Jeśli prowadzisz kasę oszczędnościowo-kredytową, instytucję płatniczą, pośrednictwo ubezpieczeniowe albo zarządzasz funduszem inwestycyjnym, DORA już Cię dotyczy. Jeśli jesteś firmą IT, która utrzymuje serwery, świadczy usługi w chmurze lub tworzy oprogramowanie dla takich klientów, DORA dociera do Ciebie przez umowy z klientami, najczęściej jako niespodzianka: prośba o podpisanie nowego aneksu w ciągu dwóch tygodni.
DORA to rozporządzenie UE 2022/2554 o cyfrowej odporności operacyjnej sektora finansowego, stosowane od 17 stycznia 2025 r. W odróżnieniu od dyrektywy rozporządzenie obowiązuje bezpośrednio, bez transpozycji do prawa krajowego, więc KNF nadzoruje je dokładnie w brzmieniu oryginału.
W tym artykule wyjaśniamy pięć filarów rozporządzenia prostym językiem, pokazujemy, co oznaczają w praktyce dla dostawcy IT, i opisujemy, jak podchodzimy do nich u naszych klientów.
Pięć filarów DORA
Rozporządzenie opiera się na pięciu obszarach. Każdy z nich ma stronę dokumentacyjną i stronę techniczną.
Zarządzanie ryzykiem ICT
Instytucja finansowa musi mieć zatwierdzone przez najwyższe kierownictwo ramy zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi (ICT): rejestr zasobów, ocenę ryzyka, środki ochrony, możliwości wykrywania oraz plany reagowania i odtwarzania. Za wszystko odpowiada organ zarządzający, a nie dział IT. W praktyce oznacza to, że zarząd musi rozumieć, które systemy są krytyczne, co się stanie, gdy przestaną działać, i jak długo instytucja może funkcjonować bez nich.
Zarządzanie incydentami i ich zgłaszanie
Wszystkie incydenty związane z ICT są rejestrowane i klasyfikowane według skutków, a poważne zgłasza się organowi nadzorczemu w ściśle określonych terminach: wstępne zgłoszenie w ciągu kilku godzin, potem raport okresowy i końcowy. Instytucja musi umieć szybko ocenić, ilu klientów dotknął incydent, jak długo usługa nie działała i czy doszło do wycieku danych. Bez dzienników i monitoringu jest to niemożliwe.
Testowanie cyfrowej odporności operacyjnej
Sama ochrona nie wystarczy, trzeba ją regularnie testować. Poziom podstawowy obejmuje skanowanie podatności, przeglądy konfiguracji, testy przywracania kopii zapasowych i ćwiczenia scenariuszowe. Większe instytucje o znaczeniu systemowym muszą dodatkowo przeprowadzać testy penetracyjne oparte na zagrożeniach (threat-led), w których specjaliści symulują prawdziwy atak. Wyniki testów są dokumentowane, a słabe punkty usuwa się według planu.
Zarządzanie ryzykiem dostawców usług ICT
To filar, który najbardziej dotyka dostawców IT. Instytucja musi prowadzić rejestr wszystkich swoich dostawców usług ICT, oceniać ryzyko każdego z nich, zamieszczać w umowach obowiązkowe postanowienia i mieć strategię wyjścia na wypadek, gdyby dostawca przestał świadczyć usługę. Usługi wspierające funkcje krytyczne, takie jak hosting systemu księgowego czy przechowywanie kopii zapasowych, podlegają szczególnie dokładnej ocenie.
Wymiana informacji
Instytucje są zachęcane do wymiany informacji o zagrożeniach i podatnościach między sobą oraz z organami. Dla małej instytucji oznacza to zwykle udział w grupach branżowych i śledzenie ostrzeżeń CSIRT NASK.
Co to oznacza dla dostawcy IT
Jeśli świadczysz usługi IT instytucji finansowej, klient nie może z Tobą współpracować, dopóki nie wesprzesz jego obowiązków wynikających z DORA. Z naszego doświadczenia po stronie dostawcy sprowadza się to do trzech konkretnych spraw.
Umowy
Umowa z instytucją finansową musi zawierać jasne postanowienia: dokładnie opisane usługi i poziomy usług, lokalizację przechowywania danych (w UE lub poza nią), terminy powiadamiania klienta o incydentach, prawo klienta i organu nadzorczego do audytu, zasady korzystania z podwykonawców oraz warunki zakończenia współpracy z okresem przejściowym. Jeśli Twoja standardowa umowa tego nie zawiera, klient przyśle własny aneks. Lepiej mieć własny, przygotowany z wyprzedzeniem.
Rejestr
Klient wypełnia rejestr dostawców w narzuconym formacie i będzie potrzebował informacji o Tobie: danych podmiotu prawnego, rodzaju usługi, krytyczności, lokalizacji danych i podwykonawców. Dostawca powinien mieć gotowy zestaw odpowiedzi, ponieważ kwestionariusze od różnych klientów w dużej mierze się pokrywają.
