Uproszczone ramy DORA mogą ułatwić małym podmiotom finansowym uporządkowanie zarządzania ryzykiem ICT, ale nie oznaczają całkowitego zwolnienia z obowiązków. Podmiot nadal powinien zajmować się odpornością cyfrową, incydentami, testowaniem oraz relacjami z zewnętrznymi dostawcami usług ICT. Różnica polega przede wszystkim na ograniczeniu części wymagań względem pełnych ram przewidzianych w rozporządzeniu.
Kluczowe znaczenie ma prawidłowa kwalifikacja. Sam fakt, że przedsiębiorstwo jest małe, ma niewielu pracowników albo działa na ograniczoną skalę, nie przesądza jeszcze o możliwości stosowania uproszczeń. Poniższy materiał ma charakter edukacyjny i organizacyjny. Nie zastępuje indywidualnej analizy prawnej, regulacyjnej, audytowej ani oceny bezpieczeństwa informacji. Informacje odnoszą się do stanu opisanego w materiałach KNF opublikowanych w 2024 i 2025 roku, przy czym przepisy, akty wykonawcze i praktyka nadzorcza mogą się zmieniać.
DORA dla małych podmiotów: najpierw ustal kategorię prawną
Kogo obejmuje mechanizm uproszczeń
Uproszczone ramy zarządzania ryzykiem ICT wynikają z art. 16 DORA i dotyczą wybranych kategorii podmiotów finansowych. Nie są rozwiązaniem przeznaczonym automatycznie dla każdego małego przedsiębiorstwa działającego w sektorze finansowym. Przed ich zastosowaniem trzeba ustalić, do jakiej kategorii prawnej należy podmiot oraz czy spełnia warunki wskazane w DORA i przepisach sektorowych.
Wśród grup wskazywanych w związku z uproszczonymi ramami znajdują się małe i niepowiązane wzajemnie firmy inwestycyjne, wybrane instytucje płatnicze, instytucje zwolnione na podstawie PSD2, określone instytucje zwolnione na podstawie CRD oraz małe instytucje pracowniczych programów emerytalnych. W polskim kontekście KNF wskazuje między innymi małe instytucje płatnicze i biura usług płatniczych.
Praktyczna kwalifikacja powinna obejmować co najmniej:
- ustalenie statusu prawnego podmiotu i podstawy jego działania;
- sprawdzenie warunków właściwych dla danej kategorii;
- odniesienie statusu do aktualnego tekstu DORA, przepisów krajowych i aktów wykonawczych;
- udokumentowanie powodów, dla których podmiot stosuje uproszczone ramy.
To ważne rozróżnienie: określenie „mały podmiot finansowy” opisuje skalę działalności, ale nie musi odpowiadać kategorii prawnej uprawniającej do uproszczeń.
Co obejmują uproszczone ramy DORA
Uproszczenie zakresu, nie całkowite wyłączenie
Podmiot stosujący uproszczone ramy nadal powinien uporządkować podstawowe zarządzanie ryzykiem ICT. Oznacza to potrzebę określenia najważniejszych ról, procesów, zasobów i zależności technologicznych. Zakres dokumentacji i działań może być dostosowany do charakteru działalności, ale mniejsza skala nie usuwa potrzeby świadomego zarządzania ryzykiem.
Obowiązki nadal dotyczą między innymi obsługi, klasyfikacji i zgłaszania poważnych incydentów ICT, podstawowego testowania operacyjnej odporności cyfrowej oraz zarządzania ryzykiem zewnętrznych dostawców usług ICT. Należy także uwzględnić wymagania dotyczące kluczowych zewnętrznych dostawców oraz możliwość wymiany informacji o cyberzagrożeniach i wynikach ich analiz.
