Kluczowi zewnętrzni dostawcy usług ICT w sektorze finansowym według DORA

DORA, czyli Digital Operational Resilience Act, stało się kluczowym elementem regulacji dla zewnętrznych dostawców usług ICT w sektorze finansowym. Te przepisy ustanawiają standardy, które mają na celu zwiększenie odporności cyfrowej oraz zapewnienie bezpieczeństwa sieci i systemów informatycznych. Kluczowi zewnętrzni dostawcy usług ICT odgrywają istotną rolę w funkcjonowaniu nowoczesnego sektora finansowego, dostarczając niezbędne technologie i usługi.

Wzrost zależności od zewnętrznych dostawców usług ICT stawia przed podmiotami finansowymi nowe wyzwania związane z zarządzaniem ryzykiem. W odpowiedzi na te wyzwania, Unia Europejska wprowadziła Rozporządzenie Delegowane Komisji (UE) 2024/1502, uzupełniające rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).

W niniejszym artykule omówimy kryteria identyfikacji zewnętrznych dostawców usług ICT, którzy są uznawani za kluczowych dla podmiotów finansowych, w kontekście operacyjnej odporności cyfrowej.

Definicja kluczowych dostawców usług ICT według Rozporządzenia DORA

Czym są usługi ICT?

Usługi ICT obejmują szeroki zakres technologii i rozwiązań, które wspierają działalność podmiotów finansowych. Wśród nich znajdują się systemy płatności, platformy handlowe, usługi chmurowe oraz rozwiązania w zakresie bezpieczeństwa danych. Kluczowi dostawcy usług ICT to ci, którzy mają istotny wpływ na funkcjonowanie krytycznych procesów w instytucjach finansowych.

Krytyczne i istotne funkcje w kontekście zewnętrznych dostawców usług ICT

Krytyczne i istotne funkcje odgrywają kluczową rolę w zapewnieniu operacyjnej odporności cyfrowej podmiotów finansowych. Dla efektywnego nadzoru nad zagrożeniami powiązanymi z zewnętrznymi firmami świadczącymi usługi technologii informacyjno-komunikacyjnych, kluczowe jest określenie ich roli oraz wykonanie adekwatnych analiz potencjalnych niebezpieczeństw.

Zewnętrzni dostawcy usług ICT, którzy wspierają krytyczne i istotne funkcje, muszą zapewnić ciągłość działania. W przypadku awarii dostawcy, podmioty finansowe muszą być w stanie szybko przywrócić funkcje, aby zminimalizować zakłócenia w świadczeniu usług).

Definicja krytycznych i istotnych funkcji

Funkcje uznawane za krytyczne to te, których zakłócenie w sposób istotny wpłynęłoby na wyniki finansowe podmiotu finansowego, na bezpieczeństwo lub ciągłość usług i działalności tego podmiotu. W przypadku awarii, konsekwencje mogą być poważne, w tym zakłócenia w świadczeniu usług finansowych, co może prowadzić do utraty zaufania klientów i destabilizacji rynku.

Przykłady krytycznych funkcji obejmują:

• Systemy płatności;
• Zarządzanie ryzykiem kredytowym;
• Operacje związane z obrotem papierami wartościowymi.

Istotne funkcje to te, które, choć nie są krytyczne, również mają znaczący wpływ na działalność podmiotu finansowego. Zakłócenie tych funkcji może prowadzić do obniżenia efektywności operacyjnej lub jakości świadczonych usług. Przykłady istotnych funkcji obejmują:

• Obsługa klienta;
• Procesy back-office;
• Zarządzanie danymi i raportowanie.

Kryteria identyfikacji krytycznych i istotnych funkcji

W kontekście operacyjnej odporności cyfrowej sektora finansowego, identyfikacja krytycznych i istotnych funkcji jest kluczowym elementem zarządzania ryzykiem. 

Analiza wpływu na działalność BIA

Jednym z kluczowych kryteriów identyfikacji krytycznych i istotnych funkcji jest przeprowadzenie analizy wpływu na działalność (BIA). BIA pozwala na ocenę potencjalnych skutków zakłóceń w funkcjonowaniu danej funkcji, uwzględniając zarówno aspekty ilościowe, jak i jakościowe. W ramach BIA należy ocenić:

• Krytyczność funkcji dla działalności podmiotu;
• Potencjalne straty finansowe związane z zakłóceniem;
• Wpływ na reputację i zaufanie klientów.

Zależności i współzależności

Kolejnym istotnym kryterium jest analiza zależności i współzależności między różnymi funkcjami oraz między podmiotami finansowymi. Wysoka współzależność może zwiększać ryzyko systemowe, dlatego ważne jest, aby zrozumieć, jak wiele instytucji jest uzależnionych od danej funkcji lub dostawcy. Należy uwzględnić:

• Współzależności między funkcjami w ramach podmiotu;
• Zależności od zewnętrznych dostawców usług ICT;
• Potencjalne skutki zakłóceń w jednej funkcji na inne funkcje.

Kluczowi zewnętrzni dostawcy usług ICT

Rola kluczowych zewnętrznych dostawców usług ICT w sektorze finansowym jest znacząca, zarówno w zakresie strategii biznesowej, jak i zarządzania ryzykiem. Ich status jest regulowany przez ramach prawnych, takich jak DORA, które nakładają określone obowiązki.

Definicja i rola

Kluczowi zewnętrzni dostawcy usług ICT to podmioty, które dostarczają niezbędne technologię i wsparcie instytucjom finansowym. DORA definiuje ich jako „kluczowych” (critical), gdy ich usługi są niezbędne do funkcjonowania kluczowych operacji instytucji finansowej.

