Rozporządzenie DORA nakłada na podmioty rynku finansowego obowiązek spełnienia rygorystycznych wymagań dotyczących bezpieczeństwa i integralności środowiska ICT. Choć firmy mogą skorzystać z własnych zasobów, w praktyce większość z nich zleca nadzór nad funkcjami ICT zewnętrznym przedsiębiorstwom. Na co należy zwrócić uwagę, decydując się na współpracę z dostawcą usług informatycznych?
W tym artykule przeczytasz o:
- Dobrych praktykach w relacjach z zewnętrznymi dostawcami ICT.
- Wymaganiach umownych dla dostawców ICT.
- Exit Planach oraz planach ciągłości i odzyskiwania danych.
- Ryzyku związanym z przetwarzaniem danych w państwach trzecich.
Przedumowna ocena kontrahentów
Stosownie do art. 28 ust. 4 DORA, przed zawarciem ustalenia umownego dotyczącego korzystania z usług ICT podmioty finansowe:
- oceniają, czy dane ustalenie umowne dotyczy korzystania z usług ICT wspierających krytyczną lub istotną funkcję,
- oceniają, czy spełniono warunki nadzorcze dotyczące zawierania umów,
- określają i oceniają wszystkie rodzaje istotnego ryzyka związane z ustaleniem umownym, w tym możliwość, że takie ustalenie umowne może przyczynić się do zwiększenia ryzyka koncentracji w obszarze ICT,
- dokładają należytej staranności w stosunku do potencjalnych zewnętrznych dostawców usług ICT i zapewniają, aby w trakcie całego procesu wyboru i oceny zewnętrzny dostawca usług ICT był odpowiedni,
- identyfikują i oceniają konflikty interesów, które mogą wynikać z ustalenia umownego.
W praktyce oznacza to, że podmiot finansowy nie może nawiązać współpracy z dowolną firmą IT. Konieczne jest ustalenie, czy zapewnia ona odpowiednio wysoki poziom bezpieczeństwa danych, w tym danych osobowych. Jednocześnie z wyprzedzeniem ustala się częstotliwość audytów i kontroli oraz obszary, które mają tej kontroli podlegać.
Od wielu lat obsługujemy przedsiębiorstwa z branży FinTech. Sprawdź nasze doświadczenie: https://rpms.pl/fintech-technologia-finansowa/.
Wymagania umowne
Podmiot zlecający zadania z zakresu obsługi ICT powinien zadbać, aby umowa z dostawcą usług była zawarta na piśmie. Artykuł 30 DORA wskazuje także na minimalny zakres postanowień kontraktowych. Obejmują one m.in.:
- zakres usług,
- zasięg geograficzny działania usługodawcy,
- minimalne parametry wydajności uznane za akceptowalne (SLA),
- zakres wsparcia w przypadku incydentu.
Jeszcze większy rygoryzm dotyczy usług ICT, które mają za przedmiot krytyczne lub istotne funkcje usługobiorcy. W takiej sytuacji kontrakt powinien pozwalać na precyzyjny pomiar SLA, zobowiązywać firmę ICT do przeprowadzania pentestów i testów planów awaryjnych, zastrzeżenie możliwości dostępu, kontroli i audytu.
Trzeba pamiętać, że w myśl art. 2 ust. 3 DORA podmioty finansowe utrzymują i aktualizują na poziomie podmiotu oraz na poziomie subskonsolidowanym i skonsolidowanym rejestr informacji w odniesieniu do wszystkich ustaleń umownych dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług. Rejestr powinien zawierać rozróżnienie na postanowienia umowne, które wspierają funkcje istotne i krytyczne oraz pozostałe.
WAŻNE
Przynajmniej raz w roku podmioty finansowe przedstawiają właściwym organom informacje na temat liczby nowych ustaleń dotyczących korzystania z usług ICT, kategorii zewnętrznych dostawców usług ICT, rodzaju ustaleń umownych oraz świadczonych usług ICT i obsługiwanych funkcji.
