Ryzyko ICT związane z dostawcami w DORA: przewodnik dla zarządu

1. Zacznij od usługi, którą firma musi nadal świadczyć

Raport zakupowy zwykle zaczyna się od dostawców, rocznych wydatków i terminów odnowienia umów. Użyteczna dyskusja o DORA na posiedzeniu zarządu zaczyna się od rezultatu dla klienta: wypłaty odszkodowania, realizacji płatności, zachowania historii inwestycji lub dostępu do rachunku. Następnie ustala się, jakie systemy, usługi zewnętrzne i osoby są potrzebne do osiągnięcia tego rezultatu.

Zamiast pytać „Czy oceniliśmy dostawcę chmury?”, zapytaj: „Co stanie się z usługą, jeśli platforma zarządzania tożsamością, region chmurowy lub dostawca wsparcia będą niedostępni?”. Drugie pytanie ujawnia zależności niewidoczne w zwykłej ocenie dostawcy. Awaria taniej usługi uwierzytelniania może zatrzymać więcej działań niż awaria oprogramowania objętego dużą umową.

Punktem wyjścia jest zasada, że korzystanie z usług ICT nie przenosi zobowiązań podmiotu finansowego na dostawcę. DORA ujmuje ryzyko ze strony podmiotów trzecich ICT w ramach zarządzania ryzykiem tej jednostki. Zobacz artykuł 28 rozporządzenia (UE) 2022/2554. Interpretacje i metody pracy w tym przewodniku to praktyczne sugestie; nie są wyczerpującym zestawieniem wszystkich wymagań dla każdego typu podmiotu.

Przygotowując materiał dla zarządu, poproś odpowiedzialnego menedżera o wskazanie usługi, osoby odpowiedzialnej wewnątrz organizacji, tolerowanego czasu przerwy, obecnego narażenia na ryzyko i potrzebnej decyzji. Szczegóły techniczne umieść w załącznikach. Członkowie zarządu potrzebują informacji pozwalających sprawdzić założenia, bez przejmowania zadań zespołu reagowania na incydenty czy negocjowania każdej klauzuli.

2. Nie myl funkcji krytycznej z wyznaczonym dostawcą krytycznym

Te dwie oceny odpowiadają na różne pytania. Podmiot finansowy ustala, które jego funkcje są krytyczne lub istotne w rozumieniu DORA. Europejskie Urzędy Nadzoru wyznaczają natomiast krytycznych zewnętrznych dostawców usług ICT na potrzeby unijnego systemu nadzoru. Jak wyjaśnia ESMA, nadzór ten uzupełnia obowiązki podmiotów finansowych, a nie je zastępuje. Zobacz wyjaśnienie ESMA dotyczące nadzoru w ramach DORA.

Zastosuj to rozróżnienie do małego wyspecjalizowanego dostawcy. Może on zapewniać twojej firmie jedyną drogę do ważnej usługi finansowej, nie będąc na liście wyznaczonych dostawców. Z kolei zakup drobnej usługi od dużego wyznaczonego dostawcy nie znosi konieczności oceny faktycznego użycia. Przechowuj te dwie klasyfikacje oddzielnie, aby nie pozwolić, by mylące pole "krytyczny: tak/nie" determinowało wszystkie późniejsze decyzje.

3. Zadbaj, by rejestr był kompletny, spójny i zrozumiały

Rejestr nie ogranicza się do umów wspierających funkcje krytyczne lub istotne. Artykuł 28 ust. 3 obejmuje wszystkie ustalenia umowne dotyczące korzystania z usług ICT świadczonych przez zewnętrznych dostawców. Trzeba przy tym wyróżnić ustalenia dotyczące takich funkcji. Rozporządzenie wykonawcze (UE) 2024/2956 określa standardowe wzory, w tym dodatkowe informacje o ocenie i łańcuchu dostaw dotyczące funkcji krytycznych lub istotnych.

