Băncile din România sunt în şapte teste cibernetice avansate, în acest moment, inclusiv pentru a fi conforme, la începutul anului viitor, cu Regulamentul european 2554/2022 privind reziliența operațională digitală a sectorului financiar, a declarat Alexandru DOBREV, Șef Serviciul monitorizare a infrastructurilor pieței financiare, Direcția monitorizare a infrastructurilor pieței financiare și a plăților, Banca Națională a României, la Banking Forum, organizat de Financial Intelligence. 

Regulamentul european 2554/2022 privind reziliența operațională digitală a sectorului financiar, cunoscut, pe scurt, sub numele de „DORA”, a fost oficializat la finalul anului 2022 și urmează să se aplice din 17 ianuarie 2025.

Domnul Dobrev a explicat: “Cred că testele care acum sunt în derulare se vor finaliza la jumătatea anului viitor, dar este un proces continuu de retestare, adică noi estimăm orientativ cam 20 de entități financiare mari în România să facă astfel de teste o dată la 3 ani.

Băncile fac eforturi și ne bucură să vedem că se fac eforturi în direcția conformării la cerințele DORA, pentru că acestea se inspiră din standarde internaționale mai vechi. Pe vremuri, când mergeam în bănci și discutam cu staff-ul tehnic și îi întrebam dacă au auzit de ISO 27000 sau de alte standarde de “business continuity”, ei spuneau că ştiu despre aceste standarde, că se inspiră din ele, dar că nu sunt certificați, că n-are rost să facă asta, costurile sunt mari, iar serviciile acestea sunt pentru bancă, nu pentru vânzare .

E adevărat că banca nu furniza servicii de securitate sau, în general, nu era furnizor pentru terți, dar v-aș da un exemplu de relație între furnizori din domeniul aerospațial.

Airbus cumpără șuruburi de la o firmă din România și i-a cerut acesteia să aibă certificare ISO 27001, versiunea 2022. Șuruburile acelea nu sunt folosite la avioane, ci la un fel de macara care coboară motorul de avion de pe aripă, dar analiza de risc la Airbus a fost că motorul acela valorează zeci de milioane de euro şi, dacă se întâmplă ceva cu macaraua, pot exista probleme cu motorul sau cu avionul în zbor. Şi atunci Airbus a spus că trebuie foarte multă grijă, inclusiv la şuruburile care sunt folosite, şi a cerut ca informația, rețeta pe care o dă către această firmă din România să fie bine păstrată, respectată, folosită, pentru a se asigura că produsul final să fie conform din toate punctele de vedere. Sigur că nu era singura certificare solicitată. Revenind la domeniul bancar, sunt convins că și Airbus are conturi la bancă şi ar prefera ca acestea să fie în siguranţă.

DORA e un pas în plus față de NIS și chiar faţă de NIS2. NIS vizează operatorii de servicii esențiale, sigur să ai un cont la bancă, să îți furnizeze servicii de plăți, este esențial.

Dar este extrem de importantă partea de disponibilitate a acestor servicii cu tot procesul de digitalizare, de folosire a plăților instant, de folosire a instrumentelor moderne de plată. Dacă nu funcţionează, o să ai întreruperi în activitatea ta de business, dar sunt niveluri şi mai grave. Se poate considera că o întrerupere de o zi întreagă este intolerabilă. Dar ar putea fi un nivel mai grav în care nu poţi să faci plăți pentru că nu mai ai bani în cont. Mai poate să fie şi un alt nivel – nu mai ai bani în cont, iar contul tău e pe minus pentru că s-a luat un credit în numele tău, folosind platformele de creditare la distanță oferite de bănci. Şi mai e un nivel top – nu ai avut de fapt cont la banca aceea, cineva a deschis cont în numele tău, a făcut procesul de onboarding video, a deschis cont, a luat credit.

Acestea sunt probleme generice, valabile pentru tot sectorul bancar european. Și atunci, din punct de vedere al reglementatorilor, nu mai este o chestiune doar de standarde care ar fi bine să fie aplicate. Trebuie impuse condiții de concurență echitabile, trebuie să existe cerințe clare și acestea să fie respectate de toți.

DORA  reprezintă o aducere în corpul regulamentelor financiare (împreună cu regulamentele delegate și ghidurile DORA) , a unor standarde mai vechi, unele din 2012, altele mai recente, dar acum cerințele sunt puse în clar și obligatorii. Mă bucură faptul că băncile fac analize să vadă cât de pregătite sunt, își iau consultanți, fac teste, avem 7 teste în derulare, avansate. A crescut foarte mult awareness-ul privind cerinţele de securitate şi eu cred că acest lucru este un impact pozitiv al DORA”.

Întrebat cât timp are la dispoziție o bancă să se conformeze dacă nu iese bine la testele DORA, domnul Dobrev a spus: “E un regulament, trebuie aplicat, dar prevede o abordare graduală. Întâi se fac planuri de măsuri, va fi dificil ca cineva să  respecte integral, de la început, 100%, trebuie urmărită implementarea lor, trebuie verificat că s-a implementat eficace. Important este să existe această îmbunătățire.

Amenzile sunt potențial uriașe. În momentul de față se scrie proiectul de lege prin care se va implementa DORA, dar se consideră că ar trebui să fie același plafon de amenzi ca și la domeniul prudențial, pentru că face parte acum din domeniul prudențial, adică 5 milioane de euro, dar în realitate sunt celelalte plafoane – 10% din cifra de afaceri sau dublul profitului obținut sau mai degrabă al pierderii evitate. În străinătate, prin  dublul pierderii evitate se ajunge la amenzi de miliarde. Sperăm că nu va fi cazul pentru că este în interesul băncii să aplice aceste cerințe obligatorii, care sunt cerințe de management al riscului”.

Potrivit domnului Dobrev, BNR, ASF şi DNSC colaborează pe acest proiect, pentru că există acest lucru prevăzut în DORA și în NIS2: “Entitățile din domeniul financiar rămân pe DORA integral, supravegheate de supraveghetorii lor prudențiali. Va mai fi şi un mecanism de informare pentru că și băncile furnizează servicii către companii și alte companii furnizează servicii către bănci și atunci e normal să știe autoritățile ce se întâmplă, ce incidente sunt. Băncile rămân operator de servicii esențiale și vor trebui identificate ca atare doar că nu mai au cerințe pe NIS2, toate cerințele lor sunt pe DORA, pentru că sunt la un nivel mai înalt față de cele din NIS2”.