Rozporządzenie Parlamentu Europejskiego i Rady 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA) znacząco wpływa na funkcjonowanie infrastruktury ICT podmiotów działających w obszarze finansów. Przeczytaj, kto dokładnie musi wdrożyć nowe przepisy jak przygotować środowisko IT, aby zapewnić sobie bezpieczeństwo.
W tym artykule przeczytasz o:
- Podmiotach z sektora finansowego zobowiązanych do stosowania przepisów DORA.
- Obowiązkach DORA w czterech podstawowych filarach.
- Wymaganiach względem zewnętrznych dostawców ICT.
Które podmioty rynku finansowego muszą stosować DORA?
Zakres podmiotowy obowiązywania DORA jest bardzo szeroki. Zgodnie z art. 2 ust. 1 obowiązek wdrożenia nowych przepisów spoczywa na:
- instytucjach kredytowych,
- instytucjach płatniczych (zarówno MIP, jak i KIP),
- dostawcach świadczących usługę dostępu do informacji o rachunku,
- instytucjach pieniądza elektronicznego (EMI),
- dostawcach usług w zakresie kryptoaktywów, którzy otrzymali zezwolenie na prowadzenie działalności gospodarczej w trybie przepisów MiCA.
Unijny ustawodawca nie różnicuje typu działalności gospodarczej, posługuje się jednak zasadą proporcjonalności wyrażoną w art. 4 DORA. Opracowując procedury, należy uwzględnić wielkość i ogólny profil ryzyka oraz charakter, skalę i stopień złożoności swoich usług, działań i operacji.
Zarządzasz FinTechem? Nie zapomnij o wdrożeniu DORA w swojej organizacji: https://rpms.pl/obsluga-kip-krajowej-instytucji-platniczej/.
Jakie obowiązki nakłada na podmioty rynku finansowego rozporządzenie DORA?
Przepisy dotyczące odporności cyfrowej ujednolicają standardy bezpieczeństwa ICT w 4 obszarach. Są to:
- zarządzanie ryzykiem ICT,
- zarządzanie incydentami,
- testowanie operacyjnej odporności cyfrowej,
- zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT.
Zarządzanie ryzykiem ICT
Zarządzanie ryzykiem ICT wymaga przede wszystkim wykorzystania strategii, polityk, procedur, protokołów i narzędzi ICT do ochrony zasobów informatycznych. Należy interpretować to pojęcie bardzo szeroko – obejmuje oprogramowanie, sprzęt komputerowy oraz wszelkie elementy fizyczne i infrastrukturę. W tym celu trzeba opracować niezbędne dokumenty, a także plan uwzględniający odpowiednie rozdzielenie i niezależność funkcji zarządzania ryzykiem związanym z ICT, funkcji kontroli oraz funkcji audytu wewnętrznego.
Przepisy wymagają opracowania strategii operacyjnej odporności cyfrowej. To cyklicznie aktualizowany dokument, który określa m.in.:
- ustalenie limitu tolerancji ryzyka ICT,
- określenie jasnych celów w zakresie bezpieczeństwa informacji,
- objaśnienie referencyjnej architektury ICT.
Wszystkie zasoby ICT muszą być odpowiednie do skali operacji, wiarygodne, odporne pod względem technologicznym i zdatne do działania nawet w warunkach skrajnego obciążenia.
Powiązane z ICT funkcje biznesowe, zadania i obowiązki oraz zasoby informacyjne należy zidentyfikować i aktualizować nie rzadziej niż raz w roku. Każda większa zmiana (np. nowy dostawca ICT) wiążą się z koniecznością przeprowadzenia oceny ryzyka. Pojawia się też obowiązek zarządzania infrastrukturą ICT w sposób odpowiedzialny:
- zarządzanie siecią i infrastrukturą z wykorzystaniem odpowiednich technik, metod i protokołów, które mogą obejmować wdrażanie zautomatyzowanych mechanizmów izolowania zasobów informacyjnych na wypadek cyberataków
- wdrożenie polityk ograniczających fizyczny lub logiczny dostęp do zasobów informacyjnych i zasobów ICT oraz procedur zarządzania dostępem,
- wprowadzenie polityki i protokołów dotyczących silnych mechanizmów uwierzytelniania, opartych na odpowiednich standardach oraz środkach ochrony kluczy kryptograficznych,
- regularne wdrożenie udokumentowanych polityk, procedur i kontroli w zakresie zarządzania zmianą w systemach ICT (np. sprzętu, software’u, parametrów systemu i bezpieczeństwa.
Infrastruktura powinna zezwalać na wydzielenie i segmentację zasobów tak, aby ochronić je przed dalszym zainfekowaniem. Wśród innych obowiązków trzeba wymienić opracowanie procedur reagowania i przywracania sprawności systemu, wykrywania awarii i tworzenia kopii zapasowych.
Zarządzanie incydentami
DORA nakłada na podmioty rynku finansowego obowiązki w zakresie monitorowania zagrożeń cyfrowych, ich dokumentowania, identyfikowania, a w niektórych przypadkach także zgłaszania. W stosunki do podmiotów finansowych stosuje się klasyfikację incydentów na podstawie takich kryteriów jak:
- krytyczność usług zagrożonych, w tym narażonych transakcji i operacji podmiotu finansowego,
- liczba lub znaczenie klientów lub kontrahentów finansowych,
- zasięg geograficzny zagrożonych obszarów.
Im większa jest więc skala działalności, tym klasyfikacja będzie bardziej złożona. Dodatkowo procedury mogą przewidywać dobrowolne zawiadamianie właściwego organu CERT o poważnych zagrożeniach, jeśli może to zwiększyć stabilność rynku. W Polsce jest to właściwy CSIRT (dla firm z branży finansowej CSIRT KNF).
