Cyberodporność banku: kto zapłaci za przerwę w działalności?
OD ZGODNOŚCI DO RZECZYWISTEJ ODPORNOŚCI
O DORA banki usłyszały już sporo. Rozporządzenie stosowane od 17 stycznia 2025 r. nie stworzyło jednak zarządzania ryzykiem ICT od zera. Wiele wymagań funkcjonowało wcześniej jako dobra praktyka, m.in. na gruncie Rekomendacji D KNF z 2013 r., uchylonej wraz z rozpoczęciem stosowania DORA. Nowe ramy ujednoliciły podejście, zwiększyły wymogi dowodowe i mocniej przypisały odpowiedzialność zarządu.
Zgodność nie może być jednak utożsamiana z odpornością. Bank może posiadać procedury, rejestry i wyniki testów, a mimo to nie znać ekonomicznego skutku niedostępności kluczowej usługi. Pytanie czy spełniamy wymagania? trzeba uzupełnić pytaniem czy potrafimy utrzymać albo szybko odtworzyć procesy i sfinansować reakcję na cyberincydent?
NAJSŁABSZYM PUNKTEM NIE ZAWSZE JEST BANK
Krajobraz zagrożeń przesuwa się od prostego ataku na bank w stronę całego ekosystemu usług. Według CSIRT KNF w 2025 r. odnotowano 787 ataków DDoS na sektor finansowy i przyjęto 274 zgłoszenia incydentów ICT w ramach DORA. Jednocześnie rośnie aktywność ransomware, oszustwa wykorzystujące socjotechnikę oraz znaczenie ataków na dostawców technologii, usług IT i oprogramowania.
Wspólne rozwiązania, zrzeszenia i wyspecjalizowani partnerzy dają bankom niezbędną skalę oraz kompetencje. Ta sama współzależność może jednak tworzyć koncentrację ryzyka. Awaria lub zakłócenie u dostawcy bankowości elektronicznej, centrum przetwarzania, telekomunikacji, systemu płatniczego czy zdalnego serwisu może dotknąć wiele procesów, choć infrastruktura banku nie została bezpośrednio zaatakowana.
Mapa ryzyk nie powinna więc kończyć się na liście dostawców. Musi pokazywać, które usługi zależą od konkretnego podmiotu i jego podwykonawców, jak długo bank może działać bez danej usługi oraz czy istnieje realny plan awaryjny. Umowna deklaracja wysokiej dostępności nie odpowiada jeszcze na pytanie, co wydarzy się przy niedostępności dostawcy, utracie łączności lub uszkodzeniu danych.
Drugim obszarem jest człowiek. Phishing, smishing, vishing, przejęcie skrzynki mailowej lub podszycie się pod przełożonego prowadzą do kradzieży danych, wyłudzenia przelewu albo dostępu uprzywilejowanego. Generatywna AI zwiększa wiarygodność komunikatów i ułatwia imitowanie głosu. W modelu relacyjnym zaufanie jest przewagą, ale przestępca próbuje wykorzystać ten sam mechanizm.
JEDNO ZDARZENIE, KILKA RODZAJÓW ODPOWIEDZIALNOŚCI
Nie każde zdarzenie z udziałem komputera jest szkodą cyber. O kwalifikacji decydują przyczyna, rodzaj straty i treść umowy. Ransomware, naruszenie danych, informatyka śledcza, odtworzenie systemów czy przerwa w działalności zwykle kierują analizę ku polisie cyber. Jeżeli jednak zmanipulowany pracownik autoryzuje fałszywy przelew, problemem może być bezpośrednia strata finansowa właściwa dla Crime/BBB. Polisa cyber obejmie ją tylko wtedy, gdy ma rozszerzenie dotyczące np. oszustwa socjotechnicznego lub transferu środków.
Roszczenie klienta zarzucającego bankowi błąd w wykonaniu usługi lub brak należytej staranności może należeć do ubezpieczenia FIPI. Zarzuty wobec członków organów dotyczące nadzoru nad bezpieczeństwem, reakcji na incydent lub decyzji inwestycyjnych mogą uruchamiać D&O. Granice zależą od warunków ubezpieczenia, wyłączeń i klauzul dodatkowych, dlatego program trzeba oceniać jako całość.
Rozróżnienie ma praktyczny skutek. Jeżeli nie wiadomo, do którego ubezpieczyciela i w jakim terminie zgłosić okoliczność, bank może stracić cenny czas, a niekiedy także możliwość pełnego pokrycia kosztów. Procedura incydentowa powinna więc obejmować nie tylko ścieżkę techniczną i regulacyjną, lecz także gotową macierz notyfikacji ubezpieczeniowych.
KOSZT INCYDENTU ROŚNIE OD PIERWSZEJ GODZINY
W pierwszych godzinach bank potrzebuje informatyki śledczej, zabezpieczenia dowodów, oceny prawnej, zarządzania kryzysowego i komunikacji. Rosną koszty pracy zespołów, usług awaryjnych, dodatkowej infolinii oraz ręcznej obsługi procesów. Następnie dochodzą odtworzenie danych, utracone przychody, roszczenia klientów i odbudowa zaufania. W przypadku incydentu po stronie dostawcy należy sprawdzić, czy polisa obejmuje skutki przerwy w działalności spowodowanej problemami u tego dostawcy oraz czy obejmuje ochroną dany podmiot.
