Krótka odpowiedź
DORA (rozporządzenie UE 2022/2554) to unijne prawo, które ujednolica wymogi odporności cyfrowej dla całego sektora finansowego. Obowiązuje bezpośrednio od 17 stycznia 2025 r. i obejmuje m.in. banki, ubezpieczycieli, firmy inwestycyjne i płatnicze oraz ich dostawców IT. DORA porządkuje pięć obszarów: zarządzanie ryzykiem ICT, obsługę incydentów, testy odporności, nadzór nad dostawcami zewnętrznymi i wymianę informacji. Za zgodność odpowiada zarząd.
Kluczowe fakty
DORA (rozporządzenie UE 2022/2554) obowiązuje bezpośrednio od 17 stycznia 2025 r. — bez potrzeby ustawy krajowej.
Obejmuje ok. 20 typów podmiotów finansowych oraz krytycznych zewnętrznych dostawców usług ICT (np. chmurę).
Opiera się na pięciu filarach odporności operacyjnej cyfrowej.
Najwięksi gracze muszą przechodzić zaawansowane testy penetracyjne (TLPT) w cyklu ok. 3 lat.
Rozporządzenie wprowadza unijny nadzór nad kluczowymi dostawcami ICT — bezpośrednio przez europejskie organy nadzoru.
01
Czym jest DORA i po co powstała
DORA (Digital Operational Resilience Act) to unijne rozporządzenie, które nakłada na sektor finansowy jednolite wymogi w zakresie odporności cyfrowej — czyli zdolności do działania mimo awarii, ataków i problemów z dostawcami technologii. Jako rozporządzenie obowiązuje bezpośrednio, bez potrzeby osobnej ustawy krajowej.
Powód powstania jest prosty: finanse stoją dziś na technologii, a technologia bywa kupowana na zewnątrz. DORA ma zapewnić, że pojedyncza awaria dostawcy czy udany cyberatak nie zachwieją stabilnością instytucji ani całego rynku.
- Odporność operacyjna oznacza zdolność firmy do działania mimo incydentów IT.
- Rozporządzenie obowiązuje wprost — te same reguły w całej UE.
- Cel: mniej zależności od pojedynczych punktów awarii i dostawców.
Zobacz też
02
Kogo DORA obejmuje — cały sektor finansowy i jego dostawcy IT
Zakres DORA jest szeroki: obejmuje niemal wszystkie typy podmiotów finansowych, od banków i ubezpieczycieli po firmy inwestycyjne, instytucje płatnicze i dostawców usług w zakresie kryptoaktywów. Co ważne, rozporządzenie sięga też poza sam sektor — do dostawców usług ICT, którzy go obsługują.
Jeśli więc jesteś dostawcą technologii dla instytucji finansowej, DORA dotyczy Cię pośrednio, przez wymagania umowne Twoich klientów. A jeśli zostaniesz uznany za krytycznego dostawcę ICT, możesz trafić pod bezpośredni nadzór europejskich organów.
- Banki, ubezpieczyciele i reasekuratorzy, firmy inwestycyjne.
- Instytucje płatnicze i pieniądza elektronicznego, dostawcy usług kryptoaktywów.
- Zewnętrzni dostawcy ICT — objęci wymaganiami umownymi, a krytyczni także nadzorem.
03
Filar 1: Zarządzanie ryzykiem ICT
Pierwszy i najważniejszy filar to ramy zarządzania ryzykiem technologicznym, za które odpowiada zarząd. Nie chodzi o pojedynczy dokument, lecz o ciągły proces: identyfikację zasobów i zależności, ochronę, wykrywanie zagrożeń oraz zdolność do szybkiego przywrócenia działania.
- Inwentaryzacja systemów, danych i krytycznych zależności technologicznych.
- Środki ochrony, wykrywania i reagowania na zagrożenia.
- Kopie zapasowe, odtwarzanie po awarii i plany ciągłości działania.
- Odpowiedzialność i nadzór po stronie organu zarządzającego.
