Czego dotyczy unijne rozporządzenie DORA? Wprowadza nowe pojęcia i wymagania dotyczące cyberbezpieczeństwa w sektorze finansowym. Prezentujemy przewodnik po DORA z wyjaśnieniem trudnych pojęć dla dostawców usług ICT.
- Przewodnik po DORA
- DORA - co to jest?
- Odporność operacyjna
- Usługi ICT (Information and Communication Technology, czyli technologie informacyjno-komunikacyjne)
- Zewnętrzny dostawca usług ICT
- Incydent związany z ICT
- Ryzyko związane z ICT
- Co to oznacza dla dostawców ICT?
- DORA - podsumowanie
Przewodnik po DORA
Unijne rozporządzenie DORA, czyli akt dotyczący operacyjnej odporności cyfrowej sektora finansowego, wprowadza nowe pojęcia i wymagania dotyczące cyberbezpieczeństwa w sektorze finansowym. Dotyczy nie tylko banków, ubezpieczycieli i instytucji płatniczych, ale także pośrednio dostawców usług ICT, którzy z nimi współpracują. Jeśli prowadzisz firmę zajmującą się IT, warto sprawdzić, czy DORA, która w Polsce obowiązuje od stycznia 2025 roku, dotyczy również Twojej organizacji, a jeśli tak – jakie jej pojęcia warto znać. Oto krótki przewodnik po najważniejszych terminach.
Katarzyna Armińska-Waszczyk, radca prawny
Katarzyna Armińska-Waszczyk, radca prawny
Źródło zewnętrzne
DORA - co to jest?
DORA (skrót od Digital Operational Resilience Act) to unijne rozporządzenie, za pomocą którego Unia Europejska chce zwiększyć odporność cyfrową całego sektora finansowego. Finanse i system finansowy to filary wolności i niezależności Europejczyków, dlatego zagadnienia cyberbezpieczeństwa należą do najważniejszych tematów na unijnej agendzie ustawodawczej. Dzięki rozwiązaniom wprowadzonym przez DORA, instytucje finansowe będą mogły skutecznie przeciwdziałać cyberatakom, szybko reagować na incydenty i minimalizować ryzyko związane z usługami ICT.
Odporność operacyjna
To kluczowe pojęcie w DORA. Oznacza zdolność organizacji do zapobiegania incydentom cybernetycznym, reagowania na nie i odbudowywania się po nich. Firmy finansowe muszą wdrożyć wzmocnione procedury zarządzania ryzykiem ICT. W razie cyberataku muszą szybko przywrócić normalne działanie systemów, ale także już wcześniej przygotować się tak, aby cyberataki nie wywoływały nieodwracalnych szkód w ich systemach. W ten sposób pieniądze klientów instytucji finansowych oraz cały system finansowy będzie lepiej chroniony przed współczesnymi zagrożeniami.
Usługi ICT (Information and Communication Technology, czyli technologie informacyjno-komunikacyjne)
Usługi ICT to wszelkie rozwiązania technologiczne, które wspierają działanie instytucji finansowych. Obejmują m.in.:
- usługi przetwarzania danych w chmurze,
- systemy zarządzania bezpieczeństwem informacji,
- usługi cyberbezpieczeństwa,
- outsourcing IT,
- zarządzanie sieciami i infrastrukturą IT.
- Choć formalnie podmiotami zobowiązanymi z rozporządzenia DORA są instytucje finansowe, to na zasadzie kaskady odpowiedzialności będą one wymagać spełnienia wymagań od swoich dostawców usług ICT. Po to, aby same mogły wykazać się zgodnością z rozporządzeniem. Zatem jeśli firma z obszaru ICT dostarcza tego typu usługi dla sektora finansowego, DORA może dotyczyć także jej działalności, z czego dziś nie wszyscy dostawcy ICT, zdają sobie jeszcze sprawę - mówi Katarzyna Armińska-Waszczyk z gdańskiej kancelarii Armińska Radcowie Prawni, która świadczy usługi audytu i wdrażania rozwiązań zgodnych z DORA.
Zewnętrzny dostawca usług ICT
Dostawcą usług ICT jest każda firma, która świadczy usługi technologiczne dla instytucji finansowych. Może to być dostawca chmury, supportu oprogramowania, systemów bezpieczeństwa czy infrastruktury IT.W zależności od rodzaju i znaczenia usług niektóre firmy mogą zostać uznane za kluczowych zewnętrznych dostawców usług ICT, co wiąże się z dodatkowymi wymogami regulacyjnymi. Wyznaczenie takiego kluczowego dostawcy odbywa się w specjalnej procedurze, szczegółowo uregulowanej w DORA.
Incydent związany z ICT
To każde zakłócenie, które zagraża bezpieczeństwu sieci i systemów informatycznych i negatywnie wpływa na dostępność, poufność, autentyczność lub integralność, lub na usługi świadczone przez organizację finansową. Przykładami taki incydentów są m.in. ataki ransomware, awarie serwerów, czy wycieki danych. Takie zakłócenie może być pojedynczym zdarzeniem lub serią powiązanych ze sobą zdarzeń, które nie były zaplanowane przez podmiot finansowy.
Ryzyko związane z ICT
DORA kładzie nacisk na zarządzanie ryzykiem związanym z ICT. Instytucje finansowe i ich dostawcy muszą identyfikować zagrożenia, oceniać ryzyko i wdrażać środki zapobiegawcze. Dotyczy to zarówno cyberataków, jak i awarii technologicznych. Zgodnie z rozporządzeniem DORA ryzyko związane z ICT to taka sytuacja związana z użytkowaniem sieci i systemów informatycznych, która - jeśli się urzeczywistni - może naruszyć bezpieczeństwo sieci i systemów informatycznych, narzędzia lub procesu zależnego od technologii, przez wywołanie negatywnych skutków w sferze cyfrowej lub fizycznej.
Co to oznacza dla dostawców ICT?
W szerszym zakresie DORA nie dotyczy tylko banków, ubezpieczycieli, instytucji płatniczych czy firm inwestycyjnych. Jak mówi ekspertka, Katarzyna Armińska-Waszczyk: - Jeśli firma dostarcza na przykład usługi wsparcia, usługi chmurowe, cyberbezpieczeństwo, również pośrednio może podlegać nowym regulacjom. Instytucja finansowa ma bowiem obowiązek zadbać, aby jej dostawcy usług ICT spełniali wymogi DORA, ponieważ same muszą być zgodne z przepisami tego rozporządzenia. Warto sprawdzić, czy twoja firma jest gotowa na te zmiany.
DORA - podsumowanie
Rozporządzenie DORA to krok w stronę większego bezpieczeństwa cyfrowego w Europie. Jeśli jesteś dostawcą usług ICT dla sektora finansowego, powinieneś wiedzieć, jakie środki powinieneś wdrożyć. Najważniejsze obszary, jakie reguluje to rozporządzenie to zarządzanie ryzykiem, testowanie systemów i spełnianie wymogów raportowania incydentów. Im szybciej dostosujesz swoją firmę do DORA, tym lepiej zabezpieczysz swoje interesy i zwiększysz konkurencyjność na rynku finansowym.
Autor: radca prawny, Katarzyna Armińska-Waszczyk
Polecamy: Wideoszkolenie: Procedura korzystania z AI i inne obowiązki pracodawców 2025