natgillin/translations-raw huggingface dataset:
The quality of the services provided by account information service providers and payment initiation service providers will be dependent on the proper functioning of the interfaces put in place or adapted by account servicing payment service providers.
Tehničke specifikacije sučelja trebale bi biti primjereno dokumentirane i javno dostupne kako bi se pružateljima usluga pružanja informacija o računu, pružateljima usluga iniciranja plaćanja i pružateljima platnih usluga koji izdaju kartične platne instrumente omogućio razvoj vlastitih tehničkih rješenja.
It is therefore important that in case of non-compliance of such interfaces with the provisions included in these standards, measures are taken to guarantee business continuity for the benefit of the users of those services.
Osim toga, pružatelj platnih usluga koji vodi račun trebao bi ponuditi alat koji će pružateljima platnih usluga omogućiti testiranje tehnoloških rješenja tijekom barem šest mjeseci prije datuma primjene ovih regulatornih standarda ili prije datuma stavljanja sučelja na tržište ako je to nakon datuma primjene ovih standarda.
It is the responsibility of national competent authorities to ensure that account information service providers and payment intitation service providers are not blocked or obstructed in the provision of their services.
Kako bi se osigurala interoperabilnost različitih tehnoloških komunikacijskih rješenja, sučelje bi trebalo primjenjivati standarde komunikacije koje su razvila međunarodna ili europska tijela za normizaciju.
Where access to payment accounts is offered by means of a dedicated interface, in order to ensure the right of payment service users to make use of payment initiation service providers and of services enabling access to account information, as provided for in Directive (EU) 2015/2366, it is necessary to require that dedicated interfaces have the same level of availability and performance as the interface available to the payment service user.
Kvaliteta usluga koje pružaju pružatelji usluga pružanja informacija o računu i pružatelji usluga iniciranja plaćanja ovisit će o pravilnom funkcioniranju sučelja koja uspostavljaju ili prilagođavaju pružatelji platnih usluga koji vode račune.
Account servicing payment service providers should also define transparent key performance indicators and service level targets for the availability and performance of dedicated interfaces that are at least as stringent as those for the interface used for their payment service users.
Stoga je važno da se u slučaju neusklađenosti takvih sučelja s odredbama ovih standarda poduzmu mjere kojima se osigurava kontinuitet poslovanja u korist korisnika tih usluga.
Those interfaces should be tested by the payment service providers who will use them, and should be stress-tested and monitored by competent authorities.
Odgovornost je nacionalnih nadležnih tijela osigurati da se pružatelje usluga pružanja informacija o računu i pružatelje usluga iniciranja plaćanja ne blokira ili ometa u pružanju njihovih usluga.
To ensure that payment service providers who rely on the dedicated interface can continue to provide their services in case of problems of availability or inadequate performance, it is necessary to provide, subject to strict conditions, a fallback mechanism that will allow such providers to use the interface that the account servicing payment service provider maintains for the identification of, and communication with, its own payment service users.
Ako se pristup računima za plaćanje nudi putem namjenskog sučelja, kako bi se korisnicima platnih usluga osiguralo pravo da upotrebljavaju usluge pružatelja usluga iniciranja plaćanja i usluge koje omogućuju pristup informacijama o računu u skladu s Direktivom (EU) 2015/2366, namjenska sučelja trebaju imati istu razinu dostupnosti i učinkovitosti kao i sučelje dostupno korisniku platnih usluga.
Certain account servicing payment service providers will be exempted from having to provide such a fallback mechanism through their customer facing interfaces where their competent authorities establish that the dedicated interfaces comply with specific conditions that ensure unhampered competition.
Pružatelji platnih usluga koji vode račune trebali bi definirati i transparentne ključne pokazatelje uspješnosti i ciljnu razinu usluga u pogledu dostupnosti i učinkovitosti namjenskih sučelja koji su barem jednako strogi kao oni za sučelje koje se koristi za njihove korisnike platnih usluga.
In the event that the exempted dedicated interfaces fail to comply with the required conditions, the granted exemptions shall be revoked by the relevant competent authorities.
Ta bi namjenska sučelja trebali testirati pružatelji platnih usluga koji će ih upotrebljavati, a nadležna tijela trebala bi ispitivati njihovu otpornost na stres i pratiti ih.
In order to allow competent authorities to effectively supervise and monitor the implementation and management of the communication interfaces, the account servicing payment service providers should make a summary of the relevant documentation available on their website, and provide, upon request, the competent authorities with documentation of the solutions in case of emergencies.
