Rozporządzenie DORA dla instytucji finansowych w Polsce

Ostatnia aktualizacja: 16.06.2026

Od 2025 roku instytucje finansowe działające w Polsce, od banków i instytucji płatniczych, przez firmy inwestycyjne, po zakłady ubezpieczeń i dostawców usług w zakresie kryptoaktywów, podlegają jednolitym, unijnym wymogom w zakresie operacyjnej odporności cyfrowej. Rozporządzenie DORA zmienia sposób, w jaki sektor finansowy zarządza ryzykiem technologicznym i relacjami z dostawcami IT, w tym zewnętrznymi dostawcami usług ICT, a od sierpnia 2025 roku KNF dysponuje narzędziami, by jego przestrzeganie kontrolować i egzekwować.

Poniżej wyjaśniamy, czym jest DORA, kogo dokładnie obejmuje, jakie nakłada obowiązki i jak wygląda nadzór w Polsce. Dla podmiotów korzystających z zewnętrznych dostawców IT czy usług chmurowych to dobry moment, by sprawdzić zgodność, zanim zrobi to regulator.

---

Rozporządzenie DORA w skrócie

Najważniejsze informacje
Co to jest DORA	Rozporządzenie UE 2022/2554 o operacyjnej odporności cyfrowej sektora finansowego, stosowane bezpośrednio, bez potrzeby przepisywania do prawa krajowego
Od kiedy obowiązuje	Stosowane od 17 stycznia 2025 r. w krajach członkowskich UE; polska ustawa wdrażająca weszła w życie 7 sierpnia 2025 r.
Kogo dotyczy	Ok. 20 kategorii podmiotów finansowych oraz ich kluczowi zewnętrzni dostawcy usług ICT
Organ nadzoru w Polsce	Komisja Nadzoru Finansowego (KNF), działająca jako właściwy organ nadzorczy na poziomie krajowym
Pięć obszarów	Zarządzanie ryzykiem ICT, zgłaszanie incydentów, testowanie odporności, ryzyko dostawców ICT, wymiana informacji o zagrożeniach
Główne ryzyka	Kary pieniężne i środki nadzorcze KNF, ryzyko reputacyjne, zakwestionowanie umów z dostawcami
Wsparcie prawne	Zalecane przy przeglądzie umów z dostawcami ICT, prowadzeniu rejestru informacji i aktualizacji procedur

---

Czym jest DORA i operacyjna odporność cyfrowa sektora finansowego?

DORA (ang. Digital Operational Resilience Act), czyli rozporządzenie DORA Digital Operational Resilience Act, to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego. Celem regulacji jest, by podmioty finansowe były w stanie wytrzymać zakłócenia i ataki dotyczące ich systemów informatycznych, a mimo to utrzymać ciągłość świadczenia usług.

Przed DORA wymogi dotyczące bezpieczeństwa IT w finansach były rozproszone w wielu aktach krajowych i wytycznych nadzorczych. DORA porządkuje to w jeden, spójny zestaw zasad obowiązujący w całej Unii. Operacyjna odporność cyfrowa to pojęcie szersze niż klasyczne „cyberbezpieczeństwo”. Obejmuje nie tylko ochronę przed atakami (np. ransomware czy DDoS), lecz całość zdolności organizacji do bezpiecznego korzystania z technologii, w tym z usług zewnętrznych dostawców.

Jako rozporządzenie unijne DORA jest stosowana bezpośrednio i nie wymaga „przepisywania” do polskiej ustawy. Krajowy ustawodawca musiał jednak wskazać organ właściwy i wyposażyć go w uprawnienia (o czym niżej).

---

Kogo dotyczy rozporządzenie DORA w Polsce?

DORA obejmuje bardzo szeroki katalog podmiotów finansowych, w praktyce niemal cały regulowany rynek finansowy.

