DORA

w skrócie

czym jest

Rozporządzeniem unijnym. Stosuje się je bezpośrednio, bez ustawy krajowej pomiędzy.

kogo obejmuje

20 rodzajów instytucji finansowych i dostawcy usług ICT, którzy im służą.

próg wielkości

Brak. Każda objęta instytucja jest w zakresie, a praca zależy od wielkości i ryzyka.

górne granice kar

Brak kwoty unijnej. Ustalają je państwa członkowskie, więc sprawdź swoją.

kto odpowiada

Organ zarządzający odpowiada ostatecznie za ryzyko ICT.

stan prawny

Obowiązuje już teraz. Wniosek zmieniłby sposób zgłaszania incydentów i jest nadal w komisji.

podstawa DORA art. 2(1), 4(1), 5(2), 50(3), 64

czy Cię dotyczy?

cała praca, po kolei

Fazy, z właścicielem każdego kroku i dowodem, który zostaje. Otwórz fazę, żeby zobaczyć jej kroki.

• oddaj ster zarządowi

  Ustal, jaką rolę pełnisz w DORA, kto odpowiada za ryzyko ICT i ile ryzyka firma akceptuje.

  kroków: 4
• zbuduj ramy zarządzania ryzykiem ICT

  Udokumentuj ramy i to, co chronią, a potem wdróż podstawowe zabezpieczenia.

  kroków: 6
• spisz wszystkie umowy ICT

  Wiedz, jakie usługi ICT kupujesz, które z nich wspierają funkcję krytyczną lub ważną i co mówi o nich Twoja polityka.

  kroków: 5
• klasyfikuj incydenty i je zgłaszaj

  Ustal, kto obsługuje incydent, jak jest klasyfikowany i jak nadzorca dowiaduje się o nim na czas.

  kroków: 6
• testuj odporność

  Prowadź program testów współmierny do wielkości i ryzyka i usuwaj to, co wykaże.

  kroków: 4
• ułóż umowy właściwie

  Sprawdzaj dostawcę przed podpisaniem, wpisz do umowy wymagane postanowienia i zaplanuj, jak z niej wyjść.

  kroków: 8
• pokaż, że to działa

  Trzymaj dowody razem, przeglądaj ramy w stałym rytmie i raportuj zarządowi.

  kroków: 5

terminy

Co od kiedy obowiązuje. Odwołanie stoi pod każdą datą.

1. 17 stycznia 2025DORA zaczyna obowiązywaćDORA art. 64obowiązuje

górne granice kar

Górne granice, które ustala każdy tekst. Odwołanie stoi pod każdą.

• DORAbrak kwoty unijnej; kary ustalają państwa członkowskieDORA art. 50(3)

  Sprawdź w krajowej ustawie i zapytaj swój organ nadzoru.

czego wymaga i czym to spełnić

Przepis opisuje, co ma być prawdą w firmie. Nie wskazuje narzędzi ani metod: wybierasz je Ty, a za wybór odpowiadają wdrażający i zarząd. Pod każdym wymaganiem stoją zabezpieczenia, którymi najczęściej się je spełnia. To nasze odczytanie przepisu, nie lista z aktu.

1. DORA art. 6(1)

   Udokumentowane ramy zarządzania ryzykiem ICT.

   • rejestr ryzyka
2. DORA art. 8(1)

   Zidentyfikować i udokumentować funkcje, aktywa i zależności, z przeglądem co najmniej raz w roku.

   • inwentaryzacja zasobów
3. DORA art. 9(4)(c)

   Ograniczenie dostępu fizycznego i logicznego do tego, czego potrzebują zatwierdzone funkcje.

   • dostęp uprzywilejowany
   • przeglądy dostępów
4. DORA art. 9(4)(d)

   Polityki i protokoły silnego uwierzytelniania.

   • MFA (uwierzytelnianie wieloskładnikowe)
   • szyfrowanie i zarządzanie kluczami
   • SSO i katalog tożsamości
5. DORA art. 9(4)(f)

   Odpowiednie, udokumentowane polityki łatek i aktualizacji.

   • zarządzanie urządzeniami końcowymi
6. DORA art. 10(1)

   Mechanizmy szybkiego wykrywania nietypowej aktywności, regularnie testowane. Wykrywanie ma progi alarmowe i automatyczne alerty dla osób odpowiedzialnych za reakcję oraz wystarczające zasoby do monitorowania aktywności użytkowników.

   • logowanie zdarzeń i monitorowanie
7. DORA art. 12(1)

   Udokumentowane polityki i procedury kopii zapasowych: zakres danych, minimalna częstotliwość zależna od krytyczności informacji lub poufności danych oraz procedury i metody odtwarzania.

