Co to jest Digital Operational Resilience Act? Rozporządzenie DORA – wymagania z perspektywy dostawców ICT

Jakie zmiany wprowadza rozporządzenie DORA?

Rozporządzenie DORA ustala jednolite wymagania w zakresie bezpieczeństwa sieci i systemów informatycznych w sektorze finansowym oraz dostawców kluczowych usług ICT, którzy świadczą usługi ICT (ang. Information and Communication Technologies) dla sektora finansowego.

Celem rozporządzenia DORA jest zapewnienie zharmonizowanych i wysokich standardów ICT w sektorze finansowym.

Jedną z najważniejszych zmian, jaką niesie za sobą DORA, jest objęcie nadzorem finansowym także dostawców kluczowych usług ICT. Dotychczasowe regulacje ICT sektora finansowego skierowane były wyłącznie do podmiotów finansowych. Praktyka nadzorcza i rynkowa pokazała jednak, że brak bezpośredniego nadzoru nad dostawcami ICT nie pozwala na efektywne zapewnienie cyberbezpieczeństwa w sektorze finansowym.

DORA przewiduje daleko idące obowiązki po stronie wyznaczonych dostawców kluczowych usług ICT. Ponadto rozporządzenie DORA określa rozbudowane kompetencje nadzorcze, które będą realizowane głównie przez Wiodący Organ Nadzorczy.

W artykule skupimy się na przedstawieniu następujących zagadnień:

• wyznaczenie dostawcy kluczowych usług ICT,
• termin rozpoczęcia wyznaczania dostawców kluczowych usług ICT,
• kryteria decydujące o wyznaczeniu dostawców kluczowych usług ICT,
• wyłączenia od wyznaczenia dostawców kluczowych usług ICT,
• ogólne wymagania umowne wobec dostawców usług ICT,
• uprawnienia Wiodącego Organu Nadzorczy
• kary finansowe – wysokości i przesłanki nałożenia,
• opłaty nadzorcze.

Rozporządzenie DORA: wyznaczenie dostawcy kluczowych usług ICT

Dostawca ICT będzie objęty bezpośrednim nadzorem finansowym w przypadku wyznaczenia go na dostawcę kluczowych usług ICT.

Dostawca kluczowych usług ICT będzie wyznaczany przez Europejskie Urzędy Nadzoru (EBA, ESMA oraz EIOPA), za pośrednictwem Wspólnego Komitetu i na podstawie zalecenia Forum Nadzoru. Ponadto w rozporządzeniu przewidziano, że dostawca ICT będzie mieć możliwość samodzielnego zawnioskowania o wyznaczenie go na krytycznego dostawcę ICT. 

Termin rozpoczęcia wyznaczania dostawców kluczowych usług ICT

Procedura wyznaczenia dostawcy kluczowych usług ICT rozpocznie się wraz z wydaniem aktu delegowanego Komisji, czyli planowo w ciągu 18 miesięcy od dnia wejścia w życie rozporządzenia DORA, tj. od 16 stycznia 2023 r. Dodatkowo akt delegowany Komisji może precyzować kryteria wyznaczenia dostawcy kluczowych usług ICT.

Warto zaznaczyć, że DORA przewiduje wydanie RTS (ang. Regulatory Technical Standards) w terminie 18 miesięcy od 16 stycznia 2023 r. RTS wpłyną na obowiązki wyznaczonych dostawców ICT, m.in. RTS w sprawie informacji, które wyznaczony dostawca ma obowiązek przekazywać Wiodącemu Organowi Nadzoru. Podkreślić należy, że planowane wydanie RTS nie wpływa na termin rozpoczęcia procedury wyznaczania.

Kryteria decydujące o wyznaczeniu dostawców kluczowych usług ICT

Nie każdy dostawca będzie adresatem bezpośrednich obowiązków nadzoru finansowego. DORA przewiduje rozbudowany katalog kryteriów, które będą decydowały o wyznaczeniu dostawcy kluczowych usług ICT. Zgodnie z rozporządzeniem DORA są to:

• systemowy wpływ na stabilność, ciągłość lub jakość świadczenia usług finansowych w przypadku awarii operacyjnej na dużą skalę;
• systemowe znaczenie lub charakter podmiotów finansowych, które korzystają z usług danego dostawcy ICT; rozporządzenie DORA wskazuje na następujące czynniki, które mają pozwolić na ocenę systemowego wpływu dostawcy ICT:
  - liczba globalnych instytucji o znaczeniu systemowym (G-SII) lub innych instytucji o znaczeniu systemowym (O-SII), które korzystają z usług danego dostawcy usług ICT;
  - współzależności między globalnymi instytucjami o znaczeniu systemowym lub innymi instytucjami o znaczeniu systemowym;
  - uzależnienie świadczenia krytycznych lub ważnych funkcji podmiotów finansowych od usług danego dostawcy ICT; co ważne – kryterium to jest brane pod uwagę niezależnie od tego, czy te usługi są świadczone bezpośrednio lub pośrednio, w ramach podwykonawstwa;
• stopień zastępowalności dostawcy usług ICT, z uwzględnieniem następujących parametrów:
  - brak rzeczywistych alternatyw, nawet częściowych; brak alternatyw może wynikać z: ograniczonej liczby dostawców ICT działających na określonym rynku, technicznej złożoności lub zaawansowania zastrzeżonej technologii, oraz dodatkowo szczególnych cech organizacji lub działalności dostawcy usług ICT;
  - trudności z migracją danych do innego dostawcy usług ICT ze względu na znaczne koszty finansowe, czas lub inne zasoby, co może wiązać się ze zwiększonym ryzykiem ICT lub innym ryzykiem operacyjnym podmiotu finansowego.

Wyłączenia od wyznaczenia dostawcy kluczowych usług ICT

DORA przewiduje, że pewna grupa dostawców ICT zostanie automatycznie wyłączona z procedury wyznaczenia na dostawcę kluczowych usług ICT. Wyznaczenie ma charakter podmiotowy, zatem oferowanie i świadczenie usług spełniające kryteria wyznaczenia dostawcy kluczowych usług ICT nie powinny rzutować na wyłączenie.

Zgodnie z rozporządzeniem DORA wyznaczeniu na dostawcę kluczowych usług ICT nie podlegają:

• podmioty finansowe świadczące usługi ICT na rzecz innych podmiotów finansowych;
• zewnętrzni dostawcy usług ICT, którzy podlegają ustanowionym ramom nadzoru do celów wspierania zadań, o których mowa w art. 127 ust. 2 Traktatu w sprawie Funkcjonowania Unii Europejskiej;
• wewnątrzgrupowi dostawcy usług ICT;
• zewnętrzni dostawy usług ICT świadczący usługi wyłącznie w jednym państwie członkowskim dla podmiotów finansowych, które działają tylko w tym państwie.

Rozporządzenie DORA: ogólne wymagania umowne wobec dostawców usług ICT

DORA przewiduje nadzór finansowy nad wyznaczonymi dostawcami ICT. W rezultacie dostawcy ICT będą musieli wziąć pod uwagę obowiązki w zakresie wymagań umownych opisane w tym rozporządzeniu.

Minimalne wymagania umowne wskazane w rozporządzeniu DORA zasadniczo nie odbiegają od dotychczasowych standardowych wymagań umów IT poza:

• obowiązkiem dostawcy ICT udzielenia pomocy w przypadku incydentu związanego z ICT bez dodatkowych kosztów lub ich ustalenia z góry;
• określeniem warunku udziału zewnętrznych dostawców ICT w programach szkoleniowych w zakresie bezpieczeństwa ICT.

W zakresie umów dotyczących krytycznych i ważnych funkcji DORA nakłada dodatkowe obowiązki, w szczególności:

• zobowiązanie zewnętrznego dostawcy ICT do uczestnictwa i pełnej współpracy w teście penetracyjnym podmiotu finansowego;
• ustanowienie obowiązkowego odpowiedniego okresu przejściowego na czas przeniesienia usługi do innego wykonawcy lub do własnej infrastruktury podmiotu finansowego;
• zapewnienie nieograniczonego prawa dostępu, kontroli i audytu przez podmiot finansowy lub wyznaczoną osobę trzecią, lub przez właściwy organ.

Uprawnienia Wiodącego Organu Nadzorczego

Europejskie Urzędy Nadzoru wyznaczą Wiodący Organ Nadzoru na nadzorcę wiodącego dla każdego kluczowego zewnętrznego dostawcy 

• nadzór nad wyznaczonymi dostawcami kluczowych usług ICT (Wiodący Organ Nadzoru będzie głównym punktem kontaktowym dla podlegających mu kluczowych zewnętrznych dostawców usług ICT);
• ocena, czy zewnętrzny dostawca usług teleinformatycznych o kluczowym znaczeniu posiada kompleksowe, solidne i skuteczne zasady, procedury, mechanizmy i ustalenia dotyczące zarządzania ryzykiem ICT; ocena będzie koncentrować się głównie na usługach ICT świadczonych przez dostawcę ICT oraz, jeżeli to konieczne, innych istotnych zagrożeniach.

