Jak ISO 27001 pomaga spełnić wymagania rozporządzenia DORA

JAK NORMA ISO/IEC 27001 MOŻE POMÓC SPEŁNIĆ WYMAGANIA ROZPORZĄDZENIA DORA w sprawie operacyjnej odporności cyfrowej sektora finansowego?

Co wiemy o DORA: Rozporządzeniu o cyfrowej odporności operacyjnej?

DORA wkracza na pole regulacji dotyczących odporności operacyjnej.

 

Kilka lat temu Bank Anglii (BoE) był jednym z niewielu organów regulacyjnych wprowadzających standardy odporności operacyjnej w sektorze usług finansowych. Teraz sytuacja się zmieniła.

 

Od tego czasu, organy nadzoru finansowego w Australii (APRA) oraz w Stanach Zjednoczonych (the Federal Reserve) również wprowadziły regulacje mające na celu zapewnienie podstawowej odporności operacyjnej dla firm podlegających nadzorowi.

 

Tymczasem 16 stycznia 2023 roku na światło dzienne wyszło najważniejsze z nich wszystkich rozporządzenie: Rozporządzenie o Cyfrowej Odporności Operacyjnej (DORA).

 

O co więc chodzi z DORA?

Wiążące rozporządzenie UE dotyczące cyfrowej odporności operacyjnej w sektorze finansowym DORA ma na celu przeciwdziałanie potencjalnym zagrożeniom wynikającym z zależności sektora od zewnętrznych dostawców ICT.

 

Dyrektywa DORA wymaga przestrzegania zasad dotyczących ochrony, wykrywania, ograniczania, odzyskiwania i naprawy incydentów związanych z ICT.

 

Zasady te koncentrują się na wprowadzeniu ram nadzoru dla krytycznych zewnętrznych dostawców, w całym sektorze finansowym, co ma zapewnić, aby wszyscy uczestnicy podlegali wspólnemu zestawowi standardów w celu złagodzenia ryzyka związanego z ICT w ich działalności.

 

Sektory objęte programem DORA - Kto zostanie uwzględniony?

Po pełnym wejściu w życie DORA obejmie szeroki zakres instytucji finansowych, w tym następujące:

 

  • Instytucje kredytowe
  • Instytucje płatnicze
  • Instytucje pieniądza elektronicznego
  • Firmy inwestycyjne
  • Dostawcy usług w zakresie kryptoaktywów
  • Centralne depozyty papierów wartościowych
  • Zarządzający alternatywnymi funduszami inwestycyjnymi
  • Spółki zarządzające UCITS
  • Administratorzy kluczowych wskaźników referencyjnych
  • Dostawcy usług finansowania społecznościowego
  • Zewnętrzni dostawcy usług ICT

 

I to nie tylko w UE. DORA prawdopodobnie będzie miała zastosowanie również do podmiotów spoza UE, jeśli dostawcy usług nieposiadający siedziby w UE zostaną sklasyfikowani jako krytyczni.

 

Główne założenia rozporządzenia DORA - Co wchodzi w skład DORA?

Jak wspomniano powyżej, DORA odnosi się do kwestii zarządzania ryzykiem i incydentami ICT. Rozporządzenie określa zasady zarządzania ryzykiem teleinformatycznym, zgłaszania incydentów, testowania odporności operacyjnej i monitorowania ryzyka teleinformatycznego stron trzecich, które pokrótce omówimy w tym artykule.

 

Zarządzanie ryzykiem związanym z ICT. DORA zobowiązuje podmioty finansowe do osiągnięcia wysokiego poziomu cyfrowej odporności operacyjnej, wprowadzenia wewnętrznych ram zarządzania i kontroli w celu zapewnienia skutecznego zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi. Ramy te będą nadzorowane przez organ zarządzający podmiotu finansowego, który musi określić, zatwierdzić i odpowiadać za wdrożenie wszystkich ustaleń związanych z ramami zarządzania ryzykiem ICT.

 

Zgłaszanie incydentów związanych z ICT. Celem DORA jest ograniczenie ryzyka związanego z ICT. Ale co w sytuacji, gdy incydenty ICT i tak się pojawią? Tutaj DORA określa konkretne wymogi dotyczące zgłaszania incydentów. Istotą tych wymogów jest potwierdzenie, że podmioty ustanowiły odpowiednie procedury i procesy w celu zapewnienia spójnego i zintegrowanego monitorowania, obsługi i działań podejmowanych w następstwie incydentów związanych z ICT. Podmioty muszą również być w stanie zapewnić, że przyczyny źródłowe są identyfikowane, dokumentowane i eliminowane, aby zapobiec ponownemu wystąpieniu takich incydentów.

