Rozporządzenie (UE) 2022/2554 stosuje się od 17 stycznia 2025 roku. Zbieramy w jednym miejscu wyjaśnienie przepisów, standardy techniczne RTS i ITS oraz bezpłatne narzędzia, dzięki którym uporządkujesz operacyjną odporność cyfrową swojego podmiotu.
DORA, czyli rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego, tworzy jednolite unijne ramy zarządzania ryzykiem związanym z ICT. Przepisy stosuje się od 17 stycznia 2025 roku bezpośrednio, bez transpozycji do prawa krajowego.
Rozporządzenie posługuje się własnym słownikiem: podmiot finansowy, krytyczna lub istotna funkcja, zewnętrzny dostawca usług ICT. Trzymamy się tych pojęć konsekwentnie, bo od nich zależy zakres obowiązków. Pełne wprowadzenie znajdziesz na stronie czym jest DORA.
Wymogi DORA układają się w pięć filarów:
Rozporządzenie doprecyzowują regulacyjne standardy techniczne (RTS) i wykonawcze standardy techniczne (ITS) opracowane przez Europejskie Urzędy Nadzoru. To one określają szczegóły: elementy polityk bezpieczeństwa ICT, kryteria klasyfikacji incydentów, wzory zgłoszeń oraz strukturę rejestru informacji.
Na stronie standardów RTS i ITS każdy akt jest omówiony osobno, z listą kontrolną i wskazaniem, którego filaru dotyczy.
Praca z DORA kończy się dokumentem, nie lekturą. Nasze narzędzia dają gotowy materiał do dokumentacji dowodowej:
Narzędzia uruchamiasz bez konta, a wynik pojawia się od razu na ekranie. Część funkcji rozszerzonych, w tym eksport danych, jest płatna.
Zakres z art. 2 jest szeroki: instytucje kredytowe, instytucje płatnicze i instytucje pieniądza elektronicznego, firmy inwestycyjne, zakłady ubezpieczeń i reasekuracji, zarządzający funduszami, dostawcy usług w zakresie kryptoaktywów, systemy obrotu, kontrahenci centralni oraz centralne depozyty papierów wartościowych.
Sam zewnętrzny dostawca usług ICT nie podlega rozporządzeniu bezpośrednio: jego obowiązki wynikają z ustaleń umownych z podmiotem finansowym, opisanych w art. 28 do art. 30. Inaczej jest z dostawcami wyznaczonymi jako kluczowi zewnętrzni dostawcy usług ICT, czyli CTPP, którzy podlegają nadzorowi wiodącego organu nadzorczego. Uproszczone ramy zarządzania ryzykiem związanym z ICT (art. 16 ust. 1) stosuje zamknięta lista podmiotów, w tym małe i niepowiązane wzajemnie firmy inwestycyjne oraz zwolnione instytucje płatnicze i instytucje pieniądza elektronicznego. Mikroprzedsiębiorstwa korzystają z odrębnych złagodzeń, m.in. z wyłączenia z TLPT (art. 26 ust. 1).
Rozporządzenie (UE) 2022/2554 weszło w życie w styczniu 2023 roku i jest stosowane od 17 stycznia 2025 roku. Obowiązuje bezpośrednio, bez transpozycji do prawa krajowego, a kolejne standardy RTS i ITS uzupełniają je od 2024 roku.
Jeżeli figuruje na liście z art. 2, tak. Obejmuje ona między innymi instytucje kredytowe, firmy inwestycyjne, zakłady ubezpieczeń, instytucje płatnicze, dostawców usług w zakresie kryptoaktywów i zarządzających funduszami. Uproszczone ramy zarządzania ryzykiem związanym z ICT (art. 16 ust. 1) stosuje zamknięta lista podmiotów, w tym małe i niepowiązane wzajemnie firmy inwestycyjne oraz zwolnione instytucje płatnicze i instytucje pieniądza elektronicznego. Mikroprzedsiębiorstwa korzystają z odrębnych złagodzeń, m.in. z wyłączenia z TLPT (art. 26 ust. 1).
Zarządzanie ryzykiem związanym z ICT, zgłaszanie poważnych incydentów związanych z ICT, testowanie operacyjnej odporności cyfrowej wraz z TLPT, zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT oraz dobrowolna wymiana informacji o cyberzagrożeniach.
To akty przygotowane przez Europejskie Urzędy Nadzoru i przyjmowane przez Komisję Europejską, które doprecyzowują ogólne wymogi rozporządzenia. Regulują między innymi elementy polityk bezpieczeństwa ICT, klasyfikację incydentów, wzory zgłoszeń i strukturę rejestru informacji.
Art. 19 przewiduje trzy etapy zgłoszenia do właściwego organu: wstępne powiadomienie, sprawozdanie śródokresowe i sprawozdanie końcowe. Progi klasyfikacji, terminy i wzory formularzy wynikają ze standardów technicznych oraz z art. 20.
Nie dla podmiotów finansowych. Art. 50 nakłada na państwa członkowskie obowiązek określenia kar administracyjnych i środków naprawczych w prawie krajowym, więc wysokość zależy od reżimu krajowego i od właściwego organu. Jedyna sankcja liczona od obrotu wynika z art. 35: wiodący organ nadzorczy może nałożyć na kluczowego zewnętrznego dostawcę usług ICT okresową karę pieniężną w wysokości do 1% średniego dziennego światowego obrotu.
Ta strona stanowi wsparcie merytoryczne, a nie poradę prawną. · Wersja angielska