Od piątku, 17 stycznia 2025 roku, obowiązuje rozporządzenie DORA (Digital Operational Resilience Act), które stanowi przełomowy krok w zakresie bezpieczeństwa cyfrowego w sektorze finansowym Unii Europejskiej. Jego celem jest wzmocnienie odporności instytucji finansowych na zagrożenia związane z cyberatakami, awariami systemów czy innymi kryzysami cyfrowymi, które mogą wpłynąć na stabilność finansową regionu.

Czym jest DORA?

Rozporządzenie DORA wprowadza kompleksowe zasady, które mają na celu zapewnienie ciągłości działania w przypadku zakłóceń cyfrowych w instytucjach finansowych. Zostało ono zaprojektowane, aby chronić systemy finansowe UE przed rosnącymi zagrożeniami związanymi z postępującą digitalizacją, która zwiększa ryzyko ataków cybernetycznych i innych problemów technicznych.

DORA obejmuje szeroki zakres działań, w tym wymogi dotyczące zarządzania ryzykiem związanym z technologiami informacyjnymi i komunikacyjnymi (ICT), monitorowania cyberzagrożeń, a także obowiązki raportowania incydentów, które mogą mieć wpływ na operacje finansowe. Rozporządzenie nakłada obowiązki na instytucje finansowe, takie jak banki, fundusze inwestycyjne, ubezpieczyciele, a także na dostawców zewnętrznych usług ICT, którzy współpracują z tymi instytucjami.

Kluczowe wymagania rozporządzenia DORA

DORA wprowadza szereg wymogów, które muszą spełniać wszystkie instytucje finansowe i ich partnerzy w zakresie cyberbezpieczeństwa. Oto niektóre z najważniejszych:

Zarządzanie ryzykiem ICT – Instytucje finansowe muszą opracować i wdrożyć systemy zarządzania ryzykiem związanym z technologiami ICT. Oznacza to m.in. przeprowadzanie regularnych audytów, analizowanie potencjalnych zagrożeń oraz rozwijanie procedur reagowania na kryzysy cyfrowe.

Ciągłość działania – Zgodnie z DORA, instytucje finansowe będą zobowiązane do opracowania planów ciągłości działania, które uwzględniają różne scenariusze zakłóceń, takie jak cyberataki czy awarie systemów. Należy zapewnić, że kluczowe usługi będą mogły być realizowane nawet w przypadku kryzysu technologicznego.

Zewnętrzni dostawcy usług ICT – Rozporządzenie wprowadza także obowiązki dla dostawców usług ICT, którzy świadczą usługi na rzecz instytucji finansowych. Muszą oni spełniać określone standardy bezpieczeństwa i współpracować w zakresie monitorowania i zarządzania ryzykiem. Instytucje finansowe będą musiały dokonać szczegółowej oceny ryzyka związanego z zewnętrznymi dostawcami oraz przeprowadzać regularne kontrole.

Raportowanie incydentów – DORA nakłada obowiązek raportowania wszelkich incydentów związanych z cyberbezpieczeństwem, które mogą wpłynąć na działalność instytucji finansowych. W przypadku wystąpienia poważnych zagrożeń, takie incydenty muszą być zgłaszane odpowiednim organom nadzorczym w ciągu 24 godzin.

Testowanie odporności na cyberzagrożenia – Instytucje finansowe będą zobowiązane do regularnego przeprowadzania testów odporności swoich systemów ICT na cyberzagrożenia. Testy te mają na celu identyfikację potencjalnych słabości oraz usprawnienie procedur reagowania na incydenty.

Dlaczego DORA jest ważna?

W dobie cyfryzacji i rosnącej liczby zagrożeń związanych z cyberbezpieczeństwem, DORA stanowi istotny element w budowaniu bezpiecznego i odpornym systemu finansowego w UE. Zgodnie z badaniami, sektor finansowy staje się jednym z najczęściej atakowanych przez cyberprzestępców, co może prowadzić do poważnych konsekwencji – zarówno na poziomie pojedynczych instytucji, jak i całej gospodarki.

DORA wprowadza jednolite standardy w całej Unii Europejskiej, co pozwala na harmonizację przepisów i ułatwia współpracę międzynarodową w zakresie przeciwdziałania cyberzagrożeniom. Dzięki temu, instytucje finansowe w różnych krajach UE będą mogły wprowadzać podobne procedury i środki ostrożności, co przyczyni się do wzmocnienia całego systemu finansowego.

Co to oznacza dla instytucji finansowych?

Dla instytucji finansowych wprowadzenie DORA wiąże się z koniecznością dostosowania swoich procesów, procedur i systemów IT do nowych regulacji. Wymaga to zarówno inwestycji w technologie zabezpieczające, jak i organizacyjnych zmian w zakresie zarządzania ryzykiem. Banki, fundusze inwestycyjne, ubezpieczyciele oraz inni uczestnicy rynku finansowego będą musieli przeprowadzić audyty bezpieczeństwa swoich systemów, zaktualizować plany ciągłości działania, a także zadbać o odpowiednie przeszkolenie pracowników.

Wprowadzenie DORA to także szansa na podniesienie poziomu bezpieczeństwa w sektorze finansowym, co może zwiększyć zaufanie do instytucji finansowych i całego rynku. Dostosowanie się do nowych regulacji pomoże instytucjom lepiej przygotować się na przyszłe zagrożenia i poprawić swoją odporność na kryzysy technologiczne.

Rozporządzenie DORA, które weszło w życie 17 stycznia 2025 roku, to krok w stronę wzmocnienia odporności sektora finansowego Unii Europejskiej na zagrożenia cyfrowe. Nowe przepisy mają na celu ochronę instytucji finansowych przed cyberatakami, awariami systemów czy innymi kryzysami, które mogą wpłynąć na stabilność finansową regionu. Choć wprowadzenie DORA wiąże się z koniecznością dostosowania procedur i systemów IT w instytucjach finansowych, to również stanowi ważny element w budowaniu bezpiecznego i odpornego rynku finansowego w Unii Europejskiej.