Kluczowy dostawca usług ICT to zewnętrzny dostawca, który świadczy usługi informacyjno-komunikacyjne, mające istotne znaczenie dla funkcjonowania podmiotów finansowych. Zgodnie z regulacjami są definiowani jako ci, których usługi wspierają krytyczne lub istotne funkcje podmiotów finansowych. 

Ich awaria lub zakłócenie w świadczeniu usług może prowadzić do poważnych konsekwencji, takich jak:

• Utrata płynności finansowej;
• Zakłócenia w świadczeniu usług dla klientów;
• Utrata zaufania do instytucji finansowej;
• Potencjalne zagrożenie dla stabilności całego systemu finansowego.

Poniżej znajdują się główne kategorie usług, które mogą być świadczone przez kluczowych dostawców usług ICT.

1. Usługi infrastruktury IT
   • Usługi chmurowe – Dostawcy usług chmurowych oferują infrastrukturę, platformy i oprogramowanie jako usługi (IaaS, PaaS, SaaS). Te usługi umożliwiają podmiotom finansowym elastyczne zarządzanie zasobami IT, co jest kluczowe dla skalowalności i efektywności operacyjnej;
   • Usługi hostingowe – Usługi hostingowe obejmują przechowywanie danych i aplikacji na serwerach zewnętrznych. Dostawcy ci zapewniają dostępność i bezpieczeństwo danych, co jest niezbędne dla ciągłości działania instytucji finansowych.
2. Usługi oprogramowania
   • Oprogramowanie do zarządzania ryzykiem – Dostawcy usług ICT oferują oprogramowanie, które wspiera instytucje finansowe w identyfikacji, ocenie i zarządzaniu ryzykiem. Oprogramowanie to może obejmować narzędzia do analizy danych, prognozowania ryzyk oraz monitorowania zgodności z regulacjami.
   • Systemy płatności – Dostawcy usług ICT dostarczają systemy płatności, które umożliwiają realizację transakcji finansowych. Te systemy są kluczowe dla operacji bankowych, handlu elektronicznego oraz innych usług finansowych.
3. Usługi wsparcia technicznego
   • Wsparcie w zakresie bezpieczeństwa ICT – Dostawcy usług ICT oferują wsparcie w zakresie bezpieczeństwa, w tym monitorowanie zagrożeń, zarządzanie incydentami oraz wdrażanie polityk bezpieczeństwa. Te usługi są niezbędne dla ochrony danych i systemów informacyjnych przed cyberzagrożeniami.
   • Usługi audytowe i konsultingowe – Dostawcy usług ICT mogą również oferować usługi audytowe i konsultingowe, które pomagają instytucjom finansowym w ocenie ich systemów ICT oraz w identyfikacji obszarów wymagających poprawy.
4. Usługi związane z danymi
   • Przechowywanie i zarządzanie danymi – Dostawcy usług ICT oferują rozwiązania do przechowywania i zarządzania danymi, co jest kluczowe dla instytucji finansowych, które muszą przestrzegać regulacji dotyczących ochrony danych osobowych i bezpieczeństwa informacji.

Kryteria identyfikacji kluczowych dostawców usług ICT

W obliczu coraz większej zależności branży finansowej od zewnętrznych dostawców usług ICT, istotne jest zrozumienie kryteriów umożliwiających identyfikację tych dostawców jako kluczowych. Właściwe zdefiniowanie i ocena tych kryteriów jest niezbędna dla zapewnienia operacyjnej odporności cyfrowej oraz minimalizacji ryzyk związanych z korzystaniem z tych usług.

Instytucje finansowe muszą przeprowadzać systematyczne i dokładne oceny, aby zidentyfikować kluczowych dostawców oraz zrozumieć potencjalne ryzyka związane z ich usługami. Proces ten można podzielić na dwa główne etapy: ocenę ilościową i ocenę jakościową.

• Etap 1: Kryteria ilościowe, które pozwalają na wstępną selekcję dostawców.
• Etap 2: Kryteria jakościowe, które wymagają dogłębnej analizy i oceny.

Kryteria ilościowe

Kryteria ilościowe są pierwszym krokiem w procesie identyfikacji kluczowych dostawców, umożliwiając wstępną selekcję dostawców, którzy mogą mieć istotny wpływ na stabilność i ciągłość działania sektora finansowego. 

Obejmują one:

• Liczba podmiotów korzystających z usług: Im więcej instytucji finansowych korzysta z usług danego dostawcy, tym większe jest jego znaczenie w kontekście systemowym. Wysoka liczba klientów może wskazywać na to, że dostawca ma istotny wpływ na stabilność sektora finansowego, a jego ewentualna awaria mogłaby prowadzić do poważnych zakłóceń w funkcjonowaniu wielu instytucji.
• Wartość aktywów: Wartość ta jest miarą potencjalnego ryzyka, jakie może wyniknąć z ewentualnych zakłóceń w świadczeniu usług przez dostawcę. Dostawcy, którzy obsługują instytucje o wysokiej wartości aktywów, są postrzegani jako bardziej krytyczni dla systemu finansowego. W przypadku awarii takiego dostawcy, konsekwencje mogą być znacznie poważniejsze niż w przypadku dostawców obsługujących mniejsze instytucje.
• Udział w rynku: Kryterium to odnosi się do udziału danego dostawcy w rynku usług ICT. Wysoki udział w rynku może wskazywać na dominującą pozycję dostawcy, co z kolei może zwiększać ryzyko systemowe. W przypadku, gdy dany dostawca ma znaczący udział w rynku, jego problemy operacyjne mogą mieć daleko idące konsekwencje dla całego sektora finansowego.
• Złożoność usług: Dostawcy, którzy oferują złożone usługi ICT, mogą być postrzegani jako bardziej krytyczni, ponieważ ich usługi są często niezbędne do funkcjonowania kluczowych procesów w instytucjach finansowych. Złożoność ta może również wpływać na trudności w migracji do innych dostawców, co zwiększa ryzyko związane z koncentracją.
• Współzależności między instytucjami: Analiza współzależności między instytucjami korzystającymi z tych samych usług ICT. Wysoka współzależność może zwiększać ryzyko systemowe, ponieważ problemy jednego podmiotu mogą szybko przenieść się na inne instytucje korzystające z tych samych usług. Dlatego ważne jest, aby zrozumieć, jak wiele instytucji jest uzależnionych od danego dostawcy i jakie są potencjalne konsekwencje w przypadku jego awarii.

