Wszystkie teksty umieszczane na Linkedin lub naszych stronach internetowych są naszą opinią. Prosimy nie traktować ich jako porady prawnej w konkretnej sprawie, ponieważ konkretna sprawa zawsze wymaga indywidualnej analizy.
Poniższy zestaw pytań i odpowiedzi jest podsumowaniem najczęściej pojawiających się kwestii w trakcie szkoleń dotyczących projektowanego Rozporządzenia w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA). Odpowiedzi mają charakter nieformalny i zostały przygotowane przez prawników Kancelarii w oparciu o aktualny projekt DORA, który może ulegać zmianom.
FAQ będą cyklicznie aktualizowane i poszerzane o dodatkowe pytania.
Nie. DORA zawiera kilka wyłączeń podmiotowych w art. 2 ust. 3. Jej przepisy nie znajdą zastosowania m.in. do:
Różnice dotyczą też poszczególnych obowiązków. Przykładowo art. 14a wskazuje, że zasady zarządzania ryzykiem związanym z ICT nie będą miały zastosowania do niektórych kategorii podmiotów. Różnice w zakresie obowiązków będą dotyczyły również testów penetracyjnych – właściwe organy wskażą podmioty finansowe zobowiązane do przeprowadzenia takich testów.
Dodatkowo – artykuł 3a wprowadza zasadę proporcjonalności w stosowaniu wymogów DORA. Uwzględnienie tej zasady również może wpływać na sposób spełnienia wymogów.
Nie. Polskie tłumaczenie DORA może sugerować, że rejestr powinien obejmować wszystkie postanowienia umów z zewnętrznymi dostawcami ICT. Jednak uwzględniając sens całego art. 27 ust. 4 oraz angielski tekst rozporządzenia („contractual arrangements”) wydaje się, że chodzi po prostu o poszczególne umowy.
Obowiązek prowadzenia rejestru umów z dostawcami znają już teraz niektóre podmioty finansowe – np. zakłady ubezpieczeń mają obowiązek prowadzenia ewidencji umów outsourcingu.
Podmioty finansowe będą zobowiązane do prowadzenia i aktualizacji rejestru informacji w odniesieniu do wszystkich ustaleń umownych dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT. Rejestr powinien zawierać rozróżnienie na ustalenia obejmujące funkcje kluczowe lub ważne oraz ustalenia, które takich funkcji nie obejmują.
Dodatkowo co najmniej raz w roku podmioty finansowe będą przedstawiały właściwym organom informacje na temat liczby nowych ustaleń dotyczących korzystania z usług ICT, kategorii zewnętrznych dostawców usług ICT, rodzaju ustaleń umownych oraz świadczonych usług i obsługiwanych funkcji.
Nie. Kilkanaście miesięcy później mają zostać przyjęte regulacyjne standardy techniczne, które doprecyzują wybrane kwestie.
DORA zawiera upoważnienie do przyjęcia RTS w przepisach odnoszących się do różnych kwestii – najważniejsze z nich to:
Regulacyjne standardy techniczne (RTS) przyjmie Komisja Europejska, natomiast ich projekt przedstawią Europejskie Urzędy Nadzoru (ESA), czyli Europejski Urząd Nadzoru Bankowego (EUNB), Europejski Urząd Nadzoru Giełd i Papierów Wartościowych (ESMA) oraz Europejski Urząd Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych (EIOPA).
W niektórych przypadkach Europejskie Urzędy Nadzoru będą w tym zakresie współpracowały w ramach tzw. Wspólnego Komitetu. DORA wskazuje również przypadki, gdy obowiązkowa jest wcześniejsza konsultacja projektu RTS z Europejskim Bankiem Centralnym lub Agencją Unii Europejskiej ds. Cyberbezpieczeństwa.
Nie. Natomiast Europejskie Urzędy Nadzoru będą upoważnione do opracowania projektów wykonawczych standardów technicznych, które mają ustanowić standardowe szablony, formularze i procedury dla podmiotów finansowych na potrzeby zgłaszania poważnych incydentów związanych z ICT oraz szablonów na potrzeby rejestrowania informacji.
