5)

El artículo 28 se sustituye por el siguiente: «Artículo 28 Requisitos de seguridad y procedimientos de control 1. Los participantes establecerán controles de seguridad adecuados que protejan sus sistemas del acceso y el uso no autorizados. Los participantes serán los únicos responsables de proteger adecuadamente la confidencialidad, integridad y disponibilidad de sus sistemas. 2. Los participantes informarán a [insértese el nombre del banco central] de todo incidente relativo a la seguridad que se produzca en su infraestructura técnica, y, si procede, de todo incidente relativo a la seguridad que se produzca en la infraestructura técnica de terceros proveedores. [Insértese el nombre del banco central] podrá solicitar más información sobre el incidente y, en caso necesario, solicitar que el participante tome las medidas adecuadas para evitar que vuelva a suceder. 3. [Insértese el nombre del banco central] podrá imponer otros requisitos de seguridad, en particular, por lo que se refiere a la ciberseguridad o a la prevención del fraude, a todos los participantes o a aquellos que considere críticos. 4. Los participantes facilitarán a [insértese el nombre del banco central] i) acceso permanente a su declaración de adhesión a los requisitos de seguridad de punto final del proveedor del servicio de red de su elección, y ii) con carácter anual, la declaración de autocertificación de TARGET2 según se publica en la dirección de [insértese el nombre del BC] en internet y en la dirección del BCE en internet en inglés. 4 bis. [Insértese el nombre del banco central] evaluará la declaración o declaraciones de autocertificación sobre el nivel de cumplimiento por el participante de cada uno de los requisitos establecidos en la autocertificación de TARGET2. Dichos requisitos se enumeran en el apéndice VIII, que junto con los demás apéndices mencionados en el artículo 2, apartado 1, formarán parte integrante de las presentes condiciones. 4 ter. El nivel de cumplimiento por el participante de los requisitos de la autocertificación de TARGET2 se clasificará de la siguiente manera, por orden creciente de gravedad: «pleno cumplimiento», «incumplimiento leve» o «incumplimiento grave». Se aplicarán los siguientes criterios: se alcanza el pleno cumplimiento cuando los participantes satisfacen el 100 % de los requisitos; se entenderá por incumplimiento leve el hecho de que un participante satisfaga menos del 100 % pero al menos el 66 % de los requisitos, y por incumplimiento grave cuando el participante cumpla menos del 66 % de los requisitos. Si un participante demuestra que un requisito específico no le es aplicable, se considerará que cumple el requisito correspondiente a efectos de la categorización. Todo participante que no alcance el «pleno cumplimiento» presentará un plan de acción que demuestre cómo se propone alcanzar el pleno cumplimiento. [Insértese el nombre del banco central] informará a las autoridades de supervisión pertinentes del estado de cumplimiento de dicho participante. 4 quater. Si el participante se niega a conceder acceso permanente a su declaración de adhesión a los requisitos de seguridad de punto final del proveedor del servicio de red de su elección o no aporta la autocertificación de TARGET2, el nivel de cumplimiento del participante se clasificará como «incumplimiento grave». 4 quinquies. [Insértese el nombre del banco central] volverá a evaluar el cumplimiento de los participantes cada año. 4 sexies. [Insértese el nombre del banco central] podrá imponer las siguientes medidas de reparación a los participantes cuyo nivel de cumplimiento se haya evaluado como incumplimiento leve o grave, por orden creciente de gravedad: i) control reforzado: el participante facilitará a [insértese el nombre del banco central] un informe mensual, firmado por un alto cargo, sobre sus progresos en la resolución del incumplimiento. Además, se impondrá al participante una penalización económica mensual por cada cuenta afectada igual a su comisión mensual, tal como se establece en el apéndice VI, apartado 1, excluidas las comisiones por operaciones. Esta medida de reparación podrá imponerse en caso de que el participante reciba una segunda evaluación consecutiva de incumplimiento leve o una evaluación de incumplimiento grave; ii) suspensión: se podrá suspender la participación en TARGET2-[insértese la referencia al banco central/país] si se dan las circunstancias descritas en el artículo 34, apartado 2, letras b) y c), del presente anexo. No obstante lo dispuesto en el artículo 34 del presente anexo, la suspensión se notificará al participante con tres meses de antelación. Se impondrá al participante una penalización económica mensual por cada cuenta afectada igual al doble de su comisión mensual, tal como se establece en el apéndice VI, apartado 1, excluidas las comisiones por operaciones. Esta medida de reparación podrá imponerse en caso de que el participante reciba una segunda evaluación consecutiva de incumplimiento grave; iii) terminación: se podrá poner fin a la participación en TARGET2-[insértese la referencia al banco central/país] si se dan las circunstancias descritas en el artículo 34, apartado 2, letras b) y c), del presente anexo. No obstante lo dispuesto en el artículo 34 del presente anexo, la terminación se notificará al participante con tres meses de antelación. Se impondrá al participante una penalización económica adicional de 1 000 EUR por cada cuenta suprimida. Esta medida de reparación podrá imponerse en caso de que el participante no haya subsanado el incumplimiento grave a satisfacción de [insértese el nombre del banco central] transcurridos tres meses desde la suspensión. 5. Los participantes que den acceso a terceros a sus cuentas del módulo de pagos conforme al artículo 5, apartados 2, 3 y 4, tratarán el riesgo derivado de dicho acceso con arreglo a los requisitos de seguridad de los apartados 1 a 4 sexies del presente artículo. En la autocertificación a la que se refiere el apartado 4 se especificará que el participante exige a los terceros que tengan acceso a su cuenta del módulo de pagos que cumplan los requisitos de seguridad de punto final del proveedor del servicio de red de TARGET2.».