Kryteria jakościowe

Kryteria jakościowe koncentrują się na ocenie wpływu dostawcy na stabilność i ciągłość działania podmiotów finansowych. Obejmują one:

• Systemowy wpływ na stabilność: Jak awaria dostawcy może wpłynąć na stabilność sektora finansowego? W przypadku, gdy dany dostawca świadczy usługi dla wielu instytucji, jego awaria może prowadzić do poważnych zakłóceń w funkcjonowaniu całego systemu. W związku z tym, kluczowe jest zrozumienie, jak ewentualne problemy operacyjne dostawcy mogą wpłynąć na stabilność finansową podmiotów korzystających z jego usług.
• Jakość świadczonych usług: Obejmuje nie tylko techniczne aspekty usług, takie jak dostępność, integralność i bezpieczeństwo danych, ale także jakość obsługi klienta oraz zdolność dostawcy do szybkiego reagowania na incydenty. Wysoka jakość usług jest kluczowa dla zapewnienia ciągłości działania podmiotów finansowych, a jej brak może prowadzić do poważnych konsekwencji.
• Zdolność do zarządzania ryzykiem: Obejmuje analizę polityk i procedur dostawcy dotyczących zarządzania ryzykiem, w tym jego zdolność do identyfikacji, oceny i monitorowania ryzyk związanych z ICT. Dostawcy, którzy mają dobrze rozwinięte ramy zarządzania ryzykiem, są postrzegani jako bardziej wiarygodni i mniej ryzykowni dla instytucji finansowych.
• Przestrzeganie regulacji i standardów: Dostawcy, którzy przestrzegają regulacji i standardów, są postrzegani jako bardziej wiarygodni, co zwiększa ich szanse na uznanie za kluczowych dostawców usług ICT. W przypadku, gdy dostawca nie spełnia wymogów regulacyjnych, może to prowadzić do poważnych konsekwencji dla instytucji finansowych korzystających z jego usług.

Obowiązki podmiotów finansowych w kontekście kluczowych dostawców usług ICT

Podmioty finansowe, które korzystają z usług kluczowych dostawców ICT, mają szereg obowiązków, które mają na celu zapewnienie bezpieczeństwa, ciągłości działania oraz zgodności z regulacjami. W kontekście rosnącej zależności od zewnętrznych dostawców usług ICT, te obowiązki stają się coraz bardziej istotne. Poniżej przedstawiam kluczowe obowiązki, które powinny być przestrzegane przez podmioty finansowe.

1. Ocena ryzyka – Podmioty finansowe są zobowiązane do przeprowadzania regularnych ocen ryzyka związanych z korzystaniem z usług kluczowych dostawców ICT. Oceny te powinny obejmować:
   • Analizę wpływu: Ocena potencjalnych skutków zakłóceń w działalności dostawcy na funkcjonowanie podmiotu finansowego.
   • Identyfikację ryzyk: Zidentyfikowanie ryzyk związanych z bezpieczeństwem, dostępnością i integralnością usług.
2. Utrzymywanie rejestru umów – Podmioty finansowe powinny prowadzić szczegółowy rejestr wszystkich umów zawartych z kluczowymi dostawcami. Rejestr ten powinien zawierać:
   • Opis usług: Szczegółowe opisy świadczonych usług oraz ich krytyczność dla działalności finansowej.
   • Warunki umowy: Ustalenia dotyczące poziomów usług, bezpieczeństwa danych oraz procedur zgłaszania incydentów.
3. Monitorowanie i audyt – Podmioty finansowe są zobowiązane do regularnego monitorowania działalności dostawców oraz przeprowadzania audytów. Obowiązki te obejmują:
   • Cykliczne audyty: Przeprowadzanie audytów wewnętrznych i zewnętrznych w celu oceny zgodności z umowami oraz standardami bezpieczeństwa.
   • Monitorowanie ryzyk: Bieżące monitorowanie ryzyk związanych z działalnością dostawcy oraz ich wpływu na operacyjną odporność podmiotu finansowego.
4. Zgłaszanie incydentów – Podmioty finansowe mają obowiązek zgłaszania wszelkich incydentów do odpowiednich organów nadzoru. Zgłoszenia te powinny obejmować:
   • Poważne incydenty: Zgłaszanie poważnych incydentów związanych z ICT, które mogą mieć wpływ na stabilność finansową lub bezpieczeństwo danych.
   • Procedury zgłaszania: Ustalenie procedur zgłaszania incydentów, które powinny być zgodne z regulacjami i standardami branżowymi.
5. Współpraca z organami nadzoru – Podmioty finansowe powinny współpracować z odpowiednimi organami nadzoru w zakresie monitorowania i oceny ryzyk związanych z kluczowymi dostawcami usług ICT. Współpraca ta obejmuje:
   • Przekazywanie informacji: Umożliwienie organom nadzoru dostępu do informacji dotyczących umów, audytów oraz incydentów.
   • Udział w audytach: Współpraca podczas audytów przeprowadzanych przez organy nadzoru.
6. Opracowanie strategii wyjścia – Podmioty finansowe powinny opracować strategie wyjścia, które uwzględniają:
   • Plan migracji: Jak przenieść usługi do innego dostawcy w przypadku wypowiedzenia umowy.
   • Zabezpieczenie danych: Jak odzyskać dane i zapewnić ich bezpieczeństwo w przypadku zakończenia współpracy z dostawcą.
7. Przestrzeganie regulacji – Podmioty finansowe są zobowiązane do przestrzegania wszystkich obowiązujących regulacji dotyczących zarządzania ryzykiem. Obejmuje to:
   • Zgodność z przepisami: Upewnienie się, że wszystkie działania związane z korzystaniem z usług ICT są zgodne z regulacjami krajowymi i unijnymi.
   • Dostosowanie do zmian: Regularne aktualizowanie polityk i procedur w odpowiedzi na zmiany w regulacjach.

