17 stycznia 2025 r. Rozporządzenie DORA (Regulation EU 2022/2554) stało się w pełni stosowane. Dla wielu podmiotów finansowych w Polsce oznaczało to nie tyle zmianę przepisów, co konieczność udowodnienia KNF, że wdrożenie zostało faktycznie zakończone – a nie dopiero rozpoczęte. W praktyce – wiele firm o tym zapomina – DORA nie jest wyłącznie regulacją IT. To regulacja zarządcza, która nakłada odpowiedzialność bezpośrednio na organy kierownicze.

Rozporządzenie DORA (Regulation EU 2022/2554) obowiązuje od 17 stycznia 2025 roku i dotyczy szerokiego katalogu podmiotów sektora finansowego działających na terenie Unii Europejskiej. Obowiązek wdrożenia obejmuje zarządzanie ryzykiem ICT, raportowanie incydentów do KNF oraz testy odporności cyfrowej. Podmioty, które nie zakończyły wdrożenia, narażają się na sankcje nadzorcze – bez okresu przejściowego.

Ten alert wyjaśnia trzy rzeczy: kto podlega DORA, jakie są progi i wyłączenia, oraz co należy zrobić natychmiast. Struktura jest prosta – najpierw zakres podmiotowy, potem obowiązki operacyjne i harmonogram działań.

Kto podlega DORA i jakie są progi wyłączeń?

DORA wymienia 21 kategorii podmiotów finansowych. Zakres jest szerszy, niż większość zarządów zakłada przy pierwszym czytaniu. Banki, zakłady ubezpieczeń i firmy inwestycyjne to oczywiste przypadki. Mniej oczywiste – ale równie objęte – są instytucje płatnicze, dostawcy usług kryptoaktywów (CASP), agencje ratingowe, repozytoria sekurytyzacji oraz dostawcy usług finansowania społecznościowego.

Rozporządzenie przewiduje jeden istotny próg wyłączenia. Małe i niezłożone instytucje – zdefiniowane jako podmioty spełniające kryteria określone w sektorowych rozporządzeniach unijnych – korzystają z uproszczonego reżimu ICT. W praktyce oznacza to mniej rozbudowane wymogi testowania i dokumentacji. Nie oznacza to jednak całkowitego zwolnienia z DORA. Obowiązki w zakresie raportowania incydentów i zarządzania ryzykiem dostawców ICT pozostają w mocy.

Kluczowe jest rozróżnienie między podmiotami finansowymi a dostawcami zewnętrznymi ICT. Dostawcy usług ICT – firmy technologiczne, chmurowe, SaaS – nie są bezpośrednio objęci DORA jako adresaci regulacji. Stają się jednak stronami umów z podmiotami finansowymi, które muszą spełniać wymogi DORA dotyczące zarządzania ryzykiem zewnętrznych dostawców. Dla polskich firm IT współpracujących z bankami lub towarzystwami ubezpieczeniowymi oznacza to renegocjację umów i dostosowanie SLA do wymogów rozporządzenia.

Nadzór w Polsce sprawuje KNF. Dla podmiotów działających transgranicznie – na przykład instytucji płatniczych z paszportem europejskim – właściwy organ nadzoru określa się zgodnie z miejscem siedziby. Rejestracja w KRS nie przesądza o właściwości KNF, jeśli podmiot działa głównie przez oddział w innym państwie członkowskim.

  • Banki krajowe i oddziały banków zagranicznych
  • Zakłady ubezpieczeń i reasekuracji
  • Firmy inwestycyjne i zarządzające aktywami
  • Instytucje płatnicze i pieniądza elektronicznego
  • Dostawcy usług kryptoaktywów (CASP) po wejściu MiCA

Jeśli Państwa firma świadczy usługi finansowe i nie ma pewności co do kwalifikacji – to brak tej pewności jest już sygnałem ostrzegawczym. Regulacja wyprzedza rynek, a KNF nie czeka na samodzielne ustalenie zakresu przez podmiot.

Jakie obowiązki operacyjne nakłada DORA i do kiedy?

DORA strukturyzuje obowiązki w pięciu filarach. Każdy z nich ma inny horyzont czasowy wdrożenia i inny poziom złożoności technicznej. Wszystkie obowiązywały od 17 stycznia 2025 r. – bez dodatkowego okresu implementacyjnego po stronie krajowej.

