Zgodność z rozporządzeniem DORA
Pomagamy firmom skutecznie spełnić wymagania DORA: od analizy luk, przez dokumentację, po wdrożenie odpowiednich procedur i działań zwiększających odporność operacyjną.
Sprawdź poziom gotowości swojej organizacji i zaplanuj z nami kolejne kroki.
Pomożemy Ci przejść przez proces zgodności z DORA w uporządkowany i bezpieczny sposób.
Czym jest rozporządzenie DORA?
Rozporządzenie DORA (Digital Operational Resilience Act) to unijne rozporządzenie, które wprowadza jednolite zasady w zakresie zarządzania ryzykiem ICT, reagowania na incydenty, testowania odporności i nadzoru dostawców usług technologicznych w sektorze finansowym. Wdrożenie DORA to nie tylko obowiązek prawny – to szansa na realne wzmocnienie odporności operacyjnej i budowę zaufania klientów oraz regulatorów.
Dzięki temu porządkowane są wymagania dotyczące odporności cyfrowej instytucji finansowych. Rozporządzenie wskazuje, jak organizacje powinny przygotować swoje systemy informatyczne na cyberataki oraz inne zakłócenia operacyjne. Działania podejmowane w zakresie zgodności z DORA obejmują nie tylko kwestie techniczne, ale również procedury, dokumentację, zarządzanie ryzykiem.
Korzyści z wdrożenia zgodności z DORA
Zgodność z unijnym rozporządzeniem
Uporządkowanie wymagań DORA pomaga ograniczyć ryzyko niezgodności i lepiej przygotować organizację do kontroli, audytów oraz obowiązków nadzorczych.
Ujednolicone zarządzanie ryzykiem ICT
DORA standaryzuje podejście do zarządzania incydentami, monitoringu, dokumentacji i procedur w całym sektorze finansowym.
Lepsze przygotowanie na cyberataki i awarie systemów
DORA pomaga przygotować organizację na cyberataki, awarie i inne zakłócenia ICT.
Przejrzystość relacji z dostawcami usług ICT
Uporządkowanie zasad współpracy z dostawcami technologii ułatwia ocenę zależności, ryzyk i zakresu odpowiedzialności stron.
Wzmocnienie pozycji rynkowej i zaufania interesariuszy
Spójne podejście do zarządzania ryzykiem ICT i odpornością operacyjną ułatwia wykazanie, w jaki sposób organizacja podchodzi do bezpieczeństwa wobec regulatorów, partnerów i klientów.
Etapy wdrożenia zgodności z DORA
Audyt zgodności z DORA i identyfikacja luk
Oceniamy, które obszary w organizacji nie spełniają jeszcze wymogów DORA w tym polityki, technologia, nadzór nad dostawcami i zarządzanie incydentami.
Analiza ryzyka ICT i opracowanie planu wdrożenia
Przeprowadzamy analizę ryzyka operacyjnego związanego z systemami informatycznymi, usługami zewnętrznymi i procesami biznesowymi.
Opracowanie dokumentacji i polityk zgodnych z DORA
Tworzymy m.in.:
- Strategię zarządzania ryzykiem ICT
- Politykę zarządzania incydentami
- Procedury testów odporności operacyjnej
- Rejestry aktywów i zależności technologicznych
- Zasady współpracy z dostawcami usług ICT
Wdrożenie środków technicznych i organizacyjnych
Pomagamy wdrożyć wymagane mechanizmy: backupy, MFA, szyfrowanie, zarządzanie tożsamością, monitorowanie usług krytycznych.
Szkolenia i testy odporności cyfrowej
Szkolimy pracowników i przeprowadzamy testy scenariuszowe, zgodne z wytycznymi DORA (np. threat-led penetration testing – TLPT).
Wsparcie w przygotowaniu do nadzoru i raportowania
Pomagamy w stworzeniu procedur sprawozdawczości do KNF lub innych regulatorów zgodnie z harmonogramem wdrożenia DORA.
Jak DORA wzmacnia odporność cyfrową sektora finansowego?[
Rozporządzenie DORA jest jednym z kluczowych elementów unijnego podejścia do cyfrowej odporności operacyjnej i ma zwiększyć bezpieczeństwo organizacji świadczących usługi finansowe. Regulacja obejmuje podmioty finansowe działające w różnych obszarach rynku, w tym:
- banki,
- firmy inwestycyjne,
- instytucje płatnicze,
- firmy ubezpieczeniowe czy centralne depozyty papierów wartościowych.
Wspólnym celem jest zapewnienie, aby organizacje w sektorze finansowym były przygotowane nie tylko na cyberataki, ale również awarie, błędy techniczne oraz inne zdarzenia zakłócające funkcjonowanie systemów ICT.
Operacyjna odporność cyfrowa oznacza więc zdolność do utrzymania lub szybkiego przywrócenia procesów biznesowych wykorzystujących technologie informacyjno-komunikacyjne. Zasadniczo DORA porządkuje wymagania dotyczące zarządzania ryzykiem ICT, testowania odporności, obsługi incydentów oraz kontroli podmiotów zewnętrznych. Dzięki temu regulacja ma kluczowe znaczenie dla wzmacniania odporności cyfrowej sektora finansowego w całej Unii Europejskiej.
