DORA: ramy zarządzania ryzykiem ICT i rejestr informacji

Rozporządzenie w sprawie operacyjnej odporności cyfrowej — rozporządzenie (UE) 2022/2554, DORA — stosuje się od 17 stycznia 2025 roku do niemal każdego regulowanego podmiotu finansowego w UE: instytucji kredytowych, instytucji płatniczych i instytucji pieniądza elektronicznego, dostawców usług kryptoaktywów, firm inwestycyjnych, zarządzających funduszami, kredytodawców w kilku reżimach i innych. Ustanawia jeden standard zarządzania ryzykiem ICT i jeden rejestr umów z zewnętrznymi dostawcami ICT. Poradnik wyjaśnia, czego wymaga DORA, kto musi go przestrzegać, jak działa proporcjonalność dla mniejszych firm, co zawiera rejestr informacji i co dają nasze usługi DORA.

Poradnik jest ogólną informacją, nie poradą prawną.

Pięć filarów DORA

1. Ramy zarządzania ryzykiem ICT (art. 5–16) — zarządzanie przez organ zarządzający, udokumentowane ramy, identyfikacja i ochrona aktywów ICT, wykrywanie, reagowanie i odtwarzanie, polityki kopii zapasowych, wyciąganie wniosków i komunikacja. Dla niektórych małych podmiotów stosuje się uproszczone ramy (art. 16).
2. Zarządzanie incydentami związanymi z ICT i ich zgłaszanie (art. 17–23) — klasyfikacja incydentów i zgłaszanie poważnych incydentów właściwemu organowi w ustalonych terminach.
3. Testowanie operacyjnej odporności cyfrowej (art. 24–27) — program testów proporcjonalny do podmiotu; testy penetracyjne prowadzone w oparciu o analizę zagrożeń tylko dla podmiotów wskazanych przez organ.
4. Ryzyko ze strony zewnętrznych dostawców ICT (art. 28–30) — strategia, należyta staranność przed zawarciem umowy, obowiązkowe klauzule umowne, plany wyjścia i rejestr informacji o wszystkich umowach z zewnętrznymi dostawcami ICT (art. 28 ust. 3), składany organowi corocznie.
5. Wymiana informacji (art. 45) — dobrowolne ustalenia dotyczące wymiany informacji o cyberzagrożeniach.

Kto musi przestrzegać DORA

DORA stosuje się do podmiotów finansowych wymienionych w jego art. 2, w tym instytucji płatniczych i instytucji pieniądza elektronicznego, dostawców usług kryptoaktywów z zezwoleniem MiCA, firm inwestycyjnych i zarządzających alternatywnymi funduszami inwestycyjnymi. Jeśli twoja firma ma jedno z tych zezwoleń lub o nie wnioskuje, DORA stosuje się do niej od rozpoczęcia stosowania rozporządzenia — 17 stycznia 2025 roku — albo od dnia uzyskania zezwolenia, jeśli jest późniejszy. Dokładny zakres dla twojej firmy potwierdzamy na piśmie przed rozpoczęciem pracy.

Proporcjonalność

DORA stosuje się do dużych i małych firm, ale głębokość ram zależy od wielkości podmiotu, jego profilu ryzyka i charakteru usług (art. 4). Mała instytucja płatnicza nie potrzebuje narzędzi banku — ale potrzebuje każdego wymaganego dokumentu, właściciela każdego procesu i dowodów, że to działa.

Co zawiera rejestr informacji

Zgodnie z art. 28 ust. 3 każdy podmiot finansowy prowadzi rejestr wszystkich umów na usługi ICT świadczone przez strony trzecie, udostępnia go właściwemu organowi na żądanie i co najmniej raz w roku zgłasza nowe umowy. W praktyce rejestr wskazuje dla każdego zewnętrznego dostawcy ICT: co dostarcza, która funkcja firmy od niego zależy i czy ta funkcja jest krytyczna lub istotna. Rejestr musi być zgodny z umowami faktycznie obowiązującymi — a nie z tym, co było prawdą przy jego pierwszym sporządzeniu — dlatego wymaga corocznej aktualizacji, a nie jednorazowego wpisu.

Jak budujemy ramy krok po kroku

1. Analiza luk. Porównujemy obecne zarządzanie ICT firmy, dokumenty i umowy ze stronami trzecimi z pięcioma filarami powyżej.
2. Ramy i polityki. Przygotowujemy ramy zarządzania ryzykiem ICT i polityki uzupełniające, dopasowane do firmy zgodnie z zasadą proporcjonalności.
3. Procedura klasyfikacji i zgłaszania incydentów. Określamy, jak klasyfikuje się incydent ICT, kto zgłasza go właściwemu organowi i w jakich terminach.
4. Program testów. Przygotowujemy program testów proporcjonalny do podmiotu.
5. Polityka ryzyka stron trzecich. Przygotowujemy proces należytej staranności i listę kontrolną klauzul umownych dla nowych dostawców ICT oraz przeglądamy klauzule już obowiązujące.
6. Rejestr informacji. Sporządzamy pierwszy rejestr w wymaganym wzorze na podstawie twoich umów.

Częste błędy

• Traktowanie proporcjonalności jako zwolnienia. Mała firma nadal potrzebuje każdego wymaganego dokumentu i właściciela każdego procesu — proporcjonalność zmienia głębokość, a nie listę.
• Rejestr się dezaktualizuje. Rejestr trzeba aktualizować przy każdej zmianie umowy ICT, a nie tylko raz w roku przy formalnej aktualizacji.
• Brak wskazanego właściciela. Ramy bez osoby odpowiedzialnej za każdą część to dokument, a nie działające ramy.
• Traktowanie DORA jako jednorazowego projektu. Zgłaszanie incydentów i coroczna aktualizacja rejestru to obowiązki powtarzające się, a nie jeden produkt.

Co jest, a czego nie ma w usłudze

Nasza usługa obejmuje ramy zarządzania ryzykiem ICT, polityki, procedurę klasyfikacji i zgłaszania incydentów, program testów, politykę ryzyka stron trzecich i rejestr informacji. Nie obejmuje samych systemów ICT ani testów technicznych — przeprowadza je własny dział IT firmy lub jej dostawca techniczny; nasze dokumenty je opisują, regulują i rejestrują.

Ile to trwa

Zbudowanie pierwszych ram DORA i rejestru trwa zwykle 8–12 tygodni; coroczna aktualizacja rejestru to powtarzające się, krótsze zlecenie.

Nasze usługi DORA

• Ramy zarządzania ryzykiem ICT DORA i narzędzia — od €39,500: analiza luk, ramy i polityki, procedura klasyfikacji i zgłaszania incydentów, program testów, polityka ryzyka stron trzecich z listą kontrolną klauzul umownych i pierwszy rejestr informacji;
• Rejestr informacji DORA — coroczna aktualizacja — od €2,400 / rok: aktualizacja rejestru we wzorze ITS i wsparcie przy jego składaniu co roku.

Dokumenty ICT zgodne z DORA są też częścią wniosku MiCA oraz wniosków instytucji płatniczej i instytucji pieniądza elektronicznego; zamówienie DORA razem z licencją oszczędza dwukrotnego pisania tych samych dokumentów.

Co otrzymujesz

• ramy DORA proporcjonalne do twojej firmy, z właścicielami i dowodami;
• rejestr informacji w wymaganym formacie;
• po zamówieniu — coroczną aktualizację rejestru.

Kwoty to nasze wynagrodzenie za standardowy zakres, bez VAT. Cała komunikacja odbywa się e-mailem.

Nie świadczymy usług obywatelom Rosji ani spółkom z Rosji.

Zamów ramy DORA Cennik Poradnik po angielsku