DORA
Rozporządzenie w sprawie operacyjnej odporności cyfrowej
Co to jest DORA?
Jakie podmioty podlegają DORA?
Jaki jest zakres nowych obowiązków?
Jaki jest zakres usługi?
Świadczymy usługę doradczą w zakresie wdrożenia wymogów, które nakłada Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego, powszechnie nazywane DORA (Digital Operational Resilience Act).
W przeciwieństwie do dyrektyw, DORA jako rozporządzenie unijne obowiązuje bezpośrednio we wszystkich państwach członkowskich, bez konieczności odrębnej transpozycji. Rozporządzenie jest stosowane od 17 stycznia 2025 roku. W Polsce funkcję organu nadzorującego zgodność z DORA pełni Komisja Nadzoru Finansowego (KNF) – kompetencje te przyznała jej ustawa z dnia 25 czerwca 2025 r. o zmianie niektórych ustaw w związku z zapewnieniem operacyjnej odporności cyfrowej sektora finansowego.
Co to jest DORA?
DORA to rozporządzenie Unii Europejskiej, którego celem jest ujednolicenie i wzmocnienie odporności cyfrowej całego europejskiego sektora finansowego. W odróżnieniu od NIS 2, który dotyczy szerokiego spektrum sektorów gospodarki, DORA koncentruje się wyłącznie na podmiotach rynku finansowego oraz obsługujących je dostawcach usług ICT.
Główne cele DORA:
1. Ujednolicenie zarządzania ryzykiem ICT w sektorze finansowym
Zobowiązanie instytucji finansowych do traktowania ryzyka teleinformatycznego na równi z ryzykiem kredytowym, operacyjnym czy rynkowym – a nie jako zagadnienia wyłącznie technicznego.
– Jednolite ramy w całej UE: Wcześniej banki, ubezpieczyciele czy firmy inwestycyjne podlegały różnym, rozproszonym wymogom w poszczególnych krajach. DORA wprowadza jeden spójny standard dla całego rynku finansowego UE.
– Nadzór nad dostawcami ICT: Kluczowi zewnętrzni dostawcy usług teleinformatycznych (np. dostawcy chmury) mogą podlegać bezpośredniemu nadzorowi europejskich urzędów nadzoru.
2. Odporność operacyjna, nie tylko zgodność formalna
DORA kładzie nacisk na realną zdolność do działania w warunkach zakłóceń:
– Testowanie odporności: Obowiązkowe regularne testy systemów ICT, a dla największych podmiotów – zaawansowane testy penetracyjne oparte na zagrożeniach (TLPT).
– Zarządzanie ryzykiem strony trzeciej: Instytucje finansowe muszą prowadzić rejestr wszystkich umów z dostawcami ICT i oceniać ryzyko koncentracji.
3. Szybka reakcja i wymiana informacji o incydentach
– Zgłaszanie poważnych incydentów ICT: Obowiązek powiadamiania KNF o poważnych incydentach związanych z ICT w ściśle określonych ramach czasowych (zgłoszenie wstępne, sprawozdanie pośrednie i końcowe).
– Wymiana informacji o zagrożeniach: Możliwość i zachęta do dobrowolnej wymiany informacji o cyberzagrożeniach między podmiotami finansowymi.
Jakie podmioty podlegają DORA?
Obowiązki wynikające z DORA dotyczą szerokiego katalogu podmiotów finansowych działających w Polsce i UE, w tym w szczególności:
– banki i instytucje kredytowe
– firmy inwestycyjne
– instytucje płatnicze i instytucje pieniądza elektronicznego
– dostawców usług w zakresie kryptoaktywów oraz emitentów kryptoaktywów
– zakłady ubezpieczeń i zakłady reasekuracji
– pośredników ubezpieczeniowych i reasekuracyjnych (z pewnymi wyłączeniami dla mikro-, małych i średnich przedsiębiorstw)
– towarzystwa funduszy inwestycyjnych (TFI) i zarządzających alternatywnymi funduszami inwestycyjnymi
– kontrahentów centralnych i systemy obrotu (giełdy, platformy MTF/OTF)
– repozytoria transakcji
– agencje ratingowe
– dostawców usług finansowania społecznościowego (crowdfunding)
– kluczowych zewnętrznych dostawców usług ICT dla sektora finansowego (podlegających bezpośredniemu nadzorowi unijnemu).
Zakres podmiotowy DORA jest szerszy niż mogłoby się wydawać – obejmuje praktycznie każdą instytucję finansową działającą na rynku regulowanym, niezależnie od jej wielkości, choć niektóre obowiązki (np. zaawansowane testy TLPT) dotyczą przede wszystkim większych i systemowo istotnych podmiotów.
