§ 11.

1. Systemy informatyczne firmy inwestycyjnej zabezpiecza się w taki sposób, aby uniemożliwić nieuprawniony dostęp do danych przetwarzanych przez te systemy.

2. Firma inwestycyjna stosuje zabezpieczenia urządzeń uniemożliwiające nieuprawniony dostęp do systemów informatycznych i przetwarzania danych. Firma inwestycyjna opracowuje i wdraża wewnętrzne procedury regulujące dostęp do systemów informatycznych firmy inwestycyjnej oraz kontrolę tego dostępu, zapewniające możliwość jego odtworzenia wraz z historią modyfikacji i przetwarzania danych.

3. Firma inwestycyjna jest obowiązana podejmować działania mające na celu zapewnienie ciągłości obsługi oraz pracy urządzeń i systemów informatycznych wykorzystywanych w prowadzonej działalności, w szczególności poprzez:

1) przeprowadzanie testów w zakresie prawidłowości działania urządzeń i systemów informatycznych w przypadku ich wdrożenia lub modyfikacji, w oparciu o opracowane, wdrożone i stosowane procedury wewnętrzne określające metodologię przeprowadzanych testów;

2) monitorowanie w czasie rzeczywistym oraz dokonywanie okresowych przeglądów i ocen wykorzystywanych urządzeń i systemów informatycznych w celu identyfikowania i eliminacji potencjalnych lub rzeczywistych zakłóceń;

3) zapewnienie wydajności urządzeń i systemów informatycznych w stopniu odpowiadającym skali prowadzonej działalności, racjonalnie przewidywalnego wzrostu skali działalności w najbliższym czasie oraz nadzwyczajnych warunków, które mogłyby zakłócić pracę urządzeń i systemów informatycznych;

4) zapewnienie odpowiednich zasobów kadrowych posiadających stosowne uprawnienia do dostępu do urządzeń i systemów, odpowiednie kwalifikacje oraz wystarczającą ilość czasu na realizację obowiązków;

5) zabezpieczenie urządzeń i systemów informatycznych przed utratą danych spowodowaną awarią zasilania, innymi awariami lub zakłóceniami oraz innymi zdarzeniami losowymi;

6) opracowanie i wdrożenie procedur związanych z wykorzystywaniem urządzeń i systemów informatycznych oraz procedur w zakresie zapewnienia ciągłości działania i zasad zachowania ciągłości działania w przypadku wystąpienia sytuacji nadzwyczajnych;

7) tworzenie, przynajmniej raz dziennie, kopii baz danych i posiadanie niezbędnych narzędzi umożliwiających odtworzenie i wykorzystanie danych oraz podjęcie pracy urządzeń i systemów informatycznych w przypadku awarii lub utraty części lub całości danych w bazach danych na skutek wystąpienia sytuacji nadzwyczajnej;

8) przechowywanie kopii baz danych w miejscu, w którym w przypadku awarii lub utraty części lub całości danych w bazach danych na skutek wystąpienia sytuacji nadzwyczajnej nie dojdzie do utraty kopii baz danych.

4. W związku z wykorzystywaniem urządzeń i systemów informatycznych w prowadzonej działalności firma inwestycyjna jest obowiązana opracować, wdrożyć i stosować odpowiednie rozwiązania zapewniające:

1) możliwość automatycznego odrzucania, blokowania lub anulowania wprowadzonych do systemów zleceń, które nie spełniają wymagań określonych przez przepisy prawa, firmę inwestycyjną lub inny podmiot, w tym spółkę prowadzącą rynek regulowany lub alternatywny system obrotu;

2) informowanie inspektora nadzoru, o którym mowa w § 14 ust. 8, i kierownika jednostki realizującej funkcję zarządzania ryzykiem albo osoby odpowiedzialnej za wdrożenie systemu zarządzania ryzykiem, o którym mowa w § 25 ust. 2, w przypadku zamiaru wykonania lub przekazania w systemach informatycznych zleceń, które zostały zablokowane lub anulowane;

3) zgodność funkcji urządzeń i systemów informatycznych z wymaganiami systemów informatycznych podmiotu, do którego kierowane są zlecenia, w szczególności spółki prowadzącej rynek regulowany lub alternatywny system obrotu oraz podmiotów prowadzących rozliczenie lub rozrachunek transakcji, których uczestnikiem jest firma inwestycyjna.

5. W przypadku prowadzenia przez firmę inwestycyjną rachunków papierów wartościowych, rachunków zbiorczych lub rachunków pieniężnych systemy informatyczne firmy inwestycyjnej powinny gwarantować możliwość tworzenia za okresy nie krótsze niż okresy, w których firma inwestycyjna jest obowiązana do przechowywania danych związanych z prowadzoną działalnością maklerską, odpowiednio historii rachunków papierów wartościowych, rachunków zbiorczych, rachunków pieniężnych i rejestrów operacyjnych, zawierającej chronologiczne zestawienie operacji dokonywanych na tych rachunkach lub rejestrach, w szczególności dane dotyczące:

