Akt prawny, formalnie
Do zacytowania DORA w polityce wewnętrznej, w nocie dla zarządu lub w umowie służą poniższe odniesienia. Odnośnik ELI jest tym stabilnym: nie przestaje działać, gdy EUR-Lex zmienia interfejs.
- Nazwa skrócona : DORA
- Cytowanie formalne : Regulation (EU) 2022/2554
- Dziennik Urzędowy : OJ L 333, 27.12.2022, p. 1
- Numer CELEX : 32022R2554
- Wejście w życie : 16 stycznia 2023 r.
- Stosuje się od : 17 stycznia 2025 r.
- Struktura : 9 rozdziałów, 64 artykuły, 106 motywów, brak załącznika
- Forma prawna : Rozporządzenie, stosowane bezpośrednio, bez transpozycji krajowej
Jak uzyskać tekst oficjalny
Oba odnośniki prowadzą do EUR-Lex, czyli do serwisu publikacyjnego Dziennika Urzędowego. Wersja HTML ma stabilne zakotwiczenia, więc każdy numer artykułu w indeksie poniżej otwiera właściwe miejsce. PDF to skład Dziennika Urzędowego, czyli wersja do załączenia do noty dla zarządu albo do akt audytu.
Przeczytaj pełny tekst na EUR-Lex · Pobierz PDF (polski)
Ta strona nie przechowuje kopii. Rozporządzenie jest zmieniane, sprostowywane i konsolidowane; PDF umieszczony na obcej stronie jest zdjęciem stanu, które starzeje się w milczeniu, a kto cytuje je w aktach nadzorczych, przejmuje to ryzyko. EUR-Lex publikuje tekst autentyczny.
64 artykuły, rozdział po rozdziale
Tytuły są tytułami oficjalnymi. Każdy numer artykułu otwiera polską wersję tekstu na EUR-Lex. Jeżeli artykuł zawiera mandat, który Komisja wypełniła aktem delegowanym lub wykonawczym, numer tego aktu podany jest obok.
Rozdział I · Przepisy ogólne
Rozdział II · Zarządzanie ryzykiem związanym z ICT
- Art. 5 · Zarządzanie i organizacja
- Art. 6 · Ramy zarządzania ryzykiem związanym z ICT
- Art. 7 · Systemy, protokoły i narzędzia ICT
- Art. 8 · Identyfikacja
- Art. 9 · Ochrona i zapobieganie
- Art. 10 · Wykrywanie
- Art. 11 · Reagowanie i przywracania sprawności
- Art. 12 · Polityki i procedury tworzenia kopii zapasowych oraz metody i procedury przywracania i odzyskiwania danych
- Art. 13 · Uczenie się i rozwój
- Art. 14 · Komunikacja
- Art. 15 · Dalsza harmonizacja narzędzi, metod, procesów i polityk zarządzania ryzykiem związanym z ICT (Akt prawny 2024/1774)
- Art. 16 · Uproszczone ramy zarządzania ryzykiem związanym z ICT
Rozdział III · Zarządzanie incydentami związanymi z ICT, ich klasyfikacja i zgłaszanie
- Art. 17 · Proces zarządzania incydentami związanymi z ICT
- Art. 18 · Klasyfikacja incydentów związanych z ICT i cyberzagrożeń (Akt prawny 2024/1772)
- Art. 19 · Zgłaszanie poważnych incydentów związanych z ICT i dobrowolne powiadamianie o znaczących cyberzagrożeniach
- Art. 20 · Harmonizacja treści i wzorów zgłoszeń (Akt prawny 2025/301, 2025/302)
- Art. 21 · Centralizacja zgłaszania poważnych incydentów związanych z ICT
- Art. 22 · Informacje zwrotne od organów nadzoru
- Art. 23 · Incydenty operacyjne lub incydenty bezpieczeństwa związane z płatnościami dotyczące instytucji kredytowych, instytucji płatniczych, dostawców świadczących usługę dostępu do informacji o rachunku i instytucji pieniądza elektronicznego
Rozdział IV · Testowanie operacyjnej odporności cyfrowej
- Art. 24 · Ogólne wymogi dotyczące testowania operacyjnej odporności cyfrowej
- Art. 25 · Testowanie narzędzi i systemów ICT
- Art. 26 · Zaawansowane testowanie narzędzi, systemów i procesów ICT z wykorzystaniem TLPT (Akt prawny 2025/1190)
- Art. 27 · Wymogi dotyczące testerów na potrzeby przeprowadzania TLPT
Rozdział V · Zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT
- Art. 28 · Zasady ogólne (Akt prawny 2024/1773, 2024/2956)
- Art. 29 · Wstępna ocena ryzyka koncentracji w obszarze ICT
- Art. 30 · Najważniejsze postanowienia umowne (Akt prawny 2025/532)
- Art. 31 · Wyznaczenie kluczowych zewnętrznych dostawców usług ICT (Akt prawny 2024/1502)
- Art. 32 · Struktura ram nadzoru
- Art. 33 · Zadania wiodącego organu nadzorczego
- Art. 34 · Koordynacja operacyjna wiodących organów nadzorczych
- Art. 35 · Uprawnienia wiodącego organu nadzorczego
- Art. 36 · Wykonywanie uprawnień wiodącego organu nadzorczego poza Unią
- Art. 37 · Wniosek o udzielenie informacji
- Art. 38 · Dochodzenia ogólne
