Odporność operacyjna FCA w 2026 r.: co musi zapewnić infrastruktura IT?

Odporność operacyjna nie jest dokumentem strategicznym. Jest to rzeczywisty, sprawdzony i stale utrzymywany stan Państwa infrastruktury informatycznej. FCA nie chce zapoznawać się z Państwa planami dotyczącymi odporności — oczekuje dowodów na to, że sporządzili Państwo mapę swoich systemów, przetestowali Państwo poziomy tolerancji oraz są Państwo w stanie wykazać, że kluczowe usługi biznesowe będą funkcjonować bez zakłóceń nawet w przypadku wystąpienia zakłóceń. Dowody te znajdują się w Państwa środowisku informatycznym.

W niniejszym przewodniku wyjaśniono, jakie wymagania w zakresie infrastruktury technologicznej w 2026 r. faktycznie stawiają normy PS21/3 oraz ewoluujące ramy odporności opracowane przez FCA, co oznaczają dla Państwa zespołu IT zmiany w zakresie zgłaszania incydentów, które wejdą w życie w marcu 2027 r., oraz w jaki sposób wyspecjalizowany dostawca usług IT dla sektora usług finansowych może wypełnić lukę między obowiązkami regulacyjnymi a rzeczywistością operacyjną.

Jakie działania w zakresie IT faktycznie wymaga od Państwa przepis FCA PS21/3

Przepis PS21/3 ma zastosowanie do banków, kas oszczędnościowo-budowlanych, firm inwestycyjnych wyznaczonych przez PRA, ubezpieczycieli, dostawców usług płatniczych oraz podmiotów objętych rozszerzonym zakresem SM&CR. Jeśli Państwa firma podlega nadzorowi FCA i należy do którejkolwiek z tych kategorii, pełna zgodność z przepisami była obowiązkowa do dnia 31 marca 2025 r.

Podstawowe wymagania wydają się na pierwszy rzut oka proste do sformułowania, jednak ich rzeczywiste wdrożenie bez specjalistycznego wsparcia informatycznego jest niezwykle trudne:

Co oznaczają dla Państwa zespołu IT zmiany w zakresie zgłaszania incydentów, które wejdą w życie w marcu 2027 r.

W dniu 18 marca 2026 r. FCA opublikowała nowe wymogi dotyczące zgłaszania incydentów oraz powiadamiania stron trzecich, dając firmom 12 miesięcy na przygotowanie się przed wejściem tych przepisów w życie w dniu 18 marca 2027 r. Zmiany te wprowadzają:

• Bardziej przejrzyste obowiązki w zakresie zgłaszania incydentów operacyjnych — co stanowi podstawę do zgłoszenia, kiedy należy je złożyć oraz jakie informacje są wymagane
• Istotne powiadomienia dotyczące podmiotów zewnętrznych — firmy mają obowiązek zgłaszać do FCA istotne problemy operacyjne mające wpływ na ich dostawców usług IT i dostawców usług w chmurze
• Krótsze terminy — FCA skraca czas między wykryciem incydentu a pierwszym zgłoszeniem w przypadku najpoważniejszych zakłóceń

Dla Państwa zespołu IT oznacza to, że infrastruktura monitorowania i powiadamiania musi być w stanie wykrywać incydenty na tyle szybko, aby zespół ds. zgodności mógł złożyć dokładne zgłoszenia w terminie wyznaczonym przez przepisy. Oznacza to również, że Państwa dostawca usług IT musi być w stanie w krótkim czasie dostarczyć harmonogramy incydentów, analizę przyczyn źródłowych oraz dowody potwierdzające podjęcie działań naprawczych.

Firmy, w których środowiska informatyczne generują niewystarczające dane logowania, których monitorowanie ma charakter reaktywny, a nie proaktywny, lub których dostawcy usług informatycznych nie są w stanie sporządzać uporządkowanych raportów dotyczących incydentów, będą miały ogromne trudności ze spełnieniem wymogów obowiązujących od marca 2027 r.

Wymagania dotyczące infrastruktury informatycznej związane z zapewnieniem zgodności z przepisami FCA

Aby przełożyć zobowiązania wynikające z normy PS21/3 na konkretne wymagania informatyczne, Państwa infrastruktura musi zapewniać następujące elementy:

Kompleksowe mapowanie zależności systemowych

Państwa dostawca usług IT musi być w stanie stworzyć i aktualizować na bieżąco mapę wszystkich systemów, aplikacji oraz usług stron trzecich, od których zależą Państwa kluczowe usługi biznesowe. Nie jest to arkusz kalkulacyjny — jest to aktualizowany, wersjonowany i dokładny opis Państwa architektury IT, na który zespół ds. zgodności może powoływać się w zgłoszeniach składanych do FCA.

Docelowe czasy przywrócenia zgodności z Państwa limitami dopuszczalnego wpływu

Jeśli dopuszczalny czas przestoju w dostępie do kont klientów wynosi cztery godziny, Państwa plan odtworzenia sprawności po awarii informatycznej musi gwarantować przywrócenie sprawności w tym przedziale czasowym — i musi zostać przetestowany w celu potwierdzenia tej zdolności. Teoretyczny wskaźnik RTO, który nigdy nie został zweryfikowany, nie ma żadnej wartości dla celów FCA.

