DORA: operacyjna odporność cyfrowa

Rozporządzenie DORA obowiązuje od 17 stycznia 2025 r. instytucje płatnicze, instytucje pieniądza elektronicznego, firmy inwestycyjne, zarządzających funduszami, dostawców usług w zakresie kryptoaktywów, ubezpieczycieli i inne podmioty finansowe. Nadzór sprawuje ČNB, która od 2025 r. sprawdza, jak firmy spełniają DORA. Przygotujemy kompletną dokumentację, dostosujemy umowy z dostawcami ICT, sporządzimy rejestr informacji i ustawimy zgłaszanie incydentów.

Aktualizacja: 11 listopada 2026 r.

Kogo dotyczy DORA?

Rozporządzenie (UE) 2022/2554 (DORA) dotyczy podmiotów finansowych z art. 2, m.in.:

• banków, instytucji płatniczych i instytucji pieniądza elektronicznego, w tym małych dostawców usług płatniczych i małych wydawców pieniądza elektronicznego,
• dostawców usług w zakresie kryptoaktywów (CASP),
• firm inwestycyjnych, zarządzających alternatywnymi funduszami inwestycyjnymi i spółek zarządzających,
• zakładów ubezpieczeń i reasekuracji oraz większych pośredników ubezpieczeniowych,
• dostawców usług finansowania społecznościowego (crowdfunding).

DORA nie dotyczy natomiast na przykład zarządzających funduszami poniżej progów z art. 3 ust. 2 dyrektywy ZAFI, w Czechach typowo osób z § 15 ZISIF, ani pośredników ubezpieczeniowych będących małymi lub średnimi przedsiębiorstwami (art. 2 ust. 3 DORA).

Czego wymaga DORA?

1. Zarządzanie ryzykiem ICT (art. 5–16): strategia operacyjnej odporności cyfrowej, inwentaryzacja aktywów, polityki bezpieczeństwa, ciągłość działania, kopie zapasowe i odtwarzanie. Mali dostawcy usług płatniczych, mali wydawcy pieniądza elektronicznego i małe firmy inwestycyjne mogą stosować uproszczone ramy z art. 16.
2. Zarządzanie incydentami i ich zgłaszanie (art. 17–23): klasyfikacja incydentów i zgłaszanie poważnych incydentów do ČNB.
3. Testy (art. 24–27): program testów, systemy krytyczne co najmniej raz w roku. Testy penetracyjne prowadzone w oparciu o analizę zagrożeń (TLPT) co najmniej raz na trzy lata muszą przeprowadzać tylko podmioty wskazane przez ČNB.
4. Zarządzanie ryzykiem ze strony podmiotów trzecich (art. 28–30): rejestr informacji o umowach z dostawcami ICT, obowiązkowe postanowienia umowne i strategie wyjścia.

Co ČNB sprawdza w praktyce?

ČNB rozpoczęła w 2025 r. pierwszy nadzór na podstawie DORA. Do badania pilotażowego włączyła 16 podmiotów z sektora usług inwestycyjnych i płatniczych i wykorzystała kwestionariusz z ponad 400 pytaniami kontrolnymi. Najwięcej pracy przysporzyło firmom zarządzanie relacjami z dostawcami ICT: musiały zmienić umowy, uzupełnić zobowiązania dostawców i zacząć prowadzić ewidencję, której wcześniej systematycznie nie prowadziły (Právní prostor, sprawozdanie roczne ČNB za 2025 r., po czesku).

Czym jest rejestr informacji i kiedy się go składa?

Rejestr informacji obejmuje wszystkie umowy z dostawcami usług ICT, w tym chmurę, oprogramowanie i outsourcing IT (art. 28 ust. 3 DORA). ČNB zbiera go za pośrednictwem systemu SDAT. W 2026 r. termin upływał 2 marca 2026 r. O obowiązku i terminie ČNB informuje podmioty sprawozdające wezwaniem (ČNB, DORA – podmioty sprawozdające, po czesku).

W jakim terminie trzeba zgłosić poważny incydent?