Obowiązki podmiotów finansowych są kluczowe dla zapewnienia bezpieczeństwa, ciągłości działania oraz zgodności z regulacjami. Przeprowadzanie ocen ryzyka, utrzymywanie rejestru umów, monitorowanie działalności dostawców, zgłaszanie incydentów oraz współpraca z organami nadzoru to podstawowe elementy skutecznego zarządzania ryzykiem związanym z zewnętrznymi dostawcami usług ICT. W obliczu rosnących zagrożeń związanych z cyberbezpieczeństwem, przestrzeganie tych obowiązków staje się niezbędne dla stabilności i bezpieczeństwa systemu finansowego.

Konsekwencje dla kluczowych dostawców usług ICT, którzy nie przestrzegają regulacji

Kluczowi dostawcy usług ICT odgrywają istotną rolę w zapewnieniu operacyjnej odporności sektora finansowego. W związku z tym, ich działalność podlega rygorystycznym regulacjom, które mają na celu ochronę stabilności finansowej oraz bezpieczeństwa danych. Niezastosowanie się do tych regulacji może prowadzić do poważnych konsekwencji, zarówno dla dostawców, jak i dla instytucji finansowych, które korzystają z ich usług. Poniżej znajdują się kluczowe konsekwencje, które mogą wystąpić w przypadku naruszenia regulacji.

Sankcje finansowe

Kary pieniężne

Kluczowi dostawcy usług ICT, którzy nie przestrzegają regulacji, mogą być narażeni na nałożenie kar pieniężnych przez organy nadzoru. Kary te mogą być znaczne i mają na celu wymuszenie przestrzegania przepisów oraz zapewnienie odpowiedzialności za działania dostawcy. W przypadku poważnych naruszeń, kary mogą być na tyle wysokie, że wpłyną na stabilność finansową dostawcy.

Odszkodowania

Dostawcy mogą być również zobowiązani do wypłaty odszkodowań instytucjom finansowym, które poniosły straty w wyniku naruszenia regulacji. Odszkodowania te mogą obejmować straty finansowe, koszty związane z naprawą szkód oraz inne wydatki związane z incydentami.

Utrata zaufania i reputacji

Negatywny wpływ na reputację

Naruszenia regulacji mogą prowadzić do znacznego uszczerbku na reputacji kluczowych dostawców usług ICT. Utrata zaufania ze strony instytucji finansowych oraz klientów może skutkować zmniejszeniem liczby kontraktów oraz utratą dotychczasowych klientów. W dłuższej perspektywie, negatywny wpływ na reputację może prowadzić do trudności w pozyskiwaniu nowych klientów oraz partnerów biznesowych.

Wzrost kosztów pozyskania klientów

Dostawcy usług ICT, którzy doświadczyli naruszeń regulacji, mogą napotkać trudności w pozyskiwaniu nowych klientów, co może prowadzić do wzrostu kosztów marketingowych i sprzedażowych. Klienci mogą być mniej skłonni do współpracy z dostawcami, którzy mają negatywną historię w zakresie przestrzegania regulacji.

Ograniczenia w działalności

Ograniczenia operacyjne

W przypadku poważnych naruszeń regulacji, dostawcy mogą być zmuszeni do wprowadzenia ograniczeń w swojej działalności. Może to obejmować ograniczenie zakresu świadczonych usług, co wpłynie na ich zdolność do konkurowania na rynku.

Wstrzymanie działalności

W skrajnych przypadkach, dostawcy mogą być zmuszeni do wstrzymania działalności lub zamknięcia firmy w wyniku poważnych naruszeń regulacji. Takie sytuacje mogą prowadzić do poważnych konsekwencji dla instytucji finansowych, które są uzależnione od ich usług.

Zwiększone nadzór i kontrole

Intensyfikacja działań nadzorczych

Kluczowi dostawcy usług ICT, którzy naruszają regulacje, mogą być poddani intensyfikacji działań nadzorczych ze strony organów regulacyjnych. Oznacza to częstsze kontrole, audyty oraz monitorowanie działalności dostawcy, co może prowadzić do dodatkowych kosztów i obciążeń administracyjnych.

Wymóg dostosowania do nowych regulacji

Dostawcy usług ICT, którzy naruszają regulacje, mogą być zobowiązani do dostosowania swoich procesów i procedur do nowych wymogów regulacyjnych, co może wiązać się z dodatkowymi kosztami oraz czasem potrzebnym na wprowadzenie zmian.

