Établissement, application et supervision des mesures de sécurité et transmission annuelle

1/9

Communiqué n° 11/EP Établissement, application et supervision des mesures de sécurité et transmission annuelle

Conformément aux dispositions du paragraphe 3 de l'article 27 de la Loi 27/2018, du 25 octobre, portant modification de la Loi 8/2018, du 17 mai, des services de paiement et de la monnaie électronique (ci-après, Loi des services de paiement et de la monnaie électronique), l'Autorité financière andorrane (ci-après, AFA) doit réglementer par communiqué technique les questions relatives à l'établissement, à l'application et à la supervision des mesures de sécurité, y compris les mesures d'atténuation et les mécanismes de contrôle ainsi que, le cas échéant, les processus de certification.

En conséquence, il est établi que les prestataires de services de paiement dans la Principauté d'Andorre doivent appliquer les orientations établies par l'Autorité bancaire européenne (ABE) dans sa publication en date du 12 janvier 2018 intitulée « Orientations relatives aux mesures de sécurité pour les risques opérationnels et de sécurité liés aux services de paiement en vertu de la PSD2 » (EBA/GL/2017/17), annexées au présent communiqué.

En outre, et en vertu des dispositions du paragraphe 2 de l'article 27 de la Loi des services de paiement et de la monnaie électronique, les prestataires de services de paiement doivent fournir chaque année à la présente Autorité, le dernier jour ouvrable du mois de février, une évaluation actualisée et complète des risques opérationnels et de sécurité liés aux services de paiement qu'ils fournissent, ainsi que de l'adéquation des mesures d'atténuation et des mécanismes de contrôle mis en œuvre en réponse à ces risques.

Andorra la Vella, le 31 juillet 2019

2/9

Annexe : Orientations relatives aux mesures de sécurité pour les risques opérationnels et de sécurité liés aux services de paiement en vertu de la directive (UE) 2015/2366 (PSD2) EBA/GL/2017/17 en date du 12/01/2018

(…)

4. Orientations

Orientation 1 : Principe général

1.1 Tous les PSP doivent respecter l'intégralité des dispositions établies dans les présentes orientations. Le niveau de détail doit être proportionné à la taille du PSP, ainsi qu'à la nature, à la portée, à la complexité et au risque des services concrets que le PSP fournit ou se propose de fournir.

Orientation 2 : Gouvernance

Cadre de gestion des risques opérationnels et de sécurité

2.1 Les PSP établissent un cadre efficace de gestion des risques opérationnels et de sécurité (ci-après, le « cadre de gestion des risques ») qui doit être approuvé et réexaminé, au moins une fois par an, par l'organe de direction et, le cas échéant, par la haute direction. Ledit cadre doit être axé sur les mesures de sécurité destinées à atténuer les risques opérationnels et de sécurité et doit être pleinement intégré dans les processus généraux de gestion des risques du PSP.

2.2 Le cadre de gestion des risques doit : a) Inclure un document exhaustif relatif à la politique de sécurité conformément aux dispositions de l'article 5, paragraphe 1, point j), de la directive (UE) 2015/2366. b) Être cohérent avec l'appétence au risque du PSP. c) Définir et attribuer les fonctions et responsabilités principales, ainsi que les canaux de communication pertinents qui sont nécessaires pour faire respecter les mesures de sécurité et pour gérer les risques opérationnels et de sécurité. d) Établir les procédures et systèmes, ainsi que les mécanismes de continuité des activités, qui sont nécessaires pour identifier, mesurer, contrôler et gérer la diversité des risques découlant des activités du PSP liées au paiement et auxquels il est exposé.

2.3 Les PSP veillent à ce que le cadre de gestion des risques soit dûment documenté et mis à jour avec les « enseignements tirés » au cours de sa mise en œuvre et de son contrôle, qui sont dûment documentés.

2.4 Les PSP veillent à évaluer sans retard injustifié, avant toute modification importante de l'infrastructure, des processus ou des procédures et après chaque incident opérationnel ou de sécurité grave affectant la sécurité des services de paiement qu'ils fournissent, s'il est nécessaire d'apporter des modifications ou des améliorations au cadre de gestion des risques.

Modèles de gestion et de contrôle des risques

2.5 Les PSP établissent trois lignes de défense efficaces, ou un modèle interne de gestion et de contrôle des risques équivalent, pour identifier et gérer les risques opérationnels et de sécurité. Les PSP veillent à ce que le modèle interne de contrôle susmentionné dispose d'une autorité, d'une indépendance, de ressources et de canaux de communication directe suffisants avec l'organe de direction et, selon le cas, avec la haute direction.

