Cyberatak, awaria systemu informatycznego czy niedostępność kluczowych danych mogą dziś sparaliżować działalność przedsiębiorstwa równie skutecznie jak szkoda fizyczna. W odpowiedzi na rosnące zagrożenia Unia Europejska wprowadziła rozporządzenie DORA, które wzmacnia odporność cyfrową sektora finansowego. Co nowe regulacje oznaczają dla instytucji finansowych, brokerów ubezpieczeniowych i przedsiębiorstw korzystających z usług finansowych? I jaką rolę w zarządzaniu ryzykiem cybernetycznym odgrywają ubezpieczenia?
Czym jest DORA?
DORA, czyli Digital Operational Resilience Act, to unijne rozporządzenie 2022/2554 dotyczące operacyjnej odporności cyfrowej sektora finansowego. Jego celem jest zapewnienie, aby instytucje finansowe potrafiły nie tylko zapobiegać zagrożeniom związanym z technologiami informacyjno-komunikacyjnymi (ICT), lecz także skutecznie reagować na incydenty i przywracać normalne funkcjonowanie po zakłóceniach.
Rozporządzenie jest stosowane od 17 stycznia 2025 r. i obejmuje m.in. banki, zakłady ubezpieczeń, firmy inwestycyjne oraz inne wskazane w przepisach podmioty sektora finansowego. Zakres regulacji obejmuje również zarządzanie ryzykiem związanym z zewnętrznymi dostawcami usług ICT..
DORA nie ogranicza się zatem do ochrony przed cyberatakami. Dotyczy również awarii infrastruktury, utraty dostępności danych, błędów systemowych oraz problemów po stronie dostawców technologii, które mogą zakłócić świadczenie usług finansowych.
Dlaczego odporność cyfrowa jest tak ważna?
Współczesne przedsiębiorstwa są uzależnione od technologii niemal na każdym etapie działalności. Systemy informatyczne obsługują płatności, komunikację z klientami, przetwarzanie dokumentacji, sprzedaż oraz zarządzanie danymi.
W przypadku instytucji finansowych zakłócenia mogą mieć szczególnie poważne konsekwencje. Niedostępność systemów może uniemożliwić realizację transakcji, opóźnić obsługę klientów czy doprowadzić do naruszenia poufności informacji.
Warto wyobrazić sobie kilka scenariuszy:
- Atak ransomware – cyberprzestępcy szyfrują dane, a organizacja traci dostęp do kluczowych systemów.
- Awaria dostawcy chmurowego – przedsiębiorstwo nie może korzystać z aplikacji niezbędnych do obsługi klientów.
- Wyciek danych – nieuprawniona osoba uzyskuje dostęp do informacji finansowych lub danych osobowych.
- Błąd aktualizacji oprogramowania – system przestaje działać, powodując przestoje operacyjne i straty finansowe.
Każda z tych sytuacji może mieć konsekwencje wykraczające poza dział IT. Wpływa na ciągłość działalności, reputację firmy, relacje z kontrahentami i sytuację finansową organizacji.
Jakie obowiązki wprowadza DORA?
Rozporządzenie opiera się na kilku kluczowych obszarach, które razem mają zwiększać zdolność organizacji do zapobiegania incydentom, reagowania na nie i odtwarzania działalności.
1. Zarządzanie ryzykiem ICT
Organizacja powinna posiadać odpowiednie ramy zarządzania ryzykiem technologicznym. Oznacza to konieczność identyfikacji zagrożeń, oceny podatności systemów, wdrażania zabezpieczeń oraz monitorowania ich skuteczności.
Istotne jest także określenie odpowiedzialności za bezpieczeństwo, przygotowanie procedur reagowania na incydenty i zapewnienie ciągłości działania.
2. Obsługa incydentów i zgłaszanie poważnych zdarzeń
DORA wymaga odpowiedniego wykrywania, klasyfikowania, dokumentowania i obsługi incydentów związanych z ICT. W przypadku zdarzeń spełniających określone kryteria podmiot finansowy musi realizować obowiązki sprawozdawcze wobec właściwego organu nadzoru.
Samo usunięcie awarii nie zawsze jest wystarczające. Ważne jest również ustalenie jej przyczyn, ocena skutków oraz wdrożenie działań ograniczających ryzyko podobnych zdarzeń w przyszłości.
3. Testowanie odporności cyfrowej
Podmioty objęte regulacją muszą odpowiednio testować swoje zabezpieczenia i zdolność do utrzymania działalności w warunkach zakłóceń. Zakres testów zależy od charakteru organizacji, jej profilu ryzyka i obowiązujących wymogów.
Celem jest sprawdzenie, czy przyjęte procedury działają w praktyce, a nie tylko istnieją w dokumentacji.
4. Kontrola ryzyka związanego z dostawcami ICT
Ważnym elementem DORA jest nadzór nad ryzykiem wynikającym ze współpracy z zewnętrznymi dostawcami technologii. Dotyczy to m.in. usług chmurowych, centrów danych, oprogramowania i innych rozwiązań wspierających działalność finansową.
Organizacja powinna identyfikować takie zależności, oceniać ryzyko i odpowiednio kształtować umowy z dostawcami. Znaczenie mają m.in. kwestie bezpieczeństwa, dostępności usług, dostępu do danych, audytu oraz możliwości zakończenia współpracy.
5. Wymiana informacji o zagrożeniach
DORA przewiduje również możliwość wymiany informacji i analiz dotyczących cyberzagrożeń między podmiotami finansowymi, zgodnie z określonymi warunkami. Pozwala to lepiej rozpoznawać pojawiające się zagrożenia i usprawniać działania ochronne.