04
Filar 2: Obsługa i zgłaszanie incydentów ICT
DORA wymaga jednolitego procesu wykrywania, klasyfikowania i raportowania poważnych incydentów związanych z technologią. Celem jest szybka reakcja i porównywalna informacja dla nadzoru — tak, aby organy widziały skalę zagrożeń w całym sektorze.
- Jednolita klasyfikacja incydentów według istotności.
- Zgłaszanie poważnych incydentów do właściwego organu nadzoru w wyznaczonych terminach.
- Rejestrowanie zdarzeń i wyciąganie wniosków po incydencie.
05
Filar 3: Testy odporności operacyjnej (w tym TLPT)
Trzeci filar to obowiązek regularnego testowania odporności — od podstawowych testów podatności po zaawansowane testy penetracyjne oparte na scenariuszach realnych zagrożeń (TLPT). To sprawdzian, czy zabezpieczenia działają naprawdę, a nie tylko na papierze.
TLPT (threat-led penetration testing) to kontrolowany atak prowadzony według scenariuszy rzeczywistych grup przestępczych. Obowiązek ten dotyczy największych i najbardziej krytycznych podmiotów i wykonywany jest w cyklu ok. trzyletnim.
- Program testów proporcjonalny do skali i profilu ryzyka podmiotu.
- Podstawa: regularne skanowanie podatności i testy bezpieczeństwa.
- Dla największych: zaawansowane testy TLPT w cyklu ok. 3 lat.
06
Filar 4: Ryzyko dostawców zewnętrznych ICT
Czwarty filar adresuje największą lukę współczesnych finansów: zależność od zewnętrznych dostawców technologii, zwłaszcza chmury. DORA wymaga, aby instytucja panowała nad tym ryzykiem — od treści umów po możliwość wyjścia od dostawcy bez paraliżu działalności.
Nowym, konkretnym obowiązkiem jest prowadzenie rejestru informacji o wszystkich umowach z dostawcami ICT. To jednocześnie dokument zgodności i praktyczne narzędzie zarządcze — pokazuje, na kim naprawdę opiera się działanie firmy.
- Rejestr informacji o umowach z dostawcami usług ICT.
- Obowiązkowe elementy umów: bezpieczeństwo, audyt, strategie wyjścia.
- Krytyczni dostawcy ICT objęci bezpośrednim nadzorem europejskim.
07
Filar 5: Wymiana informacji o zagrożeniach
Piąty filar zachęca podmioty finansowe do dzielenia się między sobą informacjami o cyberzagrożeniach. Jest to obszar dobrowolny, ale wartościowy — wspólna wiedza o atakach pozwala reagować szybciej, zanim ten sam scenariusz uderzy w kolejną instytucję.
- Dobrowolna wymiana informacji o zagrożeniach i wskaźnikach ataków.
- Cel: szybsze wykrywanie i uprzedzanie kampanii wymierzonych w sektor.
08
DORA a NIS2 — jak się nie zdublować
Wiele wymogów DORA pokrywa się z NIS2: zarządzanie ryzykiem, obsługa incydentów, nadzór nad dostawcami. Różnica jest taka, że DORA jest bardziej szczegółowa i dedykowana finansom — dlatego dla podmiotów finansowych to ona jest zwykle przepisem wiodącym (zasada lex specialis).
W praktyce nie należy prowadzić dwóch osobnych projektów. Najefektywniej zbudować jeden program zarządzania ryzykiem i wspólny rejestr, w którym DORA i NIS2 to dwa widoki na te same kontrole — inaczej firma dubluje pracę i tworzy luki na styku.
- DORA jest bardziej szczegółowa i dla finansów zwykle wiodąca.
- Wspólny rdzeń: ryzyko, incydenty, dostawcy — realizuj raz, raportuj wielokrotnie.
- Jeden rejestr ryzyka zamiast równoległych, rozjeżdżających się projektów.
Zobacz też
09
Rola zarządu i zasada proporcjonalności
Podobnie jak w NIS2, DORA czyni zarząd odpowiedzialnym za odporność cyfrową — to organ zarządzający zatwierdza ramy ryzyka ICT i nadzoruje ich działanie. Jednocześnie rozporządzenie stosuje zasadę proporcjonalności: mniejsze i mniej złożone podmioty mogą korzystać z uproszczonych ram.
