DORA: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Ustal, jaką rolę pełnisz w DORA, kto odpowiada za ryzyko ICT i ile ryzyka firma akceptuje.

1. 1.1

   ustal, czy DORA obejmuje firmę i w jakiej roli

   Sprawdź, czy jesteś jednym z wymienionych rodzajów instytucji finansowej albo dostawcą usług ICT dla takiej instytucji. Zapisz, czy jesteś mikroprzedsiębiorstwem lub czy jesteś na liście podmiotów z uproszczonymi ramami, bo od tego zmienia się kilka obowiązków. Dostawca zapisuje, którzy klienci są instytucjami finansowymi.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   jednostronicowa notatka o zakresie z datą i uzasadnieniem

   dowód, który zostaje

   notatka zatwierdzona przez zarząd

   strona pracy

   podstawa DORA art. 2(1), 4(1), 16(1)

2. 1.2

   wskaż, kto odpowiada za ryzyko ICT

   Organ zarządzający określa, zatwierdza i nadzoruje ramy zarządzania ryzykiem ICT i ponosi za nie ostateczną odpowiedzialność. Poza mikroprzedsiębiorstwami wyznacz też rolę lub członka kadry kierowniczej wyższego szczebla, który nadzoruje umowy z dostawcami usług ICT.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uchwała zarządu wskazująca odpowiedzialny organ i osobę nadzorującą dostawców ICT

   dowód, który zostaje

   protokół z tej uchwały

   strona pracy

   podstawa DORA art. 5(2), 5(3)

3. 1.3

   przeszkol zarząd i zabezpiecz środki

   Członkowie organu zarządzającego na bieżąco utrzymują wiedzę o ryzyku ICT, także przez regularne, wyspecjalizowane szkolenia. Ustal budżet na cyfrową odporność operacyjną, w tym szkolenia i umiejętności, i okresowo go przeglądaj.

   • właściciel zarząd
   • zbuduj i skonfiguruj

   co powstaje

   szkolenie dla zarządu i pozycja w budżecie

   dowód, który zostaje

   lista obecności i zatwierdzony budżet

   strona pracyzabezpieczenie: awareness-training

   podstawa DORA art. 5(4), 5(2)

4. 1.4

   ustal tolerancję ryzyka ICT

   Opisz prostymi słowami, ile ryzyka ICT firma akceptuje, i zatwierdź wynikającą z tego strategię odporności. Ramy z następnej fazy używają tego jako miernika.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   krótkie oświadczenie o tolerancji ryzyka i strategia odporności

   dowód, który zostaje

   oświadczenie i strategia zatwierdzone przez organ zarządzający

   strona pracy

   podstawa DORA art. 5(2)

Udokumentuj ramy i to, co chronią, a potem wdróż podstawowe zabezpieczenia.

1. 2.1

   wyznacz funkcję kontroli ryzyka ICT

   Poza mikroprzedsiębiorstwami przypisz zarządzanie ryzykiem ICT i nadzór nad nim do funkcji kontroli i zadbaj, by nie było w niej konfliktu interesów. Zdecyduj, kto w niej zasiada i komu podlega.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   wskazana funkcja kontroli z linią raportowania

   dowód, który zostaje

   decyzja i opis roli

   podstawa DORA art. 6(4)

2. 2.2

   spisz ramy zarządzania ryzykiem ICT

   Spisz strategie, polityki, procedury, protokoły i narzędzia, które chronią zasoby informacyjne i zasoby ICT, od oprogramowania i serwerów po budynki i centra danych. Opisz to tak, jak firma naprawdę działa.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   udokumentowane ramy zarządzania ryzykiem ICT i rejestr ryzyk z właścicielami

   dowód, który zostaje

   ramy i rejestr zatwierdzone przez zarząd

   strona pracyzabezpieczenie: risk-register

   podstawa DORA art. 6(1), 6(2)

