Od 17 stycznia 2025 r. DORA obowiązuje banki, zakłady ubezpieczeń, firmy inwestycyjne, instytucje płatnicze i wiele innych przedsiębiorstw finansowych. Rozporządzenie wymaga udokumentowanego zarządzania ryzykiem ICT, zgłaszania poważnych incydentów, testów odporności i zarządzania dostawcami usług ICT. Complass prowadzi Państwa przez wszystkie elementy i przygotowuje dowody dla nadzoru.
Każda usługa ICT należy do rejestru informacji, wraz z umową, funkcją i podwykonawcami. Nadzór żąda rejestru corocznie.
Szybko klasyfikować incydenty
To, czy incydent ICT jest poważny i podlega zgłoszeniu, rozstrzygają stałe kryteria. Zgłoszenie początkowe następuje w ciągu kilku godzin.
Odpowiedzialność organu zarządzającego
Organ zarządzający ponosi odpowiedzialność za ramy zarządzania ryzykiem ICT i musi je zatwierdzać, nadzorować i regularnie przeglądać.
Co obowiązuje Państwa przedsiębiorstwo
DORA obowiązuje bezpośrednio w całej UE. Dla małych i niepowiązanych przedsiębiorstw istnieją uproszczone ramy, dla większości pozostałych obowiązują następujące obowiązki:
Ramy zarządzania ryzykiem ICT ze strategią, politykami, ochroną, wykrywaniem, reagowaniem i odtwarzaniem, zatwierdzane i nadzorowane przez organ zarządzający Art. 5 DORAArticle 5 DORAGovernance and organisation1. Financial entities shall have in place an internal governance and control framework that ensures an effective and prudent management of ICT risk, in accordance with Article 6(4), in order to achieve a high level of digital operational resilience. 2. The management body of the financial entity shall define, approve, oversee and be responsible for the implementation of all arrangements related to the ICT risk …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Art. 6 DORAArticle 6 DORAICT risk management framework1. Financial entities shall have a sound, comprehensive and well-documented ICT risk management framework as part of their overall risk management system, which enables them to address ICT risk quickly, efficiently and comprehensively and to ensure a high level of digital operational resilience. 2. The ICT risk management framework shall include at least strategies, policies, procedures, ICT protocols and tools that …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗
Rejestrować incydenty związane z ICT, klasyfikować je według stałych kryteriów i zgłaszać poważne incydenty w trzech etapach: zgłoszenie początkowe, zgłoszenie pośrednie i sprawozdanie końcowe Art. 17 DORAArticle 17 DORAICT-related incident management process1. Financial entities shall define, establish and implement an ICT-related incident management process to detect, manage and notify ICT-related incidents. 2. Financial entities shall record all ICT-related incidents and significant cyber threats. Financial entities shall establish appropriate procedures and processes to ensure a consistent and integrated monitoring, handling and follow-up of ICT-related incidents, …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Art. 18 DORAArticle 18 DORAClassification of ICT-related incidents and cyber threats1. Financial entities shall classify ICT-related incidents and shall determine their impact based on the following criteria: - (a) the number and/or relevance of clients or financial counterparts affected and, where applicable, the amount or number of transactions affected by the ICT-related incident, and whether the ICT-related incident has caused reputational impact; - (b) the duration of the ICT-related incident, …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Art. 19 DORAArticle 19 DORAReporting of major ICT-related incidents and voluntary notification of significant cyber threats1. Financial entities shall report major ICT-related incidents to the relevant competent authority as referred to in Article 46 in accordance with paragraph 4 of this Article. Where a financial entity is subject to supervision by more than one national competent authority referred to in Article 46, Member States shall designate a single competent authority as the relevant competent authority responsible for carrying …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗
Regularnie testować cyfrową odporność operacyjną; wybrane przedsiębiorstwa dodatkowo za pomocą testów penetracyjnych opartych na zagrożeniach Art. 24 DORAArticle 24 DORAGeneral requirements for the performance of digital operational resilience testing1. For the purpose of assessing preparedness for handling ICT-related incidents, of identifying weaknesses, deficiencies and gaps in digital operational resilience, and of promptly implementing corrective measures, financial entities, other than microenterprises, shall, taking into account the criteria set out in Article 4(2), establish, maintain and review a sound and comprehensive digital operational resilience …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Art. 26 DORAArticle 26 DORAAdvanced testing of ICT tools, systems and processes based on TLPT1. Financial entities, other than entities referred to in Article 16(1), first subparagraph, and other than microenterprises, which are identified in accordance with paragraph 8, third subparagraph, of this Article, shall carry out at least every 3 years advanced testing by means of TLPT. Based on the risk profile of the financial entity and taking into account operational circumstances, the competent authority may, …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗
Zarządzać ryzykiem związanym ze stronami trzecimi ICT: strategia, rejestr informacji o wszystkich usługach ICT i strategie wyjścia Art. 28 DORAArticle 28 DORAGeneral principles1. Financial entities shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework as referred to in Article 6(1), and in accordance with the following principles: - (a) financial entities that have in place contractual arrangements for the use of ICT services to run their business operations shall, at all times, remain fully responsible for compliance with, and …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗
Umowy z dostawcami usług ICT muszą zawierać określone treści, na przykład opis usługi, lokalizacje przetwarzania danych, współdziałanie przy incydentach, prawa kontroli i prawa wypowiedzenia Art. 30 DORAArticle 30 DORAKey contractual provisions1. The rights and obligations of the financial entity and of the ICT third-party service provider shall be clearly allocated and set out in writing. The full contract shall include the service level agreements and be documented in one written document which shall be available to the parties on paper, or in a document with another downloadable, durable and accessible format. 2. The contractual arrangements on the use …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗
Obowiązki w zakresie zarządzania ryzykiem, zgłaszania i obowiązki kierownictwa wynikające z niemieckiej ustawy BSIG nie dotyczą przedsiębiorstw finansowych objętych DORA; DORA ma w tym zakresie pierwszeństwo § 28 ust. 6 BSIG§ 28 BSIGBesonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Stan na: 26.09.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗
Informacja ogólna, nie porada prawna. Ta strona przedstawia sytuację prawną w uproszczeniu i nie zastępuje oceny Państwa indywidualnego przypadku. Rozstrzygające jest brzmienie przepisów i norm.
Typowe firmy
Banki i kasy oszczędnościowe Obszar priorytetowy
Instytucje kredytowe z własnym lub zlecanym na zewnątrz IT, z rejestrem informacji i testami odporności.
Zakłady ubezpieczeń
Zakłady ubezpieczeń i reasekuracji, z wyłączeniem bardzo małych zakładów; pośrednicy tylko wtedy, gdy są więksi niż przedsiębiorstwo średnie (art. 2 ust. 3 DORA).
Instytucje płatnicze i instytucje pieniądza elektronicznego
Usługi płatnicze z wysokimi wymaganiami dotyczącymi dostępności i zgłaszania incydentów.
Firmy inwestycyjne i zarządzający funduszami
W zależności od wielkości z pełnymi lub uproszczonymi ramami zarządzania ryzykiem ICT; małe zarejestrowane podmioty zarządzające alternatywnymi funduszami inwestycyjnymi są wyłączone.
Tak wspiera Państwa Complass
Wdrażanie DORA krok po kroku
Fazy od stosowalności po przegląd ram, z szablonami strategii, polityk, programu testów oraz planu zgłaszania i klasyfikacji.
Czego Państwo minimalnie potrzebują jako Przedsiębiorstwa finansowe
Pierwszy wybór obejmuje obowiązki w Complass, jeśli Państwa dotyczą. Czy tak jest, pokazuje bezpłatne sprawdzenie, czy to Państwa dotyczy. Do kontroli stosowalności
Czego potrzebują Państwo minimalnie
Jeśli DORA dotyczy Państwa przedsiębiorstwa finansowego: ten wybór obejmuje wynikające z tego obowiązki w Complass. Jest wstępnie zaznaczony przy testowaniu lub zamawianiu.
