DORA, czyli jak nowe prawo UE rewolucjonizuje IT w polskim sektorze finansowym?

Zdjęcie: Dora, Wykres

Sektor finansowy, od lat będący w awangardzie cyfrowej transformacji, stoi u progu kolejnej rewolucji. Nie jest ona jednak napędzana przez nową technologię, ale przez prawo. Mowa o Rozporządzeniu w sprawie operacyjnej odporności cyfrowej sektora finansowego, znanym jako DORA (Digital Operational Resilience Act).

Obowiązujące od 17 stycznia 2025 roku, nie jest to kolejna dyrektywa do powolnej implementacji, ale bezpośrednio stosowany akt prawny, który fundamentalnie redefiniuje zasady gry dla całego ekosystemu IT w polskiej branży finansowej.

Skala tej zmiany jest porównywalna z wdrożeniem RODO, a jej głównym celem jest zakończenie ery fragmentarycznych, krajowych regulacji i stworzenie jednolitego, wysokiego standardu odporności na cyberzagrożenia w całej Unii Europejskiej.

DORA to coś więcej niż zbiór technicznych wytycznych. To zmiana paradygmatu, która przenosi ostateczną odpowiedzialność za cyberbezpieczeństwo z działów IT na najwyższe szczeble zarządcze.

Cyfrowa odporność przestaje być kwestią techniczną, a staje się strategicznym filarem zarządzania ryzykiem całej organizacji, wymagającym od zarządów aktywnego zaangażowania i głębokiego zrozumienia technologicznych wyzwań.

Anatomia rewolucji: Pięć filarów DORA

Aby zrozumieć skalę nadchodzących zmian, należy przeanalizować pięć wzajemnie powiązanych filarów, na których opiera się cała konstrukcja DORA.

1. Zarządzanie Ryzykiem ICT: To fundament rozporządzenia. Nakłada on na instytucje finansowe obowiązek wdrożenia kompleksowych i udokumentowanych ram zarządzania ryzykiem technologicznym. Kluczową nowością jest jednoznaczne przypisanie ostatecznej odpowiedzialności za ten obszar organowi zarządzającemu. Zarząd musi nie tylko zatwierdzić strategię, ale także aktywnie nadzorować jej realizację, co wymaga od jego członków odpowiednich kompetencji do oceny ryzyk cyfrowych.
2. Zarządzanie i Raportowanie Incydentów: DORA standaryzuje proces obsługi incydentów, wprowadzając zharmonizowany system raportowania. Największym wyzwaniem są niezwykle krótkie terminy: wstępne powiadomienie o poważnym incydencie musi trafić do organu nadzoru (w Polsce KNF) w ciągu zaledwie 24 godzin od jego klasyfikacji . W praktyce wymusza to na organizacjach inwestycje w zaawansowane systemy monitorowania (SIEM) i automatyzacji reakcji (SOAR).
3. Testowanie Operacyjnej Odporności Cyfrowej: Rozporządzenie formalizuje i zaostrza wymogi dotyczące testowania. Oprócz corocznych testów podatności, wprowadza obowiązek przeprowadzania co najmniej raz na trzy lata zaawansowanych testów penetracyjnych opartych na analizie zagrożeń – Threat-Led Penetration Testing (TLPT). Są to kontrolowane symulacje realnych cyberataków, przeprowadzane na systemach produkcyjnych przez zewnętrznych, certyfikowanych ekspertów.
4. Zarządzanie Ryzykiem Stron Trzecich: To prawdopodobnie najbardziej rewolucyjny element DORA. Instytucje finansowe stają się w pełni odpowiedzialne za ryzyko generowane przez cały łańcuch dostaw usług ICT – od globalnych dostawców chmury po lokalne software house’y. Rozporządzenie narzuca rygorystyczne wymogi dotyczące umów, w tym gwarancję prawa do audytu, oraz wprowadza mechanizm bezpośredniego nadzoru UE nad kluczowymi dostawcami technologii (Critical Third-Party Providers, CTPPs).
5. Wymiana Informacji o Zagrożeniach: Ostatni filar promuje współpracę w ramach zaufanych społeczności w celu wymiany informacji i analiz dotyczących cyberzagrożeń. Celem jest stworzenie systemu wczesnego ostrzegania, który pozwoli całemu sektorowi uczyć się na błędach i proaktywnie wzmacniać mechanizmy obronne.

Polski kontekst: KNF nie zostawia złudzeń

Komisja Nadzoru Finansowego (KNF) przyjęła bardzo proaktywną postawę, jasno komunikując rynkowi, iż nie będzie taryfy ulgowej. W swoim stanowisku UKNF podkreślił, iż DORA, jako rozporządzenie, jest aktem prawa bezpośrednio stosowanym i brak krajowych przepisów wykonawczych nie wstrzymuje obowiązku jej przestrzegania od 17 stycznia 2025 roku .

Najważniejszą konsekwencją dla polskiego rynku jest zmiana paradygmatu regulacyjnego. DORA, jako lex specialis (prawo szczegółowe), zastępuje i uchyla dotychczasowe, dobrze znane krajowe wytyczne, takie jak Rekomendacja D czy Komunikat chmurowy.

Kończy się era elastycznego soft law, a zaczyna twarde, zharmonizowane na poziomie UE prawo, które nie pozostawia miejsca na dowolność interpretacyjną. Aby umożliwić rynkowi działanie w nowej rzeczywistości, KNF wdrożyła konkretne narzędzia, w tym obowiązek posiadania przez każdą instytucję identyfikatora LEI oraz dedykowane systemy do sprawozdawczości i obsługi incydentów.

Za nieprzestrzeganie przepisów grożą dotkliwe sankcje, w tym kary finansowe sięgające 10% rocznego obrotu, a w skrajnych przypadkach choćby odpowiedzialność karna dla członków zarządu.

Główne wyzwania i priorytety inwestycyjne

Dostosowanie się do DORA to proces złożony i kosztowny, który zdominuje budżety IT w polskim sektorze finansowym w najbliższych latach. Można zidentyfikować trzy główne obszary, które stanowią największe wyzwania.

Po pierwsze, zarządzanie ryzykiem stron trzecich. Dla wielu instytucji oznacza to tytaniczną pracę polegającą na przeglądzie i renegocjacji setek, a choćby tysięcy umów z dostawcami technologii . Każdy kontrakt musi zostać dostosowany do rygorystycznych wymagań DORA, co jest zadaniem nie tylko dla prawników, ale i dla biznesu oraz IT.

Po drugie, zaawansowane testy penetracyjne (TLPT). To skomplikowane i drogie przedsięwzięcia, a na rynku brakuje wyspecjalizowanych firm z odpowiednimi certyfikatami i doświadczeniem.

Ograniczona podaż takich usług może prowadzić do wzrostu cen i problemów z dostępnością, a same testy wymagają bezprecedensowej współpracy z dostawcami, których systemy również muszą być objęte zakresem testów.

Po trzecie, zintegrowane raportowanie incydentów. Spełnienie 24-godzinnego terminu na zgłoszenie jest praktycznie niemożliwe bez zautomatyzowanych procesów.

Wiele organizacji będzie musiało zainwestować w modernizację lub wdrożenie nowoczesnych platform SIEM i SOAR, zintegrowanych z wewnętrznymi procedurami i systemami raportowania KNF.

Te trzy obszary, uzupełnione o konieczność szeroko zakrojonych szkoleń dla kadr na wszystkich szczeblach, zdeterminują główne kierunki inwestycji w nadchodzących miesiącach.

DORA jako katalizator modernizacji

Choć wdrożenie DORA wiąże się z ogromnymi wyzwaniami, postrzeganie go wyłącznie jako obciążenia regulacyjnego byłoby błędem. W dłuższej perspektywie rozporządzenie to ma potencjał, by stać się potężnym katalizatorem pozytywnych zmian i modernizacji.

Odporność cyfrowa staje się kluczowym elementem przewagi konkurencyjnej. Organizacje, które skutecznie wdrożą DORA, będą postrzegane przez klientów i partnerów jako bardziej wiarygodne i bezpieczne.

Rygorystyczne wymogi wobec dostawców doprowadzą do podniesienia standardów w całym sektorze technologicznym, eliminując z rynku podmioty, które nie są w stanie zapewnić odpowiedniego poziomu bezpieczeństwa.

Co więcej, DORA może stać się impulsem do redukcji długu technologicznego i przyspieszenia migracji do chmury. Uchylenie niejasnego “Komunikatu chmurowego” i zastąpienie go zharmonizowanym, europejskim standardem daje instytucjom finansowym znacznie większą pewność regulacyjną .

W połączeniu z presją na modernizację może to zachęcić niezdecydowane dotąd podmioty do strategicznej i zgodnej z DORA migracji do chmury, postrzegając ją jako sposób na osiągnięcie wymaganej odporności i elastyczności.

Czas na działanie

Termin 17 stycznia 2025 roku jest nieprzekraczalny. Czas na analizy dobiegł końca – nadszedł moment na intensywne działania. DORA to nie są kolejne wytyczne, które można dowolnie interpretować. To nowy, obowiązkowy system operacyjny dla technologii w europejskim sektorze finansowym.

pOrganizacje, które potraktują to wyzwanie priorytetowo, nie tylko zapewnią sobie zgodność z prawem, ale przede wszystkim zbudują solidny fundament pod bezpieczny i stabilny rozwój.