Cyberzagrożenia i incydenty w kontekście rozporządzenia DORA

W dobie rosnącej cyfryzacji sektora finansowego, zarządzanie cyberzagrożeniami stało się kluczowym elementem strategii operacyjnej instytucji finansowych. Rozporządzenie DORA wprowadza ramy regulacyjne, które mają na celu zwiększenie odporności cyfrowej podmiotów finansowych. W niniejszym artykule omówimy kluczowe aspekty cyberzagrożeń i incydenty w kontekście DORA, ich klasyfikację oraz wymagania dotyczące zgłaszania.

Rozporządzenie Delegowane Komisji (UE) 2024/1772 z dnia 13 marca 2024 r. uzupełnia Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554, które dotyczy operacyjnej odporności cyfrowej sektora finansowego, znanego również jako DORA (Digital Operational Resilience Act). Celem tego rozporządzenia jest ustanowienie regulacyjnych standardów technicznych, które określają kryteria klasyfikacji incydentów związanych z ICT (technologiami informacyjno-komunikacyjnymi) oraz cyberzagrożeń.

Przepisy DORA wchodzą w życie dnia 17 stycznia 2025 roku.

Ta analiza pozwoli czytelnikom zrozumieć kluczowe aspekty związane z cyberzagrożeniami oraz ich wpływem na działalność instytucji finansowych w Polsce.

Czym są cyberzagrożenia?

Cyberzagrożenia to wszelkie działania, które mogą prowadzić do naruszenia integralności, poufności lub dostępności systemów informatycznych podmiotów finansowych. Cyberzagrożenia mogą przybierać różne formy, w tym ataki hakerskie, złośliwe oprogramowanie, phishing oraz inne techniki mające na celu uzyskanie nieautoryzowanego dostępu do danych lub systemów i są klasyfikowane na podstawie ich potencjalnego wpływu na działalność instytucji finansowych oraz na klientów i kontrahentów.

Cyberzagrożenie definiuje się jako potencjalne zdarzenie, które może spowodować incydent ICT. Incydent ICT to każde zdarzenie, które negatywnie wpływa na poufność, integralność, dostępność lub autentyczność danych i systemów ICT wykorzystywanych przez instytucję finansową. 

Uwzględniając kontekst regulacyjny oraz praktyczne implikacje:

• Zagrożenie: Okoliczność, która może prowadzić do negatywnych skutków dla bezpieczeństwa sieci i systemów informatycznych. 
• Potencjalny wpływ: Cyberzagrożenia mogą prowadzić do poważnych incydentów związanych z ICT, które mają negatywny wpływ na działalność podmiotu finansowego, w tym na jego zdolność do świadczenia usług finansowych.

Klasyfikacja cyberzagrożeń

Klasyfikacja cyberzagrożeń w kontekście DORA jest niezbędna do skutecznego zarządzania ryzykiem w sektorze finansowym. Dzięki wprowadzeniu jasnych kryteriów i progów istotności, podmioty finansowe mogą lepiej oceniać zagrożenia i podejmować odpowiednie działania w celu ich minimalizacji. W miarę jak technologia się rozwija, a cyberzagrożenia stają się coraz bardziej złożone, kluczowe będzie ciągłe dostosowywanie tych kryteriów do zmieniającego się krajobrazu zagrożeń.

DORA definiuje kilka kluczowych kategorii cyberzagrożeń, które są szczególnie istotne dla sektora finansowego:

1. organizacyjne: Dotyczą struktury i zarządzania instytucjami finansowymi.
2. techniczne: Skoncentrowane na naruszeniach technologicznych, takich jak luki w zabezpieczeniach systemów ICT.
3. ludzkie: Związane z błędami i zaniedbaniami pracowników.

Cyberzagrożenia mogą być klasyfikowane na podstawie ich charakterystyki technicznej oraz potencjalnych skutków:

• Znaczące cyberzagrożenie: To takie, które ma potencjał do spowodowania poważnego incydentu związane z ICT lub poważnego incydentu operacyjnego, co może wpłynąć na funkcjonowanie podmiotu finansowego.
• Cyberatak: Złośliwy incydent związany z ICT, który jest wynikiem działania agresora, mającego na celu zniszczenie, ujawnienie, zmianę, dezaktywację, kradzież lub uzyskanie nieuprawnionego dostępu do zasobów informacyjnych.

Klasyfikacja zagrożeń odbywa się na podstawie kilku kryteriów:

• Źródło zagrożenia: Ataki wewnętrzne vs. zewnętrzne.
• Metody ataku: Użycie złośliwego oprogramowania vs. techniki socjotechniczne.
• Potencjalny wpływ: Zagrożenie dla danych osobowych vs. destabilizacja systemu finansowego.

