Przez lata przeciwdziałanie praniu pieniędzy kojarzyło się przede wszystkim z bankami, instytucjami finansowymi, formularzem dotyczącym beneficjenta rzeczywistego i milionem pytań, skąd klient ma pieniądze. Był to świat procedur, alertów transakcyjnych i specjalistów zamkniętych w departamentach compliance. Ten świat właśnie się definitywnie kończy.

AML przestaje coraz bardziej być specjalizacją sektora finansowego. Natomiast jego kluczowe wymagania coraz wyraźniej wchodzą do kancelarii, spółek technologicznych, biur rachunkowych, agencji nieruchomości, podmiotów operujących na rynku krypto, przedsiębiorstw handlujących dobrami luksusowymi, a nawet do zawodowego sportu. Unijny pakiet AML rozszerza dalej katalog podmiotów obowiązanych m.in. na znaczną część sektora krypto, sprzedawców dóbr luksusowych oraz profesjonalne kluby piłkarskie i agentów.

Jednocześnie utworzył się europejski urząd AMLA, który ma wzmacniać i ujednolicać nadzór nad całym systemem. Nie chodzi jednak wyłącznie o dopisywanie kolejnych branż do ustawy. Znacznie ważniejsza jest zmiana sposobu myślenia o odpowiedzialności.

Bank nie jest już jedynym strażnikiem

System AML opiera się na założeniu, że nie tylko państwo ma “ścigać” przestępców. Mają mu w tym pomagać również prywatne podmioty znajdujące się pomiędzy klientem a transakcją.

Bank widzi przepływ pieniędzy. Księgowy zna strukturę rozliczeń. Agent nieruchomości widzi, kto kupuje apartament. Doradca pomaga zaprojektować transakcję. Kancelaria może uczestniczyć w utworzeniu spółki, nabyciu przedsiębiorstwa albo zarządzaniu aktywami klienta. Każdy z tych podmiotów jest w optyce europejskiego ustawodawcy strażnikiem dostępu do legalnego obrotu.

W Polsce adwokaci, radcowie prawni, prawnicy zagraniczni i doradcy podatkowi już obecnie są instytucjami obowiązamymi, gdy świadczą pomoc dotyczącą m.in. kupna i sprzedaży nieruchomości lub przedsiębiorstwa, zarządzania aktywami, otwierania rachunków, wnoszenia wkładów oraz tworzenia i zarządzania spółkami. Nie oznacza to, że każda porada prawna podlega AML. Oznacza jednak, że kancelaria uczestnicząca w określonych transakcjach nie może już zakładać, że problem pochodzenia pieniędzy jest wyłącznie problemem banku.

Podobnie jest z przedsiębiorcami. Nie każdy przedsiębiorca jest bezpośrednio instytucją obowiązaną. Niemal każdy może jednak zetknąć się z AML jako klient banku, uczestnik transakcji, podmiot ujawniający beneficjenta rzeczywistego albo kontrahent, którego struktura właścicielska, źródło finansowania lub kierunek płatności zaczynają budzić pytania.

AML rozlewa się więc poza formalny katalog ustawowy. Wchodzi do zwykłego obrotu gospodarczego tylnymi drzwiami, przez banki, kontrahentów, audyty, finansowanie oraz wymagania grup kapitałowych. Ograniczeniem jest tu tylko „moc przerobowa” organów nadzoru.

Procedura to już nie „pułkownikowe alibi”

Jeszcze kilka lat temu wiele organizacji traktowało compliance dość prosto, otóż piszemy opasłą procedurę, której zasadniczo nie da się czytać, przeprowadzamy jakieś tam szkolenie, zbieramy podpisy i umieszczamy dokument w odpowiednio grubym segregatorze tudzież w pięknie nazwanym folderze na sharedrive.

Segregator miał jedną podstawową zaletę, wyglądał profesjonalnie, a dysk jest backupowany.

Problem polega na tym, że regulator coraz rzadziej pyta wyłącznie, czy procedura istniała. Pyta, czy była dostosowana do rzeczywistego modelu działalności, czy identyfikowała konkretne ryzyka, czy była aktualizowana i czy ktoś sprawdzał, że działa.

W aktualnym podejściu ocena ryzyka nie może sprowadzać się do nadania klientowi etykiety „niski”, „normalny” albo „wysoki”. Kategoria ryzyka ma wpływać na zakres i intensywność rzeczywiście podejmowanych działań. Zmiana produktu, kanału dystrybucji, obszaru geograficznego, struktury klientów albo sytuacji politycznej może wymagać niezwłocznej aktualizacji oceny. Organ oczekuje także, że dokumentacja będzie pozwalała sprawdzić skuteczność zastosowanych środków, a ocena ryzyka będzie zatwierdzana przez osoby odpowiedzialne na poziomie kierowniczym.

Innymi słowy procedura leżąca na serwerze dowodzi najwyżej, że ktoś potrafił pisać albo zlecić pisanie. Nie dowodzi jeszcze, że organizacja potrafi zarządzać ryzykiem.

„Czy powinieneś był wiedzieć?”

W tym miejscu pojawia się najbardziej niebezpieczna zmiana.

Odpowiedzialność coraz częściej nie jest budowana wyłącznie na pytaniu, czy ktoś faktycznie wiedział o podejrzanym charakterze transakcji. Coraz większe znaczenie ma pytanie, czy przy prawidłowo zorganizowanym systemie powinieneś był to zauważyć.

Czy profil klienta odpowiadał charakterowi transakcji? Czy źródło środków było wiarygodne? Czy struktura właścicielska miała gospodarczy sens? Czy nagła zmiana kierunku płatności została wyjaśniona? Czy podmiot pośredniczący miał rzeczywiste uzasadnienie biznesowe? Czy ktoś połączył ze sobą kilka pozornie neutralnych informacji?

To nie jest już klasyczna kontrola dokumentów. To obowiązek wyciągania wniosków.

Regulator nie oczekuje jasnowidzenia. Oczekuje jednak, że organizacja będzie znała własny biznes na tyle dobrze, aby zauważyć sytuacje, które od niego odbiegają. A gdy czegoś nie zauważy, pojawi się bardzo niewygodne pytanie, czy zawiódł pracownik, procedura, system informatyczny, czy może zarząd, który zaakceptował model działania bez odpowiednich zabezpieczeń. Tak właśnie zaciera się granica między compliance a odpowiedzialnością osobistą.

Problem spółki może szybko stać się problemem członka zarządu

Polska ustawa AML nie pozostawia tego wyłącznie w sferze dobrych praktyk.

W instytucji obowiązanej, w której działa zarząd, należy wyznaczyć spośród jego członków osobę odpowiedzialną za wdrażanie obowiązków AML. Nie jest to funkcja honorowa ani dopisek do uchwały organizacyjnej. Ustawa pozwala nałożyć na osoby odpowiedzialne za wykonywanie obowiązków AML karę pieniężną. Przewiduje również możliwość czasowego zakazu pełnienia funkcji kierowniczych. W określonych przypadkach naruszenia obowiązków informacyjnych mogą prowadzić także do odpowiedzialności karnej.

Oczywiście członek zarządu nie ma osobiście analizować każdej transakcji. Ma jednak zapewnić, że istnieje sprawny system, odpowiednie zasoby, czytelny podział odpowiedzialności i realna ścieżka eskalacji.

Nie wystarczy więc powiedzieć: „Od tego mamy AML officera”.

