Stanowisko UKNF w sprawie DORA. Co z…

Podsumowanie:

💥 nie ma "cooling period" i trzeba mieć możliwość wykazania się zgodnością z DORA na dzień 17 stycznia, choć formalne możliwości "działania" ze strony UKNF w tym zakresie (z zastrzeżeniem istniejących uprawnień) nieco się opóźnią

💥 bardzo ważny będzie rejestr umów, który będzie zgodny z rozporządzeniem delegowanym (znajdziecie link w tekście)

💥 musimy mieć dobrze opracowany i wypełniony rejestr ❗️ bo UKNF będzie cisnął nas o ten rejestr już całkiem niedługo

💥 nie będzie taryfy ulgowej, bo "czasu było wystarczająco" - to akurat jest mocno dyskusyjne, ale trzeba z tym żyć

💥 musimy mieć przygotowany proces zarządzania incydentami i w tym zakresie zachęcam do wyjścia poza strefę komfortu i uwzględnienie innych obowiązków, które mogą nam się pojawić w przyszłości

💥 pamiętajmy o LEI

💥 pamiętajmy o umowach, choć o tym to chyba wszyscy teraz pamiętają

W ostatni dzień grudnia Polish Financial Supervision Authority (KNF) opublikował stanowisko UKNF dotyczące stosowania przez podmioty finansowe Rozporządzenia DORA. Na stanowisko czekała z pewnością część rynku finansowego, mając nadzieję, że może pojawi się jakiś "okres dodatkowy" na dostosowanie. Byłoby to uzasadnione w świetle tego w jakim (niedo)czasie zostały opublikowane rozporządzenia delegowane, a także biorąc pod uwagę - to już informacja ze stanowiska - kilkunastotygodniowe [kilkudziesięcio?] opóźnienie w zakresie projektu ustawy "o DORA". To się niestety nie wydarzyło, a komunikat płynący z dokumentu jest jasny - działajcie, bo czasu jest mało.

Przepisy DORA formalnie muszą być stosowane od 17 stycznia br., co oznacza, że powinniśmy być w stanie wykazać się spełnieniem obowiązków, m.in. w zakresie zarządzania ryzykiem ICT (co obejmuje także dostawców) czy szerzej bezpieczeństwa informacji. Warto przy tym pamiętać, że dla części podmiotów (głównie banków), dostosowanie (nie do końca) zbiegło się z koniecznością dostosowania do projektu nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, który ma dostosować nasze przepisy krajowe do dyrektywy NIS2. Problem w tym, że kolejny (przestałem liczyć który) nadal wisi i nie wiadomo jeszcze kiedy będzie uchwalony.

Trochę bez echa przechodzą też kwestie związane z AI, a przecież i AI Act (oraz towarzysząca jej projektowana ustawa) wprowadza pewne obowiązki w tym zakresie - nie tylko w kontekście zarządzania ryzykiem AI, ale także odpornością ICT czy zarządzania poważnymi incydentami czy przechowywaniem logów. Zależności jest naprawdę sporo, a idę o zakład, że w większości organizacji te wszystkie obszary nie do końca się "spięły". Cóż, będzie i czas na to. Wróćmy jednak do samego stanowiska.

Zacznijmy od najważniejszego stwierdzenia z dokumentu:

Rozporządzenie DORA jest aktem bezpośrednio stosowanym i nie wymaga odrębnej transpozycji do prawa krajowego. Obecny brak przepisów krajowych zapewniających stosowanie rozporządzenia DORA nie wstrzymuje obowiązku przestrzegania przez podmioty finansowe wszelkich wymogów wynikających z przepisów rozporządzenia DORA

Interpretacja UKNF jest taka, że choć ustawa dostosowująca jest "in transit", to nie zwalnia to instytucji finansowych z obowiązku dostosowania się. Przykładowo, musimy mieć system (w tym procedury oraz instrukcje) do obsługi incydentów (w szczególności tych poważnych), abyśmy mogli zrealizować obowiązki względem KNF, ale same przepisy określające sposób ich realizacji doprecyzowane zostaną w stosownej ustawie. Zasadniczo jednak sam proces został dość dobrze opisany w art. 19 DORA, więc wątpliwości zasadniczo nie ma.

Kwestie związane z poważnymi incydentami zostały też podkreślone w stanowisku, choć raczej w sposób bardzo ogólny sprowadzający się do:

podkreślenia znaczenia "dobrych" danych raportowych

rozporządzenie delegowane 2024/1772

zwrócenia uwagi, że dostawcy usług płatniczych będą wyłączeni z obowiązków w zakresie raportowania PSD2, aby nie dublować sprawozdań.

UKNF zwrócił też uwagę na konieczność posiadania kodu LEI (odpowiednich naszego KRS, ale w skali globalnej), który jest wymagany m.in. w kontekście obowiązków sprawozdawczych, ale także rejestru umów. Obowiązek posiadania LEI aktualizuje się na 17 stycznia.

