Jaka ustawa implementuje DORA w Polsce?

W przeciwieństwie do dyrektyw, DORA jest rozporządzeniem unijnym. Oznacza to, że stosuje się je bezpośrednio w każdym kraju UE bez konieczności uchwalania nowej ustawy wdrażającej.

Jednak w Polsce przyjęto Ustawę o zmianie niektórych ustaw w związku z zapewnieniem operacyjnej odporności cyfrowej sektora finansowego. Pełni ona rolę „technicznego łącznika” – wyznacza Komisję Nadzoru Finansowego (KNF) jako organ odpowiedzialny za nadzór nad DORA w Polsce i dostosowuje polskie przepisy (np. prawo bankowe) do unijnych wymogów.

Jaki jest cel DORA?

Główne cele Rozporządzenia DORA to:

1. Zapewnienie ciągłości usług finansowych w UE
2. Zwiększenie odporności instytucji finansowych na incydenty ICT
3. Ujednolicenie wymagań dotyczących zarządzania ryzykiem IT
4. Lepsza kontrola nad zewnętrznymi dostawcami usług ICT
5. Ograniczenie skutków awarii, cyberataków i błędów technologicznych

DORA wychodzi z założenia, że zakłócenia cyfrowe w sektorze finansowym mogą mieć poważne skutki systemowe – nie tylko dla pojedynczej firmy, ale dla całej gospodarki.

Kogo dotyczy Rozporządzenie DORA?

DORA obejmuje szeroki katalog podmiotów sektora finansowego, w tym m.in.:

• banki i oddziały banków zagranicznych,
• instytucje płatnicze i pieniądza elektronicznego,
• firmy inwestycyjne,
• towarzystwa funduszy inwestycyjnych i emerytalnych,
• zakłady ubezpieczeń i reasekuracji,
• giełdy, izby rozliczeniowe i depozyty papierów wartościowych,
• dostawców usług kryptowalutowych,
• wybranych dostawców usług ICT świadczących usługi dla sektora finansowego.

Zakres regulacji jest bardzo szeroki i obejmuje zarówno duże instytucje, jak i mniejsze podmioty, przy czymwymagania są proporcjonalne do skali i profilu ryzyka.

Kluczowe wymagania dla biznesu

DORA opiera się na pięciu filarach, które każda instytucja musi wdrożyć:

1. Zarządzanie ryzykiem ICT

Instytucje muszą posiadać solidne ramy zarządzania ryzykiem. To zarząd firmy ponosi pełną odpowiedzialność za cyberbezpieczeństwo. Musi on regularnie zatwierdzać strategie, budżety na bezpieczeństwo i brać udział w szkoleniach.

2. Zgłaszanie incydentów

Wprowadzono jednolity system raportowania poważnych incydentów związanych z technologią. Firmy muszą klasyfikować awarie i ataki według określonych kryteriów i zgłaszać je do organów nadzoru w bardzo krótkim czasie.

3. Testowanie odporności

To jeden z najtrudniejszych wymogów. Podmioty muszą regularnie testować swoje systemy (np. poprzez testy penetracyjne). Największe instytucje mają obowiązek raz na 3 lata przeprowadzać zaawansowane testy typu TLPT (Threat Led Penetration Testing), czyli kontrolowane ataki przeprowadzane przez etycznych hakerów.

4. Zarządzanie ryzykiem ze strony dostawców zewnętrznych

Firmy finansowe muszą bardzo dokładnie sprawdzać swoich dostawców IT (np. dostawców chmury). Umowy z nimi muszą zawierać konkretne zapisy o poziomie usług, bezpieczeństwie i prawie do audytu.

5. Wymiana informacji

DORA zachęca instytucje do dobrowolnego dzielenia się między sobą informacjami o zagrożeniach i wirusach, aby cała branża mogła szybciej reagować na nowe metody hakerów.

Komisja Nadzoru Finansowego publikuje na bieżąco odnośne akty wykonawcze UE (delegowane i wykonawcze, np. kryteria wyznaczania krytycznych dostawców czy klasyfikację incydentów).

Europejskie organy nadzoru (EBA, ESMA, EIOPA) wydały akty poziomu 2 (RTS/ITS) uszczegóławiające m.in. klasyfikację incydentów, proces raportowania, wymagania dla testów oraz zarządzania stronami trzecimi.

Jakie kary grożą za nieprzestrzeganie DORA?

Rozporządzenie DORA zobowiązuje państwa członkowskie do wprowadzenia skutecznych i odstraszających sankcji. W Polsce mogą to być m.in.:

• wysokie kary finansowe,
• decyzje administracyjne nakazujące usunięcie naruszeń,
• ograniczenie lub cofnięcie zezwoleń,
• odpowiedzialność członków zarządu,
• zwiększony nadzór i kontrole KNF.

Konkretna wysokość kar zależy od rodzaju podmiotu i charakteru naruszenia.

Organy nadzoru mogą stosować kontrole, nakazy działań naprawczych, ograniczenia, a także kary finansowe. W praktyce możliwe są m.in. kary do 2% globalnego obrotu dla podmiotów finansowych oraz do 5 mln EUR dla krytycznych dostawców ICT – wraz z możliwością zawieszenia czy zakończenia umów z dostawcami, jeśli zagrażają odporności operacyjnej. (Uwaga: konkretne progi mogą wynikać z przepisów UE oraz prawa krajowego i decyzji nadzorczych).

Co to oznacza dla biznesu?

• Uporządkowany framework ICT i ciągłe testowanie odporności.
• Szybkie, ustandaryzowane raportowanie poważnych incydentów ICT.
• Twarde zasady dla umów z dostawcami ICT, w tym kontrola ryzyka koncentracji i nadzór nad dostawcami krytycznymi.
• Gotowość na kontrole KNF oraz potencjalne sankcje przy niezgodności.

Podsumowanie

Rozporządzenie DORA:

• dotyczy większości sektora finansowego w UE,
• koncentruje się na odporności operacyjnej i cyfrowej,
• wprowadza obowiązki w zakresie zarządzania ryzykiem ICT i dostawcami,
• obowiązuje w Polsce bezpośrednio od 17 stycznia 2025 r.

Dla biznesu oznacza to jedno: stabilność systemów IT i ciągłość usług finansowych stają się kluczowym obowiązkiem prawnym i strategicznym.

Opracowanie: prof. Grzegorz Strupczewski