przepis
DORA
Dla instytucji finansowych i dostawców usług ICT, którzy im służą, stosowana bezpośrednio od 17 stycznia 2025. Nie ma progu wielkości. Trudność: najkrótsze terminy zgłoszeń w tym serwisie i rejestr wszystkich umów ICT. Jeśli sprzedajesz oprogramowanie bankowi, trafia do Ciebie w postaci warunków umowy.
- czym jest
- Rozporządzeniem unijnym. Stosuje się je bezpośrednio, bez ustawy krajowej pomiędzy.
- kogo obejmuje
- 20 rodzajów instytucji finansowych i dostawcy usług ICT, którzy im służą.
- próg wielkości
- Brak. Każda objęta instytucja jest w zakresie, a praca zależy od wielkości i ryzyka.
- górne granice kar
- Brak kwoty unijnej. Ustalają je państwa członkowskie, więc sprawdź swoją.
- kto odpowiada
- Organ zarządzający odpowiada ostatecznie za ryzyko ICT.
- stan prawny
- Obowiązuje już teraz. Wniosek zmieniłby sposób zgłaszania incydentów i jest nadal w komisji.
podstawa DORA art. 2(1), 4(1), 5(2), 50(3), 64
kogo obejmuje DORA: dwa sposoby wejścia
Jesteś instytucją finansową. Banki, instytucje płatnicze i instytucje pieniądza elektronicznego, firmy inwestycyjne, zakłady ubezpieczeń i pośrednicy, dostawcy usług w zakresie kryptoaktywów, zarządzający funduszami i inni. Kilka bardzo małych podmiotów jest wyłączonych, więc przeczytaj listę, zanim przyjmiesz, że Cię to nie dotyczy.
Sprzedajesz usługi ICT takiej instytucji. Dla firmy programistycznej zwykle oznacza to zmiany w umowie od klienta z sektora bankowego, ponieważ rozporządzenie wymienia, co takie umowy muszą zawierać.
jak DORA dociera do firmy programistycznej
- obowiązkowe warunki umowy
- lokalizacje, zwrot danych, bezpieczeństwo
- pomoc przy incydencie
- warunki podwykonawstwa
podstawa DORA art. 2(1), 28(1), 28(3), 30(2)
Sektor finansowy podlega także NIS2, ale NIS2 ustępuje tam, gdzie przepisy sektorowe są co najmniej równoważne, a DORA jest takim aktem dla podmiotów, które obejmuje.
podstawa DORA art. 2(1), 2(3), 30(2); NIS2 art. 4(1)
co trzeba zrobić
Pięć grup pracy: udokumentowane ramy zarządzania ryzykiem ICT z inwentarzem zasobów; klasyfikacja incydentów i zgłaszanie w trzech etapach; program testów odporności, chyba że jesteś mikroprzedsiębiorstwem; rejestr wszystkich umów ICT z obowiązkowymi postanowieniami; oraz organ zarządzający, który wyznacza, zatwierdza, finansuje i nadzoruje to wszystko.
Terminy zgłoszeń są najkrótsze w całym serwisie.
jedno zdarzenie, trzy terminy
podstawa NIS2 art. 23(4); RTS 2025/301 art. 5(1); RODO art. 33(1), 34(1); KSC art. 11
podstawa DORA art. 5(2), 6(1), 8(1), 17(1), 19(1), 24(1), 28(3), 30(2)
gdzie małe firmy mają więcej swobody
Proporcjonalność obowiązuje w całym rozdziale o zarządzaniu ryzykiem. Określony zbiór podmiotów, w tym małe i niepowiązane firmy inwestycyjne oraz wyłączone instytucje płatnicze i instytucje pieniądza elektronicznego, korzysta z uproszczonych ram. Sprawdź, czy jesteś na liście, zanim na tym oprzesz plan. Twój nadzorca stosuje to razem z Tobą, więc zapytaj go wcześnie.
podstawa DORA art. 4(1), 16(1)
gdzie DORA pokrywa się z NIS2 i RODO
Większość tych prac pokrywa się z tym, czego wymagają też NIS2 i RODO: mapa pokazuje to wiersz po wierszu. Jedno naruszenie systemów ICT przetwarzających dane osobowe może uruchomić zarówno termin DORA, jak i termin RODO z tego samego zdarzenia.
podstawa DORA art. 19(1); RODO art. 33(1)
co zmieniłaby planowana nowelizacja
Digital Omnibus, zaproponowany w listopadzie 2025, wymienia DORA wśród aktów, które miałby zmienić, głównie w zakresie miejsca zgłaszania incydentów. Czeka na decyzję komisji w Parlamencie, Twój obowiązek zgłaszania nie zmienił się.
podstawa procedura 2025/0360(COD)
praca w ramach DORA
- zgłaszanie incydentówDla zarządu i właściciela IT: jedno zdarzenie może uruchomić trzy terminy naraz, każdy wobec innego organu. Godziny łatwo zapamiętać. Trudne jest to, że ktoś musi mieć prawo powiedzieć, że to się liczy, zanim śledztwo się skończy.
- ryzyko dostawcówAwarie Twoich dostawców liczą się jako Twoje. NIS2, DORA i RODO wymagają tego samego: wiedzieć, kim są dostawcy, sprawdzać ich proporcjonalnie i wpisać bezpieczeństwo do umowy.
- odpowiedzialność zarząduDla członków zarządu i przewodniczącego: decyzje o bezpieczeństwie wymagają teraz podpisu członka zarządu. Zarząd nie musi rozumieć reguł zapory sieciowej. Musi widzieć ryzyka, koszt i wybór, zdecydować i umieć pokazać, że to zrobił.
- kontrola dostępuDla właściciela IT: kto może wejść, kto to zatwierdził i kiedy ostatnio ktoś to sprawdził. NIS2, DORA i RODO pytają o to samo, więc jeden porządny przegląd odpowiada na wszystkie trzy.
- ocena ryzykaKażdy z tych przepisów wymaga środków odpowiednich do ryzyka. Krótka pisemna ocena pozwala wykazać, że Twoje takie są, i daje uczciwy powód, by zrobić mniej tam, gdzie ryzyko jest niskie.
- kopie zapasowe i odtwarzanieDla właściciela IT i prezesa: kopia zapasowa liczy się dopiero po tym, jak ją odtworzysz. Jedno odtworzenie z pomiarem czasu mówi więcej niż plan i zostawia zapis, że zabezpieczenie działa.
- szkoleniaNIS2, DORA i RODO wymagają szkoleń, a AI Act dodaje własny. Jeden mały program z jedną listą obecności odpowiada na wszystkie. Porażką, która wychodzi na jaw, jest brak zapisu.
- łatanie i sprawdzanie, czy działaŁataj według spisanego harmonogramu, obsługuj zgłoszenia, które przychodzą, i raz w roku sprawdzaj, czy reszta Twoich zabezpieczeń działa. Firmy pomijają ostatnią część, bo nic się nie psuje, gdy to robią.
sprawdź sam
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie delegowane Komisji (UE) 2025/301 (DORA, terminy zgłaszania incydentów) (EUR-Lex)
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252 (Dziennik Ustaw)
- Parlament Europejski, Legislative Observatory: procedura 2025/0360(COD), Digital Omnibus
twój następny krok
Otwórz listę umów ICT i zaznacz, które wspierają funkcję krytyczną lub ważną.