Użycie wspomnianych terminów ma istotny wpływ na zakres definicji pojęcia „incydent związany z ICT” oraz „poważny incydent związany z ICT”, a co za tym idzie na zakres obowiązków wynikających z Rozporządzenia DORA, w których pojęcia te są wykorzystywane.

W kontekście definicji incydentu związanego z ICT można wskazać na to, że użycie w nim terminu „bezpieczeństwo sieci i systemów informatycznych” ma kluczowe znaczenie dla zakresu omawianej definicji. W ramach definicji pojęcia bezpieczeństwa sieci i systemów informatycznych odwołano się bowiem do wszelkich zdarzeń, które mogą naruszyć dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych lub usług oferowanych przez te sieci i systemy informatyczne lub dostępnych za ich pośrednictwem. W związku z użyciem tak szerokiego terminu (wszelkie zdarzenia) można argumentować, że przyczyną incydentów związanych z ICT mogą być nie tylko cyberataki, ale również np. awarie. Wniosek taki potwierdza wprowadzenie w Rozporządzeniu DORA pojęcia „cyberatak”, o węższym zakresie niż „incydent związany z ICT”¹⁰, jak również treść motywu 79 dyrektywy NIS2. Wskazano w nim, że „ponieważ zagrożenia bezpieczeństwa sieci i systemów informatycznych mogą mieć różne źródła, środki zarządzania ryzykiem w cyberbezpieczeństwie powinny opierać się na podejściu uwzględniającym wszystkie zagrożenia, mającym na celu ochronę sieci i systemów informatycznych oraz środowiska fizycznego tych systemów przed zdarzeniami takimi jak kradzież, pożar, powódź, awaria telekomunikacyjna bądź awaria zasilania lub nieuprawniony dostęp fizyczny do infrastruktury związanej z informacjami i przetwarzaniem informacji (…)”.

W definicji „poważnego incydentu związanego z ICT” wykorzystano pojęcie „incydent związany z ICT”. Dlatego kwestia omówiona w poprzednim akapicie będzie miała znaczenie również dla poważnych incydentów związanych z ICT. Jednocześnie, zakres pojęcia „poważny incydent związany z ICT” został zawężony w Rozporządzeniu DORA w stosunku do pojęcia „incydent związany z ICT” przez wskazanie na dalej idące skutki jego wystąpienia. Poważnym incydentem związanym z ICT jest więc w świetle Rozporządzenia DORA taki incydent związany z ICT, który ma duży negatywny wpływ na sieci i systemy informatyczne, które wspierają krytyczne lub istotne funkcje podmiotu finansowego. Z jednej więc strony negatywny wpływ poważnego incydentu związanego z ICT na sieci i systemy informatyczne powinien być „duży” (takiej ocenie służyć będą kryteria klasyfikacji, o czym będzie mowa w kolejnej części opracowania). Z drugiej zaś strony poważny incydent związany z ICT powinien mieć wpływ na takie sieci i systemy informatyczne, które wspierają krytyczne lub istotne funkcje podmiotu finansowego (w zakresie ustalania, co należy rozumieć pod pojęciem krytycznych lub istotnych funkcji podmiotu finansowego, duże znaczenie będzie miała przywołana definicja krytycznych lub istotnych funkcji). 

Dodatkowo, w Rozporządzeniu DORA zdefiniowano pojęcia istotne z perspektywy przepisów odwołujących się do cyberzagrożeń. Zgodnie z art. 3 pkt 12 Rozporządzenia DORA, przez cyberzagrożenie należy rozumieć „cyberzagrożenie zdefiniowane w art. 2 pkt 8 rozporządzenia (UE) 2019/881”. Uwzględniając odesłanie¹¹, obejmuje to „wszelkie potencjalne okoliczności, zdarzenie lub działanie, które mogą wyrządzić szkodę, spowodować zakłócenia lub w inny sposób niekorzystnie wpłynąć w przypadku sieci i systemów informatycznych, użytkowników takich systemów oraz innych osób”. Zgodnie zaś z art. 2 pkt 13 Rozporządzenia DORA, przez znaczące cyberzagrożenie należy rozumieć „cyberzagrożenie, którego charakterystyka techniczna wskazuje, że potencjalnie może spowodować poważny incydent związany z ICT lub poważny incydent operacyjny lub poważny incydent w zakresie bezpieczeństwa związany z płatnościami”. 