3. 2.3

   zmapuj funkcje, zasoby i zależności

   Zidentyfikuj i udokumentuj funkcje biznesowe oparte na ICT, wspierające je zasoby i ich zależności, także w zdalnych lokalizacjach. Krytyczne zasoby zmapuj szczegółowo, z konfiguracją i powiązaniami. Przeglądaj klasyfikację co najmniej raz w roku.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   inwentarz funkcji i zasobów z mapą zasobów krytycznych

   dowód, który zostaje

   eksporty z datą i mapa

   strona pracyzabezpieczenie: asset-inventory

   podstawa DORA art. 8(1), 8(4)

4. 2.4

   ogranicz dostęp i wymagaj silnego logowania

   Ogranicz dostęp fizyczny i logiczny do tego, czego potrzebują zatwierdzone funkcje. Spisz politykę silnego uwierzytelniania i egzekwuj ją w systemach, które obejmuje.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   polityka dostępu i raport pokrycia silnym uwierzytelnianiem

   dowód, który zostaje

   raport i lista wyjątków z właścicielami i datami

   strona pracyzabezpieczenie: mfa

   podstawa DORA art. 9(4)

5. 2.5

   spisz politykę ciągłości i zasady kopii zapasowych

   Wdróż politykę ciągłości działania ICT zatwierdzoną przez zarząd. Udokumentuj politykę kopii zapasowych z zakresem i minimalną częstotliwością oraz procedury odtwarzania z nich.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   polityka ciągłości, polityka kopii zapasowych i procedury odtwarzania

   dowód, który zostaje

   dokumenty i zapisy odtworzeń

   strona pracyzabezpieczenie: backup-recovery

   podstawa DORA art. 11(1), 12(1)

6. 2.6

   uczyń szkolenia obowiązkowymi dla wszystkich

   Wprowadź szkolenia z bezpieczeństwa ICT i cyfrowej odporności jako obowiązkowe moduły w szkoleniach pracowników, dla wszystkich pracowników i kadry kierowniczej, na poziomie dopasowanym do roli. Tam, gdzie to właściwe, obejmij nimi także dostawców usług ICT.

   • właściciel HR
   • zbuduj i skonfiguruj

   co powstaje

   roczny program szkoleń i zapis obecności

   dowód, który zostaje

   zapis obecności i materiał z numerem wersji

   strona pracyzabezpieczenie: awareness-training

   podstawa DORA art. 13(6)

Wiedz, jakie usługi ICT kupujesz, które z nich wspierają funkcję krytyczną lub ważną i co mówi o nich Twoja polityka.

1. 3.1

   spisz każdą umowę na usługi ICT

   Prowadź rejestr informacji o wszystkich umowach na usługi ICT świadczone przez zewnętrznych dostawców i aktualizuj go. Zacznij od tego, co da się wyeksportować: zakupy, finanse i listy administratorów.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   rejestr wszystkich umów ICT z dostawcą, usługą i właścicielem

   dowód, który zostaje

   eksporty z datą i rejestr

   strona pracyzabezpieczenie: supplier-management

   podstawa DORA art. 28(3)

2. 3.2

   oznacz umowy wspierające funkcje krytyczne lub ważne

   Udokumentuj umowy tak, by te obejmujące usługi stojące za funkcjami krytycznymi lub ważnymi były odróżnione od pozostałych. Test stosujesz Ty, a nadzorca może go zakwestionować. Informuj organ we właściwym czasie o planowanej umowie tego rodzaju i o tym, że funkcja stała się krytyczna lub ważna.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   rejestr ze znacznikiem funkcji krytycznej lub ważnej i uzasadnieniem

   dowód, który zostaje

   rejestr i notatki do każdego oznaczenia

   strona pracy

   podstawa DORA art. 28(3)

3. 3.3

   przyjmij strategię i politykę ryzyka podmiotów trzecich ICT

   Poza mikroprzedsiębiorstwami i podmiotami z uproszczonymi ramami przyjmij strategię ryzyka podmiotów trzecich ICT z polityką dotyczącą usług wspierających funkcje krytyczne lub ważne i regularnie ją przeglądaj. Organ zarządzający zatwierdza politykę i przegląda ryzyka w tych umowach.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   strategia i polityka z datą przeglądu

   dowód, który zostaje

   dokumenty zatwierdzone przez organ zarządzający

   strona pracy

   podstawa DORA art. 28(2), 5(2)

