Rozporządzenie (UE) 2022/2554 (DORA) wymaga zgłoszenia poważnego incydentu związanego z ICT właściwemu organowi w trzech krokach: wstępne powiadomienie w 4 godziny, sprawozdanie śródokresowe w 72 godziny, sprawozdanie końcowe w miesiąc. Poniżej kryteria klasyfikacji, bieg terminów i ujednolicone wzory.
Rozdział III rozporządzenia (UE) 2022/2554 (art. 17-23) nakłada na każdy podmiot finansowy obowiązek prowadzenia procesu zarządzania incydentami: wykrywania, rejestrowania, klasyfikowania i zgłaszania. Zgłoszeniu do organu podlega jednak nie każdy incydent związany z ICT, lecz wyłącznie ten zaklasyfikowany jako poważny.
Art. 17 wymaga przy tym rejestrowania wszystkich incydentów związanych z ICT i znaczących cyberzagrożeń, także tych, które nigdy nie trafią do organu. Art. 23 rozciąga ten sam tryb na poważne incydenty operacyjne lub incydenty w zakresie bezpieczeństwa związane z płatnościami.
Bieg terminów uruchamia klasyfikacja, a nie wykrycie. Klasyfikacja musi nastąpić bez zbędnej zwłoki, a graniczny termin wstępnego powiadomienia i tak wynosi 24 godziny od powzięcia wiedzy o incydencie.
| Zgłoszenie | Termin | Treść |
|---|---|---|
| Wstępne powiadomienie | 4 godziny od klasyfikacji, nie później niż 24 godziny od powzięcia wiedzy | identyfikacja podmiotu, moment wykrycia, rodzaj incydentu, wstępny wpływ, punkt kontaktowy |
| Sprawozdanie śródokresowe | 72 godziny od wstępnego powiadomienia, potem przy każdej istotnej zmianie statusu | przebieg zdarzenia, dotknięte usługi i klienci, działania ograniczające skutki, przywrócenie działalności |
| Sprawozdanie końcowe | miesiąc od ostatniego sprawozdania śródokresowego | podstawowe przyczyny incydentu, pełny wpływ ilościowy i jakościowy, środki naprawcze i zapobiegawcze |
Kryteria i progi istotności określa rozporządzenie delegowane (UE) 2024/1772, czyli regulacyjne standardy techniczne (RTS) dotyczące klasyfikacji. Kryteriów jest siedem:
Incydent jest poważny, gdy dotknął usług krytycznych i jednocześnie przekroczone są progi co najmniej dwóch pozostałych kryteriów. Samo kryterium usług krytycznych wystarcza, jeżeli incydent wynikał z udanego złośliwego nieuprawnionego dostępu do sieci i systemów informatycznych, który może prowadzić do utraty danych. Decyzję klasyfikacyjną dokumentuj razem z danymi, na których ją oparto: to ona uruchamia zegar.
Treść, format i formularze zgłoszeń ujednolicają rozporządzenie delegowane (UE) 2025/301 (RTS) oraz rozporządzenie wykonawcze (UE) 2025/302, czyli wykonawcze standardy techniczne (ITS). Ten sam wzór prowadzi się przez wszystkie trzy etapy, uzupełniając kolejne pola.
Odwzoruj te pola w wewnętrznej dokumentacji reagowania, zanim wydarzy się pierwszy incydent: pod presją czterech godzin zbiera się dane, a nie projektuje formularz. Katalog standardów technicznych opisuje strona RTS i ITS, a generator zgłoszeń incydentów układa informacje w strukturę wymaganą przez wzory.
Zgłoszenie trafia do właściwego organu wyznaczonego zgodnie z art. 46, a nie bezpośrednio do Europejskich Urzędów Nadzoru (EUN). W Polsce jest nim Komisja Nadzoru Finansowego (KNF). Kanał składania zgłoszeń wskazuje sam organ: ustal go, załóż dostęp i przećwicz wysyłkę zawczasu, bo w czwartej godzinie od klasyfikacji nie ma czasu na szukanie loginu. Instytucje kredytowe uznane za istotne w ramach jednolitego mechanizmu nadzorczego zgłaszają incydent właściwemu organowi krajowemu, a ten niezwłocznie przekazuje sprawozdanie EBC.
