Polska przyjęła ustawę dającą KNF kompetencje w zakresie kontroli zgodności instytucji finansowych z DORA (Digital Operational Resilience Act).

Unijne rozporządzenie weszło w życie w styczniu 2025 roku. Ma na celu zapewnienie, aby banki, ubezpieczyciele, firmy inwestycyjne oraz inne instytucje finansowe są w stanie skutecznie reagować na zakłócenia związane z wykorzystaniem technologii informacyjnych i komunikacyjnych.

Nowe przepisy krajowe wyznaczają organy kontroli i ustalają sankcje, jakie mogą być nakładane przez polskiego regulatora – informuje kancelaria prawna DLA Piper.

Kontrole – co wolno KNF

W przypadku wystąpienia poważnego incydentu w środowisku cyfrowym, instytucje finansowe są zobowiązane do przekazania KNF wstępnego zawiadomienia, a następnie szczegółowego raportu. Natomiast KNF niezwłocznie przekazuje te dokumenty do odpowiedniego krajowego zespołu reagowania na incydenty bezpieczeństwa komputerowego (CSIRT).

Podczas kontroli pracownicy KNF będą mieli prawo wejść na teren sprawdzanej firmy, zażądać wyjaśnień, wglądu do dokumentów i danych związanych z kontrolą.

Po jej zakończeniu KNF przygotuje protokół w ciągu 30 dni roboczych. Zanim dokument zostanie podpisany, sprawdzany podmiot ma 14 dni na zgłoszenie uwag.

„Instytucje finansowe powinny przygotować odpowiednie procedury wewnętrzne na wypadek kontroli. Powinny również szczegółowo monitorować jej przebieg i zakres informacji żądanych przez pracowników KNF, tak aby móc zgłosić ewentualne zastrzeżenia” – radzi Karol Kuterek, associate w zespole IPT DLA Piper w Polsce.

Jakie grożą kary za naruszenie DORA

W przypadku wykrycia naruszenia KNF może nakazać zaprzestanie działań niezgodnych z DORA, czasowo zakazać osobom zarządzającym daną instytucją pełnienia funkcji kierowniczych oraz nałożyć wysokie kary finansowe – nawet do ponad 20 mln zł lub 10 proc. rocznego przychodu.

Według oceny skutków regulacji w kraju DORA dotyczy ok. 560 podmiotów z branży finansowej. Globalne badanie Veeam wskazuje, że 94 proc. firm z sektora jest świadomych, jakie kroki trzeba podjąć w związku z nowymi przepisami. Jednak wiele z nich zmaga się z wyzwaniami związanymi z wdrażaniem odpowiednich rozwiązań, takimi jak presja na zespoły IT oraz koszty.