Complass – Navigate compliance Complass – Navigate compliance
Język PL
Deutsch English Français Italiano Español Nederlands Polski Português
Wypróbuj za darmo

regulacja

DORA – rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej

DORA obowiązuje od 17 stycznia 2025 r. banki, ubezpieczycieli, dostawców usług płatniczych i inne przedsiębiorstwa finansowe, a przez ich umowy oddziałuje także na ich dostawców usług IT, chmurowych i oprogramowania. Complass prowadzi obie strony: od zarządzania ryzykiem ICT po macierz wymagań Państwa klientów z sektora finansowego.

Wypróbuj za darmo Umów demo
Kadr z krótkiego filmu „Zarządzanie zgodnością w 20 sekund”
Zarządzanie zgodnością w 20 sekund Projekt, następny krok, lista kontrolna, deklaracja stosowania, pakiet audytowy. Beispieldaten der Demo-Firma.

Czym jest DORA?

DORA to rozporządzenie (UE) 2022/2554 w sprawie cyfrowej odporności operacyjnej sektora finansowego. Reguluje jednolicie zarządzanie ryzykiem ICT, klasyfikację i zgłaszanie poważnych incydentów związanych z ICT, testowanie cyfrowej odporności operacyjnej, zarządzanie ryzykiem związanym z zewnętrznymi dostawcami usług ICT wraz z rejestrem informacji i treścią umów oraz nadzór nad krytycznymi zewnętrznymi dostawcami usług ICT. Szczegóły określają rozporządzenia delegowane i wykonawcze Komisji.

Aktualność treści:

Czy dotyczy to nas?

Bezpośrednio DORA obowiązuje przedsiębiorstwa finansowe według art. 2, na przykład instytucje kredytowe, instytucje płatnicze i instytucje pieniądza elektronicznego, firmy inwestycyjne, towarzystwa zarządzające aktywami, zakłady ubezpieczeń i reasekuracji oraz dostawców usług w zakresie kryptoaktywów. W Niemczech krąg ten rozszerzają § 1a ust. 2 KWG, § 1a ust. 2a KWG (obowiązki zgłoszeniowe od 17 stycznia 2025 r., w pozostałym zakresie od 1 stycznia 2027 r.) i § 293 ust. 5 VAG. Dla mikroprzedsiębiorstw i przedsiębiorstw w uproszczonych ramach według art. 16 obowiązują ułatwienia. Dla przedsiębiorstw finansowych DORA jako akt szczególny ma pierwszeństwo przed regulacją NIS2, o ile DORA zawiera równoważne wymagania (art. 4 dyrektywy NIS2).

Dostawcy usług IT, chmurowych, oprogramowania i usług zarządzanych są jako zewnętrzni dostawcy usług ICT dotknięci pośrednio: Państwa klienci z sektora finansowego pozostają w pełni odpowiedzialni i muszą wymagać od nich treści umów według art. 30, praw do audytu i dostępu, wsparcia przy incydentach, udziału w testach i uregulowań dotyczących wyjścia. Osobna faza w module prowadzi dostawców przez te wymagania.

Niniejszy przegląd nie zastępuje porady prawnej. Rozstrzygający jest tekst prawny lub normatywny; w Complass stosowalność sprawdza się za pomocą wskazówek opartych na odnośnikach do przepisów.