DORA wprowadza szereg kryteriów, które służą do klasyfikacji cyberzagrożeń jako znaczących. Oto kluczowe elementy tej klasyfikacji:

1. Krytyczność funkcji: Cyberzagrożenie jest klasyfikowane jako znaczące, jeśli może wpłynąć na krytyczne lub istotne funkcje podmiotu finansowego. Obejmuje to usługi, które są niezbędne do prawidłowego funkcjonowania instytucji oraz do zapewnienia ciągłości usług dla klientów.
2. Prawdopodobieństwo urzeczywistnienia: Klasyfikacja opiera się również na ocenie prawdopodobieństwa, że dane cyberzagrożenie może się zrealizować. W tym kontekście uwzględnia się czynniki takie jak znane słabości systemów, zdolności i zamiary potencjalnych agresorów oraz wcześniejsze incydenty, które miały wpływ na podmiot finansowy lub jego dostawców.
3. Skutki gospodarcze: Cyberzagrożenia są klasyfikowane na podstawie ich potencjalnych skutków finansowych. Jeśli koszty i straty związane z zagrożeniem przekraczają określony próg (np. 100 000 EUR), to zagrożenie to może być uznane za znaczące. Jakie mogą być konsekwencje dla podmiotu finansowego oraz jego klientów?
4. Zasięg geograficzny: Jeśli skutki cyberzagrożenia są odczuwalne w co najmniej dwóch państwach członkowskich, to również może to wpłynąć na jego klasyfikację jako znaczącego. 

Cyberzagrożenia mogą być klasyfikowane na podstawie ich charakterystyki technicznej oraz potencjalnych skutków:

• Znaczące cyberzagrożenie: To takie, które ma potencjał do spowodowania poważnego incydentu związane z ICT lub poważnego incydentu operacyjnego, co może wpłynąć na funkcjonowanie podmiotu finansowego.
• Cyberatak: Złośliwy incydent związany z ICT, który jest wynikiem działania agresora, mającego na celu zniszczenie, ujawnienie, zmianę, dezaktywację, kradzież lub uzyskanie nieuprawnionego dostępu do zasobów informacyjnych.

Znaczące cyberzagrożenie to takie, którego charakterystyka techniczna wskazuje, że może spowodować poważny incydent związany z ICT lub poważny incydent operacyjny. Takie zagrożenia mogą mieć daleko idące konsekwencje dla stabilności finansowej i integralności rynku.

Cyberatak to złośliwy incydent związany z ICT, który jest wynikiem działania agresora. Celem cyberataku może być:

• Zniszczenie danych lub systemów.
• Ujawnienie poufnych informacji.
• Zmiana danych lub systemów.
• Dezaktywacja systemów.
• Kradzież danych lub uzyskanie nieautoryzowanego dostępu do zasobów informacyjnych.

Przykłady cyberzagrożeń

Przykłady cyberzagrożeń, które mogą wystąpić w sektorze finansowym, obejmują:

• Ataki DDoS (Distributed Denial of Service): Przeciążenie systemów, co prowadzi do ich niedostępności.
• Phishing: Próby wyłudzenia danych osobowych lub finansowych poprzez fałszywe komunikaty.
• Ransomware: Złośliwe oprogramowanie, które blokuje dostęp do danych i żąda okupu za ich odblokowanie.
• Malware: Złośliwe oprogramowanie, które może uszkodzić systemy lub uzyskać nieautoryzowany dostęp do danych.

Czym jest incydent związany z ICT?

Zgodnie z rozporządzeniem DORA, incydent związany z ICT definiuje się jako pojedyncze zdarzenie lub serię powiązanych ze sobą zdarzeń, które nie były planowane przez dany podmiot finansowy, a które zagrażają bezpieczeństwu sieci i systemów informatycznych. Incydenty te mają negatywny wpływ na dostępność, autentyczność, integralność lub poufność danych, a także na usługi świadczone przez dany podmiot finansowy.

Rodzaje incydentów

Incydenty związane z ICT mogą przybierać różne formy, w tym:

1. Incydenty operacyjne: Zdarzenia, które wpływają na codzienne operacje podmiotu finansowego, takie jak awarie systemów, błędy w procesach lub problemy z dostępnością usług.
2. Incydenty bezpieczeństwa: Zdarzenia, które dotyczą naruszenia bezpieczeństwa danych, takie jak ataki hakerskie, złośliwe oprogramowanie, phishing czy inne formy cyberataków.
3. Poważne incydenty: Incydenty, które mają istotny wpływ na działalność podmiotu finansowego, w tym na jego klientów i kontrahentów. Poważne incydenty są klasyfikowane na podstawie kryteriów takich jak zasięg geograficzny, liczba dotkniętych klientów oraz skutki reputacyjne.

