DORA — nowy standard cyfrowej odporności dla ubezpieczycieli
Rozporządzenie DORA (Digital Operational Resilience Act) wprowadza jednolite ramy cyfrowej odporności operacyjnej dla całego sektora finansowego Unii Europejskiej. Dla firm ubezpieczeniowych oznacza to konieczność systemowego zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi (ICT) — od systemów core insurance i claims management po portale klientów i integracje z brokerami.
DORA wyróżnia się na tle wcześniejszych regulacji kompleksowością: obejmuje pięć wzajemnie powiązanych filarów, które razem tworzą spójny framework odporności cyfrowej. Każdy filar wymaga konkretnych działań, dokumentacji i dowodów wdrożenia. Dla ubezpieczycieli przyzwyczajonych do rekomendacji KNF, DORA oznacza przejście od podejścia opartego na rekomendacjach do podejścia opartego na obowiązku prawnym — z karami sięgającymi 1% średniego dziennego obrotu globalnego za każdy dzień naruszenia.
Filar 1 — ramy zarządzania ryzykiem ICT
DORA wymaga od ubezpieczycieli wdrożenia kompleksowych, udokumentowanych ram zarządzania ryzykiem ICT. Ramy te muszą obejmować identyfikację wszystkich zasobów ICT wspierających funkcje krytyczne i ważne — w sektorze ubezpieczeniowym to systemy polisowe, systemy likwidacji szkód, systemy aktuarialne, platformy dystrybucji, systemy antyfraudowe i portale klientów.
Ocena ryzyka ICT musi uwzględniać scenariusze zagrożeń specyficzne dla ubezpieczeń: masowy wyciek danych klientów polisowych, niedostępność systemu likwidacji szkód w okresie katastrofy naturalnej, manipulacja danymi aktuarialnymi, przejęcie portalu do składania szkód, kompromitacja integracji API z brokerami.
Ramy zarządzania ryzykiem muszą być zatwierdzane przez zarząd firmy ubezpieczeniowej i przeglądane co najmniej raz w roku. DORA wymaga wyznaczenia funkcji odpowiedzialnej za zarządzanie ryzykiem ICT na poziomie zarządczym — co w praktyce oznacza CISO lub osobę pełniącą analogiczną rolę z bezpośrednim raportowaniem do zarządu.
Filar 2 — zarządzanie incydentami ICT
DORA ustanawia zunifikowany proces zarządzania incydentami ICT obejmujący klasyfikację, zgłaszanie i analizę post-mortem. Ubezpieczyciel musi wdrożyć procedury wykrywania, rejestrowania, klasyfikowania i reagowania na incydenty ICT.
Klasyfikacja incydentów odbywa się według kryteriów definiowanych przez DORA: liczba dotkniętych klientów/transakcji, czas trwania niedostępności, geograficzny zasięg wpływu, straty finansowe, krytyczność dotkniętych usług. Poważne incydenty muszą być zgłaszane do KNF w określonych terminach.
Zgłoszenie wstępne musi nastąpić w ciągu 4 godzin od klasyfikacji incydentu jako poważnego (lub w ciągu 24 godzin od wykrycia). Zgłoszenie pośrednie — w ciągu 72 godzin. Raport końcowy — w ciągu miesiąca. Te terminy wymagają automatyzacji procesów detekcji i eskalacji — ręczne procedury nie sprostają wymaganiom.
Dla firm ubezpieczeniowych szczególnie istotne jest przygotowanie scenariuszy incydentów uwzględniających specyfikę branży: co jeśli system likwidacji szkód zostanie zaszyfrowany ransomware w dniu po katastrofalnej burzy gradowej? Co jeśli wyciekną dane medyczne z polis zdrowotnych?
Filar 3 — testowanie odporności cyfrowej
DORA wymaga regularnego testowania odporności cyfrowej na wielu poziomach. Program testowania musi obejmować testy podatności (skanowanie podatności, ocena konfiguracji) co najmniej raz w roku, testy scenariuszowe (symulacje incydentów, testy failover) co najmniej raz w roku, testy penetracyjne systemów krytycznych, testy ciągłości działania i odtwarzania po awarii oraz testy wydajności i obciążeniowe.
