Rozporządzenie DORA – Digital Operational Resilience Act, czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554, jest jednym z najważniejszych aktów prawnych ostatnich lat w obszarze cyberbezpieczeństwa i odporności operacyjnej sektora finansowego. Jego celem jest ustanowienie jednolitych wymogów dotyczących bezpieczeństwa sieci i systemów informatycznych wykorzystywanych przez podmioty finansowe, tak aby cały sektor finansowy Unii Europejskiej był zdolny nie tylko do zapobiegania incydentom ICT, ale również do skutecznego reagowania na zakłócenia i odtwarzania działalności po ich wystąpieniu.

DORA jest stosowana od 17 stycznia 2025 roku i od tego momentu stała się podstawowym punktem odniesienia dla wymagań nadzorczych w obszarze zarządzania ryzykiem ICT, incydentami, testowaniem odporności cyfrowej oraz relacjami z zewnętrznymi dostawcami usług ICT. Jak wskazuje KNF, rozporządzenie DORA ma na celu zwiększenie odporności cyfrowej podmiotów finansowych oraz uregulowanie świadczenia usług ICT na rynku finansowym. Po ponad roku obowiązywania regulacji coraz mniej aktualne jest pytanie „czy bank wdrożył DORA?”. Dziś znacznie ważniejsze staje się pytanie „czy bank jest w stanie wykazać, że wdrożone rozwiązania działają skutecznie w praktyce?”. Nadzór nie będzie oceniał wyłącznie liczby przyjętych polityk, procedur i instrukcji. Kluczowe będzie to, czy bank potrafi udokumentować, że mechanizmy zarządzania ryzykiem ICT, obsługi incydentów, testowania odporności i nadzoru nad dostawcami są rzeczywiście stosowane, aktualizowane i poddawane weryfikacji. W przypadku banków spółdzielczych ma to szczególne znaczenie. Ich model działania często opiera się na ograniczonych zasobach wewnętrznych, silnej współpracy ze zrzeszeniem, korzystaniu z usług wspólnych oraz znacznym uzależnieniu od dostawców systemów informatycznych. DORA podkreśla fakt, że w takiej sytuacji pełna odpowiedzialność związana z ryzykami ICT spoczywa na zarządzie. Bank powinien wykazywać, iż jego podejście do bezpieczeństwa cyfrowego jest adekwatne do skali, profilu ryzyka, wykorzystywanych systemów oraz świadczonych usług.

DORA nie wymaga od banku spółdzielczego pełnej samowystarczalności technologicznej. Wymaga pełnej świadomości zależności technologicznych.

 

Aby lepiej zrozumieć wymagania nadzoru wobec banków spółdzielczych, omówione zostało pięć kluczowych punktów rozporządzenia DORA.

1. Zarządzanie ryzykiem ICT

Ryzyko ICT należy rozumieć jako możliwość wystąpienia zdarzenia związanego z technologiami informacyjno-komunikacyjnymi, które może negatywnie wpłynąć na poufność, integralność lub dostępność danych, systemów i usług wykorzystywanych przez bank. DORA wymaga, aby zarządzanie było częścią ogólnego systemu zarządzania instytucją, a nie wyłącznie zbiorem procedur. Szczególna odpowiedzialność spoczywa na organie zarządzającym. Zarząd powinien zatwierdzać, nadzorować i okresowo przeglądać ramy zarządzania ryzykiem ICT, a także zapewnić odpowiedni podział ról, obowiązków i kanałów komunikacji. W praktyce oznacza to, że zarząd banku powinien nie tylko przyjmować regulacje wewnętrzne, ale również rozumieć najważniejsze zależności technologiczne, znać kluczowe ryzyka i świadomie podejmować decyzje dotyczące ich akceptacji lub ograniczania. Dla banków spółdzielczych szczególnie ważne jest uporządkowanie wiedzy o zasobach ICT. Bank powinien mieć świadomość, z jakich systemów korzysta, które z nich wspierają funkcje krytyczne lub istotne, kto odpowiada za ich utrzymanie, jakie dane podlegają przetwarzaniu oraz jakie są zależności pomiędzy systemami, dostawcami i procesami.

Pytanie kontrolne:

Czy zarząd potrafi wskazać najważniejsze ryzyka ICT oraz wyjaśnić, jaki wpływ mogą mieć na działalność banku?

