Rozporządzenie DORA to kolejna regulacja dotycząca cyberbezpieczeństwa unijnego sektora finansowego. Jej zapisy zwiększają odporność instytucji finansowych na możliwe incydenty i w konsekwencji pozwalają lepiej chronić pieniądze i dane konsumentów. Nowe regulacje obejmą także dostawców technologii informacyjno-komunikacyjnych (ICT) dla wspomnianego sektora. Jak przygotować się do nowych przepisów? Co grozi za niedostosowanie się do wymagań z rozporządzenia DORA? Wyjaśniamy w artykule.
Zamów kontakt
- O czym jest rozporządzenie DORA? Dlaczego powstało?
- Kiedy rozporządzenie DORA wchodzi w życie?
- Projekt ustawy z kwietnia 2024 – dlaczego zmiany są konieczne?
- Kogo obejmie rozporządzenie DORA? Jak je wdrożyć w firmie?
- Jakie kary grożą za nieprzestrzeganie rozporządzenia DORA?
- Wdrożenie wymagań DORA razem z Netią
O czym jest rozporządzenie DORA? Dlaczego powstało?
Cyfryzacja sektora finansowego przynosi klientom i pracownikom liczne udogodnienia. Według danych Związku Banków Polskich na koniec 2023 roku aż 21,7 mln użytkowników korzystało z bankowych aplikacji mobilnych, a 22,7 mln z bankowości internetowej. Takie rozwiązania to jednak nie tylko wygoda – wiążą się one również z zupełnie nowymi zagrożeniami. Według raportu firmy Check Point Software Technologies polskie banki są atakowane w cyberprzestrzeni ponad 1100 razy tygodniowo. W obliczu tych zagrożeń obecne przepisy dotyczące cyberbezpieczeństwa sektora finansowego są niewystarczające, a ich zmiana, wyłącznie na poziomie krajowym, pogłębiłaby rozbieżności legislacyjne w stosunku do regulacji unijnych. Z tego powodu unijni ustawodawcy opracowali rozporządzenie DORA (ang. Digital Operational Resilience Act).
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011, czyli rozporządzenie DORA, to akt prawny, który ma na celu osiągniecie wysokiego poziomu operacyjnej odporności cyfrowej podmiotów z sektora finansowego oraz firm świadczących dla nich usługi z zakresu ICT. Objęte tymi przepisami podmioty muszą posiadać zdolność do reagowania i zapobiegania sytuacjom kryzysowym oraz zakłóceniom w działaniach ich systemów.
Dokument obejmuje ustalenia dotyczące:
- zarządzania ryzykiem związanym z ICT,
- zarządzania incydentami związanymi z ICT,
- sposobu zgłaszania incydentów,
- testowania operacyjnej odporności cyfrowej,
- wymiany informacji między podmiotami i organami nadzorczymi,
- nadzoru, w tym uprawnienia organów nadzorczych oraz ich obowiązki,
- przepisów ws. nakładania kar.
DORA jest rozporządzeniem, a więc nowe przepisy będą obowiązywały bezpośrednio we wszystkich państwach członkowskich UE bez konieczności tworzenia wewnętrznych interpretacji. Używane przez niektórych określenie „dyrektywa DORA” jest błędne i wynika ze złego zrozumienia kategorii aktów prawnych UE.
DORA jako element systemu cyberbezpieczeństwa
Filarami unijnego cyberbezpieczeństwa operatorów usług kluczowych i krytycznych są dyrektywy NIS2 i CER. Obydwa akty prawne odwołują się do tej samej listy podmiotów, ale dyrektywa CER wykracza poza kwestie związane z cyberbezpieczeństwem.
Rozporządzenie DORA jest aktem sektorowym, który obejmuje wyłącznie podmioty finansowe i ma bardziej szczegółowy charakter w porównaniu do wspomnianych dokumentów. Jest niejako uzupełnieniem takich aktów prawnych, jak dyrektywy NIS/NIS2 i rozporządzenie RODO. W przyszłości można spodziewać się kolejnych sektorowych aktów prawnych regulujących kwestie związane z cyberbezpieczeństwem.
Inne sektory także starają się uodpornić na ataki cybernetyczne. Na przykład w branży automotive stosowany jest mechanizm oceny i wymiany informacji dotyczących bezpieczeństwa TISAX.
