DORA

DORA (Digital Operational Resilience Act) to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z 14 grudnia 2022 roku w sprawie operacyjnej odporności cyfrowej sektora finansowego ^[1]. Ustanawia jednolite wymogi bezpieczeństwa sieci i systemów informatycznych, które wspierają procesy biznesowe podmiotów finansowych: zarządzanie ryzykiem ICT, zgłaszanie poważnych incydentów, testowanie odporności i wymianę informacji o cyberzagrożeniach ^[1]. Rozporządzenie stosuje się od 17 stycznia 2025 roku i obowiązuje bezpośrednio we wszystkich państwach członkowskich ^[1]. W Polsce stronę nadzorczą prezentuje Komisja Nadzoru Finansowego ^[2].

Kogo dotyczy

Artykuł 2 wymienia dwadzieścia rodzajów podmiotów finansowych, między innymi instytucje kredytowe, instytucje płatnicze, instytucje pieniądza elektronicznego, firmy inwestycyjne, dostawców usług w zakresie kryptoaktywów, zakłady ubezpieczeń i pośredników ubezpieczeniowych ^[1]. Jako ostatnią kategorię przepis wskazuje zewnętrznych dostawców usług ICT ^[1]. Rozporządzenie definiuje takiego dostawcę bardzo szeroko: jako przedsiębiorstwo świadczące usługi ICT ^[1]. Usługi ICT to usługi cyfrowe i usługi w zakresie danych świadczone w sposób ciągły za pośrednictwem systemów ICT ^[1].

Część podmiotów jest wyłączona, na przykład pośrednicy ubezpieczeniowi będący mikroprzedsiębiorstwami, małymi lub średnimi przedsiębiorstwami ^[1]. Pozostałe stosują przepisy zgodnie z zasadą proporcjonalności, biorąc pod uwagę wielkość, ogólny profil ryzyka oraz charakter, skalę i złożoność działalności ^[1]. Wybrane małe podmioty korzystają z uproszczonych ram zarządzania ryzykiem ^[1].

Motyw 16 rozporządzenia stwierdza, że DORA stanowi lex specialis względem dyrektywy (UE) 2022/2555, czyli NIS2 ^[1]. Dla sektora finansowego przepisy rozporządzenia DORA mają więc pierwszeństwo przed ogólnymi ramami cyberbezpieczeństwa.

Obowiązki

Wymogi rozporządzenia DORA układają się w pięć filarów. Tabela zestawia je z artykułami, w których się znajdują.

Zarządzanie ryzykiem. Organ zarządzający podmiotu finansowego ponosi ostateczną odpowiedzialność za zarządzanie ryzykiem związanym z ICT ^[1]. Ryzyko to rozporządzenie definiuje jako każdą dającą się racjonalnie określić okoliczność, która może zagrozić bezpieczeństwu sieci i systemów lub świadczeniu usług ^[1]. Artykuł 12 wymaga polityk kopii zapasowych (backup), procedur przywracania danych i okresowego testowania tych procedur ^[1]. Artykuł 11 wymaga strategii ciągłości działania w zakresie ICT ^[1], co odpowiada planowi ciągłości działania.

Testowanie. Podmioty inne niż mikroprzedsiębiorstwa utrzymują program testowania operacyjnej odporności cyfrowej ^[1]. Wskazane podmioty przeprowadzają nie rzadziej niż co trzy lata zaawansowane testy TLPT, czyli testy penetracyjne pod kątem wyszukiwania zagrożeń, na działających systemach produkcyjnych ^[1].

Dostawcy. Podmiot finansowy przez cały czas ponosi pełną odpowiedzialność za wypełnianie obowiązków, także gdy korzysta z usług zewnętrznych ^[1]. Prowadzi rejestr informacji o wszystkich umowach na usługi ICT ^[1]. To właśnie zarządzanie ryzykiem dostawców (third-party risk management) w wersji wymaganej prawem.

Zgłaszanie incydentów

Incydent związany z ICT to według rozporządzenia nieplanowane zdarzenie, które zagraża bezpieczeństwu sieci i systemów i ma negatywny wpływ na dostępność, autentyczność, integralność lub poufność danych albo na usługi podmiotu ^[1]. Poważny incydent ma duży negatywny wpływ na systemy wspierające krytyczne lub istotne funkcje ^[1]. Takie incydenty trzeba zgłaszać właściwemu organowi, co jest szczególną postacią obowiązku zgłaszania incydentów ^[1]. Terminy określa rozporządzenie delegowane 2025/301, a przebieg pokazuje schemat poniżej.

RYS. 1Zgłoszenie poważnego incydentu ICT

Wstępne powiadomienie składa się w ciągu czterech godzin od sklasyfikowania incydentu jako poważny i nie później niż 24 godziny od chwili, gdy podmiot się o nim dowiedział ^[3]. Sprawozdanie śródokresowe przychodzi najpóźniej 72 godziny po wstępnym powiadomieniu, a końcowe nie później niż miesiąc po sprawozdaniu śródokresowym ^[3]. Sprawozdanie końcowe powstaje po analizie podstawowych przyczyn ^[1]. Cały proces wymaga sprawnego reagowania na incydenty.

W WordPressie

Rozporządzenie DORA nie dotyczy WordPressa jako oprogramowania. Dotyczy natomiast firm, które budują, utrzymują albo hostują strony i aplikacje dla banków, ubezpieczycieli czy instytucji płatniczych. Definicja zewnętrznego dostawcy usług ICT jest na tyle szeroka, że może objąć agencję utrzymującą serwis podmiotu finansowego albo firmę hostingową ^[1]. Czy konkretna umowa jej podlega, ocenia podmiot finansowy.

Umowa z takim dostawcą musi zawierać co najmniej opis usług, miejsca przetwarzania danych, postanowienia o ochronie danych osobowych, poziomy usług, obowiązek pomocy przy incydencie i prawa wypowiedzenia ^[1]. Dla strony na WordPressie przekłada się to na konkretne pytania. Gdzie fizycznie stoi serwer, kto aktualizuje wtyczki i motywy, jak szybko instalowana jest łatka (patch) i w jakim czasie klient dostaje dane po zakończeniu współpracy. Przydatny jest tu model współdzielonej odpowiedzialności, który rozdziela zadania między hosting, wykonawcę i właściciela strony. Wymogi dotyczące kopii i ich testowania dotyczą także bazy danych i katalogu wp-content ^[1].

Nadzór i kary

Nadzór nad podmiotami finansowymi sprawują właściwe organy krajowe, które mają uprawnienia do kontroli, dochodzeń i nakładania sankcji ^[1]. Osobny reżim dotyczy kluczowych zewnętrznych dostawców usług ICT, wyznaczanych przez Europejskie Urzędy Nadzoru ^[1]. Urzędy ogłosiły pierwsze takie wyznaczenie 18 listopada 2025 roku; objęci nim dostawcy świadczą usługi od podstawowej infrastruktury po usługi biznesowe i danych ^[4]. Za niezastosowanie się do środków nadzorczych wiodący organ może nałożyć na kluczowego dostawcę okresową karę pieniężną do 1% średniego dziennego światowego obrotu, za każdy dzień, nie dłużej niż przez sześć miesięcy ^[1].

Rozporządzenie uzupełniają akty delegowane i wykonawcze Komisji, na przykład o kryteriach klasyfikacji incydentów czy o wzorach rejestru informacji; ich wykaz publikuje KNF ^[2]. Wdrożenie DORA jest częścią szerszej zgodności regulacyjnej (compliance) sektora finansowego.