Podmioty uznane przez organ nadzorczy za istotne (duże zakłady ubezpieczeń) muszą dodatkowo przeprowadzać zaawansowane testy TLPT (Threat-Led Penetration Testing) co trzy lata. TLPT to zaawansowana forma testów penetracyjnych oparta na realnych scenariuszach zagrożeń, obejmująca fazę wywiadowczą (threat intelligence), fazę ataku (red team) i fazę oceny (purple team).
Program testowania musi być zatwierdzony przez zarząd i obejmować wszystkie systemy ICT wspierające krytyczne funkcje biznesowe. Wyniki testów muszą być dokumentowane, a zidentyfikowane podatności — naprawiane w ustalonych terminach.
Filar 4 — zarządzanie ryzykiem dostawców ICT
Ubezpieczyciele korzystają z wielu zewnętrznych dostawców ICT: platformy chmurowe, dostawcy core insurance systemów, integratorzy, dostawcy danych, platformy analityczne. DORA wymaga kompleksowego zarządzania ryzykiem związanym z tymi dostawcami.
Rejestr dostawców ICT musi zawierać pełną listę umów o świadczenie usług ICT, z identyfikacją dostawców wspierających krytyczne i ważne funkcje. Dla każdego takiego dostawcy ubezpieczyciel musi przeprowadzić ocenę ryzyka, uwzględniającą koncentrację (czy wiele krytycznych funkcji zależy od jednego dostawcy), zastępowalność (czy dostawcę można zastąpić w przypadku awarii lub naruszenia), lokalizację danych i przetwarzania, historię incydentów bezpieczeństwa dostawcy.
Umowy z dostawcami ICT muszą zawierać wymagane przez DORA klauzule: prawo do audytu, SLA na bezpieczeństwo, obowiązek raportowania incydentów, warunki exit (w tym pomoc w migracji), gwarancje lokalizacji danych.
DORA wprowadza również nadzór regulacyjny nad krytycznymi dostawcami ICT trzeciego stopnia (np. dużymi dostawcami chmury) — co jest bezprecedensowym mechanizmem dającym organom nadzoru bezpośredni wgląd w bezpieczeństwo dostawców.
Filar 5 — wymiana informacji o zagrożeniach
DORA zachęca (ale nie wymaga) firmy ubezpieczeniowe do udziału w mechanizmach wymiany informacji o cyberzagrożeniach. Udział w sektorowych grupach wymiany informacji (ISAC — Information Sharing and Analysis Centers) pozwala na wczesne ostrzeganie o nowych zagrożeniach, dzielenie się wskaźnikami naruszenia (IOC), koordynację reakcji na incydenty ogólnosektorowe.
Dla ubezpieczycieli wymiana informacji ma dodatkowy wymiar: dane o cyberatakach na ubezpieczonych mogą informować modele aktuarialne i pricing produktów cyber-ubezpieczeniowych. Zrozumienie realnego krajobrazu zagrożeń pozwala lepiej wyceniać ryzyko i projektować produkty ubezpieczeniowe.
Plan wdrożenia DORA — od audytu do ciągłej zgodności
Faza 1 — Gap Analysis (miesiące 1-2): porównanie obecnych praktyk z wymogami DORA w pięciu filarach, identyfikacja luk w zarządzaniu ryzykiem ICT, ocena programu testowania, przegląd umów z dostawcami ICT. Audyt bezpieczeństwa i audyt gotowości DORA zapewniają obiektywną ocenę.
Faza 2 — Planowanie (miesiąc 3): opracowanie roadmapy z priorytetyzacją, budżetowanie, alokacja zasobów, zdefiniowanie KPI zgodności.
Faza 3 — Wdrożenie (miesiące 4-9): aktualizacja ram zarządzania ryzykiem ICT, wdrożenie procesu zarządzania incydentami, uruchomienie programu testowania, aktualizacja umów z dostawcami, szkolenia zarządu i personelu.
Faza 4 — Ciągła zgodność (ongoing): regularne testy i audyty, monitoring dostawców, aktualizacja ocen ryzyka, ciągły monitoring SOC, raportowanie do zarządu i KNF.
nFlo wspiera firmy ubezpieczeniowe we wdrożeniu DORA — od gap analysis przez testy penetracyjne i TLPT po ciągły monitoring. Nasze doświadczenie w sektorze finansowym pozwala na pragmatyczne, efektywne kosztowo podejście do zgodności regulacyjnej.
Tematy powiązane
Zobacz również:
