnike platnih usluga o incidentu i svim raspoloživim merama koje mogu preduzeti radi ublažavanja štetnih uticaja incidenta.

Ako oceni da je incident značajan za druge nadležne organe - Narodna banka Srbije ih o tome obaveštava.

Pružalac platnih usluga iz

stava 1. ovog člana

, kao i pružalac platnih usluga iz člana 10. stav 1. tačka 5) ovog zakona, dostavlja Narodnoj banci Srbije najmanje jednom godišnje, ili u kraćem periodu koji utvrdi Narodna banka Srbije, statističke podatke o prevarnim radnjama ili zloupotrebama u vezi s različitim načinima plaćanja.

Narodna banka Srbije bliže propisuje klasifikaciju značajnih incidenata iz

stava 1. ovog člana

, sadržaj, formu i način izveštavanja o tim incidentima, kriterijume za ocenu značaja incidenta iz

stava 3. ovog člana

, kao i uslove i način dostavljanja podataka iz

stava 4. ovog člana

.

Pružalac platnih usluga dužan je da primeni pouzdanu autentifikaciju korisnika u slučajevima kada platilac:

U slučaju da platilac inicira elektronsku platnu transakciju iz

stava 1. tačka 2)

ovog člana na daljinu, pružalac platne usluge dužan je da primeni pouzdanu autentifikaciju korisnika koja uključuje elemente za dinamičko povezivanje te transakcije sa određenim iznosom i primaocem plaćanja.

Pružalac platne usluge dužan je da u slučajevima iz

stava 1. ovog člana

uspostavi odgovarajuće mere sigurnosti za zaštitu poverljivosti i integriteta personalizovanih sigurnosnih elemenata korisnika platnih usluga.

Odredbe st. 2. i 3. ovog člana primenjuju se i na platne transakcije inicirane preko pružaoca usluge iniciranja plaćanja.

Odredbe st. 1. i 3. ovog člana primenjuju se i na pružaoca usluga pružanja informacija o platnom računu.

Pružalac platnih usluga koji vodi račun dužan je da omogući pružaocu usluge iniciranja plaćanja i pružaocu usluge pružanja informacija o platnom računu poštovanje procedure autentifikacije korisnika platnih usluga koje je pružalac platnih usluga koji vodi račun obezbedio korisniku platnih usluga u skladu sa st. 1. i 3. ovog člana, a pružaocu usluge iniciranja plaćanja i u skladu sa

stavom 2. ovog člana

.

Narodna banka Srbije bliže propisuje: