DORA i zewnętrzni dostawcy usług ICT: czego sektor finansowy potrzebuje od dostawców

01DORA jesienią 2026 r.

Rozporządzenie w sprawie operacyjnej odporności cyfrowej sektora finansowego (otwiera stronę zewnętrzną), rozporządzenie (UE) 2022/2554, stosuje się od 17 stycznia 2025 r. Jako rozporządzenie obowiązuje bezpośrednio w każdym państwie członkowskim; prawo krajowe wskazuje przede wszystkim właściwe organy i określa sankcje. Szczegóły zawierają standardy techniczne przyjęte przez Komisję: ramy zarządzania ryzykiem ICT, klasyfikacja i zgłaszanie incydentów, rejestr informacji, polityki umowne, podwykonawstwo i testy penetracyjne pod kątem wyszukiwania zagrożeń.

Dla podmiotów finansowych DORA jest aktem sektorowym, który zastępuje przepisy NIS2 o zarządzaniu ryzykiem ICT, zgłaszaniu incydentów i nadzorze. 18 listopada 2025 r. trzy Europejskie Urzędy Nadzoru (EBA, EIOPA i ESMA) opublikowały (otwiera stronę zewnętrzną) pierwszą listę krytycznych zewnętrznych dostawców usług ICT, nad którymi sprawują bezpośredni nadzór.

02Podmioty finansowe i ich dostawcy ICT

DORA obejmuje dwadzieścia rodzajów podmiotów finansowych: od instytucji kredytowych, instytucji płatniczych i instytucji pieniądza elektronicznego oraz firm inwestycyjnych po dostawców usług w zakresie kryptoaktywów, systemy obrotu, zarządzających funduszami, zakłady ubezpieczeń, pośredników ubezpieczeniowych, instytucje pracowniczych programów emerytalnych, agencje ratingowe i platformy finansowania społecznościowego. W Polsce dotyczy to między innymi banków, w tym banków spółdzielczych, zakładów ubezpieczeń, instytucji płatniczych i towarzystw funduszy inwestycyjnych. Proporcjonalność jest wbudowana: art. 4 dostosowuje wymagania do wielkości, profilu ryzyka i złożoności, a art. 16 przewiduje uproszczone ramy dla niektórych mniejszych podmiotów.

Zewnętrznym dostawcą usług ICT jest każde przedsiębiorstwo świadczące usługi ICT, a DORA definiuje je szeroko: usługi cyfrowe i usługi w zakresie danych świadczone za pośrednictwem systemów ICT na rzecz użytkowników wewnętrznych lub zewnętrznych w sposób ciągły. Zwykle mieszczą się w tym hosting, usługi zarządzane, oprogramowanie jako usługa, utrzymanie i wsparcie aplikacji oraz usługi danych. Dostawcy nie podlegają nadzorowi na podstawie DORA, chyba że zostaną wyznaczeni jako krytyczni, ale ich klienci przenoszą obowiązki do każdej umowy.

03Ryzyko ICT spoczywa na organie zarządzającym

Art. 5 przypisuje organowi zarządzającemu ostateczną odpowiedzialność za ryzyko ICT. Organ ten określa, zatwierdza i nadzoruje ramy zarządzania ryzykiem ICT, ustala strategię operacyjnej odporności cyfrowej i tolerancję ryzyka, zatwierdza politykę ciągłości działania oraz plany reagowania i odtwarzania, a także zatwierdza i przegląda politykę korzystania z usług ICT świadczonych przez zewnętrznych dostawców. Jego członkowie muszą aktualizować swoją wiedzę, również przez regularne szkolenia.

04Poważne incydenty: 4 godziny, 72 godziny, miesiąc

Podmioty finansowe klasyfikują incydenty związane z ICT według kryteriów z art. 18, doprecyzowanych w rozporządzeniu delegowanym (UE) 2024/1772 (otwiera stronę zewnętrzną): liczba klientów i transakcji, których dotyczy incydent, czas trwania i przestoju, zasięg geograficzny, utrata danych, krytyczność dotkniętych usług i skutki ekonomiczne. Poważny incydent zgłasza się właściwemu organowi w trzech krokach, w terminach określonych w rozporządzeniu delegowanym (UE) 2025/301 (otwiera stronę zewnętrzną):

Klientów, których interesy finansowe zostały naruszone, trzeba poinformować bez zbędnej zwłoki. Podmiot finansowy może zlecić samo zgłaszanie stronie trzeciej, ale pozostaje za nie w pełni odpowiedzialny (art. 19 ust. 5).

Dla dostawców to bardzo konkretne. Każda umowa o usługi ICT musi zawierać obowiązek dostawcy udzielenia pomocy w razie incydentu związanego z jego usługą, bez dodatkowych kosztów albo po kosztach ustalonych z góry (art. 30 ust. 2 lit. f). Czterogodzinne okno klienta działa tylko wtedy, gdy monitoring, logi i kontakty po stronie dostawcy są gotowe przed incydentem.

05Testy, łącznie z TLPT

Art. 24 wymaga programu testów opartego na ryzyku, prowadzonego przez niezależnych testerów wewnętrznych lub zewnętrznych, z odpowiednimi testami co najmniej raz w roku dla wszystkich systemów i aplikacji ICT wspierających funkcje krytyczne lub istotne. Podmioty wskazane przez właściwy organ muszą też co najmniej raz na trzy lata przeprowadzać testy penetracyjne pod kątem wyszukiwania zagrożeń na działających systemach produkcyjnych, zgodnie z rozporządzeniem delegowanym (UE) 2025/1190 (otwiera stronę zewnętrzną), które opiera się na ramach TIBER-EU.

Gdy usługi dostawcy wchodzą w zakres TLPT, podmiot finansowy musi zapewnić jego udział (art. 26 ust. 3), a umowy dotyczące funkcji krytycznych lub istotnych muszą zawierać taki obowiązek (art. 30 ust. 3 lit. d). Jeśli udział dostawcy mógłby zaszkodzić jego innym klientom, DORA dopuszcza testy łączone: dostawca zawiera wtedy bezpośrednio umowę z zewnętrznym testerem w imieniu kilku podmiotów finansowych (art. 26 ust. 4).

06Ryzyko ze strony zewnętrznych dostawców usług ICT: strategia, rejestr i wyjście

Art. 28 włącza ryzyko ze strony zewnętrznych dostawców usług ICT do ram zarządzania ryzykiem ICT, a podmiot finansowy pozostaje w pełni odpowiedzialny za zgodność, niezależnie od tego, co zleca na zewnątrz. Główne obowiązki:

• Strategia dotycząca ryzyka ze strony zewnętrznych dostawców usług ICT, w tym polityka dla usług ICT wspierających funkcje krytyczne lub istotne, regularnie przeglądana przez organ zarządzający.
• Rejestr informacji o wszystkich ustaleniach umownych dotyczących usług ICT, na poziomie podmiotu i grupy, z wyróżnieniem ustaleń wspierających funkcje krytyczne lub istotne. Wzory określa rozporządzenie wykonawcze (UE) 2024/2956 (otwiera stronę zewnętrzną). Podmioty raportują o nim właściwemu organowi co najmniej raz w roku i na żądanie przekazują pełny rejestr.
• Badanie due diligence przed podpisaniem umowy: czy usługa wspiera funkcję krytyczną lub istotną, jakie są ryzyka, w tym ryzyko koncentracji, czy dostawca jest odpowiedni i czy występują konflikty interesów. Dostawcy muszą stosować odpowiednie standardy bezpieczeństwa informacji, a przy funkcjach krytycznych lub istotnych standardy najbardziej aktualne i najwyższej jakości.
• Prawo do wypowiedzenia umowy, między innymi przy istotnym naruszeniu przez dostawcę, wykazanych słabościach w jego zarządzaniu ryzykiem ICT lub okolicznościach uniemożliwiających skuteczny nadzór.
• Strategie wyjścia dla usług ICT wspierających funkcje krytyczne lub istotne, udokumentowane i przetestowane, aby podmiot mógł odejść od dostawcy bez zakłócenia działalności, ograniczenia zgodności z przepisami ani szkody dla usług świadczonych klientom.

Co musi zawierać umowa

Art. 30 określa najważniejsze postanowienia umowne. Każda umowa o usługi ICT musi mieć formę pisemną, w jednym dokumencie obejmującym poziomy usług, i zawierać co najmniej:

• pełny opis funkcji i usług oraz informację, czy i na jakich warunkach dopuszczalne jest podwykonawstwo;
• lokalizacje, w których świadczone są usługi oraz przetwarzane i przechowywane są dane, z uprzednim powiadomieniem o każdej zmianie;
• dostępność, autentyczność, integralność i poufność danych, w tym danych osobowych;
• dostęp do danych, ich odzyskanie i zwrot w łatwo dostępnym formacie w razie niewypłacalności, zaprzestania działalności lub rozwiązania umowy;
• opisy poziomów usług;
• pomoc przy incydentach ICT związanych z usługą, bez dodatkowych kosztów albo po kosztach ustalonych z góry;
• pełną współpracę z właściwymi organami i organami ds. restrukturyzacji i uporządkowanej likwidacji;
• prawo do wypowiedzenia i minimalne okresy wypowiedzenia;
• udział w programach podnoszenia świadomości w zakresie bezpieczeństwa ICT i szkoleniach z odporności cyfrowej prowadzonych przez podmiot.

Dla usług wspierających funkcje krytyczne lub istotne art. 30 ust. 3 dodaje precyzyjne ilościowe i jakościowe cele w zakresie wyników, obowiązki powiadamiania i raportowania, plany awaryjne, które dostawca wdraża i testuje, udział w TLPT, nieograniczone prawo dostępu, kontroli i audytu dla podmiotu i jego organu nadzoru oraz strategię wyjścia z obowiązkowym okresem przejściowym. Rozporządzenie delegowane (UE) 2025/532 (otwiera stronę zewnętrzną) określa, co podmiot musi ocenić, gdy takie usługi są podzlecane.

07Krytyczni zewnętrzni dostawcy usług ICT

Na podstawie art. 31 Europejskie Urzędy Nadzoru wyznaczają dostawców ICT krytycznych dla sektora finansowego, biorąc pod uwagę ich wpływ systemowy, znaczenie podmiotów finansowych, które z nich korzystają, ich rolę w funkcjach krytycznych lub istotnych oraz łatwość ich zastąpienia. Każdy krytyczny dostawca ma wiodący organ nadzorczy (Lead Overseer), czyli jeden z trzech urzędów, który może żądać informacji, prowadzić dochodzenia i kontrole oraz wydawać zalecenia.

Pierwsza lista (otwiera stronę zewnętrzną), opublikowana 18 listopada 2025 r., objęła 19 dostawców: od operatorów chmury i centrów danych po firmy telekomunikacyjne, usługowe IT, dostawców danych rynkowych i oprogramowania biznesowego. Wyznaczenie nie zdejmuje z podmiotu finansowego żadnego obowiązku: nadal prowadzi on rejestr, stosuje postanowienia umowne i ma strategię wyjścia dla każdego z tych dostawców.

08Co dostawca ICT powinien mieć gotowe

Większość dostawców podmiotów finansowych nigdy nie zostanie wyznaczona jako krytyczni, ale wszyscy spotykają się z DORA przez umowy, badanie due diligence i audyty. Dostawca, który ma przygotowane poniższe elementy, skraca proces zakupowy i ułatwia klientowi rozmowę z nadzorcą:

• Dane do rejestru. To, czego klient potrzebuje do rejestru informacji: podmiot prawny i identyfikatory, świadczone usługi i funkcje, które wspierają, lokalizacje oraz podwykonawcy w łańcuchu.
• Postanowienia umowne zgodne z art. 30. Najlepiej standardowy aneks DORA obejmujący obie listy, zamiast negocjowania każdej klauzuli od zera.
• Dowody incydentów. Monitoring, logi z wiarygodnymi znacznikami czasu i procedura powiadamiania, które pozwalają klientowi sklasyfikować i zgłosić incydent w ciągu kilku godzin.
• Przetestowana ciągłość działania. Plany awaryjne i testy odtwarzania, z datami i wynikami.
• Bezpieczeństwo, które da się wykazać. Standardy bezpieczeństwa informacji, kontrola dostępu, bezpieczny cykl wytwarzania oprogramowania i obsługa podatności, w miarę możliwości z niezależnymi dowodami.
• Gotowość na audyty i testy. Praktyczny sposób przyjmowania audytów i kontroli oraz udziału w TLPT, w tym w testach łączonych, gdy są odpowiednie.
• Plan wyjścia. Zwrot danych w użytecznych formatach, dokumentacja i wsparcie przejściowe przez uzgodniony okres.

