Rozporządzenie DORA w sprawie odporności operacyjnej – czym jest i jakie ma znaczenie dla sektora finansowego oraz zarządzania ryzykiem związanym z ICT

Rozporządzenie DORA (Digital Operational Resilience Act) zostało przyjęte przez Parlament Europejski i Radę w celu wprowadzenia jednolitych zasad dotyczących odporności operacyjnej instytucji finansowych. Rozporządzenie DORA ma na celu konsolidację i ujednolicenie dotychczas rozproszonych przepisów w zakresie zarządzania ryzykiem związanym z ICT.

W praktyce oznacza to, że wszystkie podmioty sektora finansowego i zmieniające rozporządzenia w tym obszarze muszą spełniać takie same wymogi w zakresie bezpieczeństwa systemów informatycznych i reagowania na incydenty cybernetyczne.

Rozporządzenie DORA a odporność operacyjna

Cel niniejszego rozporządzenia został jasno określony – chodzi o osiągnięcie wysokiego poziomu operacyjnej odporności cyfrowej w odniesieniu do regulowanych podmiotów finansowych.

Operacyjna odporność cyfrowa to inaczej zdolność instytucji do zapewnienia ciągłości działania i utrzymania jakości usług finansowych nawet w przypadku poważnych incydentów związanych z ICT.

Brak odporności operacyjnej mogą zagrozić dobrej kondycji rynku finansowego, dlatego przepisy DORA koncentrują się na tym, aby podmioty finansowe mogły skutecznie zarządzać ryzykiem ze strony zewnętrznych dostawców usług ICT oraz samodzielnie testować swoje procedury w zakresie operacyjnej odporności cyfrowej.

Rozporządzenie DORA i jego praktyczne znaczenie

Rozporządzenie DORA weszło w życie, aby zwiększyć operacyjną odporność cyfrową podmiotów i całego sektora finansowego. Instytucje kredytowe, firmy inwestycyjne, instytucje płatnicze, podmioty sektora finansowego i zmieniające rozporządzenia dotyczące kryptoaktywów czy depozytów papierów wartościowych – wszystkie one muszą dostosować się do nowych regulacji.

W praktyce oznacza to wdrożenie ram zarządzania ryzykiem związanym z ICT, które obejmują m.in. obowiązek zgłaszania poważnych incydentów, testowania operacyjnej odporności cyfrowej oraz monitorowania ryzyka. Warto zauważyć, że przepisy DORA są powiązane z innymi regulacjami Unii Europejskiej, takimi jak dyrektywa NIS 2, która ma na celu wzmocnienie bezpieczeństwa sieci i systemów informatycznych w całej UE.

Kluczowe elementy operacyjnej odporności cyfrowej sektora

Rozporządzenie nie nakłada na podmioty jedynie dodatkowych formalności, ale tworzy integralną część ram zarządzania ryzykiem. Zgodnie z przepisami dotyczącymi zarządzania ryzykiem związanym z ICT instytucje finansowe muszą posiadać kompleksowy program testowania operacyjnej odporności cyfrowej stanowiący integralną część ram zarządzania ryzykiem.

Taki program obejmuje m.in. zarządzanie incydentami oraz szczegółowe informacje dotyczące zgłaszania poważnych incydentów. Ważnym aspektem jest także współpraca z zewnętrznymi dostawcami usług ICT, w tym kluczowymi dostawcami, których usługi wspierające krytyczne lub istotne funkcje muszą podlegać szczególnym zasadom.

Cyfrowa odporność sektora finansowego i zmieniające przepisy nadzoru

Rozporządzenie DORA tworzy jednolity system, który pozwala organom nadzoru finansowego skuteczniej monitorować ryzyka ze strony zewnętrznych dostawców mających siedzibę zarówno w Unii Europejskiej, jak i poza nią.

