Zgodność z przepisami DORA (Digital Operational
Resilience Act)  

Zarządzanie ryzykiem ICT Wytyczanie kursu na oceanie zagrożeń ICT

Firmy finansowe muszą posiadać kompleksowy system zarządzania ryzykiem ICT, który obejmuje:

• Instalowanie i utrzymywanie odpornych systemów i narzędzi ICT, które minimalizują wpływ zagrożeń ICT.
• Identyfikowanie, klasyfikowanie i dokumentowanie funkcji i zasobów o znaczeniu krytycznym.
• Stałe monitorowanie wszystkich źródeł zagrożeń ICT w celu podjęcia zapobiegawczych środków ochrony.
• Zapewnij natychmiastowe wykrycie nietypowych czynności.
• Wdrożenie dostosowanej i kompleksowej polityki ciągłości działania wraz z planami kryzysowymi i naprawczymi, w tym corocznymi testami planów, obejmującymi wszystkie funkcje pomocnicze.
• Ustanowienie mechanizmów rozwoju i uczenia się na podstawie zdarzeń zewnętrznych, a także własnych incydentów ICT firmy.

Zgłaszanie incydentów i udostępnianie informacji Zgłaszanie incydentów związanych z ICT w firmach finansowych

Spółki finansowe są zobowiązane do:

• Opracowanie sprawnego procesu rejestrowania/klasyfikowania wszystkich incydentów ICT i określania poważnych incydentów zgodnie z kryteriami określonymi w rozporządzeniu i szczegółowo określonymi przez europejskie organy nadzoru (EBA, EIOPA, and ESMA).
• Przedłożenie wstępnego, okresowego i końcowego sprawozdania na temat incydentów związanych z ICT.
• Dostosowanie zgłaszania incydentów związanych z ICT za pomocą standardowych szablonów opracowanych przez ESA.

Testowanie odporności operacyjnej w zakresie cyfryzacji Przestrzeganie corocznych protokołów testowania odporności operacyjnej w zakresie cyfryzacji

• Corocznie przeprowadzaj podstawowe testy narzędzi i systemów teleinformatycznych.
• Identyfikowanie, zapobieganie i natychmiastowe eliminowanie wszelkich słabości, braków lub luk we wdrażaniu środków zaradczych.
• Regularnie przeprowadzaj zaawansowane testy penetracyjne (TLPT) dla usług ICT, które mają wpływ na krytyczne funkcje. Zewnętrzni dostawcy usług ICT muszą uczestniczyć w testowaniu i w pełni ze sobą współpracować.

Zarządzanie przez osoby trzecie Poruszanie się po dzikim świecie usług ICT stron trzecich

Przedsiębiorstwa finansowe muszą:

• Zapewnienie kontroli ryzyka związanego z usługami ICT świadczonymi przez dostawców zewnętrznych.
• Zgłaszanie wszystkich działań zleconych na zewnątrz i wszystkich zmian, które zachodzą w odniesieniu do krytycznych usług ICT od stron trzecich; uwzględniają ryzyka informatyczne, które mogą pojawić się przy zatrudnianiu podwykonawców; połączenie istotnych części usług ICT i relacji z dostawcami zewnętrznymi w celu pełnego monitorowania.
• Zapewnienie, że umowa z zewnętrznym dostawcą usług ICT zawiera szczegółowy i pełny poziom usług informacyjnych, gdzie dane są przetwarzane itp.
• Dostawcy usług ICT będący osobami trzecimi o kluczowym znaczeniu dla działalności gospodarczej podlegają tzw. unijnym ramom nadzoru, które mogą wydawać zalecenia mające na celu ograniczenie ryzyka ICT. Firmy finansowe muszą wziąć pod uwagę ryzyko związane z dostawcami zewnętrznymi, którzy nie stosują się do wytycznych.