Kako bi pružatelji platnih usluga koji se oslanjaju na namjensko sučelje mogli nastaviti pružati svoje usluge u slučaju poteškoća s dostupnošću ili nepravilnog funkcioniranja, nužno je pružiti pomoćni mehanizam koji će u skladu sa strogim uvjetima tim pružateljima omogućiti korištenje sučelja koje pružatelj platnih usluga koji vodi račun održava za identifikaciju svojih korisnika platnih usluga i komunikaciju s njima.
The account servicing payment service providers should also make publicly available the statistics on the availability and performance of that interface.
Određeni pružatelji platnih usluga koji vode račune bit će izuzeti iz obveze osiguravanja takvog pomoćnog mehanizma putem svojih sučelja za klijente u slučaju da njihova nadležna tijela utvrde da su namjenska sučelja u skladu s posebnim uvjetima kojima se osigurava neometano tržišno natjecanje.
In order to safeguard the confidentiality and the integrity of data, it is necessary to ensure the security of communication sessions between account servicing payment service providers, account information service providers, payment initiation service providers and payment service providers issuing card-based payment instruments.
Ako izuzeta namjenska sučelja ne ispune potrebne uvjete, relevantna nadležna tijela ukidaju odobrena izuzeća.
It is in particular necessary to require that secure encryption is applied between account information service providers, payment initiation service providers, payment service providers issuing card-based payment instruments and account servicing payment service providers when exchanging data.
Kako bi se nadležnim tijelima omogućio učinkovit nadzor i praćenje provedbe komunikacijskih sučelja i upravljanja njima, pružatelji platnih usluga koji vode račune trebali bi na svojim internetskim stranicama objaviti sažetak relevantne dokumentacije i na zahtjev dostaviti nadležnim tijelima dokumentaciju o rješenjima u izvanrednim situacijama.
To improve user confidence and ensure strong customer authentication, the use of electronic identification means and trust services as set out in Regulation (EU) No 910/2014 of the European Parliament and of the Council should be taken into account, in particular with regard to notified electronic identification schemes
Pružatelji platnih usluga koji vode račune trebali bi i javno objaviti statističke podatke o dostupnosti i učinkovitosti tog sučelja.
In order to ensure aligned application dates, this Regulation should be applicable from the same date as of which Member States have to ensure application of the security measures referred to in Articles 65, 66, 67 and 97 of Directive (EU) 2015/2366.
Kako bi se zaštitila povjerljivost i cjelovitost podataka, potrebno je osigurati sigurnost komunikacijskih sesija između pružatelja platnih usluga koji vode račune, pružatelja usluga pružanja informacija o računu, pružatelja usluga iniciranja plaćanja i pružatelja platnih usluga koji izdaju kartične platne instrumente.
This Regulation is based on the draft regulatory technical standards submitted by the European Banking Authority (EBA) to the Commission.
Osobito je važno zahtijevati primjenu sigurnog kodiranja pri razmjeni podataka između pružatelja usluga pružanja informacija o računu, pružatelja usluga iniciranja plaćanja, pružatelja platnih usluga koji izdaju kartične platne instrumente i pružatelja platnih usluga koji vode račune.
EBA has conducted open and transparent public consultations on the draft regulatory technical standards on which this Regulation is based, analysed the potential related costs and benefits and requested the opinion of the Banking Stakeholder Group established in accordance with Article 37 of Regulation (EU) No 1093/2010,
Kako bi se povećalo povjerenje korisnika i osigurala pouzdana autentifikacija klijenta, trebalo bi uzeti u obzir upotrebu sredstava elektroničke identifikacije i usluga povjerenja kako je utvrđeno u Uredbi (EU) br. 910/2014 Europskog parlamenta i Vijeća, osobito u pogledu prijavljenih sustava elektroničke identifikacije.
HAS ADOPTED THIS REGULATION:
Kako bi se osigurala usklađenost datuma primjene, ova bi se Uredba trebala primjenjivati od istog datuma od kojeg države članice moraju osigurati primjenu sigurnosnih mjera navedenih u člancima 65., 66., 67. i 97.
CHAPTER I
Direktive (EU) 2015/2366.
GENERAL PROVISIONS
Ova se Uredba temelji na nacrtima regulatornih tehničkih standarda koje je Europsko nadzorno tijelo za bankarstvo (EBA) dostavilo Komisiji.