Zarząd może delegować wykonywanie zadań. Nie może delegować całego problemu, a następnie udawać, że raporty AML były egzotycznym, ładnym graficznie dodatkiem do materiałów na posiedzenie.

Szczególnie ryzykowne stają się sytuacje, w których komórka compliance od miesięcy sygnalizuje braki kadrowe, niesprawne narzędzia, zaległości w przeglądach klientów albo problemy z jakością danych, a kierownictwo przyjmuje te informacje do wiadomości i spokojnie przechodzi do punktu dotyczącego sprzedaży.

Taki protokół może kiedyś okazać się bardziej interesujący niż niejedna procedura.

AML staje się elementem zarządzania przedsiębiorstwem

Największym błędem jest dziś traktowanie AML jako odrębnej wyspy regulacyjnej. Ryzyko prania pieniędzy łączy się z ryzykiem sankcyjnym, korupcyjnym, podatkowym, reputacyjnym, cybernetycznym oraz z odpowiedzialnością karną osób zarządzających.

Nowy produkt, ekspansja na zagraniczny rynek, przejęcie spółki, wejście w aktywa cyfrowe, obsługa klientów z państw podwyższonego ryzyka albo zmiana modelu płatności nie są wyłącznie decyzjami biznesowymi. Powinny również uruchamiać pytanie o konsekwencje AML.

Dlatego prawidłowo działający system nie może być zbudowany raz na zawsze. Musi reagować na zmianę działalności przedsiębiorstwa. Jeżeli biznes się zmienił, a ocena ryzyka pozostała ta sama, to najczęściej nie oznacza, że ryzyko było stabilne. Oznacza, że nikt do dokumentu nie zajrzał.

Nowa granica odpowiedzialności

AML nie jest już wyłącznie walką z walizką gotówki wniesioną do banku przez człowieka w ciemnych okularach o aparycji przywodzącej na myśl gangsterskie kino klasy „b”. Dzisiejsze ryzyko ukrywa się w wielopoziomowych strukturach właścicielskich, płatnościach transgranicznych, aktywach cyfrowych, pozornie legalnych inwestycjach, umowach pośrednictwa i transakcjach, z których każda oddzielnie wygląda całkiem niewinnie.

Dlatego zmienia się również oczekiwanie wobec osób odpowiedzialnych za organizację. Nie wystarczy nie wiedzieć. Trzeba jeszcze wykazać, że organizacja zrobiła wszystko, czego racjonalnie można było od niej oczekiwać, aby wiedzieć. I właśnie tutaj kończy się wygodny świat compliance rozumianego jako zbiór dokumentów. Zaczyna się odpowiedzialność za decyzje, zaniechania, brak zasobów oraz ryzyka, których nikt nie chciał zobaczyć.

AML wchodzi dziś do kolejnych branż. Ale przede wszystkim wchodzi do gabinetów zarządów.

AML wchodzi dziś do kolejnych branż. Ale przede wszystkim wchodzi do gabinetów zarządów, i to tam dziś zapada decyzja, czy firma naprawdę rozumie swoje ryzyko, czy tylko ma na nie dokument. Jeśli nie masz pewności, po której stronie stoi Twoja organizacja, pomożemy to sprawdzić, zanim zapyta o to regulator.

The post AML „wypływa” na szersze wody. Czy wiesz, kto dziś za to odpowiada?  first appeared on Kancelaria LBKP.

Nasze ekspertki Paulina Jeziorska i Zuzanna Prandecka-Walek przeanalizowały ten temat na łamach Dziennika Gazety Prawnej. W artykule krok po kroku omawiają, co nowelizacja oznacza w praktyce dla samorządów – od ustalenia, kto podlega nowym przepisom, przez katalog obowiązków, po reżim sankcyjny.

Kilka kwestii, na które warto zwrócić uwagę:

Nowy podział podmiotów. Dotychczasowy model operatorów usług kluczowych i dostawców usług cyfrowych ustępuje miejsca podziałowi na podmioty kluczowe i podmioty ważne. W przypadku samorządów decyduje nie skala działalności, lecz rodzaj jednostki i jej miejsce w strukturze. Do podmiotów kluczowych zaliczono m.in. starostwa powiatowe i urzędy gmin zatrudniające co najmniej 50 osób. Podmioty ważne to z kolei m.in. samorządowe jednostki budżetowe, zakłady budżetowe, instytucje kultury czy spółki komunalne – o ile realizują zadania publiczne z wykorzystaniem systemów informacyjnych.

Obowiązki wykraczają daleko poza formalności. Wdrożenie systemu zarządzania bezpieczeństwem informacji, obsługa i zgłaszanie incydentów, zapewnienie ciągłości działania, uporządkowanie relacji z dostawcami – to nie jednorazowy projekt, lecz trwała zmiana sposobu funkcjonowania. Dla podmiotów ważnych będących podmiotami publicznymi ustawodawca przygotował przy tym konkretną listę minimalnych wymagań w załączniku do ustawy.

Sankcje są realne. Kary mogą sięgać 10 mln euro dla podmiotów kluczowych i 7 mln euro dla podmiotów ważnych. Odrębnie odpowiada kierownik jednostki – do 100% wynagrodzenia w przypadku podmiotów publicznych. Przepisy dają organowi pewną elastyczność w wymiarze kary, uwzględniając m.in. możliwości finansowe podmiotu, ale dolne progi są określone ustawowo.

Kluczowa wątpliwość interpretacyjna: czy podmiot kluczowy, który nie wykorzystuje systemów informacyjnych do realizacji zadań publicznych, jest całkowicie wyłączony z obowiązków? Konstrukcja przepisów nie daje jednoznacznej odpowiedzi, co w praktyce może generować niepewność po stronie samorządów.

Dla wielu jednostek samorządu terytorialnego nadchodzące miesiące będą testem zdolności do szybkiego zbudowania kompetencji i struktur, których dotychczas po prostu nie potrzebowały. Odkładanie tego tematu nie jest już opcją.

Cały artykuł Pauliny Jeziorskiej i Zuzanny Prandeckiej-Walek dostępny w Dzienniku Gazecie Prawnej:

The post Cyberbezpieczeństwo w samorządach – z tematu technicznego na agendę zarządu first appeared on Kancelaria LBKP.

W praktyce jednak kluczowe wyzwanie sprowadza się do tego, jak ocenić, czy dany projekt – w tym DEX – rzeczywiście spełnia kryteria decentralizacji, a także czy emisja kryptoaktywów pozwala na identyfikację emitenta. MiCA nie zawiera ani definicji „pełnej decentralizacji”, ani „możliwego do zidentyfikowania emitenta”, ani listy kryteriów, które mogłyby być stosowane przez organy nadzoru – w tym Komisję Nadzoru Finansowego – do kwalifikowania projektów jako objętych lub wyłączonych spod regulacji.

W konsekwencji każdy przypadek może wymagać indywidualnej oceny, co rodzi istotną niepewność prawną – zarówno po stronie projektów, jak i organów nadzoru.

W drugiej części artykułu skupimy się więc na poszukiwaniu praktycznych kryteriów, które mogą mieć znaczenie przy ocenie poziomu decentralizacji danego projektu.

Czy projekt jest wystarczająco zdecentralizowany?