4. 3.4

   przygotuj rejestr dla nadzorcy

   Przygotuj się do raportowania co najmniej raz w roku liczby nowych umów, kategorii dostawców, rodzajów umów oraz świadczonych usług i funkcji. Miej gotowość do przekazania na żądanie pełnego rejestru lub jego części.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   roczny raport z rejestru i procedura odpowiedzi na żądania nadzorcy

   dowód, który zostaje

   raport i log udzielonych odpowiedzi

   strona pracy

   podstawa DORA art. 28(3)

5. 3.5

   tylko po stronie dostawcy: przygotuj dane potrzebne klientom do ich rejestru

   Prowadź jeden standardowy arkusz z podmiotem prawnym, świadczonymi usługami, miejscem ich działania i przechowywania danych oraz podwykonawcami, którzy w nich uczestniczą. Klienci z sektora finansowego muszą to zapisać, a gotowy arkusz oszczędza rundę pytań.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   standardowy arkusz informacji o dostawcy

   dowód, który zostaje

   arkusz z datą ostatniego sprawdzenia

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Ustal, kto obsługuje incydent, jak jest klasyfikowany i jak nadzorca dowiaduje się o nim na czas.

1. 4.1

   ustaw obsługę incydentów i role

   Określ proces wykrywania incydentów ICT, zarządzania nimi i ich zgłaszania. Przypisz role do każdego rodzaju incydentu, ustal plany komunikacji z pracownikami, klientami i mediami oraz spisz procedury reagowania, które przywracają działanie usług.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   procedura incydentowa z nazwanymi rolami, eskalacją i planami komunikacji

   dowód, który zostaje

   procedura i lista kontaktów, przeglądane co roku

   strona pracyzabezpieczenie: incident-management

   podstawa DORA art. 17(1), 17(3)

2. 4.2

   rejestruj każdy incydent i szukaj przyczyny źródłowej

   Rejestruj wszystkie incydenty ICT i istotne cyberzagrożenia, wprowadź wskaźniki wczesnego ostrzegania i prowadź każdy incydent aż przyczyna źródłowa zostanie ustalona, udokumentowana i usunięta.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   rejestr incydentów z przyczynami źródłowymi i wskaźnikami wczesnego ostrzegania

   dowód, który zostaje

   rejestr i zapisy działań następczych

   strona pracyzabezpieczenie: logging-monitoring

   podstawa DORA art. 17(2), 17(3)

3. 4.3

   klasyfikuj incydenty według kryteriów

   Klasyfikuj incydenty i oceniaj ich skutki według kryteriów z rozporządzenia: dotknięci klienci i transakcje, czas trwania, zasięg geograficzny, utrata danych, krytyczność usług i skutki gospodarcze. Wpisz do procedury progi dla incydentu poważnego.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   tabela klasyfikacji z progami incydentu poważnego

   dowód, który zostaje

   tabela i zapis sklasyfikowanych incydentów

   strona pracy

   podstawa DORA art. 18(1)

4. 4.4

   przygotuj zgłoszenie wstępne, pośrednie i końcowe

   Incydenty poważne zgłasza się do właściwego organu w trzech etapach: zgłoszenie wstępne w ciągu 4 godzin od sklasyfikowania incydentu jako poważnego i najpóźniej 24 godziny od uzyskania wiedzy o nim, raport pośredni w ciągu 72 godzin i raport końcowy w ciągu miesiąca. Przygotuj szablony, ustal, kto może je wysyłać, i uzgodnij rozwiązanie awaryjne na wypadek, gdy szablonu nie da się użyć.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   trzy szablony zgłoszeń, reguła, kto je wysyła, i awaryjny kanał

   dowód, który zostaje

   szablony i próba na sucho

   strona pracy

   podstawa DORA art. 19(1); RTS 2025/301 art. 5(1)