Niezmienne rejestrowanie zdarzeń audytowych we wszystkich kluczowych systemach

Każde zdarzenie związane z dostępem, każda zmiana w systemie oraz każdy incydent muszą być rejestrowane w nośniku zabezpieczonym przed manipulacją. Rejestry te stanowią podstawę dowodową potwierdzającą zgodność Państwa działalności z wymogami FCA. Stanowią one również główne źródło informacji podczas prowadzenia dochodzenia w sprawie naruszenia bezpieczeństwa lub w trakcie kontroli nadzorczej przeprowadzanej przez FCA.

Archiwizacja korespondencji na potrzeby prowadzenia dokumentacji zgodnie z zasadami COBS

Zgodnie z przepisami FCA COBS 11.8 oraz MiFID II firmy mają obowiązek przechowywać dokumentację dotyczącą odpowiedniej korespondencji. Centrum zgodności Microsoft 365, odpowiednio skonfigurowane i aktywnie zarządzane, zapewnia niezbędne funkcje archiwizacji — jednak domyślna konfiguracja M365 nie spełnia tych wymagań w stanie fabrycznym. Wymaga to specjalistycznej konfiguracji oraz bieżącego zarządzania.

Bariery informacyjne między działem obsługi klienta a działem administracyjnym

W przypadku firm łączących funkcje doradcze i wykonawcze bariery informacyjne stanowią wymóg regulacyjny — a nie jedynie zalecany element ładu korporacyjnego. W usłudze Microsoft 365 są one wdrażane za pomocą zasad dotyczących barier informacyjnych, które muszą być konfigurowane, testowane i utrzymywane przez zespół IT posiadający specjalistyczną wiedzę w zakresie zgodności z wymogami M365.

Czego można oczekiwać od dostawcy rozwiązań informatycznych dla sektora usług finansowych

Różnica między dostawcą usług IT o profilu ogólnym a tym, który naprawdę rozumie specyfikę środowiska FCA, jest wymierna. Kiedy firma Foxcomm rozpoczyna współpracę z klientem z branży usług finansowych, przygotowujemy:

• Kompletny pakiet umów outsourcingowych zgodny z normą SYSC 8, obejmujący uprawnienia dostępu do audytu, dokumentację środków kontroli bezpieczeństwa oraz informacje dotyczące podwykonawców
• Dokumentacja dotycząca mapowania zależności systemowych w formacie wymaganym do samooceny PS21/3
• Pisemny plan przywrócenia sprawności po awarii, zawierający sprawdzone czasy przywrócenia usług (RTO) dostosowane do określonych przez Państwa poziomów tolerancji skutków awarii
• Zabezpieczenie platformy Microsoft 365 oraz konfiguracja zgodności z przepisami, w tym archiwizacja, bariery informacyjne, zasady DLP oraz dostęp warunkowy
• Miesięczne raporty dotyczące bezpieczeństwa i dostępności, które dostarczają Państwa zespołowi ds. zgodności z przepisami rzeczywistych danych, a nie tylko ustnych zapewnień
• Ustrukturyzowane raporty dotyczące incydentów zawierające osi czasu, przyczyny źródłowe oraz działania naprawcze — w formacie wymaganym przez FCA

Dostawca o profilu ogólnym zapewni infrastrukturę. Specjalista ds. usług finansowych zapewni infrastrukturę wraz z towarzyszącą jej dokumentacją dotyczącą zgodności z przepisami.

Rzetelna ocena: Czy Państwa infrastruktura IT jest obecnie gotowa na wymogi FCA?

Jeśli nie mogą Państwo odpowiedzieć twierdząco na poniższe pytania, oznacza to, że w zakresie zgodności z wymogami FCA występują luki, które należy wyeliminować w ramach Państwa infrastruktury informatycznej:

• Czy dysponują Państwo pisemnym, przetestowanym i opatrzonym datą planem przywrócenia sprawności po awarii, w którym wskaźniki RTO są dostosowane do Państwa progów tolerancji skutków określonych w normie PS21/3?
• Czy Państwa dostawca usług informatycznych dostarczył dokumentację umowną zgodną z normą SYSC 8, obejmującą prawa dostępu na potrzeby audytu?
• Czy Państwa korespondencja w ramach usługi Microsoft 365 jest archiwizowana w zabezpieczonej przed manipulacją pamięci masowej przez wymagany okres przechowywania?
• Czy w ciągu ostatnich 12 miesięcy przeprowadzili Państwo co najmniej jeden formalny test scenariusza odporności systemów informatycznych i udokumentowali Państwo jego wyniki?
• Czy Państwa system monitorowania IT zapewnia wystarczający poziom szczegółowości rejestracji zdarzeń, aby umożliwić sporządzanie dokładnych raportów dotyczących incydentów zgodnie z wymogami FCA w terminach określonych przez przepisy?
• Czy w Państwa firmie, w przypadku występowania sprzecznych funkcji biznesowych, skonfigurowano i przetestowano bariery informacyjne?

Jeśli na którekolwiek z tych pytań padnie odpowiedź „nie jesteśmy pewni” lub „zajmuje się tym nasz dostawca usług informatycznych”, oznacza to, że odpowiedź brzmi „nie” — warto więc dokładnie ustalić, jakie usługi zapewnia Państwa dostawca, a jakich nie, zanim FCA zada te same pytania.