W podejściu scentralizowanym za funkcjonowaniem usługi stoi zazwyczaj konkretny podmiot prawny, który odpowiada za wdrożenie, utrzymanie i ewentualne modyfikacje algorytmu. To właśnie jego udział może czynić go „pośrednikiem” w rozumieniu rozporządzenia MiCA

W projektach opartych na pełnej decentralizacji kluczową cechą jest co do zasady brak realnej możliwości sprawowania kontroli nad działaniem algorytmu po jego wdrożeniu. W przeciwieństwie do modeli scentralizowanych, w których kod może być zarządzany lub modyfikowany przez określony podmiot, zdecentralizowane rozwiązania często funkcjonują w sposób całkowicie autonomiczny. Smart kontrakt uruchomiony w sieci blockchain działa według niezmienialnych reguł – bez opcji wstrzymania czy ręcznej ingerencji, co praktycznie uniemożliwia przypisanie komukolwiek roli operatora lub nadzorcy, zatem jeśli po wdrożeniu smart kontraktu do sieci blockchain nie ma już technicznej możliwości jego modyfikacji, może to wskazywać na decentralizację projektu.

Tego rodzaju autonomiczne algorytmy mogą działać w sposób ciągły, bez udziału czynnika ludzkiego, nie przypisując skutków prawnych żadnemu zidentyfikowanemu podmiotowi. Dobrym przykładem są zdecentralizowane giełdy krypto (DEX-y), proste autonomiczne smart kontrakty typu swap, umożliwiające wymianę jednego tokena na inny według stałego kursu, bez interfejsu użytkownika i bez jakiejkolwiek możliwości modyfikacji po wdrożeniu. Klasycznym przykładem pełnej decentralizacji, w mojej ocenie, może być pierwsza wersja protokołu Uniswap (v1).

Zatem aby dana usługa w zakresie kryptoaktywów została wyłączona spod regulacji, musi być świadczona w sposób „w pełni zdecentralizowany, bez pośredników”. Każda forma kontroli, nadzoru, aktualizacji czy możliwości ingerencji w kod – może oznaczać, że projekt podlega MiCA i wymaga uzyskania licencji CASP.

Emisja kryptoaktywów a decentralizacja

Kwestie związane z emisją kryptoaktywów zostały uregulowane inaczej. W tym przypadku, przepisy tytułów II, III i IV (dotyczące m.in. whitepaperów, zasad emisji i dopuszczania tokenów do obrotu) nie będą miały zastosowania, jeżeli token nie posiada możliwego do zidentyfikowania emitenta.

W praktyce może to obejmować sytuacje, w których emisja tokenów odbywa się automatycznie bez centralnego udziału człowieka. Również tutaj kluczowe znaczenie ma to, czy da się przypisać proces emisji określonemu podmiotowi lub grupie podmiotów, które kontrolują lub czerpią z niego korzyści.

Kluczowe elementy oceny decentralizacji usług

Decentralizacja nie jest cechą zero-jedynkową, lecz spektrum obejmującym różne aspekty działania projektu. W praktyce należy analizować rzeczywistą strukturę kontroli i wpływu, ponieważ wiele projektów reklamowanych jako „zdecentralizowane” wciąż zawiera istotne elementy scentralizowane – takie jak osoby lub podmioty dysponujące decydującym wpływem na funkcjonowanie systemu.

Poniżej przedstawiam zestaw najważniejszych pytań pomocnych przy ocenie poziomu decentralizacji usług. Zestawienie to stanowi próbę identyfikacji elementów, które mogą zostać uwzględnione przez organy nadzorcze przy formułowaniu wytycznych pozwalających krajowym regulatorom ocenić, czy dany model działalności rzeczywiście posiada cechy decentralizacji.

Przykładowe pytania pomocne przy ocenie decentralizacji

Suwerenność kodu i aktualizacji

1. Kto posiada uprawnienia do wdrażania zmian lub aktualizacji smart kontraktów (np. admin keys, proxy contracts, timelock DAO)?
2. Czy uprawnienia administracyjne – jeśli występują – są zabezpieczone mechanizmem multi-sig, wymagającym podpisów od kilku niepowiązanych podmiotów?
3. Kto ma prawo inicjować i zatwierdzać zmiany parametrów protokołu? Jak wygląda procedura zatwierdzania nowych wersji kodu – czy wymaga ona rozproszonego konsensusu społeczności?
4. Czy istnieje tryb „awaryjnego wyłączenia” lub wstrzymania działania protokołu? Jeśli tak – kto może go aktywować i w jakiej procedurze?

Ekonomia protokołu

1. Czy działanie usługi generuje przychody? Jeśli tak, kto je otrzymuje – pojedynczy operator, czy społeczność (np. dostawcy płynności)?
2. Czy istnieje skarbiec (community treasury) zarządzany w sposób zdecentralizowany? Jeśli tak, to jak podejmowane są decyzje o wydatkowaniu środków?
3. Czy protokół przewiduje mechanizmy takie jak fee-burn, automatyczny wykup tokenów lub redystrybucję przychodów? Kto może je modyfikować?
4. Czy parametry ekonomiczne (np. wysokość opłat, tempo emisji nagród) są na stałe zapisane w kontrakcie, czy mogą być zmienione? Jeśli tak to przez kogo?
5. Czy model wynagradzania może zostać zmodyfikowany przez wąską grupę interesariuszy?

Architektura dostępu i uczestnictwa

1. Czy użytkownik może korzystać z usługi bez rejestracji lub weryfikacji tożsamości?
2. Czy rozpoczęcie korzystania wymaga wcześniejszego zezwolenia, whitelisty lub zatwierdzenia przez podmiot centralny, operatora?
3. Czy smart kontrakty stosują ograniczenia geograficzne lub mechanizmy egzekwujące listy sankcyjne (np. OFAC)?

Autonomia majątkowa uczestników

1. Czy użytkownicy zachowują pełną i nieodwołalną kontrolę nad swoimi środkami przez cały okres interakcji z protokołem?
2. Czy kontrola nad środkami powierzona jest wyłącznie zdecentralizowanemu smart kontraktowi, czy też podmiot trzeci może nim zarządzać np. poprzez ingerencję w smart kontrakt?
3. Czy protokół przewiduje funkcje umożliwiające zamrożenie środków, cofnięcie transakcji lub wstrzymanie wypłat?
4. Jeśli cofnięcie transakcji jest niemożliwe na poziomie smart kontraktu, to czy jest również niemożliwe na poziomie warstwy bazowej (np. blockchaina na którym działa usługa)?
5. Czy użytkownik może w każdej chwili wypłacić swoje środki bez konieczności uzyskania zgody innego podmiotu?

Sterowanie protokołem

1. Jeżeli projekt korzysta z tokenów governance – jak bardzo rozproszona jest własność i siła głosu (czy np. większość głosów należy do kilku adresów)?
2. W przypadku zarządzania opartego na multisig– ilu sygnatariuszy liczy multisig, czy są oni niezależni od siebie, oraz czy możliwe jest zweryfikowanie ich tożsamości lub przynależności organizacyjnej?
3. Czy możliwe jest podejmowanie decyzji poza systemem on-chain?
4. Czy jakikolwiek podmiot trzeci posiada środki umożliwiające ingerencję w działanie lub logikę protokołu?

Odporność na cenzurę i otwarty dostęp

1. Czy jakikolwiek podmiot trzeci może jednostronnie zatrzymać lub odrzucić transakcję?
2. Czy sieć pozostaje funkcjonalna nawet w przypadku niedostępności części węzłów lub oficjalnych front-endów?
3. Czy kod źródłowy protokołu jest publicznie dostępny?
4. Czy istnieje możliwość zablokowania adresu użytkownika?
5. Czy w projekcie stosowane są tokeny, których smart kontrakty dopuszczają blokowanie określonych adresów?