Zgłaszanie incydentów ICT zgodnie z DORA
Jednym z podstawowych obowiązków wynikających z przepisów DORA jest odpowiednie identyfikowanie, klasyfikowanie i raportowanie incydentów związanych z ICT. Przy ocenie zdarzenia uwzględnia się m.in. liczbę poszkodowanych klientów, czas trwania i zasięg incydentu, krytyczność objętych nim usług, utratę danych oraz skutki ekonomiczne. Szczególne wymagania dotyczą poważnych incydentów, których wpływ może istotnie zakłócić działalność instytucji lub świadczone przez nią usługi.
W Polsce Komisja Nadzoru Finansowego publikuje szczegółowe informacje dotyczące realizacji tych obowiązków przez rynek finansowy. Instytucje finansowe muszą zatem posiadać procesy pozwalające nie tylko reagować na zdarzenia, lecz także szybko oceniać ich skalę i znaczenie oraz realizować obowiązki sprawozdawcze. Sprawny mechanizm raportowania pozwala jednocześnie lepiej identyfikować potencjalne zagrożenia i zwiększać poziom ochrony w zakresie cyberbezpieczeństwa.
Jakie znaczenie mają akty wykonawcze i standardy techniczne DORA?
Samo rozporządzenie DORA jest rozwijane przez szczegółowe akty prawne doprecyzowujące sposób realizacji konkretnych obowiązków. Publikowane są m.in. rozporządzenie delegowane Komisji oraz inne akty uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554. Określają one szczegółowe wymagania dotyczące m.in. zarządzania ryzykiem ICT, klasyfikowania incydentów, polityki współpracy z dostawcami oraz prowadzenia nadzoru.
Istotną rolę odgrywa przy tym zestaw regulacyjnych standardów technicznych, które przekładają ogólne obowiązki DORA na bardziej szczegółowe zasady postępowania. Regulacje te są rozwijane przy współpracy z europejskimi urzędami nadzoru, dzięki czemu organizacje objęte DORA podlegają spójnym wymaganiom na rynku unijnym. DORA wpisuje się jednocześnie w szerszą strategię finansów cyfrowych Unii Europejskiej, której celem jest rozwój nowoczesnego rynku finansowego przy zachowaniu wysokiego poziomu bezpieczeństwa i odporności.
Kogo dotyczy rozporządzenie DORA?
DORA dotyczy podmiotów finansowych działających na rynku Unii Europejskiej, w tym:
- Banków, SKOK-ów i instytucji kredytowych
- Domów maklerskich, funduszy inwestycyjnych, TFI
- Towarzystw i brokerów ubezpieczeniowych
- Operatorów systemów płatniczych i infrastruktury rynków finansowych
- Fintechów i firm działających w modelu B2B2F (business-to-finance)
- Zewnętrznych dostawców usług ICT dla instytucji finansowych
Co zawiera usługa zapewnienia zgodności z DORA?
- Audyt poziomu zgodności z DORA i analiza luk
- Analizę ryzyka ICT oraz zależności systemowych
- Opracowanie strategii i polityk zarządzania ryzykiem operacyjnym
- Kompletną dokumentację wymaganą przez DORA
- Wdrożenie procedur zarządzania incydentami i raportowania
- Pomoc w zarządzaniu relacjami z dostawcami ICT i podwykonawcami
- Szkolenia z cyberodporności dla pracowników i kadry zarządzającej
- Przygotowanie do kontroli i testów odporności operacyjnej
FAQ – najczęściej zadawane pytania o DORA
Od kiedy obowiązuje rozporządzenie DORA?
Rozporządzenie DORA zaczyna obowiązywać 17 stycznia 2025 roku we wszystkich krajach UE, bez potrzeby implementacji krajowej.
Czy DORA dotyczy tylko banków i dużych instytucji?
Nie. Zakres DORA obejmuje także średnie i małe instytucje finansowe, fintechy oraz dostawców technologii wspierających sektor finansowy.
Jakie są konsekwencje braku zgodności z DORA?
Możliwe są kary finansowe, ograniczenia nadzorcze, utrata kontraktów z partnerami instytucjonalnymi, a także odpowiedzialność zarządu za zaniedbanie obowiązków.
Czy DORA pokrywa się z ISO 27001 lub NIS2?
W dużej mierze tak. DORA jednak stawia dodatkowy nacisk na odporność operacyjną, nadzór nad dostawcami ICT oraz raportowanie incydentów w określonym terminie. Integrujemy działania, aby nie powielać procedur.
Czy dostawca IT musi być zgodny z wymogami DORA?
Tak, jeśli obsługuje instytucję finansową objętą DORA. Dostawcy usług ICT są również nadzorowani w ramach tzw. nadzoru pośredniego.
Jak często należy testować odporność systemów ICT zgodnie z DORA?
DORA wymaga regularnego testowania odporności systemów ICT, przy czym częstotliwość i zakres testów powinny być dostosowane do skali działalności, profilu ryzyka oraz znaczenia wykorzystywanych systemów.
Wyceń projekt
Dane kontaktowe