1) w odniesieniu do rachunku pieniężnego:

a) salda początkowego i końcowego środków pieniężnych za każdy dzień,

b) wpłat na rachunek, z uwzględnieniem wpłat dokonanych w formie przelewu, a w szczególności kwot poszczególnych wpłat, daty i opisu operacji oraz dokumentu źródłowego,

c) wypłat z rachunku, a w szczególności kwot poszczególnych wypłat, daty i opisu operacji oraz dokumentu źródłowego,

d) przelewów środków pieniężnych z rachunku, a w szczególności kwot poszczególnych przelewów, daty i opisu operacji oraz dokumentu źródłowego,

e) środków z rozliczonych w danym dniu transakcji, a w szczególności kwot rozliczonych środków, daty i opisu operacji oraz dokumentu źródłowego,

f) blokady środków pieniężnych w związku ze złożeniem zlecenia kupna instrumentów finansowych, a w szczególności kwot środków objętych blokadą, daty i opisu operacji oraz numeru zlecenia,

g) blokady środków pieniężnych ustanowionej w przypadku innym niż wymieniony w lit. f, a w szczególności kwoty środków objętych blokadą,

h) zniesienia blokady środków pieniężnych w związku z anulowaniem zlecenia kupna instrumentów finansowych, a w szczególności daty i numeru zlecenia,

i) naliczonych odsetek za opóźnienie, a w szczególności daty i opisu operacji;

2) w odniesieniu do rachunku papierów wartościowych i rachunku zbiorczego:

a) salda początkowego i końcowego dla każdego rodzaju instrumentów finansowych za każdy dzień,

b) blokady instrumentów finansowych, a w szczególności liczby instrumentów finansowych objętych blokadą, daty i opisu operacji,

c) nabycia instrumentów finansowych w drodze wykonania zlecenia kupna w obrocie zorganizowanym, a w szczególności daty i numeru zlecenia oraz liczby instrumentów finansowych,

d) nabycia instrumentów finansowych poza obrotem zorganizowanym, a w szczególności liczby instrumentów finansowych, daty i opisu operacji oraz dokumentu źródłowego,

e) zbycia instrumentów finansowych w drodze wykonania zlecenia sprzedaży w obrocie zorganizowanym, a w szczególności daty i numeru zlecenia oraz liczby instrumentów finansowych,

f) zbycia instrumentów finansowych poza obrotem zorganizowanym, a w szczególności daty i numeru zlecenia oraz liczby instrumentów finansowych,

g) przeniesienia instrumentów finansowych na inny rachunek papierów wartościowych lub rachunek zbiorczy należący do tego samego podmiotu, a w szczególności liczby instrumentów finansowych, daty i opisu operacji oraz dokumentu źródłowego.

6. Przepisy ust. 5 pkt 2 stosuje się odpowiednio w przypadku rejestrowania przez firmę inwestycyjną instrumentów finansowych w sposób inny niż na rachunkach papierów wartościowych lub na rachunkach zbiorczych.

7. W przypadku przechowywania instrumentów finansowych systemy informatyczne firmy inwestycyjnej powinny gwarantować możliwość rejestrowania danych umożliwiających identyfikację instrumentów finansowych będących przedmiotem poszczególnych operacji.

8. Firma inwestycyjna przyjmująca i przekazująca zlecenia klientów lub wykonująca zlecenia klientów przekazywane za pomocą telefonu, telefaksu, innych urządzeń technicznych lub elektronicznych nośników informacji zapewnia:

1) poufność składanych zleceń, a w szczególności zabezpieczenie ich przed odsłuchaniem lub odczytaniem przez osoby nieupoważnione;

2) integralność składanych zleceń, a w szczególności zabezpieczenie ich przed modyfikacją lub usunięciem przez osoby nieupoważnione;

3) zabezpieczenie przed możliwością ich składania przez osoby nieuprawnione, w szczególności przez ustalenie odrębnego identyfikatora lub hasła dla każdego klienta;

4) rejestrację daty, godziny, minuty otrzymania zlecenia i informacji przekazywanych lub otrzymywanych przez firmę inwestycyjną w związku z otrzymaniem zlecenia.

9. Firma inwestycyjna, o której mowa w ust. 8, dokłada należytej staranności w celu zapewnienia sprawnej obsługi klientów w zakresie przyjmowania i przekazywania zleceń lub wykonywania zleceń przekazywanych za pomocą telefonu, telefaksu, innych urządzeń technicznych lub elektronicznych nośników informacji.

10. Firma inwestycyjna może przyjmować zlecenia składane za pomocą telefonu, telefaksu lub innych urządzeń technicznych po uprzedniej, zgodnej z zasadami ustalonymi między firmą inwestycyjną i klientem, identyfikacji osoby składającej zlecenie. W przypadku gdy zlecenia mają być składane przez pełnomocnika, firma inwestycyjna może ustalić z tym pełnomocnikiem sposób identyfikacji osoby, w imieniu której pełnomocnik będzie składał zlecenia.

11. Przepisów ust. 1-10 nie stosuje się do zagranicznej firmy inwestycyjnej.

12. Do banku powierniczego w zakresie:

1) systemów informatycznych służących do prowadzenia rachunków papierów wartościowych lub rachunków zbiorczych - stosuje się odpowiednio ust. 1-3 oraz ust. 5 pkt 2;

2) przyjmowanych dyspozycji - stosuje się odpowiednio ust. 8 i 9.