Podsumowanie

Ocena decentralizacji projektu jest kluczowa dla określenia, czy projekt może być wyłączony z regulacji MiCA. Wymaga to szczegółowej analizy struktury kontroli, dostępu i autonomii w systemie. Przeprowadzenie takiej analizy pomoże zarówno projektom, jak i organom nadzoru w określeniu, czy projekt spełnia wymagania MiCA, a także w zabezpieczeniu zgodności z regulacjami.

The post MiCA a DEX-y i DeFi: jak ocenić, czy projekt jest „w pełni zdecentralizowany”? first appeared on Kancelaria LBKP.

Złudzenie pełnej regulacji 

MiCA w art. 2 oraz motywach preambuły przesądza o istotnych wyłączeniach. Regulacja MiCA nie dotyczy m.in.: 

• depozytów, w tym lokaty strukturyzowanych,  
• środków pieniężnych (chyba że spełniają definicję tokenów będących e-pieniądzem),  
• tokenów NFT, o ile są „unikalne i niezamienne”; 

Kluczowym będzie jednak zwrócenie uwagi na motyw 22 MiCA. Ustawodawca w tym motywie stwierdził, że „jeżeli usługi w zakresie kryptoaktywów są świadczone w sposób w pełni zdecentralizowany, bez pośredników, nie powinny być objęte zakresem niniejszego rozporządzenia”. 

Wobec tego MiCA faktycznie obejmuje wyłącznie modele scentralizowane lub hybrydowe. Usługi, w których nie występuje żaden podmiot prowadzący, świadczący lub kontrolujący, wymykają się nowym przepisom. 

Brak regulacji DeFi: przesłanka „w pełni zdecentralizowane” 

W praktyce nie wszystkie modele działalności DeFi spełnią kryterium pełnej decentralizacji.  

Motyw 22 MiCA wskazuje, że regulacja nie obejmuje usług świadczonych w sposób „w pełni zdecentralizowany, bez pośredników”. Choć pojęcie „pośrednika” nie zostało zdefiniowane, można przyjąć, że chodzi tu o podmiot prawa, który jest w sposób czynny zaangażowany w prowadzenie, świadczenie lub kontrolę usług związanych z kryptoaktywami – niezależnie od tego, czy działa w sposób bezpośredni, czy pośredni. 

W rezultacie, ocena „pełnej decentralizacji” może wymagać każdorazowo ustalenia, czy jakikolwiek podmiot wywiera wpływ na funkcjonowanie protokołu lub interfejsu. Niestety, ustawodawca unijny nie wskazał bardziej szczegółowych kryteriów ani nie zaproponował definicji, która ułatwiałaby organom nadzoru i uczestnikom rynku jednoznaczną kwalifikację, co z całą pewnością może spowodować komplikacje interpretacyjne w najbliższym czasie. 

W praktyce więc to krajowy organ nadzoru – w Polsce Komisja Nadzoru Finansowego – będzie podejmować decyzje, czy konkretny DeFi podlega pod MiCa oraz czy potrzebuje zezwolenia CASP. Na razie nie ma szczegółowych wytycznych przy pomocy których ma być podejmowana taka decyzja, niemniej jednak jest prawdopodobne, że organy unijne dostarczą wytyczne na temat tego jakie elementy warto brać pod uwagę celem dokonania oceny czy określone usługi są świadczone w sposób w pełni zdecentralizowany bez pośredników czy jednak nie. 

Częściowa decentralizacja nadal podlega MiCA 

“Komfortu” braku regulacji nie daje częściowa decentralizacja. Sam motyw 22 zastrzega, że jeżeli „część takiej działalności lub usług jest realizowana w sposób zdecentralizowany”, obowiązki MiCA pozostają w mocy. Taką współczesną hybrydą to może być DEX z kluczem aktualizacji (upgrade key), tj. smart-kontrakt który może być zmieniony lub zawieszony przez zarząd projektu. W praktyce taki protokół nie jest w pełni zdecentralizowany, ponieważ istnieje podmiot który zachowuje możliwość ingerencji w jego funkcjonowanie. 

W takich konfiguracjach identyfikacja podmiotu kontrolującego (choćby częściowo) może być możliwa, a zatem właściwy organ krajowy może uznać, że taki podmiot może funkcjonować tylko po uzyskaniu licencji CASP. 

Emisja kryptoaktywów „bez emitenta” 

Drugi wyjątek przewidziany w motywie 22 dotyczy nie usług, lecz emisji kryptoaktywów. Jeżeli dane kryptoaktywo „nie ma możliwego do zidentyfikowania emitenta”, przepisy tytułów II–IV MiCA (dotyczące m.in. dokumentu informacyjnego, obowiązków wobec posiadaczy tokenów, emisji, oferowania i dopuszczania do obrotu kryptoaktywów) nie mają zastosowania. 

Wyjątek ten może znaleźć zastosowanie w przypadku emisji dokonywanej bezpośrednio przez protokół on-chain, uruchomiony bez centralnego podmiotu – np. poprzez mechanizm fair launch lub automatycznego mintingu, bez udziału jakiejkolwiek osoby zarządzającej.  

Warto podkreślić, że MiCA nie precyzuje, jakie konkretne cechy powinny przesądzać o możliwości uznania konkretnego podmiotu za emitenta. Niemniej jednak, kluczowe znaczenie może mieć stopień kontroli nad procesem emisji oraz możliwość powiązania określonych osób lub struktur z zarządzaniem emisją bądź czerpaniem z niej korzyści ekonomicznych. 

Konsekwencje praktyczne dla rynku 

• Organ krajowy (w Polsce – KNF) będzie musiał przesądzać, czy w danym modelu projektu występuje „pośrednik”,  a także czy emitent jest możliwy do zidentyfikowania. Zgodnie z projektem polskiej ustawy o rynku kryptoaktywów (czerwiec 2025 r.) KNF zyska instrumenty pozwalające ograniczyć dostęp lub zablokować interfejs do takiej strony. 
• Przedsiębiorcy powinni już dziś ocenić poziom centralizacji swoich produktów. Projekty, które wykorzystują multisig do upgrade’u kontraktu, pobierają opłaty transakcyjne lub kontrolują przychody z emisji, ustalają zasady zarządzania usługą/tokenem mogą kwalifikować się jako podmioty CASP. 
• Inwestorzy powinni mieć świadomość, że brak emitenta lub CASP oznacza także brak europejskiej ochrony regulacyjnej która wynika z MiCA. 

Wnioski 

MiCA to dopiero pierwszy krok ku zharmonizowanemu rynkowi kryptoaktywów. Zakreślając granicę w motywie 22, prawodawca europejski uznał, że DeFi wymaga osobnego – być może zupełnie nowego – podejścia regulacyjnego. Do czasu opracowania takich ram: 

• pełna decentralizacja pozostaje jedyną drogą, by usługa wypadła całkowicie poza MiCA; 
• każdy element centralizacji może pociągać za sobą obowiązki licencyjne; 
• organ krajowy będzie musiał dokonywać oceny, czy ma do czynienia z DeFi czy nie. 

The post MiCA nie obejmuje DeFi. Co to oznacza dla rynku kryptoaktywów w UE? first appeared on Kancelaria LBKP.