Kryteria uznania za poważny incydent w kontekście DORA

Incydent związany z ICT uznawany jest za poważny, jeśli spełnia określone kryteria.

1. Usługi krytyczne: Incydent musi dotyczyć usług krytycznych, które są kluczowe dla funkcjonowania podmiotu finansowego. Oznacza to, że incydent wpływa na usługi, które są niezbędne do zapewnienia ciągłości działalności finansowej.
2. Progi istotności: Incydent uznaje się za poważny, jeśli osiągnięto co najmniej jeden z progów istotności określonych w przepisach.
3. Skutki dla rynku: Incydent powinien mieć potencjalny wpływ na efektywność rynku, co oznacza, że jego konsekwencje mogą dotyczyć nie tylko samego podmiotu finansowego, ale także jego klientów, kontrahentów oraz całego sektora finansowego.

Zgodnie z rozporządzeniem DORA, powtarzające się incydenty mogą być klasyfikowane jako jeden poważny incydent, jeśli spełniają określone warunki:

1. Częstotliwość występowania: Powtarzające się incydenty muszą wystąpić co najmniej dwa razy w ciągu sześciu miesięcy. Oznacza to, że incydenty, które zdarzają się sporadycznie, nie będą klasyfikowane jako jeden poważny incydent.
2. Podobna widoczna podstawowa przyczyna: Incydenty muszą mieć tę samą widoczną podstawową przyczynę. Oznacza to, że muszą być związane z tym samym problemem lub słabością w systemie, co sugeruje, że istnieje wspólny czynnik, który prowadzi do ich wystąpienia.
3. Spełnienie kryteriów uznania za poważny incydent: Łącznie powtarzające się incydenty muszą spełniać kryteria uznania ich za poważny incydent, które są określone w przepisach. Oznacza to, że ich wpływ na działalność podmiotu finansowego musi być na tyle istotny, aby uzasadniać klasyfikację jako poważny incydent.

Przykład: Jeśli instytucja finansowa doświadcza dwóch incydentów związanych z cyberatakami, które mają tę samą przyczynę (np. luka w zabezpieczeniach systemu), a oba incydenty prowadzą do poważnych zakłóceń w świadczeniu usług, to mogą być one klasyfikowane jako jeden poważny incydent.

Podmioty finansowe powinny klasyfikować incydenty na podstawie następujących kryteriów:

• Krytyczność usług: Jakie usługi są zagrożone i jakie mają znaczenie dla działalności podmiotu finansowego.
• Liczba klientów: Jak wiele osób lub kontrahentów finansowych jest dotkniętych incydentem.
• Czas trwania incydentu: Jak długo trwał incydent i jego wpływ na świadczenie usług.
• Zasięg geograficzny: Czy incydent dotyczy więcej niż jednego państwa członkowskiego.
• Utrata danych: Jakie dane zostały utracone lub naruszone w wyniku incydentu.

Znaczenie cyberzagrożeń dla sektora finansowego

Cyberzagrożenia mają istotne znaczenie dla sektora finansowego, wpływając na stabilność, zaufanie klientów oraz koszty operacyjne. Wzajemne powiązania między podmiotami finansowymi oraz rosnąca złożoność systemów ICT sprawiają, że skuteczne zarządzanie ryzykiem związanym z cyberzagrożeniami jest kluczowe dla zapewnienia operacyjnej odporności cyfrowej. Wprowadzenie regulacji takich jak DORA oraz promowanie współpracy i wymiany informacji stanowią istotne kroki w kierunku zwiększenia bezpieczeństwa w sektorze finansowym.

Poniżej przedstawiam szczegółowe aspekty dotyczące ich znaczenia dla sektora finansowego.

Wzajemne powiązania i ryzyko systemowe

Sektor finansowy charakteryzuje się wysokim poziomem wzajemnych powiązań między różnymi podmiotami, co sprawia, że lokalne incydenty mogą szybko rozprzestrzenić się na cały system finansowy. Zgodnie z raportem Europejskiej Rady ds. Ryzyka Systemowego (ERRS), istniejący wysoki poziom współzależności między podmiotami finansowymi oraz infrastrukturą rynku finansowego może prowadzić do podatności o charakterze systemowym. Poważne naruszenia związane z ICT mogą nie tylko dotyczyć samych podmiotów finansowych, ale także zwiększać ryzyko rozpowszechnienia lokalnych podatności we wszystkich kanałach oddziaływania finansowego, co może prowadzić do negatywnych konsekwencji dla stabilności unijnego systemu finansowego, takich jak utrata płynności i zaufania do rynków finansowych.

