Spora część firm IT słyszała o DORA i uznała sprawę za zamkniętą: to przepisy dla banków, więc ich nie dotyczą. Tymczasem jeśli dostarczasz instytucji finansowej chmurę, hosting, oprogramowanie albo wsparcie, rozporządzenie DORA już teraz wpływa na Twoje umowy i sposób obsługi tego klienta. Nawet jeśli sam nie jesteś bankiem.

Poniżej tłumaczymy, czym jest rozporządzenie DORA, od kiedy obowiązuje, kogo dotyczy i co realnie zmienia dla dostawców IT pracujących z sektorem finansowym.

Co to jest DORA?

Rozporządzenie DORA (Digital Operational Resilience Act) to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554. Ustanawia jednolite zasady cyfrowej odporności operacyjnej dla sektora finansowego w całej Unii Europejskiej. Cel jest prosty: instytucje finansowe i ich dostawcy technologii mają potrafić przewidzieć incydent IT, przetrwać go i szybko wrócić do działania bez paraliżu firmy.

Jedno rozróżnienie bywa mylone, a ma znaczenie praktyczne. DORA to rozporządzenie, nie dyrektywa. Dyrektywę (jak NIS2) każdy kraj wdraża najpierw do własnego prawa. Rozporządzenie działa wprost, identycznie w całej UE, tak jak RODO. Polskie przepisy doprecyzowują wyłącznie kwestie nadzoru, nie zmieniają treści samego rozporządzenia.

Od kiedy obowiązuje DORA?

• 16 stycznia 2023 roku rozporządzenie DORA weszło w życie.
• Od 17 stycznia 2025 roku jest stosowane bezpośrednio w całej UE. Od tej daty podmioty finansowe i ich kluczowi dostawcy ICT muszą spełniać wymogi.
• 7 sierpnia 2025 roku w Polsce weszła w życie ustawa krajowa. Określiła kompetencje Komisji Nadzoru Finansowego (KNF), sankcje administracyjne oraz krajowe procedury raportowania incydentów.

To nie jest przepis, który dopiero nadejdzie. DORA obowiązuje, a nadzór sprawdza faktyczną gotowość organizacji, nie deklaracje.

Kogo dotyczy rozporządzenie DORA?

Regulacja obejmuje dwie grupy, a druga zaskakuje najwięcej firm.

Pierwsza to podmioty finansowe, i katalog sięga znacznie dalej niż banki. Obejmuje firmy inwestycyjne, domy maklerskie, towarzystwa funduszy inwestycyjnych, zakłady ubezpieczeń i pośredników, instytucje płatnicze i instytucje pieniądza elektronicznego, platformy crowdfundingowe oraz dostawców usług w zakresie kryptoaktywów (CASP).

Druga to zewnętrzni dostawcy usług ICT dla tego sektora. DORA traktuje jako takiego dostawcę każdy podmiot, który świadczy usługi cyfrowe wspierające procesy biznesowe instytucji finansowej: dostawców chmury, centra danych, firmy SaaS, hosting, integratorów i firmy outsourcingu IT.

Wśród nich regulacja wyróżnia krytycznych dostawców ICT (CTPP). Wyznacza się ich na poziomie europejskim, a po wyznaczeniu trafiają pod bezpośredni nadzór europejskich urzędów (EBA, ESMA, EIOPA). To pierwszy raz, gdy regulator finansowy ma uprawnienia wprost wobec dostawcy technologii, na przykład dużego dostawcy chmury obsługującego banki.

Test: czy rozporządzenie DORA dotyczy Twojej firmy?

• Jesteś podmiotem finansowym z katalogu DORA (bank, fintech, TFI, ubezpieczyciel, instytucja płatnicza, CASP)? Dotyczy Cię bezpośrednio.
• Dostarczasz usługi IT choćby jednej instytucji finansowej? Dotyczy Cię pośrednio, przez umowy i wymagania klienta.
• Twoje usługi są kluczowe dla działania takiego klienta? Możesz dostać zaostrzone wymagania, a w skrajnym przypadku trafić pod bezpośredni nadzór jako krytyczny dostawca.

Jedno „tak” wystarczy, żeby temat Cię dotyczył.

Jest też zasada proporcjonalności. Mniejsze podmioty mogą stosować uproszczone ramy zarządzania ryzykiem ICT, a mikroprzedsiębiorstwa mają dodatkowe wyłączenia. Zakres obowiązków zależy od skali i profilu firmy.

Pięć filarów DORA

Regulacja stoi na pięciu obszarach:

1. Zarządzanie ryzykiem ICT. Spójny system identyfikacji i oceny zasobów oraz funkcji krytycznych, polityki bezpieczeństwa i plany ciągłości działania. Odpowiada za to zarząd, nie sam dział IT.
2. Zgłaszanie incydentów ICT. Jednolita klasyfikacja i raportowanie poważnych incydentów w określonych terminach: powiadomienie wstępne, raport śródokresowy, raport końcowy.
3. Testowanie odporności. Stały program, od skanowania podatności po zaawansowane testy penetracyjne oparte na analizie zagrożeń (TLPT) dla największych podmiotów.
4. Zarządzanie ryzykiem dostawców ICT. Rejestr umów, ocena ryzyka, analiza koncentracji i konkretne zapisy umowne. Ten filar dotyka dostawców IT najmocniej.
5. Wymiana informacji o zagrożeniach. Współpraca i dzielenie się wiedzą o cyberzagrożeniach w sektorze.

