Zarządzanie ryzykiem ICT w DORA: ramy, obowiązki i dokumentacja

01Kogo dotyczą wymogi i co oznacza proporcjonalność

Rozdział II stosują wszystkie podmioty finansowe z art. 2 ust. 1 - od instytucji kredytowych i płatniczych, przez firmy inwestycyjne, po zakłady ubezpieczeń i dostawców usług w zakresie kryptoaktywów. Zakres obowiązków nie jest jednak dla wszystkich taki sam. Decydują o nim trzy rzeczy.

Zasada proporcjonalności

Podmioty finansowe stosują przepisy rozdziału II proporcjonalnie, biorąc pod uwagę swoją wielkość, ogólny profil ryzyka oraz charakter, skalę i stopień złożoności swoich usług, działań i operacji (art. 4 ust. 1). Proporcjonalność nie zwalnia z obowiązku - dotyczy sposobu jego wykonania. Nadzorca ocenia ją na podstawie sprawozdań z przeglądu ram (art. 4 ust. 3).

Mikroprzedsiębiorstwa

Mikroprzedsiębiorstwo to podmiot finansowy, który zatrudnia mniej niż 10 osób i którego roczny obrót lub bilans roczny nie przekracza 2 mln EUR - z wyjątkiem systemu obrotu, kontrahenta centralnego, repozytorium transakcji i centralnego depozytu papierów wartościowych (art. 3 pkt 60). Mikroprzedsiębiorstwa stosują art. 5-15, ale część obowiązków ich nie dotyczy albo dotyczy w lżejszej formie:

Uproszczone ramy z art. 16

Niektóre podmioty - m.in. małe i niepowiązane wzajemnie firmy inwestycyjne, zwolnione instytucje płatnicze i instytucje pieniądza elektronicznego oraz małe instytucje pracowniczych programów emerytalnych - nie stosują art. 5-15, tylko uproszczone ramy z art. 16 ust. 1. Omawiamy je w osobnej sekcji niżej.

02Odpowiedzialność organu zarządzającego

DORA zaczyna rozdział II od ładu wewnętrznego. Podmiot finansowy ma wewnętrzne ramy zarządzania i kontroli, które zapewniają skuteczne i ostrożne zarządzanie wszystkimi rodzajami ryzyka ICT (art. 5 ust. 1). Odpowiedzialność za nie spoczywa na organie zarządzającym - nie na dziale IT ani bezpieczeństwa.

Członkowie organu zarządzającego aktywnie aktualizują wiedzę i umiejętności potrzebne do zrozumienia i oceny ryzyka ICT, m.in. przez regularne specjalne szkolenia (art. 5 ust. 4). Podmioty inne niż mikroprzedsiębiorstwa ustanawiają też funkcję monitorowania ustaleń z dostawcami ICT albo wyznaczają odpowiedzialnego członka kadry kierowniczej wyższego szczebla (art. 5 ust. 3).

03Ramy zarządzania ryzykiem ICT

Ramy zarządzania ryzykiem ICT to centralne pojęcie rozdziału II. Podmiot finansowy ma je jako część ogólnego systemu zarządzania ryzykiem: solidne, kompleksowe i dobrze udokumentowane, umożliwiające szybkie i skuteczne reagowanie na ryzyko ICT (art. 6 ust. 1).

Co obejmują ramy

Co najmniej strategie, polityki, procedury, protokoły i narzędzia ICT potrzebne do ochrony wszystkich zasobów informacyjnych i zasobów ICT - oprogramowania, sprzętu, serwerów, a także elementów fizycznych i infrastruktury: obiektów, ośrodków przetwarzania danych i obszarów wrażliwych (art. 6 ust. 2).

