DORA – kogo dotyczy i jakie obowiązki musi spełnić firma?
DORA nie jest już regulacją, do której sektor finansowy dopiero się przygotowuje. Rozporządzenie (UE) 2022/2554 jest stosowane od 17 stycznia 2025 r. i ustanawia jednolite wymagania dotyczące cyfrowej odporności operacyjnej podmiotów finansowych. Oznacza to, że pytanie nie brzmi już „kiedy DORA zacznie obowiązywać?”, lecz czy nasza organizacja jest objęta DORA i czy potrafimy wykazać, że wymagania rzeczywiście działają w praktyce.
Zakres regulacji jest szerszy niż samo cyberbezpieczeństwo. DORA obejmuje zarządzanie ryzykiem ICT, obsługę i raportowanie poważnych incydentów, testowanie odporności cyfrowej, zarządzanie ryzykiem dostawców technologicznych oraz wymagania dotyczące umów na usługi ICT. Dlatego w wielu organizacjach wdrożenie DORA wymaga równoległej analizy zagadnień z obszaru Prawa IT, nowych technologii i AI oraz spojrzenia technologicznego z obszaru Nowych Technologii. W praktyce łączy więc prawo, compliance, bezpieczeństwo, IT, zakupy, outsourcing i odpowiedzialność zarządu.
Jeżeli firma potrzebuje ustalić, czy konkretna działalność, umowa lub model outsourcingu podlega wymaganiom regulacyjnym, w EkspertOnline można wybrać eksperta z obszaru Prawa i omówić konkretny problem. Zobacz również jak działa EkspertOnline.
Czym jest DORA?
DORA, czyli Digital Operational Resilience Act, to unijne rozporządzenie dotyczące cyfrowej odporności operacyjnej sektora finansowego. Jego celem jest zwiększenie zdolności podmiotów finansowych do zapobiegania zakłóceniom ICT, reagowania na nie i odtwarzania działalności po incydentach.
Rozporządzenie nie ogranicza się do ochrony systemów przed atakiem. Firma ma również wiedzieć, od jakich systemów i dostawców zależą jej procesy, jak reaguje na awarie, jak klasyfikuje incydenty, jak testuje odporność oraz jakie warunki ma zapisane w umowach z dostawcami ICT.
Europejski Urząd Nadzoru Giełd i Papierów Wartościowych wskazuje pięć głównych obszarów DORA: zarządzanie ryzykiem ICT, zarządzanie ryzykiem dostawców ICT, testowanie odporności cyfrowej, incydenty ICT oraz nadzór nad krytycznymi zewnętrznymi dostawcami usług ICT.
Rekomendowani eksperci:
Kogo dotyczy DORA?
DORA obejmuje szeroki katalog podmiotów finansowych wskazanych w art. 2 rozporządzenia. Są wśród nich między innymi instytucje kredytowe, instytucje płatnicze, instytucje pieniądza elektronicznego, firmy inwestycyjne, dostawcy usług związanych z kryptoaktywami, centralne depozyty papierów wartościowych, kontrahenci centralni, systemy obrotu, repozytoria transakcji, zarządzający alternatywnymi funduszami inwestycyjnymi, spółki zarządzające, zakłady ubezpieczeń i reasekuracji, pośrednicy ubezpieczeniowi w zakresie przewidzianym przez regulację, instytucje pracowniczych programów emerytalnych, agencje ratingowe oraz określone inne podmioty rynku finansowego.
Dlatego odpowiedzi na pytanie „czy DORA nas dotyczy?” nie powinno się opierać wyłącznie na potocznym rozumieniu słowa „bank” albo „finanse”. Pierwszym krokiem jest przyporządkowanie organizacji do konkretnej kategorii prawnej oraz sprawdzenie wyjątków i zasad proporcjonalności.
Czy DORA dotyczy również dostawców IT?
To jedno z najważniejszych praktycznych pytań.
DORA nakłada zasadniczą część obowiązków na podmioty finansowe, ale bardzo mocno reguluje ich relacje z zewnętrznymi dostawcami usług ICT. To właśnie tutaj DORA bezpośrednio łączy się z Prawem IT, nowych technologii i AI: regulacja wpływa na ocenę dostawców technologicznych, outsourcing, sposób konstruowania umów i możliwość kontroli realizacji usług. Podmiot finansowy nie może potraktować outsourcingu technologii jako przeniesienia własnej odpowiedzialności za odporność cyfrową.
Regulacja wymaga między innymi zarządzania ryzykiem dostawców ICT, prowadzenia rejestru informacji o umowach dotyczących korzystania z usług ICT oraz odpowiedniego ukształtowania postanowień kontraktowych. Dodatkowo na poziomie unijnym funkcjonuje system nadzoru nad dostawcami ICT uznanymi za krytycznych.
Dla firmy technologicznej obsługującej bank, ubezpieczyciela lub inny podmiot finansowy oznacza to, że wymagania DORA mogą pojawić się bardzo konkretnie w procesie zakupowym, due diligence, audycie, SLA i treści umowy, nawet jeśli sam dostawca nie jest podmiotem finansowym objętym pełnym katalogiem obowiązków DORA. W takich przypadkach perspektywę prawną warto łączyć z praktyczną analizą architektury, systemów i zależności ICT w obszarze Nowych Technologii.
Jakie są główne obowiązki wynikające z DORA?
1. Zarządzanie ryzykiem ICT
Podmiot finansowy powinien posiadać ramy zarządzania ryzykiem ICT umożliwiające identyfikowanie, ochronę, wykrywanie, reagowanie, odtwarzanie i uczenie się po zdarzeniach.
Nie chodzi wyłącznie o posiadanie polityki. Regulacja wymaga spójnego systemu obejmującego role, odpowiedzialności, procesy, technologie i kontrolę.
Istotna jest również odpowiedzialność organu zarządzającego. DORA przypisuje mu obowiązki związane z określaniem, zatwierdzaniem i nadzorowaniem rozwiązań dotyczących ryzyka ICT.
2. Zarządzanie incydentami ICT
Firma musi posiadać proces wykrywania, zarządzania i klasyfikowania incydentów związanych z ICT.
Nie każdy problem techniczny staje się automatycznie poważnym incydentem podlegającym raportowaniu. Ocena zdarzenia może jednak wymagać jednoczesnego spojrzenia regulacyjnego, kontraktowego i technologicznego — dlatego także w tym miejscu istotny jest obszar Prawa IT, nowych technologii i AI. DORA oraz akty wykonawcze określają kryteria klasyfikacji i progi istotności.
W Polsce Komisja Nadzoru Finansowego udostępnia System do Obsługi Incydentów DORA przeznaczony do zgłaszania poważnych incydentów ICT oraz znaczących cyberzagrożeń.
3. Raportowanie poważnych incydentów
Jeżeli zdarzenie spełnia kryteria poważnego incydentu ICT, podmiot musi uruchomić właściwą procedurę raportową.
To wymaga wcześniejszego przygotowania. W momencie incydentu organizacja powinna już wiedzieć, kto dokonuje klasyfikacji, kto podejmuje decyzję o zgłoszeniu, jakie dane trzeba zebrać i kto komunikuje się z organem nadzoru.
Brak procesu może powodować, że problem techniczny szybko staje się również problemem regulacyjnym.
DORA a umowy z dostawcami ICT
To jeden z obszarów, w których DORA bezpośrednio spotyka się z praktyką prawną i zakupową firmy. Przy przeglądzie umów technologicznych warto więc analizować wymagania DORA razem z szerszymi zagadnieniami Prawa IT, nowych technologii i AI, zamiast traktować zgodność regulacyjną i kontrakty ICT jako dwa niezależne tematy.
Artykuł 30 rozporządzenia określa kluczowe postanowienia umowne dotyczące korzystania z usług ICT. Prawa i obowiązki podmiotu finansowego oraz dostawcy powinny być jasno określone na piśmie, a całość umowy powinna obejmować uzgodnione poziomy usług.
W zależności od rodzaju usługi i jej znaczenia wymagania mogą dotyczyć między innymi opisu usług, lokalizacji przetwarzania danych, ochrony danych, dostępności i integralności informacji, współpracy w przypadku incydentów, praw dostępu, kontroli i audytu oraz warunków zakończenia współpracy.
Szczególnie istotne są usługi ICT wspierające funkcje krytyczne lub istotne. Tutaj analiza kontraktu nie powinna sprowadzać się do dopisania jednego załącznika „DORA”. Trzeba sprawdzić rzeczywisty model świadczenia usługi, podwykonawców, możliwość audytu, ciągłość działania oraz scenariusz wyjścia.
Poznaj ekspertów, którzy dołączyli do EkspertOnline ostatnio:
Rejestr umów z dostawcami ICT
DORA wymaga prowadzenia i aktualizowania rejestru informacji dotyczących wszystkich umów na korzystanie z usług ICT świadczonych przez zewnętrznych dostawców.
To powoduje, że zgodność nie jest wyłącznie zadaniem działu prawnego lub bezpieczeństwa. Firma musi wiedzieć, jakie usługi technologiczne faktycznie kupuje, kto je dostarcza, jakie procesy wspierają i które z nich są związane z funkcjami krytycznymi lub istotnymi.
W praktyce problemem może być już samo stworzenie kompletnej mapy dostawców, jeżeli zakupy SaaS, chmury i narzędzi odbywały się przez wiele działów bez centralnego rejestru.
