Wdrożenie UKSC w banku spółdzielczym – przegląd regulacji dotyczących ryzyka ICT oraz cyberbezpieczeństwa

CELE SZKOLENIA:

1. Zrozumienie obowiązków wynikających z UKSC, w kontekście uprzedniego wdrożenia przepisów DORA i Rozporządzenia 2024/1774 (RTS o ryzyku).
2. Poznać zasady wdrożenia przepisów UKSC do praktyki Banku
3. Uzyskać przykłady regulacji wewnętrznych oraz sprawozdań

KORZYŚCI ZE SZKOLENIA:

1. Uzyskanie wiedzy o nowych wymaganiach związanych z zadaniami swojego stanowiska pracy / służbowego
2. Uzyskanie przykładowych regulacji wewnętrznych i wzorów sprawozdań do wykorzystania w Banku – po dostosowaniu do specyfiki działania danej instytucji.

ADRESACI:

1. Członkowie Zarządu nadzorujący ryzyko ICT
2. Pracownicy pełniący obowiązki Komórki ds. ryzyka ICT, administratora / stanowiska ds. bezpieczeństwa informacji
3. Pracownicy banku odpowiedzialni za ryzyko braku zgodności (compliance)
4. Pracownicy komórek ds. kontroli wewnętrznej

PROWADZĄCY: WOJCIECH  IWANOW –członek „Stowarzyszenia Praktyków Ochrony Danych” (SPOD), audytor wiodący normy PN/EN ISO 27001, PN/EN ISO 22301 Certyfikowany: Approved Compliance Expert,  Certyfikowany Compliance Oficer, Approved Compliance Officer, AML Compliance Officer, Approved Whistleblowing Compliance Officer. Approved E-S-G Officer. Trener w zakresie zarządzania ryzykiem, compliance i audytu wewnętrznego. Wieloletni współpracownik instytucji edukacyjnych i szkolących pracowników Banków Spółdzielczych na terenie całego kraju. Wykładowca „Podyplomowych Studiów Zarządzanie Ryzykiem w Banku”, a także „Podyplomowych Studiów Funkcja kontroli i compliance w Banku” w ramach Wyższej Szkoły Bankowej we Wrocławiu. Autor regulacji wewnętrznych w zakresie zarządzania ryzykiem, compliance, kontroli, ochrony informacji i danych osobowych. Posiada wieloletnie doświadczenie w zakresie audytu wewnętrznego, compliance, a także sprawowania funkcji ABI, a obecnie IOD w Banku.

CENA: 320 zł/os brutto

Szkolenie przewidziane jest w godzinach 09.00 – 12.00

UWAGA: PONIŻSZY PROGRAM MOŻE BYĆ ZREALIZOWANY JAKO SZKOLENIE ZAMKNIĘTE, NA ZAMÓWIENIE BANKU

1. Przepisy Ustawy o krajowym systemie cyberbezpieczeństwa, a pozostałe regulacje prawne

• Dyrektywa NIS 2, znowelizowana UKSC i DORA: zakres regulacji oraz ich wzajemna relacja.
• Bank spółdzielczy jako podmiot sektora bankowości: znaczenie kwalifikacji jako podmiot kluczowy albo ważny
• Inne rodzaje działalności powodujące objęcie przepisami UKSC – potencjalnie występujące w statucie Banku
• 8i UKSC jako punkt wyjścia do ustalenia obowiązków banku: których wymagań dotyczących zarządzania bezpieczeństwem informacji i zgłaszania incydentów nie stosuje się, a które przepisy pozostają właściwe.

