DORA — cyfrowa odporność operacyjna.
Rozporządzenie UE 2022/2554 obowiązuje od 17 stycznia 2025. KNF nadzoruje sektor finansowy i nakłada kary za brak zgodności. SecIQ pokrywa wszystkie 5 filarów DORA — od audytu po ciągły monitoring.
Kogo dotyczy DORA?
DORA obejmuje 21 kategorii podmiotów sektora finansowego — niezależnie od ich wielkości. Kluczowi dostawcy ICT podlegają bezpośredniemu nadzorowi europejskich organów (ESA).
Bankowość i kredyt
- Instytucje kredytowe
- Firmy inwestycyjne
- Kontrahenci centralni (CCP)
Ubezpieczenia
- Zakłady ubezpieczeń
- Zakłady reasekuracji
- Pośrednicy ubezpieczeniowi
Rynki kapitałowe
- Zarządzający aktywami (UCITS, AIFM)
- Fundusze emerytalne (IORP)
- Centralne depozyty papierów (CSD)
- Repozytoria transakcji
- Agencje ratingowe
Płatności i fintech
- Instytucje płatnicze
- Instytucje pieniądza elektronicznego
- Dostawcy usług crowdfundingowych
- Dostawcy usług kryptoaktywów
Dostawcy usług ICT
Bezpośredni nadzór ESA- Kluczowi zewnętrzni dostawcy ICT
- Dostawcy chmury, outsourcing IT, MSSP
5 filarów DORA — co wymaga i jak to pokrywamy.
Kliknij filar, żeby zobaczyć szczegółowe wymagania i jak SecIQ je adresuje.
Zarządzanie ryzykiem ICT
Art. 5–16
Zarządzanie ryzykiem ICT
Art. 5–16Kompleksowy framework zarządzania ryzykiem ICT: identyfikacja i klasyfikacja aktywów informatycznych, mapowanie zależności między systemami, regularna ocena ryzyka, polityki ochrony, detekcji, reakcji i odtwarzania.
Audyt bezpieczeństwa + pełna dokumentacja SZIB dopasowana do Państwa środowiska. Rejestr aktywów ICT, rejestr ryzyk, polityki ochrony — gotowe do kontroli KNF. Aktualizacja kwartalna w ramach abonamentu.
Raportowanie incydentów
Art. 17–23
Raportowanie incydentów
Art. 17–23System klasyfikacji incydentów ICT wg kryteriów DORA, obowiązkowe raportowanie poważnych incydentów do KNF w określonych ramach czasowych, prowadzenie rejestru incydentów, analiza przyczyn źródłowych.
SOC 24/7/365 z dedykowanym analitykiem. Klasyfikacja incydentów wg taksonomii DORA, automatyczne generowanie raportów do KNF, rejestr incydentów w portalu klienta. SLA reakcji: <1h dla incydentów krytycznych.
Testowanie odporności cyfrowej
Art. 24–27
Testowanie odporności cyfrowej
Art. 24–27Regularne testy odporności cyfrowej: skanowanie podatności, testy penetracyjne, testy scenariuszowe. Dla istotnych podmiotów: obowiązkowe TLPT (Threat-Led Penetration Testing) wzorowane na TIBER-EU.
Coroczne testy penetracyjne w pakiecie Rozszerzony. TLPT (Threat-Led Penetration Testing) i Red Team w pakiecie Premium — scenariusze ataków oparte na realnych TTP z MITRE ATT&CK dla sektora finansowego.
Zarządzanie ryzykiem dostawców ICT
Art. 28–44
Zarządzanie ryzykiem dostawców ICT
Art. 28–44Obowiązkowy rejestr umów z dostawcami ICT, klauzule umowne zapewniające prawo audytu, strategie wyjścia (exit plans), regularna ocena ryzyka dostawców, raportowanie do KNF. Kluczowi dostawcy ICT pod bezpośrednim nadzorem ESA.
vCISO buduje i utrzymuje rejestr umów ICT, procedurę due diligence dostawców, exit plans. Audyt dostawców na życzenie. SecIQ jako dostawca SOC — pełna transparentność: DPA, SCC, prawo audytu w umowie.
Wymiana informacji o zagrożeniach
Art. 45
Wymiana informacji o zagrożeniach
Art. 45Dobrowolna, ale ustrukturyzowana wymiana informacji o cyberzagrożeniach (threat intelligence) między podmiotami finansowymi — w ramach zaufanych społeczności (ISAC).
