# DORA — odporność cyfrowa sektora finansowego bez chaosu: 5 obszarów i plan działania

> DORA ujednolica wymogi odporności cyfrowej dla całego sektora finansowego i jego dostawców IT. Tłumaczymy — językiem zarządu — pięć obszarów rozporządzenia, kogo obejmuje, jak łączy się z NIS2 i od czego zacząć wdrożenie.

**Źródło:** https://algorsec.pl/baza-wiedzy/dora-odpornosc-cyfrowa-sektora-finansowego  
**Aktualizacja:** 2026-07-20  
**Język:** pl-PL  
**Wydawca:** AlgorSec (ALGORCOMP sp. z o.o.)

---

- Kategoria: DORA
- Format: Analiza
- Poziom: Średniozaawansowany
- Czas czytania: 10 min
- Opublikowano: 2026-07-20

## Odpowiedź w skrócie

DORA (rozporządzenie UE 2022/2554) to unijne prawo, które ujednolica wymogi odporności cyfrowej dla całego sektora finansowego. Obowiązuje bezpośrednio od 17 stycznia 2025 r. i obejmuje m.in. banki, ubezpieczycieli, firmy inwestycyjne i płatnicze oraz ich dostawców IT. DORA porządkuje pięć obszarów: zarządzanie ryzykiem ICT, obsługę incydentów, testy odporności, nadzór nad dostawcami zewnętrznymi i wymianę informacji. Za zgodność odpowiada zarząd.

## Kluczowe fakty

- DORA (rozporządzenie UE 2022/2554) obowiązuje bezpośrednio od 17 stycznia 2025 r. — bez potrzeby ustawy krajowej.
- Obejmuje ok. 20 typów podmiotów finansowych oraz krytycznych zewnętrznych dostawców usług ICT (np. chmurę).
- Opiera się na pięciu filarach odporności operacyjnej cyfrowej.
- Najwięksi gracze muszą przechodzić zaawansowane testy penetracyjne (TLPT) w cyklu ok. 3 lat.
- Rozporządzenie wprowadza unijny nadzór nad kluczowymi dostawcami ICT — bezpośrednio przez europejskie organy nadzoru.

## Czym jest DORA i po co powstała

DORA (Digital Operational Resilience Act) to unijne rozporządzenie, które nakłada na sektor finansowy jednolite wymogi w zakresie odporności cyfrowej — czyli zdolności do działania mimo awarii, ataków i problemów z dostawcami technologii. Jako rozporządzenie obowiązuje bezpośrednio, bez potrzeby osobnej ustawy krajowej.

Powód powstania jest prosty: finanse stoją dziś na technologii, a technologia bywa kupowana na zewnątrz. DORA ma zapewnić, że pojedyncza awaria dostawcy czy udany cyberatak nie zachwieją stabilnością instytucji ani całego rynku.

- Odporność operacyjna oznacza zdolność firmy do działania mimo incydentów IT.
- Rozporządzenie obowiązuje wprost — te same reguły w całej UE.
- Cel: mniej zależności od pojedynczych punktów awarii i dostawców.

Zobacz też: [Wdrożenie DORA — zakres usługi](https://algorsec.pl/uslugi/grc/dora)

## Kogo DORA obejmuje — cały sektor finansowy i jego dostawcy IT

Zakres DORA jest szeroki: obejmuje niemal wszystkie typy podmiotów finansowych, od banków i ubezpieczycieli po firmy inwestycyjne, instytucje płatnicze i dostawców usług w zakresie kryptoaktywów. Co ważne, rozporządzenie sięga też poza sam sektor — do dostawców usług ICT, którzy go obsługują.

Jeśli więc jesteś dostawcą technologii dla instytucji finansowej, DORA dotyczy Cię pośrednio, przez wymagania umowne Twoich klientów. A jeśli zostaniesz uznany za krytycznego dostawcę ICT, możesz trafić pod bezpośredni nadzór europejskich organów.

- Banki, ubezpieczyciele i reasekuratorzy, firmy inwestycyjne.
- Instytucje płatnicze i pieniądza elektronicznego, dostawcy usług kryptoaktywów.
- Zewnętrzni dostawcy ICT — objęci wymaganiami umownymi, a krytyczni także nadzorem.

## Filar 1: Zarządzanie ryzykiem ICT

Pierwszy i najważniejszy filar to ramy zarządzania ryzykiem technologicznym, za które odpowiada zarząd. Nie chodzi o pojedynczy dokument, lecz o ciągły proces: identyfikację zasobów i zależności, ochronę, wykrywanie zagrożeń oraz zdolność do szybkiego przywrócenia działania.