To właśnie NIS/NIS2 stworzyły fundament do uchwalenia polskiej ustawy o Krajowym Systemie Cyberbezpieczeństwa. Dotyczy ona wszystkich dostawców kluczowych usług o krytycznym znaczeniu dla funkcjonowania państwa.
Sprawy związane z cyberbezpieczeństwem instytucji finansowych w Polsce regulowały dotąd głównie dyrektywa PSD2 oraz Rekomendacja D wydana w 2002 roku przez Komisję Nadzoru Finansowego. Rekomendacja D została podzielona na 4 obszary rozwoju środowiska w kierunku poprawy bezpieczeństwa, a nadchodzące zmiany związane z DORA powinny uszczelnić przede wszystkim luki obowiązujących przepisów, wynikające z niedostatecznego poziomu zarządzania ryzykiem.
Kiedy rozporządzenie DORA wchodzi w życie?
Projekt regulacji DORA powstał 24 września 2020 roku. Parlament Europejski zatwierdził go 10 listopada 2022 roku, a już 28 listopada przyjęła go także Rada Europejska. Przepisy weszły w życie 16 stycznia 2023 roku. Unijni prawodawcy przewidzieli 24-miesięczny okres vacatio legis – przepisy zaczną obowiązywać od 17 stycznia 2025 roku.
Projekt ustawy z kwietnia 2024 – dlaczego zmiany są konieczne?
W kwestii przepisów DORA w Polsce uprawnionym organem nadzorczym jest Komisja Nadzoru Finansowego. Wdrożenie rozporządzenia DORA wymaga nadania jej dodatkowych uprawnień, stąd szereg zmian legislacyjnych zostało zaproponowanych w kwietniu 2024 roku. W ich wyniku KNF otrzyma niezbędne narzędzia prawne do sprawowania bieżącego nadzoru, przeprowadzania kontroli i dochodzeń oraz nakładania sankcji karnych.
Obecne regulacje prawne dotyczące odporności cyfrowej nie są ujednolicone – znajdują się w odrębnych dokumentach, np. ustawach dotyczących konkretnych rodzajów usług finansowych lub podmiotów. Ujednolicenie rozproszonych przepisów to kolejny cel zmian ustawowych. Dzięki temu krajowy system prawny będzie zgodny z innymi aktami prawnymi dotyczącymi cyberbezpieczeństwa. Jeśli chodzi o dostosowanie krajowych przepisów do wymagań DORA, 2024 rok to dopiero początek działań polskiego ustawodawcy. W projekcie ustawy przewidziano, że procedura legislacyjna zamknie się w terminie ustalonym w rozporządzeniu.
Kogo obejmie rozporządzenie DORA? Jak je wdrożyć w firmie?
Akt prawny DORA na tle innych regulacji sektora finansowego wyróżnia się tym, że obejmuje także dostawców usług ICT dla podmiotów finansowych. Stało się to konieczne ze względu na upowszechnienie się outsourcingu usług ICT i niewystarczający zakres regulacji krajowych.
Kogo dotyczy DORA? Precyzuje to art. 2 ust. 1 rozporządzenia:
1. Instytucje kredytowe.
2. Instytucje płatnicze.
3. Dostawcy świadczący usługi dostępu do informacji o rachunkach.
4. Instytucje pieniądza elektronicznego.
5. Firmy inwestycyjne.
6. Usługodawcy działający na rynku kryptowalut.
7. Centralne depozyty papierów wartościowych.
8. Kontrahenci centralni.
9. Systemy obrotu.
10. Repozytoria transakcji.
11. Organizacje zarządzające alternatywnymi funduszami inwestycyjnymi.
12. Spółki zarządzające.
13. Dostawcy usług w zakresie udostępniania informacji.
14. Zakłady ubezpieczeń i zakłady reasekuracji.
15. Pośrednicy ubezpieczeniowi.
16. Instytucje pracowniczych programów emerytalnych.
17. Agencje ratingowe.
18. Administratorzy kluczowych wskaźników referencyjnych.
19. Dostawcy usług finansowania społecznościowego.
20. Repozytoria sekurytyzacji.
21. Zewnętrzni dostawcy usług ICT dla wymienionych podmiotów.
Wdrożenie przepisów DORA wymaga, aby podmioty traktowały bezpieczeństwo cybernetyczne w sposób holistyczny. Muszą one przygotować i wdrożyć nowe procedury związane m.in. z zapobieganiem, wykrywaniem i zgłaszaniem incydentów oraz przywracaniem sprawności. W tym złożonym i trudnym procesie warto skorzystać z pomocy specjalistów od cyberbezpieczeństwa.
