Reporting Requirements under Information and Cyber Security Policy Guidelines
PFRDA circular पीएफआरडीए/2026/05/एसयूपी-पीओपी/01 · 15 Jan 2026
Official title
Reporting requirement under Information and Cyber Security Policy Guidelines issued by PFRDA
PFRDA circular पीएफआरडीए/2026/05/एसयूपी-पीओपी/01 · 15 Jan 2026
Official title
Reporting requirement under Information and Cyber Security Policy Guidelines issued by PFRDA
Summary
Check the official recordThe PFRDA has established updated reporting requirements for Points of Presence (POPs) and non-individual retirement advisers under the Information and Cyber Security Policy Guidelines. Entities are classified into Category-I (Pension Funds registered as POPs) and Category-II (POPs including APY-SPs and non-individual retirement advisers). Affected entities must submit an annual compliance certificate within 30 days of the financial year-end. Additionally, all cyber incidents must be reported to PFRDA via email. Category-I POPs are further required to submit quarterly reports on cyber incidents and corrective measures, and must file their board-approved cyber security policy within 30 days of approval. These requirements apply to reports submitted on or after 1 April 2026, superseding the 2020 circular.
What you must do
Key dates
Who is affected
पेंशन निधि विनियामक और विकास प्राधिकरण PENSION FUND REGULATORY AND DEVELOPMENT AUTHORITY
परिपत्र
परिपत्र संख्या :- पीएफआरडीए/2026/05/एसयूपी-पीओपी/01 दिनांक : 15 जनवरी 2026
प्रति, राष्ट्रीय पेंशन प्रणाली (एनपीएस), एनपीएस-लाईट एवं एपीवाई के अंतर्गत सभी पीओपी सभी गैर-वैयक्तिक सेवानिवृत्ति सलाहकार
विषय : पीएफआरडीए द्वारा जारी सूचना एवं साइबर सुरक्षा नीति दिशानिर्देशों के अंतर्गत रिपोर्टिंग आवश्यकताएँ
यह पीएफआरडीए द्वारा जारी परिपत्र संख्या पीएफआरडीए/2024/14/आईसीएस/01 दिनांक 01 अगस्त 2024, को जारी “मध्यवर्तियों/विनियमित संस्थाओं (आरई) के लिए सूचना एवं साइबर सुरक्षा नीति दिशानिर्देश–2024” के संदर्भ में है। उक्त दिशानिर्देशों के प्रयोजन हेतु, मध्यवर्तियों/विनियमित संस्थाओं (आरई) को निम्नलिखित दो श्रेणियों में वर्गीकृत किया गया है: (i) श्रेणी–I– पेंशन फंड जो पीओपी के रूप में पंजीकृत हैं; तथा (ii) श्रेणी–II – पीओपी जिनमें एपीवाई-एसपी तथा गैर-वैयक्तिक सेवानिवृत्ति सलाहकार सम्मिलित हैं।
उक्त दिशानिर्देशों के अनुपालन में, मध्यवर्ती / विनियमित संस्थाएँ (पीओपी एवं गैर-वैयक्तिक आरए) संबंधित वित्तीय वर्ष के लिए अनुलग्नक–I एवं अनुलग्नक–II में संलग्न प्रारूप के अनुसार अनुपालन प्रमाणपत्र, उक्त वित्तीय वर्ष की समाप्ति से 30 दिनों के भीतर प्रस्तुत करेंगी।
