Dwa reżimy regulacyjne
Sektor finansowy w Polsce podlega jednocześnie dwóm ramom regulacyjnym w zakresie cyberbezpieczeństwa: rozporządzeniu DORA (Digital Operational Resilience Act, rozporządzenie 2022/2554) oraz znowelizowanej ustawie o krajowym systemie cyberbezpieczeństwa. DORA obowiązuje bezpośrednio jako rozporządzenie UE od 17 stycznia 2025 roku, natomiast ustawa o KSC transponuje dyrektywę NIS 2. Porównanie KSC z innymi regulacjami znajdziesz także w artykule o różnicach między KSC a RODO.
Wyłączenia dla podmiotów DORA
Podmioty finansowe podlegające rozporządzeniu DORA są wyłączone z części obowiązków ustawy o KSC, aby uniknąć podwójnej regulacji tych samych obszarów. Zakres wyłączeń zależy m.in. od tego, czy podmiot jest klasyfikowany jako podmiot kluczowy czy ważny. Wyłączenia dotyczą przede wszystkim zarządzania ryzykiem ICT i zgłaszania incydentów — obszarów kompleksowo uregulowanych w DORA.
| Obowiązek KSC | Status dla podmiotów DORA |
|---|---|
| Wdrożenie SZBI (art. 8) | Częściowo wyłączony — większość art. 8 zastąpiona ramami DORA, ale art. 8 ust. 1 pkt 1 (szacowanie ryzyka) i pkt 2 lit. j (cyberhigiena) nadal obowiązują (art. 8i ust. 1) |
| Zgłaszanie incydentów poważnych | Wyłączony — zgłaszanie wg DORA do KNF |
| Audyt bezpieczeństwa co 3 lata | Wyłączony — testy odporności operacyjnej wg DORA |
| Odpowiedzialność kierownika i szkolenia (art. 8c-8f) | Stosowane odpowiednio (art. 8i ust. 2) — szkolenie kierownika NIE jest wyłączone |
Obowiązki pozostające w mocy
Mimo wyłączeń, podmioty finansowe podlegające DORA nadal muszą spełniać szereg obowiązków wynikających z ustawy o KSC. Wyłączenia nie obejmują rejestracji w wykazie, współpracy z CSIRT ani obowiązków związanych z dostawcą wysokiego ryzyka.
- Rejestracja w wykazie podmiotów kluczowych lub ważnych przez system S46
- Współpraca z właściwym CSIRT sektorowym
- Stosowanie się do polecenia zabezpieczającego Ministra Cyfryzacji
- Obowiązki wynikające z decyzji o dostawcy wysokiego ryzyka
- Udział w krajowym mechanizmie wymiany informacji o cyberzagrożeniach
- Poddanie się nadzorowi organu właściwego w zakresie niepokrytym przez DORA
Praktyczne wskazówki
Dla podmiotów finansowych kluczowe jest przeprowadzenie analizy luk (gap analysis) pomiędzy wymaganiami DORA a obowiązkami KSC, aby zidentyfikować obszary, w których muszą spełnić dodatkowe wymagania. Podmioty z sektora energetycznego i innych sektorów mają inne profile obowiązków. Warto wyznaczyć jedną osobę lub zespół odpowiedzialny za koordynację zgodności z oboma regulacjami.
- Przeprowadź analizę luk: porównaj wymagania DORA z obowiązkami KSC.
- Zarejestruj podmiot w wykazie KSC przez system S46 — ten obowiązek nie jest wyłączony.
- Zidentyfikuj właściwy CSIRT sektorowy i nawiąż kontakt.
- Uwzględnij w polityce zarządzania dostawcami ICT wymogi KSC dot. dostawcy wysokiego ryzyka.
- Przygotuj procedurę reagowania na polecenie zabezpieczające Ministra Cyfryzacji.
- Koordynuj raportowanie — incydenty ICT do KNF (DORA), inne obowiązki do organu właściwego KSC.