Należą do niego m.in.:

• banki (instytucje kredytowe),
• instytucje płatnicze (KIP) i instytucje pieniądza elektronicznego,
• firmy inwestycyjne i towarzystwa funduszy inwestycyjnych (TFI)
• zakłady ubezpieczeń i reasekuracji oraz pośrednicy ubezpieczeniowi,
• dostawcy usług w zakresie kryptoaktywów (CASP, w ramach rozporządzenia MiCA),
• dostawcy usług finansowania społecznościowego,
• agencje ratingowe, repozytoria transakcji, kontrahenci centralni i wiele innych.

Co istotne, DORA stosuje zasadę proporcjonalności. Mniejsze podmioty (np. niektóre niewielkie instytucje płatnicze) mogą korzystać z uproszczonych ram zarządzania ryzykiem ICT. Skala i złożoność obowiązków powinny odpowiadać wielkości i profilowi ryzyka danej organizacji.

Drugą grupą objętą DORA są zewnętrzni dostawcy usług ICT, w tym dostawcy chmury. Najwięksi z nich, uznani za „kluczowych dostawców” (CTPP), podlegają bezpośredniemu nadzorowi na poziomie unijnym, sprawowanemu przez europejskie urzędy nadzoru (EBA, ESMA, EIOPA).

---

Jakie obowiązki nakłada DORA na podmioty finansowe?

DORA opiera się na pięciu filarach. W uproszczeniu:

1. Zarządzanie ryzykiem ICT. Podmiot musi mieć spójne ramy zarządzania ryzykiem technologicznym: od identyfikacji aktywów IT, przez zabezpieczenia, po plany ciągłości działania i odtwarzania po awarii. Obejmuje to również zabezpieczenie krytycznych systemów, procedury tworzenia i testowania kopii zapasowych oraz zasady korzystania z technologii informacyjno-komunikacyjnych. Pełną odpowiedzialność za te ramy ponosi organ zarządzający (zarząd). Nie można jej w całości scedować na dział IT czy dostawcę.
2. Zgłaszanie incydentów ICT. Poważne incydenty trzeba klasyfikować i zgłaszać organowi nadzoru w określonych terminach (zgłoszenie wstępne, pośrednie i końcowe). Wymaga to wcześniejszego przygotowania procedur i ścieżek decyzyjnych. Obowiązki te dotyczą przede wszystkim poważnych incydentów związanych z ICT, ale organizacja powinna umieć identyfikować również inne incydenty związane z ICT, oceniać ich skalę, wpływ na klientów, czas trwania, charakter oraz rodzaj naruszenia.
3. Testowanie odporności cyfrowej. Regularne testy systemów. Największe i najważniejsze podmioty muszą dodatkowo przeprowadzać zaawansowane testy penetracyjne metodą TLPT (ang. Threat-Led Penetration Testing, testy oparte na scenariuszach realnych zagrożeń). Takie testy penetracyjne powinny być planowane nie tylko jako techniczne badanie podatności, lecz również jako sprawdzenie odporności organizacji pod kątem wyszukiwania zagrożeń, reagowania na incydenty i ochrony krytycznych systemów.
4. Zarządzanie ryzykiem dostawców ICT. To często najbardziej pracochłonny obszar. Podmiot musi prowadzić rejestr informacji o wszystkich umowach z dostawcami ICT, zapewnić w tych umowach wymagane przez DORA postanowienia (m.in. dotyczące dostępu, audytu, wyjścia z usługi) oraz oceniać ryzyko koncentracji u jednego dostawcy.
5. Wymiana informacji o zagrożeniach. DORA zachęca podmioty do dzielenia się informacjami o cyber-zagrożeniach w ramach zaufanych społeczności. W praktyce współpraca w zakresie udostępniania informacji może pomóc sektorowi finansowemu szybciej reagować na zagrożenia cybernetyczne.

---

Jak rozporządzenie DORA jest wdrożone w polskim prawie?

