Instrukcje operacyjne ESA dotyczące raportowania poważnych incydentów związanych z ICT (DORA)

Instrukcje zostały przygotowane przez pracowników europejskich urzędów nadzoru (ESA) na zasadzie „best efforts” i uzgodnione z właściwymi organami krajowymi. Jak zastrzeżono w samym dokumencie, nie stanowią one interpretacji prawnej ani oficjalnego stanowiska ESA.

Dokument nie ma statusu wytycznych wydawanych na podstawie art. 16 rozporządzeń ustanawiających ESA. Formalnie jego adresatem są właściwe organy, które wykorzystują instrukcje w kontaktach nadzorczych z podmiotami finansowymi.

Instrukcje odnoszą się do trzech aktów wykonawczych rozporządzenia DORA:

• rozporządzenia wykonawczego Komisji (UE) 2025/302 – określającego standardowe formularze, szablony i procedury zgłaszania poważnych incydentów związanych z ICT oraz znaczących cyberzagrożeń;
• rozporządzenia delegowanego Komisji (UE) 2025/301 – określającego treść zgłoszenia wstępnego, sprawozdań śródokresowych i końcowych oraz terminy ich przekazania;
• rozporządzenia delegowanego Komisji (UE) 2024/1772 – określającego kryteria klasyfikacji incydentów związanych z ICT i cyberzagrożeń oraz progi istotności.

Zgodnie z rozporządzeniem 2025/301 zgłoszenie wstępne przekazuje się w ciągu 4 godzin od zaklasyfikowania incydentu jako poważny, nie później niż w ciągu 24 godzin od powzięcia o nim wiedzy. Sprawozdanie śródokresowe przekazuje się w ciągu 72 godzin od zgłoszenia wstępnego, a sprawozdanie końcowe nie później niż miesiąc po ostatnim sprawozdaniu śródokresowym.

W ramach instrukcji m.in. doprecyzowano sposób prezentacji danych finansowych podlegających raportowaniu. Kwoty w polach 3.11, 4.13 i 4.14 powinny być wykazywane w tysiącach jednostek waluty wskazanej w polu 1.15, z możliwością podania części dziesiętnych. Przykładowo kwotę 2500 EUR można przedstawić jako 2,5. Nieobowiązkowe pola tekstowe, które nie znajdują zastosowania, zaleca się pozostawiać puste. Informacje o dostawcy lub innym podmiocie finansowym, z którego pochodzi incydent, powinny obejmować pełną nazwę, kod LEI lub EUID, rodzaj kodu oraz ewentualne dodatkowe informacje, oddzielone średnikami.

W każdym zgłoszeniu należy wyraźnie wskazać wpływ na usługi krytyczne jako kryterium klasyfikacji w polu 2.5. Przy określaniu zasięgu geograficznego w polu 2.6 nie uwzględnia się państwa siedziby podmiotu dotkniętego incydentem. W sprawozdaniach śródokresowych i końcowych oczekuje się także wskazania, czy czas trwania incydentu i niedostępności usług określono na podstawie danych rzeczywistych, czy szacunkowych, niezależnie od wykorzystania tego kryterium do klasyfikacji incydentu.

Wyjaśniono również rozbieżność w formularzu dotyczącą technik sprawcy: eksfiltracja i manipulacja danymi w polu 3.25 nie obejmuje kradzieży tożsamości, dla której przewidziano odrębną opcję. Pola 4.10 i 4.11 należy wypełniać wyłącznie przy stwierdzeniu odpowiednio ryzyka dla funkcji krytycznych lub wpływu na możliwość przeprowadzenia skutecznej restrukturyzacji i uporządkowanej likwidacji podmiotu lub grupy.

Podmioty objęte wymogami rozporządzenia DORA powinny uwzględnić instrukcje opublikowane przez ESA w ramach swoich wewnętrznych procedur zarządzania incydentami związanymi z ICT i ich raportowania, a także przeprowadzić w szczególności weryfikację szablonów i narzędzi wykorzystywanych do przygotowania zgłoszeń, w tym formatu pól pieniężnych i pola 2.8; wdrożenie mechanizmów kontroli terminów, która zapewni przekazywanie zaktualizowanych sprawozdań śródokresowych co najmniej raz w miesiącu do czasu złożenia sprawozdania końcowego; aktualizację instrukcji wewnętrznych dotyczących korekt, pól opisowych oraz pól 2.5, 2.6, 3.17 i 4.10–4.12; wdrożenie mechanizmów zapewniających bieżące monitorowanie kolejnych aktualizacji instrukcji.

Pełna treść instrukcji dostępna jest pod linkiem.

Kancelaria prawna KRWLegal / LegalWell zapewnia profesjonalne i fachowe doradztwo w wielu dziedzinach prawa, w tym świadczy usługi doradztwa w zakresie rozporządzenia DORA, zgodności prawnej w zakresie cyberbezpieczeństwa oraz prowadzi szkolenia w tym obszarze dla pracowników instytucji obowiązanych.

Jeśli uważasz, że może mieć to wpływ na Twój biznes, zapraszamy do kontaktu: biuro@krwlegal.pl lub +48 22 29 50 940.