Podstawa prawna

  • Art. 2 DORAArticle 2 DORA Scope1. Without prejudice to paragraphs 3 and 4, this Regulation applies to the following entities: - (a) credit institutions; - (b) payment institutions, including payment institutions exempted pursuant to Directive (EU) 2015/2366; - (c) account information service providers; - (d) electronic money institutions, including electronic money institutions exempted pursuant to Directive 2009/110/EC; - (e) investment firms; - …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Zakres stosowania
  • Art. 3 DORAArticle 3 DORA DefinitionsFor the purposes of this Regulation, the following definitions shall apply: (1) ‘digital operational resilience’ means the ability of a financial entity to build, assure and review its operational integrity and reliability by ensuring, either directly or indirectly through the use of services provided by ICT third-party service providers, the full range of ICT-related capabilities needed to address the security of …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Definicje, m.in. usługi ICT oraz funkcja krytyczna lub ważna
  • Art. 5 DORAArticle 5 DORA Governance and organisation1. Financial entities shall have in place an internal governance and control framework that ensures an effective and prudent management of ICT risk, in accordance with Article 6(4), in order to achieve a high level of digital operational resilience. 2. The management body of the financial entity shall define, approve, oversee and be responsible for the implementation of all arrangements related to the ICT risk …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Ład korporacyjny i odpowiedzialność organu zarządzającego
  • Art. 16 DORAArticle 16 DORA Simplified ICT risk management framework1. Articles 5 to 15 of this Regulation shall not apply to small and non-interconnected investment firms, payment institutions exempted pursuant to Directive (EU) 2015/2366; institutions exempted pursuant to Directive 2013/36/EU in respect of which Member States have decided not to apply the option referred to in Article 2(4) of this Regulation; electronic money institutions exempted pursuant to Directive …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Uproszczone ramy zarządzania ryzykiem ICT
  • Art. 19 DORAArticle 19 DORA Reporting of major ICT-related incidents and voluntary notification of significant cyber threats1. Financial entities shall report major ICT-related incidents to the relevant competent authority as referred to in Article 46 in accordance with paragraph 4 of this Article. Where a financial entity is subject to supervision by more than one national competent authority referred to in Article 46, Member States shall designate a single competent authority as the relevant competent authority responsible for carrying …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Zgłaszanie poważnych incydentów związanych z ICT
  • Art. 28 DORAArticle 28 DORA General principles1. Financial entities shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework as referred to in Article 6(1), and in accordance with the following principles: - (a) financial entities that have in place contractual arrangements for the use of ICT services to run their business operations shall, at all times, remain fully responsible for compliance with, and …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Ryzyko związane z zewnętrznymi dostawcami ICT i rejestr informacji
  • Art. 30 DORAArticle 30 DORA Key contractual provisions1. The rights and obligations of the financial entity and of the ICT third-party service provider shall be clearly allocated and set out in writing. The full contract shall include the service level agreements and be documented in one written document which shall be available to the parties on paper, or in a document with another downloadable, durable and accessible format. 2. The contractual arrangements on the use …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Istotne postanowienia umowne
  • Art. 5 DelVO (EU) 2025/301Article 5 Delegated Regulation (EU) 2025/301 Time limits for the initial notification, and for the intermediate and final reports1. Financial entities shall submit the initial notification and the intermediate and final reports as referred to in Article 19(4), points (a), (b) and (c), of Regulation (EU) 2022/2554 within the following time limits: - (a) for the initial report: as early as possible, but in any case, within four hours from the classification of the ICT-related incident as a major ICT-related incident and no later than 24 hours …Stan na: 06.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Terminy zgłoszenia wstępnego, pośredniego i końcowego

Kluczowe terminy

  1. Wejście rozporządzenia w życie · Art. 64Article 64 DORA Entry into force and applicationThis Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union. It shall apply from 17 January 2025.Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗
  2. DORA applies in all EU Member States · Art. 64Article 64 DORA Entry into force and applicationThis Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union. It shall apply from 17 January 2025.Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗
  3. First submission of the register of information to BaFin (as of 31.03.2025) · art. 28 ust. 3
  4. End of the 2026 submission period for the register of information to BaFin (09–30.03.2026, reference date 31.12.2025) · art. 28 ust. 3
  5. DORA applies to further KWG institutions under § 1a(2a) KWG (except Chapter III, which has applied since 17.01.2025) · § 65a(3) KWG

Terminy zgłaszania poważnych incydentów są krótkie: zgłoszenie wstępne w ciągu czterech godzin od zaklasyfikowania jako poważny, najpóźniej 24 godziny od uzyskania wiadomości (art. 5 rozporządzenia delegowanego (UE) 2025/301). Zgłoszenie pośrednie następuje najpóźniej 72 godziny po zgłoszeniu wstępnym, zgłoszenie końcowe najpóźniej miesiąc po zgłoszeniu pośrednim lub ostatnim zaktualizowanym zgłoszeniu pośrednim (art. 5 ust. 1 lit. b i c rozporządzenia delegowanego (UE) 2025/301). Rejestr informacji przedsiębiorstwa finansowe przekazują co roku do BaFin; proszę sprawdzać aktualne terminy BaFin.