2.6 Les mesures de sécurité établies dans les présentes orientations doivent être auditées par des auditeurs ayant une expérience en sécurité informatique et en services de paiement, qui sont indépendants sur le plan opérationnel du PSP. La fréquence et l'objet desdits audits doivent tenir compte des risques de sécurité correspondants.

3/9

Externalisation 2.7 Les PSP garantissent l'efficacité des mesures de sécurité établies dans les présentes orientations lorsque les fonctions opérationnelles des services de paiement, y compris les systèmes informatiques, sont externalisées.

2.8 Les PSP veillent à ce que les contrats et les accords de niveau de service conclus avec les prestataires auxquels ils ont externalisé lesdites fonctions fixent des objectifs de sécurité, des mesures et des objectifs de performance proportionnés et adéquats. Les PSP contrôlent le niveau de respect des objectifs de sécurité, des mesures et des objectifs de performance par lesdits prestataires et obtiennent des garanties à cet égard.

Orientation 3 : Évaluation des risques

Identification des fonctions, des processus et des actifs

3.1 Les PSP identifient, établissent et mettent à jour régulièrement un inventaire de leurs fonctions opérationnelles, de leurs rôles principaux et de leurs processus de soutien afin d'établir la correspondance entre l'importance de chaque fonction, rôle et processus de soutien, ainsi que leurs interdépendances en ce qui concerne les risques opérationnels et de sécurité.

3.2 Les PSP identifient, établissent et mettent à jour régulièrement un inventaire des actifs informationnels, tels que les systèmes TIC, leurs configurations, les autres infrastructures ainsi que les interconnexions avec d'autres systèmes internes et externes, afin de pouvoir gérer les actifs qui soutiennent leurs fonctions opérationnelles et processus critiques.

Classification des fonctions, des processus et des actifs

3.3 Les PSP classent les fonctions opérationnelles, les processus de soutien et les actifs informationnels identifiés en termes de criticité.

Évaluation des risques liés aux fonctions, aux processus et aux actifs

3.4 Les PSP veillent à assurer une surveillance continue des menaces et vulnérabilités et à réexaminer régulièrement les scénarios de risque affectant leurs fonctions de activités, processus critiques et actifs informationnels. Dans le cadre de l'obligation de réaliser et de présenter aux autorités compétentes une évaluation actualisée et complète des risques opérationnels et de sécurité liés aux services de paiement qu'ils fournissent, ainsi que de l'adéquation des mesures d'atténuation et des mécanismes de contrôle mis en œuvre pour faire face à ces risques, conformément au paragraphe 2 de l'article 95 de la Directive (UE) 2015/2366, les PSP doivent réaliser et documenter une évaluation des risques, au moins une fois par an ou à des intervalles plus courts, selon ce que détermine l'autorité compétente, des fonctions, processus et actifs informationnels qu'ils ont identifiés et classés, afin d'identifier et d'évaluer les principaux risques opérationnels et de sécurité. Cette évaluation des risques doit également être réalisée avant toute modification importante de l'infrastructure, des processus ou des procédures affectant la sécurité des services de paiement.

3.5 Sur la base de l'évaluation des risques, les PSP doivent déterminer s'il est nécessaire de modifier, et dans quelle mesure, les mesures de sécurité existantes, les technologies utilisées et les procédures ou services de paiement proposés. Les PSP doivent tenir compte du temps nécessaire pour mettre en œuvre ces modifications et du temps nécessaire pour adopter des mesures de sécurité transitoires appropriées afin de réduire au minimum les incidents opérationnels ou de sécurité, la fraude et les effets potentiellement négatifs sur la prestation de services de paiement.

Orientation 4 : Protection

4.1 Les PSP doivent établir et mettre en œuvre des mesures de sécurité préventives contre les risques opérationnels et de sécurité identifiés. Ces mesures doivent garantir un niveau de sécurité adéquat au regard des risques identifiés.

4/9

4.2 Les PSP doivent établir et mettre en œuvre une approche de « défense en profondeur » au moyen de l'instauration de contrôles à plusieurs niveaux s'appliquant aux personnes, aux processus et à la technologie, chaque niveau servant de filet de sécurité aux niveaux précédents. La défense en profondeur s'entend comme la définition de plus d'un contrôle s'appliquant au même risque, tel que le principe dit des quatre yeux, l'authentification à deux facteurs, la segmentation du réseau et plusieurs pare-feu.