   • kopie zapasowe i odtwarzanie
8. DORA art. 12(2) i 12(3)

   Systemy kopii, które można uruchomić bez szkody dla bezpieczeństwa i danych, okresowe testy oraz odtwarzanie na systemach odseparowanych fizycznie i logicznie od źródła.

   • kopie zapasowe i odtwarzanie
9. DORA art. 13(6)

   Programy świadomości w zakresie bezpieczeństwa ICT i szkolenia z operacyjnej odporności cyfrowej jako moduły obowiązkowe, dla wszystkich pracowników i kierownictwa wyższego szczebla, o złożoności dopasowanej do funkcji.

   • szkolenia z cyberbezpieczeństwa
10. DORA art. 17(1)

    Podmioty finansowe określają, ustanawiają i wdrażają proces zarządzania incydentami związanymi z ICT, służący do wykrywania, obsługi i zgłaszania incydentów.

    • zarządzanie incydentami
11. DORA art. 17(2)

    Rejestruj wszystkie incydenty związane z ICT i istotne cyberzagrożenia oraz prowadź działania następcze tak, aby przyczyny źródłowe zostały zidentyfikowane, udokumentowane i usunięte.

    • zarządzanie incydentami
12. DORA art. 17(3)(b)

    Procedury identyfikowania, śledzenia, rejestrowania, kategoryzowania i klasyfikowania incydentów związanych z ICT.

    • logowanie zdarzeń i monitorowanie
13. DORA art. 19(1)

    Zgłaszanie poważnych incydentów związanych z ICT właściwemu organowi.

    • zarządzanie incydentami
14. DORA art. 25(1)

    Testy takie jak skany podatności, oceny sieci i testy scenariuszowe.

    • zarządzanie podatnościami
15. DORA art. 28(3)

    Rejestr wszystkich umów w zakresie ICT, z wyodrębnieniem tych, które wspierają funkcje krytyczne lub ważne.

    • zarządzanie dostawcami
16. DORA art. 30(2)

    Minimalne postanowienia umowy: lokalizacje, ochrona danych, zwrot danych, poziomy usług, pomoc.

    • zarządzanie dostawcami

jak pasuje do pozostałych

• NIS2

  NIS2 się usuwa tam, gdzie obejmuje Cię DORA.

• RODO

  DORA nakłada się na NIS2 i RODO. Przewodnik pokazuje gdzie.

praca w ramach tego przepisu

• zgłaszanie incydentówDla zarządu i właściciela IT: jedno zdarzenie może uruchomić trzy terminy naraz, każdy wobec innego organu. Godziny łatwo zapamiętać. Trudne jest to, że ktoś musi mieć prawo powiedzieć, że to się liczy, zanim śledztwo się skończy.
• ryzyko dostawcówAwarie Twoich dostawców liczą się jako Twoje. NIS2, DORA i RODO wymagają tego samego: wiedzieć, kim są dostawcy, sprawdzać ich proporcjonalnie i wpisać bezpieczeństwo do umowy.
• odpowiedzialność zarząduDla członków zarządu i przewodniczącego: decyzje o bezpieczeństwie wymagają teraz podpisu członka zarządu. Zarząd nie musi rozumieć reguł zapory sieciowej. Musi widzieć ryzyka, koszt i wybór, zdecydować i umieć pokazać, że to zrobił.
• kontrola dostępuDla właściciela IT: kto może wejść, kto to zatwierdził i kiedy ostatnio ktoś to sprawdził. NIS2, DORA i RODO pytają o to samo, więc jeden porządny przegląd odpowiada na wszystkie trzy.
• ocena ryzykaKażdy z tych przepisów wymaga środków odpowiednich do ryzyka. Krótka pisemna ocena pozwala wykazać, że Twoje takie są, i daje uczciwy powód, by zrobić mniej tam, gdzie ryzyko jest niskie.
• kopie zapasowe i odtwarzanieDla właściciela IT i prezesa: kopia zapasowa liczy się dopiero po tym, jak ją odtworzysz. Jedno odtworzenie z pomiarem czasu mówi więcej niż plan i zostawia zapis, że zabezpieczenie działa.
• szkoleniaNIS2, DORA i RODO wymagają szkoleń, a AI Act dodaje własny. Jeden mały program z jedną listą obecności odpowiada na wszystkie. Porażką, która wychodzi na jaw, jest brak zapisu.
• łatanie i sprawdzanie, czy działaŁataj według spisanego harmonogramu, obsługuj zgłoszenia, które przychodzą, i raz w roku sprawdzaj, czy reszta Twoich zabezpieczeń działa. Firmy pomijają ostatnią część, bo nic się nie psuje, gdy to robią.