- Inwentaryzacja systemów, danych i krytycznych zależności technologicznych.
- Środki ochrony, wykrywania i reagowania na zagrożenia.
- Kopie zapasowe, odtwarzanie po awarii i plany ciągłości działania.
- Odpowiedzialność i nadzór po stronie organu zarządzającego.

## Filar 2: Obsługa i zgłaszanie incydentów ICT

DORA wymaga jednolitego procesu wykrywania, klasyfikowania i raportowania poważnych incydentów związanych z technologią. Celem jest szybka reakcja i porównywalna informacja dla nadzoru — tak, aby organy widziały skalę zagrożeń w całym sektorze.

- Jednolita klasyfikacja incydentów według istotności.
- Zgłaszanie poważnych incydentów do właściwego organu nadzoru w wyznaczonych terminach.
- Rejestrowanie zdarzeń i wyciąganie wniosków po incydencie.

## Filar 3: Testy odporności operacyjnej (w tym TLPT)

Trzeci filar to obowiązek regularnego testowania odporności — od podstawowych testów podatności po zaawansowane testy penetracyjne oparte na scenariuszach realnych zagrożeń (TLPT). To sprawdzian, czy zabezpieczenia działają naprawdę, a nie tylko na papierze.

TLPT (threat-led penetration testing) to kontrolowany atak prowadzony według scenariuszy rzeczywistych grup przestępczych. Obowiązek ten dotyczy największych i najbardziej krytycznych podmiotów i wykonywany jest w cyklu ok. trzyletnim.

- Program testów proporcjonalny do skali i profilu ryzyka podmiotu.
- Podstawa: regularne skanowanie podatności i testy bezpieczeństwa.
- Dla największych: zaawansowane testy TLPT w cyklu ok. 3 lat.

Zobacz też: [Audyty i testy podatności — jak testujemy odporność](https://algorsec.pl/uslugi/audyty-testy-podatnosci)

## Filar 4: Ryzyko dostawców zewnętrznych ICT

Czwarty filar adresuje największą lukę współczesnych finansów: zależność od zewnętrznych dostawców technologii, zwłaszcza chmury. DORA wymaga, aby instytucja panowała nad tym ryzykiem — od treści umów po możliwość wyjścia od dostawcy bez paraliżu działalności.

Nowym, konkretnym obowiązkiem jest prowadzenie rejestru informacji o wszystkich umowach z dostawcami ICT. To jednocześnie dokument zgodności i praktyczne narzędzie zarządcze — pokazuje, na kim naprawdę opiera się działanie firmy.

- Rejestr informacji o umowach z dostawcami usług ICT.
- Obowiązkowe elementy umów: bezpieczeństwo, audyt, strategie wyjścia.
- Krytyczni dostawcy ICT objęci bezpośrednim nadzorem europejskim.

## Filar 5: Wymiana informacji o zagrożeniach

Piąty filar zachęca podmioty finansowe do dzielenia się między sobą informacjami o cyberzagrożeniach. Jest to obszar dobrowolny, ale wartościowy — wspólna wiedza o atakach pozwala reagować szybciej, zanim ten sam scenariusz uderzy w kolejną instytucję.

- Dobrowolna wymiana informacji o zagrożeniach i wskaźnikach ataków.
- Cel: szybsze wykrywanie i uprzedzanie kampanii wymierzonych w sektor.

## DORA a NIS2 — jak się nie zdublować

Wiele wymogów DORA pokrywa się z NIS2: zarządzanie ryzykiem, obsługa incydentów, nadzór nad dostawcami. Różnica jest taka, że DORA jest bardziej szczegółowa i dedykowana finansom — dlatego dla podmiotów finansowych to ona jest zwykle przepisem wiodącym (zasada lex specialis).

W praktyce nie należy prowadzić dwóch osobnych projektów. Najefektywniej zbudować jeden program zarządzania ryzykiem i wspólny rejestr, w którym DORA i NIS2 to dwa widoki na te same kontrole — inaczej firma dubluje pracę i tworzy luki na styku.

- DORA jest bardziej szczegółowa i dla finansów zwykle wiodąca.
- Wspólny rdzeń: ryzyko, incydenty, dostawcy — realizuj raz, raportuj wielokrotnie.
- Jeden rejestr ryzyka zamiast równoległych, rozjeżdżających się projektów.

Zobacz też: [NIS2 i UKSC — co oznaczają dla firmy](https://algorsec.pl/baza-wiedzy/nis2-uksc-co-oznacza-dla-firmy-jak-sie-przygotowac)

## Rola zarządu i zasada proporcjonalności

Podobnie jak w NIS2, DORA czyni zarząd odpowiedzialnym za odporność cyfrową — to organ zarządzający zatwierdza ramy ryzyka ICT i nadzoruje ich działanie. Jednocześnie rozporządzenie stosuje zasadę proporcjonalności: mniejsze i mniej złożone podmioty mogą korzystać z uproszczonych ram.

