Audyt DORA

Przeprowadzamy audyt DORA — badanie zgodności z rozporządzeniem (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego, stosowanym od 17.01.2025 rozporządzenie (UE) 2022/2554, art. 64. Badamy wszystkie pięć filarów rozporządzenia metodyką odwołaną do właściwych RTS/ITS, z uwzględnieniem zasady proporcjonalności i praktyki właściwego organu, w tym KNF, gdy jest właściwa dla danego podmiotu. Otrzymujesz raport przygotowany do przedstawienia organowi nadzoru, zarządowi i klientom z sektora finansowego.

podmioty finansowe i ich dostawcy ICTrozporządzenie (UE) 2022/25545 filarów DORAmetodyka RTS/ITS
Zapytaj o bezpłatną konsultację (30 min)Zapytaj o audyt DORA+48 22 100 51 62

Kogo dotyczy DORA?

Rozporządzenie stosuje się bezpośrednio — bez transpozycji do prawa polskiego — do 20 rodzajów podmiotów finansowych. Na zwykłych dostawców ICT oddziałuje przez wymagania umowne klientów finansowych, a bezpośrednimi ramami nadzoru DORA obejmuje dostawców wyznaczonych jako kluczowi.

Instytucje finansowe

M.in. banki, zakłady ubezpieczeń i reasekuracji, firmy inwestycyjne, instytucje płatnicze i pieniądza elektronicznego, towarzystwa funduszy inwestycyjnych oraz dostawcy usług w zakresie kryptoaktywów. W Polsce wobec większości z nich organem właściwym jest KNF, z zastrzeżeniem kompetencji organów UE wskazanych w art. 46 DORA.

Dostawcy ICT dla sektora finansowego

Dostawcy chmury, hostingu i oprogramowania, operatorzy centrów danych, integratorzy. Instytucja finansowa musi przenieść wymogi DORA do umowy z dostawcą art. 30 rozporządzenia (UE) 2022/2554, a dostawcy wyznaczeni jako kluczowi podlegają unijnym ramom nadzoru.

Podmioty w łańcuchu outsourcingu

Poddostawcy i podwykonawcy usług ICT wspierających funkcje krytyczne lub istotne. Trafiają do rejestru informacji o umowach ICT i muszą być gotowi na przegląd ze strony klienta oraz — na jego wniosek — organu nadzoru.

Metodyka

Co sprawdzamy w audycie DORA?

Podstawą badania jest rozporządzenie (UE) 2022/2554 (DORA) — stosowane od 17.01.2025. rozporządzenie (UE) 2022/2554, art. 64 Warstwę wykonawczą tworzą regulacyjne i wykonawcze standardy techniczne (RTS/ITS) przygotowywane przez europejskie urzędy nadzoru EBA, EIOPA i ESMA — metodyka audytu odwołuje się do nich wprost, nie do ogólników.

Obszary DORA, zakres badania i odniesienia regulacyjne
Obszar DORACo sprawdzamyOdniesienie regulacyjne
Obszar DORAZarządzanie ryzykiem ICTCo sprawdzamyRamy zarządzania ryzykiem ICT, rola i odpowiedzialność organu zarządzającego, strategia operacyjnej odporności cyfrowej, inwentaryzacja aktywów, ciągłość działania i odtwarzanieOdniesienie regulacyjneart. 5–16 DORA; właściwe RTS EBA/EIOPA/ESMA ws. ram zarządzania ryzykiem ICT (pełnych i uproszczonych)
Obszar DORAZgłaszanie incydentówCo sprawdzamyKlasyfikacja incydentów i progi istotności, procesy wykrywania i eskalacji, raportowanie do organu nadzoru: raport wstępny → pośredni → końcowyOdniesienie regulacyjneart. 17–23 DORA; właściwe RTS ws. klasyfikacji incydentów oraz RTS/ITS ws. zgłaszania poważnych incydentów
Obszar DORATestowanie operacyjnej odporności cyfrowejCo sprawdzamyProgram testowania: oceny podatności, testy scenariuszowe, przeglądy konfiguracji; dla podmiotów wyznaczonych — gotowość organizacyjna do TLPTOdniesienie regulacyjneart. 24–27 DORA; właściwe RTS ws. testów penetracyjnych opartych na analizie zagrożeń (TLPT)
Obszar DORAZarządzanie ryzykiem zewnętrznych dostawców ICTCo sprawdzamyStrategia ryzyka ICT stron trzecich, ocena przed zawarciem umowy, kluczowe postanowienia umowne, plany wyjścia, ryzyko koncentracji dostawcówOdniesienie regulacyjneart. 28–30 DORA; właściwe RTS ws. polityki dotyczącej usług ICT wspierających funkcje krytyczne lub istotne
Obszar DORARejestr informacji o umowach ICTCo sprawdzamyKompletność i spójność rejestru na trzech poziomach, oznaczenie funkcji krytycznych lub istotnych, dane poddostawców, gotowość do przekazania właściwemu organowiOdniesienie regulacyjneart. 28 ust. 3 DORA; właściwy ITS ws. wzoru rejestru informacji
Obszar DORAWymiana informacjiCo sprawdzamyUdział w uzgodnieniach wymiany informacji o cyberzagrożeniach, ochrona danych przekazywanych w ich ramachOdniesienie regulacyjneart. 45 DORA
Numery konkretnych aktów wykonawczych (RTS/ITS przyjmowanych przez Komisję Europejską na podstawie projektów EBA/EIOPA/ESMA) podajemy w ofercie i w raporcie z audytu — pakiet aktów jest sukcesywnie rozbudowywany, dlatego cytujemy zawsze akty aktualne na dzień audytu.

Zakres rozporządzenia

Co obejmuje 5 filarów DORA?

Operacyjna odporność cyfrowa w DORA opiera się na pięciu filarach. Audyt obejmuje każdy z nich — w głębi odpowiadającej zasadzie proporcjonalności i profilowi ryzyka podmiotu, z ustaleniami mapowanymi na artykuły rozporządzenia i właściwe RTS/ITS.

Filar pierwszy — ramy zarządzania ryzykiem ICT — najczęściej opiera się na normie: dużą jego część pokrywa wdrożenie ISO/IEC 27001:2022 i ISO 22301 (analiza ryzyka, polityki, nadzór nad dostawcami, ciągłość działania). Audyt pokazuje, gdzie kończy się norma, a zaczynają wymogi specyficzne dla DORA.

01 · art. 5–16

Zarządzanie ryzykiem ICT

Ramy zarządzania ryzykiem ICT zatwierdzane i nadzorowane przez organ zarządzający: strategia operacyjnej odporności cyfrowej, inwentaryzacja aktywów, ochrona i wykrywanie, ciągłość działania i odtwarzanie po incydencie.

02 · art. 17–23

Zgłaszanie incydentów

Klasyfikacja incydentów związanych z ICT według progów z właściwego RTS oraz raportowanie poważnych incydentów do organu nadzoru w sekwencji: raport wstępny → pośredni → końcowy, w terminach określonych w RTS/ITS.

03 · art. 24–27

Testowanie operacyjnej odporności cyfrowej, w tym TLPT

Program testowania odporności — od ocen podatności po testy scenariuszowe — a dla podmiotów wyznaczonych przez nadzór testy penetracyjne oparte na analizie zagrożeń (TLPT), metodycznie spójne z TIBER-EU.

04 · art. 28–44

Zarządzanie ryzykiem zewnętrznych dostawców ICT

Strategia ryzyka ICT stron trzecich, ocena dostawcy przed zawarciem umowy, kluczowe postanowienia umowne z art. 30, plany wyjścia oraz rejestr informacji o umowach ICT z oznaczeniem funkcji krytycznych lub istotnych.

05 · art. 45

Wymiana informacji

Dobrowolne uzgodnienia wymiany informacji i analiz o cyberzagrożeniach między podmiotami finansowymi — oceniamy, czy podmiot korzysta z nich świadomie i chroni przekazywane dane.

