Przy wdrażaniu Wytycznych IT KNF należy pamiętać, że są one ściśle ze sobą powiązane i tworzą logiczną całość, a sama struktura oparta jest na tzw. cyklu Deminga (w wolnym tłumaczeniu: planuj, wykonuj, sprawdź, działaj). KNF tworząc Wytyczne wzorowała się na zapisach znanych standardów, dobrych praktyk i norm, m.in.: norm ISO z grupy 27000, ISO 20000, ISO 22301 (BS 25999) oraz ITIL (ang. Information Technology Infrastructure Library), stąd też w przypadku wątpliwości przy wdrożeniu wytycznych należy sięgnąć do „źródła”. Ma to szczególne znaczenie przy wytycznych, które sprawiają najwięcej trudności:

• Wytyczna 8 – Zarządzanie danymi,
• Wytyczna 15 – Ciągłość działania środowiska teleinformatycznego,
• Wytyczna 18 – System zarządzania bezpieczeństwem środowiska teleinformatycznego,
• Wytyczna 19 – Kontrola i przeciwdziałanie ryzyku w zakresie bezpieczeństwa środowiska teleinformatycznego.

Organ nadzorczy podkreśla, że wszystkie Wytyczne powinny zostać wdrożone, jednak daje przy tym możliwość stosowania zasady „zastosuj lub wyjaśnij” (ang. comply or explain) w odniesieniu  do  sposobu realizacji poszczególnych Wytycznych, z zachowaniem podejścia ostrożnościowego, akceptowalnego poziomu ryzyka i konieczności przestrzegania przepisów prawa. W praktyce oznacza to, że zarządzający instytucją nadzorowaną muszą określić sposób wdrożenia poszczególnych Wytycznych biorąc pod uwagę skalę działalności organizacji i istniejące ryzyko jej prowadzenia. Jedynie wybrane elementy poszczególnych Wytycznych mają charakter opcjonalny („należy rozważyć…”), co jednak nie oznacza, że można je pominąć podczas realizacji prac dostosowawczych. KNF oczekuje, że podmiot faktycznie rozważy zasadność wdrożenia lub zaniechania wdrożenia tych elementów. A jeśli w wyniku rozważań podmiot podejmie decyzję, że odstępuje od implementacji elementu opcjonalnego to powinien co najmniej zadbać, żeby samo rozważenie miało charakter merytorycznej analizy podsumowanej formalnym raportem, w oparciu o który Zarząd podmiotu świadomie podjął taką, a nie inną decyzję. Należy również pamiętać, że Wytyczne IT są z jednej strony odpowiednikiem Rekomendacji D, którą banki (nie tylko największe krajowe instytucje, ale również niewielkie banki spółdzielcze) miały obowiązek wdrożyć do końca 2014 roku, a z drugiej strony oparte są na uznanych międzynarodowych standardach i normach, stąd praktyki w zakresie sposobu ich wdrażania są na rynku bardzo dobrze znane i należy wziąć je pod uwagę planując własne prace oraz prowadząc wspomniane analizy zasadności. Z pewnością przy ocenie danej instytucji Regulator również będzie brał pod uwagę jej porównanie z innymi podmiotami o analogicznym zakresie działalności.

Sposobów na tzw. analizę porównawczą względem rynku (ang. benchmarking) jest kilka, ale najefektywniejsze z nich to z pewnością:

• Wspólna praca podmiotów regulowanych w ramach izb gospodarczych oraz wymiana wiedzy i doświadczeń w poszczególnych obszarach merytorycznych Wytycznych IT KNF,
• Skorzystanie z pomocy profesjonalnego doradcy. Kluczowym jest jednak, aby taki doradca posiadała doświadczenie w analogicznych projektach realizowanych zarówno dla małych – kilkuosobowych, średnich – kilkudziesięcioosobowych oraz dużych – kilkusetosobowych instytucji nadzorowanych. Takie doświadczenie sprzyja w dobraniu optymalnych rozwiązań, dedykowanych do konkretnej organizacji, przy jednoczesnym zapewnieniu zgodności z rynkowymi praktykami.

Biorąc pod uwagę doświadczenia z banków, instytucje objęte nowymi Wytycznymi IT powinny jak najszybciej rozpocząć proces ich wdrażania. Praktyka pokazuje, że realizacja prac wdrożeniowych zajmuje od kilku do nawet kilkunastu miesięcy. Czas ten zależy przede wszystkim od skali organizacji i posiadanej infrastruktury teleinformatycznej, przyjętego sposobu wdrożenia Wytycznych oraz możliwości zasobowych i kompetencyjnych danego podmiotu. Wbrew pozorom mniejsze organizacje mają tu trudniejsze zadanie – udział procentowy pracowników zaangażowanych w realizację prac wdrożeniowych będzie z pewnością większy w relacji do podmiotów o znacznie większej skali, a przy tym zakres posiadanych kompetencji w obszarze IT i bezpieczeństwa jest z reguły istotnie niższy.

Prawidłowe wdrożenie Wytycznych IT KNF wiąże się z koniecznością poniesienia wydatków, ale daje przy tym dużo wymiernych korzyści dla instytucji nadzorowanej (oczywiście poza samym zapewnieniem zgodności z wymogami Regulatora). Najistotniejsza z nich to odczuwalny wzrost poziomu bezpieczeństwa informacji i danych, co w przypadku podmiotów sektora finansowego jest szczególnie istotne w obecnych czasach. Uchronienie organizacji przed jednorazowym wyciekiem krytycznych danych może okazać się wielokrotnie cenniejsze od wartości wydatków poniesionych na zapewnienie ich bezpieczeństwa.

Ryzyko ma to do siebie, że płacimy za uniknięcie spotkania z nim twarzą w twarz, dlatego dobrze zabezpieczona organizacja nigdy nie przekona się, czy było warto…