- Bezpieczeństwo & Regulacja
Zgodność z DORA – przegląd luk, utrzymanie i dowody dla KNF
Rozporządzenie DORA stosuje się bezpośrednio od 17 stycznia 2025 r., a od 7 sierpnia 2025 r. KNF ma uprawnienia kontrolne i sankcyjne z polskiej ustawy. Nie ma terminu wdrożenia, na który można czekać: nadzór albo bank, któremu dostarczasz usługi, mogą zapytać o rejestr informacji, wyniki testów czy proces zgłaszania incydentów w dowolnym momencie. Tenesys zamyka luki po stronie technicznej i wspiera część raportową: od ram zarządzania ryzykiem ICT, przez gotowość na poważny incydent i testy odporności, po strategie wyjścia z chmury. Potem utrzymujemy zgodność na bieżąco.
DORA dotyczy Cię na jeden z dwóch sposobów
Bezpośrednio, jeśli jesteś podmiotem finansowym, albo przez umowy, jeśli dostarczasz usługi ICT podmiotom finansowym. W obu przypadkach ktoś sprawdzi Twoją zgodność. Różni się tylko to, kto.
Jesteś podmiotem finansowym
Bank, instytucja płatnicza lub pieniądza elektronicznego, dom maklerski, TFI, zakład ubezpieczeń, dostawca usług w zakresie kryptoaktywów albo inny podmiot nadzorowany przez KNF. Zgodność sprawdza nadzór. Mniejsze podmioty, w tym Małe Instytucje Płatnicze (MIP) oraz małe firmy inwestycyjne, nie są zwolnione z DORA – mogą jedynie stosować uproszczone ramy zarządzania ryzykiem ICT (art. 16). Incydenty zgłaszają jednak w tych samych terminach co pozostali. W przypadku MIP warto uwzględnić ryzyko regulacyjne – KNF proceduje obecnie propozycję przepisów zmierzających do likwidacji tej formy prawnej.
Dostarczasz usługi ICT podmiotom finansowym
Oprogramowanie, chmura, hosting, utrzymanie systemów, usługi zarządzane. Nadzorowi europejskiemu podlega tylko 19 dostawców uznanych za krytycznych. Pozostali dostają wymagania DORA w umowach: poziomy usług, prawo audytu, zgłaszanie incydentów, strategię wyjścia i udział w testach klienta. Zgodność sprawdza bank lub fintech, zanim podpisze albo przedłuży kontrakt.
Nie działasz w sektorze finansowym?
Firmy z sektorów takich jak energia, transport, produkcja czy ochrona zdrowia podlegają ustawie o KSC, która wdraża dyrektywę NIS2.
Gdzie podmioty finansowe najczęściej mają luki w DORA
Polityki i procedury większość podmiotów przygotowała przed styczniem 2025 r. Luki są zwykle tam, gdzie dokument musi zgadzać się z tym, co dzieje się w systemach. A za ryzyko ICT ostatecznie odpowiada zarząd, nie dział IT ani dostawca.
Rejestr informacji nie zgadza się z umowami
Rejestr powstał w arkuszu przed pierwszym raportem do KNF i od tego czasu nikt go nie aktualizuje. Umowy z dostawcami wspierającymi funkcje krytyczne lub istotne nie mają wymaganych zapisów o audycie, incydentach i wyjściu. Łańcuch podwykonawców jest nieznany. Skutek: dokument, o który nadzór zwykle pyta jako pierwszy, nie broni się.
Cztery godziny na zgłoszenie, a incydent w sobotę w nocy
Zegar zgłoszenia wstępnego rusza od zaklasyfikowania incydentu jako poważny. Bez całodobowego monitoringu i osoby, która ma uprawnienia do klasyfikacji poza godzinami pracy, ten termin pozostaje teoretyczny. Skutek: spóźnione zgłoszenie w SOID i pytania nadzoru o to, dlaczego.
Plan ciągłości działania, którego nikt nie sprawdził
DORA wymaga co najmniej raz w roku testów systemów wspierających funkcje krytyczne lub istotne. W praktyce kończy się na skanie podatności, a odtwarzanie po awarii nie było przećwiczone na produkcyjnych danych. Skutek: plan ciągłości, który zawiedzie przy pierwszej prawdziwej awarii.
Najważniejsze funkcje w jednej chmurze, bez realnej strategii wyjścia
DORA wymaga strategii wyjścia dla usług ICT wspierających funkcje krytyczne lub istotne i oceny ryzyka koncentracji. Dokument opisuje migrację do innego dostawcy, której nikt nie policzył ani nie przetestował. Skutek: strategia wyjścia, której nie da się wykonać w czasie, jaki zakłada.
Odporność cyfrowa to inżynieria, nie tylko dokumentacja
Kancelaria i doradca compliance powiedzą Ci, czego wymaga DORA. My dodatkowo zrobimy to w systemach i dostarczymy dowody, które Twój compliance pokaże nadzorowi.