Więcej o tym przeczytasz tutaj: https://lbplegal.com/rozpoczecie-stosowania-mica-co-oznacza-dla-rynku-krypto-w-polsce/

Okres przejściowy MiCA na poziomie UE – 18 miesięcy buforu bezpieczeństwa 

Podstawowym założeniem Rozporządzenia MiCA jest wprowadzenie pewnego „bufora czasowego”, podczas którego dotychczasowi dostawcy usług w zakresie kryptoaktywów będą mogli działać na starych zasadach, określonych w przepisach krajowych. Zgodnie z art. 143 ust. 3 Rozporządzenia MiCA – okres ten wynosi 18 miesięcy licząc od momentu rozpoczęcia stosowania nowych przepisów, do 1 lipca 2026 r. 

W tym czasie firmy świadczące usługi związane z kryptoaktywami mogli kontynuować działalność zgodnie z dotychczasowymi, lokalnymi regulacjami, zanim uzyskają formalne zezwolenie wymagane przez MiCA zgodnie z art. 63 lub do momentu odmowy udzielenia im takiego zezwolenia, w zależności od tego, co nastąpi wcześniej. To szczególnie istotny etap dla wszystkich podmiotów – zarówno tych już obecnych na rynku, jak i nowych graczy planujących wejście na rynek kryptowalut w Unii Europejskiej. 

Elastyczność w ustalaniu okresów przejściowych na poziomie krajowym 

MiCA przewiduje elastyczność dla państw członkowskich w ustalaniu długości okresu przejściowego. Motyw 114 Rozporządzenia podkreśla – jeżeli krajowe regulacje obowiązujące przed 30 grudnia 2024 r. były znacząco mniej surowe niż wymagania MiCA, państwa mogą zdecydować się na skrócenie lub nawet pominięcie okresu przejściowego. Dzięki temu mają one możliwość szybszego podniesienia standardów działalności podmiotów kryptoaktywów do poziomu ustalonego przez UE. 

Art. 143 ust. 3 MiCA – szczegółowe warunki korzystania z okresu przejściowego w UE 

Zgodnie z brzmieniem art. 143 ust. 3 Rozporządzenia MiCA dostawcy usług w zakresie kryptoaktywów, którzy świadczyli swoje usługi zgodnie z obowiązującym krajowym prawem przed 30 grudnia 2024 r., mogą prowadzić działalność na dotychczasowych zasadach do 1 lipca 2026 r., do czasu uzyskania zezwolenia na mocy art. 63 MiCA lub do momentu odmowy udzielenia zezwoleń. Tylko te firmy będą uprawnione do korzystania z przejściowych ułatwień – firmy, które rozpoczną działalność po tej dacie, podlegają już pełnemu reżimowi MiCA od samego początku. 

Przepisy dotyczące podmiotów nieobjętych rejestrem działalności w zakresie walut wirtualnych w Polsce 

Polska uczestniczy w procesie wdrożenia Rozporządzenia MiCA i w czerwcu 2025 r. skierowała do sejmu projekt ustawy o rynku kryptoaktywów.   

Zgodnie z art. 162 projektu ustawy, podmiot, który w dniu 29 grudnia 2024 r. świadczył usługi w zakresie kryptoaktywów w rozumieniu art. 3 ust. 1 pkt 16 MiCA (więcej o zakresie usług przeczytasz tutaj: https://lbplegal.com/rozpoczecie-stosowania-mica-co-oznacza-dla-rynku-krypto-w-polsce/),, niebędące jednak działalnością gospodarczą polegającą na świadczeniu usług w zakresie:

a) wymiany pomiędzy walutami wirtualnymi i środkami płatniczymi, 

b) wymiany pomiędzy walutami wirtualnymi, 

c) pośrednictwa w wymianie, o której mowa w lit. a lub b, 

d) prowadzenia rachunków, o których mowa w  art. ust. 2 pkt 17 lit. E ustawy AML 

– może świadczyć te usługi w zakresie kryptoaktywów na dotychczasowych zasadach, nie dłużej jednak niż przez: 

• 4 miesiące od wejścia w życie projektowanej ustawy, 

• lub przez 9 miesięcy od dnia wejścia w życie  projektowanej ustawy, jeżeli przed upływem 3 miesięcy od dnia wejścia w życie niniejszej ustawy złoży kompletny wniosek o wydanie tego zezwolenia i otrzyma powiadomienie, o którym mowa w art. 63 ust. 4 rozporządzenia MiCA.  

Regulacje dla firm wpisanych do rejestru VASP (tj. rejestru działalności w zakresie walut wirtualnych) w Polsce 

Dla firm które na dzień wejścia w życie projektowanej ustawy byli wpisani do krajowego rejestru VASP obowiązują zbliżone zasady – mogą one kontynuować działalność na dotychczasowych zasadach również przez 4 miesiące od wejścia w życie projektowanej ustawy, bądź przez 9 miesięcy od wejścia w życie projektowanej ustawy w przypadku złożenia kompletnego wniosku w przewidzianym terminie oraz uzyskania powiadomienia o przyjęciu wniosku.   

Wyjątkiem jest sytuacja, gdyby taki podmiot został wykreślony z rejestru przed upływem wskazanych terminów. 

Praktyczne konsekwencje dla rynku – co muszą zrobić firmy? 

Zmiany regulacyjne wynikające z MiCA oraz polskiej ustawy o rynku kryptoaktywów nakładają na firmy obowiązek ścisłego monitorowania aktualnego stanu prawnego oraz opracowania strategii wdrożeniowej. Kluczowe działania, które powinny podjąć firmy obecne na rynku to przede wszystkim: 

• weryfikacja obecnego statusu prawnego (czy firma jest zarejestrowana jako VASP, czy działała zgodnie z dotychczasowymi przepisami), 
• przygotowanie kompletu dokumentacji niezbędnej do złożenia wniosku o uzyskanie zezwolenia CASP, 
• monitorowanie terminów przejściowych i szybkie reagowanie na ewentualne zmiany w legislacji, 
• wdrożenie nowych procedur wewnętrznych zgodnie z MiCA,  i krajowymi wymaganiami oraz wytycznymi organów nadzorczych. 
• Niedochowanie terminów lub brak odpowiedniego przygotowania może skutkować utratą możliwości prowadzenia działalności na rynku kryptoaktywów w Polsce i całej UE. 

Dokumentacja i obowiązki formalne – wyzwania dla firm 

Przygotowanie się do pełnej implementacji MiCA będzie wymagać od firm przeprowadzenia dogłębnej analizy oraz realizacji licznych czynności formalnoprawnych. Proces rejestracji CASP jest wieloetapowy i obejmuje: 

• opracowanie polityk AML/KYC oraz środków przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, 
• przygotowanie dokumentacji dotyczącej compliance, czy zasad zarządzania ryzykiem, 
• wdrożenie rozbudowanych procedur bezpieczeństwa IT oraz ochrony danych osobowych, 
• szczegółowe opisy usług, produktów, architektury technologicznej oraz mechanizmów zabezpieczających środki klientów, 
• przedstawienie analizy ryzyka  oraz planów ciągłości działania. 
• Więcej o tym przeczytasz tutaj: https://lbplegal.com/uzyskanie-zezwolenia-casp-kluczowe-informacje-dla-firm-kryptowalutowych/

Dlaczego warto już teraz rozpocząć przygotowania do MiCA? 

Obecnie, pomimo tego, że ustawa wdrażająca MiCA w Polsce nie weszła jeszcze w życie, warto wcześniej rozpocząć przygotowanie dokumentacji oraz analizę własnej działalności pod kątem nowych przepisów. Firmy posiadające pełny komplet gotowych dokumentów szybciej będą mogły przejść przez proces rejestracji CASP i uzyskać wymagane zezwolenia. Pozwala to na płynne kontynuowanie działalności oraz zdobycie przewagi konkurencyjnej na rynku. 