Pierwszy filar to zarządzanie ryzykiem ICT. Podmiot finansowy musi posiadać udokumentowane ramy zarządzania ryzykiem ICT, zatwierdzone przez organ zarządzający. Zarząd nie może delegować odpowiedzialności za ten obszar wyłącznie do działu IT. DORA wprost wskazuje, że organ zarządzający odpowiada za wdrożenie i nadzór nad strategią odporności cyfrowej. To bezpośrednie przełożenie na odpowiedzialność osobistą członków zarządu.

Drugi filar to raportowanie incydentów. Poważne incydenty związane z ICT należy zgłaszać do KNF w ciągu 4 godzin od ich sklasyfikowania jako poważne. Wstępne powiadomienie – 24 godziny. Raport końcowy – w terminie 1 miesiąca. Brak procedury klasyfikacji incydentów to nie tylko ryzyko operacyjne – to ryzyko naruszenia terminu raportowego z konsekwencjami nadzorczymi.

Trzeci filar – testowanie odporności cyfrowej – różnicuje podmioty. Podstawowe testy (np. testy podatności) obowiązują wszystkich. Zaawansowane testy TLPT (Threat-Led Penetration Testing) dotyczą wyłącznie podmiotów wskazanych przez właściwy organ nadzoru. KNF może objąć TLPT bank lub dużą firmę inwestycyjną – nie każdą instytucję płatniczą.

Czwarty filar to zarządzanie ryzykiem zewnętrznych dostawców ICT. Umowy z dostawcami ICT muszą zawierać klauzule wymagane przez DORA – w tym prawo do audytu, wymogi dotyczące ciągłości usług i lokalizacji danych. Umowy zawarte przed 17 stycznia 2025 r. powinny zostać zaktualizowane. Brak aktualizacji nie zawiesza obowiązku – podmiot finansowy pozostaje odpowiedzialny za zgodność niezależnie od treści umowy z dostawcą.

Piąty filar to wymiana informacji o zagrożeniach cybernetycznych. Jest to element dobrowolny, ale jego brak może być negatywnie oceniony przez KNF w kontekście kultury zarządzania ryzykiem. W kontekście wymogów dotyczących kanałów sygnalistów warto zauważyć, że wewnętrzne mechanizmy raportowania incydentów i kanały sygnalistów tworzą dwa odrębne systemy – wymagające oddzielnych procedur i dokumentacji.

Co zrobić natychmiast – lista działań priorytetowych

Podmioty, które 17 stycznia 2025 r. nie miały gotowego wdrożenia, nie są w stanie „cofnąć" daty obowiązywania rozporządzenia. Mogą jednak ograniczyć ekspozycję na ryzyko nadzorcze przez natychmiastowe działania naprawcze. KNF – podobnie jak inne organy nadzoru w UE – bierze pod uwagę aktywną postawę podmiotu przy ocenie naruszeń.

Firma produkcyjna z Mazowsza, która w lutym 2025 r. uruchomiła instytucję płatniczą dla własnych rozliczeń B2B, odkryła po trzech miesiącach, że jej umowy z dostawcami SaaS nie zawierają klauzul wymaganych przez DORA. Renegocjacja 11 umów zajęła 6 tygodni. Koszt zewnętrznego doradztwa – kilkadziesiąt tysięcy złotych. Koszt potencjalnej sankcji KNF za brak zgodności – nieporównywalnie wyższy i nieodwracalny dla reputacji licencji.

Instytucja finansowa z Krakowa, działająca jako mały CASP, wiosną 2025 r. przeprowadziła wewnętrzny audyt DORA i zidentyfikowała brak formalnych ram zarządzania ryzykiem ICT. Zarząd przyjął dokument w ciągu 2 tygodni. To wystarczyło, by w trakcie rutynowej kontroli KNF wykazać aktywne zarządzanie obszarem – zamiast jego ignorowania.

Rejestracja znaku towarowego i ochrona własności intelektualnej to odrębne obszary, ale podmioty technologiczne często łączą wdrożenie DORA z przeglądem portfela IP. Więcej o procedurze rejestracji znaku towarowego w UPRP znajdą Państwo w osobnym materiale – wdrożenie DORA nie zastępuje ochrony marki technologicznej.

