DORA w branży ubezpieczeniowej – nowe obowiązki zakładów ubezpieczeń i pośredników

Unijny ustawodawca, opracowując rozporządzenie w sprawie operacyjnej odporności cyfrowej sektora finansowego 2022/2554, postawił sobie za cel ujednolicenie zasad bezpieczeństwa rządzących szeregiem podmiotów, w tym zakładami ubezpieczeń. Co dokładnie DORA oznacza dla brany ubezpieczeniowej?

Czy DORA dotyczy zakładów ubezpieczeń?

Zgodnie z art. 2 ust. 1 lit n i o rozporządzenie DORA znajduje zastosowanie do:

• zakładów ubezpieczeń i zakładów reasekuracji oraz
• pośredników ubezpieczeniowych, pośredników reasekuracyjnych i pośredników oferujących ubezpieczenia uzupełniające.

Kto jest zwolniony z obowiązków DORA?

Nie wszystkie podmioty z tej branży sektora usług finansowych muszą dostosowywać się do nowych wymagań. Pierwszą grupą podmiotów zwolnionych z obowiązku stosowania DORA są „małe” zakłady ubezpieczeniowe, czyli podmioty określone w art. 4 ust. 1 dyrektywy 2009/138/WE, które spełniają łącznie następujące warunki:

• roczna składka przypisana brutto zakładu nie przekracza 15 000 000 EUR,
• łączne rezerwy technicznoubezpieczeniowe brutto zakładu, przed odliczeniem kwot należnych z umów reasekuracji i od spółek celowych nie przekraczają 50 000 000 EUR,
• jeżeli zakład należy do grupy, łączne rezerwy technicznoubezpieczeniowe grupy brutto, przed odliczeniem kwot należnych z umów reasekuracji i od spółek celowych, nie przekraczają 50 000 000 EUR,
• działalność zakładu nie obejmuje ubezpieczania lub reasekuracji oraz ryzyka kredytów i poręczeń, chyba że stanowią one ryzyka dodatkowe w rozumieniu art. 16 ust. 1,
• działalność zakładu w ramach reasekuracji czynnej nie przekracza 0,5 mln EUR składki przypisanej brutto, a dodatkowo:
  • 2,5 mln EUR rezerw technicznoubezpieczeniowych brutto, przed odliczeniem kwot należnych z umów reasekuracji i od spółek celowych,
  • składka przypisana brutto zakładu reasekuracji czynnej nie przekracza 10% składki przypisanej brutto ani 10% rezerw technicznoubezpieczeniowych brutto, przed odliczeniem kwot należnych z umów reasekuracji i od spółek celowych.

Drugą grupą podmiotów wyłączonych z obowiązku stosowania DORA są pośrednicy ubezpieczeniowi, pośrednicy reasekuracyjni i pośrednicy oferujący ubezpieczenia uzupełniające będący mikroprzedsiębiorstwami, małymi lub średnimi przedsiębiorstwami. W kontekście wielkości przedsiębiorstwa zgodnie z przepisami ustawy prawo przedsiębiorców należy uwzględnić:

• wolumen zatrudnienia – wymagane minimum 250 osób,
• roczny obrót powyżej 50 milionów euro,
• suma aktywów powyżej 43 milionów euro.

Prowadzisz działalność ubezpieczeniową i nie jesteś pewien, czy musisz wdrażać przepisy DORA? Zleć nam audyt swojej firmy: https://rpms.pl/uslugi-prawne/

Potrzebujesz porady prawnika?

Każda sytuacja jest inna.
Opisz swoją sprawę, a podpowiem, jakie kroki
warto podjąć w Twoim przypadku.

Wyślij zapytanie

W jaki sposób DORA wpływa na funkcjonowanie podmiotów z branży ubezpieczeniowej?

Wejście w życie DORA spowodowało uchylenie przez KNF dotychczasowych wytycznych w zakresie przetwarzania przez podmioty nadzorowane danych w chmurze obliczeniowej oraz zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w zakładach ubezpieczeń i zakładach reasekuracji. W zamian za obowiązujące wcześniej „soft laws”, podmioty rynku ubezpieczeniowego muszą dostosować swoją infrastrukturę cyfrową do wspólnotowych wymagań. Co dokładnie ulega zmianie i jak się na te zmiany przygotować?

