Nowoczesny Bank Spółdzielczy | Forum Liderów Banków Spółdzielczych – Secfense | DORA – jakie zmiany czekają sektor finansowy?

Rozporządzenie DORA, czyli Digital Operational Resilience Act, powstało po to, by zwiększyć cyberodporność sektora finansowego, który jest coraz bardziej zależny od technologii. Jest aktem prawnym, który nie wymaga uchwalenia dodatkowych regulacji na poziomie krajowym, co oznacza, że już dziś można określić, jakie procedury i rozwiązania wdrożyć, by spełnić nowe wymagania nałożone na organizacje i przedsiębiorstwa.

– Rozporządzenie DORA nakłada na instytucje finansowe i ich dostawców usług ICT obowiązek stosowania odpowiednich środków zarządzania ryzykiem, testowania bezpieczeństwa, powiadamiania o incydentach i współpracy z organami nadzoru. Oczywiście może się wydawać, że 17 stycznia 2025 r. To odległa data i wciąż mamy dużo czasu. Jednak wdrożenie odpowiednich technologii i procedur wymaga sporego zaangażowania, zatem im szybciej firmy i organizacje się za to zabiorą, tym większa pewność, że będą gotowe na nowe przepisy w wyznaczonym terminie – mówi Tomasz ­Kowalski, CEO Secfense.

Wymagania dotyczące bezpieczeństwa

Czego dokładnie wymagają od sektora finansowego nowe regulacje? DORA przede wszystkim wyznacza ramy zarządzania ryzykiem związanym z ICT. Ramy te obejmują m.in strategie, polityki, procedury i narzędzia ICT niezbędne do tego, by należycie ochronić zasoby informatyczne, takie jak oprogramowanie, sprzęt komputerowy i serwery, infrastrukturę cyfrową, w tym centra przetwarzania danych.

Nie wszystkie instytucje muszą się chronić w takim samym stopniu. O tym, jakie zabezpieczenia zastosować, decyduje przede wszystkim charakter i skala działalności danej organizacji oraz profil ryzyka. Jednak nie ma w tym zakresie żadnych szczegółowych wytycznych. To podmioty finansowe muszą samodzielnie zadecydować, jaki poziom ochrony wdrożyć. To, czy ta decyzja była słuszna, ocenią organy kontrolne, czyli w Polsce – Komisja Nadzoru Finansowego.

Choć DORA nie narzuca rozwiązań, z których należy skorzystać, jednoznacznie wskazuje na konieczność stosowania mechanizmów silnego uwierzytelniania w instytucjach sektora finansowego.

– W rozporządzeniu znajdziemy jednoznaczne sformułowanie, mówiące o tym, że podmioty finansowe wdrażają silne mechanizmy uwierzytelniania. Nie ma tu żadnego pola do własnej interpretacji. Innymi słowy – organizacje całego sektora są zobligowane do zaimplementowania takich rozwiązań. Zresztą ...