Jaki jest zakres nowych obowiązków?
DORA opiera się na pięciu filarach regulacyjnych:
1. Zarządzanie ryzykiem ICT
– Ramy zarządzania ryzykiem: Formalny, zatwierdzony przez organ zarządzający system zarządzania ryzykiem ICT, obejmujący identyfikację, ochronę, wykrywanie, reagowanie i odzyskiwanie.
– Ciągłość działania: Plany ciągłości działania (BCP) i plany odzyskiwania po awarii (DRP) dla systemów krytycznych.
– Klasyfikacja i inwentaryzacja aktywów ICT: Pełny rejestr systemów, funkcji i aktywów informacyjnych wraz z oceną ich krytyczności.
2. Zgłaszanie incydentów ICT (reżim czasowy)
Podmioty finansowe muszą klasyfikować i zgłaszać poważne incydenty związane z ICT w ramach wieloetapowego procesu:
– Zgłoszenie wstępne: Możliwie szybkie powiadomienie właściwego organu (KNF) o wystąpieniu poważnego incydentu.
– Sprawozdanie pośrednie: Aktualizacja informacji w miarę rozwoju sytuacji i ustaleń.
– Sprawozdanie końcowe: Szczegółowa analiza przyczyn źródłowych po zakończeniu obsługi incydentu.
3. Testowanie operacyjnej odporności cyfrowej
– Regularne testy podstawowe: Testy oceny podatności, analizy scenariuszowe, testy bezpieczeństwa sieci – co najmniej raz w roku dla większości podmiotów.
– Zaawansowane testy TLPT: Testy penetracyjne oparte na zagrożeniach (Threat-Led Penetration Testing) dla podmiotów istotnych systemowo, przeprowadzane z udziałem niezależnych testerów.
4. Zarządzanie ryzykiem strony trzeciej ICT
– Rejestr umów z dostawcami ICT: Obowiązkowy, aktualizowany rejestr informacji o wszystkich umowach dotyczących korzystania z usług ICT.
– Kluczowe elementy umów: Weryfikacja, czy umowy z dostawcami zawierają wymagane przez DORA postanowienia (m.in. dot. prawa do audytu, planów wyjścia, poziomów usług).
– Ocena koncentracji ryzyka: Analiza zależności od pojedynczych dostawców, szczególnie w obszarach krytycznych lub istotnych funkcjonalnie.
5. Wymiana informacji o zagrożeniach
– Mechanizmy wymiany informacji: Uczestnictwo w dobrowolnych porozumieniach dotyczących wymiany informacji o cyberzagrożeniach z innymi podmiotami rynku.
Zakres naszych usług
Kompleksowe dostosowanie organizacji do wymogów rozporządzenia DORA
1.Zakres projektu wdrożeniowego
Nasz model współpracy opiera się na pięciu filarach, które gwarantują zgodność z rozporządzeniem 2022/2554:
I. Audyt otwarcia i analiza luki (Gap Analysis)
– Weryfikacja statusu podmiotu i zakresu podlegania DORA (w tym zwolnień dla mikro-, małych i średnich pośredników).
– Analiza luk między obecnym stanem organizacji a wymogami rozporządzenia.
– Inwentaryzacja i klasyfikacja aktywów ICT oraz funkcji krytycznych i istotnych.
II. Zarządzanie ryzykiem ICT i governance
– Opracowanie ram zarządzania ryzykiem ICT wraz z niezbędną dokumentacją i politykami.
– Przygotowanie lub aktualizacja planów ciągłości działania (BCP) i odzyskiwania po awarii (DRP).
– Wsparcie organu zarządzającego (zarządu) w zatwierdzeniu i nadzorowaniu przyjętych ram.
III. Procedury zgłaszania incydentów ICT
– Opracowanie procedury klasyfikacji i zgłaszania poważnych incydentów ICT do KNF.
– Przygotowanie wzorów zgłoszeń (wstępnego, pośredniego i końcowego) zgodnych z wymogami technicznymi.
– Testy i symulacje procedury reagowania na incydenty.
IV. Testowanie operacyjnej odporności cyfrowej
– Zaplanowanie i koordynacja podstawowych testów odporności systemów ICT.
– Wsparcie w organizacji zaawansowanych testów TLPT dla podmiotów systemowo istotnych.
– Analiza wyników testów i rekomendacje działań naprawczych.
V. Zarządzanie ryzykiem dostawców ICT
– Budowa i wdrożenie rejestru umów z dostawcami usług ICT.