Niezależność, przegląd i audyt

• Funkcja kontroli. Podmioty inne niż mikroprzedsiębiorstwa powierzają zarządzanie ryzykiem ICT i nadzór nad nim funkcji kontroli o odpowiedniej niezależności. Wszystkie podmioty zapewniają rozdzielenie i niezależność funkcji zarządzania ryzykiem ICT, kontroli i audytu wewnętrznego - według modelu trzech linii obrony albo wewnętrznego modelu zarządzania ryzykiem i kontroli (art. 6 ust. 4).
• Przegląd. Ramy są dokumentowane i przeglądane co najmniej raz w roku (mikroprzedsiębiorstwa - okresowo), a także po poważnych incydentach ICT i zgodnie z instrukcjami nadzorczymi albo wnioskami z testów i audytów (art. 6 ust. 5).
• Audyt wewnętrzny. Ramy podmiotów innych niż mikroprzedsiębiorstwa są regularnie audytowane przez audytorów z wiedzą o ryzyku ICT i odpowiednią niezależnością (art. 6 ust. 6).
• Działania następcze. Po audycie podmiot ma formalny proces działań następczych, w tym terminowej weryfikacji i wdrażania środków zaradczych po krytycznych ustaleniach audytu ICT (art. 6 ust. 7).

Sprawozdanie z przeglądu ram

Sprawozdanie z przeglądu przedkłada się właściwemu organowi na jego żądanie (art. 6 ust. 5). Jego format i treść określa art. 27 rozporządzenia 2024/1774: elektroniczny format umożliwiający wyszukiwanie, a w treści m.in.:

04Strategia operacyjnej odporności cyfrowej

Ramy obejmują strategię operacyjnej odporności cyfrowej, w której określono sposób ich wdrażania (art. 6 ust. 8). Za jej określenie i zatwierdzenie odpowiada organ zarządzający (art. 5 ust. 2 lit. d).

Przepis wylicza osiem elementów strategii - to jeden z najbardziej jednoznacznych katalogów w rozdziale II. Sprawdź, czy Twoja strategia zawiera każdy z nich:

Tolerancja ryzyka nie jest tylko zapisem w strategii. Polityka zarządzania ryzykiem ICT wskazuje jej zatwierdzenie (art. 3 lit. a rozporządzenia 2024/1774), a ocena ryzyka i decyzje o jego akceptacji odnoszą się właśnie do tego poziomu (o tym w następnej sekcji). Wykonanie strategii instytucja monitoruje na bieżąco (art. 13 ust. 4).

05Identyfikacja: funkcje, zasoby, zależności i ryzyko

Nie da się chronić tego, czego się nie zna. Art. 8 wymaga zinwentaryzowania działalności i jej zależności od ICT, a następnie ciągłej identyfikacji ryzyka.

Funkcje i zasoby

Podmioty finansowe identyfikują, klasyfikują i dokumentują wszystkie wspierane przez ICT funkcje biznesowe, role i obowiązki, zasoby informacyjne i zasoby ICT wspierające te funkcje oraz ich zależności - i przeglądają tę klasyfikację co najmniej raz w roku (art. 8 ust. 1). Wskazują wszystkie zasoby informacyjne i ICT, w tym zdalne i sieciowe, ewidencjonują krytyczne oraz konfigurację i współzależności zasobów (art. 8 ust. 4). Wykazy aktualizuje się okresowo i przy każdej większej zmianie (art. 8 ust. 6).

Źródła ryzyka i scenariusze

Instytucja na bieżąco identyfikuje wszystkie źródła ryzyka ICT - także ekspozycję na inne podmioty finansowe - ocenia cyberzagrożenia i podatności oraz co najmniej raz w roku przegląda scenariusze ryzyka (art. 8 ust. 2). Podmioty inne niż mikroprzedsiębiorstwa przeprowadzają ocenę ryzyka przy każdej większej zmianie infrastruktury, procesów lub procedur (art. 8 ust. 3) oraz co najmniej raz w roku oceniają przestarzałe systemy ICT (art. 8 ust. 7).