Odpowiedzialność prawna

Postępowania sądowe

Naruszenia regulacji mogą prowadzić do postępowań sądowych, zarówno ze strony organów regulacyjnych, jak i instytucji finansowych, które poniosły straty w wyniku działań dostawcy. Takie postępowania mogą być kosztowne i czasochłonne, a ich wynik może wpłynąć na przyszłość działalności dostawcy.

Odpowiedzialność karna

W przypadku poważnych naruszeń regulacji, kluczowi dostawcy usług ICT mogą również ponieść odpowiedzialność karną, co może prowadzić do sankcji wobec osób odpowiedzialnych za zarządzanie firmą.

Konsekwencje dla kluczowych dostawców usług ICT, którzy nie przestrzegają regulacji, są poważne i mogą mieć daleko idące skutki zarówno dla dostawców, jak i dla instytucji finansowych, które korzystają z ich usług. Sankcje finansowe, utrata zaufania, ograniczenia w działalności, zwiększone nadzór oraz odpowiedzialność prawna to tylko niektóre z potencjalnych konsekwencji.

Rola Europejskich Urzędów Nadzoru (EUN) w ocenie dostawców usług ICT

Europejskie Urzędy Nadzoru (EUN) odgrywają kluczową rolę w zapewnieniu stabilności i bezpieczeństwa sektora finansowego w Unii Europejskiej, szczególnie w kontekście rosnącej zależności od zewnętrznych dostawców usług ICT. W obliczu rosnących zagrożeń związanych z cyberbezpieczeństwem oraz złożoności systemów finansowych, EUN są odpowiedzialne za monitorowanie i regulowanie działalności dostawców usług ICT, aby zapewnić, że spełniają oni określone standardy i wymagania.

EUN, w skład których wchodzą Europejski Urząd Nadzoru Bankowego (EUNB), Europejski Urząd Nadzoru Ubezpieczeń i Przemysłu Emerytalnego (EUNIE) oraz Europejski Urząd Nadzoru Rynków (ESMA), mają na celu zapewnienie spójności regulacyjnej i nadzorczej w całej Unii Europejskiej. Ich mandat obejmuje:

• Opracowywanie regulacji: EUN są odpowiedzialne za opracowywanie regulacji i wytycznych dotyczących zarządzania ryzykiem związanym z ICT, które mają na celu zwiększenie odporności sektora finansowego na zagrożenia cybernetyczne.
• Monitorowanie i nadzór: EUN monitorują działalność podmiotów finansowych oraz ich dostawców usług ICT, aby zapewnić zgodność z obowiązującymi przepisami i standardami.

EUN stosują dwuetapowe podejście do oceny zewnętrznych dostawców usług ICT, które obejmuje:

• Etap 1: Ocena ilościowa: W tym etapie EUN oceniają, czy dostawca usług ICT spełnia określone kryteria ilościowe, takie jak liczba instytucji finansowych korzystających z jego usług oraz wartość aktywów tych instytucji. Celem jest wstępne zidentyfikowanie dostawców, którzy mogą mieć istotny wpływ na stabilność sektora finansowego.
• Etap 2: Ocena jakościowa: Po wstępnym wyborze dostawców, EUN przeprowadzają dogłębną analizę jakościową, uwzględniającą systemowy wpływ dostawcy na stabilność i ciągłość działania podmiotów finansowych. W tym etapie analizowane są również współzależności między instytucjami korzystającymi z tych samych usług ICT.
  • Skala wpływu zaprzestania świadczenia usług ICT: EUN oceniają, jaki wpływ na działalność instytucji finansowych miałaby awaria danego dostawcy oraz ile instytucji byłoby tym dotkniętych.
  • Zależność od podwykonawców: EUN analizują, czy dostawca usług ICT jest zależny od tych samych podwykonawców, co inne kluczowe podmioty w sektorze finansowym.
  • Krytyczność funkcji: EUN oceniają, czy usługi ICT świadczone przez danego dostawcę wspierają krytyczne lub istotne funkcje instytucji finansowych. 
  • Stopień substytucyjności: EUN analizują, czy na rynku istnieją alternatywni dostawcy oferujący te same usługi oraz jak trudna i kosztowna byłaby migracja do innego dostawcy.

EUN współpracują z krajowymi organami nadzoru, aby zapewnić spójność i efektywność działań nadzorczych. Współpraca ta obejmuje:

• Wymianę informacji: EUN i krajowe organy nadzoru (jak Komisja Nadzoru Finansowego w Polsce) wymieniają informacje dotyczące ryzyk związanych z ICT oraz najlepszych praktyk w zakresie zarządzania tymi ryzykami.
• Koordynację działań: EUN koordynują działania nadzorcze, aby uniknąć dublowania wysiłków i zapewnić, że wszystkie kluczowe zewnętrzne dostawcy usług ICT są odpowiednio monitorowani.

Rola Europejskich Urzędów Nadzoru jest kluczowa dla zapewnienia stabilności i bezpieczeństwa sektora finansowego w Unii Europejskiej. Dzięki dwuetapowemu podejściu do oceny oraz współpracy z krajowymi organami nadzoru, EUN są w stanie skutecznie monitorować i regulować działalność dostawców usług ICT, co przyczynia się do zwiększenia odporności sektora finansowego na zagrożenia związane z cyberbezpieczeństwem. W obliczu rosnącej złożoności systemów finansowych i wzrastającego ryzyka, rola EUN będzie miała kluczowe znaczenie w przyszłości.