Powierz nam bieżącą obsługę prawną swojej firmy. Sprawdź: https://rpms.pl/fintech-technologia-finansowa/.
Testowanie operacyjnej odporności cyfrowej
Ochrona cyberbezpieczeństwa nie byłaby kompletna bez regularnych testów bezpieczeństwa. Ramy testowania odporności cyfrowej określa art. 25 DORA, który przewiduje następujące techniki:
- ocenę podatności i skanowanie pod tym kątem,
- analizę otwartego oprogramowania,
- ocenę bezpieczeństwa sieci,
- analizę braków fizycznych kontroli bezpieczeństwa,
- kwestionariusze i rozwiązania w zakresie oprogramowania skanującego,
- przeglądy kodu źródłowego,
- testy scenariuszowe,
- testy kompatybilności,
- testy wydajności,
- testy kompleksowe,
- testy penetracyjne.
Nie zawsze i nie każdy podmiot będzie w stanie przeprowadzić dowolny rodzaj testu. Zaawansowane testy penetracyjne TPLT są zarezerwowane dla większych przedsiębiorców i polegają na symulowanym ataku ukierunkowanym na krytyczne funkcje. Nie obejmuje mikroprzedsiębiorców oraz podmiotów objętych uproszczonymi ramami, jak MIP, BUP, małe instytucje pieniądza elektronicznego, małe firmy inwestycyjne. Testy TLPT przeprowadza się nie rzadziej niż co 3 lata, a tester musi legitymować się:
- renomą,
- fachową wiedzą,
- certyfikacją,
- posiadaniem zawodowego OC.
Po zakończeniu testu sporządzany jest audyt zawierający ustalenia i rekomendacje. Jeżeli instytucja finansowa korzysta z pomocy zewnętrznych dostawców ICT, również oni powinni wziąć udział w teście.
Zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT
Realizacja zadań związanych z funkcjonowaniem rynku finansowego z reguły wymaga sięgnięcia po zewnętrzne usługi ICT. Takiego dostawcę należy wybierać z uwzględnieniem jego kompetencji, ale także bezpieczeństwa. Wypowiedzenie umowy powinno być możliwe w każdej sytuacji, w tym:
- poważnego naruszenia przez zewnętrznego dostawcę usług ICT obowiązujących przepisów ustawowych, wykonawczych lub warunków umowy,
- zidentyfikowania okoliczności, w przypadku których uznano, że mogą one zmienić wykonywanie funkcji przewidzianych w ustaleniu umownym,
- wykazanie w przypadku zewnętrznego dostawcy usług ICT jego słabych stron w zakresie jego ogólnego zarządzania ryzykiem związanym z ICT, a w szczególności, jeżeli chodzi o sposób, w jaki zapewnia on dostępność, autentyczność, integralność i poufność danych niezależnie od rodzaju danych,
- gdy w wyniku warunków lub okoliczności związanych z danym ustaleniem umownym nie jest możliwe dalsze nadzorowanie podmiotu finansowego.
Jednocześnie ustawodawca wprost wymienia elementy, które muszą znaleźć się w umowie z dostawcą ICT. Są to m.in. postanowienia dotyczące dostępności, autentyczności, integralności i poufności w związku z ochroną danych, w tym danych osobowych, a także odzyskiwania tych danych.
DORA w bankach i instytucjach kredytowych – co możemy dla Ciebie zrobić?
Rozporządzenie DORA dla banku to znacznie więcej niż tylko sprawna infrastruktura IT. To bezpieczeństwo milionów odbiorców usług finansowych, dlatego trzeba wdrożyć je bezbłędnie. Jak pomagamy?
- Ustalamy, czy musisz wdrażać pełny proces DORA, czy wystarczy wersja uproszczona.
- Identyfikujemy procesy i zasoby związane z odpornością cyfrową.
- Analizujemy ryzyko i oceniamy umowy z zewnętrznymi dostawcami ICT.
- Opracowujemy niezbędną dokumentację, w tym plany ciągłości działania.
- Ustalamy proces testowania odporności cyfrowej i reagowania na incydenty.
- Szkolimy kadrę zarządzającą i pracowników.
Chcesz dowiedzieć się więcej? Zadzwoń pod numer 61 307 09 91 lub napisz na adres kancelaria@rpms.pl.
Pytania i odpowiedzi:
Czy mikroprzedsiębiorcy z rynku finansowego muszą stosować rozporządzenie DORA?
Tak, ale rozporządzenie przewiduje w ich przypadku liczne ułatwienia, jak brak konieczności realizowania wewnętrznych audytów cyberbezpieczeństwa lub ustanowienie funkcję w celu monitorowania ustaleń zawartych z zewnętrznymi dostawcami usług ICT. Dzięki temu wdrożenie DORA staje się prostsze, a koszty działań są niższe.
Które incydenty ICT powinny być raportowane kadrze kierowniczej?
Obowiązek dotyczy co najmniej poważnych incydentów związanych z cyberbezpieczeństwem. Informację należy przekazać organowi zarządzającemu i kadrze kierowniczej wraz z wyjaśnieniem wpływu, reakcji i działań, jakie dodatkowo należy podjąć, aby takie sytuacji nie zdarzały się w przyszłości.
Czy testerzy TLPT mogą pochodzić z wnętrza organizacji, którą testują?
Tak, z wyjątkiem istotnych instytucji kredytowych. Zgodnie z art. 26 ust. 8 DORA co trzeci test należy zlecić testerowi zewnętrznemu.