Jednocześnie należy zapewnić możliwość wypowiedzenia umowy w sytuacjach kryzysowych (np. poważne naruszenie warunków umowy przez usługodawcę). W ten sposób podmiot finansowy gwarantuje współpracę wyłącznie z partnerami biznesowymi godnymi zaufania.
Ryzyko koncentracji
Unijny ustawodawca zwraca też uwagę na potrzebę unikania koncentracji dostawców ICT, o której mowa w art. 29 DORA. W szczególności chodzi o sytuację, kiedy dojdzie do:
- zawarcia umowy z zewnętrznym dostawcą usług ICT, którego nie można łatwo zastąpić,
- posiadania wielu ustaleń umownych dotyczących świadczenia usług ICT wspierających krytyczne lub istotne funkcje z tym samym zewnętrznym dostawcą usług ICT lub z blisko powiązanymi zewnętrznymi dostawcami usług ICT.
Każdy z tych przypadków może potencjalnie prowadzić do Vendor Lock-In, czyli zablokowania usługobiorcy przez usługodawcę, ograniczyć jego niezależność i narazić bezpieczeństwo danych.
Podwykonawstwo ICT w państwie trzecim
Rozporządzenie DORA zawiera też zasady korzystania z usług podwykonawców mających siedzibę w państwie trzecim (np. USA, Chiny). Należy wziąć pod uwagę takie aspekty jak:
- możliwość upadłości dostawcy usług ICT,
- potrzebę pilnego odzyskania danych,
- istnienie i skuteczna egzekucja ochrony danych osobowych.
Zwróć szczególną uwagę na to, gdzie znajdują się serwery z danymi podlegającymi przetwarzaniu. To ta lokalizacja, a nie siedziba przedsiębiorstwa determinuje właściwy porządek prawny dla ochrony danych osobowych. W przypadku państw trzecich mogą być wymagane dodatkowe zabezpieczenia.
Plany wyjścia
Rozporządzenie DORA wymaga, aby instytucja finansowa opracowała plan wyjścia (Exit Plan) dotyczący współpracy z dostawcą, który realizuje funkcje o krytycznym znaczeniu. Są to elementy, których zakłócenie mogłoby istotnie wpłynąć na wyniki finansowe, ciągłość usług lub bezpieczeństwo instytucji.
Strategie wyjścia uwzględniają możliwość awarii na poziomie zewnętrznych dostawców usług ICT, pogorszenie jakości usług i zakłócenia działalności. Ważne jest, aby podmiot finansowy zapewnił sobie możliwość wycofania się z ustaleń umownych bez:
- powodowania zakłóceń w swojej działalności,
- ograniczania zgodności z wymogami regulacyjnymi,
- szkody dla ciągłości i jakości usług świadczonych na rzecz klientów.
Każdy Exit Plan powinien być udokumentowany, testowany i poddawany okresowym przeglądom. Wszystko po to, aby pozostawał aktualny przez cały czas.
W umowie z dostawcą usług ICT trzeba zwrócić szczególną uwagę na okres przejściowy – między wypowiedzeniem umowy a rozpoczęciem świadczenia usług przez nowego usługodawcę. W tym czasie pierwotny dostawca usług ICT powinien dalej realizować swoje zadania tak, aby umożliwić stabilne przejście na nowego dostawcę i ewentualną migrację danych.
Celem wszystkich procedur związanych z realizacją Exit Planu jest to, aby usługobiorca mógł możliwie szybko i bezpiecznie przenieść swoje zasoby do innego dostawcy zewnętrznego albo utworzyć odpowiednio odporną infrastrukturę w architekturze on-premise.
Zadbaj o compliance z DORA. Powierz nam audyt swojej organizacji: https://rpms.pl/compliance/.