Praktyczne implikacje dla instytucji finansowych

Wprowadzenie rozporządzenia (UE) 2024/1502 nakłada na instytucje finansowe szereg nowych obowiązków. Przede wszystkim, instytucje te muszą zidentyfikować swoich kluczowych dostawców usług ICT w oparciu o kryteria opisane w rozporządzeniu. Proces ten wymaga dogłębnej analizy zależności od zewnętrznych dostawców oraz oceny potencjalnego wpływu awarii tych dostawców na działalność instytucji.

Kolejnym krokiem jest wdrożenie skutecznych mechanizmów zarządzania ryzykiem związanym z zależnością od kluczowych dostawców usług ICT. Wśród strategii minimalizacji ryzyka można wymienić:

• Dywersyfikacja dostawców: Korzystanie z usług kilku dostawców dla kluczowych funkcji biznesowych, co zmniejsza ryzyko koncentracji.
• Zawieranie szczegółowych umów SLA: Określenie w umowach precyzyjnych parametrów jakościowych usług, czasu reakcji na awarie oraz procedur awaryjnych.
• Opracowanie planów awaryjnych: Przygotowanie planów działania na wypadek awarii lub zakłócenia w działaniu kluczowego dostawcy, obejmujących m.in. procedury przełączania na alternatywne systemy i zasoby.

Istotnym elementem zarządzania ryzykiem jest również regularne monitorowanie poziomu ryzyka związanego z ICT oraz bliska współpraca z kluczowymi dostawcami w celu zapewnienia zgodności z nowymi przepisami i podnoszenia poziomu bezpieczeństwa.

Praktyczne konsekwencje dla firm świadczących usługi ICT

Rozporządzenie (UE) 2024/1502 ma również istotne implikacje dla samych dostawców usług ICT. Firmy te powinny dokładnie przeanalizować swoją działalność pod kątem kryteriów opisanych w rozporządzeniu, aby ocenić prawdopodobieństwo uznania ich za kluczowych dostawców. W przypadku firm, które prawdopodobnie zostaną objęte nowymi przepisami, konieczne będzie wdrożenie szeregu zmian, m.in.:

• Dostosowanie struktury biznesowej i procesów do wymagań rozporządzenia, np. w zakresie zarządzania ryzykiem, bezpieczeństwa cybernetycznego, raportowania.
• Zwiększenie inwestycji w bezpieczeństwo, aby zapewnić wysoki poziom ochrony danych i systemów.
• Nawiązanie bliskiej współpracy z EUN i instytucjami finansowymi, aby lepiej zrozumieć ich oczekiwania i wymagania.

Dostawcy usług ICT, którzy zostaną uznani za kluczowych, będą musieli sprostać dodatkowym obowiązkom regulacyjnym, co może wiązać się ze wzrostem kosztów. Z drugiej strony, status kluczowego dostawcy może przynieść również korzyści, takie jak:

• Wzrost zaufania ze strony klientów, którzy będą mieli pewność, że dostawca spełnia najwyższe standardy bezpieczeństwa i odporności.
• Przewaga konkurencyjna na rynku, na którym coraz większą rolę odgrywają kwestie bezpieczeństwa i stabilności.

Wpływ na rynek usług ICT dla sektora finansowego

Wprowadzenie rozporządzenia (UE) 2024/1502 ma znaczący wpływ na rynek usług ICT dla sektora finansowego. Eksperci przewidują, że nowe przepisy mogą przyspieszyć konsolidację rynku, faworyzując dużych graczy, którzy dysponują zasobami i kompetencjami, aby sprostać nowym wymaganiom. Dla mniejszych firm, dostosowanie się do nowych przepisów może okazać się zbyt kosztowne, co utrudni im dostęp do rynku.

Istnieją również obawy, że rozporządzenie może negatywnie wpłynąć na konkurencyjność i innowacyjność w sektorze usług ICT. Zwiększenie regulacji może zniechęcić firmy do inwestowania w nowe technologie i rozwiązania, co spowolni rozwój innowacji. Z drugiej strony, rozporządzenie może przyczynić się do podniesienia poziomu cyberbezpieczeństwa w sektorze finansowym, wymuszając na dostawcach wdrożenie bardziej rygorystycznych standardów bezpieczeństwa.

Wyzwania związane z identyfikacją kluczowych dostawców usług ICT

Identyfikacja kluczowych dostawców usług ICT jest kluczowym elementem zarządzania ryzykiem w sektorze finansowym. W miarę jak instytucje finansowe stają się coraz bardziej zależne od zewnętrznych dostawców, pojawiają się różnorodne wyzwania związane z ich identyfikacją i oceną.

Brak jednolitych standardów

Jednym z głównych wyzwań jest brak jednolitych standardów regulacyjnych na poziomie unijnym. Różnice w przepisach krajowych mogą prowadzić do niejednolitych praktyk w ocenie dostawców. Wiele instytucji finansowych boryka się z trudnościami w negocjowaniu warunków umownych, które byłyby zgodne z ich wymaganiami regulacyjnymi. Brak spójnych regulacji może również prowadzić do niepewności w zakresie wymagań dotyczących zarządzania ryzykiem związanym z ICT.

Złożoność usług ICT

Złożoność technologii i różnorodność usług ICT sprawiają, że identyfikacja kluczowych dostawców staje się coraz bardziej skomplikowana. Wiele dostawców oferuje złożone rozwiązania, które są niezbędne do funkcjonowania kluczowych procesów w instytucjach finansowych. Zrozumienie, które z tych usług są krytyczne, wymaga dogłębnej analizy i wiedzy technicznej, co może być wyzwaniem dla wielu instytucji.