Jak Complass pomaga

  • 8faz
  • 36kroków z przewodnikiem
  • 18szablonów dokumentów
  • 107wymagań w katalogu

  • Prowadzony projekt DORA

    Osiem faz od stosowalności i roli przez ład korporacyjny, ochronę, incydenty i testy po ryzyko związane z zewnętrznymi dostawcami i regularny przegląd; każdy krok wskazuje, czy dotyczy przedsiębiorstw finansowych, dostawców ICT, czy obu.

  • Katalog wymagań według artykułów

    Wymagania art. 5 do 30 i 45 na poziomie ustępów z oryginalnym brzmieniem, statusem i dowodem, uzupełnione o wymagania klientów z perspektywy dostawców ICT.

  • Szablony

    Dokument ramowy, strategia odporności, polityka bezpieczeństwa informacji, plan zgłaszania i klasyfikacji, program testów, rejestr informacji, przegląd umów według art. 30, plan wyjścia, a dla dostawców macierz wymagań, dane do rejestru i powiadamianie o incydentach.

  • Dokumentować zewnętrznych dostawców i incydenty

    Rejestr informacji, przegląd umów zgodnie z art. 30 i plan wyjścia prowadzą Państwo w projekcie jako szablony, a incydenty dokumentują ze znacznikami czasu w rejestrze incydentów. W przypadku poważnych incydentów związanych z ICT ścieżka zgłoszeń DORA oblicza terminy zgłoszenia wstępnego, zgłoszenia okresowego i zgłoszenia końcowego oraz przygotowuje wymagane dane. Zewnętrznych dostawców usług ICT klasyfikują Państwo w zarządzaniu dostawcami i prowadzą tam umowy, dowody i kwestionariusze.

Fazy w module

  1. Applicability, role and relationship to NIS2
  2. Governance and ICT risk management framework
  3. Protect, detect, respond, recover
  4. ICT-related incidents: management, classification, reporting
  5. Digital operational resilience testing
  6. ICT third-party risk
  7. Meeting the DORA requirements of your financial customers as an ICT third-party service provider
  8. Information sharing, evidence, effectiveness and improvement

Katalog: DORA requirements catalogue by chapter and article

Pasujące moduły

Zarządzanie zgodnością

Wdrażanie regulacji krok po kroku: fazy, szablony, piramida dokumentów, katalogi, analiza luk, cele i plan działań aż po audyt w portalu audytora.

Dowiedz się więcej

Zarządzanie ryzykiem

Rejestr ryzyk z oceną jakościową lub ilościową, apetytem na ryzyko i planem postępowania, powiązany z zasobami, podatnościami i incydentami.

Dowiedz się więcej

Zarządzanie incydentami

Rejestrowanie incydentów, weryfikacja obowiązków zgłoszeniowych zgodnie z NIS2, CRA i RODO oraz śledzenie terminów zgłoszeń z odliczaniem.

Dowiedz się więcej

DORA w Complass: czego Państwo minimalnie potrzebują

Pierwszy wybór obejmuje obowiązki w Complass, jeśli Państwa dotyczą. Czy tak jest, pokazuje bezpłatne sprawdzenie, czy to Państwa dotyczy. Do kontroli stosowalności

Czego potrzebują Państwo minimalnie

Jeśli DORA Państwa dotyczy: ten wybór obejmuje wynikające z tego obowiązki w Complass. Jest wstępnie zaznaczony przy testowaniu lub zamawianiu.