Rejestr. To sól w oku wielu instytucji, ale w sumie jest to bardzo dobre narzędzie do sprawowania nadzoru nad "outsourcingiem" ICT. Art. 28 ust. 3 DORA nakazuje, aby

podmioty finansowe utrzymywały i aktualizowały na poziomie podmiotu oraz na poziomie subskonsolidowanym i skonsolidowanym rejestr informacji w odniesieniu do wszystkich ustaleń umownych dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT

Wymogi co do rejestru określa stosowny akt delegowany ( 2024/2956 ), który został opublikowany zaledwie miesiąc temu. Tutaj istotny jest następujący akapit stanowiska UKNF:

🎯 (...) właściwe organy będą zobowiązane pozyskać od podmiotów finansowych rejestry informacji w terminie umożliwiającym przekazanie zebranych danych do EUN przed 30 kwietnia 2025 roku.

🎯 w związku z powyższym KNF planuje zwrócić się na początku kwietnia 2025 roku (...) do podmiotów finansowych z żądaniem przekazania rejestrów informacji do KNF, tak aby KNF mogła terminowo zrealizować obowiązek przekazania zebranych rejestrów informacji do EUN.

🎯 na planowany termin na przekazanie rejestru informacji do KNF w 2025 roku będzie miała również wpływ okoliczność, że KNF dokonywać będzie walidacji danych przedkładanych w ramach rejestrów informacji oraz wzywać będzie podmioty finansowe do niezwłocznego uzupełnienia ewentualnych brakujących danych bądź poprawy błędów.

🎯 we wskazanej powyżej decyzji podkreślono również, że przekazywane w 2025 roku do właściwych organów rejestry informacji powinny zawierać dane aktualne na 31 marca 2025 roku.

Poza tym UKNF zwraca uwagę na aktualizację obowiązków sprawozdawczych, przy czym podkreśla że nie wszystkie będą realizowane od 17 stycznia. W pierwszej kolejności będą to obowiązki określone na poniższym screenie:

KNF zwraca uwagę na to w jaki sposób będą przekazywane informacje (za pośrednictwem systemów - więcej info znajdziecie też tutaj ), ale także na to jak ważna będzie jakość przekazywanych przez instytucje informacji. Z tym się akurat zgadzam - nastaje czas, w którym musimy pomyśleć o automatyzacji procesów sprawozdawczych; może to czas na RegTech Mikołaj Otmianowski? Wydaje się, że chyba tak.

W stanowisku mowa też o uchyleniu rekomendacji dotyczących IT (w tym rekomendacji D) oraz komunikatu chmurowego, ale warto zwrócić też uwagę na ten fragment:

Podobne analizy zbieżności [potencjalne uchylenie] zakresu przedmiotowego wytycznych w sprawie zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT oraz wytycznych w sprawie outsourcingu do dostawców usług w chmurze obliczeniowej z rozporządzeniem DORA przeprowadzane są przez EUN

Celem uchylenia aktów soft law ma być uniknięcie wątpliwości interpretacyjnych, które mogłyby wystąpić w związku z rozpoczęciem stosowania przepisów rozporządzenia DORA i spodziewanym uchwaleniem przepisów prawa krajowego oraz jednoczesnym obowiązywaniem dotychczasowych regulacji o charakterze tzw. soft law. To cytat ze stanowiska - ja mam obawę, że ich uchylenie bez dodania nowych wytycznych spowoduje tylko większy chaos, ale może się mylę.

UKNF wrzucił też kilkanaście "wskazówek" co do podejścia do DORA przez europejskie organy nadzoru (EBA, ESMA, EIOPA) i z najważniejszych punktów warto wskazać:

podmioty finansowe powinny przygotować się do nowych obowiązków sprawozdawczych, w tym w szczególności opracować rejestry ustaleń umownych dotyczących zewnętrznych dostawców usług ICT (rejestry informacji), które właściwe organy są zobowiązane zebrać od podmiotów finansowych i przekazać do EUN do 30 kwietnia 2025 roku
EUN zapraszają zewnętrznych dostawców usług ICT, którzy uważają, że mogą spełniać kryteria krytyczności opublikowane w maju 2024 roku9, do oceny ich struktury operacyjnej pod kątem wymogów rozporządzenia DORA, przy czym pierwsze wyznaczenie kluczowych zewnętrznych dostawców usług ICT planowane jest w drugiej połowie 2025 roku
ze względu na to, że rozporządzenie DORA będzie stosowane od 17 stycznia 2025 roku, EUN podkreślają znaczenie przyjęcia przez podmioty finansowe solidnego i ustrukturyzowanego podejścia zapewniającego terminowe wywiązywanie się ze swoich obowiązków
EUN i właściwe organy udzielały i będą nadal udzielać wskazówek w celu wsparcia sprawnego wdrażania rozporządzenia DORA.

Nic nadzwyczajnego. Konkluzje?