Nadzór PL + EU KNF
UKNF o usługach SaaS: przegląd dostawców ICT w ośmiu obszarach, wyniki do zarządu
5 października 2026 r. UKNF zarekomendował podmiotom rynku finansowego przegląd usług SaaS i ryzyka dostawców ICT. Dokument wiąże każdy obszar z konkretnymi przepisami DORA i oczekuje udokumentowanego planu naprawczego.
UKNF opublikował 5 października 2026 r. rekomendacje dotyczące przeglądu bezpieczeństwa usług SaaS i zarządzania ryzykiem dostawców ICT. Bezpośrednim powodem są ataki na dostawców oprogramowania w modelu usługowym i ujawnione naruszenia danych. W przypisie Urząd wskazuje oficjalne komunikaty trzech dostawców: MyDr, Qbusoft/Medyc i Fakturowni.
Dokument jest podpisany przez Departament Cyberbezpieczeństwa UKNF i skierowany do wszystkich podmiotów rynku finansowego, nie do jednego sektora. Dla podmiotów objętych DORA ma ciężar praktyczny: przy siedmiu z ośmiu obszarów UKNF wskazuje artykuły rozporządzenia (UE) 2022/2554 i aktów delegowanych, których realizacji przegląd ma służyć.
Co dokładnie ma objąć przegląd
UKNF wymienia osiem obszarów. Pierwszy to inwentaryzacja usług SaaS, także tych kupionych bezpośrednio przez jednostki biznesowe, z właścicielem, procesem, kategorią danych i skutkami naruszenia dla każdej usługi. Urząd wprost wymienia rozwiązania pomocnicze: księgowe, kadrowe, sprzedażowe i komunikacyjne. Inwentaryzacja ma być powiązana z ewidencją umów i oceną znaczenia wspieranych funkcji.
Dalej: ponowna ocena dostawców, przegląd integracji i uprawnień (konta techniczne, tokeny i klucze API), ochrona poświadczeń i certyfikatów, ocena podwykonawców i przepływów danych, ograniczenie zakresu i czasu przechowywania danych, przygotowanie do incydentu oraz współpraca z CSIRT KNF. Przy ocenie dostawców UKNF zaznacza, że certyfikat nie powinien być traktowany jako wystarczające potwierdzenie bezpieczeństwa usługi. Trzeba sprawdzić jego autentyczność, aktualność i to, czy obejmuje konkretną usługę i środowisko, w którym są dane podmiotu.
Arkusz z listą dostawców i skanem certyfikatu ISO przestaje wystarczać jako dowód nadzoru nad SaaS.
Gdzie to dotyka funkcji zgodności
Rekomendacje kończą się wymogami, które są typowo po stronie compliance i kontroli wewnętrznej. Wyniki przeglądu mają być udokumentowane i wykorzystane do aktualizacji oceny ryzyka oraz planu działań naprawczych z priorytetami, właścicielami, terminami i sposobem potwierdzenia usunięcia nieprawidłowości. Istotne ustalenia mają trafić do organu zarządzającego, co odpowiada art. 5 ust. 2 DORA, zgodnie z którym organ zarządzający odpowiada za wdrażanie ram zarządzania ryzykiem ICT.
Skuteczność ma być oceniana na podstawie „sprawdzalnych rezultatów”: aktualności inwentaryzacji, zakresu uprawnień, wyników testów i możliwości odtworzenia usług. Przegląd ma być powtarzany po istotnych zmianach usług, po incydencie albo po informacji o zmianie poziomu zagrożenia. Odpowiedzialność ma łączyć jednostki biznesowe, bezpieczeństwo, IT, zakupy i funkcje kontrolne.
Drugi punkt styku to rejestr informacji. Art. 28 ust. 3 DORA wymaga utrzymywania rejestru wszystkich ustaleń umownych z zewnętrznymi dostawcami usług ICT. Jeśli przegląd znajdzie SaaS kupiony przez dział sprzedaży z karty firmowej, pytanie o kompletność rejestru zada nadzorca, nie tylko IT.
Odniesienia do przepisów
| Obszar przeglądu | Wskazane przez UKNF przepisy |
|---|---|
| Identyfikacja usług i danych | art. 8 ust. 1, 4 i 5; art. 28 ust. 1 i 3; art. 30 ust. 2 lit. a, b, e i f DORA |
| Bezpieczeństwo dostawców | art. 28 ust. 6; art. 30 ust. 3 lit. e DORA; rozporządzenie delegowane (UE) 2024/1773 |
| Poświadczenia i certyfikaty | art. 9; art. 30 ust. 2 lit. c DORA; art. 7, 20 i 21 rozporządzenia delegowanego (UE) 2024/1774 |
| Integracje i uprawnienia | art. 8 ust. 1, 2, 4 i 5; art. 9 ust. 3 oraz ust. 4 lit. c DORA; art. 12 ust. 1 i 2 oraz art. 21 rozporządzenia delegowanego (UE) 2024/1774 |
| Podwykonawcy i przepływy danych | art. 28 ust. 3; art. 29 ust. 2; art. 30 ust. 2 lit. a i b DORA; rozporządzenie delegowane (UE) 2025/532 |
| Incydenty i ciągłość działania | art. 11, 17, 24, 25, art. 28 ust. 8, art. 30 ust. 2 lit. f DORA; rozdział IV rozporządzenia delegowanego (UE) 2024/1774 |
UKNF zastrzega, że odniesienia do DORA stosuje się z uwzględnieniem zakresu podmiotowego, wyłączeń i zasady proporcjonalności. Wymagania szczególne dla usług wspierających funkcje krytyczne lub istotne zależą od kwalifikacji danej usługi.
Dokument nie wyznacza terminu na przeprowadzenie przeglądu. Przy najbliższym badaniu lub piśmie nadzorczym dotyczącym ryzyka ICT pytanie, czy przegląd się odbył i co z niego wynikło, jest jednak bardzo prawdopodobne.
Co zrobić w tym kwartale
- Ustalić z CISO i właścicielem rejestru informacji, kto odpowiada za przegląd i do kiedy wyniki trafią do zarządu.
- Porównać listę usług SaaS z rejestrem informacji i ewidencją umów; każdą rozbieżność potraktować jako ustalenie.
- Dodać do planu testów zgodności sprawdzenie, czy ocena dostawców opiera się na zweryfikowanych certyfikatach obejmujących konkretną usługę.
- Sprawdzić, czy procedura reagowania na incydenty obejmuje scenariusz przejęcia środowiska dostawcy SaaS, a nie tylko jego niedostępność.
- Udokumentować przegląd tak, żeby dało się pokazać nadzorcy plan naprawczy z właścicielami i terminami.
Źródła
- Rekomendacje dla podmiotów rynku finansowego dotyczące przeglądu bezpieczeństwa usług SaaS i zarządzania ryzykiem dostawców ICT
- Rekomendacje dla podmiotów rynku finansowego dot. przeglądu bezpieczeństwa usług SaaS i zarządzania ryzykiem dostawców ICT (PDF)
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA)