Firma fintechowa z Mazowsza – dostawca oprogramowania dla banków spółdzielczych – przez lata działała bez formalnego programu zarządzania ryzykiem ICT. Kiedy w połowie 2024 roku jeden z klientów zażądał potwierdzenia zgodności z DORA, zarząd nie wiedział, od czego zacząć. Pytanie „czy nas to dotyczy?" okazało się trudniejsze niż pytanie „co zrobić?".

Rozporządzenie DORA – Rozporządzenie (UE) 2022/2554 o cyfrowej odporności operacyjnej sektora finansowego – weszło w życie 17 stycznia 2025 roku. Obejmuje podmioty finansowe działające na terenie UE oraz ich kluczowych dostawców usług ICT. Termin wdrożenia upłynął, a nadzór sprawuje w Polsce Komisja Nadzoru Finansowego (KNF).

Poniżej opisujemy, jak przebiegało wdrożenie DORA w tej konkretnej sprawie: jakie podmioty objęto analizą, jaką strategię przyjęto, jak wyglądał proces i jakie wnioski można z tego wyciągnąć dla podobnych organizacji.

Tło sprawy – kto faktycznie podlega DORA?

DORA wymienia wprost ponad 20 kategorii podmiotów finansowych. Banki, zakłady ubezpieczeń, firmy inwestycyjne, instytucje płatnicze, dostawcy usług kryptoaktywów – to oczywiste przypadki. Trudniej jest z podmiotami z pogranicza: dostawcami oprogramowania, firmami SaaS obsługującymi sektor finansowy i operatorami infrastruktury technicznej.

W omawianej sprawie kluczowe było rozróżnienie między podmiotem finansowym a zewnętrznym dostawcą usług ICT. Podmiot finansowy podlega DORA bezpośrednio – musi wdrożyć ramy zarządzania ryzykiem ICT, zgłaszać incydenty do KNF i przeprowadzać testy odporności. Dostawca ICT wchodzi w zakres rozporządzenia przez umowy z podmiotami finansowymi. Dla kluczowych dostawców ICT – tzw. CTPP (critical third-party providers) – przewidziano odrębny reżim nadzorczy na poziomie unijnym.

Firma z Mazowsza formalnie nie była podmiotem finansowym. Była dostawcą oprogramowania. Mimo to jej klienci – banki spółdzielcze nadzorowane przez KNF – musieli traktować ją jako zewnętrznego dostawcę ICT i spełnić wobec niej wymogi kontraktowe wynikające z DORA. W praktyce oznaczało to, że firma musiała dostosować się do wymogów – nie z mocy prawa, lecz z mocy umów.

Jaką strategię przyjęto i dlaczego?

Zarząd stanął przed wyborem: minimalne dostosowanie kontraktowe albo pełne wdrożenie ram zgodności. Minimalne podejście oznaczało ryzyko utraty kontraktów – banki wymagały audytowalności i dokumentacji. Pełne wdrożenie wiązało się z kosztami rzędu kilkudziesięciu tysięcy złotych, ale otwierało drogę do nowych klientów z sektora finansowego.

Przyjęto strategię proporcjonalnego wdrożenia. DORA wprost przewiduje zasadę proporcjonalności – podmioty mniejsze i mniej złożone mogą stosować uproszczone ramy zarządzania ryzykiem ICT. Firma zatrudniała 38 osób i obsługiwała 12 banków spółdzielczych. To oznaczało, że pełna procedura dla dużego banku byłaby nadmiarowa. Zamiast niej – dokumentacja polityk ICT, rejestr umów z podwykonawcami technologicznymi i procedura zgłaszania incydentów dostosowana do skali działalności.

Równolegle przeanalizowano powiązania z umowami SaaS – kluczowym obszarem, gdzie DORA nakłada konkretne wymogi klauzulowe. Każda umowa z podmiotem finansowym musi zawierać m.in. prawo do audytu, opis poziomów usług (SLA), procedury zakończenia współpracy i postanowienia dotyczące ciągłości działania. Brak tych klauzul stanowi naruszenie po stronie podmiotu finansowego – ale w praktyce to dostawca traci kontrakt.

Warto też odnotować, że DORA nie działa w próżni regulacyjnej. Nakłada się na RODO (Rozporządzenie UE 2016/679) w zakresie incydentów dotyczących danych osobowych oraz na AI Act (Rozporządzenie UE 2024/1689) w przypadku systemów sztucznej inteligencji używanych w procesach finansowych. Firma korzystała z modułu scoringowego opartego na uczeniu maszynowym – co wymagało dodatkowej analizy pod kątem AI Act i klasyfikacji ryzyka.

Jak przebiegał proces wdrożenia?

Proces podzielono na cztery etapy, rozłożone na 90 dni. Termin był wymuszony przez klienta – bank spółdzielczy z Podlasia wymagał potwierdzenia zgodności przed odnowieniem umowy w marcu 2025 roku.

Etap pierwszy to analiza luk (gap analysis) – porównanie stanu faktycznego z wymogami DORA. Trwał dwa tygodnie. Zidentyfikowano trzy obszary krytyczne: brak polityki zarządzania ryzykiem ICT, brak rejestru umów z dostawcami technologicznymi i brak procedury klasyfikacji incydentów.

Etap drugi to opracowanie dokumentacji. Polityka zarządzania ryzykiem ICT, polityka tworzenia kopii zapasowych, rejestr dostawców ICT z klasyfikacją krytyczności – łącznie siedem dokumentów. Każdy dostosowany do skali firmy, nie kopiowany z szablonu dla banku. Tutaj pomocne okazały się doświadczenia z negocjacji umów komercyjnych – precyzja klauzul ma znaczenie zarówno w nieruchomościach, jak i w kontraktach technologicznych.

