Zewnętrzny dostawca usług ICT również musi spełniać wymagania DORA

Dynamiczny rozwój nowych technologii oraz rosnąca liczba cyberzagrożeń sprawiły, że unijne instytucje finansowe stanęły przed ważnym wyzwaniem zapewnienia cyberbezpieczeństwa usług finansowych. Od 17 stycznia 2025 r. obowiązuje rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z 14 grudnia 2022 r. (rozporządzenie DORA), które nakłada na sektor finansowy oraz jego zewnętrznych dostawców usług ICT (Information and Communications Technology) obowiązek spełnienia rygorystycznych wymagań dotyczących zarządzania ryzykiem związanym z ICT oraz zapewnienia operacyjnej odporności cyfrowej. Co to oznacza dla zewnętrznych dostawców usług ICT?

W dzisiejszym wydaniu poradnika merytorycznego Bezpieczna Firma gazety Rzeczpospolita wskazujemy najważniejsze zagadnienia dotyczące współpracy zewnętrznych dostawców usług ICT z podmiotami finansowymi w świetle przepisów rozporządzenia DORA.

Kogo dotyczą obowiązki

Rozporządzenie DORA wprowadza obowiązki dotyczące zarządzania ryzykiem ICT i odporności cyfrowej zarówno dla instytucji finansowych, jak i ich zewnętrznych dostawców usług ICT. Szczególne wymagania nakładane są na kluczowych dostawców ICT, wyznaczanych przez organy nadzoru na podstawie ich wpływu na rynek finansowy. Muszą oni spełniać bezpośrednie obowiązki w zakresie monitorowania, raportowania incydentów oraz testowania odporności operacyjnej. Choć dostawcy niewyznaczeni jako kluczowi nie są bezpośrednio objęci regulacjami DORA, w praktyce również muszą dostosować swoje działania, by umożliwić instytucjom finansowym realizację nowych wymogów.

Co jest usługą ICT

Rozporządzenie DORA definiuje usługi ICT jako cyfrowe usługi i usługi danych świadczone w sposób ciągły przy użyciu systemów ICT. To podmiot finansowy decyduje, czy dana usługa jest usługą ICT, i klasyfikuje jej dostawcę jako zewnętrznego dostawcę usług ICT. Usługi te obejmują 19 typów określonych w aktach wykonawczych do DORA. W praktyce świadczenie usług ICT często wiąże się ze złożonym łańcuchem podwykonawców, dlatego istotne jest, by dostawcy dokładnie analizowali swoje zasoby i funkcje ICT. DORA wprowadza liczne obowiązki dla instytucji finansowych, które przekładają się na wymagania wobec ich dostawców usług ICT — ci muszą być gotowi wspierać klientów w spełnianiu nowych regulacji.

Najważniejsze wymagania

Rozporządzenie DORA wprowadza szereg wymagań dla zewnętrznych dostawców usług ICT współpracujących z instytucjami finansowymi. Wśród kluczowych obowiązków znajduje się konieczność przejścia badania due diligence, gotowość do kontroli i audytów, a także zapewnienie zgodności ze standardami bezpieczeństwa informacji. Dostawcy muszą umożliwić wypowiedzenie umowy w określonych sytuacjach, zapewnić ciągłość działania instytucji finansowej oraz jasno określić poziomy świadczonych usług. Dodatkowo, wymagane jest zarządzanie łańcuchem podwykonawców i udział w testach bezpieczeństwa, gdy będzie to konieczne.

Analiza ryzyka i implementacja standardów

Rozporządzenie DORA stawia przed zewnętrznymi dostawcami usług ICT wysokie wymagania w zakresie zarządzania ryzykiem i cyberbezpieczeństwem. Dostawcy muszą ocenić zgodność swoich procedur z regulacjami, wdrożyć mechanizmy wykrywania i reagowania na incydenty ICT oraz aktywnie współpracować z instytucjami finansowymi w zakresie zarządzania zagrożeniami. W spełnieniu tych obowiązków pomocne są uznane standardy, takie jak NIST czy ISO 27001, które mogą stanowić dowód zgodności z wymogami DORA i w niektórych przypadkach zastąpić audyty. Celem regulacji jest zwiększenie operacyjnej odporności cyfrowej sektora finansowego w UE i poprawa jakości świadczonych usług.

Zapraszamy do lektury artykułu r.pr. Tomasza Kamińskiego, Wspólnika w Krzysztof Rożko i Wspólnicy Kancelarii Prawnej oraz eksperta ds. cyberbezpieczeństwa Daniela Niwińskiego, opublikowanego dziś w poradniku merytorycznym Bezpieczna Firma gazety Rzeczpospolita, w którym autorzy opisują najważniejsze obowiązki wynikające z rozporządzenia DORA z perspektywy zewnętrznych dostawców usług ICT.

Kancelaria prawna KRWLEGAL zapewnia profesjonalne i fachowe doradztwo w wielu dziedzinach prawa, w tym świadczy usługi doradztwa w zakresie Rozporządzenia DORA, zgodności prawnej w zakresie cyberbezpieczeństwa oraz prowadzi szkolenia w tym obszarze dla pracowników instytucji obowiązanych.

Jeśli uważasz, że może mieć to wpływ na Twój biznes, zapraszamy do kontaktu: biuro@krwlegal.pl lub +48 22 29 50 940.