Zarządzanie ryzykiem ICT

Zakłady ubezpieczeń są zobowiązane do wdrożenia wewnętrznych ram zarządzania i kontroli zatwierdzonych przez zarząd. W zakresie tych obowiązków trzeba pamiętać o:

• wprowadzeniu polityki, która ma zapewnić utrzymanie wysokich standardów dostępności, autentyczności, integralności i poufności danych,
• przydzieleniu ról i obowiązków związanych z ICT tak, aby komunikacja przebiegała skutecznie i terminowo,
• wprowadzeniu planów ciągłości działania, przywracania sprawności operacyjnej oraz zatwierdzeniu wewnętrznych audytów,
• utworzeniu kanałów zgłoszeń pozwalających na kontaktowanie się z zewnętrznymi dostawcami ICT oraz ocenę zmian na krytyczne i ważne funkcje podmiotu.

Wymagania DORA w zakresie narzędzi informatycznych

Ramy zarządzania ryzykiem ICT obejmują nie tylko ogólne polityki, ale również strategie operacyjne, polityki, procedury, protokoły i narzędzia informatyczne. Ustawodawca wymaga, aby te narzędzia były dobrane odpowiednio do skali prowadzonej działalności, a także zapewniały wiarygodne przetwarzanie danych w ilości właściwej dla szczytowego obciążenia systemu. Dodatkowo wymaga się ich sprawności pod względem technologicznym w skrajnych warunkach rynkowych lub w innych niekorzystnych sytuacjach.

W praktyce oznacza to solidnego zapoznania się z ofertami firm oferującymi odpowiednie rozwiązania informatyczne i świadomej oceny możliwości oprogramowania.

Ochrona na wypadek incydentów

Na potrzeby DORA zakłady ubezpieczeń monitorują i kontrolują bezpieczeństwo i funkcjonowanie systemów i narzędzi. Chodzi o zapewnienie ciągłości działania, odporności i dostępności na kilka sposobów:

1. zapewnienie bezpieczeństwa przekazywanym danym (np. poprzez szyfrowane połączenie AES 256 bitów),
2. minimalizowanie ryzyka uszkodzenia lub utraty danych (np. poprzez automatyczne wykrywanie prób włamań do systemu),
3. zapobieganie brakowi dostępności, osłabianiu autentyczności i integralności, naruszeniom poufności i utracie danych (np. przez szyfrowanie danych 2FA),
4. ochronę danych przed ryzykiem związanym z niewłaściwym administrowaniem, przetwarzaniem i błędem ludzkim (np. poprzez automatyczne weryfikowanie formularzy przez algorytmy sztucznej inteligencji),
5. gromadzenie informacji na temat podatności oraz cyberzagrożeń, incydentów związanych z ICT.

Przepisy wymagają także regularnego testowania planów ciągłości działania i planów działań informacyjnych (co najmniej raz na rok oraz po wprowadzeniu istotnych zmian w systemach ICT). Zarządzanie ryzykiem powinno uwzględniać tworzenie kopii zapasowych, przy czym te systemy również powinny być testowane.

Zarządzanie incydentem zgodnie z DORA

Każdy podmiot finansowy musi wdrożyć proces zarządzania incydentami ICT. Powinien on uwzględniać m.in. monitorowanie i wczesne ostrzeganie o zagrożeniach, przydzielanie obowiązków, przekazywanie informacji kadrze kierowniczej i ustanowienie procedur reagowania.

W tym celu sporządza się matrycę zarządzania incydentami, która klasyfikuje zdarzenia ze względu na szereg kryteriów, w tym czas trwania incydentu, jego zasięg geograficzny, utratę danych, krytyczność usługi oraz liczbę osób, których dotknęły skutki incydentu. Dodatkowo incydenty poważne powinny zostać zgłoszone właściwemu organowi, a fakultatywnie także incydenty znaczące.

Wsparcie we wdrażaniu DORA w zakładach ubezpieczeń – sprawdź ofertę Kancelarii RPMS

Kancelaria RPMS wspiera cyberbezpieczeństwo od strony prawnej we wszystkich podmiotach zobowiązanych do wdrożenia DORA. Co możemy dla Ciebie zrobić?

1. Analiza dokumentacji (polityk, procesów, procedur) – monitorujemy compliance z przepisami DORA.
2. Przygotowania umów – zapewniamy bezpieczeństwo współpracy z dostawcami ICT, rozwiązań chmurowych, software house’ów świadczących usługi wdrożeniowe i z zakresu cyberbezpieczeństwa.
3. Szkolenia DORA – przygotowujemy kadrę do świadomego stosowania przepisów.
4. Bieżąca obsługa prawna – reprezentujemy firmę przed sądami i organami administracji, pomagamy w realizacji obowiązków raportowych, monitorujemy zmiany w przepisach.