W świecie dynamicznie zmieniających się technologii i rosnącego zagrożenia cyberatakami, ochrona systemów informatycznych stała się priorytetem dla instytucji finansowych. W odpowiedzi na te wyzwania Unia Europejska opracowała Rozporządzenie o Cyfrowej Odporności Operacyjnej (DORA), które wprowadza nowe standardy cyberbezpieczeństwa dla podmiotów działających na rynku finansowym.

Nowe regulacje – dla kogo?

Rozporządzenie DORA, które zaczęło obowiązywać od 17 stycznia 2025 r., obejmuje szeroką gamę podmiotów, w tym:

• banki,
• firmy inwestycyjne,
• zakłady ubezpieczeń i pośredników ubezpieczeniowych,
• instytucje płatnicze,
• dostawców usług związanych z kryptowalutami,
• dostawców kluczowych usług ICT współpracujących z sektorem finansowym.

Celem regulacji jest zapewnienie, że każdy uczestnik rynku finansowego będzie odpowiednio przygotowany na incydenty cyfrowe, minimalizując ryzyko zakłóceń w działalności.

Kluczowe wymogi DORA

Rozporządzenie wprowadza jednolite zasady w kluczowych obszarach:

1. Zarządzanie ryzykiem ICT: Instytucje finansowe zobowiązane są do stworzenia i wdrożenia ram zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi. Wymaga się regularnej identyfikacji zagrożeń, analizy ryzyk oraz wprowadzenia odpowiednich środków ochronnych.
2. Raportowanie incydentów: W przypadku poważnych incydentów instytucje będą miały obowiązek zgłaszania ich do właściwych organów nadzorczych. Celem tego wymogu jest szybka reakcja na zagrożenia i minimalizacja ich skutków.
3. Testowanie odporności systemów: Wprowadza się obowiązek regularnego testowania systemów ICT pod kątem ich odporności na ataki i zakłócenia. Testy te mają na celu zapewnienie stabilności operacyjnej nawet w warunkach kryzysowych.
4. Nadzór nad dostawcami ICT: DORA nakłada na instytucje finansowe odpowiedzialność za monitorowanie i ocenę bezpieczeństwa dostawców usług informatycznych. Ma to zapobiec sytuacjom, w których słabości w infrastrukturze dostawcy mogłyby wpłynąć na działalność instytucji finansowej.

Jakie korzyści przyniosą nowe przepisy?

Rozporządzenie DORA oferuje liczne korzyści dla sektora finansowego, w tym:

• zwiększenie bezpieczeństwa operacyjnego instytucji finansowych,
• zmniejszenie ryzyka utraty danych i zakłóceń w działalności,
• jednolite standardy cyberbezpieczeństwa w całej Unii Europejskiej,
• poprawę zaufania klientów do rynku finansowego,
• ochronę interesów konsumentów i inwestorów.

Co DORA oznacza dla przedsiębiorstw i instytucji finansowych?

Dostosowanie się do wymogów Rozporządzenia DORA stanowi wyzwanie, ale i szansę dla przedsiębiorstw oraz banków obsługiwanych przez kancelarie prawne. Nowe regulacje wymagają nie tylko zmian w systemach ICT, ale również dostosowania procesów zarządzania ryzykiem oraz budowy struktur wspierających cyberodporność. Dla banków oznacza to konieczność intensywniejszego monitorowania procesów dostawczych i współpracy z zewnętrznymi dostawcami. Firmy z sektora niefinansowego, współpracujące z instytucjami objętymi DORA, będą musiały dostosować swoje usługi, by spełniały nowe standardy współpracy z sektorem finansowym.

Wsparcie prawne dla instytucji finansowych

Przygotowanie się do wdrożenia rozporządzenia DORA wymaga dogłębnej analizy wymogów oraz dostosowania procesów operacyjnych i systemów ICT. Jednym z kluczowych elementów dostosowania się do Rozporządzenia DORA jest przeprowadzenie szeregu działań, takich jak:

• audyty zgodności z wymogami DORA, pozwalające na ocenę przygotowania instytucji finansowej do nowych regulacji,
• opracowanie strategii zarządzania ryzykiem ICT, obejmującej planowanie i wdrażanie skutecznych mechanizmów ochrony,
• przygotowanie dokumentacji i procedur raportowania incydentów, co jest kluczowe dla szybkiej i efektywnej reakcji w razie zagrożenia,
• doradztwo w zakresie współpracy z dostawcami ICT, uwzględniające monitorowanie ich działań oraz ocenę poziomu bezpieczeństwa,
• reprezentacja przed organami nadzoru w przypadku kontroli lub zgłaszania incydentów.

Podsumowanie

Rozporządzenie DORA otwiera nowy rozdział w zarządzaniu cyberbezpieczeństwem na rynku finansowym, zapewniając jednolite standardy dla całej Unii Europejskiej. Odpowiednie przygotowanie do tych wymogów to nie tylko obowiązek, ale też szansa na zwiększenie bezpieczeństwa operacyjnego i zbudowanie zaufania klientów.

Kancelaria Ostrowski i Wspólnicy sp. k. posiada bogate doświadczenie w obsłudze instytucji finansowych oraz wsparciu prawnym w zakresie regulacji unijnych, w tym cyberbezpieczeństwa. Nasi eksperci zapewniają kompleksowe doradztwo, pomagając Państwa firmie skutecznie dostosować się do nowych wymogów i minimalizować ryzyka związane z cyberzagrożeniami. Zapraszamy do kontaktu.