इसके अतिरिक्त, CERT-In को रिपोर्टिंग (किसी भी साइबर दुर्घटना की स्थिति में) के अलावा, सभी पीओपी (एपीवाई-एसपी सहित) एवं गैर-वैयक्तिक आरए, दिनांक 01 अगस्त 2024 के दिशानिर्देशों में उल्लिखित साइबर दुर्घटनाओं को अनिवार्य रूप से पीएफआरडीए को ई-मेल आईडी reports-pop-@pfrda.org.in पर विषय पंक्ति “साइबर दुर्घटना की रिपोर्टिंग” के साथ, उक्त दिशानिर्देशों में निर्धारित समयसीमा एवं प्रारूप के अनुसार रिपोर्ट करेंगे। इसके अतिरिक्त, श्रेणी–I पीओपी को साइबर घटनाओं पर त्रैमासिक आधार पर, उठाए गए सुधारात्मक उपायों के विवरण सहित, पीएफआरडीए को रिपोर्ट प्रस्तुत करना अनिवार्य होगा।
श्रेणी–I पीओपी को अपने साइबर सुरक्षा नीति दस्तावेज़, जिसे बोर्ड द्वारा समीक्षा एवं अनुमोदन प्राप्त हो, ऐसे अनुमोदन की तिथि से 30 दिनों के भीतर प्राधिकरण को प्रस्तुत करना होगा।
संशोधित रिपोर्टिंग प्रारूप वित्तीय वर्ष 2025-26 से लागू होगा तथा यह परिपत्र संख्या पीएफआरडीए/2020/13/SUP-POP/2 दिनांक 21 अप्रैल 2020 का स्थान लेगा। तदनुसार, 1 अप्रैल 2026 या उसके पश्चात प्रस्तुत की जाने वाली सभी रिपोर्टें संशोधित प्रारूप में ही प्रस्तुत की जाएँगी।
-Sd/- (आशीष कुमार) मुख्य महाप्रबंधक
संलग्नक : अनुलग्नक–I एवं अनुलग्नक–II
अनुलग्नक – I
वित्तीय वर्ष ________ हेतु श्रेणी–I PoPs के लिए साइबर सुरक्षा अनुपालन प्रमाणपत्र
(प्राधिकरण द्वारा समय-समय पर निर्दिष्ट माध्यमों से, वित्तीय वर्ष की समाप्ति से 30 कैलेंडर दिनों के भीतर पीओपी द्वारा प्रस्तुत किया जाना है)
यह प्रमाणित किया जाता है कि _________________________________(पीओपी का नाम), जो पेंशन निधि विनियामक और विकास प्राधिकरण (पीएफआरडीए) के साथ पंजीकरण संख्या __________________ के अंतर्गत पंजीकृत है, ने बोर्ड द्वारा अनुमोदित सूचना एवं साइबर सुरक्षा नीति को अपनाया गया है तथा पीएफआरडीए द्वारा जारी सूचना एवं साइबर सुरक्षा नीति दिशानिर्देशों को डेटा, सूचना एवं आईटी प्रणालियों की सुरक्षा हेतु अनुपालित किया गया है।
इसके अतिरिक्त, पीएफआरडीए द्वारा जारी दिशानिर्देशों के अनुसार साइबर सुरक्षा ऑडिट कराया गया है तथा ऑडिट रिपोर्ट में अनुशंतसित सभी सुधारात्मक उपाय विधिवत रूप से लागू किए गए हैं। यदि कोई साइबर घटना हुई है, तो उसे पीएफआरडीए की सूचना एवं साइबर सुरक्षा नीति के अनुसार, CERT-In एवं पीएफआरडीए को रिपोर्ट किया गया है। पीओपी द्वारा साइबर घटनाओं पर त्रैमासिक आधार पर, उठाए गए सुधारात्मक उपायों के विवरण सहित, पीएफआरडीए को रिपोर्ट भी प्रस्तुत की गई है।
यह भी प्रस्तुत किया जाता है कि सूचना एवं साइबर सुरक्षा नीति को बोर्ड द्वारा दिनांक ____________ को अनुमोदित किया गया था तथा इसकी अंतिम समीक्षा दिनांक _______________ को की गई थी। समीक्षित एवं अनुमोदित साइबर सुरक्षा नीति को विनियमित संस्था (आरई) के बोर्ड द्वारा अनुमोदन के 30 दिनों के भीतर पीएफआरडीए को प्रस्तुत किया गया है।