- Art. 39 · Kontrole
- Art. 40 · Bieżący nadzór
- Art. 41 · Harmonizacja warunków umożliwiających prowadzenie działań nadzorczych (Akt prawny 2025/295, 2025/420)
- Art. 42 · Działania następcze podejmowane przez właściwe organy
- Art. 43 · Opłaty nadzorcze (Akt prawny 2024/1505)
- Art. 44 · Współpraca międzynarodowa
Rozdział VI · Ustalenia dotyczące wymiany informacji
- Art. 45 · Ustalenia dotyczące wymiany informacji o cyberzagrożeniu i wyników analiz takiego cyberzagrożenia
Rozdział VII · Właściwe organy
- Art. 46 · Właściwe organy
- Art. 47 · Współpraca ze strukturami i organami ustanowionymi na mocy dyrektywy (UE) 2022/2555
- Art. 48 · Współpraca między organami
- Art. 49 · Ćwiczenia, komunikacja i współpraca między sektorami finansowymi
- Art. 50 · Kary administracyjne i środki naprawcze
- Art. 51 · Wykonywanie uprawnień do nakładania kar administracyjnych i środków naprawczych
- Art. 52 · Sankcje karne
- Art. 53 · Obowiązki dotyczące powiadamiania
- Art. 54 · Publikowanie kar administracyjnych
- Art. 55 · Tajemnica zawodowa
- Art. 56 · Ochrona danych
Rozdział VIII · Akty delegowane
- Art. 57 · Wykonywanie przekazanych uprawnień
Rozdział IX · Przepisy przejściowe i końcowe
- Art. 58 · Klauzula przeglądowa
- Art. 59 · Zmiany w rozporządzeniu (WE) nr 1060/2009
- Art. 60 · Zmiany w rozporządzeniu (UE) nr 648/2012
- Art. 61 · Zmiany w rozporządzeniu (UE) nr 909/2014
- Art. 62 · Zmiany w rozporządzeniu (UE) nr 600/2014
- Art. 63 · Zmiany w rozporządzeniu (UE) 2016/1011
- Art. 64 · Wejście w życie i stosowanie
Akty delegowane i wykonawcze
DORA ustala obowiązki; szczegóły żyją w aktach drugiego poziomu, które Komisja przyjmuje na podstawie mandatów zapisanych w artykułach. Wszystkie zostały przyjęte. W praktyce liczy się kolumna mandatu: mówi ona, który artykuł faktycznie wypełniasz, wdrażając normę techniczną.
Daty, które naprawdę są w tekście
Trzy daty pochodzą z samego rozporządzenia. Wszystko inne, co krąży jako „termin DORA”, pochodzi z aktu drugiego poziomu, z kalendarza właściwego organu albo z niczego.
- Wejście w życie : 16 stycznia 2023 r. (Art. 64)
- Stosuje się od : 17 stycznia 2025 r. (Art. 64)
- 17/01/2028 : Art. 58
17 stycznia 2028 r. to klauzula przeglądu, a nie termin zgodności. Artykuł 58 zobowiązuje Komisję do przeprowadzenia przeglądu i przedstawienia sprawozdania Parlamentowi Europejskiemu i Radzie. Nie przesuwa to żadnego obowiązku podmiotu finansowego.
Czego DORA wymaga w praktyce →
Najczęstsze pytania
Gdzie pobrać rozporządzenie DORA w formacie PDF?
Na EUR-Lex, który publikuje skład Dziennika Urzędowego dla każdego z 24 języków urzędowych. Wersja polska znajduje się pod adresem eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:32022R2554, a stabilnym punktem wejścia dla każdego języka jest adres ELI eur-lex.europa.eu/eli/reg/2022/2554/oj. Lepiej unikać kopii na innych stronach: rozporządzenie jest z czasem konsolidowane, a zdjęcie stanu starzeje się bez ostrzeżenia.
Czy DORA jest rozporządzeniem czy dyrektywą?
Rozporządzeniem. Artykuł 64 stanowi, że wiąże ono w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich, więc nie ma krajowej ustawy transponującej. Prawo krajowe wchodzi w jednym miejscu: sankcje administracyjne, które artykuł 50 powierza państwom członkowskim.
Ile artykułów ma DORA?
64 artykuły w dziewięciu rozdziałach, poprzedzone 106 motywami, bez załącznika. Rozdział II dotyczy zarządzania ryzykiem związanym z ICT (artykuły 5 do 16), rozdział III zarządzania incydentami i ich zgłaszania (17 do 23), rozdział IV testowania operacyjnej odporności cyfrowej (24 do 27), rozdział V ryzyka ze strony zewnętrznych dostawców usług ICT i ram nadzoru (28 do 44), a rozdział VI wymiany informacji (45).
Która wersja językowa jest wiążąca?
Wszystkie 24 wersje językowe są jednakowo autentyczne; żadna nie jest prawnie tłumaczeniem innej. W praktyce do dokumentacji wewnętrznej i umów używa się wersji w języku pracy, ponieważ właściwe organy posługują się tą terminologią, a tam gdzie termin ma skutki, porównuje się z angielską.
Ta strona stanowi wsparcie merytoryczne, a nie poradę prawną. · Wersja angielska