2. Zarządzanie incydentami ICT

Z perspektywy nadzoru sam fakt wystąpienia incydentu nie musi oznaczać nieprawidłowości. Incydenty są naturalnym elementem funkcjonowania środowiska cyfrowego. Kluczowe znaczenie ma natomiast zdolność banku do ich szybkiego wykrycia, właściwej klasyfikacji, ograniczenia skutków, terminowego raportowania oraz wyciągnięcia wniosków na przyszłość. Warto pamiętać, iż m.in. kryteria klasyfikacji reguluje rozporządzenie delegowane Komisji (UE) 2024/1772 z dnia 13 marca 2024 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych określających kryteria klasyfikacji incydentów związanych z ICT i cyberzagrożeń, progi istotności i szczegółowe informacje dotyczące zgłaszania poważnych incydentów. DORA wprowadza wymogi dotyczące procesu zarządzania incydentami związanymi z ICT, ich klasyfikacji oraz raportowania poważnych incydentów. Zgodnie z rozporządzeniem raportowaniu do właściwego organu podlegają poważne incydenty związane z ICT — w Polsce KNF wskazuje, że obowiązki sprawozdawcze należy realizować przez System Obsługi Incydentów DORA (SOID). Zgłoszenie wstępne powinno pojawić się w terminie maksymalnie 4 godzin od zaklasyfikowania incydentu jako poważny, ale nie później niż 24 godziny od momentu, gdy podmiot dowiedział się o incydencie. Raport pośredni powinien pojawić się najpóźniej w ciągu 72 godzin od złożenia zgłoszenia wstępnego. Raport końcowy natomiast najpóźniej miesiąc po złożeniu raportu pośredniego. Należy również pamiętać, iż aktualizacja raportu pośredniego powinna zostać złożona bez zbędnej zwłoki. W bankach spółdzielczych szczególne znaczenie ma sprawny przepływ informacji pomiędzy bankiem, zrzeszeniem, centrum usług wspólnych i dostawcami systemów. Źródło incydentów może znajdować się poza bezpośrednią kontrolą banku, ale odpowiedzialność za reakcję, ocenę wpływu na działalność i komunikację z nadzorem pozostaje po stronie instytucji finansowej.

Pytanie kontrolne:

Czy bank potrafi odtworzyć pełną ścieżkę obsługi incydentu — od wykrycia, przez klasyfikację, aż po działania naprawcze?

W praktyce bank powinien być w stanie pokazać pełną ścieżkę obsługi incydentu: od wykrycia, przez klasyfikację, eskalację, decyzję o raportowaniu, działania ograniczające skutki, komunikację, aż po analizę przyczyn i wdrożenie działań zapobiegawczych.

3. Testowanie odporności cyfrowej

Jednym z najważniejszych elementów DORA jest przesunięcie akcentu z samego posiadania procedur na ich praktyczne testowanie. Plany ciągłości działania, procedury awaryjne, kopie zapasowe czy scenariusze odtworzeniowe mają wartość wówczas, gdy zostały sprawdzone w warunkach jak najbardziej zbliżonych do rzeczywistych. DORA przewiduje obowiązek testowania narzędzi, systemów i procedur ICT. W odniesieniu do banków spółdzielczych najważniejsze będzie wykazanie, że testy są planowane, cykliczne, adekwatne do ryzyka i kończą się konkretnymi działaniami naprawczymi. Należy zaznaczyć, iż w kontekście banków spółdzielczych mowa jest o testach podstawowych – testy TLPT (Threat-Led Penetration Testing) przeznaczone są dla podmiotów wskazanych przez organy nadzoru. Szczególne znaczenie powinny mieć scenariusze dotyczące:

• awarii systemu centralnego,
• niedostępności usług bankowości elektronicznej,
• przerw w działaniu dostawców ICT,
• utraty dostępu do danych,
• błędnej aktualizacji systemu,
• zakłóceń komunikacyjnych,
• braku dostępności kluczowych pracowników lub administratorów.

Przykładowo: jest poniedziałkowy poranek, dzień wypłat świadczeń i wzmożonego ruchu klientów. Nagle bankowość elektroniczna przestaje działać, placówki nie mają pełnego dostępu do systemu centralnego, a klienci zaczynają dzwonić z pytaniem, dlaczego nie mogą wykonać przelewów. W takiej sytuacji nadzór nie zapyta w pierwszej kolejności, czy bank posiada procedurę w związku z powyższymi okolicznościami. Nadzór zapyta, czy bank wiedział, co się dzieje, jak szybko oceniono problem i jego skalę, kto rozpoczął działania naprawcze, czy zaraportowano wystąpienie incydentu oraz dotrzymano terminu zgłoszenia, jakie dowody potwierdzają podjęte działania. Właśnie w takich momentach DORA przestaje być regulacją, a staje się testem realnej odporności banku.