Podobnie jak w przypadku RTS – wykonawcze standardy techniczne zostaną następnie przyjęte przez Komisję Europejską.
Tak – w wybranym zakresie. Jedną najważniejszych zmian wprowadzonych przez DORA jest objęcie nadzorem kluczowych zewnętrznych dostawców usług ICT. DORA określa procedurę uznania danego dostawcy za kluczowego zewnętrznego dostawcę usług ICT.
Dostawcy, którzy zostaną uznani za kluczowych, będą podlegali obowiązkom m.in. w zakresie zarządzania ryzykiem, bezpieczeństwa fizycznego, ciągłości działania, identyfikacji i monitorowania incydentów. Spełnienie tych obowiązków będzie weryfikowane przez wiodący organ nadzorczy, czyli EBA, ESMA lub EIOPA w zależności od dostawcy*.
*Dla każdego kluczowego zewnętrznego dostawcy usług ICT zostanie wyznaczony wiodący organ nadzorczy.
DORA będzie wymagała zaangażowania różnych jednostek – zainteresowane działy to przede wszystkim bezpieczeństwo, compliance, procurement, IT oraz dział prawny.
Natomiast zgodnie z art. 4 ust. 2 organ zarządzający (zarząd) podmiotu finansowego ponosi ostateczną odpowiedzialność za zarządzenie ryzykiem związanym z ICT.
Nie ma jednej uniwersalnej odpowiedzi, jednak wydaje się, że współpraca z kluczowym zewnętrznym dostawcą usług ICT będzie wiązała się z mniejszym ryzykiem.
W przypadku kluczowych dostawców poziom bezpieczeństwa świadczonych przez nich usług będzie weryfikowany nie tylko przez podmioty finansowy, lecz przede wszystkim przez organy nadzorcze. Można założyć, że fakt objęcia ich nadzorem „wymusi” dochowanie najwyższych standardów, zatem współpraca z takimi podmiotami co do zasady będzie obarczona mniejszym ryzykiem.
Nie. Natomiast warunkiem możliwości korzystania z usług kluczowego zewnętrznego dostawcy usług ICT jest ustanowienie przez niego jednostki zależnej na terytorium UE w ciągu 12 miesięcy od wyznaczenia dostawcy jako kluczowego.
Pierwsza propozycja tekstu DORA była bardziej restrykcyjna i wykluczała możliwość korzystania z usług zewnętrznego dostawcy usług ICT, który „zostałby wyznaczony jako jeden z kluczowych dostawców usług ICT, gdyby miał siedzibę w UE”.
Tak. DORA dopuszcza możliwość zatrudnienia zewnętrznych testerów, jednak wiąże się to z pewnymi obowiązkami – przede wszystkim zapewnieniem należytej ochrony informacji poufnych podmiotu finansowego oraz posiadaniem odpowiedniego ubezpieczenia OC przez testerów.
Uchwalenie ani wejście w życie DORA nie wiąże się z automatycznym uchyleniem innych aktów, szczególnie wytycznych i rekomendacji polskiego nadzoru.
Natomiast DORA będzie aktem bezwzględnie obowiązującym (tak jak ustawy) i będzie w dużej mierze pokrywała ten sam zakres co wytyczne KNF / UKNF dot. wykorzystywania technologii w sektorze finansowym. Dlatego zmiany lub nawet uchylenie niektórych wytycznych nadzorcy są prawdopodobne.
Tak. Wykorzystywanie usług chmurowych wiąże się z obszarem ICT oraz powiązanymi z nim ryzykami, zatem DORA będzie miała zastosowanie również do usług cloud’owych. Wynika to również bezpośrednio z motywu 19 projektowanego rozporządzenia.
Nie. Wiele dokumentów wymaganych przez DORA pokrywa się z dokumentami, które podmioty finansowe tworzą już teraz. Z DORA nie wynika obowiązek zastąpienia dotychczasowych procedur. Podmioty finansowe mogą wykorzystać dokumentację funkcjonującą już w organizacjach po upewnieniu się, że uwzględnia ona elementy wymagane przez DORA oraz (w razie potrzeby) uzupełnieniu jej o brakujące kwestie.