Współzależności między instytucjami

Silne powiązania pomiędzy organizacjami wykorzystującymi identyczne rozwiązania technologiczne mogą podnosić zagrożenie dla całego systemu. Trudności dotykające jednej firmy mają potencjał do błyskawicznego rozprzestrzenienia się na inne podmioty korzystające z tych samych narzędzi informatycznych. Kluczowe jest pojęcie tych wzajemnych relacji, jednak może to stanowić wyzwanie, szczególnie w przypadku skomplikowanych sieci łączących dostawców i odbiorców usług.

Zmieniające się ryzyka

Ryzyka związane z ICT są dynamiczne i zmieniają się w szybkim tempie. Nowe zagrożenia, takie jak cyberataki, mogą pojawić się nagle, co utrudnia instytucjom finansowym bieżące monitorowanie i ocenę ryzyk związanych z dostawcami usług ICT. W związku z tym, instytucje muszą być elastyczne i gotowe do dostosowywania swoich strategii zarządzania ryzykiem w odpowiedzi na zmieniające się warunki.

Ograniczone zasoby

Niektóre instytucje finansowe, zwłaszcza mniejsze podmioty, mogą mieć ograniczone zasoby do przeprowadzania kompleksowych ocen dostawców. Brak odpowiednich narzędzi, wiedzy lub personelu może prowadzić do niedostatecznej analizy ryzyk związanych z zewnętrznymi dostawcami, co zwiększa narażenie na potencjalne zagrożenia.

Problemy z umowami

Złożone ustalenia umowne z zewnętrznymi dostawcami usług ICT mogą stanowić dodatkowe wyzwanie. Podmioty finansowe często napotykają trudności podczas negocjacji warunków umownych, które byłyby dostosowane do ich potrzeb i wymogów regulacyjnych. Wiele umów nie przewiduje wystarczających gwarancji umożliwiających pełnoprawne monitorowanie procesów podwykonawstwa, co ogranicza zdolność instytucji do oceny powiązanych zagrożeń.

Wyzwania związane z identyfikacją kluczowych dostawców są złożone i wieloaspektowe. Brak jednolitych standardów, złożoność usług, współzależności między instytucjami, zmieniające się ryzyka, ograniczone zasoby oraz problemy z umowami to tylko niektóre z trudności, które mogą utrudniać skuteczną identyfikację i ocenę dostawców. Aby sprostać tym wyzwaniom, instytucje finansowe muszą podejmować działania w celu wzmocnienia swoich ram zarządzania ryzykiem oraz współpracować z odpowiednimi organami regulacyjnymi w celu zapewnienia spójności i efektywności działań nadzorczych.

Znaczenie współpracy i wymiany informacji

W kontekście nasilających się niebezpieczeństw w sferze cyfrowej oraz skomplikowania infrastruktury informatycznej, kooperacja i dzielenie się wiedzą pomiędzy instytucjami finansowymi a ich zewnętrznymi partnerami technologicznymi nabierają fundamentalnego znaczenia dla zagwarantowania wytrzymałości operacyjnej w środowisku cyfrowym.

Współpraca ta nie tylko zwiększa zdolność instytucji do reagowania na incydenty, ale także przyczynia się do ogólnej stabilności systemu finansowego.

Zwiększenie odporności na cyberzagrożenia

Współpraca między instytucjami finansowymi a dostawcami pozwala na lepsze zrozumienie zagrożeń i podatności związanych z ICT. Dzięki wymianie informacji o incydentach, atakach i najlepszych praktykach, podmioty mogą lepiej przygotować się na potencjalne zagrożenia. Wspólne działania w zakresie monitorowania i analizy ryzyk przyczyniają się do zwiększenia odporności na cyberzagrożenia, co jest kluczowe w kontekście rosnącej liczby i złożoności ataków.

Usprawnienie procesów decyzyjnych

Współpraca umożliwia szybsze podejmowanie decyzji w sytuacjach kryzysowych. Gdy instytucje finansowe i dostawcy usług ICT współpracują, mogą szybko wymieniać informacje o incydentach i podejmować skoordynowane działania w celu minimalizacji skutków. Taka współpraca jest szczególnie ważna w przypadku poważnych incydentów, które mogą mieć wpływ na stabilność całego systemu finansowego.

Ustanowienie platform współpracy

Aby skutecznie wymieniać informacje, instytucje finansowe i dostawcy usług ICT powinni ustanowić platformy współpracy, które umożliwią regularną wymianę danych i analiz. Takie platformy mogą obejmować grupy robocze, fora dyskusyjne oraz systemy informacyjne, które pozwalają na bieżące monitorowanie zagrożeń i incydentów.

Współpraca z organami regulacyjnymi

Współpraca z organami regulacyjnymi, takimi jak Europejskie Urzędy Nadzoru (EUN), jest kluczowa dla zapewnienia spójności i efektywności działań w zakresie zarządzania ryzykiem związanym z ICT. EUN mogą wspierać wymianę informacji między instytucjami finansowymi a dostawcami, a także koordynować działania w zakresie monitorowania ryzyk.

Zwiększenie świadomości o zagrożeniach

Wymiana informacji przyczynia się do zwiększenia świadomości o zagrożeniach wśród podmiotów finansowych. Dzięki regularnym aktualizacjom na temat nowych zagrożeń i incydentów, instytucje mogą lepiej przygotować się na potencjalne ataki i wdrażać odpowiednie środki zaradcze.