5. 4.5

   ustal, kto informuje zarząd i klientów

   Incydenty poważne zgłasza się kadrze kierowniczej wyższego szczebla, a organ zarządzający dostaje informację o skutkach, reakcji i dodatkowych zabezpieczeniach. Gdy incydent poważny dotyka interesów finansowych klientów, informuje się ich bez zbędnej zwłoki od uzyskania wiedzy o nim.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   reguła eskalacji i szablon informacji dla klientów

   dowód, który zostaje

   reguła i szablon, sprawdzone w próbie na sucho

   strona pracy

   podstawa DORA art. 17(3), 19(3)

6. 4.6

   tylko po stronie dostawcy: uzgodnij, jak ostrzegasz klientów i pomagasz w ich incydencie

   Klienci z sektora finansowego potrzebują Twojej pomocy, by dotrzymać swoich terminów. Uzgodnij pomoc, której udzielasz, gdy incydent dotyczy Twojej usługi, bez dodatkowych kosztów lub za koszt ustalony z góry, oraz zawiadomienia o zdarzeniach, które mogą wpłynąć na usługę.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   procedura incydentowa dla klientów z kanałem kontaktu i warunkami zawiadomień

   dowód, który zostaje

   procedura w wersji wysłanej klientom

   strona pracyzabezpieczenie: incident-management

   podstawa DORA art. 30(2), 30(3)

Prowadź program testów współmierny do wielkości i ryzyka i usuwaj to, co wykaże.

1. 5.1

   ustaw program testów odporności

   Poza mikroprzedsiębiorstwami ustanów, utrzymuj i przeglądaj program testów jako część ram zarządzania ryzykiem ICT, według podejścia opartego na ryzyku. Sprawdza on gotowość na incydenty oraz wskazuje słabości i luki.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   program testów z zakresem, rytmem i właścicielami

   dowód, który zostaje

   program zatwierdzony przez zarząd

   strona pracyzabezpieczenie: vulnerability-management

   podstawa DORA art. 24(1), 24(2)

2. 5.2

   wykonuj testy, których wymaga program

   Wybierz odpowiednie testy z listy w rozporządzeniu, takie jak oceny podatności i skany, oceny bezpieczeństwa sieci, przeglądy kodu źródłowego tam, gdzie to wykonalne, testy oparte na scenariuszach i pentesty. Mikroprzedsiębiorstwa łączą podejście oparte na ryzyku z planem, co testować najpierw.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   plan testów i wyniki każdego testu

   dowód, który zostaje

   raporty z testów z datą

   strona pracyzabezpieczenie: vulnerability-management

   podstawa DORA art. 25(1), 25(3)

3. 5.3

   usuń ustalenia i przetestuj ponownie

   Wdrażaj środki naprawcze bez zwłoki. Zapisz, kto usuwa każde ustalenie i do kiedy, powtórz ważniejsze testy i odnotuj, co zaakceptowano.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   lista działań z właścicielami i terminami

   dowód, który zostaje

   lista i wyniki ponownych testów

   strona pracy

   podstawa DORA art. 24(1)

4. 5.4

   sprawdź, czy firmę dotyczą testy zaawansowane

   Podmioty wskazane przez organy, inne niż mikroprzedsiębiorstwa i podmioty z uproszczonymi ramami, przeprowadzają zaawansowane testy oparte na zagrożeniach co najmniej raz na 3 lata. Zapytaj nadzorcę wcześnie, czy jesteś na tej liście.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   notatka z odpowiedzią nadzorcy i datą

   dowód, który zostaje

   notatka i korespondencja

   strona pracy

   podstawa DORA art. 26(1)

Sprawdzaj dostawcę przed podpisaniem, wpisz do umowy wymagane postanowienia i zaplanuj, jak z niej wyjść.

