Rozporządzenie DORA — Digital Operational Resilience Act jest europejskim rozporządzeniem, częścią nowej strategii dla sektora finansów Unii Europejskiej przekształcenia usług finansowych w jednolity rynek cyfrowy (pełny tekst rozporządzenia). Jego celem jest zwiększenie odporności sektora finansowego na ryzyka związane z cyberbezpieczeństwem oraz innymi zagrożeniami operacyjnymi, takimi jak awarie techniczne czy błędy ludzkie.

Od kiedy obowiązuje rozporządzenie DORA?

Zgodnie z DORA objęte nią podmioty powinny:

• określić wymogi dotyczące zapewnienia ciągłości działania w przypadku incydentów dotyczących podwykonawców oraz dostawców usług zewnętrznych;

• wprowadzić ramowe zasady zarządzania ryzykiem ICT, w tym zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT;

• używać i utrzymywać zaktualizowane systemy ICT;

• utworzyć i wdrożyć polityki i procedury związane z bezpieczeństwem ICT;

• utworzyć i wdrożyć procedury, które pozwolą zarządzać incydentami związanymi z ICT;

• zgłaszać poważne incydenty związane z ICT do odpowiednich organów w czasie uzależnionym od sytuacji, informować o awariach i atakach nawet w czasie rzeczywistym;

• przeprowadzać regularne testy penetracyjne oraz ćwiczenia dotyczące reakcji na incydenty i utrzymania ciągłości działania.

Kogo dotyczy DORA?

DORA ma na celu poprawić odporność sektora finansowego na różnego rodzaju zagrożenia operacyjne i cyberbezpieczeństwo, a także zwiększyć zaufanie klientów do instytucji finansowych. Obejmuje w szczególności:

• Tradycyjne instytucje sektora finansowego m.in. banki, firmy ubezpieczeniowe, instytucje kredytowe, firmy inwestycyjne.

• Podmioty z obszaru cyfrowych finansów, w tym FinTech m.in. dostawcy usług w zakresie kryptoaktywów, instytucje płatnicze, instytucje pieniądza elektronicznego.

• Dostawcy technologii, w tym dostawcy usług chmury obliczeniowej i inni dostawcy usług ICT.

Lista objętych podmiotów rozporządzeniem DORA:

Kary w DORA

Kary będą zależne od charakteru naruszenia i jego skutków dla instytucji finansowej oraz sektora finansowego jako całości. DORA przewiduje również karę w wysokości do 10% rocznego obrotu instytucji finansowej za poważne naruszenia związane z cyberbezpieczeństwem i operacyjną odpornością.

Dostawcy usług ICT stanowią kluczowy element infrastruktury informatycznej sektora finansowego i mają wpływ na operacyjną odporność instytucji finansowych. Rozporządzenie przewiduje kary dla dostawców kluczowych usług ICT.

Organ nadzorczy dostał uprawnienia do nakładania kar finansowych na kluczowych zewnętrznych dostawców usług ICT. Kary mogą wynosić 1% średniego dziennego światowego obrotu takiego dostawcy w poprzedzającym roku obrotowym za każdy dzień niezachowania zgodności z określonymi w DORA wymaganiami.

Dlaczego DORA?

Digital Operational Resilience Act (DORA) to realizacja nowej strategii cyfrowych finansów UE, która opublikowana została w 2020. Jej głównym celem jest zwiększenie operacyjnej odporności cyfrowej sektora finansowego UE.

Przed podmiotami finansowymi nowa strategia stawia wymóg m.in.:

• zarządzania ryzykiem związanym z wykorzystaniem technologii informacyjno-komunikacyjnych (ICT);

• zgłaszania poważnych incydentów związanych z ICT właściwym organom;

• testowania operacyjnej odporności cyfrowej;

• wymiany informacji i danych wywiadowczych w związku z cyberzagrożeniami i lukami w tym obszarze;

• środków na rzecz należytego zarządzania przez podmioty finansowe ryzykiem ze strony zewnętrznych dostawców usług ICT.

Nowa unijna strategia ponadto określa:

• wymogi w odniesieniu do ustaleń umownych zawartych między zewnętrznymi dostawcami usług ICT a podmiotami finansowymi;

• ramy nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT świadczącymi usługi na rzecz podmiotów finansowych;

• zasady współpracy między właściwymi organami oraz zasady nadzoru i egzekwowania przepisów przez właściwe organy w odniesieniu do wszystkich kwestii objętych niniejszym rozporządzeniem.

Więcej przeczytacie tu: https://www.consilium.europa.eu/en/press/press-releases/2024/05/30/anti-money-laundering-council-adopts-package-of-rules/

Jesteście gotowi na nowe regulacje? Co myślicie o DORA?