Wzmacnianie zaufania

Współpraca i wymiana informacji pomagają w budowaniu zaufania między instytucjami finansowymi a ich dostawcami usług ICT. Zaufanie to jest kluczowe dla efektywnej współpracy, a także dla zapewnienia, że wszystkie strony są zaangażowane w proces zarządzania ryzykiem.

Nie sposób przecenić wagi kooperacji i dzielenia się danymi w odniesieniu do firm świadczących usługi teleinformatyczne. W obliczu narastających niebezpieczeństw w sferze bezpieczeństwa cybernetycznego, instytucje z sektora finansów muszą podejmować kroki zmierzające do zacieśnienia relacji z dostawcami oraz instytucjami nadzorczymi. Stworzenie efektywnych kanałów przepływu informacji i systematyczna współpraca przyczynią się do wzmocnienia odporności branży finansowej na ryzyka powiązane z technologiami informatycznymi, co ma fundamentalne znaczenie dla trwałości całego systemu finansowego.

Przyszłość regulacji dotyczących dostawców usług ICT

W miarę jak sektor finansowy staje się coraz bardziej złożony i uzależniony od technologii informacyjno-komunikacyjnych, regulacje dotyczące dostawców usług ICT muszą ewoluować, aby sprostać nowym wyzwaniom i zagrożeniom. Przyszłość regulacji w tym obszarze będzie miała kluczowe znaczenie dla zapewnienia stabilności i bezpieczeństwa systemu finansowego. 

Harmonizacja przepisów

Jednym z głównych wyzwań, przed którymi stoi sektor finansowy, jest brak jednolitych przepisów dotyczących operacyjnej odporności cyfrowej i bezpieczeństwa ICT w całej Unii Europejskiej. W przyszłości konieczne będzie wzmocnienie harmonizacji przepisów, aby zapewnić spójność w monitorowaniu i nadzorze nad dostawcami usług ICT. Ujednolicenie regulacji pomoże w eliminacji przeszkód dla funkcjonowania rynku wewnętrznego oraz ułatwi transgraniczne świadczenie usług finansowych.

Rozwój standardów technicznych

Wprowadzenie regulacyjnych standardów technicznych, które określą minimalne wymagania dotyczące bezpieczeństwa i jakości usług ICT, będzie kluczowe dla zapewnienia odpowiedniego poziomu ochrony w sektorze finansowym. EUN planują opracowanie takich standardów, które będą uwzględniały różnorodność podmiotów finansowych oraz ich specyfikę operacyjną.

Wyznaczanie kluczowych dostawców

W przyszłości regulacje powinny skupić się na wyznaczaniu kluczowych zewnętrznych dostawców usług ICT, którzy mają istotny wpływ na stabilność sektora finansowego. Kryteria wyznaczania powinny obejmować zarówno aspekty ilościowe, jak i jakościowe, takie jak liczba instytucji korzystających z usług danego dostawcy oraz jego systemowy wpływ na stabilność finansową.

Wzmocnienie uprawnień organów nadzoru

Właściwe organy nadzoru powinny mieć odpowiednie uprawnienia do monitorowania i kontrolowania kluczowych dostawców usług ICT. W przyszłości konieczne będzie wprowadzenie mechanizmów, które umożliwią organom nadzoru przeprowadzanie audytów, kontroli na miejscu oraz uzyskiwanie pełnych informacji na temat działalności dostawców.

Koordynacja działań na poziomie globalnym

W obliczu globalizacji sektora finansowego, współpraca międzynarodowa w zakresie regulacji dotyczących dostawców usług ICT będzie miała kluczowe znaczenie. Wspólne podejście do regulacji i nadzoru pomoże w eliminacji luk regulacyjnych oraz wzmocni odporność na zagrożenia cybernetyczne, które mogą mieć charakter transgraniczny.

Wymiana informacji

Zwiększenie wymiany informacji między organami regulacyjnymi na poziomie międzynarodowym oraz między instytucjami finansowymi a dostawcami będzie kluczowe dla skutecznego zarządzania ryzykiem. Współpraca ta pozwoli na szybsze identyfikowanie zagrożeń oraz lepsze przygotowanie na potencjalne incydenty związane z ICT.

Proaktywne zarządzanie ryzykiem

Przyszłe regulacje powinny promować proaktywne podejście do zarządzania ryzykiem związanym z ICT. Instytucje finansowe będą musiały wdrażać strategie, które pozwolą na bieżące monitorowanie i ocenę ryzyk, a także na szybkie reagowanie na incydenty.

Zwiększenie odpowiedzialności dostawców

Dostawcy usług ICT powinni być zobowiązani do przestrzegania określonych standardów bezpieczeństwa oraz do regularnego raportowania o incydentach związanych z ICT. W przyszłości regulacje mogą wprowadzić mechanizmy odpowiedzialności, które będą wymuszały na dostawcach przestrzeganie zasad dotyczących bezpieczeństwa i jakości usług.

Przyszłość regulacji dotyczących dostawców będzie wymagała wzmocnienia ram regulacyjnych, zwiększenia nadzoru nad kluczowymi dostawcami, współpracy międzynarodowej oraz zmiany podejścia do zarządzania ryzykiem. W obliczu rosnących zagrożeń związanych z cyberbezpieczeństwem, skuteczne regulacje będą kluczowe dla zapewnienia stabilności i bezpieczeństwa systemu finansowego w Unii Europejskiej.

Najczęściej zadawane pytania

Rozporządzenie DORA ma kluczowe znaczenie dla regulacji dostawców usług ICT w sektorze finansowym. Ustanawia wymogi dotyczące bezpieczeństwa i nadzoru, które dotyczą zarówno dostawców usług, jak i instytucji finansowych.