Co istotne, bieżące analizy legislacyjne nie wskazują na ryzyko istotnych zmian w zakresie kluczowych rozwiązań projektu ustawy – dlatego działania przygotowawcze są już w tym momencie w pełni zasadne. 

Brak możliwości złożenia wniosku przed wejściem ustawy w życie 

Obecnie nie ma jeszcze możliwości złożenia wniosku o rejestrację CASP do odpowiedniego organu, ponieważ ustawa umożliwiająca taki proces nie weszła jeszcze w życie. Nasi klienci świadczą jednak usługi zgodnie z dotychczasowymi przepisami, jednocześnie przygotowując z nami dokumentację niezbędną do złożenia wniosku o licencję CASP. 

Dotychczasowe prace nad ustawą nie wskazują, by projekt miał ulec dużym zmianom. Zalecamy już teraz rozpocząć przygotowanie wszystkich wymaganych dokumentów. Ze względu na szeroki zakres wytycznych, jakie już stawiają organu unijne, skompletowanie całej dokumentacji oraz wprowadzenie potrzebnych procedur może być czasochłonne i wymaga starannego planowania. Rozpoczęcie tych przygotowań z wyprzedzeniem pozwoli sprawnie przejść przez proces rejestracji i dostosować działalność do nowych wymogów. 

Zyskaj przewagę z profesjonalnym wsparciem MiCA 

Implementacja Rozporządzenia MiCA i nowej ustawy o rynku kryptoaktywów w Polsce wymaga wieloetapowego, dobrze zaplanowanego procesu, obejmującego zarówno kwestie prawne, jak i techniczne oraz zarządcze. Odpowiednie przygotowanie i zrozumienie okresów przejściowych to klucz do bezproblemowego funkcjonowania na rynku usług kryptoaktywów, zarówno dla obecnych, jak i nowych podmiotów. 

Nasza kancelaria oferuje kompleksowe wsparcie w zakresie wdrożenia wymogów MiCA – zarówno w procesie kompletowania dokumentacji, szkoleniu personelu, jak i bieżącym wsparciu compliance oraz doradztwa prawnego. Zachęcamy do kontaktu firmy, które chcą sprawnie i skutecznie przeprowadzić proces dostosowania do nowych przepisów – od konsultacji, przez przygotowanie polityk i procedur, po finalizację procesu rejestracji CASP. 

Nie czekaj do ostatniej chwili – opóźniona reakcja na zmiany legislacyjne może oznaczać utratę konkurencyjnej pozycji i możliwości rozwoju. Skontaktuj się z nami! 

The post MiCA w Polsce – kompendium wiedzy o okresach przejściowych oraz terminach w projekcie ustawy o rynku kryptoaktywów  first appeared on Kancelaria LBKP.

Rozporządzenie MiCA (Markets in Crypto-Assets) to pierwszy akt prawny Unii Europejskiej, który kompleksowo reguluje prawa i obowiązki emitentów oraz dostawców usług związanych z kryptoaktywami. Celem MiCA jest zapewnienie wysokiego poziomu ochrony inwestorów, w tym szczególnie inwestorów detalicznych, zwiększenie transparentności rynku kryptoaktywów oraz ujednolicenie przepisów regulujących ten rynek w całej Unii Europejskiej. Dzięki MiCA rynek kryptoaktywów zyskuje jasne zasady, co sprzyja bezpieczeństwu inwestycji i rozwojowi branży.

Tokeny powiązane z aktywami (asset-referenced tokens, ART) to kryptoaktywa, których celem jest utrzymywanie stabilnej wartości dzięki powiązaniu z inną wartością, prawem lub ich kombinacją – w tym także, z co najmniej jedną walutą urzędową. 

ART nie są uznawane za tokeny pieniądza elektronicznego (EMT). Kluczową różnicą jest to, że wartość ART nie może być wyznaczana wyłącznie przez jedną walutę fiducjarną. Jeśli kryptoaktywo opiera swoją wartość na więcej niż jednym mierniku lub na kombinacji aktywów w tym także, z co najmniej jedną walutą urzędową – zostanie zakwalifikowane jako ART. 

Emitent tokena ART jest zobowiązany umożliwić jego wykup – albo przez wypłatę środków pieniężnych innych niż pieniądz elektroniczny, odpowiadających wartości rynkowej aktywów powiązanych z tokenem, albo poprzez wydanie tych aktywów. 

• MiCA dopuszcza pewną elastyczność w ustalaniu miernika wartości ART, ale wykup musi być możliwy w formie pieniężnej lub poprzez dostarczenie powiązanego aktywa. 
• W szczególności, emitent powinien zawsze zapewniać możliwość wykupu w środkach pieniężnych (nie będących pieniądzem elektronicznym), denominowanych w tej samej walucie urzędowej, która została zaakceptowana w momencie sprzedaży tokena. 

Emitentami tokenów będących e-pieniądzem mogą być wyłącznie instytucje kredytowe lub instytucje pieniądza elektronicznego. Podmioty te muszą zapewnić posiadaczom tokenów możliwość realizacji prawa do wykupu w dowolnym momencie, po wartości nominalnej i w walucie, z którą dany token jest powiązany. 

Przykładem takiego tokenu mogą być stablecoiny powiązane z euro, które dążą do utrzymania parytetu 1:1 z walutą euro. W świetle przepisów MiCA, emitenci takich tokenów będą musieli spełniać rygorystyczne wymogi regulacyjne, w tym posiadać odpowiedni status prawny oraz zapewniać realną możliwość wykupu tokenów po ich wartości nominalnej. 

Do tej kategorii zaliczają się również tokeny użytkowe (utility tokens), które dają posiadaczom dostęp do określonych usług lub towarów oferowanych przez emitenta. Token taki można porównać do cyfrowego vouchera lub biletu uprawniającego do skorzystania z konkretnej usługi lub nabycia określonego towaru. 

Zgodnie z art. 2 ust. 4 rozporządzenia, wyłączeniu ze stosowania MiCA podlegają również: 

• depozyty, w tym lokaty strukturyzowane, 
• środki pieniężne (chyba że spełniają definicję tokenów będących e-pieniądzem), 
• ubezpieczenia, produkty i programy emerytalne. 

The post Rodzaje kryptoaktywów regulowanych przez MiCA first appeared on Kancelaria LBKP.

Rozporządzenie MiCA (Markets in Crypto-Assets Regulation) wprowadza jednolite zasady dotyczące rynku kryptoaktywów w Unii Europejskiej. Nowe regulacje obejmują zarówno emisję tokenów, jak i działalność dostawców usług w zakresie kryptoaktywów (CASP – Crypto-Asset Service Providers). 

W praktyce oznacza to, że podmioty oferujące kryptoaktywa publicznie lub prowadzące platformy obrotu będą musiały spełnić określone wymogi licencyjne i przejrzystościowe. 

Kto podlega pod MiCA? 

Zgodnie z MiCA, dostawcą usług w zakresie kryptoaktywów jest osoba prawna lub przedsiębiorstwo profesjonalnie świadczące usługi związane z kryptoaktywami na rzecz klientów. Aby działać legalnie, każdy taki podmiot musi uzyskać licencję CASP, którą w Polsce będzie wydawać Komisja Nadzoru Finansowego (KNF). 

