DORA – operacyjna odporność cyfrowa sektora finansowego

Co to jest DORA i kogo dotyczy

Operacyjna odporność cyfrowa to zdolność firmy do utrzymania działania mimo awarii, ataku czy błędu dostawcy IT - i do szybkiego powrotu do normalnej pracy. DORA jest rozporządzeniem, więc w odróżnieniu od dyrektywy NIS2 stosuje się je bezpośrednio, bez przenoszenia do polskiej ustawy. Przyjęto je 14 grudnia 2022 r., a stosuje się od 17 stycznia 2025 r. Nadzór w Polsce sprawuje KNF, której ustawa z 25 czerwca 2025 r. (Dz.U. 2025 poz. 1069) dała uprawnienia kontrolne i kary.

Rozporządzenie wymienia 20 rodzajów podmiotów finansowych, m.in.:

• banki, także spółdzielcze,
• instytucje płatnicze i instytucje pieniądza elektronicznego,
• firmy inwestycyjne, spółki zarządzające funduszami i zarządzających alternatywnymi funduszami inwestycyjnymi,
• zakłady ubezpieczeń i reasekuracji oraz pośredników ubezpieczeniowych niebędących MŚP,
• dostawców usług w zakresie kryptoaktywów, platformy finansowania społecznościowego, agencje ratingowe i infrastrukturę rynku, np. systemy obrotu i centralne depozyty.

Osobną grupą są zewnętrzni dostawcy usług ICT - wymagania DORA trafiają do nich głównie przez umowy z instytucjami finansowymi. Najważniejszych dostawców europejskie urzędy nadzoru wyznaczają jako kluczowych i nadzorują bezpośrednio - pierwszą listę ogłosiły 18 listopada 2025 r. Niektóre małe podmioty, np. małe i niepowiązane wzajemnie firmy inwestycyjne, stosują uproszczone ramy zarządzania ryzykiem ICT.

Pięć filarów DORA - obowiązki podmiotów finansowych

• Zarządzanie ryzykiem ICT - udokumentowane ramy obejmujące identyfikację zasobów, ochronę, wykrywanie, reagowanie, kopie zapasowe i odtwarzanie. Odpowiada za nie zarząd, którego członkowie muszą się regularnie szkolić.
• Incydenty - klasyfikacja według kryteriów unijnych i zgłaszanie poważnych incydentów do KNF: wstępne powiadomienie w ciągu 4 godzin od uznania incydentu za poważny, ale nie później niż 24 godziny od powzięcia o nim wiedzy, sprawozdanie śródokresowe do 72 godzin po powiadomieniu, końcowe do miesiąca później.
• Testy odporności - program testów, a w podmiotach innych niż mikroprzedsiębiorstwa co najmniej raz w roku testy systemów wspierających funkcje krytyczne lub istotne. Podmioty wskazane przez nadzór co najmniej raz na 3 lata przeprowadzają zaawansowane testy penetracyjne TLPT na systemach produkcyjnych.
• Ryzyko dostawców ICT - rejestr informacji o wszystkich umowach na usługi ICT, udostępniany KNF na żądanie, obowiązkowe postanowienia umów, m.in. miejsce przetwarzania danych, poziomy usług i zwrot danych, a przy funkcjach krytycznych także strategie wyjścia.
• Wymiana informacji - dobrowolna wymiana danych o cyberzagrożeniach między podmiotami finansowymi.

DORA a NIS2 - co ma pierwszeństwo

Banki i infrastruktura rynków finansowych figurują w załączniku do ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża NIS2. Art. 1 ust. 2 DORA uznaje jednak rozporządzenie za sektorowy akt prawny w rozumieniu art. 4 NIS2, więc w zakresie ryzyka ICT i incydentów ma ono pierwszeństwo. Znowelizowana ustawa o KSC wyłącza dla podmiotów kluczowych i ważnych z sektora bankowości i infrastruktury rynków finansowych swoje przepisy o systemie zarządzania bezpieczeństwem informacji i zgłaszaniu poważnych incydentów (art. 8i). Bank zarządza więc ryzykiem i zgłasza incydenty według DORA, do KNF, ale nadal podlega m.in. przepisom o wykazie podmiotów kluczowych i ważnych. Firma IT obsługująca bank może z kolei sama podlegać NIS2, a wymagania DORA przejmować przez umowę z klientem.

DORA w procesach i dokumentach - praktyka e-MSI

Nadzór pyta o dowody: kto zatwierdził politykę, kiedy sklasyfikowano incydent, kto ocenił dostawcę, czy test skończył się planem naprawczym. Rejestr informacji o umowach ICT, który musi nadążać za każdym aneksem i podwykonawcą, oraz obsługę incydentu z terminem liczonym w godzinach łatwiej prowadzić jako proces z rolami, terminami i historią niż w poczcie i arkuszach.

Na platformie JobRouter®, którą wdraża e-MSI, dostęp wynika z ról i może być powiązany z Active Directory, a pełna historia przebiegu procesu pokazuje, kto, kiedy i co zrobił. System działa w chmurze albo on-premise, czyli we własnej infrastrukturze, której w bankowości często wymagają polityki bezpieczeństwa. Sam system nie zapewni zgodności z DORA, ale dostarcza zapisów, z których składa się dokumentacja. e-MSI prowadziło projekty w bankach spółdzielczych, m.in. digitalizację dokumentacji kredytowej w Banku Spółdzielczym Duszniki. Więcej na stronie cyfrowe procesy w finansach i bankowości.

Najczęstsze błędy przy wdrażaniu DORA

• DORA traktowana jako projekt działu IT, choć odpowiedzialność ponosi zarząd.
• Niekompletny rejestr informacji - bez podwykonawców dostawców i usług kupowanych przez inne działy.
• Stare umowy z dostawcami ICT bez postanowień wymaganych przez art. 30 rozporządzenia.
• Brak dyżuru poza godzinami pracy, choć dla banków terminy wstępnego powiadomienia i sprawozdania śródokresowego biegną także w weekendy i święta.
• Plan ciągłości działania, którego nikt nie testował, choć DORA wymaga testu co najmniej raz w roku.