Dla zarządu oznacza to, że skala obowiązków rośnie wraz z wielkością i profilem ryzyka. Punktem wyjścia zawsze jest rzetelna ocena tego profilu — ona decyduje, jak rozbudowany musi być program.
- Organ zarządzający zatwierdza i nadzoruje ramy ryzyka ICT.
- Proporcjonalność — uproszczone wymogi dla mniejszych podmiotów.
- Zakres programu wynika z profilu ryzyka, nie z gotowej listy zakupów.
10
Plan wdrożenia — pierwsze 90 dni
Dojście do zgodności z DORA warto rozłożyć na trzy fazy: najpierw zbudować obraz sytuacji, potem zamknąć najpilniejsze luki, na końcu utrwalić proces i testy. Taki układ pozwala szybko pokazać kontrolę nad ryzykiem, nawet przed pełnym domknięciem programu.
- Faza 1 (dni 1–30) — inwentaryzacja systemów i dostawców ICT, wstępna analiza luk względem pięciu filarów.
- Faza 2 (dni 31–60) — rejestr informacji o dostawcach, przegląd umów, procedura obsługi i zgłaszania incydentów.
- Faza 3 (dni 61–90) — program testów odporności, ramy ryzyka ICT do zatwierdzenia przez zarząd, integracja z NIS2.
11
Jak możemy pomóc
W ALGORSEC wspieramy podmioty finansowe i ich dostawców w dojściu do zgodności z DORA — od analizy luk względem pięciu filarów, przez rejestr dostawców i przegląd umów, po program testów odporności. Pracujemy tak, aby wymogi rozporządzenia przełożyły się na realną odporność operacyjną, a nie kolejną półkę segregatorów.
Jeśli równolegle mierzysz się z NIS2, poukładamy oba wymogi w jeden spójny program zamiast dwóch osobnych wdrożeń. Dobry następny krok to krótka, bezpłatna rozmowa o tym, gdzie masz największe luki i co jest najpilniejsze.
FAQ
Najczęstsze pytania
DORA jest stosowana bezpośrednio od 17 stycznia 2025 r. Jako rozporządzenie unijne obowiązuje wprost, bez potrzeby wdrożenia osobną ustawą krajową — te same reguły dotyczą podmiotów finansowych w całej UE.
Tak, pośrednio. Wymogi DORA spływają do dostawców przez umowy z podmiotami finansowymi — pojawią się klauzule dotyczące bezpieczeństwa, audytu i strategii wyjścia. Jeśli dodatkowo zostaniesz uznany za krytycznego dostawcę ICT, możesz trafić pod bezpośredni nadzór europejskich organów.
TLPT (threat-led penetration testing) to zaawansowane, kontrolowane testy penetracyjne prowadzone według scenariuszy realnych grup przestępczych. Obowiązek ich wykonywania dotyczy największych i najbardziej krytycznych podmiotów finansowych i realizowany jest w cyklu ok. trzyletnim. Mniejsze podmioty prowadzą testy w zakresie proporcjonalnym do ryzyka.
To wymagany przez DORA, uporządkowany wykaz wszystkich umów z dostawcami usług ICT wraz z kluczowymi informacjami o nich. Pełni podwójną rolę: jest dokumentem zgodności oraz praktycznym narzędziem zarządczym pokazującym, na jakich dostawcach naprawdę opiera się działanie firmy.
Wymogi się pokrywają (ryzyko, incydenty, dostawcy), ale DORA jest bardziej szczegółowa i dedykowana finansom, więc dla podmiotów finansowych jest zwykle przepisem wiodącym. Najefektywniej realizować oba w ramach jednego programu zarządzania ryzykiem i wspólnego rejestru, zamiast prowadzić dwa osobne projekty.
Od inwentaryzacji systemów oraz dostawców ICT i analizy luk względem pięciu filarów. Dopiero to pokazuje, gdzie są największe braki i jak rozbudowany musi być program — a więc daje priorytetyzowany plan zamiast działania po omacku.