Zaufanie klientów i użytkowników

Zaufanie klientów do instytucji finansowych jest kluczowe dla ich działalności. Cyberzagrożenia, takie jak ataki hakerskie, kradzież danych czy oszustwa internetowe, mogą poważnie podważyć to zaufanie. W przypadku incydentów związanych z bezpieczeństwem danych, klienci mogą stracić wiarę w zdolność instytucji do ochrony ich informacji osobowych i finansowych. Utrata zaufania może prowadzić do odpływu klientów oraz negatywnych skutków finansowych dla podmiotów finansowych.

Regulacje i wymogi prawne

Wzrost cyberzagrożeń w sektorze finansowym przyczynił się do wprowadzenia bardziej rygorystycznych regulacji i wymogów prawnych, takich jak DORA. Podmioty finansowe są zobowiązane do wdrażania odpowiednich środków zaradczych, testowania operacyjnej odporności cyfrowej oraz zgłaszania incydentów związanych z ICT. Niezastosowanie się do tych regulacji może prowadzić do sankcji prawnych, a także do utraty reputacji na rynku.

Koszty i straty finansowe

Cyberzagrożenia mogą prowadzić do znacznych kosztów i strat finansowych dla podmiotów. Koszty związane z naprawą szkód, utratą danych, a także z potencjalnymi roszczeniami odszkodowawczymi mogą być ogromne. Dodatkowo, incydenty związane z ICT mogą prowadzić do przerw w działalności, co z kolei wpływa na przychody i rentowność instytucji.

Wzrost złożoności i zależności

W miarę jak sektor finansowy staje się coraz bardziej złożony i uzależniony od technologii ICT, ryzyko związane z cyberzagrożeniami również rośnie. Wzrost cyfryzacji, w tym korzystanie z chmury obliczeniowej, rozwiązań fintech oraz zewnętrznych dostawców usług ICT, zwiększa podatność na ataki. W związku z tym, podmioty finansowe muszą nieustannie aktualizować swoje systemy zabezpieczeń i procedury zarządzania ryzykiem, aby sprostać nowym wyzwaniom.

Współpraca i wymiana informacji

W obliczu rosnących cyberzagrożeń, współpraca między podmiotami finansowymi oraz organami regulacyjnymi staje się kluczowa. Wymiana informacji na temat zagrożeń, incydentów oraz najlepszych praktyk w zakresie zarządzania ryzykiem może znacząco zwiększyć odporność sektora finansowego na cyberzagrożenia. DORA promuje takie działania, co może przyczynić się do lepszego przygotowania na potencjalne ataki.

Progi istotności w kontekście cyberzagrożeń i incydentów

Progi istotności są kluczowym elementem w klasyfikacji cyberzagrożeń i incydentów związanych z ICT. Umożliwiają one podmiotom finansowym ocenę, które incydenty wymagają zgłoszenia oraz jakie działania należy podjąć w odpowiedzi na te zagrożenia. Progi te są niezbędne do zapewnienia spójności i efektywności w zarządzaniu ryzykiem związanym z ICT w sektorze finansowym. Poniżej omówimy definicję progów istotności, ich kryteria oraz znaczenie w kontekście zarządzania ryzykiem.

W odniesieniu do cyberzagrożeń DORA wprowadza pojęcie znaczącego cyberzagrożenia. Cyberzagrożenie uznaje się za znaczące, gdy istnieje duże prawdopodobieństwo jego urzeczywistnienia, a jego potencjalne skutki spełniają kryteria klasyfikacji poważnych incydentów

Definicja progów istotności

Progi istotności to określone wartości, które muszą zostać osiągnięte, aby cyberzagrożenie lub incydent mogły być uznane za znaczące. Progi te mają na celu umożliwienie podmiotom finansowym skutecznego zarządzania ryzykiem oraz zgłaszania zagrożeń, które mogą mieć istotny wpływ na ich działalność.

DORA wprowadza różne progi istotności, które są dostosowane do specyfiki działalności podmiotów finansowych. Progi są dostosowane do specyfiki działalności podmiotów finansowych i uwzględniają ich wielkość oraz profil ryzyka. W przypadku większych instytucji mogą być stosowane bardziej rygorystyczne kryteria, aby zapewnić odpowiednią ochronę i zarządzanie ryzykiem.