Szczegółowy zakres obowiązków zależy od rodzaju podmiotu oraz właściwych przepisów wykonawczych..
DORA a ubezpieczenie cyber – dwa różne elementy zarządzania ryzykiem
Wprowadzenie DORA zwiększa znaczenie cyberbezpieczeństwa w zarządzaniu organizacją. Nie oznacza jednak, że spełnienie wymogów regulacyjnych zastępuje ubezpieczenie ani że posiadanie polisy zapewnia zgodność z regulacją.
DORA koncentruje się na odporności operacyjnej, natomiast ubezpieczenie cybernetyczne może pomóc ograniczyć finansowe skutki określonych incydentów.
Polisa cyber może, w zależności od jej zakresu, obejmować m.in.:
- koszty obsługi incydentu i wsparcia ekspertów informatyki śledczej;
- koszty przywracania danych i systemów;
- wybrane straty wynikające z przerwy w działalności;
- odpowiedzialność cywilną związaną z określonymi naruszeniami bezpieczeństwa danych;
- koszty pomocy prawnej, komunikacji kryzysowej lub obsługi roszczeń.
Zakres ochrony zależy od konkretnej umowy ubezpieczenia, definicji zdarzeń, limitów, udziałów własnych i wyłączeń odpowiedzialności. Nie wszystkie straty ani wszystkie incydenty muszą być objęte ochroną.
Warto również pamiętać, że ubezpieczenie cyber nie zastępuje procedur bezpieczeństwa, planów ciągłości działania, testowania systemów ani obowiązków sprawozdawczych wynikających z przepisów.
Jak przygotować firmę na ryzyko cyfrowe?
Nawet organizacje, które nie podlegają bezpośrednio DORA, powinny świadomie zarządzać ryzykiem technologicznym. Cyberatak może dotknąć każdą firmę, niezależnie od branży i wielkości.
Praktyczne działania, które warto rozważyć, obejmują:
- Identyfikację kluczowych zasobów – ustalenie, które systemy, dane i procesy są niezbędne do prowadzenia działalności.
- Ocenę ryzyka – określenie prawdopodobnych scenariuszy incydentów oraz ich potencjalnych konsekwencji finansowych i operacyjnych.
- Przygotowanie planu reagowania – wskazanie osób odpowiedzialnych, sposobów komunikacji i działań podejmowanych po wykryciu incydentu.
- Weryfikację dostawców – ocenę zależności od zewnętrznych usługodawców i możliwości kontynuowania działalności w przypadku awarii.
- Przegląd ubezpieczenia – sprawdzenie, czy aktualna polisa odpowiada skali działalności, wartości danych i potencjalnym kosztom przestoju.
- Regularne aktualizowanie procedur – dostosowywanie zabezpieczeń do zmieniających się zagrożeń, technologii i wymogów prawnych.
W przypadku podmiotów objętych DORA działania te należy odpowiednio dostosować do konkretnych wymagań rozporządzenia oraz właściwych aktów wykonawczych.
Jak broker ubezpieczeniowy może pomóc?
Rola brokera nie musi ograniczać się do przedstawienia oferty i zawarcia umowy ubezpieczenia. W obszarze ryzyka cybernetycznego istotne jest przede wszystkim zrozumienie specyfiki działalności klienta i możliwych skutków incydentu.
Broker może wesprzeć przedsiębiorstwo w:
- identyfikacji potencjalnych strat związanych z cyberatakiem lub przerwą w działalności;
- analizie dostępnych wariantów ubezpieczenia cyber;
- porównaniu zakresów ochrony, limitów, wyłączeń i warunków zgłaszania szkód;
- ocenie, czy ubezpieczenie uwzględnia najważniejsze ryzyka organizacji;
- przeglądzie programu ubezpieczeniowego w związku ze zmianami technologicznymi i organizacyjnymi.
W przypadku podmiotów objętych DORA szczególne znaczenie ma rozdzielenie dwóch kwestii: realizacji obowiązków regulacyjnych oraz finansowego zabezpieczenia skutków potencjalnych zdarzeń. Broker może wspierać analizę ubezpieczeniową, ale nie zastępuje doradztwa prawnego, audytu zgodności ani specjalistycznej oceny bezpieczeństwa IT.
Podsumowanie: odporność cyfrowa to element bezpieczeństwa biznesu
DORA wyznacza wspólne ramy zwiększania odporności cyfrowej sektora finansowego. Podkreśla znaczenie zarządzania ryzykiem ICT, reagowania na incydenty, testowania zabezpieczeń i kontroli ryzyka związanego z zewnętrznymi dostawcami usług.
Dla przedsiębiorstw jest to również okazja do szerszego spojrzenia na ciągłość działania i finansowe konsekwencje cyberzagrożeń. Skuteczna strategia powinna łączyć rozwiązania techniczne, sprawne procedury, świadome zarządzanie ryzykiem oraz odpowiednio dobraną ochronę ubezpieczeniową.
Dobrze zaprojektowany program ubezpieczeniowy nie eliminuje ryzyka cybernetycznego, ale może stanowić ważny element ochrony finansowej firmy, gdy dojdzie do incydentu.
Warto zatem regularnie weryfikować zarówno poziom zabezpieczeń, jak i zakres ubezpieczenia, aby odpowiadały aktualnym potrzebom organizacji.Źródło: KNF i EIOPA