1. 6.1

   oceń dostawcę przed podpisaniem

   Przed nową umową sprawdź, czy wspiera funkcję krytyczną lub ważną, zidentyfikuj ryzyka, w tym ryzyko koncentracji i konflikty interesów, i przeprowadź badanie dostawcy. Zawieraj umowy tylko z dostawcami, którzy spełniają odpowiednie normy bezpieczeństwa informacji.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   ocena przed zawarciem umowy dla każdego nowego dostawcy

   dowód, który zostaje

   oceny i otrzymane odpowiedzi

   strona pracyzabezpieczenie: supplier-management

   podstawa DORA art. 28(4), 28(5)

2. 6.2

   wpisz obowiązkowe postanowienia do każdej umowy ICT

   Zawrzyj umowę na piśmie, z poziomami usług, i uwzględnij co najmniej: usługi i warunki podwykonawstwa, lokalizacje i wcześniejsze zawiadomienie o zmianie, ochronę danych, dostęp do danych i ich zwrot przy upadłości lub wyjściu, poziomy usług, pomoc w incydencie, współpracę z organami, prawa do wypowiedzenia i udział w szkoleniach.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   standardowy zestaw klauzul i lista kontrolna umowy

   dowód, który zostaje

   lista kontrolna wypełniona dla każdej umowy

   strona pracyzabezpieczenie: supplier-management

   podstawa DORA art. 30(1), 30(2)

3. 6.3

   dodaj postanowienia dla funkcji krytycznych lub ważnych

   Do umów stojących za funkcjami krytycznymi lub ważnymi dodaj pełne poziomy usług z mierzalnymi celami, obowiązki zawiadamiania i raportowania, plany ciągłości i środki bezpieczeństwa dostawcy, udział w Twoich testach zaawansowanych, prawa audytu i dostępu oraz strategie wyjścia z okresem przejściowym.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   aneks dla funkcji krytycznych lub ważnych

   dowód, który zostaje

   aneks podpisany z każdym takim dostawcą

   strona pracy

   podstawa DORA art. 30(3)

4. 6.4

   zaplanuj audyty dostawców

   Na podstawie ryzyka ustal z góry, jak często audytować każdego dostawcę i które obszary objąć. Gdy usługa jest technicznie złożona, sprawdź, czy audytorzy mają umiejętności, by to zrobić.

   • właściciel szef IT
   • zdecyduj i udokumentuj

   co powstaje

   plan audytów według dostawców

   dowód, który zostaje

   plan i raporty z audytów

   strona pracyzabezpieczenie: supplier-management

   podstawa DORA art. 28(6)

5. 6.5

   zaplanuj, jak odejść od dostawcy

   Dla usług stojących za funkcjami krytycznymi lub ważnymi spisz strategie wyjścia obejmujące awarię, spadek jakości i rozwiązanie umowy, z rozwiązaniami alternatywnymi i planami przejścia. Zadbaj, by umowę dało się zakończyć w przypadkach wymienionych w rozporządzeniu.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   plan wyjścia dla każdego krytycznego dostawcy

   dowód, który zostaje

   plany z datami testów i przeglądów

   strona pracyzabezpieczenie: backup-recovery

   podstawa DORA art. 28(7), 28(8)

6. 6.6

   tylko po stronie dostawcy: porównaj swoje standardowe warunki z listą obowiązkową

   Przeczytaj swoją standardową umowę na tle minimalnych postanowień: usługi i podwykonawstwo, lokalizacje i zawiadomienie o zmianie, ochrona danych, zwrot danych, poziomy usług, pomoc, współpraca z organami, prawa do wypowiedzenia i szkolenia. Zaznacz, czego brakuje, i zdecyduj, co możesz zaoferować.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   lista różnic między Twoimi standardowymi warunkami a listą obowiązkową

   dowód, który zostaje

   lista i podjęte decyzje

   strona pracy

   podstawa DORA art. 30(2)