Zarządzanie ciągłością działania (BCM): Ciągłość działania ICT: analiza wpływu na działalność, plany awaryjne i ćwiczenia, ISO 22301 wliczone. (Art. 11 DORA (otwiera się w nowej karcie))
Zarządzanie incydentami: w cenie
RODO, Akt w sprawie AI i Ochrona sygnalistów (HinSchG) (ochrona podstawowa): w cenie
Cena minimalnego wyboru
Pozycja
Cena netto miesięcznie
Start S
179 €
DORA
w cenie
Zarządzanie ciągłością działania (BCM)
79 €
RODO, Akt w sprawie AI i Ochrona sygnalistów (HinSchG) (ochrona podstawowa)
w cenie
Razem
258 € netto/miesiąc
Przy płatności rocznej, minimalny okres umowy 12 miesięcy. Płatność miesięczna z dopłatą 15 %. Wszystkie ceny netto plus VAT, stan na 16/10/2026.
Warto wiedzieć: Obowiązki mogą Państwo spełnić także bez Complass. Complass wspiera Państwa we wdrożeniu i dokumentowaniu, ale nie zastępuje doradztwa prawnego. Informacje prawne
Inne pakiety
Regulację DORA mogą Państwo stosować już dziś. Dla dostawców usług ICT sektora finansowego przygotowujemy szablon branżowy „DORA dla dostawców usług ICT”.
dostępny
regulacja DORA
Zarządzanie ryzykiem ICT, zgłaszanie incydentów, testy odporności i ryzyko związane ze stronami trzecimi ICT
Rejestr informacji jako szablon roboczy
Osobna faza dla dostawców usług ICT z wymaganiami ich klientów z sektora finansowego
od 179 € miesięcznie plus VAT w pakiecie Start, wielkość S, płatność roczna
Wszystkie ceny dotyczą przedsiębiorstw, a nie konsumentów. Są to ceny netto plus VAT przy płatności rocznej; przy płatności miesięcznej obowiązuje dopłata w wysokości 15 %. Stan na 16/10/2026. Enterprise i grupy przedsiębiorstw na zapytanie.
Pakiety z adnotacją „wkrótce” lub „w przygotowaniu” nie są jeszcze dostępne do rezerwacji. Cenę i zakres podamy, gdy pakiet będzie można zarezerwować. Zawarte ramy regulacyjne i funkcje chętnie pokażemy Państwu już teraz podczas prezentacji, w zakresie, w jakim są dostępne.
Często zadawane pytania
Czy jako bank musimy wdrażać także NIS2?+
W zakresie zarządzania ryzykiem, zgłoszeń i obowiązków kierownictwa DORA ma pierwszeństwo; odpowiednie przepisy niemieckiej ustawy BSIG nie dotyczą przedsiębiorstw finansowych objętych zakresem DORA (§ 28 ust. 6 BSIG). Inne przepisy, na przykład dotyczące rejestracji, nie są w tym wyłączeniu wymienione. Należy zbadać te kwestie indywidualnie.
Czy DORA obowiązuje także mniejsze instytucje?+
Tak, ale proporcjonalnie. Małe i niepowiązane firmy inwestycyjne oraz niektóre inne przedsiębiorstwa stosują uproszczone ramy zarządzania ryzykiem ICT (art. 16 DORA). W Niemczech niemiecka ustawa o sektorze kredytowym (Kreditwesengesetz) ponadto rozciąga DORA na dalsze instytucje.
Czy Complass pomaga przy rejestrze informacji?+
Tak. Ramy regulacyjne DORA zawierają szablon roboczy rejestru informacji zgodny z wykonawczymi standardami technicznymi. Przekazanie go nadzorowi następuje jego drogą zgłoszeniową.
Mogą Państwo samodzielnie założyć konto testowe, na życzenie z przykładowym projektem dla każdej regulacji. Jeśli wolą Państwo najpierw zobaczyć Complass, proszę umówić demo.