Kryteria progów istotności

DORA określa kilka kluczowych kryteriów, które muszą być spełnione, aby uznać próg istotności za osiągnięty. Oto najważniejsze z nich:

1. Klienci i kontrahenci finansowi: Próg istotności dotyczący kryterium „klienci, kontrahenci finansowi i transakcje” zostaje osiągnięty, jeżeli spełniony jest którykolwiek z poniższych warunków:
   • Liczba klientów, których dotyczy zagrożenie, przekracza 10% wszystkich klientów korzystających z danej usługi.
   • Liczba klientów, których dotyczy zagrożenie, przekracza 100 000.
   • Liczba kontrahentów finansowych, których dotyczy zagrożenie, przekracza 30% wszystkich kontrahentów finansowych związanych z daną usługą.
2. Skutki reputacyjne: Próg istotności dotyczący skutków reputacyjnych zostaje osiągnięty, jeżeli incydent ma potencjalny negatywny wpływ na wizerunek podmiotu finansowego.
3. Czas trwania zagrożenia: Próg istotności dotyczący kryterium „czas trwania zagrożenia” zostaje osiągnięty, jeżeli czas trwania zagrożenia jest dłuższy niż 24 godziny.
4. Zasięg geograficzny: Próg istotności dotyczący zasięgu geograficznego zostaje osiągnięty, jeżeli skutki zagrożenia są odczuwalne w co najmniej dwóch państwach członkowskich.
5. Utrata danych: Próg istotności dotyczący utraty danych zostaje osiągnięty, jeżeli skutki zagrożenia mają negatywny wpływ na dostępność, autentyczność, integralność lub poufność danych.
6. Skutki gospodarcze: Próg istotności dotyczący skutków gospodarczych zostaje osiągnięty, jeżeli koszty i straty poniesione przez podmiot finansowy w wyniku zagrożenia przekroczyły lub prawdopodobnie przekroczą 100 000 EUR.

Znaczenie progów istotności

Progi istotności mają kluczowe znaczenie dla zarządzania ryzykiem związanym z ICT, ponieważ pozwalają na skuteczne klasyfikowanie zagrożeń oraz podejmowanie odpowiednich działań w celu ich minimalizacji. Wprowadzenie jednolitych progów istotności ma na celu uproszczenie procesu zgłaszania i monitorowania cyberzagrożeń.

Progi istotności są kluczowe dla skutecznego zarządzania ryzykiem związanym z ICT, ponieważ pozwalają na:

• Identyfikację i klasyfikację zagrożeń: Dzięki jasnym kryteriom podmioty finansowe mogą skutecznie oceniać, które zagrożenia wymagają zgłoszenia.
• Zgłaszanie zagrożeń: Progi te umożliwiają podmiotom finansowym zgłaszanie tylko tych zagrożeń, które mają istotny wpływ na ich działalność, co z kolei pozwala na lepsze zarządzanie zasobami i czasem.
• Harmonizację praktyk: Umożliwiają one spójne podejście do zarządzania ryzykiem w całym sektorze finansowym, co jest szczególnie ważne w kontekście transgranicznych operacji finansowych.

Zgłaszanie cyberzagrożeń i incydentów

Zgłaszanie cyberzagrożeń i incydentów jest kluczowym elementem zarządzania ryzykiem w sektorze finansowym, szczególnie w kontekście rozporządzenia DORA (Delegated Regulation (EU) 2022/2554). W miarę jak cyberzagrożenia stają się coraz bardziej powszechne i złożone, istotne jest, aby podmioty finansowe miały jasne procedury zgłaszania, które umożliwią skuteczne reagowanie na te zagrożenia.

DORA nakłada na instytucje finansowe obowiązek zgłaszania poważnych incydentów właściwym organom nadzorczym. Procedura zgłaszania jest szczegółowo opisana w art. 19 rozporządzenia (UE) 2022/2554. Zgłoszenie należy złożyć niezwłocznie po wykryciu incydentu, a jego treść musi zawierać wszystkie istotne informacje określone w art. 12 rozporządzenia delegowanego (UE) 2024/1772.