W praktyce mały podmiot powinien potrafić odpowiedzieć na kilka podstawowych pytań: jakie usługi ICT wspierają działalność, kto odpowiada za reakcję na zakłócenia, w jaki sposób rejestrowane są incydenty oraz od których dostawców zależą procesy istotne dla funkcjonowania organizacji. Odpowiedzi nie muszą przyjmować identycznej formy w każdym podmiocie. Muszą jednak odzwierciedlać rzeczywisty model działalności.
Uproszczone ramy nie powinny być więc traktowane jako formalność ograniczona do stworzenia jednej polityki. To raczej ograniczony zakres reżimu, który nadal wymaga uporządkowania odpowiedzialności, reakcji na zdarzenia, testowania i kontroli zależności zewnętrznych.
Incydenty ICT: procedura od wykrycia do zgłoszenia
Rejestr i klasyfikacja zdarzeń
Incydent ICT może oznaczać nie tylko cyberatak. W tej kategorii mogą mieścić się również awarie systemu i inne zakłócenia technologiczne. Dlatego procedura nie powinna koncentrować się wyłącznie na działaniach określanych potocznie jako włamania lub ataki hakerskie. Powinna obejmować zdarzenia, które wpływają na dostępność, ciągłość albo prawidłowe działanie usług i zasobów ICT.
Podstawowy proces obsługi incydentu można uporządkować w kilku etapach:
- wykrycie zdarzenia i zebranie dostępnych informacji;
- rejestracja zdarzenia w sposób umożliwiający późniejsze odtworzenie przebiegu;
- klasyfikacja według ustalonych kryteriów;
- eskalacja do osób odpowiedzialnych za decyzje i dalsze działania;
- ocena, czy powstaje obowiązek formalnego zgłoszenia.
Przy ocenie powagi incydentu znaczenie mogą mieć między innymi wpływ na klientów, krytyczność usług, czas trwania, utrata danych, skutki gospodarcze oraz zasięg geograficzny. Nie każde zdarzenie podlega zgłoszeniu w identyczny sposób. Znaczenie mają definicje, kryteria istotności, właściwe formularze oraz status danego podmiotu.
Warto rozdzielić wewnętrzną eskalację od formalnego raportowania. Zdarzenie może wymagać szybkiego przekazania osobie odpowiedzialnej za działalność, nawet jeśli po analizie nie zostanie zakwalifikowane jako poważny incydent podlegający zgłoszeniu. Rejestr powinien wskazywać nie tylko sam fakt zdarzenia, lecz także podstawę decyzji o jego klasyfikacji i dalszym postępowaniu.
Dostawcy ICT i umowy: co sprawdzić
Mapa dostawców i zależności
Ryzyko ICT nie kończy się na systemach utrzymywanych bezpośrednio przez podmiot. Mała instytucja może zależeć od zewnętrznych usług, infrastruktury, przechowywania danych, obsługi systemów albo innych rozwiązań technologicznych. Pierwszym krokiem powinno być zidentyfikowanie procesów zależnych od ICT, wykorzystywanych zasobów, wszystkich umów ICT oraz podwykonawstwa wspierającego funkcje krytyczne lub istotne.
Mapa zależności powinna łączyć dostawcę z konkretną usługą i procesem. Sam wykaz nazw kontrahentów może być niewystarczający, jeśli nie pokazuje, jakie konsekwencje dla działalności miałaby niedostępność danego rozwiązania. Warto także sprawdzić, czy dostawca korzysta z podwykonawców oraz czy zależność od kilku usług nie prowadzi do koncentracji ryzyka.
Przegląd umów ICT powinien obejmować, zależnie od charakteru funkcji, takie obszary jak:
- zakres świadczonych usług;
- lokalizacja świadczenia usług i przetwarzania danych;
- dostępność oraz poufność danych;
- odzyskiwanie i zwrot danych;
- pomoc przy incydentach oraz współpraca z właściwymi organami;
- wypowiedzenie umowy i zakończenie współpracy;
- odpowiednie prawa kontroli lub audytu.