4.3 Les PSP doivent garantir la confidentialité, l'intégrité et la disponibilité de leurs actifs logiques et physiques critiques et de leurs ressources, ainsi que des données de paiement sensibles de leurs utilisateurs de services de paiement, que celles-ci soient au repos, en transit ou en cours d'utilisation. Si les données comprennent des informations à caractère personnel, ces mesures doivent être appliquées conformément au Règlement (UE) 2016/679 6 ou, le cas échéant, au Règlement (CE) 45/2001.

4.4 De manière continue, les PSP doivent déterminer si les changements intervenus dans l'environnement opérationnel existant ont une incidence sur les mesures de sécurité actuelles ou s'il est nécessaire d'adopter des mesures supplémentaires pour atténuer le risque posé. Ces changements doivent faire partie du processus formel de gestion des changements du PSP, qui doit veiller à ce que les changements soient planifiés, testés, documentés et autorisés de manière appropriée. En fonction des menaces de sécurité observées et des modifications apportées, des tests appropriés doivent être réalisés afin d'intégrer des scénarios d'attaques potentielles pertinentes et connues.

4.5 Lors de la conception, du développement et de la fourniture de services de paiement, les PSP doivent veiller à l'application des principes de séparation des tâches et de moindre privilège. Les PSP doivent accorder une attention particulière à la séparation des environnements informatiques, notamment des environnements de développement, de test et de production.

Intégrité et confidentialité des données et des systèmes

4.6 Lors de la conception, du développement et de la fourniture de services de paiement, les PSP doivent s'assurer que la collecte, l'acheminement, le traitement, le stockage ou l'archivage et la visualisation des données de paiement sensibles de l'utilisateur de services de paiement sont adéquats, appropriés et limités à ce qui est nécessaire à la fourniture de leurs services de paiement.

4.7 Les PSP doivent vérifier périodiquement que le logiciel utilisé pour la fourniture des services de paiement, y compris le logiciel de paiement des utilisateurs, est à jour et que les correctifs de sécurité critiques ont été installés. Les PSP doivent s'assurer qu'ils disposent de mécanismes de contrôle de l'intégrité afin de vérifier l'intégrité du logiciel, du micrologiciel et de l'information de leurs services de paiement.

Sécurité physique

4.8 Les PSP doivent disposer de mesures de sécurité physique adéquates, notamment pour protéger les données de paiement sensibles des utilisateurs de services de paiement, ainsi que les systèmes TIC utilisés pour fournir des services de paiement.

Contrôle d'accès

4.9 L'accès physique et logique aux systèmes TIC n'est autorisé qu'aux seules personnes habilitées. L'habilitation est attribuée en fonction des tâches et des responsabilités du personnel et est limitée aux personnes disposant de la formation et de la supervision adéquates. Les PSP doivent mettre en place des contrôles de manière que cet accès aux systèmes TIC soit restreint de manière fiable à ceux qui en ont besoin pour l'exercice de leurs fonctions. L'accès électronique aux données et aux systèmes au moyen d'applications doit être limité au strict minimum nécessaire pour fournir le service concerné.

4.10 Les PSP doivent mettre en place des contrôles stricts sur les accès privilégiés au système au moyen de la limitation rigoureuse et de la supervision étroite du personnel disposant de droits d'accès étendus au système. Des contrôles doivent être mis en œuvre, tels que des accès fondés sur les rôles, la journalisation et l'examen des activités des utilisateurs privilégiés, l'authentification forte et le suivi des anomalies. Les PSP doivent gérer les

5/9

droits d'accès aux actifs informationnels et à leurs processus de soutien selon le principe du « besoin d'en connaître ». Les droits d'accès doivent être réexaminés périodiquement.

4.11 Les journaux d'accès doivent être conservés pendant une durée proportionnée à la criticité des fonctions opérationnelles, des processus de soutien et des actifs informationnels identifiés, conformément aux Orientations 3.1 et 3.2, sans préjudice des exigences de conservation prévues par la législation nationale et de l'Union européenne. Les PSP doivent utiliser ces informations pour faciliter l'identification et l'investigation des activités anormales détectées dans le cadre de la fourniture des services de paiement.

4.12 Afin de garantir une communication sécurisée et de réduire le risque, l'accès d'administration à distance aux composants TIC critiques n'est accordé que selon le principe du « besoin d'en connaître » et uniquement lorsque des solutions d'authentification forte sont utilisées.