Article 1
EBA je provela otvorena i transparentna javna savjetovanja o nacrtima regulatornih tehničkih standarda na kojima se temelji ova Uredba, analizirala potencijalne povezane troškove i koristi te zatražila mišljenje Interesne skupine za bankarstvo osnovane u skladu s člankom 37.
Subject matter
Uredbe (EU) br. 1093/2010,
This Regulation establishes the requirements to be complied with by payment service providers for the purpose of implementing security measures which enable them to do the following:
DONIJELA JE OVU UREDBU:
apply the procedure of strong customer authentication in accordance with Article 97 of Directive (EU) 2015/2366;
POGLAVLJE I.
exempt the application of the security requirements of strong customer authentication, subject to specified and limited conditions based on the level of risk, the amount and the recurrence of the payment transaction and of the payment channel used for its execution;
OPĆE ODREDBE
protect the confidentiality and the integrity of the payment service user's personalised security credentials;
Članak 1.
establish common and secure open standards for the communication between account servicing payment service providers, payment initiation service providers, account information service providers, payers, payees and other payment service providers in relation to the provision and use of payment services in application of Title IV of Directive (EU) 2015/2366.
Predmet
Article 2
Ovom Uredbom utvrđuju se zahtjevi koje trebaju ispunjavati pružatelji platnih usluga za potrebe provedbe sigurnosnih mjera koje im omogućuju sljedeće:
General authentication requirements
primjenu pouzdane autentifikacije klijenta u skladu s člankom 97.
Payment service providers shall have transaction monitoring mechanisms in place that enable them to detect unauthorised or fraudulent payment transactions for the purpose of the implementation of the security measures referred to in points (a) and (b) of Article 1.
Direktive (EU) 2015/2366;
Those mechanisms shall be based on the analysis of payment transactions taking into account elements which are typical of the payment service user in the circumstances of a normal use of the personalised security credentials.
izuzeće od primjene sigurnosnih zahtjeva za pouzdanu autentifikaciju klijenta, koje podliježe određenim i ograničenim uvjetima koji se temelje na razini rizika, iznosu i ponavljanju platne transakcije te kanalu plaćanja koji se koristi za izvršenje transakcije;
Payment service providers shall ensure that the transaction monitoring mechanisms take into account, at a minimum, each of the following risk-based factors:
zaštitu povjerljivosti i cjelovitosti personaliziranih sigurnosnih podataka korisnika platnih usluga;
lists of compromised or stolen authentication elements;
uspostavu zajedničkih i sigurnih otvorenih standarda komunikacije među pružateljima platnih usluga koji vode račune, pružateljima usluga iniciranja plaćanja, pružateljima usluga pružanja informacija o računu, platiteljima, primateljima plaćanja i drugim pružateljima platnih usluga u vezi s pružanjem i uporabom platnih usluga u svrhu primjene glave IV.
the amount of each payment transaction;
Direktive (EU) 2015/2366.
known fraud scenarios in the provision of payment services;
Članak 2.
signs of malware infection in any sessions of the authentication procedure;
Opći zahtjevi za autentifikaciju
in case the access device or the software is provided by the payment service provider, a log of the use of the access device or the software provided to the payment service user and the abnormal use of the access device or the software.
Pružatelji platnih usluga uspostavljaju mehanizme za praćenje transakcija koji im omogućuju otkrivanje neovlaštenih ili prijevarnih platnih transakcija za potrebe provedbe sigurnosnih mjera iz članka 1. točaka (a) i (b).
Article 3
Ti se mehanizmi temelje na analizi platnih transakcija kojom se uzimaju u obzir elementi tipični za korisnika platnih usluga u okviru uobičajene upotrebe personaliziranih sigurnosnih podataka.
Review of the security measures
Pružatelji platnih usluga osiguravaju da se mehanizmima za praćenje transakcija nužno uzimaju u obzir barem svi sljedeći čimbenici rizika:
The implementation of the security measures referred to in Article 1 shall be documented, periodically tested, evaluated and audited in accordance with the applicable legal framework of the payment service provider by auditors with expertise in IT security and payments and operationally independent within or from the payment service provider.
popis ugroženih ili ukradenih elemenata za autentifikaciju;
The period between the audits referred to in paragraph 1 shall be determined taking into account the relevant accounting and statutory audit framework applicable to the payment service provider.
iznos svake platne transakcije;
However, payment service providers that make use of the exemption referred to in Article 18 shall be subject to an audit of the methodology, the model and the reported fraud rates at a minimum on a yearly basis.