Rozporządzenie wyróżnia 10 kategorii usług związanych z kryptoaktywami. Usługi w zakresie kryptoaktywów są uregulowane w art. 3 ust. 1 pkt 16 MiCA, m.in.: 

• zapewnianie przechowywania kryptoaktywów i administrowania nimi w imieniu klientów;  
• prowadzenie platformy obrotu kryptoaktywami;  
• wymiana kryptoaktywów na środki pieniężne;  
• wymiana kryptoaktywów na inne kryptoaktywa;  
• wykonywanie zleceń związanych z kryptoaktywami w imieniu klientów;  
• plasowanie kryptoaktywów;  
• przyjmowanie i przekazywanie zleceń związanych z kryptoaktywami w imieniu klientów;  
• doradztwo w zakresie kryptoaktywów;  
• zarządzanie portfelem kryptoaktywów;  
• świadczenie usług transferu kryptoaktywów w imieniu klientów; 

Każdy podmiot, który świadczy choć jedną z powyższych usług, musi dostosować się do nowych przepisów MiCA. 

MiCA a polski rynek krypto – kluczowe zmiany 

Dotychczas polski rynek kryptowalut funkcjonował w warunkach braku dedykowanych regulacji sektorowych. Jedynym wymogiem było wpisanie się do rejestru działalności w zakresie walut wirtualnych oraz przestrzeganie ustawy AML. 

Po rozpoczęciu stosowania MiCA sytuacja ulegnie diametralnej zmianie:
KNF zyska pełne kompetencje nadzorcze nad giełdami kryptowalut, kantorami krypto czy firmami custody,
Obowiązek uzyskania licencji CASP – działalność bez licencji stanie się nielegalna po okresie przejściowym,
Wprowadzenie wymogów kapitałowych – 50 tyś euro lub 125 tyś euro lub 150 tyś euro dla dostawców usług w zakresie kryptoaktywów.
Konieczność wdrożenia systemów zarządzania ryzykiem, audytu i compliance. 

Dla polskich firm oznacza to konieczność dostosowania się do rygorystycznych wymagań lub zakończenie działalności. Możliwe jest również przyspieszenie konsolidacji rynku – mniejsze podmioty mogą zostać przejęte przez większe firmy. 

Czy Polska jest gotowa na MiCA? 

Polski projekt ustawy o rynku kryptoaktywów zasadniczo odzwierciedla założenia MiCA, dostosowując krajowy porządek prawny do nowych unijnych regulacji, jednak potencjalne opóźnienia legislacyjne mogą prowadzić do chaosu regulacyjnego. 

Okres przejściowy – Polska skróciła okres przejściowy do koncakońca czerwca 2025 r., w związku z czym musiała wdrożyć odpowiednie przepisy przed 30 grudnia 2024 r., aby skutecznie ograniczyć unijną „karencję”.  

Ryzyko odpływu firm – ponieważ w Polsce wciąż nie można składać wniosków o licencję, firmy kryptowalutowe mogą przenieść działalność do innych krajów UE, gdzie procedury są już wdrażane. 

Podsumowanie – jak przygotować firmę na MiCA? 

MiCA oznacza rewolucję dla rynku krypto w Polsce. Każda firma działająca w tym sektorze powinna jak najszybciej:
Sprawdzić, czy podlega pod MiCA i jakie licencje będzie musiała uzyskać,
Przygotować się na wdrożenie wymogów organizacyjnych i kapitałowych,
Monitorować postępy legislacyjne i dostosować się do nowych regulacji,
Rozważyć skorzystanie z pomocy prawnej w procesie uzyskiwania licencji CASP. 

Brak dostosowania się do nowych przepisów będzie oznaczał konieczność zakonczeniazakończenia działalności lub jej przeniesienia do innego kraju UE.  

Jeśli prowadzisz firmę związaną z rynkiem kryptowalut, już teraz skontaktuj się z nami, aby przygotować się na zmiany!  

The post Rozpoczęcie stosowania MiCA – co oznacza dla rynku krypto w Polsce? first appeared on Kancelaria LBKP.

DORA – nowe standardy cyberbezpieczeństwa

W erze cyfrowej, kiedy większość transakcji finansowych odbywa się online, bezpieczeństwo naszych danych i środków finansowych staje się priorytetem. Wszyscy mogliśmy ostatnio zaobserwować – na przykładzie awarii systemów operacyjnych Microsoft – co dzieje się, kiedy awaria dotyka jedną z powszechniej stosowanych w biznesie usług online, czyli Office 365.

Odwoływano połączenia lotnicze, nie działała giełda w Londynie, problemy zgłaszali również klienci banków (w Polsce problemy nie ominęły m.in. klientów Santander Banku oraz PKO BP). Microsoft szacował, że incydent dotknął nawet 8,5 mln urządzeń z systemem Windows. Skutki tego, co okazało się „tylko” awarią, na moment zatrzymały część świata. Skala utrudnień w działalności podmiotów z wielu branż każe zastanowić się, co może się zdarzyć, kiedy będziemy mieć do czynienia nie z awarią, a z udanym cyberatakiem.

Unia Europejska, dostrzegając rosnące ryzyka w obszarze bezpieczeństwa cyfrowego dla sektora finansowego i jego klientów, w grudniu 2023 r. uchwaliła rozporządzenie w sprawie operacyjnej odporności cyfrowej (Digital Operational Resilience Act, w skrócie – DORA), które wyznacza nowe standardy cyberbezpieczeństwa podmiotów finansowych, dążąc do zapewnienia ich odporności na wszelkie zakłócenia i zagrożenia związane z technologiami ICT.

Nowe regulacje mają na celu:

Minimalizowanie ryzyka związanego nie tylko z cyberatakami, ale szerzej – z incydentami bezpieczeństwa. Poprzez ustanowienie jednolitych standardów i procedur, DORA ma przyczynić się do ochrony integralności, bezpieczeństwa i ciągłości usług finansowych w Unii Europejskiej.

Odliczanie trwa

Podmioty finansowe mają czas na dostosowanie się do DORA do 17 stycznia 2025 r. Po tej dacie nie będzie taryfy ulgowej – KNF podczas szkoleń i spotkań z sektorem finansowym uprzedza, że nie będzie czekać na spóźnialskich i od pierwszego dnia planuje weryfikować i egzekwować realizację nowych obowiązków.

Co istotne, DORA ma charakter nie dyrektywy (jak jest to w przypadku innego istotnego z punktu widzenia cyberbezpieczeństwa aktu, jakim jest NIS2), a rozporządzenia. Oznacza to, że wiąże ono w całości podmioty, do których jest skierowane i jest bezpośrednio stosowane we wszystkich krajach Unii Europejskiej, bez konieczności implementowania go do lokalnych porządków prawnych za pomocą ustaw.

Kogo dotyczy DORA?

DORA obejmuje przede wszystkim – ale nie wyłącznie – szerokie spektrum instytucji finansowych oraz podmiotów z obszaru finansów cyfrowych. Zobowiązane do dostosowania się do nowych regulacji są m.in. banki, firmy ubezpieczeniowe, fundusze inwestycyjne, instytucje kredytowe, dostawcy usług w zakresie kryptowalut, instytucje pieniądza elektronicznego oraz inne podmioty świadczące usługi finansowe.

Dodatkowo, DORA wprowadza pewne obowiązki w odniesieniu do dostawców technologii, w tym dostawców usług chmury obliczeniowej i innych dostawców usług ICT.