DORA a outsourcing i podwykonawcy
DORA zwraca uwagę również na łańcuch podwykonawców.
Jeżeli dostawca ICT korzysta z dalszych podmiotów, szczególnie przy usługach wspierających funkcje krytyczne lub istotne, organizacja finansowa musi ocenić ryzyko wynikające z takiego modelu. Długie lub złożone łańcuchy podwykonawstwa mogą utrudniać kontrolę nad usługą oraz nadzór regulacyjny.
To ma bezpośrednie znaczenie podczas negocjowania umów z dostawcami chmurowymi, software house’ami, operatorami infrastruktury, dostawcami systemów branżowych czy usług bezpieczeństwa.
DORA i plan wyjścia od dostawcy
Jednym z praktycznych elementów zarządzania ryzykiem zewnętrznym jest możliwość zakończenia współpracy bez utraty zdolności do wykonywania kluczowych funkcji.
Regulacyjne standardy techniczne wymagają dla odpowiednich relacji udokumentowanych planów wyjścia, ich okresowego przeglądu i testowania. Plan powinien brać pod uwagę między innymi długotrwałą niedostępność usługi, niewłaściwe świadczenie usług oraz nieoczekiwane zakończenie umowy.
Dlatego pytanie „czy możemy rozwiązać umowę?” jest niewystarczające. Ważniejsze brzmi: czy po rozwiązaniu umowy potrafimy rzeczywiście przenieść usługę, dane i proces do innego rozwiązania bez niedopuszczalnego zakłócenia działalności?
Testowanie cyfrowej odporności operacyjnej
DORA wymaga programu testowania odporności cyfrowej.
Zakres i intensywność testów powinny odpowiadać profilowi organizacji i ryzyku. Celem nie jest samo wykonanie testu dla dokumentacji, lecz sprawdzenie, czy mechanizmy ochronne, ciągłość działania, procedury reakcji i odtwarzania rzeczywiście funkcjonują. To kolejny punkt, w którym temat DORA naturalnie łączy się z praktyką Nowych Technologii i oceną rzeczywistej odporności środowiska ICT.
Dla części podmiotów regulacja przewiduje również zaawansowane testy oparte na zagrożeniach.
Czy wystarczy audyt zgodności z DORA?
Audyt może pokazać luki, ale sam raport nie tworzy zgodności.
Jeżeli analiza wykaże brak wymaganych postanowień w umowach, niekompletny rejestr dostawców, niespójny proces klasyfikacji incydentów albo nieprzetestowany plan wyjścia, potrzebne są działania naprawcze i dowody ich wdrożenia.
Dlatego sensowna ocena DORA powinna kończyć się mapą:
wymóg → obecny stan → luka → ryzyko → właściciel działania → termin → dowód wykonania.
To pozwala odróżnić dokumentację „na papierze” od rzeczywistego systemu odporności.
Kto w firmie powinien odpowiadać za DORA?
Nie powinien to być projekt jednego działu.
Prawo interpretuje obowiązki i kontrakty. Compliance pilnuje zgodności oraz dowodów. IT i bezpieczeństwo odpowiadają za znaczną część procesów technicznych. Zakupy uczestniczą w zarządzaniu dostawcami. Właściciele biznesowi muszą wiedzieć, które funkcje są krytyczne lub istotne. Zarząd odpowiada za właściwy poziom nadzoru.
Brak jednoznacznego podziału odpowiedzialności jest szczególnie ryzykowny przy incydencie. Wtedy nie ma czasu na ustalanie, kto powinien zebrać informacje, ocenić próg raportowy lub skontaktować się z dostawcą.
DORA – od czego zacząć sprawdzenie zgodności?
Praktyczny przegląd można rozpocząć od siedmiu pytań:
- Czy firma jest podmiotem objętym DORA i w jakiej kategorii?
- Czy mamy aktualną mapę systemów, usług ICT i zależności?
- Czy potrafimy wskazać funkcje krytyczne lub istotne oraz wspierające je usługi ICT?
- Czy mamy kompletny rejestr umów z dostawcami ICT?
- Czy umowy zawierają wymagane postanowienia i odpowiednie prawa kontroli?
- Czy proces incydentowy pozwala prawidłowo klasyfikować i raportować zdarzenia?
- Czy testujemy ciągłość, odtwarzanie oraz scenariusze wyjścia od kluczowych dostawców?
