Planowane uchylenie Komunikatu UKNF o przetwarzaniu danych w chmurze obliczeniowej

Komisja Nadzoru Finansowego (KNF) ogłosiła plany uchylenia Komunikatu UKNF dotyczącego przetwarzania przez podmioty nadzorowane informacji w chmurze obliczeniowej publicznej lub hybrydowej. Decyzja ta budzi liczne pytania wśród uczestników rynku finansowego, w tym ubezpieczeniowego. W poniższym artykule wyjaśniamy najważniejsze aspekty tej nadchodzącej i chyba można stwierdzić – nieuniknionej zmiany.

Czym jest Komunikat UKNF i dlaczego jest ważny?

Komunikat UKNF, wydany w styczniu 2020 roku, stanowi dokument określający oczekiwania organu nadzoru wobec podmiotów finansowych przetwarzających dane w chmurze obliczeniowej. Komunikat w przeciwieństwie do sektorowych regulacji na poziomie unijnym obejmuje wszystkie podmioty rynku finansowego. Dokument ten definiuje ramy bezpieczeństwa i zgodności regulacyjnej, jakie powinny spełniać podmioty decydujące się na korzystanie z rozwiązań chmurowych.

Komunikat dotyczy szerokiego zakresu zagadnień, takich jak:

  • wymagania dotyczące analizy ryzyk,
  • zapewnienie odpowiednich zabezpieczeń technicznych i organizacyjnych,
  • obowiązek zgłaszania planowanego korzystania z chmury do KNF,
  • sposób postępowania w sytuacjach kryzysowych czy awaryjnych.

 

Nadal jest to kluczowy dokument pomagający instytucjom finansowym rozumieć, jakie wymagania muszą spełnić, by zgodnie z prawem korzystać z nowoczesnych technologii chmurowych.

Dlaczego KNF planuje uchylić Komunikat?

Mimo że UKNF szerzej nie wypowiedział się jeszcze na ten temat, wskazać można na kilka powodów, które zapewne przyczyniły się do decyzji o uchyleniu Komunikatu:

  1. Rozwój technologii – w ciągu ostatnich lat znacząco zmieniły się standardy technologiczne oraz sposoby zarządzania ryzykiem w obszarze chmury obliczeniowej.
  2. Potrzeba harmonizacji regulacji – 17 stycznia 2025 r. wchodzą w życie europejskie przepisy dotyczące cyfrowej odporności sektora finansowego (tzw. DORA – Digital Operational Resilience Act), które wraz z towarzyszącymi aktami wykonawczymi RTS i ITS w znacznej części zastępują krajowe regulacje.
  3. Dążenie do uproszczenia wymagań – dotychczasowy Komunikat może być postrzegany jako zbyt szczegółowy i skomplikowany, co mogło utrudniać wdrożenie rozwiązań chmurowych.

Kiedy Komunikat zostanie uchylony?

Aby zapewnić spójność regulacji na rynku krajowym i europejskim Komunikat powinien zostać uchylony przed wejściem w życie DORA. Dotychczas jednak KNF nie wskazała żadnej konkretnej daty, co powoduje, że rynek nadal pozostaje w oczekiwaniu na oficjalne decyzje w tym zakresie.

Co oznacza uchylenie Komunikatu dla rynku finansowego?

Uchylenie Komunikatu nie oznacza, że podmioty nadzorowane mogą dowolnie korzystać z chmury obliczeniowej. Wręcz przeciwnie – nadal muszą przestrzegać przepisów dotyczących bezpieczeństwa danych, zarządzania ryzykiem i ochrony prywatności. Kluczowe zmiany to:

  1. Większa elastyczność: Instytucje finansowe będą miały większą swobodę w projektowaniu swoich systemów IT, o ile zachowają standardy bezpieczeństwa.
  2. Konieczność adaptacji do DORA: Od momentu wejścia w życie europejskiego rozporządzenia DORA, polskie podmioty finansowe będą musiały dostosować się do jego wymagań. Oczekuje się, że regulacje te wprowadzą bardziej jednolite zasady w całej Unii Europejskiej.
  3. Przekształcenie procesu zgłaszania: Dotychczasowy obowiązek zgłaszania do KNF zamiaru korzystania z chmury będzie (w przypadku uchylenia Komunikatu) zastąpiony bardziej ogólnymi wymogami raportowania operacyjnego.

Jakie są potencjalne wyzwania?

Uchylenie Komunikatu może wiązać się z pewnymi trudnościami dla instytucji finansowych, w tym:

  • Niepewność regulacyjna: Do czasu pełnego wdrożenia przepisów europejskich mogą pojawić się luki interpretacyjne i wątpliwości co do tego w jakim zakresie stosować Komunikat a w jakim DORA.
  • Konieczność aktualizacji procedur: Instytucje nadzorowane powinny dokonać przeglądu swoich polityk i procesów zarządzania ryzykiem, a jeśli okaże się to konieczne – dostosować je do nowych standardów.
  • Szkolenia pracowników: Działy IT i compliance muszą śledzić zmiany regulacyjne i szybko reagować na nowe wymagania.

 

 

Planowane uchylenie Komunikatu UKNF o przetwarzaniu danych w chmurze obliczeniowej to krok w kierunku uproszczenia i harmonizacji regulacji sektora finansowego z normami europejskimi. Dla instytucji finansowych oznacza to zarówno nowe możliwości, jak i konieczność śledzenia zmian prawnych i adaptacji swoich procedur. Ważne jest, aby podmioty nadzorowane już teraz przygotowały się do nadchodzących wyzwań i czerpały korzyści z potencjału technologii chmurowych w bezpieczny i zgodny z prawem sposób, jednocześnie nie tracąc z pola widzenia krajowych regulacji, które nadal będą obowiązywać, np. w zakresie tajemnic zawodowych czy outsourcingu regulowanego.