Co oznacza DORA dla sektora finansowego?

DORA nakłada obowiązki na podmioty sektora finansowego, wymagając, aby instytucje finansowe nie tylko reagowały na incydenty, ale również podejmowały liczne działania prewencyjne, w myśl zasady, że lepiej zapobiegać, niż leczyć.

W praktyce oznacza to konieczność podjęcia działań przede wszystkim w następujących, kluczowych obszarach:

1. Zarządzanie ryzykiem ICT Instytucje finansowe powinny opracować i wdrożyć kompleksową strategię zarządzania ryzykiem związanym z technologiami ICT. Strategia ta powinna obejmować identyfikację, ocenę, monitorowanie i kontrolowanie ryzyk związanych z ICT, żeby zapewnić bezpieczeństwo i integralność systemów informatycznych.
2. Zarządzanie incydentami związanymi z ICT Klasyfikacja i raportowanie incydentów związanych z ICT są według DORA kluczowe dla skutecznego zarządzania bezpieczeństwem. Instytucje finansowe zobowiązane będą do przestrzegania jasnych wytycznych dotyczących klasyfikacji incydentów, co ma prowadzić do ich odpowiedniego śledzenia, analizowania i reagowania.Obowiązki w tym obszarze obejmą m.in.:Stworzenie i wdrożenie jednolitych wytycznych dotyczących klasyfikacji incydentów, które umożliwią ich kategoryzację według poziomu powagi i typu zagrożenia.Regularne raportowanie incydentów do odpowiednich organów i interesariuszy, zgodnie z obowiązującymi normami i przepisami.Przeprowadzanie analizy przyczyn incydentów w celu identyfikacji słabych punktów i wdrażania działań naprawczych.
3. Zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT Instytucje finansowe powinny określić zasady zarządzania współpracą z zewnętrznymi dostawcami usług ICT. Obowiązki w tym obszarze obejmą m.in. opracowanie kryteriów oceny i wyboru dostawców usług ICT, które zapewnią, że spełniają oni wymagania dotyczące bezpieczeństwa i zgodności, zapewnienie, że umowy zawierane z dostawcami ICT są zgodne z wymaganiami stawianymi przez DORA, a także regularne monitorowanie i ocenę wydajności dostawców.
4. Testowanie operacyjnej odporności cyfrowej Obowiązki w tym obszarze obejmować będą m.in. ustanowienie kompleksowego programu testowania operacyjnej odporności cyfrowej. Podmioty finansowe inne niż mikroprzedsiębiorstwa zobowiązane będą do przeprowadzenia przynajmniej raz w roku testów wszystkich systemów i aplikacji ICT. Dla części obowiązanych DORA przewiduje również dodatkowy obowiązek przeprowadzania nie rzadziej niż co 3 lata zaawansowanych testów penetracyjnych (TLPT) pod kątem wyszukiwania zagrożeń.

Tam gdzie są obowiązki, pojawiają się również sankcje

Zrozumienie i adaptacja do wymogów DORA są z punktu widzenia podmiotów finansowych niezbędne nie tylko ze względu na konieczność zapewnienia odpowiedniego poziomu operacyjnej odporności cyfrowej, ale również dla uniknięcia poważnych konsekwencji prawnych i finansowych.

DORA zakłada przyznanie właściwym organom (w Polsce będzie to przede wszystkim KNF) szerokich uprawnień do nadzorowania i egzekwowania przepisów DORA. Będą one uprawnione do żądania dostępu do wszelkich dokumentów i danych, które uznają za istotne w kontekście prowadzonych dochodzeń. Instytucje finansowe muszą być przygotowane na ewentualne kontrole i inspekcje. Brak współpracy lub niedostarczenie wymaganych informacji może prowadzić do nałożenia dodatkowych sankcji.

W przypadku naruszeń przepisów DORA, organy nadzoru mogą zastosować różne sankcje administracyjne. Obejmują one m.in. nakazy zaprzestania działań niezgodnych z przepisami, wymóg zakończenia praktyk sprzecznych z regulacjami oraz stosowanie sankcji finansowych mających na celu wymuszenie zgodności.

Podsumowanie

Oczywiście pełna ocena skutków nowych regulacji będzie możliwa dopiero po jakimś czasie, jednak już odważymy się postawić tezę, iż DORA to krok milowy w kierunku zapewnienia cyfrowej odporności operacyjnej w sektorze finansowym UE. Dzięki wprowadzeniu nowych standardów zarządzania ryzykiem ICT oraz wymogu proaktywnego podejścia do bezpieczeństwa cyfrowego, DORA powinna nie tylko pomóc chronić instytucje finansowe, ale także zwiększyć zaufanie klientów do usług finansowych. Ruch jest teraz po stronie sektora finansowego – osiągnięcie celu DORA i związanych z tym korzyści będzie możliwe tylko, jeżeli poważnie podejdzie się do wdrożenia nowych regulacji.

The post DORA na horyzoncie: kluczowe zmiany dla sektora finansowego 🏦 first appeared on Kancelaria LBKP.

Końcówka 2024 roku upływa nie tylko pod znakiem sygnalistów, ale także pod znakiem „Cyberbezpieczeństwa”. Zawdzięczamy to dyrektywie NIS 2 oraz rozporządzeniu DORA. Dziś kilka słów o NIS 2.

Do 17 października 2024 roku Polska musi implementować dyrektywę UE NIS 2, która ma zapewnić odporność podmiotów ważnych z perspektywy interesu publicznego na cyberzagrożenia. Wymaga to wdrożenia odpowiednich procedur i szkoleń, dotyczących m.in.: analizy ryzyka i bezpieczeństwa systemów IT, obsługi incydentów, ciągłości działania, zarządzania kryzysowego, bezpieczeństwa łańcucha dostaw oraz innych.
NIS 2 obejmie wiele podmiotów, które dotychczas nie podlegały regulacjom NIS 1. Zgodnie z projektem zmian do Ustawy o Krajowym Systemie Cyberbezpieczeństwa (UKSC), podmioty, które powinny szczególnie zainteresować się NIS 2 to m.in.:
Energia
Transport
Bankowość
Infrastruktura rynków finansowych
Ochrona zdrowia
Zaopatrzenie w wodę pitną i jej dystrybucja
Infrastruktura cyfrowa
Ścieki
Zarządzanie usługami IT
Sektor publiczny
Przestrzeń kosmiczna
Usługi pocztowe i kurierskie
Gospodarowanie odpadami
Produkcja, wytwarzanie i dystrybucja chemikaliów
Produkcja, przetwarzanie i dystrybucja żywności
Produkcja
Dostawcy usług cyfrowych
Badania naukowe

Lista jest długa . Co więcej, projekt UKSC wymaga samoidentyfikacji podmiotów, które spełniają kryteria, i wpisania się do właściwego rejestru.
Nowelizacja UKSC, zgodnie z projektem, wejdzie w życie w terminie jednego miesiąca od publikacji. To nie będzie wystarczający okres na pełne wdrożenie nowych obowiązków. Dlatego już teraz proponujemy naszym klientom audyt i wdrożenie NIS 2, oparte na standardach PN-EN ISO/IEC 27001, PN-EN ISO/IEC 22301 oraz najlepszych praktykach rynkowych. Po sfinalizowaniu prac legislacyjnych, wystarczające będzie doszlifowywanie procedur.

A Ty, „łapiesz się” na NIS2 i jesteś NIS-ready?

The post NIS 2 – Nowe wymagania first appeared on Kancelaria LBKP.