Banki, firmy ubezpieczeniowe i inne podmioty rynku finansowego coraz częściej opierają się w swojej działalności na usługach internetowych, aplikacjach dla klientów i kontrahentów, programach komputerowych do bieżącej działalności. Nie wspominając nawet o kryptowalutach, pieniądzu elektronicznym czy inwestycjach na giełdach międzynarodowych – wyraźnie widać, że usługi finansowe nawet w naszej codziennej działalności przeniosły się do sfery cyfrowej. Powyższe ułatwia życie nam wszystkim. Zamiast udawać się do banku z każdym przelewem, wystarczy nam kilka kliknięć myszką i już środki znajdują się na koncie docelowego odbiorcy. Nie musimy martwić się już, że zapomnieliśmy wykupić polisę ubezpieczeniową przed podróżą do innego kraju, skoro w drodze na lotnisko możemy na smartfonie złożyć wniosek i otrzymać polisę w ciągu kilku minut. Jeśli prowadzimy biznes z kontrahentem z innego kraju, z przelewem błyskawicznym możemy opłacić towar w kilka minut czy bez problemu ubezpieczyć towar w kraju kontrahenta. Denerwujemy się tylko, że bank wymaga od nas podwójnej czy potrójnej autoryzacji, a my nie mamy już siły zapamiętywać, któregoś z kolei silnego hasła czy znaków cyfrowych dla jednego z naszych 5 kont bankowych. Rzadko zastanawiamy się jednak, z jak wielkim ryzykiem wiąże się przejście w tym zakresie do strefy cyfrowej. Rozwój tej strefy powoduje znaczne zwiększenie aktywności przestępczej i wzrost liczby cyberataków zarówno na systemy podmiotów finansowych, jak również nasze indywidualne konta. W związku z tym nasz polski regulator – Komisja Nadzoru Finansowego, jak również organizacje międzynarodowe, nakładają coraz to bardziej restrykcyjne obowiązki na powyższe podmioty, nie po to, aby utrudniać nam życie… ale po to, aby chronić nas i nasze pieniądze. Mając na uwadze, że transakcje te coraz częściej mają charakter międzynarodowy, niewystarczającym jest regulowanie tej kwestii na poziomie krajowym, czy też wydawanie jedynie wytycznych, których egzekwowanie w kraju docelowym nie jest do końca jasne i przejrzyste. Dlatego też, Unia Europejska już w 2020 roku rozpoczęła prace nad Rozporządzeniem w sprawie operacyjnej odporności cyfrowej (DORA). Prace nad tak istotnym dokumentem połączone były jednak z olbrzymim nakładem pracy, czasu i konsultacji z wszystkimi państwami członkowskimi. 10 maja 2022 roku organy Unii Europejskiej doszły do wstępnego porozumienia w zakresie treści Rozporządzenia, które to z uwagi na swój charakter prawny będzie bezpośrednio wiązało podmioty finansowe jak również ich dostawców usług cyfrowych bez konieczności bezpośredniego wdrożenia go w osobnej ustawie w każdym kraju członkowskim. DORA będzie stanowić swoistą konstytucję, nieprzekraczalny zakres praw i obowiązków nałożonych na instytucje finansowe w zakresie bezpieczeństwa finansowego w obszarze cyfrowym. Dla instytucji finansowej, czy też outsourcera usług IT dla branży finansowej, DORA będzie więc równie istotnym aktem prawnym, jak dotychczas RODO dla każdego podmiotu prawnego. DORA ma na celu wzmocnienie bezpieczeństwa systemów cyfrowych instytucji finansowych, a w związku z tym wzmocnienie również naszego bezpieczeństwa. Oczekuje się, że DORA zostanie zatwierdzona w 2022 roku i wprowadzona w życie do 2023 roku. Okres na wdrożenie większości wymagań ma jednak wynosić 24 miesiące, a w zakresie wdrożenia wymogów dotyczących testowania odporności 24 lub 26 miesięcy, w zależności od ostatecznie wypracowanego stanowiska Parlamentu Europejskiego i Rady Unii Europejskiej. Co reguluje DORA:

• Zarządzanie ryzykiem cyberbezpieczeństwa oraz strukturę zarządzania ICT:

DORA określa ramy i wytyczne dotyczące zarządzania ryzykiem w sektorze finansowym.

