Rekomendacje dla podmiotów rynku finansowego dotyczące przeglądu bezpieczeństwa usług SaaS i zarządzania ryzykiem dostawców ICT

W dniu 5 października 2026 r. UKNF opublikował rekomendacje dotyczące bezpieczeństwa usług SaaS i zarządzania ryzykiem zewnętrznych dostawców usług ICT. Dokument stanowi reakcję na ataki na dostawców oraz naruszenia bezpieczeństwa powierzanych im danych. Przegląd ma objąć zabezpieczenia techniczne, ustalenia umowne, podział odpowiedzialności i gotowość do ograniczenia skutków incydentu.

UKNF zaleca zweryfikowanie kompletności ewidencji usług, także nabywanych przez jednostki biznesowe oraz wspierających księgowość, kadry, sprzedaż i komunikację. Dla każdej usługi należy określić właściciela, wspierane procesy, kategorie danych oraz skutki naruszenia ich poufności, integralności lub dostępności. Inwentaryzację należy powiązać z ewidencją umów i oceną znaczenia funkcji oraz ustalić odpowiedzialność stron za konfigurację zabezpieczeń, zarządzanie tożsamością, logi i odtwarzanie danych.

Ponowna ocena dostawców powinna opierać się na aktualnych, weryfikowalnych informacjach. Sam certyfikat nie stanowi wystarczającego potwierdzenia bezpieczeństwa. Należy sprawdzić zakres certyfikacji i raportów audytowych, ich odniesienie do konkretnej usługi oraz skuteczność zabezpieczeń, wyniki testów i sposób usuwania nieprawidłowości.

Przegląd integracji powinien objąć konta techniczne i administracyjne, uprawnienia aplikacji, tokeny oraz klucze API. UKNF zaleca ograniczenie dostępów do niezbędnego zakresu, wyłączenie nieużywanych połączeń oraz zapewnienie możliwości ich szybkiego odcięcia, o ile pozwala na to architektura rozwiązania. Istotna jest ochrona poświadczeń i kluczy prywatnych, kontrola ich wymiany i unieważniania oraz stosowanie uwierzytelniania wieloskładnikowego, szczególnie dla kont administracyjnych.

Ocena powinna uwzględniać podwykonawców, miejsca przetwarzania danych i ryzyko koncentracji, również wynikające ze wspólnych zależności pozornie niezależnych usług. Zaleca się ograniczenie zakresu danych i czasu ich przechowywania, z uwzględnieniem wymogów retencji, a także weryfikację zasad zwrotu i usuwania danych po zakończeniu współpracy. Dotyczy to również archiwów, kopii zapasowych i środowisk testowych.

W zakresie reagowania na incydenty UKNF wskazuje na potrzebę weryfikacji zasad powiadamiania, dostępu do logów i zabezpieczania dowodów oraz testowania odzyskiwania danych, możliwości zastąpienia dostawców i procedur wyjścia z usługi. Testy powinny obejmować także naruszenie bezpieczeństwa środowiska dostawcy. Informacje CSIRT KNF należy wykorzystywać w bieżącej ocenie ryzyka, koordynując współpracę operacyjną z obowiązkami dot. zgłoszeń i komunikacji.

Wyniki przeglądu należy udokumentować, uwzględnić w ocenie ryzyka i przełożyć na plan działań naprawczych z priorytetami, osobami odpowiedzialnymi i terminami. Istotne ustalenia powinny zostać przedstawione organowi zarządzającemu. Przegląd powinien być ponawiany po istotnych zmianach usług, incydentach lub zmianie poziomu zagrożenia. Korzystanie z zewnętrznych dostawców usług ICT nie zwalnia podmiotu objętego wymaganiami DORA z odpowiedzialności za wykonanie tych obowiązków.

Kancelaria prawna KRWLegal / LegalWell zapewnia profesjonalne i fachowe doradztwo w wielu dziedzinach prawa, w tym świadczy usługi doradztwa w zakresie dyrektywy NIS 2, zgodności prawnej w zakresie cyberbezpieczeństwa oraz prowadzi szkolenia w tym obszarze dla pracowników instytucji obowiązanych.

Jeśli uważasz, że może mieć to wpływ na Twój biznes, zapraszamy do kontaktu: biuro@krwlegal.pl lub +48 22 29 50 940.