Obowiązek dokumentacyjny

Czym jest rejestr informacji o umowach ICT?

Rejestr informacji to wykaz wszystkich umów o korzystanie z usług ICT świadczonych przez zewnętrznych dostawców — prowadzony na poziomie podmiotu oraz na poziomie subskonsolidowanym i skonsolidowanym, z rozróżnieniem usług wspierających funkcje krytyczne lub istotne art. 28 ust. 3 rozporządzenia (UE) 2022/2554. Wzór rejestru określa właściwy ITS; organ nadzoru może zażądać rejestru w każdej chwili.

W audycie zestawiamy rejestr ze stanem faktycznym: umowami, architekturą usług i realnym łańcuchem poddostawców. Typowe ustalenia to poddostawca nieujęty w rejestrze, usługa wspierająca funkcję krytyczną oznaczona jako zwykła oraz pola wypełnione niezgodnie ze wzorem — typowe obszary, które może zweryfikować właściwy organ, w tym KNF, gdy jest właściwa dla danego podmiotu.

Otoczenie nadzorcze

Właściwy nadzór i zasada proporcjonalności

Wobec większości krajowych podmiotów finansowych organem właściwym jest Komisja Nadzoru Finansowego, z zastrzeżeniem kompetencji organów Unii Europejskiej określonych w art. 46 DORA. Standardy techniczne RTS i ITS przygotowują europejskie urzędy nadzoru — EBA, EIOPA i ESMA — a przyjmuje je Komisja Europejska. Kluczowi zewnętrzni dostawcy usług ICT podlegają odrębnym, ogólnounijnym ramom nadzoru art. 31–46 rozporządzenia (UE) 2022/2554.

Wymogi DORA stosuje się z uwzględnieniem wielkości i ogólnego profilu ryzyka podmiotu oraz charakteru, skali i złożoności jego usług art. 4 rozporządzenia (UE) 2022/2554, a wąsko określone kategorie najmniejszych podmiotów stosują uproszczone ramy zarządzania ryzykiem ICT art. 16 rozporządzenia (UE) 2022/2554. W audycie kalibrujemy głębię badania do tej zasady i sprawdzamy, czy podejście przyjęte przez podmiot jest udokumentowane oraz przygotowane do oceny nadzorczej.

Nadzór nie kończy się na dokumentach: członkowie organu zarządzającego mają regularnie aktualizować wiedzę o ryzyku ICT, w tym przez szkolenia art. 5 ust. 4 rozporządzenia (UE) 2022/2554. Ten obowiązek realizujemy szkoleniami dla zarządów i kadry kierowniczej — językiem decyzji i skutków biznesowych, nie technikaliów.

Audyt w 5 krokach

  1. 01

    Analiza zakresu i proporcjonalności

    Ustalamy kategorię podmiotu, funkcje krytyczne lub istotne oraz właściwy reżim: pełne czy uproszczone ramy zarządzania ryzykiem ICT. Definiujemy zakres audytu — systemy, procesy, dostawcy.

  2. 02

    Przegląd dokumentacji

    Ramy zarządzania ryzykiem ICT i strategia odporności cyfrowej, polityki i procedury, klasyfikacja incydentów, program testów, umowy z dostawcami ICT i rejestr informacji.

  3. 03

    Badanie zgodności filar po filarze

    Weryfikacja techniczna i organizacyjna każdego z pięciu filarów, z mapowaniem ustaleń na artykuły rozporządzenia i właściwe RTS/ITS — zdalnie lub na miejscu.

  4. 04

    Raport z audytu

    Luka po luce: ustalenie, podstawa regulacyjna, ocena istotności i rekomendacja. Język zrozumiały dla zarządu, wystarczająco precyzyjny dla IT i compliance.

  5. 05

    Omówienie wyników

    Prezentacja dla organu zarządzającego i compliance: priorytety planu naprawczego, szacunek nakładów oraz przygotowanie do kontaktu z właściwym organem — w tym do żądania rejestru informacji.