4.13 Le fonctionnement des produits, outils et procédures liés aux processus de contrôle d'accès doit éviter que les processus de contrôle d'accès puissent être contournés ou compromis. Cela inclut l'enregistrement, la remise, la révocation et le retrait des produits, outils et procédures correspondants.

Ligne directrice 5 : Détection

Surveillance continue et détection

5.1 Les PSP doivent établir et mettre en œuvre des processus et des capacités permettant de surveiller de manière continue les fonctions métier, les processus de soutien et les actifs informationnels afin de détecter les activités anormales dans la prestation de services de paiement. Dans le cadre de cette surveillance continue, les PSP doivent disposer de capacités adéquates et efficaces pour détecter les intrusions physiques ou logiques, ainsi que les atteintes à la confidentialité, à l'intégrité et à la disponibilité des actifs informationnels utilisés dans la prestation des services de paiement.

5.2 Les processus de surveillance continue et de détection doivent couvrir les éléments suivants : a) Les facteurs internes et externes pertinents, y compris les fonctions administratives métier et TIC. b) Les opérations, afin de détecter l'utilisation abusive de l'accès par les prestataires de services ou par d'autres entités, et c) Les menaces potentielles internes et externes.

5.3 Les PSP doivent mettre en œuvre des mesures de détection afin d'identifier les éventuelles fuites d'informations, les codes malveillants et autres menaces de sécurité, ainsi que les vulnérabilités de notoriété publique des logiciels et du matériel. Ils doivent également vérifier les nouvelles mises à jour de sécurité applicables.

Surveillance et communication des incidents opérationnels ou de sécurité

5.4 Les PSP doivent déterminer les critères de sécurité et les seuils adéquats pour qualifier un événement d'incident opérationnel ou de sécurité, tel que prévu à la section « Définitions » des présentes Lignes directrices, ainsi que les indicateurs d'alerte précoce qui doivent servir d'avertissement pour permettre au PSP de procéder à une détection précoce des incidents opérationnels ou de sécurité. 5.5 Les PSP doivent établir les structures organisationnelles et les processus adéquats pour garantir que la surveillance, la gestion et le suivi des incidents opérationnels ou de sécurité sont réalisés de manière cohérente et intégrée.

5.6 Les PSP doivent établir une procédure pour communiquer à la haute direction lesdits incidents opérationnels ou de sécurité, ainsi que les réclamations des clients relatives à la sécurité.

Ligne directrice 6 : Continuité des activités

6.1 Les PSP doivent mettre en place une gestion solide de la continuité des activités, afin de maximiser leur capacité à fournir des services de paiement de manière continue et de limiter les pertes en cas d'interruptions graves de l'activité.

6/9

6.2 Pour mettre en place une gestion solide de la continuité des activités, les PSP doivent analyser attentivement leur exposition aux interruptions graves de l'activité et évaluer quantitativement et qualitativement leur impact potentiel, en s'appuyant sur des données internes ou externes et sur des analyses de scénarios. En fonction des fonctions critiques, des processus, des systèmes, des opérations et des interdépendances qui ont été identifiés et classés conformément aux Lignes directrices 3.1 à 3.3, les PSP doivent hiérarchiser les actions de continuité des activités au moyen d'une approche fondée sur les risques, laquelle peut reposer sur l'évaluation des risques réalisée conformément à la Ligne directrice 3. Selon le modèle d'activité du PSP, cela pourrait, par exemple, faciliter le traitement supplémentaire des opérations critiques pendant la poursuite des mesures de réparation.

6.3 Sur la base de l'analyse réalisée conformément à la Ligne directrice 6.2, les PSP doivent établir : a) Des plans de continuité des activités afin de garantir qu'il peut réagir de manière adéquate aux situations d'urgence et qu'il est en mesure de maintenir ses activités critiques, et

b) Des mesures d'atténuation à adopter en cas de cessation de la prestation de ses services de paiement et d'extinction des contrats existants, afin d'éviter des effets négatifs sur les systèmes de paiement et sur les utilisateurs de services de paiement et d'assurer l'exécution des opérations de paiement en cours.

Planification de la continuité des activités fondée sur des scénarios

6.4 Les PSP doivent examiner plusieurs scénarios différents auxquels ils pourraient être exposés, y compris des scénarios extrêmes mais plausibles, et évaluer leur impact potentiel.