1.
Dowody techniczne, a nie tylko polityki
Konfiguracje, wyniki testów, logi z SOC i raporty z ćwiczeń. Twój compliance ma czym odpowiedzieć na pytanie KNF albo banku.
2.
Chmurę znamy od środka
Jesteśmy partnerem AWS, Microsoft, Google Cloud i OVHcloud, więc strategie wyjścia i ocenę ryzyka koncentracji opieramy na architekturze, a nie na założeniach.
3.
SOC 24/7 pod zegar zgłoszeń
Monitoring, który wykrywa incydent wtedy, kiedy się dzieje, to warunek dotrzymania 4 godzin, a nie dodatek.
2.
Sami mamy certyfikowany SZBI
Tenesys ma certyfikat ISO/IEC 27001:2022, więc wymagania wobec dostawcy ICT znamy też z perspektywy dostawcy.
Zgodność z DORA od przeglądu luk po gotowość na pytania nadzoru
Nie zaczynamy od zera. Bierzemy to, co przygotował Twój compliance, kancelaria albo doradca, i sprawdzamy, czy zgadza się z tym, co dzieje się w systemach. Potem zamykamy luki po stronie technicznej.
Przegląd luk DORA
Porównujemy ramy zarządzania ryzykiem ICT, rejestr informacji, procedury incydentowe, program testów i umowy z dostawcami z wymogami DORA i standardów technicznych (RTS/ITS). Uwzględniamy ramy uproszczone, jeśli Cię dotyczą. Po 2–4 tygodniach dostajesz raport z lukami uszeregowanymi według ryzyka nadzorczego i planem ich zamknięcia.
Ramy zarządzania ryzykiem ICT
Aktualizujemy ramy tak, żeby opisywały rzeczywistą infrastrukturę: inwentaryzację zasobów, zależności między systemami, mapę funkcji krytycznych lub istotnych, politykę kopii zapasowych i ciągłości działania. Przegląd ram, wymagany co najmniej raz w roku, staje się procesem, a nie corocznym pośpiechem.
Rejestr informacji i umowy z dostawcami ICT
Porządkujemy rejestr informacji tak, żeby przeszedł walidację przy raporcie do KNF i zgadzał się z umowami. Od strony technicznej sprawdzamy zapisy o poziomach usług, audycie, incydentach, podwykonawcach i wyjściu, a Twój dział prawny dostaje konkretną listę zmian.
Gotowość na poważny incydent ICT
Ustalamy kryteria klasyfikacji, role, zastępstwa i ścieżkę zgłoszenia do SOID. Całodobowy monitoring w naszym SOC sprawia, że zegar 4 godzin rusza wtedy, kiedy rusza incydent, a nie w poniedziałek rano. Proces sprawdzamy w ćwiczeniu, zanim przyjdzie prawdziwy incydent.
Testy odporności cyfrowej
Układamy program testów i go realizujemy: skanowanie podatności, testy penetracyjne, testy odtwarzania po awarii i scenariusze. Jeśli nadzór wskaże Cię do TLPT, przygotujemy zakres, systemy i zespół po Twojej stronie.
Odporność chmury i strategie wyjścia
Oceniamy ryzyko koncentracji u jednego dostawcy chmury i przygotowujemy strategie wyjścia, które da się wykonać: z policzonym czasem, kosztem i architekturą docelową. Infrastruktura jako kod daje przy tym dowód, jak środowisko jest skonfigurowane i że da się je odtworzyć.
Dostarczasz IT bankom lub fintechom? Przygotujemy Cię na ich wymagania DORA
Bank nie może przenieść na Ciebie swojej odpowiedzialności, więc przenosi na Ciebie wymagania. Ankieta due diligence, aneks DORA do umowy, prawo audytu, termin zgłoszenia incydentu liczony w godzinach. Jeśli nie odpowiesz na nie przekonująco, kontrakt dostanie dostawca, który odpowie.
- przygotowujemy odpowiedzi na ankiety due diligence i dowody do nich: polityki, wyniki testów, konfiguracje
- sprawdzamy, czy możesz technicznie spełnić zapisy aneksu DORA, zanim go podpiszesz
- wdrażamy brakujące zabezpieczenia i proces powiadamiania klienta o incydentach
- przygotowujemy plan wyjścia, który klient może wpisać do swojej strategii wyjścia
- wyznaczamy osobę kontaktową dla działu ryzyka klienta, np. w modelu CISO as a Service
Twoja droga do zgodności z DORA, którą da się utrzymać
Cztery etapy. Zaczynamy od tego, co już masz, bo DORA obowiązuje od stycznia 2025 r.
1.