Testy bezpieczeństwa
Część podmiotów finansowych ma obowiązek cyklicznego przeprowadzania testów bezpieczeństwa z wykorzystaniem tzw. TLPT (Threat-Led Penetration Testing). To testy penetracyjne wykraczające poza zwykłe analizowanie podatności, które wykorzystują techniki stosowane w praktyce przez hakerów. Zgodnie z treścią art. 26 DORA podmioty finansowe mają obowiązek zadbać o to, aby zewnętrzni dostawcy usług ICT wspierający funkcje krytyczne lub ważne, wzięli udział w testach bezpieczeństwa.
W tym celu dostawca ICT musi udostępnić swoje środowisko IT i współpracować z usługobiorcą podczas testu. O wywiązanie się podmiotu z wymogów dba współpracująca z nim instytucja finansowa. Zwróć uwagę, czy umowa z dostawcą ICT określa warunki uczestnictwa w tego rodzaju inicjatywach.
Plany ciągłości działania i plany odzyskiwania danych
Nawiązując współpracę z zewnętrznym dostawcą ICT, należy zwrócić uwagę, czy warunki współpracy przewidują plan ciągłości działania (Business Continuity Plan, BCP) oraz plan odzyskiwania danych (Data Recovery Plan, DRP). W przypadku BCP i DRP zwróć szczególną uwagę na:
- georedundancję (art. 12 ust. 5 DORA), czyli oddzielenie głównego i zapasowego miejsca przetwarzania danych tak, aby były objęte odmiennym profilem ryzyka,
- możliwość przełączenia się na zapasowe zasoby w razie cyberzagrożenia (art. 11 ust. 6 DORA) – tzw. failover zapewnia bezpieczeństwo i ciągłość przetwarzania danych klientów,
- możliwość przeprowadzania kontroli po przywrócenia danych oraz incydencie ICT (art. 12 ust. 7 DORA).
Unijny ustawodawca wymaga, aby plany BCP i DRP były testowane przynajmniej raz w roku oraz po wprowadzeniu istotnych zmian w systemach ICT wspierających krytyczne lub istotne funkcje. Warunki tych testów należy określić w umowie.
Outsourcing usług ICT zgodny z DORA – jak możemy Ci pomóc?
Rozporządzenie DORA nakłada na podmioty rynku finansowego wiele wymagań dotyczących bezpieczeństwa oraz integralności infrastruktury ICT. W praktyce oznacza to, że wybór dostawcy usług ma bardzo duże znaczenie z punktu widzenia compliance. Skorzystaj ze wsparcia ekspertów, którzy przygotują Twoją organizację do wymagań DORA. Zobacz, jak możemy Ci pomóc.
- Ustalamy zasoby związane z odpornością cyfrową, w które zaangażowani są zewnętrzni dostawcy ICT.
- Przeprowadzamy analizę ryzyka związaną z cyberodpornością.
- Wspieramy dostosowanie struktury do wymagań DORA (umowy, regulaminy, polityki wewnętrzne, podział obowiązków).
- Pomagamy opracować procesy tworzenia kopii zapasowych i środowisk nadmiarowych.
- Tworzymy plany BCP i DRP oraz zasady TLPT.
- Opracowujemy zasady współpracy z zewnętrznymi dostawcami.
- Szkolimy zarząd oraz pracowników z zakresu DORA.
Chcesz wiedzieć więcej lub potrzebujesz szybkiej porady prawnej? Napisz do nas na adres kancelaria@rpms.pl lub zadzwoń pod numer telefonu 61 307 09 91.
FAQ Najczęściej zadawane pytania i odpowiedzi
Jak długo powinien trwać okres przejściowy według przepisów DORA?
Unijny ustawodawca pozostawia pełną swobodę w zakresie określenia ram czasowych okresu przejściowego stronom umowy. Należy dopasować go do realiów konkretnej współpracy i potrzeb podmiotu finansowego.
W jaki sposób rozporządzenie DORA reguluje zarządzanie bezpieczeństwem zasobów?
Rozporządzenie DORA kładzie nacisk na izolacje informacji. Można ją osiągnąć m.in. poprzez wprowadzenie architektury Zero-Trust, sandboxing zasobów pochodzących ze źródeł innych niż zaufane, a także segmentację sieci.