2. Kwalifikacja banku i wykaz podmiotów kluczowych lub ważnych

• Kryteria identyfikacji podmiotu kluczowego lub ważnego – instytucja kredytowa i inne podstawy do uznania Banku za podmiot kluczowy lub ważny
• Samoocena pierwotna dotycząca objęcia Banku przez UKSC i potrzeba jej cyklicznego powtarzania
• Ujęcie w SIZ wyników samooceny
• Wniosek dotyczący wpisu do wykazu podmiotów
• Zasady rejestracji i wyrejestrowania
• Odpowiedzialność za ich przygotowanie i aktualizację oraz dokumentowanie przeprowadzonej kwalifikacji

3. Obowiązki UKSC pozostające dla banku stosującego przepisy DORA

• Analiza art. 8i ust. 1 UKSC – obowiązki banku wyłączone, zachowane i stosowane odpowiednio
• Proporcjonalność wdrożenia przepisów UKSC w podmiocie ważnym na tle uprzedniego wdrożenia przepisów DORA oraz RTS 2024/1774

4. Mapa wymagań wynikających z UKSC dla podmiotu ważnego

1) Analiza szczegółowa wymagań

2) Ustalenie luki

5. Odpowiedzialność ustawowa Zarządu i komórki odpowiedzialnej za cyberbezpieczeństwo
6. Zmiany organizacyjne

• Omówienie zmian w regulaminie organizacyjnym
• Omówienie zmian w regulaminie działania Zarządu
• Zmiany w planie szkoleń dla ZA i komórki odpowiedzialnej za cyberbezpieczestwo, pracowników

7. Polityka bezpieczeństwa informacji

• Przykładowe uzupełnienia polityki sporządzonej według DORA
• Zakres UKSC, podział ról, powiązanie z oceną ryzyka ICT, zasady współpracy z właściwymi podmiotami, przegląd polityki i nadzór nad dokumentacją

8. Ramy zarządzania ryzykiem ICT i obszar cyberbezpieczeństwa

• Rozgraniczenie obowiązków banku wynikających z DORA od wymagań dotyczących pełnego systemu zarządzania bezpieczeństwem informacji
• Powiązanie między ryzykiem związanym z ICT oraz cyberbezpieczeństwem
• Co oznacza „systematyczne szacowanie ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem?
• Co oznacza „zarządzanie ryzykiem związanym z ICT”?
• Model zarządzania ryzykiem ICT w banku: identyfikacja, analiza, ocena, postępowanie z ryzykiem, monitoring, raportowanie i okresowy przegląd

9. Instrukcja zarządzania incydentami

• Pojęcie incydentu, zagrożenia cybernetycznego i poważnego incydentu związanego z ICT.
• Różnica między reżimem UKSC a reżimem DORA dla banku.
• Raportowanie poważnych incydentów ICT według DORA i wymogów nadzorczych, a nie według pełnego reżimu raportowego UKSC
• 3a UKSC: uprawnienia związane z wykrywaniem źródła incydentu i analizą aktywności, w tym ruchu sieciowego.
• 9 UKSC: wyznaczenie osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami KSC, zasady zastępowalności, aktualności danych i dostępności
• Odpowiednie zmiany w regulacjach wewnętrznych dotyczących zarządzania incydentami

10. Zarządzanie ciągłością działania ICT i odtwarzaniem usług

• Wyłączenie równoległego obowiązku z art. 8 ust. 1 pkt 2 lit. f UKSC na podstawie art. 8i UKSC
• Odpowiednie zmiany w regulacjach wewnętrznych dotyczących zarządzania ciągłością działania

11. Zmiany w polityce, instrukcji dotyczącej ryzyka zewnętrznych dostawców usług ICT (lub polityce outsourcingu)

• Pojęcie łańcucha dostaw ICT
• Odpowiednie uwzględnienie ryzyka związanego z dostawcami w systematycznym szacowaniu ryzyka i zarządzaniu nim na podstawie zachowanego art. 8 ust. 1 pkt 1 UKSC
• Odpowiednie zmiany w regulacjach wewnętrznych dotyczących zarządzania ryzykiem związanym z ZDU

12. Dokumentacja i ślad audytowy

• Minimalny zestaw dokumentów
• Wykazanie oceny statusu banku w KSC
• Wykazanie zastosowanie art. 8i