Metodyka oceny ryzyka według RTS

Art. 3 rozporządzenia 2024/1774 określa, co zawiera polityka zarządzania ryzykiem ICT:

06Ochrona i zapobieganie

Systemy, protokoły i narzędzia ICT mają być odpowiednie do skali operacji, wiarygodne, wydajne i odporne technologicznie - także w skrajnych warunkach rynkowych (art. 7). Na tej podstawie art. 9 wymaga stałego monitorowania i kontroli bezpieczeństwa systemów ICT oraz polityk, które chronią dostępność, autentyczność, integralność i poufność danych - przechowywanych, wykorzystywanych i przesyłanych (art. 9 ust. 2).

Co doprecyzowuje rozporządzenie 2024/1774

RTS rozpisuje te wymogi na konkretne polityki i procedury. Polityki bezpieczeństwa ICT są częścią ram i mają być dostosowane do celów bezpieczeństwa informacji ze strategii odporności (art. 2). Dalej:

07Wykrywanie i obsługa incydentów

Podmioty finansowe mają mechanizmy szybkiego wykrywania nietypowych działań - także problemów z wydajnością sieci i incydentów ICT - oraz identyfikacji potencjalnych istotnych pojedynczych punktów awarii; mechanizmy te są regularnie testowane (art. 10 ust. 1). Wykrywanie ma kilka poziomów kontroli, progi alarmowe i kryteria uruchamiania reagowania, z automatycznymi ostrzeżeniami dla odpowiednich pracowników (art. 10 ust. 2). Kryteria wykrywania i reagowania doprecyzowuje art. 23 rozporządzenia 2024/1774, a politykę zarządzania incydentami - art. 22.

Od wykrycia do zgłoszenia

Wykrycie to dopiero początek. DORA wymaga procesu zarządzania incydentami ICT, który obejmuje ich wykrywanie, zarządzanie nimi i zgłaszanie (art. 17 ust. 1). Każdy incydent instytucja klasyfikuje według kryteriów z art. 18 ust. 1, doprecyzowanych w rozporządzeniu delegowanym 2024/1772. Incydent jest poważny, jeśli dotyczy usług krytycznych i osiąga określone progi istotności (art. 8 ust. 1 rozporządzenia 2024/1772) - wtedy podlega zgłoszeniu do właściwego organu.

08Reagowanie, ciągłość działania i kopie zapasowe

Kiedy zakłócenie już wystąpi, liczy się przygotowanie. DORA wymaga kompleksowej strategii ciągłości działania w zakresie ICT (art. 11 ust. 1), realizowanej przez udokumentowane plany, procedury i mechanizmy, które zapewniają ciągłość funkcji krytycznych lub istotnych, szybkie reagowanie na incydenty i ograniczanie szkód (art. 11 ust. 2).

Dokumenty ciągłości działania

Testy i odtwarzanie

Plany ciągłości oraz plany reagowania i przywracania sprawności testuje się co najmniej raz w roku i po istotnych zmianach w systemach wspierających funkcje krytyczne lub istotne; podmioty inne niż mikroprzedsiębiorstwa uwzględniają scenariusze cyberataków i przełączania na infrastrukturę zapasową (art. 11 ust. 6). Odtwarzając dane z kopii zapasowych przy użyciu własnych systemów, instytucja korzysta z systemów ICT oddzielonych fizycznie i logicznie od systemu źródłowego (art. 12 ust. 3). Zakładany czas przywrócenia i akceptowalną utratę danych ustala się dla każdej funkcji, biorąc pod uwagę, czy jest krytyczna lub istotna (art. 12 ust. 6).

Po uruchomieniu planów instytucja prowadzi łatwo dostępną ewidencję działań przed zakłóceniem i w jego trakcie (art. 11 ust. 8), a podmioty inne niż mikroprzedsiębiorstwa mają funkcję zarządzania w sytuacji kryzysowej (art. 11 ust. 7).

09Uczenie się i komunikacja

Ramy mają się doskonalić. Instytucja zbiera informacje o podatnościach, cyberzagrożeniach i incydentach (art. 13 ust. 1), a po poważnym incydencie, który zakłócił główną działalność, przeprowadza przegląd: czy przestrzegano procedur i czy działania były skuteczne - od szybkości reakcji po komunikację (art. 13 ust. 2). Wnioski z testów i rzeczywistych incydentów zasilają ocenę ryzyka i przeglądy ram (art. 13 ust. 3). Kadra kierownicza ds. ICT co najmniej raz w roku składa organowi zarządzającemu sprawozdanie z tych ustaleń wraz z zaleceniami (art. 13 ust. 5).

Szkolenia

Programy szkoleniowe obejmują obowiązkowe moduły świadomości bezpieczeństwa ICT i szkolenia z odporności cyfrowej - dla wszystkich pracowników i kadry kierowniczej wyższego szczebla, o złożoności dopasowanej do pełnionych funkcji (art. 13 ust. 6).

Komunikacja kryzysowa

Instytucja ma plany działań informacyjnych na wypadek sytuacji kryzysowej, które umożliwiają odpowiedzialne ujawnienie co najmniej poważnych incydentów ICT lub podatności klientom i kontrahentom, a w stosownych przypadkach opinii publicznej (art. 14 ust. 1). Polityka komunikacyjna rozróżnia pracowników zaangażowanych w zarządzanie ryzykiem ICT od tych, których należy tylko informować (art. 14 ust. 2). Co najmniej jedna osoba odpowiada za strategię komunikacyjną w zakresie incydentów i pełni funkcję osoby do kontaktów z opinią publiczną i mediami (art. 14 ust. 3).

10Dostawcy ICT jako część ryzyka ICT

Ryzyko ze strony zewnętrznych dostawców usług ICT nie jest osobnym tematem obok ram - jest ich integralnym elementem (art. 28 ust. 1). Już na etapie identyfikacji instytucja wskazuje i dokumentuje procesy zależne od dostawców ICT oraz powiązania z dostawcami usług wspierających funkcje krytyczne lub istotne (art. 8 ust. 5). Organ zarządzający zatwierdza politykę korzystania z usług ICT dostawców (art. 5 ust. 2 lit. h).

Podmioty inne niż te z art. 16 ust. 1 i inne niż mikroprzedsiębiorstwa przyjmują w ramach zarządzania ryzykiem strategię dotyczącą ryzyka ze strony dostawców ICT (art. 28 ust. 2). Wszystkie podmioty prowadzą rejestr informacji o ustaleniach umownych z dostawcami ICT (art. 28 ust. 3).

11Uproszczone ramy zarządzania ryzykiem ICT

Podmioty wymienione w art. 16 ust. 1 nie stosują art. 5-15, ale nie są zwolnione z zarządzania ryzykiem ICT. Wprowadzają i utrzymują prawidłowe, udokumentowane ramy zarządzania ryzykiem ICT, stale monitorują bezpieczeństwo systemów, szybko wykrywają ryzyko i reagują na incydenty, określają kluczowe zależności od dostawców ICT, zapewniają ciągłość funkcji krytycznych lub istotnych (co najmniej kopie zapasowe i odtwarzanie), regularnie testują plany i wdrażają wnioski z testów i incydentów.

Uproszczone ramy dokumentuje się i przegląda okresowo oraz po poważnych incydentach ICT, zgodnie z instrukcjami nadzorczymi; sprawozdanie z przeglądu przedkłada się organowi na żądanie (art. 16 ust. 2). Szczegóły - od zarządzania i organizacji po treść sprawozdania - zawiera tytuł III rozporządzenia 2024/1774: art. 28-41.

12Dokumentacja: co przygotować

Rozdział II nie zawiera jednej listy dokumentów - wynikają one z poszczególnych przepisów. Zebrane razem:

13Jak zacząć: kolejność wdrożenia

Każdy krok zostawia dokument, który przyda się w następnym. Kolejność nie wynika z przepisów - to praktyka, która pozwala uniknąć pisania polityk przed poznaniem zasobów, których mają dotyczyć.