Czy rynek polskich banków jest gotowy na przystosowanie się do przepisów DORA?

Postęp technologiczny w sektorze finansowym przyniósł jednak nie tylko korzyści, ale również zagrożenia, które z uwagi na wysoce ustandaryzowany charakter usług IT, okazały się w dużej mierze wspólne dla całego sektora finansowego.

Próby ograniczenia tych zagrożeń podejmowane na poziome poszczególnych krajów nie przyniosły oczekiwanych rezultatów. Z tych względów Komisja Europejska opublikowała we wrześniu 2020 r. unijną strategię finansów cyfrowych, czyli pięcioletni plan mający na celu przekształcenie usług finansowych w UE w kompleksowo zintegrowany jednolity rynek cyfrowy.

Droga DORA do wejścia w życie

Wśród inicjatyw powziętych w ramach unijnej strategii finansów cyfrowych znalazła się m.in. DORA – Digital OperationalResilienceAct, czyli projekt rozporządzenia w sprawie operacyjnej odporności cyfrowej sektora finansowego, odpowiadający na potrzeby sektora finansowego, w tym bankowego, w zakresie cyberbezpieczeństwa.

Parlament Europejski 10 listopada 2022 r. ostatecznie zatwierdził jej przepisy i DORA będzie bezpośrednio stosowana od 24 miesiąca od dnia publikacji.

W okresie wskazanych 24 miesięcy banki będą musiały podjąć działania dostosowawcze, celem zapewnienia zwiększania operacyjnej odporności cyfrowej oraz zgodności z nową regulacją. Banki będą zobligowane do wzmocnienia i usprawnienia procesu zarządzania ryzykiem związanym z ICT, wprowadzenia dokładnych testów systemów ICT, wzmocnienia procesu zarządzania ryzykiem wynikającym z zależności podmiotów finansowych od zewnętrznych dostawców usług ICT.

Wyzwania związane z DORA

W jaki sposób dostosować obecne procedury do wymogów wynikających z DORA? Czy cyfrowa odporność operacyjna zagwarantuje ciągłość i jakość świadczonych usług pomimo zagrożeń wpływających na technologie informacyjne i telekomunikacyjne (ICT) firm? Czy pozwoli na budowanie, testowanie i ciągłe doskonalenie integralności technologicznej i operacyjnej organizacji?

Te i inne pytania stanowiły punkt wyjścia dla EY i Związku Banków Polskich do opracowania Raportu oraz przeprowadzenia badania w zakresie stanu odporności cyfrowej polskich banków.

Wyniki i wnioski mamy przyjemność Państwu zaprezentować w raporcie „Rozporządzenie DORA – rewolucja czy ewolucja w polskim sektorze bankowym? Analiza dojrzałości sektora bankowego w zakresie cyfrowej odporności operacyjnej”.

Warto w tym miejscu wskazać, że DORA ma charakter powszechnie obowiązującego prawa, jednak merytoryczny zakres rozporządzenia nie jest zupełnie nowy dla banków. Pewne elementy funkcjonowania ICT zostały już z powodzeniem wdrożone w polskim sektorze bankowym w oparciu o dotychczasowe przepisy powszechnie obowiązujące, wytyczne oraz rekomendacje organów nadzorczych zarówno polskich, jak i europejskich.

Analiza regulacyjna podsumowana w Raporcie również jednoznacznie wskazuje, że większość wymogów wynikających z DORA pokrywa się z dotychczasowymi regulacjami. Niemniej, w większości obszarów, DORA precyzuje lub uszczegóławia istniejące obowiązki.

W Raporcie szczegółowo zostały przeanalizowane obowiązki DORA w kontekście istniejących regulacji, co ma na celu zobrazowanie sektorowi bankowemu skalę prac dostosowawczych.

Dlatego rekomendowanym działaniem jest w pierwszej kolejności przeprowadzenie przez banki analizy luki, która pozwoli zidentyfikować wymagania, zaimplementowane już na poziomie organizacyjnym, procesowym i technologicznym oraz dostarczy odpowiedź, gdzie konieczne jest podjęcie działań dostosowawczych.

Przeprowadzając analizę luki należy pamiętać, że wymagania DORA mają formę rozporządzenia Parlamentu i Rady i jako takie muszą być bezwzględnie stosowane, oczywiście z uwzględnieniem zasady proporcjonalności.

Jakie rezultaty przyniesie analiza luki

Wyniki analizy luki powinny stanowić wkład do zbudowania programu inicjatyw, mających na celu dostosowanie i transformację obszaru cyberbezpieczeństwa. Ważne jest zaplanowanie realizacji inicjatyw budujących program w oparciu o priorytety adresujące najważniejsze ryzyka.

Należy również podkreślić, że przygotowując się do prac dostosowawczych, banki powinny zadbać o odpowiednie kompetencje w swoich organizacjach.

Zgodnie z przeprowadzonym badaniem, najczęściej pojawiającym się wyzwaniem związanym z wdrożeniem nowych wymogów DORA jest brak wykwalifikowanych zasobów ludzkich, zarówno w ujęciu ilościowym, jak i kompetencyjnym.

Dlaczego warto przeczytać Raport DORA

Raport ma na celu pomóc ocenić obecną sytuację danego banku i dojrzałość do wprowadzenia nowych obowiązków.

Przedstawia również porównanie różnic pomiędzy wymaganiami DORA a dotychczasowymi regulacjami (m.in. ustawy – Prawo bankowe, Rekomendacjami KNF, Komunikatem Chmurowym, UKSC i Wytycznymi EBA) oraz wynikami ankiety przeprowadzonej przez EY Polska i Związek Banków Polskich w polskim sektorze bankowym.

Zapraszamy do lektury Raportu oraz do kontaktu w celu uzyskania pogłębionych analiz i bezpośredniej dyskusji. 

Zachęcamy również do podzielenia się z nami Państwa opinią na tematy dotyczące informacji zawartych w Raporcie. Państwa spostrzeżenia i praktyczne uwagi będą cennym źródłem informacji i pomogą w przygotowaniu kolejnych opracowań dotyczących DORA.

Będziemy mieli również możliwość zgłoszenia ich w ramach prac nad Regulacyjnymi Standardami Technicznymi, które będą opracowane do DORA i będą szczegółowo opisywały obowiązki i zadania stojące przed sektorem finansowym.