Komisja Nadzoru Finansowego (KNF) ogłosiła plany uchylenia Komunikatu UKNF dotyczącego przetwarzania przez podmioty nadzorowane informacji w chmurze obliczeniowej publicznej lub hybrydowej. Decyzja ta budzi liczne pytania wśród uczestników rynku finansowego, w tym ubezpieczeniowego. W poniższym artykule wyjaśniamy najważniejsze aspekty tej nadchodzącej i chyba można stwierdzić – nieuniknionej zmiany.
Czym jest Komunikat UKNF i dlaczego jest ważny?
Komunikat UKNF, wydany w styczniu 2020 roku, stanowi dokument określający oczekiwania organu nadzoru wobec podmiotów finansowych przetwarzających dane w chmurze obliczeniowej. Komunikat w przeciwieństwie do sektorowych regulacji na poziomie unijnym obejmuje wszystkie podmioty rynku finansowego. Dokument ten definiuje ramy bezpieczeństwa i zgodności regulacyjnej, jakie powinny spełniać podmioty decydujące się na korzystanie z rozwiązań chmurowych.
Komunikat dotyczy szerokiego zakresu zagadnień, takich jak:
- wymagania dotyczące analizy ryzyk,
- zapewnienie odpowiednich zabezpieczeń technicznych i organizacyjnych,
- obowiązek zgłaszania planowanego korzystania z chmury do KNF,
- sposób postępowania w sytuacjach kryzysowych czy awaryjnych.
Nadal jest to kluczowy dokument pomagający instytucjom finansowym rozumieć, jakie wymagania muszą spełnić, by zgodnie z prawem korzystać z nowoczesnych technologii chmurowych.
Dlaczego KNF planuje uchylić Komunikat?
Mimo że UKNF szerzej nie wypowiedział się jeszcze na ten temat, wskazać można na kilka powodów, które zapewne przyczyniły się do decyzji o uchyleniu Komunikatu:
- Rozwój technologii – w ciągu ostatnich lat znacząco zmieniły się standardy technologiczne oraz sposoby zarządzania ryzykiem w obszarze chmury obliczeniowej.
- Potrzeba harmonizacji regulacji – 17 stycznia 2025 r. wchodzą w życie europejskie przepisy dotyczące cyfrowej odporności sektora finansowego (tzw. DORA – Digital Operational Resilience Act), które wraz z towarzyszącymi aktami wykonawczymi RTS i ITS w znacznej części zastępują krajowe regulacje.
- Dążenie do uproszczenia wymagań – dotychczasowy Komunikat może być postrzegany jako zbyt szczegółowy i skomplikowany, co mogło utrudniać wdrożenie rozwiązań chmurowych.
Kiedy Komunikat zostanie uchylony?
Aby zapewnić spójność regulacji na rynku krajowym i europejskim Komunikat powinien zostać uchylony przed wejściem w życie DORA. Dotychczas jednak KNF nie wskazała żadnej konkretnej daty, co powoduje, że rynek nadal pozostaje w oczekiwaniu na oficjalne decyzje w tym zakresie.
Co oznacza uchylenie Komunikatu dla rynku finansowego?
Uchylenie Komunikatu nie oznacza, że podmioty nadzorowane mogą dowolnie korzystać z chmury obliczeniowej. Wręcz przeciwnie – nadal muszą przestrzegać przepisów dotyczących bezpieczeństwa danych, zarządzania ryzykiem i ochrony prywatności. Kluczowe zmiany to:
- Większa elastyczność: Instytucje finansowe będą miały większą swobodę w projektowaniu swoich systemów IT, o ile zachowają standardy bezpieczeństwa.
- Konieczność adaptacji do DORA: Od momentu wejścia w życie europejskiego rozporządzenia DORA, polskie podmioty finansowe będą musiały dostosować się do jego wymagań. Oczekuje się, że regulacje te wprowadzą bardziej jednolite zasady w całej Unii Europejskiej.
- Przekształcenie procesu zgłaszania: Dotychczasowy obowiązek zgłaszania do KNF zamiaru korzystania z chmury będzie (w przypadku uchylenia Komunikatu) zastąpiony bardziej ogólnymi wymogami raportowania operacyjnego.
Jakie są potencjalne wyzwania?
Uchylenie Komunikatu może wiązać się z pewnymi trudnościami dla instytucji finansowych, w tym:
- Niepewność regulacyjna: Do czasu pełnego wdrożenia przepisów europejskich mogą pojawić się luki interpretacyjne i wątpliwości co do tego w jakim zakresie stosować Komunikat a w jakim DORA.
- Konieczność aktualizacji procedur: Instytucje nadzorowane powinny dokonać przeglądu swoich polityk i procesów zarządzania ryzykiem, a jeśli okaże się to konieczne – dostosować je do nowych standardów.
- Szkolenia pracowników: Działy IT i compliance muszą śledzić zmiany regulacyjne i szybko reagować na nowe wymagania.
Planowane uchylenie Komunikatu UKNF o przetwarzaniu danych w chmurze obliczeniowej to krok w kierunku uproszczenia i harmonizacji regulacji sektora finansowego z normami europejskimi. Dla instytucji finansowych oznacza to zarówno nowe możliwości, jak i konieczność śledzenia zmian prawnych i adaptacji swoich procedur. Ważne jest, aby podmioty nadzorowane już teraz przygotowały się do nadchodzących wyzwań i czerpały korzyści z potencjału technologii chmurowych w bezpieczny i zgodny z prawem sposób, jednocześnie nie tracąc z pola widzenia krajowych regulacji, które nadal będą obowiązywać, np. w zakresie tajemnic zawodowych czy outsourcingu regulowanego.