Rozporządzenie DORA – samoocena zgodności

Rozporządzenie DORA: samoocena zgodności dla sektora finansowego i dostawców ICT

Odpowiedz na proste pytania o zarządzanie ryzykiem ICT, obsługę incydentów i dostawców, aby sprawdzić, na ile spełniasz wymogi rozporządzenia DORA – z wynikiem gotowości, lukami według filarów i priorytetowymi rekomendacjami.

10–15 minut

Bez zakładania konta

Dane w UE

Wynik gotowości + raport luk

Czym jest rozporządzenie DORA?

DORA (Digital Operational Resilience Act) to rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego. Ustanawia jednolite zasady zarządzania ryzykiem ICT, aby banki, zakłady ubezpieczeń, instytucje płatnicze i inne podmioty finansowe mogły wytrzymać zakłócenia i cyberataki, reagować na nie i szybko przywracać działanie.

DORA stosuje się od 17 stycznia 2025 r. bezpośrednio we wszystkich państwach członkowskich UE. Za ryzyko ICT odpowiada organ zarządzający. DORA nie jest certyfikacją: nie istnieje certyfikat DORA, a zgodność weryfikują właściwe organy nadzoru.

Kogo obejmuje DORA?

Instytucje kredytowe i banki
Instytucje płatnicze i instytucje pieniądza elektronicznego
Firmy inwestycyjne i innych uczestników rynku kapitałowego
Zakłady ubezpieczeń i reasekuracji
Dostawców usług w zakresie kryptoaktywów z zezwoleniem na podstawie MiCA
Zewnętrznych dostawców usług ICT dla podmiotów finansowych; kluczowi dostawcy podlegają bezpośredniemu nadzorowi Europejskich Urzędów Nadzoru (EBA, EIOPA, ESMA)

Co sprawdza samoocena DORA

Pytania są uporządkowane według pięciu filarów rozporządzenia:

Ramy zarządzania ryzykiem ICT: nadzór, rola organu zarządzającego, inwentaryzacja, ochrona, wykrywanie, kopie zapasowe i odtwarzanie
Zarządzanie incydentami związanymi z ICT, ich klasyfikacja i zgłaszanie poważnych incydentów do nadzoru
Testowanie operacyjnej odporności cyfrowej, w tym testy penetracyjne ukierunkowane na zagrożenia (TLPT) w istotnych podmiotach
Zarządzanie ryzykiem ze strony zewnętrznych dostawców ICT: due diligence, wymogi umowne, strategie wyjścia i rejestr informacji
Wymiana informacji o cyberzagrożeniach i podatnościach

Typowe luki w zgodności z DORA

Ramy zarządzania ryzykiem ICT istnieją na papierze, ale organ zarządzający ich nie zatwierdził ani nie przegląda
Brak kryteriów klasyfikacji poważnych incydentów, więc terminy zgłoszeń są nie do dotrzymania
Rejestr informacji o umowach z dostawcami ICT jest niepełny lub nieaktualny
Umowy z dostawcami ICT nie zawierają klauzul wymaganych przez DORA, np. prawa do audytu i planów wyjścia
Kopie zapasowe i plany odtwarzania nie są regularnie testowane, brakuje programu testów

DORA, ISO 27001 i kolejne kroki

System zarządzania bezpieczeństwem informacji zgodny z ISO/IEC 27001 bardzo pomaga, ale nie obejmuje wszystkiego, czego wymaga DORA – na przykład terminów zgłaszania incydentów, rejestru informacji czy TLPT. Samoocena pokazuje, co już masz, a czego brakuje.

Dostawcy IT spoza UE, na przykład z Ukrainy, Gruzji czy Kazachstanu, obsługujący banki i fintechy z UE, spełniają wymogi DORA poprzez umowy z klientami, audyty i kwestionariusze bezpieczeństwa. Na podstawie raportu luk przygotuj dowody, a opcjonalnie przećwicz rozmowę z audytorem w symulatorze audytu BALTUM AI.

Powiązane normy

Jak działa bezpłatna ocena

Wybierz normę

Pytania są sformułowane prostym językiem – nie potrzebujesz specjalisty ds. zgodności, aby na nie odpowiedzieć.

Odpowiedz na 20–40 pytań

Opisz, jak Twoja organizacja faktycznie działa dziś. Szczere odpowiedzi dają najbardziej przydatny wynik.

Otrzymaj raport

Wynik gotowości, analiza luk według obszarów wymagań i priorytetowe rekomendacje AI – w PDF do udostępnienia.

Najczęstsze pytania

Czy istnieje certyfikat DORA?

Nie. DORA to rozporządzenie UE, a nie system certyfikacji. Oficjalnego certyfikatu DORA nie ma; zgodność weryfikują właściwe organy nadzoru, a w przypadku dostawców ICT – ich klienci z sektora finansowego.

Czy DORA dotyczy dostawców usług IT?

Tak, pośrednio, a czasem bezpośrednio. Podmioty finansowe muszą przenieść wymogi DORA na dostawców ICT w umowach, a kluczowi zewnętrzni dostawcy ICT podlegają bezpośredniemu nadzorowi Europejskich Urzędów Nadzoru.

Jakie są terminy zgłaszania incydentów w DORA?

W przypadku poważnego incydentu związanego z ICT zgłoszenie wstępne należy przekazać w ciągu 4 godzin od uznania go za poważny i nie później niż 24 godziny od jego wykrycia, raport pośredni w ciągu 72 godzin, a raport końcowy w ciągu miesiąca.

Czy BALTUM certyfikuje zgodność z DORA lub udziela porad prawnych?

Nie. BALTUM to niezależne oprogramowanie do samooceny, a nie firma doradcza, kancelaria prawna ani jednostka certyfikująca. Pokazuje stan gotowości i luki, ale nie zastępuje porady prawnej ani oceny nadzoru.