Tak pracujemy jako dostawca ICT dla podmiotów finansowych: uzgadniamy postanowienia umowne wymagane przez DORA, zgłaszamy incydenty uzgodnionym kanałem, dokumentujemy plany wyjścia, uczestniczymy w testach odporności i dostarczamy informacje potrzebne do Państwa rejestru. Na stronie Zaufanie i zgodność opisujemy, jak pracujemy, w tym system zarządzania bezpieczeństwem informacji z certyfikatem ISO/IEC 27001.

09Praktyczny plan dla obu stron

1. 01Uzupełniony rejestr. Każdą umowę ICT powiązać z funkcjami, które wspiera, i oznaczyć te krytyczne lub istotne.
2. 02Luki w umowach zamknięte. Porównać każdą umowę z art. 30 i uzgodnić aneks tam, gdzie brakuje postanowień.
3. 03Uzgodniona obsługa incydentów. Z każdym krytycznym dostawcą ustalić dane do klasyfikacji, kontakty i czasy powiadomień, a następnie je przetestować.
4. 04Testy zaplanowane z dostawcami. Włączyć ich do programu testów i, w stosownych przypadkach, do ustalania zakresu TLPT.
5. 05Spisane i przetestowane strategie wyjścia. Dla każdej funkcji krytycznej lub istotnej: alternatywy, zwrot danych i okres przejściowy.
6. 06Kontrola koncentracji. Kilka funkcji krytycznych u jednego dostawcy to ryzyko, które trzeba udokumentować i którym trzeba zarządzać (art. 29).

10Właściwy organ w Polsce

DORA ma wszędzie ten sam tekst, ale nadzór nad większością podmiotów finansowych jest krajowy. W Polsce Komisja Nadzoru Finansowego (KNF) jest właściwym organem w rozumieniu art. 46 rozporządzenia DORA. KNF sprawuje nadzór nad rynkiem finansowym, w tym nad bankami, zakładami ubezpieczeń i rynkiem kapitałowym. Ustawa z dnia 25 czerwca 2025 r. (Dz.U. 2025 poz. 1069) wyposażyła KNF w środki nadzorcze potrzebne do stosowania DORA, co KNF opisuje w swoim komunikacie o tej ustawie (otwiera stronę zewnętrzną). Format i kanał przekazywania rejestru informacji i zgłoszeń incydentów oraz organ odpowiedzialny za TLPT określa się na poziomie krajowym, dlatego warto śledzić komunikaty KNF.

11Na co zwracać uwagę w najbliższych miesiącach

• Priorytety nadzorcze i ustalenia KNF dotyczące rejestru informacji i zgłaszania incydentów.
• Nadzór wiodących organów nadzorczych nad krytycznymi zewnętrznymi dostawcami usług ICT i zalecenia, które dotyczą używanych przez Państwa usług.
• Zaproponowany przez Komisję Digital Omnibus (otwiera stronę zewnętrzną), COM(2025) 837, który kierowałby zgłoszenia poważnych incydentów na podstawie DORA przez jeden punkt kontaktowy prowadzony przez ENISA. W październiku 2026 r. projekt wciąż był rozpatrywany przez Parlament Europejski; dopóki nie zostanie przyjęty i nie zacznie być stosowany, obowiązują obecne kanały i terminy.

Organizacje spoza sektora finansowego mają podobne obowiązki wobec łańcucha dostaw na podstawie NIS2 i ustawy o KSC; więcej w artykule Ustawa o KSC, NIS2 i dostawcy oprogramowania. Europejskie Urzędy Nadzoru prowadzą przegląd standardów technicznych i ram nadzoru na swoich stronach poświęconych DORA (otwiera stronę zewnętrzną).