Przegląd stanu
Zobacz swoje luki oczami nadzoru. Bezpłatna rozmowa ustala zakres. Przegląd luk (2–4 tygodnie) porównuje dokumentację z tym, co faktycznie działa w systemach, i wskazuje, co nadzór albo bank zakwestionowałby jako pierwsze.
2.
Plan naprawczy
Dostań priorytety, które obronisz przed zarządem. Lista luk uszeregowana według ryzyka nadzorczego i operacyjnego, z kosztem i harmonogramem. Zarząd wie, co zamykamy najpierw i dlaczego.
3.
Zamknięcie luk
Zamknij luki w systemach, nie tylko w dokumentach. Wdrażamy brakujące zabezpieczenia, porządkujemy rejestr, układamy proces incydentowy i przeprowadzamy testy. Dowody zbieramy na bieżąco, w formie gotowej dla nadzoru.
4.
Utrzymanie
Utrzymaj zgodność w cyklu, który narzuca DORA. W ramach usługi CISO as a Service prowadzimy coroczny przegląd ram, program testów, aktualizację rejestru i raportowanie do zarządu.
DORA to cykl, a nie projekt
Rozporządzenie nie ma daty zakończenia. Część obowiązków wraca co roku, część przy każdej zmianie w firmie, a incydent może zdarzyć się w każdej chwili.
- przegląd ram zarządzania ryzykiem ICT co najmniej raz w roku i po każdym poważnym incydencie
- testy systemów wspierających funkcje krytyczne lub istotne co najmniej raz w roku
- aktualizacja rejestru informacji i jego cykliczne raportowanie do KNF
- regularne szkolenia zarządu i pracowników z ryzyka ICT
- nadzór nad dostawcami, umowami i strategiami wyjścia
- TLPT co najmniej raz na 3 lata, jeśli nadzór Cię wskazał
Etat doświadczonego CISO to 15–40 tys. zł miesięcznie i wielomiesięczna rekrutacja, a mniejszy podmiot finansowy często nie potrzebuje go na pełen etat. W modelu CISO as a Service dostajesz te kompetencje w wymiarze dopasowanym do skali działalności. Nasz CISO zna Twoje środowisko, bo zamykał w nim luki. Raportuje zarządowi językiem ryzyka, współpracuje z compliance i ma za sobą inżynierów Tenesys oraz SOC 24/7.
Za ryzyko ICT ostatecznie odpowiada organ zarządzający podmiotu finansowego (art. 5 ust. 2) i tej odpowiedzialności nie da się przenieść na dostawcę. Zewnętrzny CISO daje zarządowi to, czego potrzebuje do realnego nadzoru: regularne raporty, rekomendacje decyzji i dokumentację, którą można pokazać KNF.
Najczęściej zadawane pytania o zgodność z DORA
Kancelaria i doradca compliance interpretują wymagania i przygotowują dokumentację, a my dodatkowo wdrażamy je w systemach. Porządkujemy rejestr informacji, uruchamiamy monitoring 24/7, przeprowadzamy testy, przygotowujemy strategie wyjścia z chmury i zbieramy dowody techniczne. Najczęściej pracujemy razem z Twoim compliance albo kancelarią, a nie zamiast nich.
Sprawdzimy, czy dokumentacja zgadza się z tym, co działa w Twoich systemach, i zamkniemy różnice. Najczęściej dotyczą rejestru informacji, który nie odpowiada umowom, procesu zgłaszania incydentów poza godzinami pracy, testów odtwarzania i strategii wyjścia, których nikt nie przetestował. Twoja dokumentacja zostaje, a my dokładamy do niej dowody.
Przegląd luk trwa zwykle 2–4 tygodnie, a jego koszt zależy od liczby systemów, dostawców i funkcji krytycznych lub istotnych. Zakres i wycenę ustalamy po bezpłatnej, 60-minutowej rozmowie. Raport z przeglądu zawiera koszt i harmonogram zamknięcia każdej luki, więc zarząd zatwierdza konkretne kwoty.
Przygotowujemy do nich, ale samych testów TLPT nie wykonujemy. TLPT przeprowadzają zewnętrzni testerzy spełniający szczegółowe wymogi, w uzgodnieniu z nadzorem. Pomagamy ustalić zakres i systemy, przygotować środowisko i zespół po Twojej stronie, a po teście zamknąć wykryte luki. Na co dzień prowadzimy testy penetracyjne i testy odtwarzania, które wchodzą w skład obowiązkowego programu testów.
Nie, ale to dobry punkt wyjścia. Ustawa nie uznaje certyfikatu za dowód zgodności i dokłada wymogi spoza normy, np. ustawowe terminy zgłaszania incydentów, obowiązki kierownictwa i szczegółowe wymagania wobec łańcucha dostaw. Przy analizie luk wykorzystujemy Twój SZBI i uzupełniamy tylko to, czego brakuje.