Wymogi dotyczące zgłaszania

Podmioty finansowe są zobowiązane do zgłaszania wszelkich cyberzagrożeń, które mogą mieć istotny wpływ na ich działalność. Wymogi te obejmują:

1. Zgłaszanie poważnych incydentów: Podmioty finansowe muszą zgłaszać poważne incydenty związane z obszarem ICT odpowiednim organom nadzoru. Zgłoszenia te powinny być dokonywane niezwłocznie, gdy tylko podmiot finansowy dowie się o zagrożeniu, które może mieć istotny wpływ na jego działalność lub na klientów.
2. Wstępne powiadomienia: Po zidentyfikowaniu poważnego cyberzagrożenia, podmioty finansowe są zobowiązane do sporządzenia wstępnego powiadomienia. Powiadomienie to powinno zawierać wszystkie istotne informacje dotyczące zagrożenia, w tym jego przyczyny, skutki oraz działania podjęte w celu jego zminimalizowania. Wstępne powiadomienie powinno być przekazane odpowiedniemu właściwemu organowi, który następnie oceni sytuację i podejmie odpowiednie działania.
3. Szczegółowe raporty: Po wstępnym powiadomieniu, podmioty finansowe muszą również dostarczyć szczegółowe raporty dotyczące poważnych cyberzagrożeń. Raporty te powinny obejmować dane dotyczące przyczyn ryzyka, jego konsekwencji oraz kroków podjętych w celu jego ograniczenia.

Kluczowe aspekty zgłaszania

1. Jednolitość procedur: DORA wprowadza wymóg, aby wszystkie podmioty finansowe stosowały jednolite procedury zgłaszania. Umożliwia to spójne podejście do zarządzania ryzykiem w całym sektorze finansowym oraz ułatwia wymianę informacji między różnymi organami nadzoru.
2. Współpraca z organami nadzoru: Zgłaszanie wymaga również współpracy z organami nadzoru. Właściwe organy powinny być informowane o wszelkich poważnych zagrożeniach, co pozwala na szybką reakcję i koordynację działań w celu minimalizacji skutków zagrożeń.
3. Zgłaszanie do CSIRT: Podmioty finansowe mogą również zgłaszać cyberzagrożenia do zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT). Współpraca z CSIRT pozwala na szybsze uzyskanie wsparcia technicznego oraz wymianę informacji na temat zagrożeń.

Zgłaszanie incydentów i cyberzagrożeń jest kluczowym elementem zarządzania ryzykiem w sektorze finansowym, a rozporządzenie wprowadza jasne wymogi dotyczące tego procesu. Dzięki jednolitym procedurom zgłaszania, podmioty finansowe mogą skutecznie reagować na zagrożenia, minimalizując ich wpływ na działalność oraz na klientów. Współpraca z organami nadzoru oraz zespołami reagowania na incydenty jest niezbędna do zapewnienia bezpieczeństwa i stabilności sektora finansowego w obliczu rosnących cyberzagrożeń.

Proces zgłaszania cyberzagrożeń i incydentów w kontekście DORA

Wymogi dotyczące zgłaszania obejmują m.in. szczegółowe informacje na temat charakterystyki zagrożenia, jego potencjalnych skutków oraz działań podjętych w celu jego zminimalizowania.

1. Identyfikacja zagrożenia: Podmioty finansowe powinny na bieżąco monitorować swoje systemy ICT w celu identyfikacji potencjalnych zagrożeń. W przypadku wykrycia incydentu, należy natychmiast podjąć działania w celu jego oceny i klasyfikacji.
2. Zgłoszenie: Po zidentyfikowaniu poważnego incydentu, podmiot finansowy powinien niezwłocznie zgłosić go odpowiedniemu właściwemu organowi. Zgłoszenie powinno zawierać wszystkie istotne informacje, takie jak charakter incydentu, jego potencjalne skutki oraz działania podjęte w celu jego zminimalizowania.
3. Dokumentacja: Instytucje finansowe mają obowiązek utrzymywać dokładną ewidencję wszystkich zgłoszeń, w tym początkowych powiadomień i sprawozdań. Taka dokumentacja jest kluczowa do badania skutków incydentów oraz oceny skuteczności działań podjętych w celu ich ograniczenia.
4. Komunikacja z klientami: W przypadku poważnego incydentu, który ma istotny wpływ na interesy finansowe klientów, podmioty finansowe powinny informować swoich klientów o incydencie oraz o środkach, które podjęto w celu złagodzenia negatywnych skutków.

Współpraca z organami nadzoru jest kluczowa w procesie zgłaszania cyberzagrożeń i incydentów. Właściwe organy powinny być informowane o wszelkich poważnych zagrożeniach, co pozwala na szybką reakcję i koordynację działań w celu minimalizacji skutków incydentów. Dodatkowo, podmioty finansowe mogą zgłaszać incydenty do zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT), co umożliwia szybsze uzyskanie wsparcia technicznego oraz wymianę informacji na temat zagrożeń.