Jakie kary grożą za nieprzestrzeganie rozporządzenia DORA?
Podmioty objęte nowymi regulacjami mają obowiązek zastosować się do nich w całości i w ustalonym terminie. Za nieprzestrzeganie wynikających z rozporządzenia przepisów organ nadzorczy może nałożyć kary finansowe:
- w przypadku osoby fizycznej - w wysokości do 3 042 410 zł,
- w przypadku osób prawnych lub jednostek organizacyjnych nieposiadających osobowości prawnej w wysokości:
◦ 10% składki przypisanej brutto w przypadku zakładów ubezpieczeń i zakładów reasekuracji,
◦ do 20 869 500 zł.
Dokładna wysokość obciążenia będzie zależna od charakteru naruszenia oraz jego skutków dla podmiotu i sektora finansowego. Maksymalna wysokość kar nakładanych przez KNF została ustalona w nowelizacji Ustawy o KSC i jest niezależna od kursu euro. Organ nadzorczy może także nakazać zaprzestania konkretnych działań lub zakazać osobie odpowiedzialnej za naruszenie pełnienia funkcji członka zarządu lub rady nadzorczej podmiotu na okres od miesiąca do roku.
Wdrożenie wymagań DORA razem z Netią
Rozporządzenie DORA ma na celu poprawę poziomu cyberbezpieczeństwa podmiotów z sektora finansowego i jest jednym z elementów dużej strategii. Obejmuje także zewnętrznych dostawców usług ICT dla tego sektora. Podmioty muszą wprowadzić zmiany dotyczące pięciu filarów cyberbezpieczeństwa:
- zarządzania ryzykiem ICT,
- działań związanych z incydentami ICT,
- testowania cyfrowej odporności operacyjnej,
- zarządzania ryzykiem związanym z outsourcingiem usług ICT,
- udostępniania informacji.
Niedostosowanie się do nowych przepisów będzie skutkowało nałożeniem kar finansowych. Jak ich uniknąć? Specjaliści Netii przeprowadzą szczegółowy audyt zgodności, na podstawie którego ocenią, w jakim stopniu firma spełnia wymagania DORA. Następnie pomogą wdrożyć wszystkie potrzebne zmiany, dzięki którym podmiot będzie w całości dostosowany do nowych przepisów.
Netia Security Operations Center to interdyscyplinarny zespół specjalistów, którzy pomogą zweryfikować występujące w Twojej organizacji rozbieżności pomiędzy wymaganiami DORA, a aktualnie stosowanymi zabezpieczeniami i politykami. Wdrożą konieczne zmiany, a także poprowadzą aktywny monitoring sieci z wykorzystaniem skutecznych systemów SIEM/SOAR, błyskawicznie reagując na incydenty.
Netia oddaje do dyspozycji klientom biznesowym również inne usługi z zakresu cyberbezpieczeństwa, takie jak ochrona poczty elektronicznej i DDoS Protection. Pomagają one w zapewnieniu zgodności z obowiązującymi przepisami i zwiększają odporność cyfrową.
Formularz kontaktowy
Zostaw swoje dane kontaktowe, a nasz przedstawiciel handlowy
wkrótce skontaktuje się z Tobą
Formularz kontaktowy
Zostaw swoje dane kontaktowe, a nasz przedstawiciel handlowy
wkrótce skontaktuje się z Tobą
Inne formy kontaktu
-
Infolinia dla nowych klientów
(Codziennie 8:00 - 18:00) +48 22 35 81 550 -
Obsługa klienta i wsparcie techniczne
(Dostępne 24/7) 801 801 999
biznes@netia.pl -
Adres korespondencyjny Netia S.A.
skr. pocztowa nr 597
40-950 Katowice S105
Polecane treści:
English