Praktyczna kontrola kompletności zaczyna się od porównania rejestru z dokumentacją zakupów, cyklicznymi płatnościami, inwentarzem aplikacji i wiedzą właścicieli usług. Różnice to elementy do zbadania, a nie automatyczny dowód naruszenia: faktura może dotyczyć usługi nieinformatycznej, lub kilka faktur może odnosić się do jednego porozumienia. Zamiast po cichu odrzucać niezgodność, udokumentuj wniosek.

Poproś osobę spoza zespołu prowadzącego rejestr, aby prześledziła jedną zależność od początku do końca. Czy potrafi wskazać stronę umowy, faktycznego użytkownika usługi, dostawcę, wspieraną funkcję, osobę odpowiedzialną i obowiązującą umowę? Czy odróżnia umowę zewnętrzną od powiązanych ustaleń wewnątrz grupy? Jeśli te powiązania są niejasne, eksport poprawnego technicznie pliku nie rozwiązuje problemu zarządzania.

• Wyznacz konkretną osobę do wyjaśnienia otwartych kwestii dotyczących klasyfikacji i podziału odpowiedzialności.
• Zarejestruj datę i powód zmiany, zwłaszcza po przejęciach lub migracji usług.
• Uzgadniaj zmiany przy zatwierdzeniu nowej usługi, nie tylko przed ostatecznym terminem zgłoszenia.
• Pokaż kierownictwu, jakich informacji brakuje i od jak dawna, zamiast podawać tylko liczbę dostawców.

Zarząd nie musi zatwierdzać każdego wiersza arkusza. Musi mieć pewność, że ktoś odpowiada za kompletność, niepewności są widoczne, a kluczowe zależności odpowiednio uwzględnione.

4. Powiąż politykę współpracy z dostawcami z konkretnymi decyzjami

Polityka jest użyteczna wtedy, gdy wpływa na decyzję, zanim organizacja uzależni się od dostawcy. W przypadku podmiotów objętych odpowiednimi wymogami rozporządzenie delegowane (UE) 2024/1773 dotyczy całego cyklu współpracy wspierającej funkcje krytyczne lub istotne. Wymaga przeglądu polityki przez organ zarządzający co najmniej raz w roku i aktualizacji w razie potrzeby. Zakres stosowania i proporcjonalność należy sprawdzić dla kategorii regulacyjnej danego podmiotu.

Poniższe etapy to propozycja organizacji pracy. Przed wyborem dostawcy osoba odpowiedzialna za usługę opisuje ją i skutki jej awarii. Przed podpisaniem umowy zespoły ryzyka, bezpieczeństwa, prawny i zakupów wspólnie wskazują nierozwiązane kwestie. Przed uruchomieniem zespoły operacyjne wykazują gotowość monitorowania, wsparcia i odtwarzania. Przy odnowieniu umowy lub istotnej zmianie osoba odpowiedzialna sprawdza, czy pierwotne założenia nadal są aktualne.

Na każdym etapie oddziel zebrane dowody, dokonaną ocenę i zaakceptowany wyjątek. Raport z kontroli dostawcy jest dowodem. Stwierdzenie, że obejmuje on odpowiednio sposób korzystania z usługi przez twoją firmę, jest oceną. Kontynuowanie współpracy mimo nierozwiązanej luki jest wyjątkiem: wymaga decyzji osoby uprawnionej, określonych warunków i terminu ważności.

Nie opisuj każdego problemu jako „zaakceptowanego przez biznes”. Ustal, kto ma prawo zaakceptować dane ryzyko zgodnie z zasadami zarządzania organizacją. Przekazuj sprawę wyżej, gdy skutki zależności przekraczają te uprawnienia. Najważniejszą decyzją zarządu może być sfinansowanie brakującej zdolności odtworzenia usługi albo wstrzymanie pośpiesznego uruchomienia opartego na niesprawdzonych założeniach.

5. Oceń koncentrację poza wykresem wydatków na dostawców

Koncentracja dotyczy zarówno awarii o wspólnej przyczynie, jak i zależności handlowej. Dwie umowy z różnymi firmami mogą opierać się na tej samej platformie hostingowej, operatorze łączności, usłudze tożsamości lub wyspecjalizowanym podwykonawcy. Nawet dwa regiony chmurowe mogą mieć wspólne środowisko administracyjne. Wykres wydatków nie wyjaśni tych zależności technicznych.