 

Testowanie operacyjnej odporności cyfrowej. Wszystkie procesy zgłaszania incydentów ICT muszą zostać przetestowane, aby upewnić się, że wytrzymają podczas wystąpienia prawdziwego incydentu. Wymogi dotyczące testowania obejmują obowiązek ustanowienia, utrzymania i przeglądu programu testowania cyfrowej odporności operacyjnej jako integralnej części ram zarządzania ryzykiem ICT. Działania te pozwolą na ocenę gotowości firmy do postępowania z incydentami związanymi z ICT, identyfikacji słabości, niedociągnięć i luk w cyfrowej odporności operacyjnej oraz szybkiego wdrożenia środków naprawczych.

 

Wymogi dotyczące zarządzania ryzykiem stron trzecich. Głównym powodem wprowadzenia DORA  jest rosnące ryzyko związane z działaniem podmiotów trzecich ICT, które oferują kluczowe usługi na rzecz firm świadczących usługi finansowe. W związku z tym, Rozporządzenie nakłada na podmioty obowiązek zarządzania ryzykiem ICT ze strony osób trzecich w szerszym ujęciu - jako integralnym elementem ryzyka ICT, a także w ramach zarządzania ryzykiem teleinformatycznym jednostki. Ramy te powinny być jednak regulowane zgodnie z zasadami proporcjonalności. Oznacza to uwzględnienie specyfiki, skali, złożoności i znaczenia powiązań z ICT, a także ryzyka wynikającego z ustaleń umownych dotyczących korzystania z usług ICT zawartych z zewnętrznymi dostawcami usług ICT.

 

Rozporządzenie DORA wreszcie nadeszło, a jego przestrzeganie będzie konieczne od czasu jego pełnego wejścia w życie czyli od 17 stycznia 2025 roku.

 

Jak system ISO 27001 może pomóc spełnić wymagania DORA?

Normy takie jak ISO/IEC  27001 mogą odegrać kluczową rolę we wspieraniu organizacji w osiąganiu zgodności z rozporządzeniem DORA (Digital Operational Resilience Act).

 

ISO/IEC 27001 obejmuje różne obszary istotne dla zgodności z DORA, w tym ocenę ryzyka, reakcję na incydenty, ciągłość działania i odporność operacyjną. Organizacje, które uzyskały już certyfikat ISO/IEC 27001 lub wdrożyły wymagania ISO/IEC 27001, będą miały solidne podstawy, aby spełnić wiele aspektów bezpieczeństwa i odporności wymaganych przez DORA.

 

Co więcej, nacisk ISO/IEC 27001 na podejście oparte na ryzyku i ciągłe doskonalenie jest zgodny z duchem DORA, ponieważ ISO/IEC 27001 promuje proaktywne zarządzanie ryzykiem i ciągłe zwiększanie odporności operacyjnej.

 

Wdrożenie ISO/IEC 27001 może pomóc organizacjom zidentyfikować i wyeliminować potencjalne luki w zabezpieczeniach, wzmocnić swój poziom bezpieczeństwa oraz ustanowić niezbędne procesy i zabezpieczenia w celu spełnienia wymagań DORA.

 

Ponieważ zgodnie z art. 5 ust. 4 [DORA] organizacje są zobowiązane do wprowadzenia systemu zarządzania bezpieczeństwem informacji (SZBI), przestrzeganie norm takich jak ISO/IEC 27001 staje się naturalnym wyborem dla większości z nich. Normy te zapewniają strukturę umożliwiającą skuteczne zabezpieczenie informacji oraz umożliwiają organizacjom udokumentowanie przed organem regulacyjnym, że skutecznie wdrożyły SZBI.

 

Dzięki wdrożeniu ISO/IEC 27001 organizacje mają możliwość usprawnienia swoich działań dotyczących zgodności oraz wykazania proaktywnego zaangażowania w kwestie bezpieczeństwa informacji i odporności operacyjnej. To istotny element w kontekście dążenia do zgodności z wymogami DORA.

 

Jeśli są Państwo zainteresowani uzyskaniem bardziej szczegółowych informacji na temat ISO/IEC 27001 lub procesu certyfikacji, serdecznie zachęcamy do kontaktu z nami. Nasz zespół specjalistów jest gotów udzielić szczegółowych informacji i odpowiedzieć na wszelkie pytania dotyczące tych kwestii. Jesteśmy dostępni, aby służyć pomocą i wspierać Państwa organizację w osiągnięciu najwyższych standardów bezpieczeństwa informacji.

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.