7. 6.7

   tylko po stronie dostawcy: ustal stanowisko wobec audytu, testów i wyjścia

   Klient z sektora finansowego z funkcją krytyczną lub ważną musi móc żądać praw audytu i dostępu, Twojej współpracy w jego testach zaawansowanych, obowiązków zawiadamiania i okresu wyjścia. Zdecyduj, na co się zgodzisz i w jaki sposób, także w sprawie alternatywnych poziomów zapewnienia, gdy naruszałoby to prawa innych klientów.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   dokument ze stanowiskiem i standardowy aneks dla funkcji krytycznych lub ważnych

   dowód, który zostaje

   dokument zatwierdzony przez zarząd

   strona pracy

   podstawa DORA art. 30(3)

8. 6.8

   tylko po stronie dostawcy: ustal warunki dla własnych podwykonawców

   Umowa musi mówić, czy podwykonawstwo jest dozwolone i na jakich warunkach. Zdecyduj o tym, spisz podwykonawców, którzy uczestniczą w usłudze, i miejsca ich pracy, i uzgodnij z nimi odpowiadające warunki.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   lista podwykonawców i standardowa klauzula przeniesienia warunków

   dowód, który zostaje

   lista i podpisane klauzule

   strona pracyzabezpieczenie: supplier-management

   podstawa DORA art. 30(2)

Trzymaj dowody razem, przeglądaj ramy w stałym rytmie i raportuj zarządowi.

1. 7.1

   trzymaj razem ramy, rejestr i zapisy incydentów

   Zbierz wyniki każdego kroku w jednym miejscu, uporządkowane według rozdziałów rozporządzenia. Na żądanie musisz móc przekazać nadzorcy pełne i aktualne informacje o ryzyku ICT i o ramach.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   folder dowodów uporządkowany według rozdziałów

   dowód, który zostaje

   folder z datą przy każdej pozycji

   podstawa DORA art. 6(3), 28(3)

2. 7.2

   przeglądaj klasyfikację i scenariusze ryzyka co najmniej raz w roku

   Przeglądaj klasyfikację funkcji i zasobów oraz jej dokumentację co najmniej raz w roku, a także scenariusze ryzyka, które Cię dotyczą. Aktualizuj rejestr umów ICT, gdy umowy się zmieniają.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   roczny zapis przeglądu i zaktualizowany rejestr

   dowód, który zostaje

   zapis z datą i podpisem

   strona pracyzabezpieczenie: risk-register

   podstawa DORA art. 8(1), 8(2)

3. 7.3

   testuj odtwarzanie i plany wyjścia

   Odtwarzaj dane z kopii zapasowych według harmonogramu i testuj plany wyjścia dla krytycznych dostawców. Przeglądaj jedno i drugie okresowo i zapisuj, co zawiodło i kto to naprawił.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   raporty z testów odtwarzania i wyjścia z działaniami

   dowód, który zostaje

   raporty i zamknięta lista działań

   strona pracyzabezpieczenie: backup-recovery

   podstawa DORA art. 12(1), 28(8)

4. 7.4

   raportuj zarządowi i zamykaj luki

   Ustaw kanały, które informują organ zarządzający o umowach z dostawcami usług ICT, planowanych zmianach i o incydentach poważnych wraz z reakcją i środkami naprawczymi. Raz w roku pokaż zarządowi stan każdej części i otwarte luki oraz zapisz, co postanowił.

   • właściciel zarząd
   • udowodnij i utrzymuj

   co powstaje

   roczny raport dla organu zarządzającego

   dowód, który zostaje

   raport i protokół

   strona pracy

   podstawa DORA art. 5(2), 17(3)

5. 7.5

   tylko po stronie dostawcy: prowadź pakiet zapewnienia dla klientów

   Trzymaj w jednym miejscu materiały, o które poproszą klienci z sektora finansowego: podpisane warunki na tle listy obowiązkowej, streszczenia testów, raporty z audytów, które możesz udostępnić, i kanał kontaktu w incydencie. Odświeżaj je w ustalonym rytmie.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   pakiet zapewnienia dla klientów

   dowód, który zostaje

   pakiet z datą każdego dokumentu

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
• Rozporządzenie delegowane Komisji (UE) 2025/301 (DORA, terminy zgłaszania incydentów) (EUR-Lex)