W świetle przywołanych definicji podkreślić można przede wszystkim potencjalny charakter zjawisk, które mogą być cyberzagrożeniem, jak i ich szerokie ujęcie (wszelkie potencjalne okoliczności, zdarzenie lub działanie). Ważne jest także to, że definicja znaczącego cyberzagrożenia odwołuje się do zdefiniowanego terminu „cyberzagrożenie”, zaś jego znaczący charakter definiowany jest z perspektywy potencjalnych skutków, tj. możliwości spowodowania przez dane cyberzagrożenie poważnego incydentu związanego z ICT lub poważnego incydentu operacyjnego lub poważnego incydentu w zakresie bezpieczeństwa związanego z płatnościami. Podkreśla to powiązanie definicji znaczącego cyberzagrożenia z poważnymi incydentami. 

Przegląd obowiązków Rozporządzenia DORA w obszarze zarządzania incydentami związanymi z ICT

W ramach obowiązków w zakresie incydentów związanych z ICT na podmioty finansowe nałożono obowiązek określania, ustanawiania i wdrażania procesu zarządzania incydentami związanymi z ICT w celu wykrywania incydentów związanych z ICT, zarządzania nimi i ich zgłaszania¹². 

Dodatkowo, zgodnie z art. 17 ust. 2 Rozporządzenia DORA, na podmiotach finansowych ciąży obowiązek rejestrowania wszystkich incydentów związanych z ICT. Przepis ten przewiduje także obowiązek podmiotów finansowych dotyczący ustanowienia odpowiednich procedur i procesów, które mają zapewnić spójne i zintegrowane monitorowanie incydentów związanych z ICT oraz obsługę takich incydentów, a także działania następcze w związku z takimi incydentami, aby zapewnić zidentyfikowanie, udokumentowanie i wyeliminowanie podstawowych przyczyn. Ma to zapobiec występowaniu takich incydentów. 

Rozporządzenie DORA wskazuje na niezbędne elementy procesu zarządzania incydentami związanymi z ICT¹³ i są nimi:

a) wprowadzenie wskaźników wczesnego ostrzegania; 

b) ustanowienie procedur identyfikowania, śledzenia, rejestrowania, kategoryzowania i klasyfikowania incydentów związanych z ICT według ich priorytetu i dotkliwości oraz krytyczności usług, na które incydenty te mają wpływ, zgodnie z kryteriami określonymi w art. 18 ust. 1 Rozporządzenia DORA;

c) przydzielenie ról i obowiązków, które należy wprowadzić w przypadku różnych rodzajów incydentów związanych z ICT i odnośnych scenariuszy; 

d) określenie planów działań informacyjnych skierowanych do pracowników, interesariuszy zewnętrznych i mediów zgodnie z art. 14 Rozporządzenia DORA oraz planów powiadamiania klientów, planów dotyczących wewnętrznych procedur eskalacji, w tym skarg klientów związanych z ICT, jak również, w stosownych przypadkach, dostarczania informacji podmiotom finansowym działającym jako kontrahenci;

e) zapewnienie zgłaszania co najmniej poważnych incydentów związanych z ICT właściwej kadrze kierowniczej wyższego szczebla oraz informowanie organu zarządzającego co najmniej o poważnych incydentach związanych z ICT wraz z wyjaśnieniem wpływu, reakcji i dodatkowych kontroli, które należy ustanowić w wyniku takich incydentów związanych z ICT; 

f) ustanowienie procedur reagowania na incydenty związane z ICT w celu złagodzenia wpływu i zapewnienia przywrócenia operacyjności i bezpieczeństwa usług w rozsądnym terminie.