Choć samo rozporządzenie obowiązuje bezpośrednio, Polska musiała przyjąć przepisy proceduralne. Stało się to na mocy ustawy z dnia 25 czerwca 2025 r. o zmianie niektórych ustaw w związku z zapewnieniem operacyjnej odporności cyfrowej sektora finansowego oraz emitowaniem europejskich zielonych obligacji. Ustawa weszła w życie 7 sierpnia 2025 r.

Co to oznacza w praktyce:

• organem właściwym w Polsce jest Komisja Nadzoru Finansowego (KNF);
• KNF uzyskała wyraźną podstawę prawną do prowadzenia kontroli zgodności z DORA (na miejscu i zdalnie), wydawania zaleceń pokontrolnych oraz stosowania środków nadzorczych;
• KNF może nakładać kary pieniężne za nieprzestrzeganie wymogów DORA;
• w szczególnych przypadkach KNF może nakazać podmiotowi finansowemu tymczasowe zawieszenie korzystania z usługi danego dostawcy ICT lub wypowiedzenie umowy z nim.

Dla instytucji finansowych etap „przygotowań na papierze” się skończył. Teraz liczy się realne wdrożenie procedur i zdolność wykazania ich skuteczności podczas kontroli.

---

Jakie są główne ryzyka dla podmiotu finansowego?

• Kary administracyjne i pieniężne nakładane przez KNF za braki w zgodności.
• Środki nadzorcze: od zaleceń pokontrolnych po ingerencję w relacje z dostawcami.
• Ryzyko reputacyjne: organy nadzoru mogą publicznie ogłaszać decyzje o nałożonych karach.
• Słabe punkty w umowach z dostawcami ICT. Standardowe umowy (zwłaszcza chmurowe) rzadko same z siebie spełniają wymogi DORA.
• Brak kompletnego rejestru informacji o umowach ICT, który podlega corocznemu przekazaniu do organu nadzoru.

---

Kiedy warto skonsultować się z prawnikiem?

Wsparcie prawne jest szczególnie przydatne przy:

• przeglądzie i renegocjacji umów z dostawcami usług ICT i chmury pod kątem klauzul wymaganych przez DORA,
• ocenie, czy i w jakim zakresie organizacja może korzystać z uproszczonych ram (proporcjonalność),
• przygotowaniu lub aktualizacji polityk ICT, procedur zgłaszania incydentów i planów ciągłości działania,
• budowie i weryfikacji rejestru informacji o dostawcach ICT,
• przygotowaniu organizacji do kontroli KNF.

---

Przykład z praktyki – wdrożenie DORA w Polsce

Zagraniczny Fintech (instytucja płatnicza z grupy działającej w UK) uruchamia działalność w Polsce i zakłada, że grupowe polityki bezpieczeństwa IT oraz globalna umowa z dostawcą chmury w pełni wystarczą. W praktyce DORA wymaga, by polski podmiot samodzielnie wykazał zgodność: posiadał własny rejestr informacji o umowach ICT, zapewnił w umowie z dostawcą prawa dostępu i audytu zgodne z DORA oraz wdrożył procedurę zgłaszania incydentów dostosowaną do oczekiwań KNF. Oparcie się wyłącznie na dokumentach grupowych, bez lokalnej weryfikacji, zwiększa ryzyko zakwestionowania zgodności podczas kontroli.

---

Potrzebujesz wsparcia w zakresie DORA?

Jeśli Twoja instytucja przygotowuje się do kontroli KNF lub chce zweryfikować zgodność umów z dostawcami ICT, nasi prawnicy pomogą ocenić ryzyka i przygotować zgodną dokumentację. Regularnie wspieramy klientów z rynku brytyjskiego i amerykańskiego wchodzących na polski rynek finansowy, w tym w zakresie compliance ICT i wymogów nadzorczych.

Skontaktuj się z nami, aby omówić zakres obowiązków Twojej organizacji wynikających z DORA i zaplanować dalsze działania dostosowane do jej modelu operacyjnego.

---