# Czym jest Digital Operational Resilience Act (DORA)?

> Digital Operational Resilience Act (DORA — akt o cyfrowej odporności operacyjnej) to rozporządzenie Unii Europejskiej ustanawiające wspólną ramę zarządzania ryzykiem technologii informacyjno-komunikacyjnych (ICT) w sektorze finansowym.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/digital-operational-resilience-act/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Formalnie rozporządzenie (UE) 2022/2554 stosuje się od 17 stycznia 2025 i jest bezpośrednio stosowane w państwach członkowskich UE.

DORA zajmuje się tym, czy podmiot finansowy może kontynuować dostarczanie ważnych usług przez zakłócenie ICT — a nie tylko czy potrafi zapobiec cyberatakom. Ma zastosowanie do szerokiego grona regulowanych podmiotów finansowych, w tym banków, instytucji płatniczych i pieniądza elektronicznego, firm inwestycyjnych, ubezpieczycieli, wielu podmiotów emerytalnych i zarządzających funduszami, dostawców usług kryptoaktywów, platform obrotu i innych kategorii zdefiniowanych w art. 2. Niektóre małe lub wyspecjalizowane podmioty są wyłączone lub objęte uproszczonymi wymaganiami, więc zakres musi być oceniany względem tekstu prawnego i mających zastosowanie reguł sektorowych.

### Najważniejsze punkty

- **Zarządzanie ryzykiem ICT:** Organy zarządzania mają zdefiniowane obowiązki zarządcze. Podmioty finansowe muszą utrzymywać udokumentowaną ramę obejmującą identyfikację, ochronę i prewencję, wykrywanie, reagowanie i odtwarzanie, kopie zapasowe i odbudowę, uczenie się, komunikację i ciągłe doskonalenie.
- **Zarządzanie incydentami i raportowanie:** Podmioty muszą klasyfikować incydenty związane z ICT i raportować te spełniające kryteria incydentu poważnego właściwemu organowi. Obecny proces wymaga początkowego zgłoszenia w ciągu czterech godzin po klasyfikacji jako poważny i nie później niż 24 godziny od uświadomienia, raportu pośredniego w ciągu 72 godzin od zgłoszenia początkowego oraz raportu końcowego w ciągu miesiąca od raportu pośredniego lub najnowszego zaktualizowanego raportu pośredniego. DORA przewiduje też dobrowolne zgłaszanie znaczących cyberzagrożeń.
- **Testowanie odporności:** Program testów musi być oparty na ryzyku i obejmować istotne systemy oraz kontrole. Niektóre podmioty wskazane przez właściwe organy muszą wykonywać testy penetracyjne prowadzone zagrożeniami (TLPT) co najmniej co trzy lata, z zastrzeżeniem szczegółowych wymagań prawnych i technicznych. Właściwy organ może dostosować tę częstotliwość do profilu ryzyka i okoliczności operacyjnych podmiotu.
- **Ryzyko stron trzecich ICT:** Podmioty finansowe pozostają odpowiedzialne, gdy używają zewnętrznych usług ICT. DORA wymaga due diligence, postanowień umownych, planowania wyjścia, uwzględnienia ryzyka koncentracji i rejestru umów. Silniejsze wymagania obowiązują, gdy usługi wspierają funkcje krytyczne lub ważne.
- **Nadzór nad krytycznymi dostawcami:** Europejskie Organy Nadzoru mogą oznaczać niektórych dostawców usług ICT jako krytycznych i nadzorować ich na poziomie UE. Ten nadzór nie zastępuje odpowiedzialności każdego podmiotu finansowego za własnych dostawców i ustalenia.
- **Dzielenie się informacjami:** Podmioty finansowe mogą wymieniać informacje o cyberzagrożeniach w zaufanych społecznościach, gdy ustalenia chronią poufność, dane osobowe i wrażliwe informacje biznesowe.

### Powiązane terminy

[Dyrektywa NIS2](<https://yellowcube.eu/pl/glossary/nis2-directive/>) · [Reagowanie na incydenty (IR)](<https://yellowcube.eu/pl/glossary/incident-response/>) · [Cyber Resilience Act (CRA)](<https://yellowcube.eu/pl/glossary/cyber-resilience-act/>)

### Źródła

[EUR-Lex: Regulation (EU) 2022/2554](https://eur-lex.europa.eu/eli/reg/2022/2554/oj) · [Delegated Regulation (EU) 2025/301: Incident reporting](https://eur-lex.europa.eu/eli/reg_del/2025/301/oj) · [European Commission: Guidelines on NIS2 Article 4](https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX%3A52023XC0918%2801%29) · [European Banking Authority: Operational Resilience](https://www.eba.europa.eu/regulation-and-policy/operational-resilience)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.