Etap trzeci to aktualizacja umów z klientami finansowymi. Dodano klauzule DORA-compliant: prawo do audytu, SLA z parametrami dostępności, procedury exit. Negocjacje z dwoma bankami trwały łącznie trzy tygodnie – głównym punktem spornym był zakres prawa do audytu i koszty jego przeprowadzenia.

Etap czwarty to szkolenie personelu i test procedury incydentowej. Przeprowadzono symulację incydentu – awarię systemu autentykacji – i sprawdzono, czy procedura zgłoszeniowa działa w praktyce. Czas reakcji: 47 minut od identyfikacji do eskalacji. DORA wymaga zgłaszania poważnych incydentów ICT do właściwego organu nadzoru w ciągu 4 godzin od klasyfikacji jako „poważny" – firma zmieściła się z dużym zapasem.

Jakie wnioski można wyciągnąć z tej sprawy?

Pierwsza lekcja: zakres podmiotowy DORA jest szerszy, niż wynika z literalnego brzmienia. Dostawcy technologiczni obsługujący sektor finansowy wchodzą w reżim rozporządzenia przez łańcuch umowny. Brak formalnego statusu podmiotu finansowego nie zwalnia z konieczności dostosowania się do wymogów kontraktowych narzucanych przez klientów.

Druga lekcja: proporcjonalność to nie luka, lecz narzędzie. Firma, która zastosuje wymogi przewidziane dla dużego banku do 38-osobowego dostawcy oprogramowania, zmarnuje zasoby i stworzy dokumentację, której nie będzie w stanie utrzymać. Lepsze jest wdrożenie skrojone na miarę – i audytowalne.

Trzecia lekcja: klauzule kontraktowe to pierwsze pole bitwy. Zanim pojawi się inspekcja KNF, pojawi się żądanie klienta. Firmy, które nie mają gotowych klauzul DORA-compliant, tracą przetargi. Kancelaria IP Warszawa obsługująca klientów technologicznych powinna mieć gotowe szablony – nie tylko dla podmiotów finansowych, ale dla całego ekosystemu dostawców.

Czwarta lekcja: DORA, AI Act i RODO tworzą razem spójny reżim dla podmiotów przetwarzających dane w sektorze finansowym. Wdrożenie jednego rozporządzenia bez uwzględnienia pozostałych to praca do połowy. Firma z Mazowsza odkryła to przy analizie modułu scoringowego – i musiała wrócić do etapu pierwszego dla tej konkretnej funkcjonalności.

Konkretna sytuacja Państwa firmy wymaga oceny zakresu podmiotowego DORA i stopnia ekspozycji na wymogi kontraktowe ze strony klientów finansowych. Brak wdrożenia zamyka drogę do nowych kontraktów w sektorze regulowanym – a okno na przygotowanie się bez presji czasowej już się zamknęło.

Jeśli Państwa spółka dostarcza usługi lub oprogramowanie podmiotom finansowym nadzorowanym przez KNF – przeprowadzimy gap analysis, opracujemy dokumentację i zaktualizujemy klauzule umowne: info@kordeckipartners.com.

Często zadawane pytania

P: Czy dostawca oprogramowania dla banku musi wdrożyć DORA, jeśli sam nie jest podmiotem finansowym?

O: Formalnie DORA nie nakłada bezpośrednich obowiązków na dostawców ICT niebędących podmiotami finansowymi – z wyjątkiem kluczowych dostawców ICT (CTPP) wyznaczonych przez europejskie organy nadzoru. W praktyce jednak banki i inne podmioty finansowe są zobowiązane do wprowadzenia klauzul DORA-compliant w umowach z dostawcami. Oznacza to, że dostawca, który nie dostosuje się do tych wymogów, traci możliwość zawarcia lub odnowienia kontraktu z podmiotem nadzorowanym przez KNF. Dostosowanie jest więc koniecznością rynkową, nawet jeśli nie wynika bezpośrednio z przepisów rozporządzenia.

P: Ile czasu zajmuje wdrożenie DORA w małej firmie technologicznej i ile to kosztuje?

O: Przy proporcjonalnym podejściu wdrożenie w firmie zatrudniającej do 50 osób zajmuje od 60 do 90 dni. Kluczowe elementy to gap analysis, opracowanie polityk ICT, aktualizacja umów z klientami finansowymi i test procedury incydentowej. Koszt zależy od złożoności infrastruktury i liczby obsługiwanych podmiotów finansowych. Firmy, które odkładają wdrożenie, ryzykują utratą kontraktów wartych wielokrotność kosztów samego projektu zgodności.

P: Czy DORA zastępuje RODO w zakresie incydentów bezpieczeństwa w sektorze finansowym?

O: Nie – rozporządzenie DORA (Rozporządzenie UE 2022/2554) i RODO (Rozporządzenie UE 2016/679) działają równolegle. Incydent ICT dotyczący danych osobowych może wymagać jednoczesnego zgłoszenia do organu nadzoru finansowego (KNF) na podstawie DORA i do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) na podstawie RODO. Terminy i zakres zgłoszeń różnią się w obu reżimach. Podmioty finansowe i ich dostawcy powinni mieć procedury uwzględniające oba obowiązki jednocześnie.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do prawa technologicznego, regulacji cyfrowych i wdrożeń DORA, AI Act oraz RODO. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.