DORA to unijne rozporządzenie o operacyjnej odporności cyfrowej sektora finansowego. Poniżej zakres stosowania, pięć filarów, daty, które mają znaczenie, oraz to, co o karach mówi art. 50.
DORA, czyli Digital Operational Resilience Act, to rozporządzenie (UE) 2022/2554 Parlamentu Europejskiego i Rady z dnia 14 grudnia 2022 r. Stosuje się je bezpośrednio, bez transpozycji do prawa krajowego.
Tekst buduje jednolite ramy operacyjnej odporności cyfrowej, rozumianej jako zdolność podmiotu finansowego do budowania, gwarantowania i weryfikowania swojej operacyjnej integralności i niezawodności, w tym w trakcie zakłóceń. To, co wcześniej było niewiążącą wytyczną, ma dziś tę samą moc prawną w całej Unii.
Obowiązki doprecyzowują regulacyjne i wykonawcze standardy techniczne (RTS i ITS) opracowane przez Europejskie Urzędy Nadzoru (EUN).
Art. 2 wyznacza zakres stosowania, który obejmuje niemal cały sektor finansowy Unii: instytucje kredytowe, instytucje płatnicze i instytucje pieniądza elektronicznego, firmy inwestycyjne, dostawców usług w zakresie kryptoaktywów, zakłady ubezpieczeń i reasekuracji, zarządzających funduszami, systemy obrotu i kontrahentów centralnych.
Zewnętrzny dostawca usług ICT nie podlega DORA bezpośrednio. Wymogi docierają do niego przez umowę z podmiotem finansowym, na podstawie art. 28-30. Bezpośredniemu nadzorowi podlega dopiero kluczowy zewnętrzny dostawca usług ICT wyznaczony zgodnie z art. 31.
Obowiązuje zasada proporcjonalności: uproszczone ramy zarządzania ryzykiem związanym z ICT stosują podmioty wymienione w art. 16 ust. 1, a mikroprzedsiębiorstwo korzysta z odrębnych złagodzeń (m.in. wyłączenia z TLPT, art. 26 ust. 1), pozostając w zakresie rozporządzenia.
Zacznij od klasyfikacji krytycznych lub istotnych funkcji: to ona wyznacza zakres filarów 2, 3 i 4.
Etap wdrożenia się skończył. Praca przesuwa się w stronę wykazywania zgodności: dokumentacji, która obroni się podczas kontroli.
Nadzór biegnie dwoma torami. Na poziomie krajowym właściwe organy nadzorują podmioty finansowe: w Polsce jest to Komisja Nadzoru Finansowego. Mogą prowadzić kontrole na miejscu i wymagać zastosowania środków naprawczych.
Na poziomie unijnym Europejskie Urzędy Nadzoru (EBA, ESMA i EIOPA) sprawują wspólny nadzór nad kluczowymi zewnętrznymi dostawcami usług ICT w ramach jednolitych ram nadzoru. Każdemu wyznaczonemu dostawcy przypisany jest wiodący organ nadzorczy, który może żądać informacji, prowadzić dochodzenia oraz wydawać zalecenia, w tym w sprawie podwykonawstwa i ryzyka koncentracji w obszarze ICT.
Art. 50 zobowiązuje państwa członkowskie do określenia kar administracyjnych i środków naprawczych, które są skuteczne, proporcjonalne i odstraszające. Do minimalnych uprawnień właściwego organu należą nakaz zaprzestania postępowania naruszającego rozporządzenie oraz środki mające zapewnić dalsze przestrzeganie wymogów. Art. 52 pozwala państwom członkowskim dołożyć do tego sankcje karne.
Dla podmiotów finansowych rozporządzenie nie ustala unijnego pułapu wyrażonego jako odsetek obrotu. Górna granica wynika z prawa krajowego państwa, w którym podmiot podlega nadzorowi.
Jeden odsetek pojawia się w samym tekście. Art. 35 daje wiodącemu organowi nadzorczemu prawo nałożenia na wyznaczonego kluczowego zewnętrznego dostawcę usług ICT okresowej kary pieniężnej w wysokości do 1% średniego dziennego światowego obrotu z poprzedniego roku obrotowego, naliczanej codziennie przez okres nie dłuższy niż sześć miesięcy. Ta kara dotyczy wyłącznie wyznaczonych dostawców, a nie podmiotów finansowych. Powtarzany limit dwóch procent obrotu nie występuje w DORA.
Zbuduj swój rejestr informacji →
DORA to Digital Operational Resilience Act, czyli rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego. Jako rozporządzenie obowiązuje bezpośrednio we wszystkich państwach członkowskich.
Rozporządzenie weszło w życie 16 stycznia 2023 r., a stosuje się je od 17 stycznia 2025 r. Od tej daty podmioty finansowe objęte zakresem muszą spełniać wymogi i umieć to wykazać.
Zewnętrzny dostawca usług ICT nie podlega rozporządzeniu bezpośrednio. Wymogi docierają do niego przez postanowienia umowne z art. 28-30, którymi związany jest podmiot finansowy. Bezpośredniemu nadzorowi podlega tylko kluczowy zewnętrzny dostawca usług ICT wyznaczony zgodnie z art. 31.
DORA jest lex specialis dla sektora finansowego i w swoim zakresie ma pierwszeństwo przed dyrektywą (UE) 2022/2555 (NIS2). NIS2 obejmuje więcej sektorów i jako dyrektywa wymaga wdrożenia w każdym państwie członkowskim. Dostawca usług ICT obsługujący bank może jednocześnie podlegać NIS2 jako podmiot infrastruktury cyfrowej.
Art. 50 pozostawia kary administracyjne państwom członkowskim: dla podmiotów finansowych rozporządzenie nie ustala unijnego pułapu wyrażonego w procentach obrotu. Dla wyznaczonych kluczowych zewnętrznych dostawców usług ICT art. 35 przewiduje okresową karę pieniężną do 1% średniego dziennego światowego obrotu, naliczaną codziennie przez maksymalnie sześć miesięcy.
Rejestr informacji to obowiązkowy wykaz wszystkich ustaleń umownych dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców. Podmiot finansowy prowadzi go na poziomie podmiotu, subskonsolidowanym i skonsolidowanym oraz przekazuje właściwemu organowi. Rejestr wyodrębnia ustalenia wspierające krytyczne lub istotne funkcje.
Ta strona stanowi wsparcie merytoryczne, a nie poradę prawną. · Wersja angielska