Rozporządzenie wprowadza jasne wymogi dotyczące tego procesu, co pozwala podmiotom finansowym skutecznie reagować na zagrożenia i minimalizować ich wpływ na działalność oraz na klientów. Współpraca z organami nadzoru oraz zespołami reagowania na incydenty jest niezbędna do zapewnienia bezpieczeństwa i stabilności sektora finansowego w obliczu rosnących cyberzagrożeń.

Współpraca międzynarodowa w zgłaszaniu cyberzagrożeń

W kontekście narastającej liczby cyberzagrożeń o potencjalnie międzynarodowym zasięgu, międzynarodowa współpraca w zakresie ich zgłaszania i zarządzania staje się istotnym aspektem strategii bezpieczeństwa w sektorze finansowym. Właściwe organy w różnych krajach muszą wymieniać się informacjami na temat zagrożeń, aby skutecznie reagować na incydenty o charakterze transgranicznym.

Rozporządzenie podkreśla znaczenie współpracy między państwami członkowskimi oraz organami regulacyjnymi w celu skutecznego reagowania na incydenty.

Znaczenie współpracy międzynarodowej

1. Transgraniczny charakter cyberzagrożeń: Cyberzagrożenia często nie znają granic geograficznych, co oznacza, że incydenty w jednym kraju mogą szybko wpłynąć na systemy finansowe w innych państwach. Współpraca międzynarodowa jest zatem niezbędna do skutecznego monitorowania i reagowania na te zagrożenia.
2. Wymiana informacji: Współpraca między państwami członkowskimi oraz organami regulacyjnymi umożliwia szybką wymianę informacji na temat zagrożeń, incydentów oraz najlepszych praktyk w zakresie zarządzania ryzykiem związanym z ICT. Taka wymiana informacji jest kluczowa dla wczesnego wykrywania zagrożeń i minimalizacji ich skutków.
3. Koordynacja działań: Współpraca międzynarodowa pozwala na koordynację działań między różnymi organami nadzoru, co zwiększa efektywność reakcji na incydenty. Dzięki temu możliwe jest szybsze podejmowanie decyzji oraz wdrażanie odpowiednich środków zaradczych.

Mechanizmy współpracy

1. Zespoły reagowania na incydenty bezpieczeństwa komputerowego (CSIRT): W ramach współpracy międzynarodowej, podmioty finansowe mogą zgłaszać cyberzagrożenia do CSIRT, które są odpowiedzialne za analizę i reagowanie na incydenty. CSIRT współpracują z organami regulacyjnymi oraz innymi instytucjami w celu wymiany informacji i koordynacji działań.
2. Grupa współpracy: Zgodnie z dyrektywą NIS2 (UE) 2022/2555, powołano grupę współpracy, która ma na celu wspieranie wymiany informacji i najlepszych praktyk między państwami członkowskimi. Grupa ta umożliwia również koordynację działań w zakresie reagowania na incydenty oraz opracowywania wspólnych strategii.
3. Współpraca z organami ścigania: W przypadku poważnych incydentów o charakterze przestępczym, współpraca z organami ścigania jest niezbędna do skutecznego ścigania sprawców. Wymiana informacji między organami nadzoru a organami ścigania pozwala na szybsze identyfikowanie zagrożeń i podejmowanie działań w celu ich neutralizacji.

Wyzwania w współpracy międzynarodowej

1. Różnice w przepisach: Różnice w krajowych przepisach dotyczących zgłaszania incydentów mogą utrudniać współpracę międzynarodową. Wprowadzenie jednolitych ram regulacyjnych, takich jak te zawarte w DORA, ma na celu zminimalizowanie tych różnic.
2. Ochrona danych osobowych: Wymiana informacji między państwami członkowskimi musi być zgodna z przepisami o ochronie danych osobowych. Należy zapewnić, że przekazywane informacje nie naruszają prywatności osób fizycznych.
3. Zaufanie między państwami: Efektywna współpraca międzynarodowa wymaga zaufania między państwami członkowskimi. Wspólne działania i transparentność w zakresie wymiany informacji mogą pomóc w budowaniu tego zaufania.

Dzięki wymianie informacji, koordynacji działań oraz współpracy z organami ścigania, podmioty finansowe mogą lepiej reagować na zagrożenia i minimalizować ich skutki. Wprowadzenie jednolitych ram regulacyjnych ma na celu ułatwienie tej współpracy i zwiększenie odporności sektora finansowego na cyberzagrożenia.

Skutki gospodarcze i reputacyjne cyberzagrożeń

Incydenty ICT mogą mieć poważne konsekwencje dla podmiotów finansowych, zarówno w aspekcie gospodarczym, jak i reputacyjnym. 