Jeżeli odpowiedź na któreś z tych pytań brzmi „nie wiemy”, jest to dobry punkt startowy do dalszej analizy. Jeżeli problem dotyczy nie tylko interpretacji regulacji, ale również architektury rozwiązań, bezpieczeństwa, integracji lub zależności technologicznych, warto równolegle spojrzeć na obszar Nowych Technologii. Przykładowym kierunkiem dalszej konsultacji technologicznej może być także profil Tomasza Szmidta, przy czym dopasowanie eksperta do konkretnego zakresu DORA powinno być ocenione dla danego przypadku.
DORA w 2026 roku – zgodność musi działać operacyjnie
Po rozpoczęciu stosowania DORA ciężar przesuwa się z projektu wdrożeniowego na utrzymanie zgodności.
Rejestr dostawców trzeba aktualizować. Nowe umowy muszą być oceniane przed podpisaniem. Zmiany usług ICT mogą zmieniać profil ryzyka. Incydenty trzeba klasyfikować zgodnie z obowiązującymi kryteriami. Plany i procedury powinny być testowane, a ustalenia z audytów zamykane.
Aktualne materiały KNF pokazują również działające kanały sprawozdawcze DORA, w tym system obsługi incydentów oraz system sprawozdawczości. To dobry sygnał, że dla podmiotów objętych regulacją DORA jest już elementem bieżącego środowiska nadzorczego, a nie przyszłym projektem.
DORA – co powinien sprawdzić zarząd?
Zarząd nie musi wykonywać pracy zespołów IT, prawnych i compliance, ale powinien mieć możliwość odpowiedzi na kilka podstawowych pytań:
- jakie najważniejsze ryzyka ICT mogą zatrzymać działalność,
- które procesy zależą od zewnętrznych dostawców,
- które usługi wspierają funkcje krytyczne lub istotne,
- czy firma jest gotowa na poważny incydent,
- czy umowy pozwalają skutecznie kontrolować dostawców,
- czy istnieją realne scenariusze wyjścia,
- jakie istotne luki pozostają otwarte.
DORA jest więc nie tylko projektem technicznym. To element systemu zarządzania ryzykiem przedsiębiorstwa finansowego..
Aktualności
FAQ – dla tematu DORA
Od kiedy obowiązuje DORA?
Rozporządzenie DORA jest stosowane od 17 stycznia 2025 r. Od tego dnia podmioty objęte regulacją powinny realizować odpowiednie wymagania, a nie jedynie przygotowywać się do ich wdrożenia.
Czy DORA dotyczy tylko banków?
Nie. Rozporządzenie obejmuje szeroki katalog podmiotów sektora finansowego. Zakres należy sprawdzić według kategorii wymienionych w art. 2 DORA oraz odpowiednich wyjątków.
Czy firma IT świadcząca usługi dla banku podlega DORA?
Sytuacja dostawcy ICT jest inna niż sytuacja podmiotu finansowego, ale DORA bardzo silnie wpływa na relacje kontraktowe z dostawcami. Wymagania mogą pojawić się w umowie, audycie, SLA, obowiązkach dotyczących incydentów, podwykonawców czy zakończenia współpracy.
Czy DORA wymaga zmiany umów z dostawcami IT?
Umowy dotyczące usług ICT powinny zostać sprawdzone pod kątem wymagań DORA, w szczególności art. 30. Zakres wymaganych postanowień zależy między innymi od rodzaju usługi oraz tego, czy wspiera ona funkcję krytyczną lub istotną.
Czy DORA wymaga rejestru dostawców ICT?
DORA wymaga prowadzenia rejestru informacji dotyczących umów na korzystanie z usług ICT świadczonych przez zewnętrznych dostawców. Rejestr jest jednym z podstawowych elementów zarządzania ryzykiem zewnętrznym.
Czy każdy incydent IT trzeba zgłaszać do KNF?
Nie. Obowiązek raportowania dotyczy incydentów spełniających kryteria poważnego incydentu ICT. Dlatego firma potrzebuje procesu klasyfikacji zgodnego z DORA i właściwymi standardami technicznymi.
Czy DORA zastępuje NIS2?
Dla podmiotów finansowych objętych DORA regulacja jest sektorowym aktem Unii w zakresie wskazanych obowiązków dotyczących m.in. zarządzania ryzykiem ICT i raportowania incydentów. Ocena pozostałych obowiązków powinna jednak uwzględniać konkretny status prawny organizacji.
Czy zgodność z DORA jest jednorazowym projektem?
Nie. Zarządzanie ryzykiem ICT, dostawcami, rejestrem umów, incydentami i testami wymaga bieżącego utrzymania. Zmiany systemów, dostawców i procesów mogą wymagać ponownej oceny ryzyka i dokumentacji.
Źródła
EUR-Lex — Rozporządzenie (UE) 2022/2554 (DORA)
ESMA — Digital Operational Resilience Act (DORA)
EBA — RTS dotyczące ram zarządzania ryzykiem ICT