Projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem operacyjnej odporności cyfrowej sektora finansowego

Celem projektowanej ustawy jest:

• wdrożenie do polskiego systemu prawnego oraz zapewnienie stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego („DORA”).
• implementacja dyrektywy Parlamentu Europejskiego i Rady 2022/2556 z dnia 14 grudnia 2022 r. w sprawie zmiany dyrektyw 2009/65/WE, 2009/138/WE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 oraz (UE) 2016/2341 w odniesieniu do operacyjnej odporności cyfrowej sektora finansowego.

Ustawa przewiduje wprowadzenie zmian w szeregu ustaw sektorowych w zakresie rynku finansowego, w tym:

• ustawie z dnia 21 lipca 2006 r. o nadzorze nad rynkiem finansowym,
• ustawie z dnia 28 sierpnia 1997 r. o organizacji i funkcjonowaniu funduszy emerytalnych,
• ustawie z dnia 29 sierpnia 1997 r. – Prawo bankowe,
• ustawie z dnia 27 maja 2004 r. o funduszach inwestycyjnych i zarządzaniu alternatywnymi funduszami inwestycyjnymi,
• ustawie z dnia 28 sierpnia 1997 r. o organizacji i funkcjonowaniu funduszy emerytalnych,
• ustawie z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi,
• ustawie z dnia 19 sierpnia 2011 o usługach płatniczych,
• ustawie z dnia 5 sierpnia 2015 r. o rozpatrywaniu reklamacji przez podmioty rynku finansowego, o Rzeczniku Finansowym i o Funduszu Edukacji Finansowej,
• ustawie z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej,
• ustawie z dnia 10 czerwca 2016 r. o Bankowym Funduszu Gwarancyjnym, systemie gwarantowania depozytów oraz przymusowej restrukturyzacji.

Ponadto projektowane zmiany dotyczyć również mają ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

Zmiany w ustawie o nadzorze nad rynkiem finansowym obejmują wskazanie Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru w zakresie przewidzianym przepisami rozporządzenia DORA.

Szczegółowe zasady, dotyczące nadzoru nad podmiotami finansowymi w zakresie zapewnienia operacyjnej odporności cyfrowej sektora finansowego określone mają zostać w nowym rozdziale 2c pt. Nadzór nad podmiotami finansowymi w zakresie zapewnienia operacyjnego odporności cyfrowej sektora finansowego.

Niniejszy rozdział określa m.in.:

• katalog podmiotów względem których Komisja będzie mogła przeprowadzać kontrolę działalności z przepisami DORA (zauważyć należy, iż ustawodawca krajowy nie zdecydował się na wyłączenie spółdzielczych kas oszczędnościowo – kredytowych z zakresu stosowania wymogów rozporządzenia DORA),  
• uprawnienia pracowników UKNF upoważnionych do przeprowadzenia kontroli (obejmować one mają m.in. prawo wglądu do systemów i sieci teleinformatycznych, urządzeń, informacji i danych związanych z ICT oraz danych zawartych w systemie informatycznym, związanych z przedmiotem kontroli, w zakresie niezbędnym do przeprowadzenia i zakończenia kontroli),
• terminy przekazywania przez instytucje finansowe do Komisji informacji na temat: liczby nowych ustaleń dot. korzystania z usług ICT, kategorii zewnętrznych dostawców usług ICT, rodzaju ustaleń umownych oraz świadczonych usług ICT i obsługiwanych funkcji (do 31 stycznia każdego roku), jak również o planowanych ustaleniach umownych dot. korzystania z usług ICT wspierających krytyczne lub istotne funkcje oraz o tym, że dana funkcja stała się krytyczna lub istotna (14 dni przez dniem związania się postanowieniami umownymi albo od dnia zmiany funkcji),
• uprawnienie Komisji do określania podmiotów finansowych zobowiązanych do przeprowadzenia testów TLPT,
• uprawnienia Komisji do wydawania decyzji w przypadku naruszenia obowiązków określonych przepisami rozporządzenia DORA (w tym nałożenia kar pieniężnych do kwoty 20 869 500 zł lub 10% rocznego obrotu netto – w przypadku osób prawnych lub 3 042 410 zł – w przypadku osób fizycznych),
• zasady wymiany informacji  między Komisją a innymi właściwymi organami.

Projektowana ustawa ma wejść w życie w dniu rozpoczęcia stosowania przepisów rozporządzenia DORA, tj. w dniu 17 stycznia 2025 r.

Treść projektowanej ustawy dostępna jest pod linkiem.

Kancelaria prawna KRWLEGAL zapewnia profesjonalne i fachowe doradztwo w wielu dziedzinach prawa, w tym świadczy usługi doradztwa w zakresie cyberbezpieczeństwa, jak również doradztwa regulacyjnego dla sektora finansowego, świadcząc usługi m. in. w zakresie działalności firm inwestycyjnych, funduszy inwestycyjnych, podmiotów zarządzających aktywami, banków (depozytariuszy).

Jeśli uważasz, że może mieć to wpływ na Twój biznes, zapraszamy do kontaktu: biuro@krwlegal.pl lub +48 22 29 50 940.