poznati scenariji prijevare pri pružanju platnih usluga;
The auditor performing this audit shall have expertise in IT security and payments and be operationally independent within or from the payment service provider.
znakovi infekcije zlonamjernim programima u bilo kojoj sesiji postupka autentifikacije;
During the first year of making use of the exemption under Article 18 and at least every 3 years thereafter, or more frequently at the competent authority's request, this audit shall be carried out by an independent and qualified external auditor.
ako pružatelj platnih usluga osigurava uređaj ili softver za pristup, zapisnik upotrebe uređaja ili softvera za pristup koji su dostavljeni korisniku platnih usluga i neuobičajena upotreba uređaja ili softvera za pristup.
This audit shall present an evaluation and report on the compliance of the payment service provider's security measures with the requirements set out in this Regulation.
Članak 3.
The entire report shall be made available to competent authorities upon their request.
Preispitivanje sigurnosnih mjera
CHAPTER II
Provedbu sigurnosnih mjera iz članka 1. dokumentiraju, periodično testiraju, ocjenjuju i revidiraju revizori s iskustvom u području IT sigurnosti i platnog prometa koji djeluju neovisno unutar pružatelja platnih usluga ili neovisno o njemu, u skladu s pravnim okvirom koji je primjenjiv na pružatelja platnih usluga.
SECURITY MEASURES FOR THE APPLICATION OF STRONG CUSTOMER AUTHENTICATION
Razdoblje između revizija iz stavka 1. određuje se u skladu s odgovarajućim okvirom za računovodstvo i zakonsku reviziju koji se primjenjuju na pružatelja platnih usluga.
Article 4
Međutim, pružatelji platnih usluga koji se koriste izuzećem iz članka 18. podliježu reviziji metodologije, modela i prijavljene stope prijevara najmanje jednom godišnje.
Authentication code
Revizor koji provodi predmetnu reviziju ima iskustvo u području IT sigurnosti i platnog prometa i djeluje neovisno unutar pružatelja platnih usluga ili neovisno o njemu.
Where payment service providers apply strong customer authentication in accordance with Article 97(1) of Directive (EU) 2015/2366, the authentication shall be based on two or more elements which are categorised as knowledge, possession and inherence and shall result in the generation of an authentication code.
Tijekom prve godine primjene izuzeća na temelju članka 18. i najmanje tri godine nakon toga ili češće, na zahtjev nadležnog tijela, tu reviziju provodi neovisni i kvalificirani vanjski revizor.
The authentication code shall be only accepted once by the payment service provider when the payer uses the authentication code to access its payment account online, to initiate an electronic payment transaction or to carry out any action through a remote channel which may imply a risk of payment fraud or other abuses.
Ta revizija sadržava ocjenu i izvješće o usklađenosti sigurnosnih mjera pružatelja platnih usluga sa zahtjevima iz ove Uredbe.
For the purpose of paragraph 1, payment service providers shall adopt security measures ensuring that each of the following requirements is met:
Cjelovito izvješće stavlja se na raspolaganje nadležnim tijelima na njihov zahtjev.
no information on any of the elements referred to in paragraph 1 can be derived from the disclosure of the authentication code;
POGLAVLJE II.
it is not possible to generate a new authentication code based on the knowledge of any other authentication code previously generated;
SIGURNOSNE MJERE ZA PRIMJENU POUZDANE AUTENTIFIKACIJE KLIJENTA
the authentication code cannot be forged.
Članak 4.
Payment service providers shall ensure that the authentication by means of generating an authentication code includes each of the following measures:
Kôd za autentifikaciju
where the authentication for remote access, remote electronic payments and any other actions through a remote channel which may imply a risk of payment fraud or other abuses has failed to generate an authentication code for the purposes of paragraph 1, it shall not be possible to identify which of the elements referred to in that paragraph was incorrect;
Ako pružatelji platnih usluga primjenjuju pouzdanu autentifikaciju klijenta u skladu s člankom 97. stavkom 1.
the number of failed authentication attempts that can take place consecutively, after which the actions referred to in Article 97(1) of Directive (EU) 2015/2366 shall be temporarily or permanently blocked, shall not exceed five within a given period of time;
Direktive (EU) 2015/2366, autentifikacija se temelji na dva ili više elemenata koji pripadaju kategoriji znanja, posjedovanja i svojstvenosti i rezultira generiranjem kôda za autentifikaciju.
the communication sessions are protected against the capture of authentication data transmitted during the authentication and against manipulation by unauthorised parties in accordance with the requirements in Chapter V;
Pružatelj platnih usluga prihvaća kôd za autentifikaciju samo jednom kada platitelj koristi kôd za autentifikaciju kako bi svojem računu za plaćanje pristupio preko interneta, inicirao elektroničku platnu transakciju ili izvršio bilo koju radnju s udaljenosti koja može podrazumijevati rizik u smislu prijevara povezanih s plaćanjem ili drugih oblika zlouporabe.
the maximum time without activity by the payer after being authenticated for accessing its payment account online shall not exceed 5 minutes.