Co otrzymujesz

  • Raport zgodności z DORA z mapowaniem ustaleń na artykuły rozporządzenia (UE) 2022/2554 i właściwe RTS/ITS
  • Ocena kompletności i spójności rejestru informacji o umowach ICT
  • Analiza luk w umowach z dostawcami ICT względem kluczowych postanowień umownych z art. 30 DORA
  • Ocena programu testowania odporności i gotowości organizacyjnej do TLPT
  • Plan naprawczy z priorytetami, skalibrowany zasadą proporcjonalności
  • Streszczenie zarządcze — odpowiedzialność organu zarządzającego za ryzyko ICT opisana wprost

Częste pytania

DORA może oddziaływać na takiego dostawcę pośrednio przez umowę z podmiotem finansowym — niezależnie od siedziby dostawcy art. 30 rozporządzenia (UE) 2022/2554. Dostawca wyznaczony jako kluczowy podlega unijnym ramom nadzoru i musi utworzyć jednostkę zależną w Unii art. 31 rozporządzenia (UE) 2022/2554. Brak spełnienia wymagań danego klienta finansowego może ograniczyć możliwość świadczenia mu konkretnej usługi ICT.

DORA jest lex specialis wobec dyrektywy NIS2: w zakresie zarządzania ryzykiem ICT i zgłaszania incydentów instytucje finansowe stosują DORA zamiast przepisów wdrażających NIS2. art. 1 ust. 2 rozporządzenia (UE) 2022/2554 w zw. z art. 4 dyrektywy NIS2 (UE) 2022/2555 Nie oznacza to wyjścia z krajowego systemu cyberbezpieczeństwa. Znowelizowana ustawa o KSC obowiązuje od 3.04.2026. art. 49 KSC 2.0 Część jej obowiązków może stosować się nadal; które dokładnie, potwierdzamy w analizie wstępnej audytu. Zakres badania po stronie krajowej opisuje strona audytu NIS2 / KSC 2.0 z art. 15 uKSC.

TLPT (threat-led penetration testing) to testy penetracyjne oparte na analizie zagrożeń, prowadzone na działających systemach produkcyjnych według metodyki spójnej z TIBER-EU. Przeprowadzają je podmioty wyznaczone przez organ nadzoru — co do zasady co najmniej raz na 3 lata art. 26 rozporządzenia (UE) 2022/2554. Pozostałe podmioty utrzymują regularny program testowania odporności art. 24–25 rozporządzenia (UE) 2022/2554. W audycie oceniamy oba scenariusze: kompletność programu testów i gotowość organizacyjną do TLPT.

Każdy podmiot finansowy objęty DORA — na poziomie podmiotu oraz subskonsolidowanym i skonsolidowanym art. 28 ust. 3 rozporządzenia (UE) 2022/2554. Rejestr rozróżnia usługi wspierające funkcje krytyczne lub istotne, obejmuje także poddostawców i jest przekazywany organowi nadzoru na jego wniosek. Wzór określa właściwy ITS — audyt sprawdza zgodność z nim pole po polu.

Nie — kalibruje sposób ich spełnienia, a nie sam obowiązek. Wymogi stosuje się odpowiednio do wielkości, profilu ryzyka oraz charakteru, skali i złożoności usług art. 4 rozporządzenia (UE) 2022/2554; jedynie wąsko określone kategorie najmniejszych podmiotów stosują uproszczone ramy zarządzania ryzykiem ICT art. 16 rozporządzenia (UE) 2022/2554. Kalibracja wymaga udokumentowanego uzasadnienia — w audycie sprawdzamy jego spójność i kompletność na potrzeby oceny nadzorczej.

Aktualizacja treści:

Przygotuj organizację do oceny zgodności z DORA

30 minut rozmowy: ustalimy kategorię podmiotu, zakres proporcjonalności i harmonogram audytu. Bez zobowiązań.

Zapytaj o bezpłatną konsultację (30 min)Zapytaj o audyt DORA+48 22 100 51 62