Co DORA oznacza dla dostawców IT

To najważniejsza część dla firm technologicznych. Nawet jeśli Twoja firma nie jest podmiotem finansowym i nie podlega nadzorowi, klient z sektora finansowego ma obowiązek przenieść część wymogów DORA na Ciebie. Robi to przez umowę.

Wymagania umowne

W kontraktach z dostawcami ICT instytucje finansowe muszą zapewnić między innymi:

• prawo audytu i inspekcji, w tym dostęp na miejscu, dla klienta, a przy usługach krytycznych także dla organu nadzoru;
• raportowanie incydentów do klienta w terminach, które pozwolą mu dopełnić własnych obowiązków sprawozdawczych;
• plany wyjścia, czyli scenariusz zakończenia współpracy i migracji bez przerwy w działaniu;
• jasność co do lokalizacji i sposobu przetwarzania danych;
• kontrolę podwykonawców i zakaz niekontrolowanego podzlecania usług krytycznych;
• SLA z parametrami RTO i RPO, czyli twarde zobowiązania co do czasu przywrócenia usługi i akceptowalnej utraty danych.

Pisaliśmy wcześniej, jak negocjować umowę na outsourcing IT (SLA, RODO, odpowiedzialność, plan wyjścia). Rozporządzenie DORA zmienia te dobre praktyki w obowiązek dla każdego, kto obsługuje finanse.

Nadzór nad krytycznymi dostawcami

Krytyczny dostawca ICT wchodzi w bezpośrednią relację z europejskim nadzorcą: inspekcje, oceny, obowiązek wdrażania zaleceń. Dla większości polskich firm IT to scenariusz mało prawdopodobny, bo dotyczy głównie globalnych dostawców chmury. Wymagania umowne i operacyjne obejmują jednak praktycznie każdego, kto chce utrzymać kontrakty w sektorze finansowym.

ISO 27001 i ISO 22301

Dostawcy, którzy chcą pracować z finansami, coraz częściej muszą udokumentować dojrzałość procesów certyfikatami ISO 27001 (bezpieczeństwo informacji) i ISO 22301 (ciągłość działania). Oba odpowiadają wprost filarom DORA i ułatwiają wykazanie zgodności klientowi.

Jest granica, której nie przekroczysz. Odpowiedzialności za odporność operacyjną nie da się przerzucić na dostawcę. Za ocenę ryzyka, zapisy umowne i rejestr dostawców odpowiada zarząd instytucji finansowej. Dostawca IT to wspiera i dokumentuje, ale nie przejmuje odpowiedzialności regulacyjnej klienta.

DORA, NIS2 i RODO: czym się różnią

Te trzy regulacje łatwo pomylić, choć dotyczą innych rzeczy i innych podmiotów.

Dla podmiotów finansowych DORA jest lex specialis i wyłącza NIS2. Bank, który wcześniej zastanawiał się nad swoją klasyfikacją w NIS2, stosuje teraz DORA.

Jak przygotować firmę do DORA

Droga do zgodności wygląda podobnie po stronie podmiotu finansowego i jego dostawcy IT:

1. Zinwentaryzuj systemy i usługi ICT (ERP, CRM, systemy bankowe, chmura, on-premise). Przy każdym zapisz dostawcę, funkcję i krytyczność.
2. Zbuduj rejestr umów z dostawcami i sklasyfikuj ich krytyczność. Sprawdź koncentrację, czyli ile kluczowych usług zależy od jednego dostawcy.
3. Przejrzyj umowy pod kątem klauzul DORA: audyt, raportowanie incydentów, plan wyjścia, lokalizacja danych, podwykonawcy, SLA z RTO i RPO.
4. Opisz procedury reagowania na incydenty oraz plany ciągłości działania (BCP) i odtwarzania po awarii (DRP).
5. Uruchom program testowania odporności dopasowany do skali firmy.
6. Przygotuj zespół i zarząd: podział odpowiedzialności, szkolenia, gotowość do raportowania w terminach.

Mniejsze firmy nie muszą budować aparatu jak duży bank. Proporcjonalność pozwala dopasować zakres prac do faktycznego ryzyka.

Co z tego wynika

Rozporządzenie DORA nie jest problemem samych banków. Przebudowuje cały łańcuch dostaw technologii w finansach, więc dotyczy każdej firmy IT, która chce w tym sektorze pracować. Po stronie dostawcy uporządkowane procesy i zgodne umowy to dziś warunek wejścia do gry, a nie dodatek.

Obsługujesz klientów z sektora finansowego albo sam musisz spełnić wymogi DORA? Pomożemy uporządkować rejestr dostawców i umowy ICT, przygotować plany ciągłości działania oraz procedury reagowania na incydenty. Umów bezpłatną konsultację i sprawdź, co DORA oznacza dla Twojej firmy.

Zobacz też: Dyrektywa NIS2 w instytucjach kultury | KSEF a integracja systemów