• zgłoszenie wstępne: w ciągu 4 godzin od zaklasyfikowania incydentu jako poważnego, najpóźniej w ciągu 24 godzin od jego wykrycia,
• raport pośredni: w ciągu 72 godzin od zgłoszenia wstępnego,
• raport końcowy: w ciągu miesiąca od ostatniego raportu pośredniego.

Terminy określa rozporządzenie delegowane Komisji (UE) 2025/301. Procedura klasyfikacji i zgłaszania musi więc być przygotowana z wyprzedzeniem, a nie dopiero w trakcie incydentu.

Jak DORA ma się do czeskiej ustawy o cyberbezpieczeństwie?

Dla podmiotów finansowych DORA jest przepisem sektorowym. Tam, gdzie w równoważny sposób reguluje zarządzanie ryzykiem cybernetycznym i zgłaszanie incydentów, ma pierwszeństwo przed ustawą nr 264/2025 Zb. o cyberbezpieczeństwie, która wdraża dyrektywę NIS2. Ustawa o cyberbezpieczeństwie ma jednak zastosowanie tam, gdzie DORA danej kwestii nie reguluje, na przykład przy rejestracji w NÚKIB. Nadzór podstawowy sprawuje ČNB, NÚKIB uzupełniająco (wspólne oświadczenie ČNB i NÚKIB, 24 czerwca 2026 r., po czesku).

Jak możemy pomóc?

• Dokumentacja DORA na miarę: strategia, polityki, regulaminy wewnętrzne, inwentaryzacja aktywów ICT i plany ciągłości działania.
• Umowy z dostawcami ICT: przegląd i uzupełnienie zgodnie z art. 30 DORA.
• Rejestr informacji: sporządzenie rejestru i przekazanie go do ČNB.
• Incydenty: procedura klasyfikacji i zgłaszania, wzory zgłoszeń dla ČNB.
• Testy: program testowania operacyjnej odporności cyfrowej.
• Kontrola ČNB: przygotowanie do kwestionariusza i badania.

Dokumentację dostarczamy jako pakiet usług wdrożenia DORA. Nowym wnioskodawcom o licencję ČNB przygotowujemy ją od razu jako część wniosku.

Najczęstsze pytania

Czy DORA dotyczy także małych instytucji płatniczych?

Tak. DORA dotyczy także małych dostawców usług płatniczych i małych wydawców pieniądza elektronicznego. Mogą oni jednak stosować uproszczone ramy zarządzania ryzykiem ICT z art. 16.

Czy DORA dotyczy osób z § 15 ZISIF?

Nie. Zarządzający funduszami poniżej progów z art. 3 ust. 2 dyrektywy ZAFI są wyłączeni z zakresu DORA.

Czy musimy przeprowadzać testy penetracyjne TLPT?

Tylko jeśli wskaże Państwa ČNB. Pozostałe podmioty testują według własnego programu testów, systemy krytyczne co najmniej raz w roku.

Czy musimy zmienić umowy z dostawcami chmury i oprogramowania?

W większości przypadków tak. Umowy muszą zawierać postanowienia wymagane przez art. 30 DORA, a do usług wspierających funkcje krytyczne lub istotne mają zastosowanie surowsze wymogi, np. prawo do audytu i strategie wyjścia.

Ile kosztuje wdrożenie DORA?

Cena zależy od wielkości firmy, zakresu działalności i dokumentacji, którą już Państwo posiadają. Po wstępnej konsultacji przygotujemy dla Państwa pisemną ofertę na miarę.

Prosimy o kontakt na info@stuchlikova.com w celu umówienia wstępnej konsultacji.

Źródła

• Rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA)
• ČNB, DORA – podmioty sprawozdające, po czesku
• wspólne oświadczenie ČNB i NÚKIB, 24 czerwca 2026 r., po czesku
• Právní prostor, sprawozdanie roczne ČNB za 2025 r., po czesku

Referencje

Kluczowe kontakty

Zuzana Stuchlíková

Maxim Obuchov

Bára Vančurová