Urząd Komisji Nadzoru Finansowego opublikował Stanowisko dotyczące stosowania przez podmioty finansowe Rozporządzenia DORA.

Począwszy od 17 stycznia 2025 roku (tj. od dnia, od którego stosuje się rozporządzenie DORA) aktualizują się także zadania Komisji Nadzoru Finansowego jako właściwego w tym zakresie organu nadzoru.

W Stanowisku podkreślono oczekiwanie, że działania dostosowawcze podmiotów finansowych w zakresie wdrożenia wymogów rozporządzenia DORA zostaną zrealizowane najpóźniej do 17 stycznia 2025 roku, niezależnie od braku przepisów krajowych zapewniających stosowanie rozporządzenia (rozporządzenie unijne jest aktem stosowanym w państwach członkowskich bezpośrednio i nie wymaga odrębnej transpozycji do prawa krajowego).

UKNF zwraca uwagę na następujące obowiązki:

1️⃣ Obowiązek posiadania przez podmioty finansowe identyfikatora LEI (ang. Legal Entity Identifier) tj. identyfikatora podmiotu prawnego – złożonego z 20 znaków kodu alfanumerycznego opartego na normie ISO 17442. Jest powiązany z kluczowymi informacjami umożliwiającymi jednoznaczną identyfikację podmiotów prawnych uczestniczących w transakcjach finansowych i innych oficjalnych interakcjach. Identyfikator LEI jest nadawany przez uprawnione do tego licencjonowane jednostki. W Polsce kod LEI można uzyskać za pośrednictwem Krajowego Depozytu Papierów Wartościowych S.A.

2️⃣ Pierwsze obowiązki sprawozdawcze od 17 stycznia 2025 rok. Obowiązki sprawozdawcze powinny być realizowane w postaci elektronicznej z wykorzystaniem kanałów komunikacji, w tym systemów teleinformatycznych i narzędzi teleinformatycznych udostępnionych przez UKNF.

3️⃣ Zgłaszanie poważnych incydentów związanych z ICT oraz znaczących cyberzagrożeń. UKNF podkreśla, że klasyfikacja incydentów związanych z ICT, a w szczególności ocena wystąpienia poważnego incydentu związanego z ICT, powinna następować w oparciu o treść definicji „poważnego incydentu związanego z ICT” oraz zastosowanie kryteriów klasyfikacji i progów istotności sprecyzowanych w ramach regulacyjnych standardów technicznych.

4️⃣ Prowadzenie i przekazanie rejestru informacji dotyczącego umów z zewnętrznymi dostawcami usług ICT. Z decyzji Europejskich Urzędów Nadzoru opublikowanej 15 listopada 2024 r. dotyczącej raportowania informacji niezbędnych do wyznaczania kluczowych zewnętrznych dostawców usług ICT wynika m.in., że właściwe organy krajowe będą zobowiązane pozyskać od podmiotów finansowych rejestry informacji w terminie umożliwiającym przekazanie zebranych danych do Urzędów przed 30 kwietnia 2025 roku. W związku z powyższym KNF planuje zwrócić się do podmiotów finansowych z żądaniem przekazania rejestrów informacji do KNF na początku kwietnia 2025 roku.

Zachęcamy do zapoznania się ze Stanowiskiem na stronie internetowej UKNF 👉🏻 TUTAJ

Autor: Kaja Glińska