Stanowisko UKNF dot. stosowania rozporządzenia DORA

W stanowisku UKNF wskazuje, że Rozporządzenie DORA jest aktem bezpośrednio stosowanym i nie wymaga odrębnej transpozycji do prawa krajowego. W szczególności zatem, brak przepisów krajowych (tutaj UKNF zapowiada co najmniej kilkunastotygodniowe opóźnienie!), nie zwalnia podmiotów finansowych z obowiązku stosowania wymogów wynikających z rozporządzenia DORA.

Ponadto, UKNF przypomina o:

a)     obowiązku posiadania kodu LEI

Wszystkie podmioty finansowe objęte wymogami rozporządzenia DORA powinny posiadać od 17 stycznia 2025 r. kod LEI, który jest niezbędny dla celów sprawozdawczości (jego uzupełnienie będzie konieczne dla przekazania formularzy sprawozdawczych do KNF jako właściwego organu),

b)     pierwszych obowiązkach sprawozdawczych od 17 stycznia 2025 r.

Obowiązki sprawozdawcze powinny być realizowane przez podmioty finansowe wyłącznie w postaci elektronicznej z wykorzystaniem systemów teleinformatycznych wskazanych przez UKNF.

W pierwszej kolejności podmioty finansowe powinny być przygotowane do realizowania obowiązków sprawozdawczych, w szczególności w zakresie obejmującym:

1) SPR-PF-07_Wstępne powiadomienie i sprawozdanie dotyczące poważnych incydentów ICT;

3) SPR-PF-08_Sprawozdanie śródokresowe dotyczące poważnych incydentów ICT;

4) SPR-PF-09_Sprawozdanie końcowe dotyczące poważnych incydentów ICT;

5) SPR-PF-10_Sprawozdanie dotyczące powiadomienia o znaczącym cyberzagrożeniu;

6) SPR-PF-18_Sprawozdanie dotyczące pełnego rejestru informacji lub innego zakresu informacji zgodnie z żądaniem;

7) SPR-PF-19_Sprawozdanie dotyczące planowanych ustaleń umownych obejmujących  korzystanie z usług ICT wspierających krytyczne lub istotne funkcje;

8) SPR-PF-20_Sprawozdanie dotyczące planowanych ustaleń umownych obejmujących korzystanie z usług ICT wspierających funkcje, które stały się krytyczne lub istotne;

9) SPR-PF-22_Powiadomienie o przystąpieniu (lub utracie członkostwa) do wymiany informacji o cyberzagrożeniach w zaufanych społecznościach podmiotów finansowych;

10) SPR-PF-23_Sprawozdanie na potrzeby sprawowania nadzoru, prowadzenia dochodzeń i nakładania sankcji - dokumenty lub dane przekazywane w ramach nadzoru bieżącego;

11) SPR-PF-24_Sprawozdanie na potrzeby sprawowania nadzoru, prowadzenia dochodzeń i nakładania sankcji - dokumenty lub dane przekazywane w ramach

Obowiązki sprawozdawcze powinny być realizowane w postaci elektronicznej z wykorzystaniem kanałów komunikacji, w tym systemów teleinformatycznych i narzędzi teleinformatycznych udostępnionych przez UKNF, takich jak:

1) System Sprawozdawczości DORA;

2) System do zgłaszania poważnych incydentów związanych z ICT;

3) kanał do komunikacji i wymiany informacji w zakresie testów TLPT, uzgodniony z podmiotem finansowym realizującym test.

c)     zgłaszaniu poważanych incydentów związanych z ICT oraz znaczących cyberzagrożeń

KNF wskazuje, że operatorzy usług kluczowych, do czasu uchwalenia przepisów implementujących dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2), powinni równolegle, niezależnie od zgłaszania poważnych incydentów związanych z ICT zgodnie z rozporządzeniem DORA, przekazywać zgłoszenia incydentów poważnych w sposób przewidziany w ustawie z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.

d)     prowadzeniu i przekazaniu rejestru informacji dot. umów z zewnętrznymi dostawcami usług ICT

UKNF oficjalnie potwierdziło, iż organ nadzoru planuje zwrócić się na początku kwietnia 2025 roku, w oparciu o art. 28 ust. 3 akapit czwarty rozporządzenia DORA, do podmiotów finansowych z żądaniem przekazania rejestrów informacji do KNF.

Przekazywane w 2025 roku do właściwych organów rejestry informacji powinny zawierać dane aktualne na 31 marca 2025 roku.

Kancelaria prawna KRWLEGAL zapewnia profesjonalne i fachowe doradztwo w wielu dziedzinach prawa. w tym świadczy usługi m. in. w doradztwa regulacyjnego dla sektora finansowego, dyrektywy NIS 2, rozporządzenia DORA, doradztwa w zakresie cyberbezpieczeństwa.

Jeśli uważasz, że może mieć to wpływ na Twój biznes, zapraszamy do kontaktu: biuro@krwlegal.pl lub +48 22 29 50 940.