Za potrebe stavka 1. pružatelji platnih usluga uspostavljaju sigurnosne mjere kojima se osigurava ispunjavanje svih sljedećih zahtjeva:
Where the block referred to in paragraph 3(b) is temporary, the duration of that block and the number of retries shall be established based on the characteristics of the service provided to the payer and all the relevant risks involved, taking into account, at a minimum, the factors referred to in Article 2(2).
otkrivanjem kôda za autentifikaciju nije moguće utvrditi informacije o bilo kojem elementu iz stavka 1.;
The payer shall be alerted before the block is made permanent.
novi kôd za autentifikaciju ne može se generirati na temelju saznanja o bilo kojem prethodno generiranom kôdu za autentifikaciju;
Where the block has been made permanent, a secure procedure shall be established allowing the payer to regain use of the blocked electronic payment instruments.
kôd za autentifikaciju ne može se krivotvoriti.
Article 5
Pružatelji platnih usluga osiguravaju da autentifikacija na temelju generiranja kôda za autentifikaciju obuhvaća sve sljedeće mjere:
Dynamic linking
ako se kod za autentifikaciju za potrebe stavka 1. nije generirao autentifikacijom za potrebe pristupa s udaljenosti, elektroničkog plaćanja s udaljenosti i svih drugih radnji koje se izvršavaju s udaljenosti i koje mogu podrazumijevati rizik u pogledu prijevara povezanih s plaćanjem ili drugih oblika zlouporabe, nije moguće utvrditi koji je element iz tog stavka bio pogrešan;
Where payment service providers apply strong customer authentication in accordance with Article 97(2) of Directive (EU) 2015/2366, in addition to the requirements of Article 4 of this Regulation, they shall also adopt security measures that meet each of the following requirements:
broj uzastopnih neuspješnih pokušaja autentifikacije, nakon kojih se radnje iz članka 97. stavka 1.
the payer is made aware of the amount of the payment transaction and of the payee;
Direktive (EU) 2015/2366 privremeno ili trajno blokiraju, ne smije biti veći od pet tijekom određenog razdoblja;
the authentication code generated is specific to the amount of the payment transaction and the payee agreed to by the payer when initiating the transaction;
komunikacijske sesije zaštićene su od bilježenja podataka o autentifikaciji koji se prenose tijekom autentifikacije i od manipulacije neovlaštenih osoba u skladu sa zahtjevima iz poglavlja V.;
the authentication code accepted by the payment service provider corresponds to the original specific amount of the payment transaction and to the identity of the payee agreed to by the payer;
najdulje razdoblje bez aktivnosti platitelja nakon što je autentificiran za internetski pristup svojem računu za plaćanje ne smije biti dulje od pet minuta.
any change to the amount or the payee results in the invalidation of the authentication code generated.
Ako je blokada iz stavka 3. točke (b) privremena, njezino trajanje i broj ponovnih pokušaja određuje se na temelju karakteristika usluga koje se pružaju platitelju i svih relevantnih povezanih rizika, uzimajući u obzir barem čimbenike iz članka 2. stavka 2.
For the purpose of paragraph 1, payment service providers shall adopt security measures which ensure the confidentiality, authenticity and integrity of each of the following:
Platitelja se obavješćuje prije nego što blokada postane trajna.
the amount of the transaction and the payee throughout all of the phases of the authentication;
Ako blokada postane trajna, uspostavlja se sigurnosni postupak kojim se platitelju omogućuje ponovna upotreba blokiranih elektroničkih platnih instrumenata.
the information displayed to the payer throughout all of the phases of the authentication including the generation, transmission and use of the authentication code.
Članak 5.
For the purpose of paragraph 1(b) and where payment service providers apply strong customer authentication in accordance with Article 97(2) of Directive (EU) 2015/2366 the following requirements for the authentication code shall apply:
Dinamično povezivanje