RBI ने 5 नवंबर 2026 को गैर-बैंक Payment System Operators (PSOs) के लिए Cyber Resilience और Digital Payment Security से जुड़ी consolidated Master Directions सूचीबद्ध कीं। इनमें system audit, vendor security और third-party ATM switch से जुड़े नियम एक जगह रखे गए हैं। ये निर्देश सीधे हर बैंक पर लागू नया आदेश नहीं हैं; कई सुरक्षा शर्तें पहले से मौजूद नियमों का हिस्सा भी रही हैं।

स्थितिNotified

RBI ने क्या जारी किया?

Reserve Bank of India (RBI) ने 5 नवंबर 2026 को non-bank Payment System Operators (PSOs) के लिए Cyber Resilience और Digital Payment Security Controls की Master Directions अपने notifications पेज पर सूचीबद्ध कीं। इनमें payment-system की साइबर सुरक्षा, annual system audit और third-party ATM switch service providers से संबंधित शर्तों को एक ही framework में समेटा गया है। प्रकाशित रिपोर्ट में सर्कुलर का नंबर RBI/DPSS/2026-27/475 बताया गया है। RBI की आधिकारिक वेबसाइट पर निर्देश का शीर्षक और प्रकाशन दिखाई देता है। नीचे दिए गए विस्तृत बिंदु Business Standard और ETBFSI की सीधे देखी गई रिपोर्टों पर आधारित हैं, क्योंकि मूल पूरे दस्तावेज की हर धारा इस समीक्षा में स्वतंत्र रूप से नहीं पढ़ी जा सकी।

यह consolidated framework है। इसका मतलब यह नहीं कि नवंबर में बताई गई हर शर्त पहली बार लागू हुई है। सुरक्षा, ग्राहक भुगतान और incident reporting के कुछ नियम पहले से भी चल रहे थे। बैंक की compliance टीम को पुराने और नए प्रावधान अलग-अलग जांचने चाहिए।

किस पर लागू होते हैं ये निर्देश?

रिपोर्ट में National Payments Corporation of India (NPCI), card networks, payment aggregators, कुछ prepaid payment instrument issuers और white-label ATM operators जैसे authorised non-bank PSO का उल्लेख है। ये संस्थाएं बैंकों और बैंक ग्राहकों के payment सिस्टम से जुड़ी होती हैं। फिर भी non-bank PSO का अर्थ scheduled commercial bank या regional rural bank नहीं है।

रिपोर्ट किए गए commencement नियमों के अनुसार बड़े और मध्यम non-bank PSO पर consolidated directions RBI वेबसाइट पर 5 नवंबर 2026 को प्रकाशित होने के समय से लागू हैं। छोटे PSO के लिए 1 अप्रैल 2028 की तारीख बताई गई है। इस अलग समय-सीमा को बैंक की अपनी साइबर सुरक्षा जिम्मेदारियों में छूट नहीं समझना चाहिए।

नियमों में किन कामकाजी बातों पर जोर है?

  • Annual system audit: ऑपरेटर को वित्त वर्ष खत्म होने के दो महीने के भीतर audit report देनी होगी। Audit में निकली कमियों को समय से दूर करना होगा। Business Standard के अनुसार लंबित observations के लिए अधिकतम तीन महीने का प्रावधान बताया गया है।
  • Vendor और application security: किसी जरूरी application का source code तीसरे पक्ष से लिया गया हो, तो code की उपलब्धता या उसे सुरक्षित रखने के लिए escrow जैसी व्यवस्था जरूरी बताई गई है। Updates और vulnerabilities की जांच भी अहम है।
  • ATM switching: बाहर की कंपनी से ATM switch सेवा लेने वाले white-label ATM operators को contractual security, निगरानी और supervisory access की व्यवस्था सुनिश्चित करनी होगी।
  • Incident और continuity: cyber incident escalation, access management, system monitoring और recovery plans को framework में शामिल किया गया है।
  • Payment safeguards: छह घंटे के भीतर कुछ cyber घटनाओं की reporting और registered mobile number या email बदलने के बाद कम-से-कम 12 घंटे के cooling-off period जैसी शर्तें जारी रहने की बात रिपोर्ट में कही गई है। इन्हें बिना जांचे बिल्कुल नया नियम नहीं बताना चाहिए।

किस operator पर कौन-सी शर्त लागू है और वास्तविक कानूनी शब्द क्या हैं, यह मूल RBI निर्देश से मिलान करना जरूरी है। केवल news summary देखकर compliance register में बदलाव करना उचित नहीं होगा।

बैंक कर्मचारियों के लिए वास्तविक मायने

बैंक की payment operations, card, ATM, digital banking, vendor management और information-security टीमें non-bank PSO के साथ काम करती हैं। ऐसे में partner contracts, incident contacts, audit assurance, reconciliation और business-continuity प्रक्रियाओं की समीक्षा उपयोगी हो सकती है। Branch कर्मचारियों को ग्राहक शिकायत या fraud के लिए अपने बैंक की मंजूर escalation प्रक्रिया ही अपनानी चाहिए। इस आदेश से हर शाखा पर अलग PSO audit जमा करने की जिम्मेदारी नहीं आ जाती।

दो बातों में फर्क जरूरी है: सीधे लागू होने वाला regulatory rule non-bank operator के लिए हो सकता है, जबकि कामकाजी असर उस नेटवर्क से जुड़े बैंक पर पड़ सकता है। बैंक के अपने पहले से लागू RBI निर्देश अलग से मान्य रहते हैं।

मूल दस्तावेज और पुष्टि की सीमा

RBI का official notification listing और दो समाचार रिपोर्ट इस निर्देश के अस्तित्व, तारीख तथा व्यापक दायरे की पुष्टि करते हैं। लेकिन पूरे मूल दस्तावेज की हर धारा इस रन में स्वतंत्र रूप से नहीं पढ़ी जा सकी। इसलिए यह खबर स्रोतों के हवाले से तैयार जानकारी है, पूर्ण कानूनी सलाह या Master Direction का प्रमाणित शब्दशः पाठ नहीं।

स्रोत और संदर्भ

  1. Reserve Bank of India — official notification listing — Master Directions on Cyber Resilience and Digital Payment Security Controls for non-bank Payment System Operators
  2. Business Standard — RBI tightens cyber oversight of non-bank payment system operators
  3. ETBFSI — RBI tightens cybersecurity norms for non-bank payment operators, mandates six-hour incident reporting

गलती की जानकारी दें

इस रिपोर्ट के बारे में
स्रोत देखें, लागू होने की स्थिति जांचें और किसी गलती की जानकारी हमें दें।