Cyber Threat Intelligence feed dedykowany dla sektora finansowego. Uczestnictwo w ISAC i wymiana IOC między klientami SecIQ (za zgodą). Raporty CTI w portalu klienta.
DORA vs NIS2 / KSC 2.0
DORA jest lex specialis wobec NIS2 — dla sektora finansowego zastępuje NIS2 w zakresie, który reguluje. Dostawcy ICT mogą podlegać obu regulacjom jednocześnie.
| Aspekt | NIS2 / KSC 2.0 | DORA |
|---|---|---|
| Typ aktu prawnego | Dyrektywa UE → ustawa KSC 2.0 | Rozporządzenie UE (bezpośrednio) |
| Obowiązuje od | 3 kwietnia 2026 | 17 stycznia 2025 |
| Kogo dotyczy | ~6 000 firm (podmioty kluczowe i ważne) | ~3 500 firm (sektor finansowy + dostawcy ICT) |
| Organ nadzoru (PL) | UKE / CSIRT NASK | KNF (Komisja Nadzoru Finansowego) |
| Kary maksymalne | Do 10 mln EUR / 2% obrotu | Do 10 mln EUR / 2% obrotu + 1% dziennego obrotu dla dostawców ICT |
| Testowanie | Zalecane (audyty, pentesty) | Obowiązkowe TLPT dla istotnych podmiotów |
| Ryzyko dostawców | Ogólne zarządzanie łańcuchem dostaw | Rejestr umów ICT + bezpośredni nadzór ESA nad kluczowymi dostawcami |
| Relacja | Prawo ogólne (lex generalis) | Prawo szczególne (lex specialis) — zastępuje NIS2 dla finansów |
Kluczowe daty DORA
DORA obowiązuje od stycznia 2025. Nie ma dodatkowego okresu przejściowego — ale KNF stopniowo zwiększa intensywność nadzoru.
DORA wchodzi w życie
Publikacja w Dzienniku Urzędowym UE. Rozpoczyna się 24-miesięczny okres przejściowy.
DORA stosowana obowiązkowo
Koniec okresu przejściowego. Wszystkie podmioty finansowe w UE muszą spełniać wymagania.
Standardy techniczne (RTS/ITS)
EBA, ESMA i EIOPA finalizują regulacyjne standardy techniczne — szczegółowe wymogi dot. ICT risk management, testowania i raportowania.
KNF rozpoczyna nadzór
Komisja Nadzoru Finansowego weryfikuje wdrożenie wymagań DORA przez podmioty finansowe w Polsce.
Polska ustawa wdrażająca
Ustawa dostosowująca krajowe prawo nadzoru do DORA — w trakcie prac legislacyjnych.
Pierwsze kontrole i kary
Spodziewane pierwsze postępowania KNF w przypadku istotnych braków w zgodności.
Jak pakiety SecIQ pokrywają 5 filarów DORA
Pełne pokrycie wymaga pakietu Rozszerzony lub Premium. Mniejsze podmioty (uproszczone ramy z art. 16) mogą zacząć od pakietu Podstawowy.
| Filar DORA | Starter | Podstawowy | Rozszerzony | Premium |
|---|---|---|---|---|
| Zarządzanie ryzykiem ICT | Szablon | Spersonalizowane | Custom | Custom + review |
| Raportowanie incydentów | Monitoring | + Eskalacja | IR SLA <4h | IR SLA <1h |
| Testowanie odporności | — | Vuln scan | Pentest roczny | TLPT + Red Team |
| Ryzyko dostawców ICT | — | — | Rejestr + procedura | Audyt dostawców |
| Wymiana informacji | — | — | CTI feed | ISAC |
Najczęstsze pytania o DORA
Czy DORA dotyczy mojej firmy?
Jaka jest relacja DORA do NIS2 i KSC 2.0?
Jakie kary grożą za brak zgodności z DORA?
Czy muszę przeprowadzać testy TLPT?
Co to jest rejestr umów ICT i kto musi go prowadzić?
Ile trwa wdrożenie zgodności z DORA?
Czy SecIQ może być dostawcą ICT pod DORA?
Twoja firma podlega DORA? Porozmawiaj z ekspertem.
30 minut. Bez zobowiązań. Omówimy Państwa sytuację regulacyjną i pokażemy jak SecIQ pokrywa wymagania DORA.