6.5 Sur la base de l'analyse réalisée conformément à la Ligne directrice 6.2 et des scénarios plausibles identifiés conformément à la Ligne directrice 6.4, le PSP doit élaborer des plans de réponse et de rétablissement qui doivent présenter les caractéristiques suivantes :

a) Être axés sur l'impact sur le fonctionnement des fonctions critiques, des processus, des systèmes, des opérations et de leurs interdépendances.

b) Être documentés et mis à la disposition des unités métier et de soutien et être facilement accessibles en cas d'urgence, et

c) Être mis à jour en tenant compte des enseignements tirés lors des tests, des nouveaux risques identifiés, des menaces et des modifications des objectifs et priorités de rétablissement.

Test des plans de continuité des activités

6.6 Les PSP doivent tester leurs plans de continuité des activités et s'assurer que le fonctionnement de leurs fonctions critiques, processus, systèmes, opérations et interdépendances est testé au moins une fois par an. Les plans doivent soutenir les objectifs de protection et, si nécessaire, de rétablissement de l'intégrité et de la disponibilité de leurs opérations et de la confidentialité de leurs actifs informationnels.

6.7 Les plans doivent être mis à jour au moins une fois par an, en fonction des résultats des tests, des informations sur les menaces actuelles, de l'échange d'informations et des enseignements tirés d'événements antérieurs et des modifications des objectifs de rétablissement, ainsi que de l'analyse de scénarios plausibles du point de vue opérationnel et technique qui ne se sont pas encore matérialisés et, le cas échéant, après toute modification des systèmes et des processus. Les PSP doivent consulter les parties prenantes pertinentes, tant internes qu'externes, et se coordonner avec elles lors de l'établissement de leurs plans de continuité des activités.

6.8 Les tests des plans de continuité des activités des PSP :

a) Doivent inclure un ensemble adéquat de scénarios, tel qu'indiqué dans la Ligne directrice 6.4.

7/9

b) Doivent être conçus pour remettre en question les hypothèses sur lesquelles reposent les plans de continuité des activités, y compris les plans de communication de crise et les procédures de gouvernance interne.

c) Doivent inclure des procédures permettant de vérifier la capacité de leur personnel et de leurs processus à répondre de manière adéquate aux scénarios susmentionnés.

6.9 Les PSP doivent assurer un suivi périodique de l'efficacité de leurs plans de continuité des activités et documenteront et analyseront tout problème ou toute défaillance découlant des tests.

Communication de crise

6.10 En cas d'interruption ou d'urgence, et pendant la mise en œuvre des plans de continuité d'activité, les PSP doivent s'assurer qu'ils disposent de mesures efficaces de communication de crise permettant que toutes les parties concernées, y compris les prestataires de services externes, soient informées de manière opportune et appropriée.

Orientation 7 : Test des mesures de sécurité

7.1 Les PSP doivent établir et mettre en œuvre un cadre de tests qui valide la robustesse et l'efficacité des mesures de sécurité et doivent s'assurer que le cadre de tests est adapté pour prendre en compte les nouvelles menaces et vulnérabilités identifiées dans le cadre des activités de contrôle des risques.

7.2 Les PSP doivent s'assurer que des tests sont effectués en cas de modifications de l'infrastructure, des processus ou des procédures et en cas de modifications apportées à la suite d'incidents opérationnels ou de sécurité graves.

7.3 Le cadre de tests doit également couvrir les mesures de sécurité relatives i) aux terminaux et dispositifs de paiement utilisés pour la prestation de services de paiement, ii) aux terminaux et dispositifs de paiement utilisés pour l'authentification de l'utilisateur de services de paiement et iii) aux dispositifs et logiciels fournis par le PSP à l'utilisateur de services de paiement pour générer ou recevoir un code d'authentification.

7.4 Le cadre de tests doit garantir que les tests :

a) Sont effectués dans le cadre de la procédure formelle de gestion du changement du PSP afin d'en assurer la robustesse et l'efficacité.

b) Sont réalisés par des testeurs indépendants qui disposent de connaissances, de compétences et d'une expérience suffisantes en matière de test des mesures de sécurité des services de paiement et qui ne participent pas au développement des mesures de sécurité des services ou systèmes de paiement correspondants devant être testés, au moins dans le cas des tests finaux avant la mise en service des mesures de sécurité, et

c) Comprennent des analyses systématiques des vulnérabilités et des tests d'intrusion adaptés au niveau de risque identifié des services de paiement.

