W odpowiedzi na liczne wyzwania  związane z cyberbezpieczeństwem oraz kluczową koniecznością zachowania ciągłości działania systemów informatycznych, Unia Europejska wprowadza Rozporządzenie DORA, które ma na celu zwiększenie operacyjnej odporności podmiotów finansowych na cyberzagrożenia . W niniejszym artykule przyjrzymy się bliżej tym kwestiom oraz ich konsekwencjom dla branży finansowej. 

Wprowadzenie do Rozporządzenia DORA 

Directive on Operational Resilience of Financial Institutions (DORA) zostało wprowadzone jako reakcja na coraz większą liczbę incydentów związanych z cyberbezpieczeństwem, które wpłynęły na stabilność i zaufanie w sektorze finansowym. Celem DORA jest zapewnienie, że podmioty finansowe będą miały odpowiednie mechanizmy i procedury w miejscu, aby radzić sobie z różnymi rodzajami zagrożeń, w tym z cyberatakami, awariami systemów ICT oraz innymi incydentami operacyjnymi. 

Wprowadzenie Rozporządzenia DORA ma istotne konsekwencje dla podmiotów finansowych, zarówno pod względem technicznym, jak i organizacyjnym: 

• Inwestycje w Technologie i Zasoby Ludzkie: Podmioty finansowe będą musiały inwestować w zaawansowane technologie i kwalifikowane zasoby ludzkie, aby spełnić wymogi rozporządzenia. To oznacza zarówno inwestycje w infrastrukturę ICT, jak i szkolenia dla personelu w zakresie zarządzania incydentami i cyberbezpieczeństwem. 

• Elastyczność i Reagowanie: Podmioty finansowe muszą być bardziej elastyczne i gotowe do szybkiego reagowania na zmieniające się warunki operacyjne. Muszą być w stanie dostosować się do nowych zagrożeń i technologii, aby utrzymać swoją odporność operacyjną. 

• Monitorowanie i Analiza Ryzyka: DORA nakłada na podmioty finansowe obowiązek ciągłego monitorowania i analizy ryzyka związanego z cyberbezpieczeństwem i incydentami z ICT. Muszą być w stanie identyfikować potencjalne zagrożenia i podejmować odpowiednie działania prewencyjne. 

• Współpraca z Partnerami i Dostawcami: Podmioty finansowe muszą również zapewnić, że ich partnerzy i dostawcy są zgodni z wymogami Rozporządzenia DORA, aby minimalizować ryzyko związanego z łańcuchem dostaw. 

Rozporządzenie DORA: Kluczowe Założenia 

Jednym z kluczowych założeń Rozporządzenia DORA jest konieczność ustanowienia przez podmioty finansowe skutecznych procedur zarządzania incydentami związanymi z ICT. Incydenty te mogą mieć negatywny wpływ na dostępność, autentyczność, integralność lub poufność danych, co z kolei może prowadzić do zakłóceń w świadczeniu usług finansowych. 

W ramach Rozporządzenia DORA, podmioty finansowe zobowiązane są do ustanowienia i wdrożenia procesów zarządzania incydentami związanymi z ICT. Procesy te obejmują identyfikację, rejestrację, klasyfikację oraz raportowanie incydentów, a także opracowanie planów działania mających na celu łagodzenie skutków incydentów oraz przywracanie normalnego funkcjonowania systemów informatycznych. 

Ważnym aspektem zarządzania incydentami związanych z ICT jest również odpowiednie przygotowanie personelu oraz określenie ról i obowiązków w przypadku różnych rodzajów incydentów. W ten sposób podmioty finansowe mogą skutecznie reagować na zagrożenia oraz minimalizować straty wynikające z wystąpienia incydentów. 

Wymogi Rozporządzenia

Rozporządzenie DORA nakłada na podmioty finansowe szereg konkretnych wymogów dotyczących zarządzania incydentami związanymi z ICT. Jednym z głównych wymogów jest rejestrowanie wszystkich incydentów związanych z ICT oraz ustanowienie odpowiednich procedur monitorowania i raportowania tych incydentów. 

Podmioty finansowe zobowiązane są również do wprowadzenia planów działań informacyjnych, które umożliwiają odpowiedzialne ujawnianie poważnych incydentów związanych z ICT oraz planów powiadamiania klientów i kontrahentów w przypadku wystąpienia incydentów. 

Rozporządzenie opiera się o 5 kluczowych filarów: 

• Zarządzanie Ryzykiem ICT 

Skuteczne zarządzanie ryzykiem związanym z technologiami informacyjno-komunikacyjnymi (ICT). Podmioty finansowe muszą opracować kompleksowe strategie zarządzania ryzykiem ICT, uwzględniające identyfikację, ocenę, monitorowanie i zarządzanie ryzykiem w kontekście swoich procesów biznesowych oraz infrastruktury technologicznej. Kluczowe jest również wdrożenie odpowiednich procedur i polityk bezpieczeństwa ICT, aby minimalizować ryzyko cybernetyczne i zapewnić ciągłość działalności. 

• Zgłaszanie Incydentów ICT 

Obowiązek skutecznego zgłaszania incydentów związanych z technologiami informacyjno-komunikacyjnymi (ICT). Oznacza to, że podmioty finansowe muszą wdrożyć procedury i mechanizmy zgłaszania incydentów, które umożliwiają szybką identyfikację, klasyfikację i reakcję na różnego rodzaju zagrożenia związane z ICT. Transparentność i szybka reakcja na incydenty są kluczowe dla zachowania zaufania klientów i partnerów biznesowych. 

• Testy Operacyjne 

Przeprowadzanie regularnych testów operacyjnych, w tym testów wydajnościowych, awaryjnych i kontroli cybernetycznych. Testy te mają na celu ocenę odporności operacyjnej podmiotów finansowych na różnorodne zagrożenia i incydenty, a także identyfikację potencjalnych obszarów słabości, które mogą wymagać dalszej poprawy. Kluczową kwestią jest zapewnienie, że testy operacyjne są realistyczne, a ich wyniki są wykorzystywane do kontynuacji doskonalenia procesów operacyjnych i zwiększania odporności. 

• Zarządzanie Ryzykiem Dostawców Zewnętrznych 

Zarządzanie ryzykiem związanym z dostawcami zewnętrznymi. Podmioty finansowe coraz częściej korzystają z usług zewnętrznych dostawców, co niesie ze sobą dodatkowe ryzyko związane z bezpieczeństwem danych i ciągłością działalności. DORA wymaga, aby podmioty finansowe miały wdrożone odpowiednie mechanizmy oceny i monitorowania ryzyka związanego z dostawcami zewnętrznymi, a także stosowały odpowiednie zabezpieczenia i klauzule w umowach, aby minimalizować ryzyko dla swojej działalności. 

• Współpraca i Koordynacja 

Rozwój współpracy i koordynacji między podmiotami finansowymi oraz organami nadzoru. Współpraca ta ma na celu umożliwienie szybkiej wymiany informacji o zagrożeniach i incydentach, co pozwoli na skuteczniejsze reagowanie na zmieniające się warunki operacyjne oraz minimalizację potencjalnych szkód.