Artykuł 29 DORA dotyczy oceny ryzyka koncentracji ICT. Dla praktycznej dyskusji zarządu poproś kierownictwo o przedstawienie kilku wiarygodnych scenariuszy utraty kluczowych zależności i pokazanie, które usługi biznesowe zostaną zakłócone jednocześnie. Należy uwidocznić założenia: dostępność personelu, dostęp do kluczy, łączność, spójność danych oraz wydajność rozwiązania alternatywnego.

Większa liczba dostawców może zwiększać złożoność, koszty i ryzyko błędów koordynacji. Celem nie jest całkowity zakaz koncentracji ani dublowanie całej infrastruktury. Chodzi o świadomą decyzję dotyczącą konkretnego ryzyka, z realnymi możliwościami działania i wskazaną osobą odpowiedzialną. Zapisz, dlaczego wybrane zabezpieczenie jest proporcjonalne i jakie zdarzenie spowoduje jego ponowną ocenę.

6. Porównaj dokumentację umowy z usługą, z której faktycznie korzystasz

Etykieta „Podpisano aneks DORA” jest zbyt ogólna do skutecznego nadzoru. Artykuł 30 określa wymagania umowne, w tym dodatkowe postanowienia dla usług ICT wspierających funkcje krytyczne lub istotne. Prawnicy powinni odnieść właściwe wymagania do konkretnej umowy. Poniższe zestawienie pomaga zadawać trafne pytania; nie zastępuje opracowania zapisów umownych.

Czytaj raporty z kontroli, uwzględniając ich ograniczenia. Jakiego okresu dotyczą? Jaką konfigurację oceniono? Jakie obowiązki po stronie klienta przyjęto jako założenie? Czy pominięto komponent, od którego zależy plan odtwarzania? Aktualny certyfikat może być przydatny, a mimo to nie odpowiadać na konkretne pytanie operacyjne.

Prowadź krótki rejestr luk, łącząc każdy problem ze skutkiem dla działalności, zabezpieczeniem zastępczym, osobą odpowiedzialną i terminem. Przekazuj zarządowi istotne nierozwiązane ryzyka oraz decyzje przekraczające delegowane uprawnienia. Nie ukrywaj poważnej luki za wysokim odsetkiem spełnionych klauzul: jedna brakująca zdolność może mieć większe znaczenie niż wiele zamkniętych spraw o małym wpływie.

7. Sprawdź, czy plan wyjścia da się zrealizować

Prawo do zakończenia współpracy i faktyczna zdolność do przeniesienia usługi to dwie różne rzeczy. Przepisy DORA dotyczące wyjścia z umów na usługi wspierające funkcje krytyczne lub istotne znajdują się w artykule 28 ust. 8. W praktyce zarząd powinien zakwestionować założenia leżące u podstaw planu: miejsce docelowe, dane, osoby, czas, pieniądze i ciągłość usługi.

Odróżnij planowaną migrację od nagłej awarii. Sześciomiesięczny plan migracji może być realistyczny biznesowo, ale nie nadawać się do natychmiastowego wznowienia usługi. Plan odtwarzania może podtrzymać działalność, podczas gdy plan wyjścia rozwiązuje problem długoterminowej zależności. Poproś kierownictwo o wyjaśnienie związku między nimi, zamiast traktować którykolwiek dokument jako rozwiązanie uniwersalne.

1. Wybierz reprezentatywną usługę i określ zdarzenie uruchamiające plan wyjścia.
2. Wyeksportuj kontrolowaną próbkę wymaganych danych z odpowiednimi zabezpieczeniami.
3. Zweryfikuj, czy miejsce docelowe potrafi odczytać i uzgodnić dane, a nie tylko przechowywać plik.
4. Sprawdź prawa dostępu, licencje, specjalistyczne umiejętności oraz umowne wsparcie przy przenoszeniu usługi.
5. Mierz czas realizacji i identyfikuj pracę manualną, brakujące zależności i niezweryfikowane założenia.
6. Zaktualizuj koszt, kolejność działań, osobę odpowiedzialną i termin kolejnego testu.