Zgodnie z art. 19 ust. 6 właściwy organ przekazuje szczegóły zgłoszenia, stosownie do kompetencji: EUNB, ESMA lub EIOPA, EBC, właściwym organom, jednolitym punktom kontaktowym lub zespołom CSIRT wyznaczonym na podstawie dyrektywy (UE) 2022/2555, organom ds. restrukturyzacji i uporządkowanej likwidacji oraz innym właściwym organom publicznym na podstawie prawa krajowego.
Odrębny obowiązek wynika z art. 19 ust. 3: jeżeli poważny incydent wpływa na interesy finansowe klientów, podmiot finansowy informuje ich bez zbędnej zwłoki o incydencie i o podjętych środkach. Treść i kanał tej komunikacji ustala plan działań informacyjnych z art. 14, przygotowany wcześniej.
Art. 19 ust. 2 pozwala podmiotowi finansowemu dobrowolnie powiadomić właściwy organ o znaczącym cyberzagrożeniu, czyli takim, którego charakterystyka techniczna wskazuje, że potencjalnie może spowodować poważny incydent. Powiadomienie ma sens, gdy zagrożenie jest istotne dla systemu finansowego, użytkowników usług lub klientów.
W praktyce dotyczy to rozpoznanych przygotowań do ataku, technik wymierzonych w krytyczne lub istotne funkcje oraz kompromitacji w łańcuchu dostaw. Właściwy organ może przekazać taką informację innym organom: wczesne ostrzeżenie jednego podmiotu podnosi odporność pozostałych.
Powiadomienie dobrowolne nie zastępuje zgłoszenia obowiązkowego. Jeżeli zagrożenie urzeczywistni się jako poważny incydent, biegną zwykłe terminy.
Przygotuj projekt zgłoszenia incydentu →
Wstępne powiadomienie w ciągu 4 godzin od zaklasyfikowania incydentu jako poważnego i nie później niż 24 godziny od powzięcia wiedzy o nim. Sprawozdanie śródokresowe w ciągu 72 godzin od wstępnego powiadomienia. Sprawozdanie końcowe najpóźniej miesiąc po ostatnim sprawozdaniu śródokresowym.
Gdy spełnia kryteria rozporządzenia delegowanego (UE) 2024/1772: dotknął usług krytycznych i przekroczone są progi co najmniej dwóch pozostałych kryteriów, czyli klientów i transakcji, reputacji, czasu trwania, zasięgu geograficznego, utraty danych lub skutków gospodarczych.
Do właściwego organu wyznaczonego zgodnie z art. 46, w Polsce do Komisji Nadzoru Finansowego. Organ przekazuje następnie szczegóły zgłoszenia, stosownie do kompetencji: EUNB, ESMA lub EIOPA, EBC, właściwym organom, jednolitym punktom kontaktowym lub zespołom CSIRT wyznaczonym na podstawie dyrektywy (UE) 2022/2555, organom ds. restrukturyzacji i uporządkowanej likwidacji oraz innym właściwym organom publicznym na podstawie prawa krajowego.
Treść i formularze określa rozporządzenie delegowane (UE) 2025/301 wraz z rozporządzeniem wykonawczym (UE) 2025/302. Ten sam wzór uzupełnia się na etapie wstępnego powiadomienia, sprawozdania śródokresowego i sprawozdania końcowego.
Nie. Powiadomienie o znaczącym cyberzagrożeniu jest dobrowolne na podstawie art. 19 ust. 2. Obowiązkowe pozostaje zgłoszenie poważnego incydentu związanego z ICT.
Tak, jeżeli poważny incydent wpływa na ich interesy finansowe. Art. 19 ust. 3 wymaga poinformowania klientów bez zbędnej zwłoki o incydencie oraz o środkach podjętych w celu ograniczenia jego skutków.
Nieterminowe lub pominięte zgłoszenie jest naruszeniem art. 19. Art. 50 pozostawia kary administracyjne i środki naprawcze państwom członkowskim i nie ustala dla podmiotów finansowych unijnego pułapu wyrażonego jako odsetek obrotu, więc wysokość sankcji zależy od reżimu krajowego.
Ta strona stanowi wsparcie merytoryczne, a nie poradę prawną. · Wersja angielska