Nie należy jednak traktować tej listy jako gotowego wzoru umowy ani jako potwierdzenia zgodności konkretnej relacji. Zakres postanowień zależy od usługi, funkcji, modelu współpracy i podziału odpowiedzialności. Sama obecność określonej klauzuli nie usuwa automatycznie ryzyka koncentracji, podwykonawstwa ani zależności w łańcuchu usług.
Czego uproszczone ramy DORA nie wymagają
Granica między uproszczeniem a zwolnieniem
Uproszczone ramy nie obejmują pełnych ram zarządzania ryzykiem ICT określonych w rozdziale II, art. 5–15 DORA. Nie wymagają także zaawansowanego testowania operacyjnej odporności cyfrowej, w tym TLPT, ani opracowania strategii dotyczącej ryzyka zewnętrznych dostawców ICT na podstawie art. 28 ust. 2 DORA.
Te wyłączenia nie oznaczają jednak braku jakichkolwiek testów, obowiązków incydentowych czy kontroli dostawców. Nadal pozostają wymagania dotyczące podstawowego testowania odporności cyfrowej, obsługi i zgłaszania poważnych incydentów oraz zarządzania ryzykiem dostawców i umów ICT.
Nie należy również automatycznie rozszerzać dodatkowych ograniczeń związanych ze statusem mikroprzedsiębiorstwa na wszystkie podmioty korzystające z uproszczonych ram. Każdy wyjątek wymaga odniesienia do konkretnego statusu prawnego i właściwych przepisów.
Minimalny plan uporządkowania zgodności
Kolejność działań organizacyjnych
Mały podmiot może rozpocząć porządkowanie obszaru DORA od sekwencji działań, która oddziela kwalifikację prawną od późniejszej organizacji procesów. Taki plan jest punktem wyjścia do dalszej analizy, a nie indywidualnym audytem ani potwierdzeniem zgodności.
- Potwierdź status prawny. Ustal kategorię podmiotu, podstawę stosowania uproszczonych ram oraz warunki, które muszą być spełnione.
- Zmapuj usługi i zasoby ICT. Zidentyfikuj systemy, dane, procesy, zależności i funkcje, których niedostępność mogłaby zakłócić działalność.
- Utwórz procedurę incydentową. Opisz wykrywanie, rejestrowanie, klasyfikowanie, eskalowanie i dalszą ocenę zdarzeń.
- Przejrzyj dostawców i umowy. Powiąż dostawców z procesami, sprawdź podwykonawstwo i koncentrację ryzyka oraz przeanalizuj postanowienia dotyczące danych, incydentów, kontroli i zakończenia współpracy.
- Planuj okresowe przeglądy. Weryfikuj zmiany w DORA, przepisach krajowych, aktach wykonawczych i praktyce nadzorczej.
Takie uporządkowanie ułatwia wskazanie luk i tematów wymagających dalszej pracy. Nie przesądza jednak, że podmiot spełnia wszystkie obowiązki. Konkretne rozwiązania trzeba odnieść do statusu prawnego, rodzaju usług, skali zależności ICT i aktualnego otoczenia regulacyjnego.
Uproszczone ramy DORA zmniejszają zakres części wymagań, lecz nie wyłączają małego podmiotu z zarządzania ryzykiem ICT. Nadal ważne są incydenty, podstawowe testowanie odporności cyfrowej oraz kontrola dostawców i umów. Najbezpieczniejszym punktem wyjścia jest potwierdzenie kategorii prawnej, a następnie stworzenie mapy usług, zasobów i zależności. Trzeba też pamiętać o dacie weryfikacji informacji, ponieważ przepisy i praktyka nadzorcza mogą się zmieniać. Ten artykuł nie zastępuje indywidualnej analizy prawnej, regulacyjnej, audytowej ani bezpieczeństwa informacji. Sprawdź inne materiały Łączy nas Biznes i rozwijaj firmę w oparciu o praktyczną, aktualną wiedzę.