  • Przeprowadź gap analysis: zidentyfikuj luki między obecnym stanem a wymogami DORA w ciągu 14 dni
  • Zaktualizuj umowy z dostawcami ICT o klauzule wymagane przez rozporządzenie
  • Wdróż procedurę klasyfikacji i raportowania incydentów ICT (termin: natychmiast)
  • Zatwierdź ramy zarządzania ryzykiem ICT na poziomie zarządu – z protokołem posiedzenia
  • Sprawdź, czy podmiot kwalifikuje się do uproszczonego reżimu dla małych instytucji

DORA wchodzi w interakcję z innymi regulacjami cyfrowymi. RODO (Rozporządzenie UE 2016/679) i AI Act (Rozporządzenie UE 2024/1689) tworzą nakładające się obowiązki w obszarze zarządzania danymi i systemami algorytmicznymi. Podmiot finansowy używający narzędzi AI do scoringu kredytowego musi jednocześnie spełniać wymogi AI Act dotyczące systemów wysokiego ryzyka oraz wymogi DORA w zakresie zarządzania ryzykiem ICT. Brak skoordynowanego podejścia oznacza podwójną ekspozycję regulacyjną – wobec KNF i wobec PUODO lub właściwego organu nadzoru AI Act.

Konkretna sytuacja Państwa firmy może wymagać oceny, czy podlega pełnemu reżimowi DORA, uproszczonemu reżimowi dla małych instytucji, czy wyłącznie obowiązkom kontraktowym jako dostawca ICT. Brak tej oceny to nieodwracalna strata czasu, który KNF może potraktować jako dowód bierności – a nie dobrej wiary.

Jeśli Państwa podmiot działa w sektorze finansowym lub świadczy usługi ICT dla instytucji finansowych i nie zakończył jeszcze analizy zakresu DORA – przeprowadzimy gap analysis, ocenimy kwalifikację podmiotową i przygotujemy plan działań naprawczych: info@kordeckipartners.com.

Często zadawane pytania

P: Czy DORA dotyczy polskich firm IT, które świadczą usługi dla banków?

O: Firmy IT nie są bezpośrednimi adresatami rozporządzenia DORA. Jednak banki i inne podmioty finansowe mają obowiązek zawrzeć z dostawcami ICT umowy spełniające wymogi rozporządzenia – w tym klauzule audytowe, wymogi dotyczące ciągłości usług i lokalizacji danych. Firma IT, która odmawia dostosowania umowy, ryzykuje utratą kontraktu z podmiotem regulowanym. Dostosowanie umów powinno nastąpić bez zbędnej zwłoki – najlepiej w ciągu 30 dni od zgłoszenia przez klienta finansowego.

P: Czy małe instytucje płatnicze są całkowicie zwolnione z DORA?

O: Nie. Uproszczony reżim dla małych i niezłożonych instytucji oznacza mniej rozbudowane wymogi testowania i dokumentacji ram zarządzania ryzykiem ICT. Obowiązki w zakresie raportowania poważnych incydentów do KNF oraz zarządzania ryzykiem zewnętrznych dostawców ICT pozostają w pełni stosowane. Powszechnym błędem jest utożsamianie uproszczonego reżimu z brakiem obowiązków – to dwa różne pojęcia.

P: Kiedy KNF może wszcząć postępowanie za naruszenie DORA i jakie grożą sankcje?

O: KNF może wszcząć postępowanie nadzorcze w każdym momencie po 17 stycznia 2025 roku. Rozporządzenie DORA nie przewiduje własnego katalogu sankcji – stosuje się sankcje wynikające z sektorowych przepisów krajowych i unijnych, które KNF stosuje wobec nadzorowanych podmiotów. W przypadku banków może to oznaczać cofnięcie zezwolenia, nałożenie kary pieniężnej lub nakaz podjęcia działań naprawczych. Aktywna postawa podmiotu – udokumentowane działania naprawcze – jest brana pod uwagę przy ocenie naruszenia.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do regulacji cyfrowych, w tym DORA, AI Act i RODO. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.