Strony umów są zobowiązane do zawierania w kontraktach regulacji dotyczących korzystania z usług ICT wspierających krytyczne funkcje. Rozporządzenie powinno umożliwiać państwom członkowskim nadzór i inne odpowiednie rodzaje współpracy w tym zakresie, aby zapewnić spójność w całej Unii Europejskiej.

Uproszczone ramy zarządzania ryzykiem związanym z ICT

W związku z tym niniejsze rozporządzenie ma na celu nie tylko wzmocnienie odporności cyfrowej i bezpieczeństwa ICT, ale również konsolidację przepisów dotyczących zarządzania ryzykiem. Uproszczone ramy zarządzania ryzykiem związanym z ICT ułatwią podmiotom finansowym dostosowanie się do nowych wymagań.

Co ważne, przepisy DORA nie ograniczają się do samego reagowania na kryzysy – nakładają obowiązek prowadzenia działań prewencyjnych, takich jak szkoleń w zakresie operacyjnej odporności czy program testowania operacyjnej odporności cyfrowej. W tym kontekście coraz większe znaczenie ma również podnoszenie poziomu cyberbezpieczeństwa, które jest kluczowym elementem stabilności rynku finansowego. Warto pamiętać, że zagrożenia wynikające z cyberataków wpisują się także w szersze zjawiska, takie jak wojna hybrydowa, w której ataki cyfrowe stanowią istotny element strategii destabilizacyjnych.

Harmonogram wdrożenia i okres przejściowy

Rozporządzenie DORA weszło w życie w styczniu 2023 roku, jednak zacznie być stosowane od 17 stycznia 2025 roku. Instytucje finansowe mają więc okres przejściowy na dostosowanie swoich procedur, wdrożenie nowych systemów zarządzania ryzykiem ICT oraz podpisanie odpowiednich umów z dostawcami usług ICT.

Obowiązki instytucji finansowych

Wśród kluczowych obowiązków nakładanych przez DORA znajdują się:

• klasyfikacja i zgłaszanie incydentów ICT w określonych terminach,
• opracowanie planów ciągłości działania (Business Continuity Plans, BCP),
• przeprowadzanie regularnych testów penetracyjnych i audytów bezpieczeństwa,
• monitorowanie ryzyka związanego z podwykonawcami i dostawcami ICT,
• wdrażanie procedur zarządzania incydentami oraz szybkiego reagowania na kryzysy.

Konsekwencje nieprzestrzegania przepisów

Naruszenie obowiązków wynikających z rozporządzenia DORA może skutkować:

• wysokimi karami finansowymi,
• ograniczeniem zakresu działalności podmiotu finansowego,
• a w skrajnych przypadkach nawet cofnięciem licencji.

Organy nadzorcze państw członkowskich otrzymały narzędzia do skutecznego egzekwowania przepisów oraz nakładania sankcji.

Korzyści dla rynku i klientów

Wdrożenie rozporządzenia DORA ma przynieść wymierne korzyści zarówno instytucjom finansowym, jak i ich klientom. Do najważniejszych należą:

• zwiększenie zaufania do sektora finansowego,
• ograniczenie strat finansowych wynikających z cyberataków,
• lepsza ochrona danych klientów,
• większa stabilność i przewidywalność funkcjonowania rynku finansowego.

Odporność operacyjna jako fundament rynku finansowego

Opisywane w tym tekście rozporządzenie DORA w sprawie operacyjnej odporności cyfrowej sektora zostało stworzone, aby pomóc społeczności sektora finansowego zapobiegać cyberzagrożeniom i minimalizować ryzyka związane z usługami ICT na rzecz podmiotów finansowych.

Dzięki wdrożeniu jednolitych standardów operacyjnej odporności cyfrowej podmiotów finansowych możliwe jest osiągnięcie wysokiego poziomu operacyjnej odporności cyfrowej oraz niezwłocznego wdrażania środków naprawczych w przypadku incydentów. Taki stan rzeczy sprawia, że rozporządzenie DORA zapewnia stabilność, przewidywalność i bezpieczeństwo dla całego systemu finansowego w Unii Europejskiej.