Standardy techniczne DORA: RTS i ITS w praktyce

RTS i ITS: dwa rodzaje standardów technicznych

DORA ustala zasady ogólne. Ich zastosowanie doprecyzowują standardy techniczne opracowane przez Europejskie Urzędy Nadzoru (EUN: EBA, ESMA i EIOPA) w ramach Wspólnego Komitetu i przyjmowane przez Komisję Europejską.

• Regulacyjne standardy techniczne (RTS) określają treść i metody obowiązku, czyli co i w jaki sposób trzeba zrobić. Komisja przyjmuje je jako rozporządzenia delegowane.
• Wykonawcze standardy techniczne (ITS) ustalają jednolite formaty, wzory i procedury. Komisja przyjmuje je jako rozporządzenia wykonawcze.

Oba rodzaje aktów obowiązują bezpośrednio we wszystkich państwach członkowskich, bez transpozycji do prawa krajowego. Kontekst całego rozporządzenia opisuje strona czym jest DORA.

Katalog aktów: mandat, numer, stan prawny

Standardy powstały w dwóch pakietach: pierwszy przekazano Komisji na początku 2024 r., drugi domknięto w 2025 r. W dokumentacji wewnętrznej i w korespondencji z właściwym organem powołuj się na numer aktu, a nie na nazwę opisową: określenie „RTS dotyczący podwykonawstwa” jest wieloznaczne, „rozporządzenie delegowane (UE) 2025/532” nie jest.

Każdy z tych aktów jest opublikowany w Dzienniku Urzędowym Unii Europejskiej i dostępny na EUR-Lex, także w wersji polskiej. Stan konkretnego standardu warto sprawdzić przy numerze, a nie przy nazwie.

Ramy zarządzania ryzykiem związanym z ICT (2024/1774)

Rozporządzenie delegowane (UE) 2024/1774 jest najobszerniejszym ze standardów. Doprecyzowuje elementy, których mandat wynika z art. 15, oraz uproszczone ramy dla podmiotów wskazanych w art. 16.

• polityki bezpieczeństwa informacji i podział odpowiedzialności pod nadzorem organu zarządzającego;
• zarządzanie tożsamością i prawami dostępu, w tym uwierzytelnianie wieloskładnikowe dla dostępu uprzywilejowanego;
• techniki kryptograficzne i zarządzanie kluczami;
• bezpieczeństwo sieci, segmentacja, zarządzanie zmianą i podatnościami;
• wykrywanie nietypowych działań oraz reagowanie na incydenty związane z ICT;
• polityka ciągłości działania w zakresie ICT wraz z planami reagowania i przywracania sprawności.

Uproszczone ramy zachowują rdzeń wymogów: odpowiedzialność organu zarządzającego, zarządzanie incydentami, zasady dotyczące dostawców i rejestr informacji. Mikroprzedsiębiorstwo pozostaje w zakresie rozporządzenia, stosuje jedynie węższy zestaw obowiązków dokumentacyjnych.

Klasyfikacja i zgłaszanie poważnych incydentów

Rozporządzenie delegowane (UE) 2024/1772 określa kryteria i progi istotności, które decydują o tym, czy incydent związany z ICT jest poważny, a zatem podlega zgłoszeniu. Kryteria obejmują liczbę lub znaczenie klientów lub kontrahentów finansowych, których dotyczy incydent, oraz jego skutki reputacyjne, czas trwania incydentu wraz z przerwą w świadczeniu usług, zasięg geograficzny, utratę danych, krytyczność usług oraz skutki gospodarcze. Ten sam akt określa kryteria uznania cyberzagrożenia za znaczące cyberzagrożenie.

Pakiet zgłoszeniowy, czyli rozporządzenie delegowane (UE) 2025/301 i rozporządzenie wykonawcze (UE) 2025/302, ujednolica treść i formularze. Łańcuch sprawozdawczy wygląda tak:

• wstępne powiadomienie w ciągu 4 godzin od zaklasyfikowania incydentu jako poważnego i nie później niż 24 godziny od powzięcia wiedzy o nim;
• sprawozdanie śródokresowe w ciągu 72 godzin od wstępnego powiadomienia;
• sprawozdanie końcowe w terminie miesiąca, z przyczynami źródłowymi i działaniami naprawczymi.

Bieg terminów uruchamia klasyfikacja, więc to procedura klasyfikacyjna decyduje o dotrzymaniu godzin. Szczegóły operacyjne opisuje strona zgłaszanie incydentów.

Dostawcy usług ICT: polityka, rejestr, podwykonawstwo

Trzy akty regulują ryzyko ze strony zewnętrznych dostawców usług ICT i tworzą jeden ciąg obowiązków.

• Rozporządzenie delegowane (UE) 2024/1773: treść polityki korzystania z usług ICT wspierających krytyczne lub istotne funkcje, jej zatwierdzenie i przegląd na poziomie organu zarządzającego.
• Rozporządzenie wykonawcze (UE) 2024/2956: 15 powiązanych ze sobą wzorów rejestru informacji, format xBRL-CSV oraz słowniki kontrolowane, w tym kody LEI i kody ISO kraju i waluty. Podmiot finansowy przekazuje rejestr właściwemu organowi, a ten konsoliduje dane i przekazuje je EUN do 30 kwietnia.
• Rozporządzenie delegowane (UE) 2025/532: ocena łańcucha podwykonawstwa przed zawarciem umowy i w trakcie jej trwania, prawo do informacji o istotnych zmianach w łańcuchu i do sprzeciwu, przejrzystość lokalizacji danych oraz ryzyko koncentracji w obszarze ICT mierzone na poziomie całego łańcucha.

O uruchomieniu tych wymogów decyduje status funkcji: dopiero uznanie jej za krytyczną lub istotną włącza większość z nich. Zobacz rejestr informacji i ryzyko dostawców ICT.

TLPT: rozporządzenie delegowane (UE) 2025/1190

Standard doprecyzowuje wymogi z art. 26 dotyczące testów penetracyjnych pod kątem wyszukiwania zagrożeń (TLPT), opartych na metodyce zbieżnej z ramami TIBER-EU. Reguluje:

• kryteria wskazywania podmiotów finansowych objętych obowiązkiem testowania;
• fazy testu: analizę zagrożeń, wykonanie przez zespół red team na działających systemach produkcyjnych oraz fazę zamknięcia;
• wymogi wobec testerów wewnętrznych i zewnętrznych oraz ich niezależność;
• sprawozdawczość wobec właściwych organów, atestację i wzajemne uznawanie wyników.

Zgodnie z art. 26 test przeprowadza się nie rzadziej niż co trzy lata, obejmuje on krytyczne lub istotne funkcje, a jego zakres podlega zatwierdzeniu przez właściwe organy. Jeżeli w zakresie znajdują się usługi zewnętrznego dostawcy, to podmiot finansowy zapewnia jego udział i przez cały czas odpowiada za zgodność. Więcej na stronie TLPT.

Zbuduj rejestr informacji zgodny z ITS →

Najczęstsze pytania

Ta strona stanowi wsparcie merytoryczne, a nie poradę prawną. · Wersja angielska