Rok stosowania Rozporządzenia DORA – nadchodzące wyzwania

Rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA), które stosuje się od 17 stycznia 2025 r., wprowadziło jednolite ramy zarządzania ryzykiem ICT dla podmiotów finansowych w całej Unii Europejskiej. Jego celem jest zapewnienie zdolności do nieprzerwanego funkcjonowania instytucji finansowych nawet w warunkach poważnych incydentów ICT, awarii systemów czy zakłóceń po stronie dostawców zewnętrznych.

Pierwszy rok stosowania DORA pokazuje, że regulacja ta wykracza poza klasycznie rozumiane cyberbezpieczeństwo, stając się fundamentem nowego podejścia do zarządzania ryzykiem operacyjnym. Zmiany te dotknęły nie tylko podmioty finansowe, ale również dostawców usług ICT, którzy zostali zmuszeni do dostosowania swoich procesów do bardziej rygorystycznych wymagań, często poprzez wdrażanie standardów takich jak ISO 27001 czy ISO 22301.

Po etapie projektowania i wdrażania dokumentacji nadchodzi okres realizacji obowiązków cyklicznych, obejmujących audyty wewnętrzne, przeglądy ram zarządzania ryzykiem ICT, audyty i kontrole dostawców usług ICT, szkolenia oraz regularną analizę ryzyka. Audyt wewnętrzny, prowadzony w sposób niezależny i oparty na analizie ryzyka, staje się kluczowym mechanizmem weryfikacji skuteczności Systemu Zarządzania Bezpieczeństwem Informacji i musi obejmować zarówno aspekty techniczne, jak i organizacyjne oraz kontraktowe.

DORA kładzie istotny nacisk na realne zaangażowanie organu zarządzającego, który powinien posiadać faktyczny wgląd w poziom ryzyka ICT oraz skuteczność środków zaradczych. Podobne podejście dotyczy nadzoru nad zewnętrznymi dostawcami usług ICT – regulacja wymaga aktywnego wykonywania praw audytowych, a nie jedynie ich formalnego ujęcia w umowach.

Cykliczna analiza ryzyka ICT stanowi fundament całego systemu odporności cyfrowej. Jej wyniki powinny być wykorzystywane operacyjnie – przy planowaniu inwestycji, testów odporności, szkoleń oraz działań naprawczych. W praktyce DORA nie jest regulacją „do jednorazowego wdrożenia”, lecz impulsem do trwałej zmiany kultury zarządzania ryzykiem w sektorze finansowym.

Zapraszamy do lektury artykułu adw. Tomasza Kamińskiego, Wspólnika w Krzysztof Rożko i Wspólnicy Kancelarii Prawnej oraz eksperta ds. cyberbezpieczeństwa Daniela Niwińskiego, opublikowanego dziś w dodatku merytorycznym gazety Rzeczpospolita oraz na portalu internetowym rp.pl, w którym autorzy analizują najważniejsze wyzwania, które stoją dziś przed podmiotami finansowymi i ich dostawcami usług ICT: od audytów wewnętrznych i przeglądów ram zarządzania ryzykiem, przez realny nadzór nad dostawcami, aż po cykliczną analizę ryzyka ICT jako narzędzie zarządcze.

Wsparcie w realizacji obowiązków

Kancelaria prawna KRWLegal / LegalWell posiada bogate doświadczenie w zakresie wdrożenia wymagań DORA oraz RODO. Kancelaria dysponuje ekspertami, którzy na co dzień wspierają Klientów Kancelarii w realizacji audytów, przeglądów dokumentacji, przesyłaniu sprawozdań do Komisji Nadzoru Finansowego, szkoleniach. Kancelaria KRWLegal / LegalWell doradza również w przypadku wystąpienia incydentów i naruszeń bezpieczeństwa informacji.

Kancelaria prawna KRWLegal/ LegalWell zapewnia profesjonalne i fachowe doradztwo w wielu dziedzinach prawa, w tym świadczy usługi doradztwa w zakresie Rozporządzenia DORA, zgodności prawnej w zakresie cyberbezpieczeństwa oraz prowadzi szkolenia w tym obszarze dla pracowników instytucji obowiązanych.

Jeśli uważasz, że może mieć to wpływ na Twój biznes, zapraszamy do kontaktu: biuro@krwlegal.pl lub +48 22 29 50 940.