Główna suma ubezpieczenia niewiele mówi o jakości ochrony. Ważne są podlimity, franszyzy, okres oczekiwania dla przerwy w działalności, sposób wyliczania straty, ochrona dostawców i zasady korzystania z panelu ekspertów. Polisa refundująca wydatki dopiero po uzyskaniu zgody wymaga innej organizacji reakcji niż umowa dopuszczająca natychmiastowe uruchomienie uzgodnionego zespołu. Dlatego skuteczność ochrony warto ocenić jeszcze przed incydentem, gdy jest czas na świadome decyzje, a nie w trakcie kryzysu.
UBEZPIECZENIE NIE ZASTĘPUJE ZABEZPIECZEŃ
Ubezpieczenie cyber nie jest alternatywą dla segmentacji sieci, uwierzytelniania wieloskładnikowego, kopii zapasowych, monitoringu, szkoleń i testów ciągłości działania. Jest finansowym mechanizmem transferu ryzyka, który może ograniczyć dotkliwość zdarzeń, których nie udało się uniknąć. Dobrze przygotowany proces ubezpieczeniowy wymusza przy tym nazwanie scenariuszy, policzenie potencjalnej straty i sprawdzenie dostępu do właściwych specjalistów.
Punktem wyjścia nie powinien być formularz ofertowy, lecz realistyczne scenariusze: ransomware z kilkudniową niedostępnością systemu, wyciek danych, oszustwo socjotechniczne i incydent u kluczowego dostawcy. Dla każdego warto określić krytyczne procesy, maksymalny akceptowalny czas zakłócenia, koszty pierwszych 72 godzin, stratę w kolejnych dniach, możliwe roszczenia i polisę która ma odpowiedzieć. Dopiero z takiej analizy powinny wynikać główny limit, podlimity i oczekiwany zakres ochrony.
CO POWINIEN ZROBIĆ ZARZĄD
Po pierwsze, należy określić wpływ niedostępności kluczowych procesów i systemów w wymiarze finansowym i czasowym. Zarząd powinien wiedzieć nie tylko, które obszary są krytyczne, ale także ile kosztuje ich przestój i jak długo bank może funkcjonować bez nich.
Po drugie, warto powiązać mapę procesów biznesowych z mapą dostawców oraz zweryfikować, czy w razie awarii rzeczywiście istnieją skuteczne rozwiązania zastępcze.
Po trzecie, należy wspólnie przeanalizować zakres ochrony w polisach Cyber, Crime/BBB, FIPI oraz D&O, zwracając szczególną uwagę na potencjalne luki w ochronie oraz procedury zgłaszania szkód i incydentów.
Po czwarte, warto przeprowadzić ćwiczenie symulacyjne z udziałem przedstawicieli IT, ryzyka, compliance, działu prawnego, komunikacji oraz osób odpowiedzialnych za ubezpieczenia. Celem takiego ćwiczenia powinno być nie tylko sprawdzenie, jak organizacja zareaguje na atak, ale również ustalenie, kto uruchomi wsparcie ekspertów, udokumentuje koszty zdarzenia i zapewni terminowe wykonanie obowiązków informacyjnych.
Ocena dojrzałości organizacji nie musi zaczynać się od kolejnej wielostronicowej ankiety. Znacznie ważniejsze jest to, czy zarząd potrafi udzielić jednoznacznej odpowiedzi na trzy podstawowe pytania:
- Czy znamy rzeczywisty koszt jednodniowej niedostępności kluczowych systemów banku?
- Czy wiemy, w jaki sposób zostaną sfinansowane koszty poważnego cyberincydentu?
- Czy nasz program ubezpieczeniowy odpowiada aktualnym zagrożeniom cybernetycznym, ryzyku socjotechnicznemu oraz zależnościom od dostawców zewnętrznych?
Jeżeli choć na jedno z tych pytań odpowiedź brzmi nie lub nie wiemy, nie musi to oznaczać słabości organizacji. Jest to jednak wyraźny sygnał, od którego obszaru należy rozpocząć budowanie odporności operacyjnej i cybernetycznej banku.
Marcin Szternel
DYREKTOR DEPARTAMENTU FINANCIALLINES & FINANCIAL INSTITUTIONSGRECO POLSKA
Źródła merytoryczne
- Rozporządzenie (UE) 2022/2554 (DORA), EUR-Lex – https://eur-lex. europa.eu/eli/reg/2022/2554/oj/pol
- Uchwała KNF nr 6/2025 uchylająca Rekomendację D – https://dziennikurzedowy. knf.gov.pl/DU_KNF/2025/1/akt.pdf
- CSIRT KNF, Raport Roczny Cyberbezpieczeństwa 2025 – https://www.knf.gov.pl/dla_rynku/CSIRT_KNF/Raport_Roczny_Cyberbezpieczen twa
- ENISA Threat Landscape: Finance Sector, 21 lutego 2025 r. – https://www.enisa.europa.eu/sites/default/files/2025-02/Finance%20TL%202024_Final.pdf
