§ 85 Umgang mit operationellen und sicherheitsrelevanten Risiken — ZaDiG 2018

(1) Ein Zahlungsdienstleister hat einen Rahmen angemessener Risikominderungsmaßnahmen und Kontrollmechanismen zur Beherrschung der operationellen und der sicherheitsrelevanten Risiken im Zusammenhang mit den erbrachten Zahlungsdiensten zu schaffen. Als Teil dieses Rahmens hat der Zahlungsdienstleister wirksame Verfahren für den Umgang mit Vorfällen festzulegen und anzuwenden. Davon muss auch die Aufdeckung und Klassifizierung schwerer Betriebs- und Sicherheitsvorfälle umfasst sein.

(1a) Abs. 1 gilt unbeschadet der Anwendung von Kapitel II der Verordnung (EU) 2022/2554 für:

1. Zahlungsdienstleister gemäß § 1 Abs. 3 Z 1 bis 3;

2. Kontoinformationsdienstleister gemäß § 4 Z 19;

3. Zahlungsinstitute, die gemäß Art. 32 Abs. 1 der Richtlinie (EU) 2015/2366 ausgenommen sind;

4. E-Geld-Institute, für die eine Ausnahme gemäß Art. 9 Abs. 1 der Richtlinie 2009/110/EG gilt.

(2) Der Zahlungsdienstleister hat der FMA jährlich eine aktualisierte und umfassende Bewertung der operationellen und sicherheitsrelevanten Risiken im Zusammenhang mit den erbrachten Zahlungsdiensten zu übermitteln. Die Bewertung hat insbesondere darzulegen, ob Risikominderungsmaßnahmen und Kontrollmechanismen, die zur Beherrschung von Risiken ergriffenen werden, angemessen sind. Die FMA kann festlegen, dass die Aktualisierung der Bewertung in kürzeren Abständen vorgenommen werden muss.