Criteri e graduatoria
Verificare i requisiti di sicurezza dei servizi di pagamento svizzeri
Accertate innanzitutto quali dati personali vengono trattati dal servizio di pagamento e quali soggetti sono coinvolti. Ciò include il trattamento dei dati e gli enti responsabili del servizio.
Che cosa significa concretamente «verificare i requisiti di sicurezza» per i servizi di pagamento
Accertate innanzitutto quali dati personali vengono trattati dal servizio di pagamento e quali soggetti sono coinvolti. Ciò include il trattamento dei dati e gli enti responsabili del servizio.
Procedete in quattro fasi: chiarire la base legale e l’autorità di vigilanza competente, richiedere le misure di protezione, esigere prove dell’attuazione e della verifica e documentare i risultati.
Una generica assicurazione come «massimi standard di sicurezza» non dimostra l’effettiva attuazione. Verificate misure concrete, test e controlli sulla base della documentazione.
Chi fa rispettare le prescrizioni in Svizzera
La FINMA vigila su banche e case di titoli in modo prudenziale e orientato al rischio. Il suo quadro normativo comprende in particolare la Legge sulla vigilanza sui mercati finanziari (LFINMAG), la Legge sulle banche (LBanc), la Legge sugli istituti finanziari (LIF) e le relative disposizioni di esecuzione.
Non ogni attività è soggetta allo stesso tipo di autorizzazione e vigilanza: la FINMA descrive uno spettro che va da una sorveglianza continua completa a una registrazione senza sorveglianza continua. In determinati casi è richiesta l’adesione a un’organizzazione di autoregolamentazione.
Cercate il nome del fornitore nel database della FINMA dedicato agli istituti, alle persone e ai prodotti autorizzati. Tra le categorie elencate figurano, tra l’altro, «banche e case di titoli» nonché «persone autorizzate ai sensi dell’art. 1b LBanc (autorizzazione fintech)». Verificate quale categoria e quale autorizzazione risultano per il fornitore specifico.
Fatevi indicare per iscritto dal fornitore la base legale sulla quale opera e quale autorità di vigilanza è competente per la sua attività concreta. In caso di violazione della sicurezza dei dati con probabile alto rischio, occorre informare l’IFPDT.
Autorità di vigilanza competenti in Svizzera per i servizi di pagamento
- IFPDTIncaricato federale della protezione dei dati e della trasparenza; deve essere informato in caso di violazione della sicurezza dei dati con alto rischio.
- FMA-LI (Liechtenstein)Non rilevante per i fornitori svizzeri; competente solo per gli istituti del Liechtenstein.
Misure tecniche e organizzative per la sicurezza dei dati
La Legge federale sulla protezione dei dati (LPD, RS 235.1) è in vigore dal 1° settembre 2023. Per la sicurezza dei dati, la LPD e l’Ordinanza sulla protezione dei dati (OPD, RS 235.11) costituiscono la base normativa svizzera di riferimento.
Chiedete come viene valutata la necessità di protezione dei dati personali e in che modo questa si riflette nelle misure di protezione. La descrizione dovrebbe corrispondere al rispettivo processo di trattamento del servizio di pagamento.
Verificate misure tecniche e organizzative concrete: limitazioni degli accessi, cifratura, registrazione dei log, responsabilità nonché individuazione e risoluzione delle anomalie.
Ai sensi dell’art. 24 LPD, l’IFPDT deve essere informato il più rapidamente possibile in caso di violazione della sicurezza dei dati con probabile alto rischio. La LPD non prevede alcun termine di 72 ore; verificate pertanto il processo interno di notifica ed escalation.
Attuato, testato, verificato: il criterio per le prove di sicurezza
Per ogni misura, chiedetevi: è stata attuata? È stata testata? Il risultato è stato verificato? Documentate quale documento attesta la risposta e chi ha effettuato la verifica.
Esigete una descrizione documentata del trattamento e delle misure di protezione. Come prove sono adatti, ad esempio, documenti relativi ai diritti di accesso e alla registrazione dei log, risultati di audit ed esiti di test su cifratura, controlli degli accessi e processi di gestione degli incidenti.
La direttiva europea sui servizi di pagamento PSD2 esige dai prestatori di servizi di pagamento prove che le misure di sicurezza siano state attuate, testate e verificate. Si tratta di uno standard di verifica dell’UE, non della base giuridica svizzera; per i servizi svizzeri, il punto di partenza sono la LPD e l’OPD.
Normativa SEPA e l’accesso al mercato di terzi prestatori di servizi di pagamento
La Circolare della FINMA 2023/1 «Rischi operativi e resilienza – Banche» affronta, tra l’altro, la gestione dei rischi operativi, dei rischi ICT e cibernetici, dei rischi legati ai dati critici nonché la continuità operativa. È entrata in vigore il 1° gennaio 2024.
La circolare è rivolta alle banche. Chiarite quindi innanzitutto se il prestatore di servizi di pagamento è una banca sottoposta a vigilanza e se le prescrizioni si applicano alla sua attività.
Per una banca interessata, potete richiedere valutazioni dei rischi e dei controlli, la tolleranza al rischio approvata e prove di verifiche regolari. La direzione deve identificare, valutare, limitare e monitorare i rischi operativi, nonché verificare regolarmente l’efficacia della gestione dei rischi.
Separare chiaramente Liechtenstein, SEE e la prassi svizzera
Documentate per il fornitore e per il servizio di pagamento verificato la base giuridica indicata, l’autorità di vigilanza competente e un’eventuale iscrizione nel registro della FINMA. Annotate anche quali misure di protezione sono state verificate e quali prove sono disponibili a sostegno.
Documentate le domande aperte e concordate chi dovrà rispondere entro quale termine. In questo modo resta tracciabile quali requisiti sono stati verificati e quali prove sono ancora state richieste.
