Czym jest DORA i co reguluje? Szczegółowe wprowadzenie do cyfrowej odporności sektora finansowego

ICT (Information and Communication Technologies)  to szerokie pojęcie, które obejmuje wszelkie technologie używane do przetwarzania, przechowywania, przesyłania i zabezpieczania informacji. Na gruncie rozporządzenia DORA, ICT będące przedmiotem jego regulacji to w szczególności wszelkie technologie stosowane w bankowości, świadczeniu usług finansowych w ogóle, e-commerce, komunikacji,  rzez podmioty realizujące płatności elektroniczne, sektor ubezpieczeń, czy dostawców usług back-office, a także dostawców usług chmurowych.

W motywach rozporządzenia wskazano, że za potrzebą jego wprowadzenia przemawiały m.in. istniejące rozbieżności legislacyjne i niejednolite podejścia regulacyjne  w poszczególnych państwach członkowskich UE. One zaś generują przeszkody dla funkcjonowania rynku wewnętrznego w zakresie usług finansowych, utrudniając transgraniczną działalność podmiotów finansowych i zakłócając konkurencję. Przepisy w tym zakresie nie były do tej pory harmonizowane. Jak podkreśla się jednocześnie w motywach rozporządzenia – jest to konieczne dla zachowania stabilności finansowej rynku wspólnotowego w sytuacji gdy od efektywności i skuteczności tych technologii uzależnionych jest coraz więcej dziedzin naszego życia.

Funkcjonujące przed era DORA, podejście do ryzyka operacyjnego skupiało się głównie na zapewnieniu pokrycia ryzyka operacyjnego odpowiednim kapitałem. Dzisiaj takie podejście straciło swoją aktualność.

Innymi słowy DORA ma na celu ujednolicenie podejścia i zwiększenie odporności operacyjnej w całym sektorze finansowym.  Wprowadzenie DORA jest także podyktowane potrzebą zapewnienia spójności z innymi regulacjami UE w obszarze cyberbezpieczeństwa, takimi jak dyrektywa NIS2.

Reasumując, DORA wprowadzono aby realizować następujące cele:

1. konieczność harmonizacji i wzmocnienia odporności operacyjnej w obliczu tych zagrożeń (motyw 2);
2. konieczność ustalenia jasnych i weryfikowalnych zasad współpracy i nadzoru nad dostawcami usług technologicznych (np. dostawców chmurowych), z uwagi na uzależnienie się od nich podmiotów finansowych (motyw 8 i 22);
3. konieczność konsolidacji i aktualizacji wymogów dotyczących ryzyka związanego z ICT jako części wymogów dotyczących ryzyka operacyjnego zawartych dotychczas osobno w różnych unijnych aktach prawnych (motyw 12);
4. potrzeba wzmocnienia nadzoru – ujednolicenie i wzmocnienie kompetencji oraz uprawnień organów nadzoru w tym umożliwienie organom nadzoru finansowego uzyskania informacji na temat cyberincydentów, obowiązek przekazywania informacji przez organy nadzoru innym organom publicznym spoza nadzoru, wsparcie przed podkomitet EUN tzw. „forum nadzoru” (motyw 24 i 52, 86).

Można wyróżnić  trzy grupy podmiotów, które są zobligowane wdrożyć DORA. Pierwszą grupę stanowią podmioty sektora finansowego. Będzie więc to większość instytucji działających w sektorze finansowym, w tym:

1.       Banki (instytucje kredytowe),
2.       Instytucje płatnicze,
3.       Instytucje pieniądza elektronicznego,
4.       Firmy inwestycyjne,
5.       Towarzystwa ubezpieczeniowe i zakłady reasekuracyjne,
6.       Fundusze inwestycyjne, w tym zarządzające nimi towarzystwa,
7.       Firmy prowadzące systemy emerytalne,
8.       Dostawcy usług płatniczych, takich jak inicjowanie płatności (PISP) czy dostęp do rachunków (AISP).