To propozycja kolejności testów, a nie wymóg niekontrolowanej migracji środowiska produkcyjnego. Wybierz bezpieczne testy odpowiednie dla usługi i opisz ich ograniczenia. Jeśli sprawdzono tylko niewielką próbkę, zaznacz to. Jeśli rozwiązanie alternatywne nie jest gotowe, wyraźnie wskaż ten brak i tymczasową decyzję dotyczącą ryzyka. Zielony status nie może oznaczać jedynie, że istnieje dokument.

8. Przygotuj zwięzłe materiały na posiedzenie zarządu i dołącz decyzje

Przydatny raport może odpowiadać na pięć pytań: co się zmieniło, co może przestać działać jednocześnie, które weryfikacje dają mniejszą pewność, jakie opcje pozostały i jakiej decyzji potrzeba? To proponowana struktura. Częstotliwość raportowania powinna wynikać z ryzyka i zasad zarządzania organizacją, a nie z wymyślonego uniwersalnego kwartalnego harmonogramu DORA.

Uwzględnij niewielką liczbę zależności o największym wpływie na biznes, ostatnie zmiany ich dotyczące, zaległe istotne działania oraz najbliższą decyzję kontraktową lub migracyjną. Wyjaśnij trendy. Wzrost liczby dostawców może oznaczać lepszą inwentaryzację, a nie większą ekspozycję. Mniejsza liczba otwartych działań może oznaczać rzeczywistą poprawę lub zmianę sposobu liczenia działań.

• Połącz każde istotne ryzyko z realizowaną usługą biznesową i odpowiedzialnym menedżerem.
• Rozróżnij przetestowaną zdolność do odzyskiwania od celu lub obietnicy dostawcy.
• Pokaż odstępstwa od wymagań umownych, braki w weryfikacji i czas, od którego pozostają nierozwiązane.
• Wskaż zmiany koncentracji i założenia wymagające nowych dowodów.
• Określ żądaną decyzję, rozważane alternatywy i konsekwencje odroczenia.

Użyj przewodnika po panelu raportowania DORA dla zarządu do powiązania tych wskaźników z szerszym nadzorem nad ryzykiem ICT. Aby przećwiczyć podejmowanie decyzji, przeanalizuj jedną zależność o poważnych skutkach w ramach ćwiczenia zarządu z reagowania na incydenty. Zarząd powinien rozpoznawać te same nazwy usług, właścicieli ryzyk i założenia odzyskiwania we wszystkich trzech dyskusjach.

9. Przygotuj kolejną dyskusję wokół jednej rzeczywistej zależności

Nie zaczynaj od przeprojektowania wszystkich raportów. Wybierz jedną ważną usługę i poproś o spójny zestaw dowodów: ocenę funkcji, wpis w rejestrze, umowę, raport z weryfikacji, test odtwarzania i plan wyjścia. Niech odpowiedzialne osoby przeanalizują go wspólnie. Szybko ujawnią się niespójne identyfikatory, nieaktualne założenia i działania, za które nikt nie odpowiada.

Przełóż wyniki na krótki plan usprawnień. Najpierw wyjaśnij odpowiedzialność i uzupełnij ewidencję. Następnie zajmij się pilnymi decyzjami związanymi z odnowieniem umowy, migracją lub narażeniem na ryzyko. Na końcu popraw regularny nadzór, aby te same braki nie wracały. Każde działanie powinno mieć sprawdzalny rezultat, a nie jedynie opis „poprawić zarządzanie”.

Członkowie zarządu również potrzebują wspólnego rozumienia swojej roli. Przewodnik po wymaganiach szkoleniowych DORA dla zarządów wyjaśnia, jak powiązać naukę z obowiązkami zarządczymi. Kurs BlueTeam Academy «Szkolenie DORA z cyberbezpieczeństwa dla zarządów i kadry kierowniczej» oferuje program oparty na decyzjach dla kadry zarządzającej podmiotów finansowych objętych DORA. Nie jest oceną zgodności organizacji. Uzupełnij naukę dowodami, decyzjami i dalszymi działaniami dotyczącymi własnych usług.