Sektor ubezpieczeniowy i ryzyka związane z wdrożeniem rozwiązań bazujących na AI - część 2

Liczba regulacji w zakresie cyberbezpieczeństwa będzie stanowić jedno z najważniejszych wyzwań dla organizacji również w sektorze ubezpieczeniowym.

Unijny regulator zaczyna podchodzić do tych kwestii coraz bardziej kompleksowo, przede wszystkim poprzez regulacje sektorowe, takie jak Digital Operational Resilience Act (dla sektora finansowego). Jest to rozporządzenie, które co do zasady będzie stosowane przed podstawowym aktem w zakresie cyberbezpieczeństwa (NIS) jako lex specialis.

Również na poziomie krajowym wskazać można na istotne regulacje, które pośrednio lub bezpośrednio odnoszą się do kwestii cyberbezpieczeństwa. Z perspektywy ubezpieczycieli kluczowe będzie zatem dokładne zapoznanie się z obowiązkami wynikającymi z poniżej wskazanych aktów oraz śledzenie procesów legislacyjnych, czy to w UE, czy już na etapie implementacji dyrektyw unijnych w Polsce.

Najważniejsze regulacje

Komunikat Chmurowy

UKNF w zakresie wykorzystania chmury publicznej lub hybrydowej rekomenduje w Komunikacie Chmurowym UKNF m.in.:

• Zapewnienie odpowiednich kompetencji pracowników;
• Spełnienie minimalnych wymagań w zakresie umowy z dostawcą rozwiązań chmurowych;
• Posiadanie planu przetwarzania informacji w chmurze obliczeniowej;
• Zapewnienie spełnienia odpowiednich standardów technicznych, np. norm ISO;
• Stosowanie metod kryptograficznych;
• Monitorowanie środowiska przetwarzania tajemnicy ubezpieczeniowej lub tajemnicy agencyjnej w usługach chmury obliczeniowej;
• Dokumentowanie wszelkich istotnych operacji związanych z korzystaniem z usługi chmurowej.

Digital Operational Resilience Act (DORA)

• Wzmocnienie odporności cyfrowej na zagrożenia wynikające z wykorzystywania nowoczesnej technologii i zapewnienie szybkiego powrotu do sprawności operacyjnej;

• Wdrożenie polityki zarządzania ryzykiem związanym z ICT i ustalenie postępowania z incydentami z obszaru ICT;

• Testowanie odporności na zagrożenia;

• Zarządzanie ryzykiem ze strony dostawców zewnętrznych oraz wymianą informacji;

• Zastosowanie w całym sektorze finansowym oraz w poszerzonym obszarze regulacyjnym „krytycznych dostawców usług zewnętrznych w zakresie technologii informacyjno-komunikacyjnych”, co będzie obejmowało takie usługi, jak chmura, analityka danych i audyt;

• Bezpośrednią odpowiedzialnością organu zarządzającego za zgodne z przepisami, w tym DORA, korzystanie z usług ICT (w tym AI).

Cyber resilience Act (CRA)

Propozycja rozporządzenia w sprawie wymogów bezpieczeństwa cybernetycznego dla produktów z elementami cyfrowymi, znana jako Akt o odporności cyfrowej, wzmacnia zasady bezpieczeństwa cybernetycznego w celu zapewnienia bezpieczniejszych produktów sprzętowych i oprogramowania.

W ramach tego aktu zostały wyznaczone cztery główne cele:

• Zapewnienie, że producenci poprawiają bezpieczeństwo produktów z elementami cyfrowymi od fazy projektowania i rozwoju oraz przez cały cykl życia;
• Zapewnienie spójnych ram bezpieczeństwa cybernetycznego, ułatwiających producentom sprzętu i oprogramowania zachowanie zgodności;
• Zwiększenie przejrzystości właściwości zabezpieczeń produktów z elementami cyfrowymi oraz
• Umożliwienie przedsiębiorstwom i konsumentom bezpiecznego korzystania z produktów zawierających elementy cyfrowe.

Wyszczególniono dwie kategorie produktów krytycznych:

• Pierwsza kategoria obejmuje m.in. przeglądarki, menedżery haseł, antywirusy, zapory sieciowe, wirtualne sieci prywatne (VPN), zarządzanie siecią, systemy, fizyczne interfejsy sieciowe, routery i chipy używane dla podmiotów objętych NIS2;

• Druga kategoria obejmuje produkty o podwyższonym ryzyku, takie jak urządzenia stacjonarne i mobilne, zwirtualizowane systemy operacyjne, wystawcy certyfikatów cyfrowych, mikroprocesory ogólnego przeznaczenia, czytniki kart itp. 

Główną różnicą między tymi dwiema kategoriami jest proces zapewnienia zgodności.

Komisja rekomenduje również przeprowadzanie regularnych testów w celu zidentyfikowania podatności. Kary za nieprzestrzeganie wymogów mogą wynieść 15 mln euro lub 2,5% rocznego obrotu.