Plany wyjścia
Każda instytucja musi móc przejść od jednego dostawcy do drugiego bez zakłócania działalności. Twoim obowiązkiem jest opisać, jak zwrócisz dane, w jakim formacie, w jakim czasie i co usuniesz po przekazaniu. Dostawca, który nie potrafi jasno powiedzieć, jak klient odzyska swoje dane przy wyjściu, jest ryzykiem i zostanie zastąpiony.
Jeszcze jedna kwestia, którą dostawcy często pomijają, to podwykonawcy. Jeśli zapewniasz klientowi miejsce na kopie zapasowe, a kopie fizycznie znajdują się u strony trzeciej, klient musi o tym wiedzieć i mieć prawo sprzeciwu. Łańcuch podwykonawców trzeba opisać w umowie i aktualizować przy każdej zmianie.
Poniżej te same wymagania widziane z obu stron.
| Wymaganie | Instytucja finansowa | Dostawca IT |
|---|---|---|
| Zarządzanie ryzykiem | Rejestr ryzyk, decyzje zarządu | Dowody własnych polityk i zabezpieczeń |
| Incydenty | Zgłoszenie do organu w wymaganych terminach | Powiadomienie klienta w uzgodnionym czasie, dzienniki |
| Testowanie | Plan testów i wyniki | Udział w testach przywracania, usuwanie podatności |
| Strony trzecie | Rejestr dostawców, strategia wyjścia | Aneks do umowy, lista podwykonawców, plan wyjścia |
| Wymiana informacji | Monitorowanie zagrożeń, udział w grupach | Ostrzeżenia dla klienta o istotnych zagrożeniach |
Kopie zapasowe i odtwarzanie: gdzie najczęściej coś idzie nie tak
DORA wymaga nie tylko posiadania kopii zapasowych, ale też udowodnienia, że z ich pomocą można przywrócić działanie w określonym czasie. Instytucja musi ustalić docelowy czas odtwarzania i dopuszczalną utratę danych (RTO i RPO) dla każdego systemu krytycznego, a kopie zapasowe muszą być fizycznie i logicznie oddzielone od środowiska głównego.
Najczęstszy błąd to trzymanie kopii w tej samej sieci albo u tego samego dostawcy w tym samym centrum danych. Ransomware, które szyfruje serwery, szyfruje także je. Drugi błąd to odtwarzanie, którego nigdy nie przetestowano, więc podczas incydentu okazuje się, że kopia jest niekompletna albo że odtworzenie trwa dni zamiast godzin.
Naszym klientom oferujemy niezmienialne kopie zapasowe, których nie można zmienić i których nie widać z sieci, a dla systemów krytycznych odtwarzanie infrastruktury PlanB, dzięki któremu całe środowisko można uruchomić w naszej chmurze, jeśli główne stanie się niedostępne. Na życzenie kopie są też przechowywane w centrum danych Amazon w Niemczech, aby rozdzielenie geograficzne było realne, a nie tylko deklarowane.
Jak pomaga MDP CLOUD
Działamy z obu stron: jesteśmy dostawcą IT dla instytucji finansowych i pomagamy innym dostawcom IT przygotować się na wymagania ich klientów. Nasz zespół ma aktualne certyfikaty ISACA (CISA, CISM, CRISC i inne), a usługi świadczymy zgodnie z wymaganiami ISO 27001, więc odpowiedzi na kwestionariusze klientów mamy już gotowe.
Instytucji finansowej pomagamy zbudować rejestry zasobów ICT i dostawców, przeprowadzić ocenę ryzyka, przygotować procedurę zarządzania incydentami z szablonami zgłoszeń oraz zaplanować i przeprowadzić testy odporności. Dostawcy IT pomagamy przygotować aneks do umowy, zestaw polityk bezpieczeństwa, szablon planu wyjścia i dowody techniczne, o które poprosi klient.
Od czego zacząć
- Ustal, czy DORA dotyczy Ciebie bezpośrednio (jesteś instytucją finansową), czy pośrednio przez klientów (jesteś dostawcą). Od tego zależy kolejność prac.
- Wypisz swoje funkcje krytyczne oraz systemy i dostawców, które je wspierają. To podstawa rejestru i oceny ryzyka.
- Przejrzyj umowy z dostawcami lub klientami i zaznacz, jakich postanowień brakuje.
- Sprawdź kopie zapasowe: gdzie są, czy są oddzielone od sieci głównej i kiedy ostatnio faktycznie je odtwarzano.
- Przygotuj procedurę zgłaszania incydentów z kontaktami i terminami, żeby w trakcie incydentu nikt nie musiał szukać, do kogo zadzwonić.
Pełną ścieżkę od pierwszego kroku do gotowości na kontrolę organu nadzorczego opisaliśmy na stronie usługi DORA. Jeśli wolisz zacząć od rozmowy, napisz do nas, a na pierwszym spotkaniu powiemy Ci, które wymagania mają dla Ciebie znaczenie, a o których możesz przestać się martwić.
