Data dodania: 18-05-2025
Znany również jako:
Digital Operational Resilience ActRozporządzenie o Cyfrowej Odporności OperacyjnejDORA Regulation
Definicja DORA
Digital Operational Resilience Act (DORA) to unijne rozporządzenie 2022/2554, którego celem jest wzmocnienie odporności cyfrowej sektora finansowego. Akt prawny ustanawia jednolite wymogi dla instytucji finansowych w zakresie zarządzania ryzykiem ICT, reagowania na incydenty oraz testowania systemów krytycznych.
Zakres podmiotowy
DORA obejmuje:
- banki, firmy inwestycyjne, instytucje płatnicze,
- firmy ubezpieczeniowe i reasekuracyjne,
- podmioty infrastruktury rynku finansowego (CCP, CSD),
- dostawców ICT (tzw. third-party service providers).
Kluczowe wymagania DORA
- Zarządzanie ryzykiem ICT – dokumentowane ramy i polityki bezpieczeństwa, przeglądane co najmniej raz w roku.
- Zgłaszanie incydentów – harmonizacja obowiązków raportowania do organów nadzoru (maks. 4 godziny na zgłoszenie).
- Testy odporności – regularne testy penetracyjne TIBER-EU i zaawansowane scenariusze dla krytycznych systemów.
- Due diligence dostawców – ocena ryzyk w relacjach z podmiotami zewnętrznymi ICT.
- Zarządzanie ciągłością działania – plany odtworzeniowe, RTO/RPO, procedury awaryjne.
Powiązania regulacyjne
| Akt / norma | Powiązanie z DORA |
|---|---|
| NIS2 | Wspólne podejście do łańcucha dostaw i ryzyk ICT |
| GPDR | Współzależność w obszarze ochrony danych |
| EBA/ESMA/EIOPA | Organy techniczne opracowujące standardy DORA |
| ISO 27001 | Możliwe wykorzystanie jako dowód zgodności |
Harmonogram wdrożenia
- Data wejścia w życie: 16 stycznia 2023.
- Stosowanie od: 17 stycznia 2025 – do tego czasu organizacje muszą być w pełni zgodne.
- Standardy techniczne RTS/ITS: publikowane etapami do końca 2024 r.
Wyzwania implementacyjne
- Złożoność dostosowania procedur – szczególnie dla małych i średnich instytucji.
- Wysokie koszty testów odporności – konieczność zatrudnienia podmiotów zewnętrznych.
- Monitorowanie dostawców ICT spoza UE – obowiązek prowadzenia rejestru i analizy ryzyka.
- Synchronizacja z innymi regulacjami – np. NIS2, PSD2, GPDR.
- Weryfikacja zgodności w wielu jurysdykcjach – dla grup kapitałowych z filiami w UE.
Korzyści biznesowe
- Zwiększenie odporności operacyjnej i cyberbezpieczeństwa.
- Ujednolicone procedury raportowania w całej UE.
- Większa przejrzystość i kontrola nad łańcuchem dostaw ICT.
- Możliwość wykorzystania zgodności z DORA jako przewagi konkurencyjnej.
Rekomendowane działania
- Przeprowadzenie gap analysis względem wymagań DORA.
- Przygotowanie planu transformacji ICT risk management.
- Wdrożenie polityki testów penetracyjnych i zarządzania incydentami.
- Rewizja kontraktów z dostawcami pod kątem zgodności z DORA.
- Ustanowienie programu szkoleń i świadomości personelu.
Trendy i rozwój
- TIBER-EU jako standard testów – rosnące znaczenie symulacji APT.
- Konwergencja z NIS2 – możliwe połączenie działań compliance.
- Rozwój rynku RegTech – automatyzacja raportowania do regulatorów.
- Zarządzanie ciągłością cyfrową – integracja z DRP, BCP, CMDB.
- Wzrost znaczenia roli CISO – pełna odpowiedzialność zarządu za zgodność z DORA.