Kancelaria Radców Prawnych Górski&Szetela

O tym którzy przedsiębiorcy powinni wdrożyć rozporządzenie DORA pisaliśmy już wcześniej: https://www.apogado.pl/kto-powinien-wdrozyc-rozporzadzenie-dora , jak i o obowiązkach w tym zakresie : https://www.apogado.pl/jakie-obowiazki-zwiazane-z-cyberbezpieczenstwem-wynikaja-z-rozporzadzenia-dora. Natomiast dzisiaj zwrócimy uwagę na sankcje związane z nieprzestrzeganiem nowych przepisów.

Aby wprowadzić do polskiego porządku prawnego sankcje za naruszanie DORA przygotowano  projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem operacyjnej odporności cyfrowej sektora finansowego. Tu: https://legislacja.gov.pl/projekt/12384252/katalog/13053510 znajdziesz treść projektu. Projekt ustawy jest obecnie na etapie opiniowania.

Zgodnie z w/w projektem organem nadzorującym prawidłowe przestrzeganie DORA w Polsce będzie Komisja Nadzoru Finansowego (dalej: KNF lub Komisja) i do jej uprawnień będzie należało nakładanie sankcji.

Na podmiot finansowy naruszający obowiązki wynikających z DORA będzie mogła zostać nałożona sankcja w postaci:

• kar administracyjnych i środków naprawczych:

1) nakaz zaprzestania danego zachowania oraz powstrzymanie się od takiego zachowania w przyszłości nałożony na osobę fizyczną, osobę prawną lub jednostkę organizacyjną nieposiadającej osobowości prawnej,

2) zakaz pełnienia funkcji członka zarządu lub rady nadzorczej albo innej funkcji kierowniczej podmiotu, przez okres nie krótszy niż miesiąc i nie dłuższy niż rok nałożony na osobę kierującą przedsiębiorstwem, w szczególności pełniącą funkcję kierowniczą lub wchodzącą w skład organu zarządzającego przedsiębiorcy, która w ramach sprawowania swojej funkcji, w czasie trwania stwierdzonego naruszenia tych przepisów, dopuściła przez swoje działanie lub zaniechanie do naruszenia.

• kary pieniężnej w wysokości nieprzekraczającej:

1) w przypadku osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej – kwoty 20 869 500 zł lub 10% przychodów netto ze sprzedaży towarów i usług oraz operacji finansowych, a w przypadku zakładu ubezpieczeń lub zakładu reasekuracji – 10% składki przypisanej brutto, wykazanych w ostatnim sprawozdaniu finansowym za rok obrotowy, zatwierdzonym przez organ zatwierdzający, albo dwukrotności kwoty korzyści uzyskanych lub strat unikniętych w wyniku tego naruszenia – w przypadku, gdy jest możliwe ich ustalenie.

2) w przypadku osoby fizycznej, w tym odpowiedzialnej za to naruszenie, która w tym okresie pełniła obowiązki członka zarządu tego podmiotu – kwotę 3 042 410 zł.

Ponadto Komisja w przypadku naruszenia przepisów DORA może wydać publiczne oświadczenie, w którym wskazuje imię i nazwisko osoby fizycznej albo firmę lub nazwę osoby prawnej lub jednostki nieposiadającej osobowości prawnej, odpowiedzialnych za naruszenie, oraz charakter tego naruszenia. 

Ponadto zgodnie z DORA, Europejski Urząd Nadzoru będzie uprawniony do nałożenia na kluczowego zewnętrznego dostawcę usług ICT okresowej kary pieniężnej.

Okresowa kara pieniężna:

• jest podawana do publicznej wiadomości, chyba że takie ujawnienie zagrażałoby poważnie rynkom finansowym lub wyrządziłoby nieproporcjonalną szkodę stronom, których dotyczy,
• jest nakładana za każdy dzień do czasu zastosowania się do środków i nie dłużej niż przez sześć miesięcy po powiadomieniu kluczowego zewnętrznego dostawcy usług ICT o decyzji nakładającej tę karę,
• naliczana jest od dnia określonego w decyzji nakładającej okresową karę pieniężną i wynosi maksymalnie 1% średniego dziennego światowego obrotu kluczowego zewnętrznego dostawcy usług ICT w poprzedzającym roku obrotowym.

W przypadku jakichkolwiek pytań dotyczących tematyki wdrożenia DORA w swoim przedsiębiorstwie, zapraszamy do kontaktu z naszą kancelarią.