– Przegląd i aktualizacja umów pod kątem wymaganych klauzul DORA (prawo audytu, plany wyjścia, SLA).
– Ocena ryzyka koncentracji i zależności od kluczowych dostawców zewnętrznych.
Korzyści dla organizacji
- Odporność operacyjna – realna zdolność do szybkiego wykrywania, reagowania i odzyskiwania sprawności po zakłóceniach ICT.
- Zgodność (Compliance) – rełne dostosowanie do wymogów rozporządzenia 2022/2554 i ograniczenie ryzyka sankcji nadzorczych KNF.
- Bezpieczeństwo łańcucha dostaw – uporządkowane relacje z dostawcami ICT i ograniczenie ryzyka koncentracji.
- Reputacja – wizerunek instytucji finansowej godnej zaufania klientów, partnerów i nadzorcy.
Pytania dotyczące usługi
Rozporządzenie 2022/2554 jest stosowane bezpośrednio we wszystkich państwach UE od **17 stycznia 2025 roku**. W Polsce nadzór nad jego przestrzeganiem sprawuje Komisja Nadzoru Finansowego (KNF) na podstawie ustawy z 25 czerwca 2025 r.
Jeśli prowadzisz działalność jako podmiot finansowy w rozumieniu rozporządzenia (bank, firma inwestycyjna, instytucja płatnicza, zakład ubezpieczeń, TFI, dostawca usług w zakresie kryptoaktywów i inne) – co do zasady podlegasz DORA. Chętnie pomożemy zweryfikować dokładny zakres obowiązków dla Twojej organizacji.
Czas wdrożenia zależy od wielkości i złożoności organizacji oraz obecnego poziomu dojrzałości w zakresie zarządzania ryzykiem ICT – zwykle jest to od kilku tygodni do kilku miesięcy.
Tak, to możliwe. Nasza firma zajmuje się tym zagadnieniem kompleksowo – od analizy luki, przez opracowanie dokumentacji, po wsparcie we wdrożeniu i bieżące doradztwo.
Koszt usługi zależy od zakresu prac oraz wielkości i profilu działalności podmiotu. Jeśli chciałbyś poznać cenę usługi, po prostu do nas napisz: biuro@zgodnosc.pl.
Wielkość organizacji, liczba systemów i dostawców ICT objętych analizą oraz zakres prac decydują o ostatecznej cenie usługi. Zadzwoń do nas lub napisz, aby uzyskać szczegółową wycenę.
Obok jednorazowego wdrożenia wymogów DORA możliwa jest współpraca w oparciu o stałą umowę (ryczałt) obejmującą przygotowanie i aktualizację dokumentacji, nadzór nad wdrożonymi zmianami, bieżące doradztwo oraz cykliczne przeglądy zgodności.
Jak najbardziej. Chętnie wyjaśnimy niezrozumiałe kwestie i pomożemy w problematycznych sytuacjach – także po zakończeniu wdrożenia.
Jednym zdaniem
Dlaczego właśnie my?
Jesteśmy zespołem specjalistów. Łączymy unikalną wiedzę prawniczą ze specjalistyczną znajomością zagadnień informatycznych. Naszym niewątpliwym atutem jest dogłębna znajomość środowiska biznesowego.
Jak realizujemy nasze projekty?
Pomagamy naszym nowym Klientom na każdym etapie usługi
Ponieważ nasi nowi Klienci nie mają specjalistycznej wiedzy staramy się na każdym etapie naszej współpracy pomagać im dobrze zrozumieć cel naszych działań. Poniżej opisujemy kilka typowych kroków realizowanych standardowo w przypadku nowego projektu:
Jak wygląda współpraca z Klientem?
Przez lata praktyki zrozumieliśmy, że właściwe postępowanie w relacjach z Klientami jest kluczem do sukcesu. Jeśli tym sukcesem będzie zadowolenie naszego Klienta na pewno będziemy stale rozwijać naszą firmę. Filozofia wydaje się prosta ale jednak jej realizacja nastręcza w praktyce wielu problemów. Czasami jest to pragnienie szybkiego i skutecznego osiągnięcia celu a czasami zwykłe niezrozumienie oczekiwań naszych partnerów biznesowych. Jeśli jednak będziemy współpracować na zasadzie poszanowania własnych praw i interesów zrealizujemy wspólne cele. Takie partnerskie podejście tylko w teorii jest codziennością. My jednak wzięliśmy te proste zasady na poważnie. Dzięki temu nieprzerwanie od kilkunastu lat rozwijamy naszą firmę.