Wielkość portalu Start

Cena minimalnego wyboru
PozycjaCena netto miesięcznie
Start S179 €
DORAw cenie
Zarządzanie ciągłością działania (BCM)79 €
RODO, Akt w sprawie AI i Ochrona sygnalistów (HinSchG) (ochrona podstawowa)w cenie
Razem258 € netto/miesiąc

Przy płatności rocznej, minimalny okres umowy 12 miesięcy. Płatność miesięczna z dopłatą 15 %. Wszystkie ceny netto plus VAT, stan na 16/10/2026.

Testuj bezpłatnie przez 14 dni: Minimalny wybór DORA Zamów: Minimalny wybór DORA

Dostosuj wybór w przeglądzie cen: Minimalny wybór DORA

Zalecane dla większego efektu Oferta, nie obowiązek

Business z Supplier Management

Większy efekt dzięki Zarządzanie ryzykiem i Supplier Management, miejsce dla 10 użytkowników i 2 ram regulacyjnych.

548 € netto/miesiąc, o 290 € więcej niż minimalny wybór.

Przy płatności rocznej, minimalny okres umowy 12 miesięcy. Płatność miesięczna z dopłatą 15 %. Wszystkie ceny netto plus VAT, stan na 16/10/2026.

Testuj z Business: Minimalny wybór DORA

Zobacz w przeglądzie cen: Minimalny wybór DORA

Warto wiedzieć: Obowiązki mogą Państwo spełnić także bez Complass. Complass wspiera Państwa we wdrożeniu i dokumentowaniu, ale nie zastępuje doradztwa prawnego. Informacje prawne

Często zadawane pytania

Jesteśmy dostawcą usług IT, a nie przedsiębiorstwem finansowym. Czy DORA nas dotyczy?

Tak, pośrednio, jeśli świadczą Państwo usługi ICT dla przedsiębiorstw finansowych. Państwa klienci muszą uzgodnić z Państwem treść umów według art. 30 i wymagają danych do swojego rejestru informacji, wsparcia przy incydentach, audytów i uregulowań dotyczących wyjścia. Bezpośredni nadzór dotyczy tylko krytycznych zewnętrznych dostawców usług ICT według art. 31.

Czy dotyczy nas DORA czy NIS2?

Dla przedsiębiorstw finansowych DORA jest aktem szczególnym; § 28 ust. 6 BSIG wyłącza je spod głównych obowiązków NIS2. Dostawcy usług ICT mogą natomiast sami podlegać NIS2 i dodatkowo musieć spełniać wymagania DORA swoich klientów. Test zakresu stosowania w Complass sprawdza stronę NIS2.

Czy Complass przekazuje zgłoszenia do BaFin?

Nie. Complass pomaga dokumentować incydenty ze znacznikami czasu, uzasadniać zakwalifikowanie ich jako poważnych za pomocą pytań kontrolnych, obliczać terminy zgłoszeń i przygotowywać zgłoszenia z wymaganymi danymi. Samo zgłoszenie przekazują Państwo drogą wskazaną przez organ nadzoru; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.

Gdzie prowadzimy licencje na oprogramowanie i umowy serwisowe na potrzeby rejestru informacji?

W rejestrze „Umowy i licencje” w zarządzaniu zasobami, z okresem obowiązywania, okresem wypowiedzenia, osobami odpowiedzialnymi, powiązanymi zasobami i dowodami; w połączeniu z zarządzaniem dostawcami także przy danym usługodawcy. Rejestr dostarcza informacji do Państwa rejestru informacji zgodnie z art. 28 DORA; Complass nie oferuje eksportu w formacie rozporządzenia wykonawczego (UE) 2024/2956.

Przetestuj Complass na własnych danych

Mogą Państwo samodzielnie założyć konto testowe, na życzenie z przykładowym projektem dla każdej regulacji. Jeśli wolą Państwo najpierw zobaczyć Complass, proszę umówić demo.

Wypróbuj za darmo Umów demo