• Testy odporności/ciągłości:

DORA wprowadza rekomendacje kierunkowe, aby objęte zakresem rozporządzenia podmioty wdrażały programy testowania odporności na podstawie wcześniejszej oceny ryzyka wystąpienia danych incydentów.

• Wymianę informacji:

DORA wprowadza możliwość i zachęca do wymiany informacji o cyberzagrożeniach i słabościach systemowych, dąży do tego, aby cała branża stała się bardziej świadoma i przygotowana do obrony przed cyberzagrożeniami.

• Outsourcing usług ICT:

DORA reguluje minimalne wymagania kontraktowe instytucji finansowych z ich dostawcami. Instytucje są również zobowiązane do posiadania strategii zarządzania ryzykiem ze strony dostawców. Artykuły 25-39 Rozporządzenia określają szczegółowe wymogi dotyczące sposobu, w jaki podmioty finansowe mają zarządzać ryzykiem tzw. stron trzecich świadczących usługi ICT.

• Zgłaszanie incydentów:

DORA rozszerza zakres zgłaszania incydentów i stara się usprawnić proces zgłaszania. Szybsze raportowanie ma za zadanie zachęcić do szybkiej identyfikacji, badania i reagowania, co również ma ułatwić wymianę informacji. Ponadto DORA umożliwi organom nadzorczym kontrolę krytycznych dostawców zewnętrznych ICT (CTTP). Dostawcy, którzy zostali określeni jako krytyczni dostawcy zewnętrzni ICT, którzy nie zastosują się do żądania nadzorcy w zakresie dotyczącym informacji i dokumentacji, mogą zostać ukarani grzywną w wysokości do 1% ich średniego dziennego światowego obrotu za każdy dzień, do sześciu miesięcy (art. 31 ust. 4 – 9). W odniesieniu do innych podmiotów niż dostawcy krytyczni – w zakresie nałożenia kar pozostawiono swobodę państwom członkowskim. Ustalone sankcje i środki muszą być jednak skuteczne, proporcjonalne i odstraszające i obejmujące co najmniej:

• wydanie nakazu zaprzestania danego postępowania oraz do powstrzymania się od ponownego podjęcia;
• wymaganie tymczasowego lub stałego zaprzestania wszelkiej praktyki lub postępowania;
• przyjęcie wszelkiego rodzaju środków, w tym o charakterze pieniężnym, mających zapewnić dalsze przestrzeganie wymogów prawnych przez podmioty finansowe;
• wymaganie, udostępnienia istniejących rejestrów przesyłu danych będących w posiadaniu operatora telekomunikacyjnego;
• wydanie publicznych ogłoszeń, w tym podanie do wiadomości publicznej informacji wskazującej tożsamość osoby fizycznej lub prawnej oraz charakter naruszenia.

  *W przypadku, gdy przepisy mają zastosowanie do osób prawnych, powyższe ma zastosowanie wobec członków organu zarządzającego oraz innych osób fizycznych, które w świetle prawa krajowego ponoszą odpowiedzialność za naruszenie. Ponadto, Państwa członkowskie mogą ustanowić sankcje karne za nieprzestrzeganie przepisów Rozporządzenia oraz zapewnić ich poprawne wdrożenie. Dla części największych dostawców usług finansowych wprowadzenie DORA nie zmieni zbyt wiele, a będzie wymagało jedynie audytu obowiązujących procedur, możliwie drobną ich ewolucję i zwiększenie poziomu uprawnień instytucji nadzorczych. Dla części mniejszych podmiotów, w szczególności podmiotów korzystających z outsourcingu usług informatycznych, wprowadzenie DORA może okazać się rewolucją, gdyż system nadzorczy nad podmiotami rynku finansowego i wymiana informacji na poziomie międzynarodowym ulegnie wzmocnieniu. Podobnie jak z RODO, wprowadzenie realnych i konkretnych sankcji dla takich podmiotów powinno spowodować zmiany i zwiększenie bezpieczeństwa świadczonych usług, a tym samym zwiększenie bezpieczeństwa ich klientów i kontrahentów.