Do drugiej grupy zaliczymy podmioty infrastrukturalne rynku finansowego:

1.       Izby rozliczeniowe (CCP),
2.       Centralne depozyty papierów wartościowych (CSD),
3.       Systemy płatności i rozrachunku.

Do trzeciej grupy zaś, zewnętrznych dostawców usług ICT, i będą to:

1.       Dostawcy chmury obliczeniowej, zarządzania danymi i infrastruktur technologicznych,
2.       Dostawcy usług bezpieczeństwa ICT, w tym usług związanych z ochroną przed cyberzagrożeniami,
3.       Firmy zajmujące się outsourcingiem technologii ICT, które współpracują z sektorem finansowym.

Rozporządzenie DORA nakłada na podmioty finansowe naprawdę sporo obowiązków, których zasadniczym zadaniem jest zwiększenie odporności operacyjnej tych podmiotów na zakłócenia immanentnie związane ze stosowaniem technologii ICT. Poniżej szczegółowo przestawię obowiązki jakie DORA nakłada na podmioty finansowe. W ogólności trzeba wymienić tutaj zarządzanie ryzykiem ICT, raportowanie incydentów, testowanie systemów oraz zarządzanie relacjami z dostawcami zewnętrznymi. Wszystkie wymogi mają na celu zapewnienie tego, by podmioty finansowe mogły skutecznie reagować na zagrożenia cyfrowe i chronić stabilność rynku finansowego w obecnej epoce cyfrowej.

1. Zarządzanie ryzykiem ICT (Art. 5–14)

Podmioty rynku finansowego muszą wdrożyć systemowe podejście do zarządzania ryzykiem związanym z ICT, obejmujące:

2.  Raportowanie incydentów ICT (Art. 17–19)

Każdy podmiot finansowy musi wdrożyć mechanizmy umożliwiające szybkie i skuteczne raportowanie poważnych incydentów związanych z ICT. Wymienić tutaj trzeba m.in.:

3. Testowanie odporności operacyjnej ICT (Art. 24–27)

Podmioty finansowe celem m.in. identyfikacji słabości, niedoskonałości oraz luk są zobowiązane do przeprowadzania regularnych testów odporności operacyjnej swoich systemów ICT.  Najważniejsze cechy tej grupy obowiązków to:

4.  Zarządzanie relacjami z dostawcami zewnętrznymi (Art. 28–30)

Podmioty finansowe muszą oceniać i monitorować ryzyko związane z usługami świadczonymi przez zewnętrznych dostawców ICT, w ramach generalnego wdrożonego programu zarządzania ryzykiem. W ramach tych obowiązków, poniżej najważniejsze z nich:

5.  Koordynacja i wymiana informacji (Art. 45)

Podmioty rynku finansowego są zobowiązane do współpracy i wymiany informacji w zakresie cyberbezpieczeństwa.  Najważniejsze to:

DORA stanowi przełomowy akt prawny, który ma za zadanie zwiększyć odporność operacyjną sektora finansowego na zagrożenia cyfrowe. Cele jest przede wszystkim ujednolicenie przepisów, wzmocnienie nadzoru, wprowadzenie jednolitych standardów i promowanie współpracy. DORA ma przyczynić się do wzmocnienia stabilności finansowej i ochrony klientów podmiotów finansowych. Rozporządzenie to solidny o obszerny akt prawny nakładający na podmioty finansowe szereg obowiązków. Ważne, aby już teraz wdrażać odpowiednie procedury, normy, regulacje, polityki w zgodzie z rozporządzeniem.

Mam nadzieję, że to rozszerzone omówienie DORA dostarczyło Ci wyczerpujących informacji na temat tego istotnego rozporządzenia. W kolejnych wpisach będziemy szczegółowo analizować poszczególne aspekty DORA, takie jak zarządzanie ryzykiem, zgłaszanie incydentów, testowanie odporności cyfrowej i nadzór nad zewnętrznymi dostawcami.