Aktualizacja SPR-PF-26, SPR-PF-27 oraz KNF publikuje instrukcję do SPR-PF-01

Aktualizacja formularzy wynikała z konieczności wprowadzenia poprawek do opisu miernika BEZ.06 w formularzu SPR-PF-26 oraz opisów mierników BFI.R04 oraz STR.R06 w formularzu SPR-PF-27.

Wraz z nową wersją formularzy sprawozdawczych dot. KRI opublikowana została zaktualizowana wersję (v.1.4) instrukcji wypełniania i przekazywania formularzy sprawozdawczych wynikających z Rozporządzenia (UE) 2022/2554 (DORA).

Aktualizacja instrukcji dotyczy m.in. formularza SPR-PF-01, który stanowić ma kluczowy element raportowania w obszarze ram zarządzania ryzykiem ICT.

Formularz SPR-PF-01 określony w nowej wersji instrukcji służyć ma do raportowania wykazu obowiązujących regulacji wewnętrznych oraz dokumentacji składającej się na ramy zarządzania ryzykiem ICT – zarówno dla podmiotów stosujących pełne ramy zarządzania ryzykiem (zgodnie z art. 6 ust. 3 DORA), jak i dla tych objętych uproszczonymi wymogami (art. 16 ust. 1 DORA).

Zgodnie z instrukcją podmiot wypełnia zestaw arkuszy w formacie .xlsx, obejmujących m.in.:

• A_01.02a – Wykaz obowiązujących regulacji wewnętrznych składających się na ramy zarządzania ryzykiem ICT (art. 16.1 DORA);
• A_01.02b – Wykaz obowiązujących regulacji wewnętrznych składających się na ramy zarządzania ryzykiem ICT (art. 6.3 DORA);
• A_01.03a – Obszary ram zarządzania ryzykiem ICT (art. 16.1 DORA);
• A_01.03b – Obszary ram zarządzania ryzykiem ICT (art. 6.3 DORA);
• A_01.04 – Zarządzanie ryzykiem związanym z ICT.

Celem raportowania w oparciu o formularz SPR-PF-01 ma być zapewnienie organowi nadzorczemu (UKNF) pełnego obrazu stosowanych polityk, procedur i standardów w zakresie zarządzania ryzykiem ICT, a także monitorowania zgodności z wymogami operacyjnej odporności cyfrowej.

Nowa instrukcja wprowadza doprecyzowanie opisów pól i arkuszy, w tym wymogów dotyczących:

• zakresu informacji przekazywanych w części dotyczącej norm, standardów i wskaźników monitorowania bezpieczeństwa ICT,
• rozróżnienia pomiędzy pełnymi i uproszczonymi ramami zarządzania ryzykiem,
• formatów i walidacji danych w szablonie .xlsx (np. weryfikacja dat i kodów UKNF).

Zmiany mają na celu ułatwienie jednolitego raportowania oraz dostosowanie formularza do rozporządzeń wykonawczych.

Formularz SPR-PF-01 przekazywany ma być na podstawie art. 6 ust. 3 DORA i dotyczyć ma wszystkich podmiotów finansowych (zarówno ramy pełne jak i uproszczone). Przesyłany ma być na żądanie w terminie wyznaczonym w żądaniu. Aktualizacja instrukcji oznacza, że Komisja Nadzoru Finansowego gotowa jest do rozpoczęcia przesyłania wezwań do podmiotów obowiązanych z żądaniem uzupełnienia raportów w zakresie stosowanych polityk, procedur i standardów dot. ram zarządzania ryzykiem związanym z ICT.

Wsparcie w realizacji obowiązków

Kancelaria prawna KRWLegal / LegalWell posiada bogate doświadczenie w zakresie wdrożenia wymagań DORA, RODO oraz NIS. Kancelaria dysponuje ekspertami, którzy na co dzień wspierają Klientów Kancelarii w realizacji audytów, przeglądów dokumentacji, przesyłaniu sprawozdań do Komisji Nadzoru Finansowego, szkoleniach. Kancelaria KRWLegal / LegalWell doradza również w przypadku wystąpienia incydentów i naruszeń bezpieczeństwa informacji.

Kancelaria prawna KRWLegal/ LegalWell zapewnia profesjonalne i fachowe doradztwo w wielu dziedzinach prawa, w tym świadczy usługi doradztwa w zakresie Rozporządzenia DORA, zgodności prawnej w zakresie cyberbezpieczeństwa oraz prowadzi szkolenia w tym obszarze dla pracowników instytucji obowiązanych.

Jeśli uważasz, że może mieć to wpływ na Twój biznes, zapraszamy do kontaktu: biuro@krwlegal.pl lub +48 22 29 50 940.