Ocena dostawcy ICT będzie obejmowała m.in.:

• bezpieczeństwo, dostępność, ciągłość, skalowalność i jakość usług;
• bezpieczeństwo fizyczne;
• procesy zarządzania ryzykiem;
• ustalenia dotyczące zarządzania;
• identyfikację, monitoring i szybkość zgłaszania poważnych incydentów ICT;
• mechanizmy przenoszenia danych, aplikacji i interoperacyjności;
• testowanie ICT;
• audyty ICT;
• stosowanie odpowiednich norm krajowych i międzynarodowych mających zastosowanie do usług ICT świadczonych na rzecz podmiotów finansowych.

Uprawnienia Wiodącego Organu Nadzorczego:

• żądanie wszelkich istotnych informacji i dokumentacji;
• prowadzenie ogólnych dochodzeń i inspekcji;
• żądanie raportów po zakończeniu działań nadzorczych;
• wydawanie zaleceń odnoszących się w szczególności do
  - stosowania szczególnych wymogów lub procesów z zakresu bezpieczeństwa i jakości ICT;
  - korzystania z odpowiednich zasad, które wiodący organ uważa za istotne dla zapobieżenia awarii;
  - podwykonawstwa, w tym umów podoutsourcingu zawieranych przez kluczowych dostawców ICT;
  - warunków odstąpienia od zawarcia umowy dalszego podwykonawstwa.

Wiodący organ będzie uprawniony do nakładania kar pieniężnych w celu nakłonienia dostawcy kluczowych usług ICT do zachowania zgodnie z przepisami.

Kary finansowe – wysokości i przesłanki nałożenia

Wiodący Organ Nadzorczy wydaje decyzję nakładającą okresową karę pieniężną w przypadku całkowitego lub częściowego niezastosowania się przez kluczowego zewnętrznego dostawcę usług ICT do środków, które należy podjąć:

• w związku z wykonywaniem uprawnień organu nadzorczego (tj. żądania wszelkich istotnych informacji i dokumentacji, prowadzenia ogólnych dochodzeń i inspekcji, żądania raportów po zakończeniu działań nadzorczych) oraz
• po upływie co najmniej 30 dni kalendarzowych od dnia, w którym kluczowy zewnętrzny dostawca usług ICT otrzymał powiadomienie o odpowiednich środkach.

Karę pieniężną nakłada się codziennie do czasu osiągnięcia zgodności i nie dłużej niż przez 6 miesięcy od dnia zawiadomienia o decyzji o nałożeniu okresowej kary pieniężnej.

Wysokość okresowej kary pieniężnej, liczona od dnia określonego w decyzji o nałożeniu okresowej kary pieniężnej, wynosi do 1% średniego dziennego światowego obrotu zewnętrznego dostawcy kluczowych usług ICT w poprzednim roku obrotowym.

Przy ustalaniu wysokości kary pieniężnej Wiodący Organ Nadzorczy bierze pod uwagę następujące kryteria:

• wagę i czas trwania niezgodności;
• czy niezgodność została popełniona umyślnie, czy w wyniku zaniedbania;
• poziom współpracy zewnętrznego dostawcy usług ICT z Wiodącym Organem Nadzorczym.

Dodatkowo informacja o nałożeniu każdej okresowej kary pieniężnej może być upubliczniana, chyba że takie ujawnienie poważnie zagroziłoby rynkom finansowym lub spowodowałoby nieproporcjonalną szkodę dla zaangażowanych stron.

Dostawca ICT ma prawo do złożenia wyjaśnień w sprawie. Kara może być nałożona wyłącznie na podstawie ustaleń, do których dostawca usług ICT ma możliwość się odnieść.

Prawo do złożenia wyjaśnień w sprawie obejmuje prawo dostępu do akt, z zastrzeżeniem poszanowania uzasadnionego interesu innych osób oraz ochrony tajemnicy przedsiębiorstwa. Prawo dostępu do akt nie obejmuje informacji poufnych ani wewnętrznych dokumentów przygotowawczych Wiodącego Organu Nadzorczego.

Rozporządzenie DORA: opłaty nadzorcze

Wiodący Organ Nadzorczy jest uprawniony do pobierania opłat od kluczowych dostawców usług ICT. Opłaty w pełni pokrywają koszty niezbędne w związku z wykonywaniem zadań nadzorczych na podstawie rozporządzenia DORA. Opłata stanowi zwrot wszelkich kosztów, które mogą zostać poniesione w wyniku prac prowadzonych przez właściwe organy przystępujące do działań nadzorczych.

Wysokość opłaty pobieranej od kluczowego zewnętrznego dostawcy usług ICT pozwala na pokrycie wszystkich kosztów administracyjnych. Ponadto jest proporcjonalna do obrotów dostawcy.

Komisja jest uprawniona do przyjęcia aktu delegowanego w celu określenia wysokości opłat i sposobu ich uiszczania w ciągu 18 miesięcy od 16 stycznia 2023 r.