Zewnętrzny dostawca usług ICT również musi spełniać wymagania DORA

Rozporządzenie DORA nakłada na sektor finansowy oraz na jego zewnętrznych dostawców usług ICT obowiązek spełnienia rygorystycznych wymagań dotyczących zarządzania ryzykiem związanym z ICT oraz zapewnienia operacyjnej odporności cyfrowej.

Dynamiczny rozwój nowych technologii oraz rosnąca liczba cyberzagrożeń sprawiły, że unijne instytucje finansowe stanęły przed ważnym wyzwaniem zapewnienia cyberbezpieczeństwa usług finansowych. Od 17 stycznia 2025 r. obowiązuje rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z 14 grudnia 2022 r. (rozporządzenie DORA), które nakłada na sektor finansowy oraz jego zewnętrznych dostawców usług ICT (Information and Communications Technology) obowiązek spełnienia rygorystycznych wymagań dotyczących zarządzania ryzykiem związanym z ICT oraz zapewnienia operacyjnej odporności cyfrowej. Co to oznacza dla zewnętrznych dostawców usług ICT? W niniejszym artykule wskazujemy najważniejsze zagadnienia dotyczące współpracy zewnętrznych dostawców usług ICT z podmiotami finansowymi w świetle przepisów rozporządzenia DORA.

Kogo dotyczą obowiązki

Bezpośrednimi adresatami wymogów określonych przepisami rozporządzenia DORA są instytucje finansowe, takie jak banki, instytucje płatnicze, towarzystwa funduszy inwestycyjnych czy firmy inwestycyjne, a także kluczowi zewnętrzni dostawcy usług ICT.

Kluczowi zewnętrzni dostawcy usług ICT wyznaczani są przez organ nadzorczy zgodnie z kryteriami określonymi w art. 31 DORA i są to przede wszystkim tacy zewnętrzni dostawcy usług ICT, którzy mogą mieć systemowy...