Skutki gospodarcze incydentów

1. Bezpośrednie straty finansowe: Incydenty związane z ICT mogą prowadzić do bezpośrednich strat finansowych, takich jak koszty naprawy systemów, utraty danych, a także potencjalne odszkodowania dla klientów. Na przykład, w przypadku cyberataku, który prowadzi do wycieku danych osobowych, podmiot finansowy może być zobowiązany do pokrycia kosztów związanych z ochroną klientów oraz do wypłaty odszkodowań.
2. Utrata przychodów: Przerwy w świadczeniu usług spowodowane incydentami mogą prowadzić do utraty przychodów. Klienci mogą zdecydować się na korzystanie z usług konkurencji, co może mieć długoterminowe konsekwencje dla rentowności podmiotu finansowego.
3. Koszty regulacyjne: W wyniku incydentów podmioty finansowe mogą być zobowiązane do spełnienia dodatkowych wymogów regulacyjnych, co wiąże się z dodatkowymi kosztami. Na przykład, mogą być zmuszone do przeprowadzenia audytów, wdrożenia nowych systemów zabezpieczeń lub szkolenia pracowników.
4. Skutki dla płynności: Poważne incydenty mogą prowadzić do utraty płynności finansowej, co może zagrażać stabilności podmiotu. Utrata zaufania ze strony inwestorów i klientów może prowadzić do wycofania kapitału, co dodatkowo pogarsza sytuację finansową.

Skutki reputacyjne incydentów

1. Utrata zaufania klientów: Incydenty związane z bezpieczeństwem danych mogą prowadzić do utraty zaufania klientów. Klienci mogą obawiać się o bezpieczeństwo swoich danych osobowych i finansowych, co może skutkować ich decyzją o rezygnacji z usług danego podmiotu.
2. Negatywne publikacje w mediach: Poważne incydenty mogą przyciągać uwagę mediów, co prowadzi do negatywnego wizerunku podmiotu finansowego. Publiczne doniesienia o incydentach mogą wpłynąć na postrzeganie marki i reputację w oczach klientów oraz partnerów biznesowych.
3. Długoterminowe konsekwencje dla marki: Utrata reputacji może mieć długoterminowe konsekwencje dla marki. Klienci mogą być mniej skłonni do korzystania z usług podmiotu, co może prowadzić do spadku bazy klientów i obniżenia przychodów.
4. Problemy z regulacjami: Incydenty mogą prowadzić do zwiększonego nadzoru ze strony organów regulacyjnych, co może skutkować dodatkowymi wymogami i ograniczeniami dla podmiotu finansowego. To z kolei może wpłynąć na jego zdolność do prowadzenia działalności.

Przyszłość zarządzania cyberzagrożeniami w sektorze finansowym po wdrożeniu DORA

W miarę jak technologia się rozwija, podmioty finansowe muszą dostosować swoje strategie zarządzania ryzykiem do nowych zagrożeń. Wzrost liczby cyberataków oraz coraz bardziej złożone techniki stosowane przez cyberprzestępców stanowią poważne wyzwanie dla sektora finansowego.

Wdrożenie rozporządzenia stawia przed instytucjami finansowymi szereg kluczowych wyzwań, które będą kształtować przyszłość zarządzania cyberzagrożeniami.

Wyzwania dla instytucji finansowych

• Zwiększona złożoność regulacji: Instytucje muszą dostosować swoje procedury do nowych wymogów, co może wiązać się z koniecznością przeprowadzania szkoleń i aktualizacji systemów.
• Ewolucja zagrożeń: Cyberzagrożenia stają się coraz bardziej zaawansowane. Instytucje muszą nieustannie monitorować zmiany w krajobrazie zagrożeń i dostosowywać swoje strategie.
• Integracja technologii: Wdrożenie nowoczesnych rozwiązań technologicznych, takich jak sztuczna inteligencja i uczenie maszynowe, pozwala na szybsze identyfikowanie i reagowanie na incydenty.

Rola technologii w zarządzaniu ryzykiem cyfrowym

• Automatyzacja procesów: Umożliwia skuteczniejsze wykrywanie anomalii oraz automatyczne raportowanie incydentów.
• Analiza danych w czasie rzeczywistym: Pomaga w ocenie ryzyka i podejmowaniu decyzji na podstawie bieżących informacji.

Dostosowanie się do tych wyzwań będzie kluczowe dla zapewnienia bezpieczeństwa i stabilności sektora finansowego w erze cyfrowej.

Najczęściej zadawane pytania