Bezpieczny bank to odporne państwo

Ta z kolei obejmuje nie tylko przeciwdziałanie klasycznym incydentom o charakterze kryminalnym, ale również – a może przede wszystkim – zdolność do zapobiegania poważnym incydentom cybernetycznym, ich wykrywania, skutecznego reagowania i odtwarzania ciągłości działania po ataku. To z jednej strony konsekwencja wyzwań, z jakimi mieliśmy do czynienia w minionych latach, poczynając od globalnego kryzysu gospodarczego u schyłku pierwszej dekady XXI w., poprzez pandemię COVID-19 i konieczność zapewnienia ciągłości działania w warunkach obostrzeń sanitarnych aż po rosyjską agresję na Ukrainę, którą poprzedziły zmasowane cyberataki na ukraińskie instytucje finansowe.

W tego typu sytuacjach kryzysowych zakłócenie pracy banków i infrastruktury płatniczej szybko przestaje być problemem pojedynczej instytucji, determinując zdolność wypłaty wynagrodzeń, realizacji świadczeń społecznych, a nawet funkcjonowanie określonych obszarów administracji publicznej. W polskich warunkach to właśnie kanały bankowe pozwalają obywatelom na logowanie się do większości usług publicznych czy korzystanie z elektronicznych dowodów tożsamości. Z podmiotów prywatnych, chroniących własne bilanse, banki stały się ważny elementem infrastruktury krytycznej, współodpowiedzialnym za utrzymanie kluczowych funkcji państwa.

Element infrastruktury krytycznej w prawie polskim

W prawie polskim pojęcie infrastruktury krytycznej występuje m.in. w ustawie o zarządzaniu kryzysowym oraz wydanych na jej podstawie dokumentach wykonawczych, np. strategii cyberbezpieczeństwa na lata 2019-2024 czy Krajowym Planie Ochrony Infrastruktury Krytycznej. Jednym ze wskazanych w tych dokumentach sektorów infrastruktury krytycznej jest system finansowy, a więc m.in. systemy płatnicze i rozliczeniowe, rynek kapitałowy oraz kluczowe instytucje finansowe. To ostatnie pojęcie odnosi się do banków, z uwagi na realizowane przez nie zadania (np. obsługa systemów płatniczo-rozliczeniowych, zapewnienie dostępu do pieniądza).

Ustawa o krajowym systemie cyberbezpieczeństwa klasyfikuje wszystkie banki krajowe i oddziały banków zagranicznych, instytucje kredytowe, a także SKOK-i, jako operatorów usług kluczowych. To transpozycja zapisów unijnej dyrektywy ­

NIS/NIS2 do polskiego prawa. Dla banków oznacza to dodatkowe obowiązki w zakresie zarządzania ryzykiem, zgłaszania incydentów poważnych oraz współpracy z właściwymi zespołami reagowania na incydenty (CSIRT) i organami krajowymi. Zgodnie z unijnym rozporządzeniem w sprawie odporności operacyjnej (DORA) sektorowym zespołem cyberbezpieczeństwa dla branży bankowej jest CSIRT KNF.

Prawo unijne

W ostatnich latach mieliśmy do czynienia z gruntowną przebudową unijnych regulacji dotyczących ...