Nadzór będzie oczekiwał dowodów, że testowane scenariusze odpowiadają realnym zagrożeniom, wyniki poddawane są analizom, a zidentyfikowane słabości skutkować będą poprawkami w obowiązujących procedurach.

Pytanie kontrolne:

Czy ostatnie testy wykazały konkretne słabości i czy bank potrafi pokazać, że zostały one usunięte?

W praktyce szczególnie ważne jest zachowanie dowodów z przeprowadzonych procedur – protokołów, raportów, decyzji itp.

4. Zarządzanie ryzykiem dostawców ICT

Dla banków spółdzielczych zarządzanie ryzykiem dostawców ICT jest jednym z najtrudniejszych i najważniejszych obszarów DORA. Wiele kluczowych usług technologicznych realizowanych jest poza bankiem, przez podmioty zewnętrzne. W praktyce oznacza to, że jego odporność cyfrowa rzadko zależy wyłącznie od tego, co dzieje się wewnątrz samego banku. Kluczowe znaczenie mają rozwiązania współdzielone. To powoduje, iż bank może mieć ograniczony wpływ operacyjny na część technologii, od których faktycznie jest zależny. Awaria jednego dostawcy, opóźniona aktualizacja systemu lub problem w obsłudze wspólnej mogą przełożyć się bezpośrednio na dostępność usług dla klientów. DORA nie wymaga, aby banki samodzielnie budowały całą infrastrukturę. DORA wymaga od banku gotowości na podjęcie skutecznych działań w sytuacjach zagrożenia. Rozporządzenie jednoznacznie wskazuje, że korzystanie z usług innych jednostek nie zwalnia banku z odpowiedzialności za zarządzanie ryzykiem. Bank może powierzyć wykonanie określonej usługi, ale nie może przenieść odpowiedzialności za bezpieczeństwo, ciągłość działania i zgodność z regulacjami. Z tego względu bank powinien posiadać aktualny rejestr informacji o ustaleniach umownych z dostawcami usług ICT. W 2025 r. KNF realnie zebrał od podmiotów finansowych rejestry informacji o umowach ICT poprzez formularz SPR-PF-18. Pierwszy etap zakończył się terminem 28 kwietnia 2025 r., a w maju uruchomiono drugi etap dla podmiotów, które nie złożyły sprawozdania lub dla których rejestry zostały odrzucone w walidacji. Jest to praktyczny dowód, że nadzór oczekuje nie tylko polityk i procedur, ale konkretnych, kompletnych i walidowalnych danych o dostawcach ICT. Zakres informacji, które powinien zawierać rejestr dostawców reguluje Rozporządzenie wykonawcze Komisji (UE) 2024/2956 z dnia 29 listopada 2024 r. ustanawiające wykonawcze standardy techniczne do celów stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do standardowych wzorów na potrzeby rejestru informacji.

Pytanie kontrolne:

Czy bank wie, którzy dostawcy ICT są kluczowi dla ciągłości działania i co zrobi w przypadku ich niedostępności?

Szczególnie ważne jest, aby bank nie ograniczał się jedynie do dokumentowania transakcji z dostawcą. Nadzór będzie oczekiwał aktywnego zarządzania i monitorowania współpracy – oceny przed zawarciem umowy, klasyfikacji usługi, analizy incydentów, okresowych przeglądów i gotowości do działania w przypadku zakończenia współpracy.

5. Wymiana informacji o cyberzagrożeniach

DORA promuje wymianę informacji o cyberzagrożeniach pomiędzy podmiotami finansowymi. Celem wymiany jest zwiększenie świadomości zagrożeń, szybsze ich wykrywanie oraz opracowywanie nowych metod im przeciwdziałania. Dla banków spółdzielczych szczególne znaczenie ma współpraca w ramach zrzeszeń, korzystanie z informacji przekazywanych przez podmioty sektorowe oraz uczestnictwo w inicjatywach wymiany wiedzy. Nadzór może oczekiwać, że bank nie tylko odbiera komunikaty o zagrożeniach, ale potrafi również wykazać, w jaki sposób użył ich w zakresie własnego bezpieczeństwa.

Kontrola sprawowana przez radę nadzorczą

W kontekście DORA rada nadzorcza nie przejmuje obowiązków kierownika jednostki. Powinna ona natomiast sprawować realny nadzór nad tym, czy zarząd skutecznie wdrożył wymagania DORA i czy bank potrafi wykazać, że przyjęte rozwiązania są skuteczne. W praktyce rada nadzorcza powinna więc oczekiwać regularnej, zrozumiałej i kompletnej informacji w zakresie ryzyk ICT. Zakres nadzoru rady nadzorczej powinien obejmować w szczególności:

• Zatwierdzanie i monitorowanie apetytu na ryzyko ICT.
• Nadzór nad strategią odporności cyfrowej.
• Ocenę, czy zarząd posiada aktualną wiedzę o kluczowych systemach, funkcjach krytycznych lub istotnych oraz zależnościach od dostawców ICT.
• Monitorowanie poważnych incydentów ICT.
• Nadzór nad testowaniem ciągłości działania, odtwarzania i odporności cyfrowej.
• Weryfikację, czy zarząd zapewnia odpowiednie środki organizacyjne, kadrowe i finansowe na realizację wymogów DORA.
• Ocenę wyników audytów ICT i realizacji zaleceń pokontrolnych.

Rada nadzorcza powinna być w stanie wykazać, iż nie ograniczała się do biernego przyjmowania informacji od zarządu, ale faktycznie sprawowała nadzór nad jego działania.

 

Co tak naprawdę będzie oceniał nadzór?

Po ponad roku od rozpoczęcia stosowania DORA można przyjąć, że nadzór będzie koncentrował się nie tylko na formalnym wdrożeniu przepisów, ale przede wszystkim na jakości i skuteczności stosowanych rozwiązań.

Po pierwsze, zaangażowanie zarządu. Zarząd powinien znać najważniejsze ryzyka ICT, zatwierdzać ramy zarządzania, otrzymywać raporty i podejmować świadome decyzje.

Po drugie, aktualność dokumentacji. Polityki i procedury powinny odzwierciedlać rzeczywisty sposób działania banku oraz być na bieżąco dostosowywane do warunków zmieniającego się otoczenia.

Po trzecie, dowody działania procesu. Bank powinien posiadać ścieżkę umożliwiającą audyt.

Po czwarte, zarządzanie dostawcami. W bankach spółdzielczych to jeden z najważniejszych obszarów ryzyka. Nadzór będzie oczekiwał, że bank zna swoje zależności, identyfikuje i rozumie wpływ dostawców na jego funkcjonowanie oraz posiada realne mechanizmy kontroli i plany awaryjne.

Po piąte, adekwatność. Bank zgodnie z artykułem 4 omawianego Rozporządzenia powinien dostosować polityki i procedury do skali swojej działalności. Oznacza to, iż banki spółdzielcze nie muszą posiadać tak rozbudowanych i skomplikowanych polityk oraz procedur, jak duże międzynarodowe banki. Zakres dokumentacji oraz działań banków spółdzielczych musi być indywidualnie dostosowany – przede wszystkim względem Rozporządzenia, ale również zasobów.

 

Podsumowanie

DORA w bankach spółdzielczych nie powinna być postrzegana wyłącznie jako kolejny obowiązek regulacyjno-sprawozdawczy. To raczej zmiana sposobu podejścia do bezpieczeństwa technologii, ciągłości działania i odpowiedzialności zarządczej. W przypadku banków spółdzielczych największym wyzwaniem pozostaje pogodzenie wymogów regulacyjnych z ograniczonymi zasobami kadrowymi i organizacyjnymi. Jednocześnie właśnie te uwarunkowania powodują, że dobre zarządzanie ryzykiem ICT, solidna współpraca ze zrzeszeniem i świadome nadzorowanie dostawców mają kluczowe znaczenie dla bezpieczeństwa działalności. O sukcesie wdrożenia DORA nie będzie decydowała liczba przyjętych procedur ani objętość dokumentacji. Decydować będzie zdolność banku do wykazania, że przyjęte rozwiązania są skuteczne i ciągle usprawniane. Najważniejsze pytanie zatem brzmi: „Czy potrafimy udowodnić, że nasz bank jest rzeczywiście bezpieczny cyfrowo?”.

 

Jak PKF może pomóc?

W PKF wspieramy banki spółdzielcze w praktycznym podejściu do wymogów DORA – m.in. w przeglądzie procesów ICT, przygotowaniu rejestru informacji o umowach ICT oraz prowadzeniu warsztatów dla zarządów i rad nadzorczych. Pomagamy przełożyć wymagania regulacyjne na konkretne działania, dowody i decyzje zarządcze. Skontaktuj się z nami, jeśli chcesz sprawdzić, czy twój bank jest gotowy na oczekiwania nadzoru.

 

Autor: Kamil Czuchwicki

Audit Senior Assistant dział Instytucji Finansowych PKF