Dla zarządu oznacza to, że skala obowiązków rośnie wraz z wielkością i profilem ryzyka. Punktem wyjścia zawsze jest rzetelna ocena tego profilu — ona decyduje, jak rozbudowany musi być program.

- Organ zarządzający zatwierdza i nadzoruje ramy ryzyka ICT.
- Proporcjonalność — uproszczone wymogi dla mniejszych podmiotów.
- Zakres programu wynika z profilu ryzyka, nie z gotowej listy zakupów.

## Plan wdrożenia — pierwsze 90 dni

Dojście do zgodności z DORA warto rozłożyć na trzy fazy: najpierw zbudować obraz sytuacji, potem zamknąć najpilniejsze luki, na końcu utrwalić proces i testy. Taki układ pozwala szybko pokazać kontrolę nad ryzykiem, nawet przed pełnym domknięciem programu.

- Faza 1 (dni 1–30) — inwentaryzacja systemów i dostawców ICT, wstępna analiza luk względem pięciu filarów.
- Faza 2 (dni 31–60) — rejestr informacji o dostawcach, przegląd umów, procedura obsługi i zgłaszania incydentów.
- Faza 3 (dni 61–90) — program testów odporności, ramy ryzyka ICT do zatwierdzenia przez zarząd, integracja z NIS2.

## Jak możemy pomóc

W AlgorSec wspieramy podmioty finansowe i ich dostawców w dojściu do zgodności z DORA — od analizy luk względem pięciu filarów, przez rejestr dostawców i przegląd umów, po program testów odporności. Pracujemy tak, aby wymogi rozporządzenia przełożyły się na realną odporność operacyjną, a nie kolejną półkę segregatorów.

Jeśli równolegle mierzysz się z NIS2, poukładamy oba wymogi w jeden spójny program zamiast dwóch osobnych wdrożeń. Dobry następny krok to krótka, bezpłatna rozmowa o tym, gdzie masz największe luki i co jest najpilniejsze.

Zobacz też: [Umów bezpłatną konsultację](https://algorsec.pl/kontakt) · [Zgodność i regulacje (GRC)](https://algorsec.pl/uslugi/grc)

## Najczęstsze pytania

**Od kiedy obowiązuje DORA?**

DORA jest stosowana bezpośrednio od 17 stycznia 2025 r. Jako rozporządzenie unijne obowiązuje wprost, bez potrzeby wdrożenia osobną ustawą krajową — te same reguły dotyczą podmiotów finansowych w całej UE.

**Czy DORA dotyczy mojej firmy, jeśli jesteśmy tylko dostawcą IT dla banku?**

Tak, pośrednio. Wymogi DORA spływają do dostawców przez umowy z podmiotami finansowymi — pojawią się klauzule dotyczące bezpieczeństwa, audytu i strategii wyjścia. Jeśli dodatkowo zostaniesz uznany za krytycznego dostawcę ICT, możesz trafić pod bezpośredni nadzór europejskich organów.

**Co to są testy TLPT i kogo dotyczą?**

TLPT (threat-led penetration testing) to zaawansowane, kontrolowane testy penetracyjne prowadzone według scenariuszy realnych grup przestępczych. Obowiązek ich wykonywania dotyczy największych i najbardziej krytycznych podmiotów finansowych i realizowany jest w cyklu ok. trzyletnim. Mniejsze podmioty prowadzą testy w zakresie proporcjonalnym do ryzyka.

**Czym jest rejestr informacji o dostawcach ICT?**

To wymagany przez DORA, uporządkowany wykaz wszystkich umów z dostawcami usług ICT wraz z kluczowymi informacjami o nich. Pełni podwójną rolę: jest dokumentem zgodności oraz praktycznym narzędziem zarządczym pokazującym, na jakich dostawcach naprawdę opiera się działanie firmy.

**Jak DORA ma się do NIS2?**

Wymogi się pokrywają (ryzyko, incydenty, dostawcy), ale DORA jest bardziej szczegółowa i dedykowana finansom, więc dla podmiotów finansowych jest zwykle przepisem wiodącym. Najefektywniej realizować oba w ramach jednego programu zarządzania ryzykiem i wspólnego rejestru, zamiast prowadzić dwa osobne projekty.

**Od czego zacząć wdrożenie DORA?**

Od inwentaryzacji systemów oraz dostawców ICT i analizy luk względem pięciu filarów. Dopiero to pokazuje, gdzie są największe braki i jak rozbudowany musi być program — a więc daje priorytetyzowany plan zamiast działania po omacku.

## Tagi

DORA, odporność operacyjna, sektor finansowy, ryzyko ICT, dostawcy ICT