7.5 Les PSP doivent effectuer des tests continus et répétés des mesures de sécurité de leurs services de paiement. Dans le cas des systèmes critiques pour la prestation de leurs services de paiement (tels que décrits dans l'Orientation 3.2), ces tests doivent être réalisés au moins une fois par an.

Les systèmes non critiques doivent être testés périodiquement selon une approche fondée sur les risques, mais, au minimum, tous les trois ans.

7.6 Les PSP doivent surveiller et évaluer les résultats des tests effectués et mettre à jour leurs mesures de sécurité en conséquence et sans retard injustifié dans le cas des systèmes critiques.

8/9

Orientation 8 : Connaissance de la situation et apprentissage continu

Paysage des menaces et connaissance de la situation

8.1 Les PSP doivent établir et mettre en œuvre des processus et des structures organisationnelles pour identifier et surveiller en permanence les menaces opérationnelles et de sécurité susceptibles d'affecter de manière significative leur capacité à fournir les services de paiement.

8.2 Les PSP doivent analyser les incidents opérationnels ou de sécurité qui ont été identifiés ou qui sont survenus au sein ou en dehors de l'entité. Les PSP doivent tenir compte des principaux enseignements tirés de ces analyses et mettre à jour les mesures de sécurité en conséquence.

8.3 Les PSP doivent assurer un suivi actif des évolutions technologiques afin de veiller à être conscients des risques de sécurité.

Programmes de formation et de sensibilisation à la sécurité

8.4 Les PSP doivent établir un programme de formation pour l'ensemble du personnel afin de s'assurer qu'il dispose des connaissances nécessaires pour exercer ses tâches et responsabilités conformément aux politiques et procédures de sécurité pertinentes, dans le but de réduire les erreurs humaines, les vols, les fraudes, les utilisations abusives ou les pertes. Les PSP doivent s'assurer que le programme de formation prévoit la formation du personnel au moins une fois par an, et plus fréquemment si nécessaire.

8.5 Les PSP doivent s'assurer que le personnel exerçant des fonctions clés identifiées conformément à l'Orientation 3.1 reçoivent une formation spécifique en matière de sécurité de l'information une fois par an, ou plus fréquemment si nécessaire.

8.6 Les PSP doivent établir et mettre en œuvre des programmes périodiques de sensibilisation à la sécurité afin de former leur personnel et de traiter les risques liés à la sécurité de l'information. Ces programmes doivent exiger que le personnel du PSP signale toute activité inhabituelle ou tout incident.

Orientation 9 : Gestion de la relation avec les utilisateurs de services de paiement

Sensibilisation des utilisateurs de services de paiement aux risques de sécurité et aux actions de réduction des risques

9.1 Les PSP doivent établir et mettre en œuvre des processus visant à améliorer la sensibilisation des utilisateurs de services de paiement aux risques de sécurité liés aux services de paiement en fournissant une assistance et des conseils à ces utilisateurs.

9.2 L'assistance et les conseils offerts aux utilisateurs de services de paiement doivent être mis à jour à la lumière des nouvelles menaces ou vulnérabilités et les modifications doivent être communiquées à ces utilisateurs.

9.3 Lorsque la fonctionnalité du produit le permet, les PSP doivent permettre aux utilisateurs de services de paiement de désactiver des fonctionnalités spécifiques liées aux services de paiement qu'ils offrent à ces utilisateurs.

9.4 Lorsque, conformément au paragraphe 1 de l'article 68 de la Directive (UE) 2015/2366, un PSP convient avec le payeur d'une limite de dépenses applicable aux opérations de paiement exécutées au moyen d'instruments de paiement spécifiques, le PSP doit offrir au payeur la possibilité d'ajuster ces limites jusqu'à la limite maximale convenue.

9.5 Les PSP doivent offrir aux utilisateurs de services de paiement la possibilité de recevoir des alertes concernant les opérations de paiement initiées et les tentatives infructueuses de les initier afin de leur permettre de détecter l'utilisation frauduleuse ou malveillante de leur compte.

9/9

9.6 Les PSP doivent tenir les utilisateurs de services de paiement informés des mises à jour des procédures de sécurité qui concernent ces utilisateurs en ce qui concerne la prestation de services de paiement.

9.7 Les PSP doivent fournir une assistance aux utilisateurs de services de paiement pour toute question, demande d'aide et notification d'anomalies ou de problèmes liés à des questions de sécurité des services de paiement. Les utilisateurs de services de paiement doivent être dûment informés de la manière dont ils peuvent obtenir cette assistance.